Tietojenkäsittelysopimus

Luonnosversio: 10.7.2026

Tämä tietojenkäsittelysopimus on EU:n yleisen tietosuoja-asetuksen (EU) 2016/679 (jäljempänä "tietosuoja-asetus") 28 artiklan 3 kohdan mukainen sopimus henkilötietojen käsittelystä. Sopimus on osa FiksuAspa-palvelua koskevaa palvelusopimusta ja sitä sovelletaan kaikkeen henkilötietojen käsittelyyn, jota Käsittelijä tekee Rekisterinpitäjän lukuun palvelun tuottamiseksi.

1. Osapuolet

Henkilötietojen käsittelijä (jäljempänä "Käsittelijä"):
Nopea Labs Oy
Y-tunnus: 3589575-6
Sähköposti: info@fiksuaspa.fi

Rekisterinpitäjä (jäljempänä "Rekisterinpitäjä"):
FiksuAspa-palvelun asiakasorganisaatio, joka on hyväksynyt palvelun käyttöehdot ja tämän sopimuksen osana palvelusopimusta.

2. Käsittelyn kohde, kesto, luonne ja tarkoitus

Osa-alue	Kuvaus
Käsittelyn kohde	Rekisterinpitäjän asiakaspalvelukeskustelut, tietopankin sisältö, liiditiedot ja palvelun käyttäjätiedot FiksuAspa-palvelussa
Käsittelyn kesto	Palvelusopimuksen voimassaoloaika ja kohdassa 9 kuvattu päättymisvaihe
Käsittelyn luonne	Tietojen tallentaminen, järjestäminen, hakeminen, tekoälyavusteinen käsittely (kielimallit ja upotteet), luovuttaminen alikäsittelijöille sekä poistaminen
Käsittelyn tarkoitus	Tekoälypohjaisen asiakaspalveluassistentin tuottaminen Rekisterinpitäjälle
Henkilötietoryhmät	Nimi- ja yhteystiedot, keskusteluviestien sisältö, IP-osoitteet ja tekniset lokitiedot, liiditiedot
Rekisteröityjen ryhmät	Rekisterinpitäjän asiakkaat ja verkkosivukävijät, jotka käyttävät chat-assistenttia, sekä Rekisterinpitäjän palveluun kutsumat käyttäjät

3. Käsittelijän velvollisuudet (tietosuoja-asetuksen 28 artiklan 3 kohta)

Käsittelijä sitoutuu siihen, että se

• a) käsittelee henkilötietoja ainoastaan Rekisterinpitäjän antamien dokumentoitujen ohjeiden mukaisesti, myös kun kyse on henkilötietojen siirroista kolmanteen maahan, paitsi jos sovellettava lainsäädäntö sitä muuten edellyttää; tällöin Käsittelijä ilmoittaa vaatimuksesta Rekisterinpitäjälle ennen käsittelyä, ellei ilmoittaminen ole lailla kielletty
• b) varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee lakisääteinen salassapitovelvollisuus
• c) toteuttaa kaikki tietosuoja-asetuksen 32 artiklassa vaaditut tekniset ja organisatoriset turvatoimet, muun muassa tietoliikenteen salauksen (HTTPS), salasanojen suojauksen, roolipohjaisen pääsynhallinnan, organisaatiokohtaisen tietojen eristyksen ja lokituksen
• d) noudattaa kohdassa 4 kuvattuja ehtoja toisen käsittelijän eli alikäsittelijän käyttämisessä
• e) avustaa Rekisterinpitäjää asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä, jotta Rekisterinpitäjä voi vastata pyyntöihin, jotka koskevat rekisteröityjen oikeuksien käyttämistä (tietosuoja-asetuksen III luku), muun muassa palvelun hallintapaneelin tietojen vienti- ja poistotyökaluilla
• f) avustaa Rekisterinpitäjää tietosuoja-asetuksen 32–36 artiklan mukaisten velvollisuuksien noudattamisessa (tietoturva, tietoturvaloukkauksista ilmoittaminen, vaikutustenarviointi ja ennakkokuuleminen) ottaen huomioon käsittelyn luonteen ja Käsittelijän saatavilla olevat tiedot
• g) käsittelyn päätyttyä Rekisterinpitäjän valinnan mukaan poistaa tai palauttaa kaikki henkilötiedot kohdan 9 mukaisesti
• h) saattaa Rekisterinpitäjän saataville kaikki tiedot, jotka ovat tarpeen tässä sopimuksessa säädettyjen velvollisuuksien noudattamisen osoittamiseksi, sekä sallii Rekisterinpitäjän tai tämän valtuuttaman auditoijan suorittamat auditoinnit kohdan 8 mukaisesti ja osallistuu niihin

Käsittelijä ilmoittaa Rekisterinpitäjälle välittömästi, jos se katsoo, että Rekisterinpitäjän antama ohje on tietosuoja-asetuksen tai muun sovellettavan tietosuojalainsäädännön vastainen.

4. Alikäsittelijät

Rekisterinpitäjä antaa Käsittelijälle yleisen kirjallisen ennakkoluvan käyttää alikäsittelijöitä. Kulloinkin käytettävät alikäsittelijät on lueteltu osoitteessa app.fiksuaspa.fi/subprocessors. Käsittelijä ilmoittaa Rekisterinpitäjälle etukäteen alikäsittelijöiden lisäämisestä tai vaihtamisesta, jolloin Rekisterinpitäjällä on oikeus vastustaa muutosta. Jos muutoksesta ei päästä sopimukseen, Rekisterinpitäjällä on oikeus irtisanoa palvelusopimus.

Käsittelijä tekee alikäsittelijöiden kanssa kirjalliset sopimukset, joissa alikäsittelijöille asetetaan olennaisilta osin samat tietosuojavelvoitteet kuin tässä sopimuksessa. Käsittelijä vastaa alikäsittelijöidensä toiminnasta kuin omastaan.

5. Henkilötietojen siirrot EU/ETA-alueen ulkopuolelle

Osa alikäsittelijöistä käsittelee henkilötietoja Yhdysvalloissa. Siirrot perustuvat EU-komission hyväksymiin vakiosopimuslausekkeisiin (SCC) ja tarvittaessa täydentäviin suojatoimiin. Siirtoperusteet alikäsittelijöittäin on kuvattu alihankkijaluettelossa.

6. Avustamisvelvollisuus

Käsittelijä avustaa Rekisterinpitäjää ilman aiheetonta viivytystä rekisteröityjen oikeuksia koskevien pyyntöjen käsittelyssä (tarkastus-, oikaisu-, poisto-, rajoitus-, siirto- ja vastustamisoikeus). Jos rekisteröity esittää pyynnön suoraan Käsittelijälle, Käsittelijä ohjaa pyynnön Rekisterinpitäjälle. Käsittelijä avustaa Rekisterinpitäjää myös tietosuojaa koskevan vaikutustenarvioinnin laatimisessa ja valvontaviranomaisen ennakkokuulemisessa siltä osin kuin ne koskevat tämän sopimuksen mukaista käsittelyä.

7. Tietoturvaloukkaukset

Käsittelijä ilmoittaa Rekisterinpitäjälle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä saatuaan sen tietoonsa. Ilmoitus sisältää saatavilla olevat tiedot loukkauksen luonteesta, kohteena olevista rekisteröityjen ryhmistä ja henkilötietoryhmistä, todennäköisistä seurauksista sekä toteutetuista ja ehdotetuista korjaavista toimenpiteistä. Käsittelijä dokumentoi loukkaukset ja avustaa Rekisterinpitäjää tietosuoja-asetuksen 33 ja 34 artiklan mukaisten ilmoitusten tekemisessä.

8. Auditointioikeus

Rekisterinpitäjällä tai tämän valtuuttamalla auditoijalla, joka ei saa olla Käsittelijän kilpailija, on oikeus auditoida tämän sopimuksen mukainen käsittely enintään kerran vuodessa. Auditoinnista on ilmoitettava kirjallisesti vähintään 30 päivää etukäteen, ja se on toteutettava tavalla, joka ei kohtuuttomasti häiritse Käsittelijän toimintaa. Kumpikin osapuoli vastaa omista auditointikustannuksistaan. Ensisijaisesti Käsittelijä osoittaa velvollisuuksiensa noudattamisen toimittamalla kirjallisen selvityksen ja käytettävissä olevat dokumentit.

9. Käsittelyn päättyminen

Palvelusopimuksen päättyessä Käsittelijä poistaa tai palauttaa Rekisterinpitäjän valinnan mukaan kaikki tämän sopimuksen nojalla käsitellyt henkilötiedot ja poistaa olemassa olevat kopiot, ellei sovellettava lainsäädäntö edellytä tietojen säilyttämistä. Rekisterinpitäjän on esitettävä palautuspyyntö 30 päivän kuluessa palvelusopimuksen päättymisestä; palautus toteutetaan yleisesti käytetyssä koneluettavassa muodossa.

10. Vastuu ja sovellettava laki

Osapuolten vastuu määräytyy tietosuoja-asetuksen 82 artiklan ja palvelusopimuksen vastuunrajoitusehtojen mukaisesti. Tähän sopimukseen sovelletaan Suomen lakia. Erimielisyydet ratkaistaan ensisijaisesti neuvottelemalla ja toissijaisesti palvelusopimuksessa sovitussa riidanratkaisumenettelyssä.

11. Voimassaolo

Tämä sopimus tulee voimaan, kun molemmat osapuolet ovat sen hyväksyneet, ja on voimassa niin kauan kuin Käsittelijä käsittelee henkilötietoja Rekisterinpitäjän lukuun.

Allekirjoitukset