Tietojenkäsittelysopimus

Tämä tietojenkäsittelysopimus on olennainen osa ja siihen sovelletaan niitä SumUpin ehtoja,  joita sovelletaan yhteen tai useampaan käyttämääsi palveluun (”lisäehdot”), ja muita mahdollisesti sovellettavia SumUpin ehtoja, mukaan lukien muun muassa SumUpin yleiset ehdot (tässä yhteisesti ”ehdot”), jotka ovat hyväksyneet ja joiden sopimusosapuolia ovat sinä SumUp-kauppiaana (”sinä”, ”rekisterinpitäjä”) ja sovellettavissa lisäehdoissa mainittu SumUpin sopijaosapuoli (”SumUp”, ”me”, ”henkilötietojen käsittelijä”), joka kuuluu SumUp S.A.R.L. Group Companies – SumUp Group ‑konserniin.

SumUp käsittelee työntekijöidesi, asiakkaidesi ja/tai verkkokauppasi/sivustosi kävijöiden ja asiakkaiden ja/tai palveluidesi käyttäjien (”asiakkaasi”, ”asiakkaat”, ”loppuasiakkaat”) tietoja voidakseen tarjota sinulle palveluita lisäehtojen mukaisesti. Tällaiseen SumUpin suorittamaan tietojenkäsittelyyn viitataan jäljempänä termillä ”käsittely” (jonka merkitys on määritelty sovellettavassa tietosuojalainsäädännössä). Seuraavassa tietojenkäsittelysopimuksessa määritellään tällaisen SumUpin suorittaman käsittelyn ehdot.

Kumpikin osapuoli hyväksyy ja varmistaa, että tämän tietojenkäsittelysopimuksen ehtoja sovelletaan täysimääräisesti myös niiden tytäryhtiöihin, jotka saattavat osallistua henkilötietojen käsittelyyn lisäehdoissa määriteltyjen palveluiden osalta. SumUp varmistaa erityisesti, että kaikki alihankkijoina toimivat käsittelijät noudattavat tätä tietojenkäsittelysopimusta vastaavia ehtoja käsitellessään asiakkaidesi tietoja.

1. Määritelmät

1.1. ”Sovellettava tietosuojalainsäädäntö” tarkoittaa kaikkia lakeja, jotka liittyvät henkilötietojen käsittelyyn lisäehtojen, ehtojen ja tämän tietojenkäsittelysopimuksen mukaisesti, mukaan lukien rajoituksetta Yhdistyneen kuningaskunnan vuoden 2018 tietosuojalaki (Data Protection Act 2018), EU:n yleinen tietosuoja-asetus 2016/679 (”yleinen tietosuoja-asetus”), EU:n sähköisen viestinnän tietosuojadirektiivi 2002/58/EY, sellaisena kuin se on pantu täytäntöön kullakin lainkäyttöalueella, sekä kaikki muutokset edellä mainittuihin sekä kaikki muut sovellettavat tai korvaavat kansainväliset, alueelliset tai kansalliset tietosuojalait, ‑asetukset ja viranomaisohjeet.

1.2. Termeillä ”rekisterinpitäjä”, ”rekisteröity”, ”henkilötiedot”, ”käsittely” ja ”henkilötietojen käsittelijä” on sama merkitys kuin sovellettavassa tietosuojalainsäädännössä.

1.3. ”Sisällöllä” tarkoitetaan sisältöäsi ja asiakkaidesi SumUpille luovuttamaa sisältöä, mukaan lukien rajoituksetta tekstit, valokuvat, kuvat, ääni, videot, koodi, evästeillä tai vastaavilla seurantatekniikoilla kerätyt tiedot ja kaikki muut materiaalit.

1.4. ”Tiedoillasi” ja ”asiakkaidesi tiedoilla” tarkoitetaan sisällössä olevia henkilötietoja, joita SumUp käsittelee puolestasi osana palveluita ja/tai työntekijöidesi, kirjanpitäjiesi ja/tai asiakkaidesi tietoja, joita käsitellään puolestasi palveluiden suorittamista varten. Asiakkaidesi tiedot eivät kata henkilötietoja, joiden rekisterinpitäjä on tämän tietojenkäsittelysopimuksen ja SumUpin tietosuojakäytännön nojalla SumUp. 

1.5. Kaikilla tässä tietojenkäsittelysopimuksessa käytetyillä termeillä, joilla ei ole selkeää määritelmää tässä osiossa, on lisäehdoissa määritetty merkitys. Jos lisäehdoissa tai ehdoissa ei ole erityistä määritelmää, niillä on sovellettavassa tietosuojalainsäädännössä annettu merkitys.

2. Sovellettavuus. Tätä tietojenkäsittelysopimusta sovelletaan vain niihin asiakkaidesi tietoihin, joita SumUp käsittelee puolestasi palveluiden tarjoamista varten. Hyväksyt, että SumUp ei ole vastuussa henkilötiedoista, joita olet päättänyt käsitellä kolmannen osapuolen palveluiden kautta tai palveluiden ulkopuolella, kuten kolmannen osapuolen pilvipalvelujärjestelmissä, offline-säilöissä tai yrityksen toimipaikassa.

3. Tietojenkäsittelyä koskevat tiedot. SumUp käsittelee henkilötietoja tämän sopimuksen liitteen 1 mukaisesti.

4. Oikeudet ja velvollisuudet

4.1. Siltä osin kuin SumUp käsittelee asiakkaidesi tietoja puolestasi, ja tämä käsittely on sovellettavan tietosuojalainsäädännön alaista, tiedostat ja hyväksyt, että SumUpin tarjoamien palveluiden osalta olet tällaisten henkilötietojen rekisterinpitäjä, ja käyttämällä SumUpin palveluita ohjeistat SumUpia käsittelemään asiakkaidesi tietoja puolestasi tämän tietojenkäsittelysopimuksen mukaisesti.

4.2. Voit milloin tahansa perua tämän tietojenkäsittelysopimuksen hyväksynnän, mutta siinä tapauksessa SumUp ei enää voi tarjota sinulle palvelua.

4.3. Henkilötietojen käsittelijänä SumUp:

a. käsittelee asiakkaidesi tietoja tietojenkäsittelysopimuksessa määriteltyjä tarkoituksia varten sovellettavan lain ja tietojenkäsittelysopimuksen mukaisesti,

b. saa toimia ja käsitellä asiakkaidesi tietoja vain dokumentoitujen ohjeidesi mukaisesti, ellei laki, tuomioistuimen määräys tai lainsäädännöllinen toimenpide edellytä toimia ilman tällaista ohjeistusta. Tämän tietojenkäsittelysopimuksen solmimishetkellä antamasi ohjeistus on, että SumUp saa käsitellä asiakkaidesi tietoja vain palvelujen toimittamista varten tietojenkäsittelysopimuksessa ja lisäehdoissa kuvatulla tavalla. Tämän tietojenkäsittelysopimuksen ehtojen mukaisesti ja molempien osapuolten yhteisellä sopimuksella voit antaa kirjallisia lisäohjeita tämän tietojenkäsittelysopimuksen ehtojen mukaisesti,

c. varmistaa, että henkilöt, joilla on oikeus käsitellä henkilötietoja, ovat sitoutuneet noudattamaan salassapitovelvollisuutta, tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus,

d. varmistaa, että henkilötietoja voi saada käyttöön vain lisäehtojen mukaisten palvelujen suorittamiseen liittyvien todellisten tarpeiden perusteella,

e. on vastuussa siitä, että asiakkaidesi tietoja käsittelevät työntekijät/alihankkijat ja/tai mahdolliset edustajat käsittelevät henkilötietoja vain ohjeidesi mukaisesti,

f. ilmoittaa sinulle välittömästi, jos uskomme, että jotkin ohjeistasi ovat ristiriidassa sovellettavan tietosuojalainsäädännön kanssa,

g. on velvollinen suojaamaan tämän tietojenkäsittelysopimuksen kattamat asiakkaidesi tiedot kaikenlaiselta tuhoamiselta, muuttamiselta, häviämiseltä ja kaikelta muulta luvattomalta käsittelyltä. Tätä tarkoitusta varten SumUp toteuttaa asianmukaiset turvatoimet sovellettavan lain mukaisesti. On mahdollista, että SumUp ottaa käyttöön vaihtoehtoisia asianmukaisia toimenpiteitä. Jos tällaisia vaihtoehtoisia toimenpiteitä otetaan käyttöön, määriteltyjen turvatoimien taso ei saa laskea. SumUp avustaa sinua tarvittaessa asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä, ja ottaen huomioon käsittelyn luonteen ja SumUpin käytettävissä olevien henkilötietojen ryhmän auttaa sinua varmistamaan sovellettavan tietosuojalainsäädännön mukaisten velvoitteidesi noudattamisen.

h. asettaa kohtuullisesta pyynnöstäsi saataville todistukset, jotka osoittavat SumUpin noudattavan tämän tietojenkäsittelysopimuksen ja sovellettavan tietosuojalainsäädännön mukaisia velvoitteitaan, ja/tai asettaa saataville tämän tietojenkäsittelysopimuksen ja sovellettavan tietosuojalainsäädännön mukaisten velvoitteiden noudattamisen osoittamiseksi tarvittavat tiedot. SumUp asettaa saataville vain tiedot, joita SumUp katsoo sinun tarvitsevan velvoitteidesi, erityisesti tietosuojan vaikutustenarvioinnin toteuttamisesta, valvontaviranomaisen ennakkokuulemisesta ja henkilötietojen turvallisuuden varmistamisesta aiheutuvien velvoitteidesi noudattamiseen ottaen huomioon palveluiden luonteen ja SumUpin käytettävissä olevat tiedot,

i. avustaa sinua kohtuullisessa ajassa asianmukaisin toimenpitein ja kun se on kohtuudella mahdollista (käsittelyn luonne huomioon ottaen) rekisteröidyn oikeuksien ja kaikkien muiden asiaankuuluvien sovellettavan tietosuojalainsäädännön mukaisten velvoitteidesi noudattamisessa,

j. jos sovellettava laki sallii, ilmoittaa sinulle saadessaan tiedustelun tai valituksen henkilöltä, jonka henkilötietoja käsitellään tietojenkäsittelysopimuksen nojalla, tai velvoittavan vaatimuksen hallinto- tai lainvalvontaviranomaiselta, sääntelyelimeltä tai muulta elimeltä koskien asiakkaidesi tietoja, joita käsittelemme puolestasi ja antamiesi ohjeiden mukaan.

4.4. Rekisterinpitäjänä sinä:

a. keräät, käytät ja käsittelet henkilötietoja kaikkien sovellettavien tietosuojalakien mukaisesti,

b. olet yksin vastuussa asiakkaidesi tietojen oikeellisuudesta, laadusta ja lainmukaisesta käsittelystä sekä tavoista, joilla ne on saatu,

c. varmistat asianmukaisen tietoturvatason käyttäessäsi palveluita ottaen huomioon kaikki asiakkaidesi tietoihin liittyvät riskit,

d. tiedostat, että asiakkaidesi tietojen tallentaminen ja/tai siirto mille tahansa kolmannelle osapuolelle tai alustalle, lukuun ottamatta SumUpia, tapahtuu omalla riskilläsi ja vastuullasi,

e. varmistat, että henkilötietojen käsittelyä koskevat ohjeesi ovat kaikkien asiakkaidesi tietoihin sovellettavien lakien, asetusten ja sääntöjen mukaiset. Varmistat myös, että asiakkaidesi tietojen käsittely ohjeidesi mukaisesti ei aiheuta sitä tai johda siihen, että me tai sinä rikomme lakeja, sääntöjä tai asetuksia,

f. annat asiakkaillesi tarvittavat tiedot heidän tietojensa käsittelytavoista ja käsittelyn perusteista sovellettavan tietosuojalainsäädännön vaatimusten mukaisesti.

5. Tietoturvaloukkauksista ilmoittaminen. Osapuolen on välittömästi (mutta viimeistään 48 tunnin kuluessa) ilmoitettava toiselle osapuolelle saatuaan tietää tämän tietojenkäsittelysopimuksen nojalla käsiteltyihin henkilötietoihin liittyvästä tietoturvaloukkauksesta. SumUp avustaa sinua tietoturvaloukkauksia koskevien ilmoitusvelvollisuuksiesi noudattamisessa toimittamalla sinulle sellaisia tietoturvaloukkausta koskevia tietoja, jotka voimme kohtuudella luovuttaa sinulle, ottaen huomioon palveluiden luonne, käytettävissämme olevat tiedot ja kaikki tietojen luovuttamista koskevat rajoitukset, kuten tietojen salassapitovaatimukset. Edellä mainitusta huolimatta SumUpin tämän osion mukaiset velvoitteet eivät koske tietoturvaloukkauksia, joiden aiheuttaja olet sinä tai jotka ovat seurausta tililläsi tapahtuvasta toiminnasta ja/tai kolmannen osapuolen palveluiden toiminnasta. SumUp on velvollinen toimimaan yhteistyössä kanssasi ja tukemaan sinua henkilötietoihin kohdistuvien tietoturvaloukkausten tutkinnassa, niiden kielteisten seurausten minimoinnissa ja korjaamisessa sekä tulevien vastaavien tietoturvaloukkausten estämisessä. SumUpin ilmoitusta henkilötietojen tietoturvaloukkauksesta ei katsota minkään tapaukseen liittyvän virheen tai vastuun tunnustamiseksi SumUpin taholta. Henkilötietoihin kohdistuvan tietoturvaloukkauksen sattuessa olet velvollinen ryhtymään sovellettavien lakien edellyttämiin toimenpiteisiin asiakkaidesi tietojen suhteen.

6. Alihankkijoina toimivat käsittelijät. Annat SumUpille yleisen valtuutuksen käyttää alihankkijoina toimivia käsittelijöitä palvelujen tarjoamiseen ilman erillistä kirjallista valtuutusta. SumUp solmii jokaisen alihankkijan kanssa sopimuksen, jolla varmistetaan, että mainittu alihankkija noudattaa vähintään tässä tietojenkäsittelysopimuksessa määritettyä tietosuoja- ja turvallisuustasoa. Jos vastustat jonkin alihankkijan käyttöä tietosuojahuoliin liittyvällä kohtuullisella perusteella, pyrimme kaupallisesti kohtuullisin keinoin tarjoamaan sinulle keinon välttää asiakkaidesi tietojen käsittely vastustamasi alihankkijan toimesta. Jos emme pysty tarjoamaan tällaisia muutosehdotuksia kohtuullisen ajan kuluessa, ilmoitamme tästä sinulle, ja jos vastustat edelleen mainitun alihankkijan käyttöä, voit peruuttaa tai irtisanoa tilisi tai, jos mahdollista, ne palveluiden osat, joihin liittyy mainitun alihankkijan käyttö.

7. Henkilötietojen siirto. Asiakkaidesi tietojen käsittely tapahtuu Euroopan talousalueella (”ETA”) ja Yhdistyneessä kuningaskunnassa. Henkilötietojen mahdollinen siirto sellaiseen EU:n/ETA:n ja Yhdistyneen kuningaskunnan ulkopuoliseen kolmanteen maahan, joka ei sovellettavan tietosuojalainsäädännön mukaan tarjoa riittävää tietosuojan tasoa, ja käsittely tällaisessa maassa, on suoritettava soveltaen tietosuojaa koskevia vakiolausekkeita tai muita asianmukaisia riittävän henkilötietojen suojan takaavia toimia sovellettavan tietosuojalainsäädännön vaatimusten mukaisesti.

8. Tarkastukset. Sinulla on oikeus suorittaa SumUpin tämän tietojenkäsittelysopimuksen mukaisten velvoitteiden tarkastus kerran vuodessa. Osapuolet päättävät yhdessä, suorittaako tarkastuksen kolmas osapuoli. Tietosuojatarkastuksen voi kuitenkin luvallasi suorittaa valitsemamme puolueeton kolmas osapuoli. Jos tarkastuksen ehdotettu laajuus vastaa ISO-standardin mukaista tai vastaavaa varmennusraporttia, jonka pätevä ulkopuolinen tarkastaja on tuottanut viimeisten 12 kuukauden aikana, ja SumUp vahvistaa, että tarkasteltavina olevissa toimenpiteissä ei ole tapahtunut olennaisia muutoksia, mainitussa määräajassa vastaanotetut pyynnöt katsotaan tyydytetyiksi. Tarkastukset eivät saa kohtuuttomasti häiritä SumUpin tavanomaista liiketoimintaa. Vastaat kaikista tarkastuspyyntöösi liittyvistä kuluista. Kerran vuodessa rekisterinpitäjän kirjallisesta pyynnöstä ja sovellettavan tietosuojalainsäädännön edellyttämässä laajuudessa SumUp sitoutuu tekemään yhteistyötä rekisterinpitäjän kanssa ja toimittamaan rekisterinpitäjälle kohtuullisessa ajassa:

(a) yhteenvedon tarkastusraporteista, jotka osoittavat SumUpin toteuttamien teknisten ja organisatoristen toimenpiteiden tehokkuuden henkilötietojen suojaamisessa luvattomalta ja laittomalta käsittelyltä, henkilötietojen luvattomalta käytöltä sekä vahingossa tapahtuvalta katoamiselta, tuhoutumiselta ja vahingoittumiselta ja

(b) vahvistuksen siitä, että tarkastus ei paljastanut mitään olennaista haavoittuvuutta SumUpin järjestelmissä, tai, siltä osin kuin tällainen haavoittuvuus havaittiin, että SumUp on korjannut haavoittuvuuden täysin.

Jos edellä mainitut toimenpiteet eivät riitä vahvistamaan sovellettavan tietosuojalainsäädännön noudattamista tai paljastavat olennaisia puutteita, rekisterinpitäjä voi pyytää ulkopuolisten riippumattomien tarkastajien suorittamaa SumUpin tietosuojan noudattamista koskevan ohjelman tarkastusta, josta sen on ilmoitettava SumUpille kirjallisesti vähintään kolmekymmentä (30) päivää etukäteen. Osapuolten tulee valita tarkastajat ja sopia tarkastuksen laajuudesta, ajankohdasta ja kestosta yhdessä. Rekisterinpitäjä ryhtyy kaikkiin kohtuullisiin toimiin rajoittaakseen tarkastuspyyntönsä mahdollisia haitallisia vaikutuksia SumUpiin sekä vastaa kaikista tarkastukseen liittyvistä ja tarkastuksen haitallisista vaikutuksista aiheutuvista kustannuksista. Rekisterinpitäjä asettaa tietosuojan noudattamista koskevan ohjelman tarkastuksen tuloksen SumUpin saataville.

9. Vastuu. Jokaisen osapuolen tämän tietojenkäsittelysopimuksen mukainen vastuu on lisäehdoissa ja/tai ehdoissa määritettyjen vastuun poissulkemisten ja vastuunrajoitusten alainen. Sitoudut korvaamaan SumUpille kaikki kustannukset, vaatimukset, vahingot ja kulut, joita SumUpille on aiheutunut tai joista se voi joutua vastuuseen sen seurauksena, että sinä, työntekijäsi tai edustajasi ei noudata tämän tietojenkäsittelysopimuksen mukaisia velvoitteitaan, sekä puolustamaan SumUpia omalla kustannuksellasi edellä mainituilta seurauksilta.

10. Päättyminen. Tämä tietojenkäsittelysopimus on voimassa niin kauan kuin käytät jotakin SumUpin palveluista. Palvelujen käytön lopettamisen jälkeen ja ellei SumUp ole velvollinen säilyttämään asiakkaidesi tietoja SumUpin lisäehtojen ja/tai ehtojen, minkä tahansa sopimuksen tai sovellettavien lakien mukaisesti, SumUp poistaa asiakkaidesi tiedot niin pian kuin se on kohtuudella mahdollista SumUpin ehtojen ja sovellettavien lakien mukaisesti, myös siinä tapauksessa, että pyydät tätä kirjallisesti.

11. Kootut nimettömät tiedot. Tiedostat ja hyväksyt, että SumUp voi käsitellä kaikenlaisia sinuun ja asiakkaisiisi liittyviä koottuja tietoja, mukaan lukien palvelujen käyttötiedot. Asiakas tiedostaa, hyväksyy ja suostuu siihen, että SumUp voi käyttää näitä koottuja nimettömiä tietoja palveluidensa analysointiin, parantamiseen ja ylläpitoon sekä yleisesti mihin tahansa kaupalliseen toimintaan tietojenkäsittelysopimuksen voimassaoloaikana, mutta myös sen päätyttyä, markkina-analyysien ja tilastojen tuottamiseen, tuotteidensa ja palveluidensa sekä niiden turvallisuuden parantamiseen alan hyvien käytäntöjen ja/tai suositusten mukaisesti (luettelo ei ole tyhjentävä).

12. Muut sopimusehdot

12.1. Jos tämän tietojenkäsittelysopimuksen ja jonkin SumUpin lisäehtojen ja/tai ehtojen kohdan välillä on ristiriita, tämän tietojenkäsittelysopimuksen ehdot ovat etusijalla.

12.2. Olet vastuussa kaikista kuluista ja kustannuksista, jotka aiheutuvat siitä, että SumUp noudattaa ohjeitasi tai pyyntöjäsi lisäehtojen (mukaan lukien tämä tietojenkäsittelysopimus) mukaisesti tarjotakseen sinulle toimintoja, jotka eivät sisälly SumUpin yleisesti palveluiden kautta tarjoamiin vakiotoimintoihin.

12.3. SumUpilla on oikeus tarvittaessa ajoittain muuttaa ja/tai mukauttaa mitä tahansa tämän tietojenkäsittelysopimuksen ehtoa. Tietojenkäsittelysopimuksen muutoksista tiedotetaan asianmukaisesti, ja SumUp tekee muutokset erillisellä liitteellä tai muulla näkyvällä tavalla, esimerkiksi julkaisemalla tietojenkäsittelysopimuksen päivitetyn version verkkosivuillaan. Tämän tietojenkäsittelysopimuksen yläosassa oleva ”Viimeksi päivitetty” ‑teksti osoittaa, milloin tämä tietojenkäsittelysopimus on viimeksi tarkistettu.

12.4. Kaikki tähän tietojenkäsittelysopimukseen ja henkilötietojen käsittelyyn liittyvät kysymykset tulee lähettää osoitteeseen [email protected]. SumUp pyrkii ratkaisemaan kaikki asiakkaidesi tietojen käyttöä koskevat valitukset tämän tietojenkäsittelysopimuksen, ehtojen ja SumUpin sisäisten käytäntöjen mukaisesti.

12.5. Jos jokin tietojenkäsittelysopimuksen ehdoista katsotaan pätemättömäksi, se ei vaikuta jäljellä oleviin ehtoihin. Osapuolet korvaavat pätemättömän ehdon sellaisella pätevällä ehdolla, joka vastaa pätemättömän ehdon tarkoitusta.

12.6. Tähän tietojenkäsittelysopimukseen sovelletaan samoja lakeja kuin vastaaviin lisäehtoihin, ja sitä tulkitaan samojen lakien mukaisesti kuin vastaavia lisäehtoja.