Käsittelysopimus

1. Osapuolet, tarkoitus ja roolijako

1.1Rekisterinpitäjä on palvelun käyttäjä eli vuokranantaja. Hän päättää, kenen tietoja palveluun tallennetaan ja mihin niitä käytetään.

1.2Käsittelijä on Lampin vuokravehkeet Oy (y-tunnus 3304139-4), joka harjoittaa tätä toimintaa aputoiminimellä Asuntohallinto. Aputoiminimi ei ole erillinen oikeushenkilö.

1.3Tämä sopimus on tietosuoja-asetuksen 28 artiklan 3 kohdassa tarkoitettu sopimus. Se on osa käyttöehtoja ja syntyy tilin luomisen yhteydessä.

1.4Roolijako koskee vain kohdassa 2.5 lueteltujen rekisteröityjen ryhmien tietoja. Käyttäjän omista tiedoista – käyttäjätili, istunnot, tietoturvaloki, pääsylokit ja postituslista – Lampin vuokravehkeet Oy on itse rekisterinpitäjä, ja niistä kerrotaan tietosuojaselosteessa. Tämä sopimus ei koske niitä.

1.5Käsittelijä ei määrittele käsittelyn tarkoitusta eikä keinoja rekisterinpitäjän puolesta.

2. Käsittelyn kohde, kesto, luonne ja tarkoitus

2.1Kohde: vuokrasuhteen hoitamiseen liittyvät henkilötiedot, jotka rekisterinpitäjä tallentaa palveluun.

2.2Luonne ja tarkoitus: tietojen tallentaminen ja säilyttäminen, määräaikojen laskenta, asiakirjaluonnosten muodostaminen, tietojen näyttäminen rekisterinpitäjälle ja niiden luovuttaminen takaisin hänelle sekä vuokrakohteen tulojen, menojen, poistokohteiden ja muiden omistajien tietojen näyttäminen sille palvelun käyttäjälle, jolle rekisterinpitäjä on antanut pääsyn kohteeseen. Käsittelijä ei käytä tietoja omiin tarkoituksiinsa.

2.3Kesto: käsittely jatkuu niin kauan kuin käyttäjätili on olemassa, ja päättyy kohdan 10 mukaisesti.

2.4Henkilötietoryhmät: nimi, postiosoite, yhteystiedot ja sovitut sähköiset viestintäkanavat; vuokrasuhteen tiedot, kuten vuokra-aika, vuokra, vakuus, määräajat ja ilmoitusten lähetyspäivät; sekä henkilötunnus silloin, kun rekisterinpitäjä sen tallentaa; sisään- ja ulosmuuttotarkastusten havainnot ja valokuvat; sekä vuokrakohteen muiden omistajien nimet ja omistusosuudet.

2.5Rekisteröityjen ryhmät: vuokralaiset, takaajat, asukkaat sekä vuokrakohteen muut omistajat.

2.6Erityisiä henkilötietoryhmiä (9 artikla) ei käsitellä, eikä palvelussa ole niille kenttää. Alaikäisistä ei tallenneta henkilötietoja lainkaan.

2.7Henkilötunnus on vapaaehtoinen kenttä. Rekisterinpitäjä vastaa siitä, että hänen käsittelyllään on tietosuoja-asetuksen 6 artiklan peruste ja että tietosuojalain 1050/2018 29 §:n edellytys täyttyy. Käsittelijällä ei ole tähän tietoon omaa oikeusperustetta.

3. Käsittely vain rekisterinpitäjän ohjeiden mukaan

Tietosuoja-asetuksen 28 artiklan 3 kohdan a alakohta.

3.1Käsittelijä käsittelee henkilötietoja vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti.

3.2Palvelun toimintojen käyttäminen on ohje: kun rekisterinpitäjä tallentaa, muuttaa tai poistaa tiedon, muodostaa asiakirjan taikka antaa toiselle käyttäjälle pääsyn kohteeseen tai perii sen, hän antaa samalla ohjeen käsitellä tietoa siten. Muut ohjeet annetaan kirjallisesti osoitteeseen info@asuntohallinto.fi.

3.3Jos ohje on käsittelijän näkemyksen mukaan tietosuojasääntelyn vastainen, käsittelijä ilmoittaa siitä rekisterinpitäjälle eikä toteuta ohjetta ennen kuin asia on selvitetty.

3.4Käsittelijä siirtää henkilötietoja kolmanteen maahan tai kansainväliselle järjestölle vain, jos unionin oikeus tai jäsenvaltion lainsäädäntö sitä edellyttää. Tällöin käsittelijä ilmoittaa vaatimuksesta rekisterinpitäjälle ennen käsittelyä, jollei laki kiellä ilmoittamista tärkeän yleisen edun vuoksi. Nykytilassa siirtoja ei tehdä lainkaan.

4. Salassapito

28 artiklan 3 kohdan b alakohta.

4.1Henkilötietoja käsittelevät vain ne henkilöt, joiden on niitä tehtäviensä hoitamiseksi käsiteltävä, ja vain siinä laajuudessa kuin tehtävä edellyttää.

4.2Heitä sitoo salassapitovelvollisuus, joka jatkuu tehtävän ja tämän sopimuksen päättymisen jälkeen.

5. Turvatoimet (32 artikla)

28 artiklan 3 kohdan c alakohta.

5.1Käsittelijä toteuttaa 32 artiklassa tarkoitetut tekniset ja organisatoriset toimenpiteet. Käytössä ovat ainakin seuraavat:

• kohdassa 2.5 tarkoitettujen rekisteröityjen tunnistetiedot sekä henkilötunnus salataan levossa;
• salasanoista tallennetaan vain tiiviste, ja kirjautuminen edellyttää monivaiheista tunnistusta ennen ensimmäisen vuokralaisen tallentamista;
• salausavaimet säilytetään tietokannan ulkopuolella;
• tietokanta ei vastaa palvelimen ulkopuolelle, ja palvelimella on palomuuri, avaimeen perustuva kirjautuminen ja automaattiset tietoturvapäivitykset;
• varmuuskopiot ovat salattuja ja peilataan toiseen sijaintiin EU:n alueella, ja palautus on harjoiteltu;
• henkilötunnus ei päädy lokeihin.

5.2Käsittelijällä ei ole riippumatonta sertifiointia eikä ulkopuolista tietoturva-auditointia.

6. Alikäsittelijät

28 artiklan 3 kohdan d alakohta sekä 2 ja 4 kohta.

6.1Rekisterinpitäjä antaa käsittelijälle yleisen ennakkoluvan käyttää alikäsittelijöitä tämän kohdan mukaisesti.

6.2Alikäsittelijät ovat Hetzner Online GmbH (Saksa; palvelin, varmuuskopioiden säilytys ja sähköpostin välitys) ja Stripe Payments Europe, Ltd. (Irlanti; maksujen välitys). Tiedot ja varmuuskopiot ovat EU:n alueella, eikä tietoja siirretä kolmansiin maihin.

6.3Stripe ei käsittele kohdassa 2.5 tarkoitettujen rekisteröityjen henkilötietoja. Maksutapahtumaan liittyy vain rekisterinpitäjän oma tili, eikä tämän sopimuksen kohteena olevia tietoja välitetä sille.

6.4Käsittelijä ilmoittaa etukäteen, jos alikäsittelijä vaihtuu tai uusi otetaan käyttöön. Rekisterinpitäjä voi vastustaa muutosta; jos muutos on käsittelijälle välttämätön, rekisterinpitäjä voi irtisanoa sopimuksen ja saada tietonsa kohdan 10 mukaisesti.

6.5Käsittelijä asettaa alikäsittelijälle samat velvoitteet kuin sillä itsellään on tämän sopimuksen nojalla, ja vastaa alikäsittelijän työstä kuin omastaan.

6.6Julkisilla sivuilla käytettävät kävijämittauksen ja mainonnan palvelut eivät kuulu tämän sopimuksen piiriin. Ne kuvataan tietosuojaselosteessa.

7. Avustaminen rekisteröidyn oikeuksissa

28 artiklan 3 kohdan e alakohta; 12–22 artikla.

7.1Rekisteröidyn pyyntöön vastaa rekisterinpitäjä. Käsittelijä ei vastaa suoraan rekisteröidylle, ellei rekisterinpitäjä niin ohjeista.

7.2Jos pyyntö saapuu käsittelijälle, se välitetään rekisterinpitäjälle ilman aiheetonta viivytystä, ja käsittelijä kertoo pyynnön esittäjälle, kenelle pyyntö on toimitettu.

7.3Käsittelijä avustaa asianmukaisin teknisin ja organisatorisin toimenpitein siinä, että rekisterinpitäjä voi täyttää velvollisuutensa vastata pyyntöihin, jotka koskevat pääsyä tietoihin, oikaisua, poistoa, käsittelyn rajoittamista, siirtämistä ja vastustamista.

7.4Vuokralaisen informointi (14 artikla) on rekisterinpitäjän velvollisuus.

8. Avustaminen 32–36 artiklan velvoitteissa

28 artiklan 3 kohdan f alakohta.

8.1Käsittelijä avustaa rekisterinpitäjää käsittelyn turvallisuutta, tietoturvaloukkauksia ja vaikutustenarviointia koskevien velvoitteiden noudattamisessa ottaen huomioon käsittelyn luonteen ja ne tiedot, jotka ovat käsittelijän saatavilla.

8.2Tietoturvaloukkauksesta käsittelijä ilmoittaa rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan loukkauksen tietoonsa (33 artiklan 2 kohta). Ilmoitus lähetetään käyttäjätilin sähköpostiosoitteeseen.

8.3Ilmoitus valvontaviranomaiselle 72 tunnin kuluessa on rekisterinpitäjän velvollisuus (33 artiklan 1 kohta), ei käsittelijän. Sama koskee ilmoitusta rekisteröidylle (34 artikla).

8.4Ilmoituksessa kerrotaan se, mitä siinä vaiheessa tiedetään: loukkauksen luonne, sitä koskevat tietoluokat, arvioidut seuraukset ja toteutetut toimenpiteet. Puuttuvat tiedot toimitetaan sitä mukaa kuin ne selviävät.

8.5Käsittelijä toimittaa pyynnöstä kuvauksen käsittelystä ja suojatoimista, jotta rekisterinpitäjä voi tarvittaessa tehdä vaikutustenarvioinnin ja kuulla valvontaviranomaista.

9. Säilytysajat

9.1Säilytysaika on enimmäisaika, ei tavoite. Rekisterinpitäjä voi valita lyhyemmän ajan ja poistaa tiedot aiemmin, ja palvelun on annettava hänen tehdä niin.

9.2Vuokrasuhdetietojen ja henkilötunnuksen säilytysajan ankkuri on sen verovuoden päättyminen, jonka aikana vuokrasuhde päättyi – ei käyttäjätilin voimassaolo. Takaajan tiedot seuraavat saman vuokrasuhteen ankkuria.

9.3Säilytysaika on loppuvuosi ja kuusi täyttä vuotta: vuokrasuhteen päättymisvuosi loppuun, ja sen jälkeen kuusi täyttä kalenterivuotta. Esimerkiksi 15.3.2027 päättynyt vuokrasuhde säilyy vuoden 2033 loppuun.

9.4Yksittäinen vuokrasuhde voi jäädä pidemmäksi aikaa silloin kun perintä, tuomio tai riita on kesken.

9.5Henkilötunnusta ei tyhjennetä automaattisesti asiakirjan laatimisen jälkeen. Rekisterinpitäjä saa poistaa kentän itse.

9.6Käyttäjätilin ja tietoturvalokin säilytysajat kuuluvat Lampin vuokravehkeet Oy:n omaan rekisterinpitäjän rooliin, ja ne kerrotaan tietosuojaselosteessa. Ne eivät ole tämän sopimuksen kohteena.

9.7Palvelu poistaa vuokrasuhdetiedot automaattisesti kohdan 9.3 ajan kuluttua. Poistosta ilmoitetaan rekisterinpitäjän sähköpostiosoitteeseen vähintään 30 päivää ennen, eikä poistoa tehdä ilman ilmoitusta. Rekisterinpitäjä voi merkitä yksittäisen vuokrasuhteen säilytettäväksi pidempään kohdan 9.4 tilanteessa; merkintä edellyttää syyn.

10. Tietojen poisto tai palautus käsittelyn päättyessä

28 artiklan 3 kohdan g alakohta.

10.1Käsittelyn päättyessä rekisterinpitäjä valitsee, palautetaanko henkilötiedot hänelle vai poistetaanko ne. Valinta tehdään ennen tilin sulkemista tai poistoa.

10.2Palautus tapahtuu yleisesti käytetyssä koneluettavassa muodossa.

10.3Poisto tuotantotietokannasta on välitön. Varmuuskopioista tieto poistuu varmistuskierron mukana, noin neljässä viikossa, ja tilannevedoksista niiden oman kierron mukana. Rekisteröidylle annettava lupaus on näistä pidempi.

10.4Täydennettävä ennen julkaisua: tilannevedosten säilytysaika ja siitä johdettu enimmäisaika, jonka kuluessa tieto katoaa myös varmistuksista. Lukua ei kirjata tähän arvaamalla.

10.5Käsittelijä ei säilytä kopioita palautuksen tai poiston jälkeen, ellei unionin oikeus tai jäsenvaltion lainsäädäntö edellytä säilyttämistä. Jos edellyttää, käsittelijä kertoo mistä aineistosta ja mihin asti on kyse.

10.6Jos käyttäjätili poistetaan sen säilytysajan päätyttyä, poistosta ilmoitetaan käyttäjätilin sähköpostiosoitteeseen vähintään 30 päivää ennen. Rekisterinpitäjä tekee kohdan 10.1 valinnan ilmoitusajan kuluessa; tiedot, joita ei ole sinä aikana palautettu hänelle, poistetaan tilin mukana.

11. Auditointi ja tarkastukset

28 artiklan 3 kohdan h alakohta.

11.1Käsittelijä saattaa rekisterinpitäjän pyynnöstä hänen saatavilleen kaikki tiedot, jotka ovat tarpeen 28 artiklan velvoitteiden noudattamisen osoittamiseksi.

11.2Rekisterinpitäjä voi tehdä tarkastuksen tai teettää sen valtuuttamallaan riippumattomalla tarkastajalla. Tarkastuksesta sovitaan etukäteen kohtuullisessa ajassa, ja se tehdään siten, ettei se vaaranna muiden rekisterinpitäjien tietojen suojaa eikä palvelun toimintaa.

11.3Kohdan 11.1 mukaiset tiedot, selvitykset ja itsearvioinnit käsittelijä toimittaa maksutta. Kohdan 11.2 mukaisesta tarkastuksesta vastaa kustannuksineen rekisterinpitäjä.

11.4Jos tarkastuksessa havaitaan käsittelijän olennainen laiminlyönti tässä sopimuksessa tai tietosuoja-asetuksessa asetetuissa velvoitteissa, käsittelijä vastaa tarkastuksen kohtuullisista kustannuksista.

11.5Käsittelijä osallistuu tarkastukseen ja avustaa siinä. Jos tarkastuksessa havaitaan puute, käsittelijä korjaa sen ja kertoo rekisterinpitäjälle, mitä on tehty.

12. Voimassaolo, versiointi ja ristiriidat

12.1Sopimus on voimassa niin kauan kuin käyttäjätili on olemassa ja käsittelijä käsittelee henkilötietoja rekisterinpitäjän lukuun.

12.2Tämän luonnoksen versio on 1.1.0. Tilin luomisen yhteydessä tallennetaan se versio, jonka rekisterinpitäjä hyväksyi. Aiemmat versiot säilytetään, ja rekisterinpitäjä saa hyväksymänsä version pyynnöstä osoitteesta info@asuntohallinto.fi.

12.3Olennaisista muutoksista ilmoitetaan käyttäjätilin sähköpostiosoitteeseen ennen niiden voimaantuloa, ja uusi versio hyväksytään erikseen.

12.4Jos tämä sopimus ja käyttöehdot ovat ristiriidassa, tämä sopimus on ensisijainen siltä osin kuin kyse on kohdassa 2.5 tarkoitettujen rekisteröityjen henkilötietojen käsittelystä.

12.5Sopimukseen sovelletaan Suomen lakia. Riidanratkaisusta määrätään käyttöehtojen kohdassa 11.

13. Yhteydenotot

13.1Tähän sopimukseen liittyvät ilmoitukset, ohjeet ja pyynnöt lähetetään osoitteeseen info@asuntohallinto.fi. Käsittelijän ilmoitukset lähetetään käyttäjätilin sähköpostiosoitteeseen.

13.2Lampin vuokravehkeet Oy (y-tunnus 3304139-4), aputoiminimi Asuntohallinto. Muut yhteystiedot: yhteystietosivu.