Tietojenkäsittelysopimus

1. Osapuolet, soveltamisala ja etusija

Asiakas on rekisterinpitäjä ja Vakka AI Oy (Y-tunnus 3621436-9) on henkilötietojen käsittelijä. Sopimusta sovelletaan kaikkeen henkilötietojen käsittelyyn, jota teemme asiakkaan lukuun palvelua tuottaessamme.

Henkilötietojen käsittelyä koskevissa kysymyksissä tämä sopimus menee ristiriitatilanteessa asiakassopimuksen yleisten ehtojen edelle. Käsittelyn kohde, kesto, luonne ja tarkoitus sekä rekisteröityjen ja henkilötietojen ryhmät on kuvattu liitteessä A.

2. Käsittelijän velvollisuudet

• Käsittelemme henkilötietoja vain asiakkaan dokumentoitujen ohjeiden mukaisesti. Asiakassopimus, tämä sopimus ja asiakkaan tekemät asetukset palvelussa muodostavat nämä ohjeet.
• Ilmoitamme asiakkaalle, jos ohje on käsityksemme mukaan lainvastainen, emmekä toteuta sitä ennen kuin asia on selvitetty.
• Emme käsittele asiakkaan henkilötietoja omiin tarkoituksiimme emmekä käytä niitä tekoälymallien kouluttamiseen.
• Henkilötietoihin pääsevät vain ne henkilöt, joiden tehtävä sitä edellyttää. He ovat salassapitovelvollisia.
• Avustamme asiakasta kohtuullisessa laajuudessa rekisteröityjen pyyntöjen käsittelyssä, tietosuojaa koskevissa vaikutustenarvioinneissa ja mahdollisissa ennakkokuulemisissa.

3. Rekisterinpitäjän velvollisuudet

• Asiakas vastaa käsittelyn lainmukaisuudesta, käsittelyperusteesta ja rekisteröityjen informoinnista.
• Asiakas päättää, mitä aineistoa palveluun tallennetaan, ja vastaa siitä, että tallentamiseen on oikeus.
• Asiakas määrittää käyttäjiensä roolit ja käyttöoikeudet, tarkistaa ne säännöllisesti ja poistaa tarpeettomat käyttäjät.
• Asiakas luokittelee arkaluonteiset liitteet palvelun tarjoamilla luokituksilla (luottamuksellinen tai vain arkistointi) ennen niiden tallentamista.

4. Erityiset henkilötietoryhmät

Palvelun vakiopaketeissa (Light ja Pro) tekoälyanalyysi ei kata tietosuoja-asetuksen 9 artiklan mukaisia erityisiä henkilötietoryhmiä eikä 10 artiklan mukaisia rikostuomioita koskevia tietoja, koska näissä paketeissa käytettävän kielimallitoimittajan tietojenkäsittelysopimus ei kata kyseisiä tietoryhmiä.

Tällaista aineistoa voidaan käsitellä palvelussa kahdella tavalla: merkitsemällä liite vain arkistoitavaksi, jolloin sitä ei käsitellä tekoälyllä lainkaan, tai käyttämällä Enterprise-pakettia, jossa tekoälyanalyysin tekee alihankkija, jonka tietojenkäsittelysopimus kattaa myös erityiset henkilötietoryhmät.

Asiakas vastaa aineiston luokittelusta. Tunnistetietojen poistaminen ei muuta tiedon luonnetta erityisenä henkilötietoryhmänä, joten pelkkä luottamuksellinen-merkintä ei riitä perusteeksi tällaisen aineiston tekoälyanalyysille vakiopaketeissa.

5. Tietoturva

Toteutamme tietosuoja-asetuksen 32 artiklan edellyttämät tekniset ja organisatoriset toimenpiteet. Ne on kuvattu liitteessä B. Voimme muuttaa yksittäistä toimenpidettä, kunhan suojan taso ei laske.

6. Alihankkijat

• Asiakas antaa yleisen ennakkohyväksynnän liitteessä C luetelluille alihankkijoille.
• Ilmoitamme uudesta tai vaihtuvasta alihankkijasta vähintään 30 päivää etukäteen asiakkaan ilmoittamaan sähköpostiosoitteeseen ja päivitämme liitteen C.
• Asiakas voi vastustaa muutosta perustellusta tietosuojasyystä 30 päivän kuluessa ilmoituksesta. Jos emme löydä kohtuullista ratkaisua, asiakas voi irtisanoa palvelun siltä osin kuin muutos sitä koskee ilman irtisanomisesta johtuvaa lisämaksua.
• Teemme alihankkijoiden kanssa vastaavat käsittelyä koskevat sopimukset ja vastaamme niiden toiminnasta kuin omastamme.

7. Käyttö- ja muutosloki

Palvelu kirjaa audit-lokiin kirjautumiset, sopimusten luonnit, muutokset ja poistot, liitteiden lisäykset ja lataukset, hyväksyntäpäätökset sekä käyttöoikeuksien myöntämiset ja poistamiset. Lokirivi kertoo, kuka teki mitä ja milloin — se ei sisällä asiakirjojen sisältöä, kenttäarvoja eikä pyyntöjen sisältöä.

Luottamuksellisiksi merkittyjen liitteiden lukeminen kirjataan aina. Jos lokimerkintää ei saada tallennettua, lukeminen estetään.

Lokista toimitetaan ote pyynnöstä. Palvelussa ei tällä hetkellä ole asiakkaan itsepalveluna käytettävää lokinäkymää.

8. Rekisteröityjen oikeudet

Palvelu antaa asiakkaalle mahdollisuuden itse hakea, korjata, viedä ja poistaa aineistoa, joten useimmat rekisteröityjen pyynnöt on mahdollista hoitaa ilman meidän myötävaikutustamme.

Jos asiakas tarvitsee apua, avustamme kohtuullisessa ajassa ja laajuudessa. Jos rekisteröity kääntyy suoraan meidän puoleemme, ohjaamme pyynnön asiakkaalle emmekä vastaa siihen itse ilman asiakkaan ohjetta.

9. Tietoturvaloukkaukset

Ilmoitamme asiakkaalle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä saatuamme siitä tiedon. Ilmoitus sisältää tiedossa olevat tiedot loukkauksen luonteesta, koskettujen tietojen ryhmistä, todennäköisistä seurauksista ja toteutetuista tai ehdotetuista toimenpiteistä.

Avustamme asiakasta valvontaviranomaiselle ja rekisteröidyille tehtävissä ilmoituksissa. Ilmoitus ei sellaisenaan ole myöntö siitä, että loukkaus johtuisi meistä.

10. Auditointi

• Toimitamme pyynnöstä tiedot, jotka ovat tarpeen tämän sopimuksen noudattamisen osoittamiseksi. Ensisijainen tapa on dokumentaatio ja tietoturvakyselyyn vastaaminen.
• Asiakkaalla on lisäksi oikeus auditointiin kerran 12 kuukaudessa, 30 päivän ennakkoilmoituksella, virka-aikana ja salassapitositoumuksen alaisena, siten ettei se häiritse palvelun tuotantoa.
• Asiakas vastaa auditoinnin kustannuksista, ellei auditoinnissa havaita olennaista poikkeamaa tästä sopimuksesta.
• Emme anna suoraa pääsyä tuotantojärjestelmiin, koska ne ovat useiden asiakkaiden yhteiskäytössä ja pääsy vaarantaisi muiden asiakkaiden tiedot.

11. Siirrot EU-/ETA-alueen ulkopuolelle

Henkilötietoja ei siirretä EU-/ETA-alueen ulkopuolelle. Kaikki pysyvä tallennus ja tekoälykäsittely tapahtuu EU-alueella. Jos siirto tulisi tarpeelliseksi, siitä sovitaan asiakkaan kanssa etukäteen ja se toteutetaan komission vakiosopimuslausekkeilla sekä tarvittavilla lisäsuojatoimilla.

12. Aineiston palauttaminen ja poistaminen

• Asiakassopimuksen päätyttyä palautamme asiakkaan aineiston 30 päivän kuluessa koneluettavassa jäsennellyssä muodossa (JSON) sekä alkuperäiset dokumentit alkuperäisessä tiedostomuodossaan.
• Palautuksen jälkeen poistamme aineiston 30 päivän kuluessa, varmuuskopiot mukaan lukien, ja toimitamme pyynnöstä poistotodistuksen.
• Emme poista aineistoa siltä osin kuin lainsäädäntö edellyttää sen säilyttämistä. Tällaiseen aineistoon sovelletaan edelleen tämän sopimuksen velvoitteita.
• Asiakas voi pyytää aineiston poistamista myös sopimuskauden aikana; poisto toteutetaan samassa 30 päivän määräajassa.

13. Vastuu

Vastuu tämän sopimuksen rikkomisesta määräytyy asiakassopimuksen vastuunrajoitusten mukaisesti, ellei pakottavasta lainsäädännöstä muuta johdu.

14. Voimassaolo ja muutokset

Sopimus on voimassa niin kauan kuin käsittelemme henkilötietoja asiakkaan lukuun. Voimme päivittää sopimusta lainsäädännön tai palvelun muuttuessa ilmoittamalla siitä 30 päivää etukäteen; asiakkaan oikeus vastustaa alihankkijamuutosta on kuvattu kohdassa 6.

Liite A — Käsittelyn kuvaus

• Käsittelyn kohde: asiakkaan sopimushallinta-aineiston käsittely palvelun tuottamiseksi.
• Kesto: asiakassopimuksen voimassaoloaika sekä kohdan 12 mukaiset palautus- ja poistoajat.
• Luonne ja tarkoitus: aineiston tallentaminen ja järjestäminen, haku, tekoälyavusteinen tietojen poiminta ja tiivistäminen, tehtävien ja hyväksyntöjen hallinta, sähköposti-ilmoitukset, varmuuskopiointi sekä käyttö- ja muutosloki.
• Rekisteröityjen ryhmät: asiakkaan käyttäjät, asiakkaan sopimuskumppanien yhteyshenkilöt, sopimuksissa nimetyt henkilöt kuten allekirjoittajat ja vastuuhenkilöt sekä yksityishenkilöinä toimivat sopimusosapuolet.
• Henkilötietojen ryhmät: nimi, tehtävä ja organisaatio, yhteystiedot, käyttäjätunniste ja käyttöoikeudet, kirjautumis- ja toimintolokitiedot, sopimusasiakirjojen sisältämät henkilötiedot sekä yksityishenkilöosapuolen henkilötunnus (tallennetaan kokonaisena ja näytetään käyttöliittymässä maskattuna).
• Erityiset henkilötietoryhmät: ks. kohta 4.

Liite B — Tekniset ja organisatoriset turvatoimet

• Salaus: tiedonsiirto TLS-yhteydellä, tallennettu data salattuna levossa. Luottamuksellisiksi merkityt liitteet salataan asiakaskohtaisella avaimella.
• Tunnistautuminen: kaksivaiheinen tunnistautuminen (TOTP) pakollinen kaikille käyttäjille ja ylläpitäjille. Sähköpostiosoite vahvistetaan käyttöönotossa.
• Käyttöoikeudet: roolipohjainen hallinta, jossa oikeudet periytyvät organisaatiorakenteessa ja tarkistetaan jokaisella pyynnöllä yhdessä keskitetyssä kohdassa.
• Asiakaskohtainen eristys: asiakkaan dokumentit tallennetaan asiakaskohtaiseen tallennussäiliöön, ja tietokantakyselyt rajataan asiakastunnisteella.
• Luottamukselliset liitteet: tunnistetiedot poistetaan tekstistä ennen kertaluonteista analyysia, sisältöä ei viedä hakuindeksiin eikä keskustelukontekstiin, tallennus on muuttumattomuussuojattu ja jokainen lukeminen kirjataan lokiin epäonnistumisen estäessä lukemisen.
• Vain arkistoitavat liitteet: ei tekoälykäsittelyä lainkaan.
• Tekoälyvastausten tarkastus: jokainen vastaus tarkastetaan ennen näyttämistä. Henkilötunnukset ja tilinumerot estetään aina; luottamuksellisten sopimusten keskusteluissa estetään lisäksi sähköpostiosoitteet, puhelinnumerot ja yritystunnisteet. Estot kirjataan lokiin.
• Kehoteinjektioiden torjunta: asiakkaan kirjoittamat tekoälyohjeet ja dokumenttien sisältö eristetään teknisesti, ja tekoälyn käytettävissä olevat työkalut rajataan ohjekohtaisella sallittulistalla.
• Käytön hallinta: organisaatiokohtaiset tekoälyn kulukatot ja käyttömäärärajat sekä käyttöloki, josta ilmenevät toimittaja, malli, käyttötarkoitus ja kustannus.
• Lokitus: käyttö- ja muutosloki kohdan 7 mukaisesti, ilman asiakirjojen sisältöä.
• Ylläpito: tuotantoympäristön käyttöoikeus on rajattu nimettyihin ylläpitorooleihin, jotka edellyttävät kaksivaiheista tunnistautumista. Poikkeukselliset toimenpiteet, kuten muuttumattomuussuojatun aineiston poistaminen, vaativat erillisen roolin ja dokumentoidun perusteen.
• Varmuuskopiointi: tietokannalle jatkuva palautuspiste ja dokumenttitallennuksen versiointi.
• Ympäristöjen eriyttäminen: kehitys- ja tuotantoympäristöt on erotettu toisistaan, eikä tuotantodataa käytetä kehityksessä tai testeissä.
• Ohjelmistokehitys: muutokset kulkevat versionhallinnan, katselmoinnin ja automaattisten testien kautta ennen tuotantoon vientiä.
• Haavoittuvuusilmoitukset: tietoturva@vakka.ai, vastaus yhden työpäivän kuluessa.

Liite C — Alihankkijat

Luettelo pidetään ajan tasalla tällä sivulla. Muutoksista ilmoitetaan kohdan 6 mukaisesti.

• Amazon Web Services EMEA SARL (Luxemburg) — pilvi-infrastruktuuri, dokumenttien ja tietokannan tallennus, tunnistautuminen, sähköpostin välitys ja tekstintunnistus. Käsittelyn sijainti: EU (Ruotsi; tekstintunnistus ja upotusvektorien laskenta Saksassa).
• Amazon Web Services EMEA SARL (Luxemburg) — Amazon Bedrock: upotusvektorien laskenta kaikissa paketeissa ja kielimallianalyysi Enterprise-paketissa. Käsittelyn sijainti: EU. Mallien tuottajat eivät saa aineistoa käyttöönsä.
• Mistral AI SAS (Ranska) — kielimallipalvelut Light- ja Pro-paketeissa. Käsittelyn sijainti: EU.
• Paytrail Oyj (Suomi) — maksunvälitys ja korttitietojen tokenointi. Käsittelyn sijainti: Suomi. Ei pääsyä asiakkaan sopimusaineistoon.
• Kaikkien yllä mainittujen kanssa on voimassa tietojenkäsittelysopimus, eikä yksikään käytä asiakkaan aineistoa tekoälymallien kouluttamiseen.