Henkilötietojen käsittelysopimus

Voimassa alkaen: 3.10.2026
Viimeksi päivitetty: 10.10.2026

Data Processing Addendum (DPA)

Tämä henkilötietojen käsittelysopimus ("Sopimus") on osa Runko Ratkaisujen ja sen asiakkaan välistä palvelusopimusta silloin, kun Runko Ratkaisut käsittelee henkilötietoja asiakkaan puolesta ja asiakkaan dokumentoitujen ohjeiden mukaisesti.

Tämän sopimuksen tarkoituksena on määrittää osapuolten henkilötietojen käsittelyyn liittyvät oikeudet ja velvollisuudet EU:n yleisen tietosuoja-asetuksen (EU) 2016/679 ("GDPR") mukaisesti.

1. Osapuolet

Rekisterinpitäjä

Asiakas:
[ASIAKKAAN NIMI / YRITYKSEN NIMI]

Y-tunnus:
[ASIAKKAAN Y-TUNNUS]

Yhteystiedot:
[ASIAKKAAN YHTEYSTIEDOT]

Jäljempänä "Rekisterinpitäjä".

Henkilötietojen käsittelijä

Runko Ratkaisut
Y-tunnus: 3659810-4
Juontotie 3, 70150 Kuopio
[email protected]
runkoratkaisut.fi

Jäljempänä "Käsittelijä".

Rekisterinpitäjä ja Käsittelijä yhdessä "Osapuolet".

2. Roolit

Rekisterinpitäjä määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot sekä vastaa siitä, että henkilötietojen käsittelylle on lainmukainen peruste.

Runko Ratkaisut toimii tässä sopimuksessa tarkoitettujen henkilötietojen käsittelijänä silloin, kun se käsittelee henkilötietoja Rekisterinpitäjän puolesta.

Käsittelijä käsittelee henkilötietoja ainoastaan Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, ellei Euroopan unionin tai Suomen lainsäädäntö edellytä muuta käsittelyä. GDPR:n 28 artikla edellyttää, että käsittelijän ja rekisterinpitäjän välinen käsittely määritellään sopimuksella tai muulla sitovalla oikeudellisella asiakirjalla.

3. Käsittelyn kohde ja tarkoitus

Käsittelijä käsittelee henkilötietoja siltä osin kuin se on tarpeellista Rekisterinpitäjän tilaamien palveluiden toteuttamiseksi.

Palveluihin voivat kuulua esimerkiksi:

• verkkosivuston suunnittelu ja ylläpito
• yhteydenottolomakkeiden tekninen toteutus
• liidien ja yhteydenottojen käsittely
• CRM-järjestelmän tekninen ylläpito
• ajanvarausjärjestelmän tekninen toteutus
• markkinoinnin automaatioiden tekninen toteutus
• verkkosivuston ylläpito ja hosting
• tekninen asiakastuki
• tietojen siirtäminen ja synkronointi sovittujen palveluiden välillä.

Käsittelijä ei saa käyttää Rekisterinpitäjän henkilötietoja omiin itsenäisiin tarkoituksiinsa, ellei sillä ole siihen erillistä lainmukaista perustetta.

4. Käsiteltävät henkilötiedot

Käsiteltävien henkilötietojen tyyppi riippuu Rekisterinpitäjän käyttämistä palveluista ja verkkosivuston toiminnallisuuksista.

Henkilötietoja voivat olla esimerkiksi:

• nimi
• sähköpostiosoite
• puhelinnumero
• yrityksen nimi
• yhteydenottoviestin sisältö
• ajanvaraustiedot
• asiakassuhteeseen liittyvät tiedot
• verkkosivuston kautta annetut muut tiedot
• IP-osoite ja tekniset tunnistetiedot silloin, kun niiden käsittely kuuluu sovittuun palveluun.

Käsittelijä ei lähtökohtaisesti käsittele erityisiin henkilötietoryhmiin kuuluvia tietoja, ellei tällaisesta käsittelystä ole erikseen sovittu ja sen lainmukaisuutta ole arvioitu.

Rekisterinpitäjän vastuulla on olla keräämättä verkkosivuston kautta sellaisia henkilötietoja, joita palvelun tarjoaminen ei edellytä.

5. Rekisteröityjen ryhmät

Käsiteltävien henkilötietojen rekisteröityjä voivat olla esimerkiksi:

• Rekisterinpitäjän nykyiset asiakkaat
• potentiaaliset asiakkaat
• verkkosivuston yhteydenottolomakkeen täyttäneet henkilöt
• ajanvarauksen tehneet henkilöt
• Rekisterinpitäjän työntekijät tai muut yhteyshenkilöt
• muut henkilöt, joiden tietoja Rekisterinpitäjä toimittaa Käsittelijän käsiteltäväksi.

6. Rekisterinpitäjän ohjeet

Käsittelijä käsittelee henkilötietoja ainoastaan Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti.

Rekisterinpitäjä vastaa siitä, että Käsittelijälle annetut käsittelyohjeet ovat lainmukaisia ja että henkilötietojen käsittelylle on sovellettavan tietosuojalainsäädännön mukainen käsittelyperuste.

Jos Käsittelijä katsoo, että Rekisterinpitäjän antama ohje rikkoo GDPR:ää tai muuta sovellettavaa tietosuojalainsäädäntöä, Käsittelijä ilmoittaa tästä Rekisterinpitäjälle ilman aiheetonta viivytystä.

7. Salassapito

Käsittelijä varmistaa, että henkilötietojen käsittelyyn oikeutetut henkilöt ovat sitoutuneet asianmukaiseen salassapitovelvollisuuteen tai heitä koskee lakisääteinen salassapitovelvollisuus.

Henkilötietoja ei saa käyttää tai luovuttaa muihin kuin sovittuihin tarkoituksiin.

8. Tietoturva

Käsittelijä toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi.

Toimenpiteisiin voivat kuulua esimerkiksi:

• käyttöoikeuksien rajoittaminen
• vahvat tunnistautumismenetelmät
• suojatut yhteydet
• tietojen salaus silloin, kun se on asianmukaista
• tarpeettomien käyttöoikeuksien poistaminen
• palveluntarjoajien tietoturvan arviointi
• järjestelmien päivittäminen
• henkilötietojen käsittelyn tarpeettoman levittämisen estäminen
• tietoturvaloukkausten käsittelyyn liittyvät menettelyt.

Tietoturvatoimenpiteiden tulee olla suhteutettuja käsittelyn riskeihin, henkilötietojen luonteeseen ja käytettäviin teknologioihin.

9. Alikäsittelijät

Rekisterinpitäjä antaa Käsittelijälle yleisen luvan käyttää asianmukaisia alikäsittelijöitä henkilötietojen käsittelyssä.

Käsittelijä käyttää vain sellaisia alikäsittelijöitä, joiden avulla voidaan toteuttaa GDPR:n edellyttämät asianmukaiset tekniset ja organisatoriset suojatoimet.

Käsittelijä vastaa siitä, että alikäsittelijälle asetetaan henkilötietojen suojaa koskevat velvoitteet, jotka vastaavat tässä sopimuksessa asetettuja velvoitteita soveltuvin osin.

Jos alikäsittelijä ei täytä tietosuojaa koskevia velvoitteitaan, Käsittelijä vastaa Rekisterinpitäjälle alikäsittelijän velvoitteiden täyttämisestä GDPR:n edellyttämällä tavalla.

Käytettävät alikäsittelijät

Projektissa käytettävät alikäsittelijät ilmoitetaan tarvittaessa erillisessä alikäsittelijäluettelossa.

Esimerkkejä palveluista, joita voidaan käyttää asiakkaan projektissa:

Tärkeää: tähän luetteloon lisätään vain sellaiset palveluntarjoajat, joita kyseisessä asiakasprojektissa tosiasiallisesti käytetään.

Jos alikäsittelijöitä lisätään tai vaihdetaan, Käsittelijä ilmoittaa muutoksesta Rekisterinpitäjälle kohtuullisella tavalla ja antaa Rekisterinpitäjälle sovellettavan lainsäädännön edellyttämän mahdollisuuden vastustaa muutosta. GDPR mahdollistaa yleisen kirjallisen luvan alikäsittelijöiden käyttöön, mutta edellyttää, että rekisterinpitäjälle ilmoitetaan suunnitelluista muutoksista ja annetaan mahdollisuus vastustaa niitä.

10. Rekisteröityjen oikeuksien toteuttaminen

Käsittelijä avustaa Rekisterinpitäjää mahdollisuuksien mukaan teknisillä ja organisatorisilla toimenpiteillä, jotta Rekisterinpitäjä voi täyttää velvollisuutensa rekisteröityjen oikeuksia koskeviin pyyntöihin vastaamisessa.

Tällaisia oikeuksia voivat olla esimerkiksi:

• tarkastusoikeus
• oikeus tietojen oikaisemiseen
• oikeus tietojen poistamiseen
• oikeus käsittelyn rajoittamiseen
• vastustamisoikeus
• oikeus tietojen siirrettävyyteen.

Jos rekisteröity ottaa suoraan yhteyttä Käsittelijään pyynnöllä, joka koskee Rekisterinpitäjän vastuulla olevia henkilötietoja, Käsittelijä ohjaa pyynnön mahdollisuuksien mukaan Rekisterinpitäjälle ja ilmoittaa siitä Rekisterinpitäjälle ilman aiheetonta viivytystä.

11. Tietoturvaloukkaukset

Jos Käsittelijä havaitsee henkilötietojen käsittelyyn liittyvän tietoturvaloukkauksen, Käsittelijä ilmoittaa siitä Rekisterinpitäjälle ilman aiheetonta viivytystä.

Ilmoituksessa annetaan mahdollisuuksien mukaan tiedot:

• tietoturvaloukkauksen luonteesta
• kyseessä olevista henkilötiedoista
• mahdollisesti kosketetuista rekisteröidyistä
• loukkauksen todennäköisistä vaikutuksista
• toteutetuista tai suunnitelluista korjaavista toimenpiteistä.

Käsittelijä avustaa Rekisterinpitäjää soveltuvin osin tietoturvaloukkaukseen liittyvien lakisääteisten velvollisuuksien täyttämisessä.

12. Tietojen poistaminen tai palauttaminen

Palvelusopimuksen päättyessä Käsittelijä poistaa tai palauttaa Rekisterinpitäjän henkilötiedot Rekisterinpitäjän valinnan mukaan, ellei sovellettava lainsäädäntö edellytä tietojen säilyttämistä.

Jos henkilötietojen säilyttämistä edellytetään laissa, tietoja säilytetään vain kyseisen lakisääteisen velvoitteen edellyttämän ajan ja niitä käsitellään edelleen tämän sopimuksen tietosuojavelvoitteiden mukaisesti.

13. Kansainväliset tiedonsiirrot

Henkilötietoja voidaan käsitellä Euroopan unionin tai Euroopan talousalueen ulkopuolella, jos käytetyn palveluntarjoajan infrastruktuuri tai palvelun toteutus sitä edellyttää.

Jos henkilötietoja siirretään kolmanteen maahan tai kansainväliselle järjestölle, siirrossa noudatetaan GDPR:n V luvun mukaisia vaatimuksia.

Tarvittaessa käytetään Euroopan komission hyväksymiä vakiolausekkeita tai muuta GDPR:n mukaista siirtomekanismia.

14. Avustaminen tietosuojavelvoitteissa

Käsittelijä avustaa Rekisterinpitäjää kohtuullisessa laajuudessa tämän sopimuksen mukaisen käsittelyn osalta, jotta Rekisterinpitäjä voi täyttää GDPR:n mukaiset velvollisuutensa.

Tämä voi koskea esimerkiksi:

• rekisteröityjen oikeuksien toteuttamista
• tietoturvaloukkauksia
• tietoturvatoimenpiteitä
• tietosuojaa koskevia selvityksiä
• vaikutustenarviointiin liittyvää avustamista silloin, kun se on käsittelyn luonne huomioon ottaen tarpeellista.

15. Tarkastukset ja osoitusvelvollisuus

Käsittelijä antaa Rekisterinpitäjälle kohtuudella tarvittavat tiedot, jotta Rekisterinpitäjä voi arvioida Käsittelijän tämän sopimuksen ja GDPR:n mukaista toimintaa.

Käsittelijä avustaa sovellettavan lainsäädännön edellyttämällä tavalla tarkastuksissa ja muissa kohtuullisissa vaatimuksissa, jotka liittyvät tämän sopimuksen mukaiseen henkilötietojen käsittelyyn.

Tarkastukset toteutetaan tavalla, joka ei vaaranna muiden asiakkaiden tietojen luottamuksellisuutta, palveluiden turvallisuutta tai Käsittelijän muiden asiakkaiden oikeuksia.

16. Käsittelyn kesto

Henkilötietojen käsittelyn kesto määräytyy osapuolten välisen palvelusopimuksen ja tämän DPA:n perusteella.

Käsittely alkaa, kun Käsittelijä saa henkilötietoja käsiteltäväkseen, ja jatkuu niin kauan kuin se on tarpeellista sovittujen palveluiden toteuttamiseksi, ellei muuta ole kirjallisesti sovittu tai laki edellytä muuta.

17. Vastuunjako

Rekisterinpitäjä vastaa erityisesti:

• käsittelyn lainmukaisesta perusteesta
• henkilötietojen keräämisen lainmukaisuudesta
• rekisteröityjen informoinnista
• siitä, että Käsittelijälle annetut ohjeet ovat lainmukaisia
• siitä, että käsiteltävät henkilötiedot ovat käsittelyn tarkoitukseen nähden tarpeellisia.

Käsittelijä vastaa puolestaan tässä sopimuksessa määritellyistä käsittelijän velvollisuuksista ja käsittelee henkilötietoja Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti.

18. Etusijajärjestys

Jos tämän DPA:n ja osapuolten muun palvelusopimuksen välillä on ristiriita henkilötietojen käsittelyä koskevassa asiassa, tätä DPA:ta sovelletaan kyseiseen henkilötietojen käsittelyyn siltä osin kuin se on tarpeen GDPR:n vaatimusten täyttämiseksi.

19. Sovellettava lainsäädäntö

Tähän henkilötietojen käsittelyyn sovelletaan ensisijaisesti sovellettavaa Euroopan unionin tietosuojalainsäädäntöä, mukaan lukien EU:n yleinen tietosuoja-asetus (EU) 2016/679, sekä soveltuvaa Suomen lainsäädäntöä.

20. Yhteystiedot

Tietosuojaan tai tähän henkilötietojen käsittelysopimukseen liittyvissä kysymyksissä voit olla yhteydessä:

Runko Ratkaisut
Y-tunnus: 3659810-4
Juontotie 3, 70150 Kuopio
[email protected]
runkoratkaisut.fi

Liite 1 – Käsittelyn kuvaus

Käsittelyn kohde:
Rekisterinpitäjän verkkosivuston, yhteydenottolomakkeiden, ajanvarausten, CRM:n ja muiden sovittujen digitaalisten palveluiden tekninen toteutus ja ylläpito.

Käsittelyn tarkoitus:
Palveluiden toimittaminen Rekisterinpitäjälle ja Rekisterinpitäjän asiakkaiden, potentiaalisten asiakkaiden ja muiden käyttäjien yhteydenottojen käsittelyn tekninen mahdollistaminen.

Henkilötietotyypit:
Nimi, sähköpostiosoite, puhelinnumero, yrityksen nimi, yhteydenottojen sisältö, ajanvaraustiedot sekä muut Rekisterinpitäjän palveluihin liittyvät tiedot.

Rekisteröityjen ryhmät:
Rekisterinpitäjän asiakkaat, potentiaaliset asiakkaat, verkkosivuston käyttäjät, yhteydenottajat ja ajanvarauksen tehneet henkilöt.

Käsittelyn kesto:
Palvelusopimuksen voimassaolon ajan sekä sen jälkeen vain siinä laajuudessa kuin tietojen säilyttäminen on tarpeen lakisääteisen velvoitteen tai muun sovellettavan lain perusteella.