Uni Direct Limited Tietosuojastandardi

Uni Direct Limited Tietosuojastandardi

1. Tulkinta

• • Määritelmät:

• Automatisoitu päätöksenteko (ADM): kun tehdään päätös, joka perustuu yksinomaan automatisoituun käsittelyyn (mukaan lukien profilointi), jolla on oikeusvaikutuksia tai joka vaikuttaa merkittävästi yksilöön. Tietosuoja-asetus kieltää automatisoidun päätöksenteon (elleivät tietyt edellytykset täyty) mutta ei automatisoitua käsittelyä.
• Automaattinen käsittely: kaikenlainen henkilötietojen automaattinen käsittely, jossa henkilötietoja käytetään tiettyjen yksilöön liittyvien henkilökohtaisten näkökohtien arvioimiseen, erityisesti yksilön työsuoritukseen, taloudelliseen tilanteeseen, terveyteen, henkilökohtaisiin mieltymyksiin, kiinnostuksen kohteisiin, luotettavuuteen, käyttäytymiseen, sijaintiin tai liikkumiseen liittyvien näkökohtien analysoimiseksi tai ennustamiseksi. Profilointi on esimerkki automatisoidusta käsittelystä.
• Yrityksen nimi: Uni Direct Limited
• Yrityksen henkilöstö: kaikki työntekijät, toimihenkilöt [urakoitsijat, vuokratyöntekijät, konsultit,] johtajat, jäsenet ja muut.
• Suostumus: suostumus, jonka on oltava vapaaehtoinen, täsmällinen, tietoinen ja yksiselitteinen osoitus rekisteröidyn tahdosta, jolla hän lausumalla tai selkeällä positiivisella toiminnalla ilmaisee suostumuksensa häntä koskevien henkilötietojen käsittelyyn.
• Rekisterinpitäjä: henkilö tai organisaatio, joka päättää, milloin, miksi ja miten henkilötietoja käsitellään. Se on vastuussa GDPR:n mukaisten käytäntöjen ja toimintatapojen laatimisesta. Me olemme rekisterinpitäjä kaikille yrityksen henkilöstöön liittyville henkilötiedoille ja henkilötiedoille, joita käytetään liiketoiminnassamme omiin kaupallisiin tarkoituksiimme.
• Rekisteröity: elävä, tunnistettu tai tunnistettavissa oleva henkilö, josta meillä on henkilötietoja. Rekisteröidyt voivat olla minkä tahansa maan kansalaisia tai asukkaita, ja heillä voi olla laillisia oikeuksia henkilötietoihinsa.
• Tietosuojaan kohdistuvien vaikutusten arviointi (DPIA): välineet ja arvioinnit, joita käytetään tietojenkäsittelyyn liittyvien riskien tunnistamiseen ja vähentämiseen. DPIA voidaan suorittaa osana Privacy by Design -hanketta, ja se olisi suoritettava kaikille merkittäville järjestelmä- tai liiketoimintamuutosohjelmille, joihin liittyy henkilötietojen käsittelyä.
• Tietosuojavastaava (DPO): henkilö, joka on nimitettävä tietosuoja-asetuksen mukaisissa erityistilanteissa. Jos pakollista tietosuojavastaavaa ei ole nimitetty, tämä termi tarkoittaa tietosuojavastaavaa tai muuta vapaaehtoista tietosuojavastaavan nimittämistä tai viittaa yrityksen tietosuojatiimiin, joka vastaa tietosuojan noudattamisesta.
• ETA: 28 EU-maata sekä Islanti, Liechtenstein ja Norja.
• Selkeä suostumus: suostumus, joka edellyttää hyvin selkeää ja täsmällistä ilmoitusta (ei siis pelkkää toimintaa).
• Yleinen tietosuoja-asetus (GDPR): yleinen tietosuoja-asetus((EU) 2016/679). Henkilötietoihin sovelletaan yleisen tietosuoja-asetuksen mukaisia oikeudellisia suojatoimia.
• Henkilötiedot: kaikki rekisteröidyn yksilöivät tiedot tai rekisteröityyn liittyvät tiedot, jotka voimme tunnistaa (suoraan tai epäsuorasti) kyseisistä tiedoista yksin tai yhdistettynä muihin hallussamme oleviin tai kohtuullisesti käytettävissämme oleviin tunnistetietoihin. Henkilötietoihin sisältyvät arkaluonteiset henkilötiedot ja pseudonymisoidut henkilötiedot, mutta niihin eivät kuulu anonyymit tiedot tai tiedot, joista on pysyvästi poistettu yksilön henkilöllisyys. Henkilötiedot voivat olla faktatietoja (esimerkiksi nimi, sähköpostiosoite, sijainti tai syntymäaika) tai mielipiteitä kyseisen henkilön toimista tai käyttäytymisestä.
• Henkilötietojen tietoturvaloukkaus: mikä tahansa teko tai laiminlyönti, joka vaarantaa henkilötietojen turvallisuuden, luottamuksellisuuden, eheyden tai saatavuuden tai fyysiset, tekniset, hallinnolliset tai organisatoriset suojatoimet, jotka me tai kolmannen osapuolen palveluntarjoajamme olemme ottaneet käyttöön niiden suojaamiseksi. Henkilötietojen katoaminen tai luvaton pääsy, luovuttaminen tai hankkiminen on henkilötietojen tietoturvaloukkaus.
• Suunnitelmallinen tietosuoja: asianmukaisten teknisten ja organisatoristen toimenpiteiden toteuttaminen tehokkaasti GDPR:n noudattamisen varmistamiseksi.
• Tietosuojailmoitukset (kutsutaan myös oikeudenmukaista käsittelyä koskeviksi ilmoituksiksi) tai tietosuojakäytännöt: erilliset ilmoitukset, joissa esitetään tietoja, joita voidaan antaa rekisteröidyille, kun yritys kerää tietoja heistä. Nämä ilmoitukset voivat olla yleisiä tietosuojalausuntoja, joita sovelletaan tiettyyn henkilöryhmään (esimerkiksi työntekijöiden tietosuojalausunnot tai verkkosivuston tietosuojakäytäntö), tai ne voivat olla erillisiä, kertaluonteisia tietosuojalausuntoja, jotka kattavat tiettyyn tarkoitukseen liittyvän käsittelyn.
• Käsittelyllä tai prosessilla tarkoitetaan kaikkea toimintaa, johon liittyy henkilötietojen käyttöä. Siihen sisältyy tietojen hankkiminen, tallentaminen tai säilyttäminen tai tietojen käsittely tai käsittelytoimien suorittaminen, mukaan lukien tietojen järjestäminen, muuttaminen, hakeminen, käyttäminen, luovuttaminen, poistaminen tai tuhoaminen. Käsittelyyn kuuluu myös henkilötietojen välittäminen tai siirtäminen kolmansille osapuolille.
• Pseudonymisointi tai pseudonymisointi: yksilön suoraan tai välillisesti yksilöivien tietojen korvaaminen yhdellä tai useammalla keinotekoisella tunnisteella tai pseudonyymillä siten, että henkilöä, jota tiedot koskevat, ei voida tunnistaa ilman erillään ja turvallisesti säilytettävien lisätietojen käyttöä.
• Liittyvät käytännöt: Yhtiön käytännöt, toimintamenettelyt tai prosessit, jotka liittyvät tähän tietosuojastandardiin ja joiden tarkoituksena on suojata henkilötietoja, jotka voivat olla voimassa ajoittain ja jotka ovat saatavilla pyydettäessä.
• Arkaluonteiset henkilötiedot: tiedot, joista ilmenee rotu tai etninen alkuperä, poliittiset mielipiteet, uskonnollinen tai vastaava vakaumus, ammattiyhdistyksen jäsenyys, fyysinen tai psyykkinen terveydentila, sukupuolielämä, sukupuolinen suuntautuminen, biometriset tai geneettiset tiedot sekä rikoksiin ja tuomioihin liittyvät henkilötiedot.

2. Johdanto

Tässä tietosuojastandardissa esitetään, miten Uni Direct Limited (”me”, ”meidän”, ”meitä”, ”yritys”) käsittelee asiakkaidemme, toimittajiemme, työntekijöidemme, toimihenkilöidemme ja muiden kolmansien osapuolten henkilötietoja.

Tätä tietosuojastandardia sovelletaan kaikkiin käsittelemiimme henkilötietoihin riippumatta siitä, mihin tietovälineeseen tiedot on tallennettu tai liittyvätkö ne aiempiin tai nykyisiin työntekijöihin, toimihenkilöihin, asiakkaisiin, asiakkaisiin tai tavarantoimittajiin, osakkeenomistajiin, verkkosivujen käyttäjiin tai muihin rekisteröityihin.

Tätä tietosuojastandardia sovelletaan kaikkiin yhtiön työntekijöihin (”sinä”, ”sinun”). Sinun on luettava, ymmärrettävä ja noudatettava tätä tietosuojastandardia käsitellessäsi henkilötietoja puolestamme ja osallistuessasi sen vaatimuksia koskevaan koulutukseen. Tässä tietosuojalausekkeessa esitetään, mitä odotamme sinulta, jotta Yhtiö voi noudattaa sovellettavaa lainsäädäntöä. Tämän tietosuojastandardin noudattaminen on pakollista. Aiheeseen liittyvät käytännöt auttavat sinua tulkitsemaan ja toimimaan tämän tietosuojastandardin mukaisesti. Sinun on myös noudatettava kaikkia tällaisia liittyviä käytäntöjä. Tämän tietosuojastandardin rikkominen voi johtaa kurinpitotoimiin.

Tämä tietosuojastandardi (ja siihen liittyvät käytännöt) on sisäinen asiakirja, eikä sitä voida jakaa kolmansille osapuolille, asiakkaille tai sääntelyviranomaisille ilman tietosuojavastaavan ennakkolupaa.

3. Soveltamisala

Tunnustamme, että henkilötietojen asianmukainen ja laillinen käsittely ylläpitää luottamusta organisaatioon ja mahdollistaa menestyksekkään liiketoiminnan. Henkilötietojen luottamuksellisuuden ja eheyden suojaaminen on kriittinen vastuu, johon suhtaudumme aina vakavasti. Yhtiö voi saada jopa 20 miljoonan euron (noin 18 miljoonan punnan) sakot tai 4 prosenttia maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta (riippuen siitä, kumpi on korkeampi), jos se ei noudata tietosuoja-asetuksen säännöksiä.

Kaikki johtajat ja päälliköt ovat vastuussa sen varmistamisesta, että kaikki yhtiön työntekijät noudattavat tätä tietosuojastandardia, ja heidän on otettava käyttöön asianmukaiset käytännöt, prosessit, valvonta ja koulutus, joilla varmistetaan tämän noudattaminen.

Tietosuojavastaava vastaa tämän tietosuojastandardin valvonnasta ja tarvittaessa siihen liittyvien käytäntöjen kehittämisestä.

Ota yhteyttä tietosuojavastaavaan, jos sinulla on kysyttävää tämän tietosuojastandardin tai yleisen tietosuoja-asetuksen toiminnasta tai jos olet huolissasi siitä, että tätä tietosuojastandardia ei noudateta tai ei ole noudatettu. Erityisesti sinun on aina otettava yhteyttä tietosuojavastaavaan seuraavissa tilanteissa:

• jos et ole varma siitä, mihin lailliseen perusteeseen henkilötietojen käsittely perustuu (mukaan lukien yhtiön käyttämät oikeutetut edut) (katso kohta 5.1 jäljempänä);
• jos sinun on luotettava suostumukseen ja/tai sinun on kerättävä nimenomainen suostumus (ks. kohta 5.2 jäljempänä);
• jos sinun on laadittava tietosuojailmoituksia tai oikeudenmukaista käsittelyä koskevia ilmoituksia (ks. kohta 5.3 jäljempänä);
• jos olet epävarma käsiteltävien henkilötietojen säilytysajasta (ks. kohta 9 jäljempänä);
• jos olet epävarma siitä, mitä tietoturva- tai muita toimenpiteitä sinun on toteutettava henkilötietojen suojaamiseksi (ks. kohta 10.1 jäljempänä);
• jos on tapahtunut henkilötietojen tietoturvaloukkaus(kohta 10.2 jäljempänä);
• jos olet epävarma siitä, millä perusteella henkilötiedot voidaan siirtää ETA:n ulkopuolelle (ks. kohta 11 jäljempänä);
• jos tarvitset apua rekisteröidyn esittämien oikeuksien käsittelyssä (ks. kohta 12);
• aina, kun olet aloittamassa uutta merkittävää käsittelytoimintaa tai muuttamassa sitä, joka todennäköisesti edellyttää DPIA:n tekemistä (ks. kohta 13.4 jäljempänä), tai kun aiot käyttää henkilötietoja muuhun kuin siihen tarkoitukseen, johon ne on kerätty;
• Jos aiot toteuttaa toimintoja, joihin liittyy automaattista käsittelyä, mukaan lukien profilointi tai automatisoitu päätöksenteko (ks. kohta 13.5 jäljempänä);
• Jos tarvitset apua sovellettavan lainsäädännön noudattamisessa suoramarkkinointitoimia suorittaessasi (katso kohta 13.6 jäljempänä); tai
• jos tarvitset apua sopimuksissa tai muissa asioissa, jotka liittyvät henkilötietojen jakamiseen kolmansien osapuolten (mukaan lukien myyjämme) kanssa (katso kohta 13.7 jäljempänä).

4. Henkilötietojen suojan periaatteet

Noudatamme tietosuoja-asetuksessa vahvistettuja henkilötietojen käsittelyä koskevia periaatteita, joiden mukaan henkilötietojen on oltava:

• käsitellään laillisesti, oikeudenmukaisesti ja avoimesti (laillisuus, oikeudenmukaisuus ja avoimuus).
• Kerätään vain määriteltyjä, nimenomaisia ja laillisia tarkoituksia varten (tarkoituksen rajoittaminen).
• riittävät, asianmukaiset ja rajoitetut siihen, mikä on tarpeen niiden tarkoitusten kannalta, joita varten tietoja käsitellään (tietojen minimointi).
• Tarkat ja tarvittaessa ajan tasalla olevat tiedot (tarkkuus).
• Tietoja ei säilytetä muodossa, joka mahdollistaa rekisteröidyn tunnistamisen pidempään kuin on tarpeen niiden tarkoitusten kannalta, joita varten tietoja käsitellään (tallennuksen rajoittaminen).
• käsitellään tavalla, jolla varmistetaan tietojen turvallisuus käyttäen asianmukaisia teknisiä ja organisatorisia toimenpiteitä, joilla suojataan luvattomalta tai laittomalta käsittelyltä ja vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta (turvallisuus, eheys ja luottamuksellisuus).
• Ei siirretä toiseen maahan ilman asianmukaisia suojatoimia (siirtorajoitus).
• Annetaan rekisteröityjen saataville, ja rekisteröidyt voivat käyttää tiettyjä henkilötietoihinsa liittyviä oikeuksiaan (rekisteröidyn oikeudet ja pyynnöt).

Olemme vastuussa edellä lueteltujen tietosuojaperiaatteiden noudattamisesta, ja meidän on pystyttävä osoittamaan, että noudatamme niitä (vastuuvelvollisuus).

5. Laillisuus, oikeudenmukaisuus, avoimuus

• • Laillisuus ja oikeudenmukaisuus

Henkilötietoja on käsiteltävä laillisesti, oikeudenmukaisesti ja rekisteröidyn kannalta avoimesti.

Henkilötietoja saa kerätä, käsitellä ja jakaa vain oikeudenmukaisesti ja laillisesti ja vain tiettyihin tarkoituksiin. Yleinen tietosuoja-asetus rajoittaa henkilötietoja koskevat toimemme tiettyihin laillisiin tarkoituksiin. Näiden rajoitusten tarkoituksena ei ole estää käsittelyä, vaan varmistaa, että käsittelemme henkilötietoja oikeudenmukaisesti ja ilman, että siitä aiheutuu haittaa rekisteröidylle.

Yleinen tietosuoja-asetus sallii tietojenkäsittelyn tiettyjä tarkoituksia varten, joista osa on esitetty jäljempänä:

• rekisteröity on antanut suostumuksensa;
• käsittely on tarpeen rekisteröidyn kanssa tehdyn sopimuksen täyttämiseksi;
• täyttääksemme lakisääteiset velvollisuutemme;
• rekisteröidyn elintärkeiden etujen suojelemiseksi; tai
• oikeutettujen etujemme ajamiseen tarkoituksiin, joissa niitä ei voida syrjäyttää, koska käsittely vahingoittaa rekisteröityjen etuja tai perusoikeuksia ja -vapauksia. Tarkoitukset, joita varten käsittelemme henkilötietoja oikeutettujen etujen vuoksi, on määriteltävä sovellettavissa tietosuojailmoituksissa tai oikeudenmukaista käsittelyä koskevissa ilmoituksissa.

Sinun on yksilöitävä ja dokumentoitava kunkin käsittelytoimen oikeudellinen peruste, johon vedotaan.

• Suostumus

Rekisterinpitäjä saa käsitellä henkilötietoja vain yhden tai useamman tietosuoja-asetuksessa säädetyn laillisen perusteen perusteella, joihin kuuluu myös suostumus.

Rekisteröity antaa suostumuksensa henkilötietojensa käsittelyyn, jos hän ilmaisee selkeästi suostumuksensa joko lausumalla tai positiivisella toiminnalla. Suostumus edellyttää myönteistä toimintaa, joten hiljaisuus, valmiiksi rastitetut laatikot tai passiivisuus eivät todennäköisesti riitä. Jos suostumus annetaan asiakirjassa, jossa käsitellään muita asioita, suostumus on pidettävä erillään näistä muista asioista.

Rekisteröidyn on voitava helposti peruuttaa suostumuksensa käsittelyyn milloin tahansa, ja peruutus on toteutettava viipymättä. Suostumus on ehkä päivitettävä, jos henkilötietoja aiotaan käsitellä eri tarkoitusta varten, joka ei ole yhteensopiva ja jota ei ilmoitettu rekisteröidyn ensimmäisen suostumuksen antamisen yhteydessä.

Ellemme voi vedota muuhun käsittelyn oikeusperustaan, arkaluonteisten henkilötietojen käsittelyyn, automaattiseen päätöksentekoon ja rajat ylittäviin tiedonsiirtoihin tarvitaan yleensä nimenomainen suostumus. Tavallisesti käytämme muuta oikeusperustaa (emmekä vaadi nimenomaista suostumusta) useimpien arkaluonteisten tietojen käsittelyyn. Jos nimenomaista suostumusta vaaditaan, sinun on annettava rekisteröidylle oikeudenmukaista käsittelyä koskeva ilmoitus nimenomaisen suostumuksen saamiseksi.

Sinun on todistettava, että suostumus on saatu, ja pidettävä kirjaa kaikista suostumuksista, jotta yhtiö voi osoittaa, että suostumusvaatimuksia noudatetaan.

• Avoimuus (rekisteröidyille ilmoittaminen)

Yleinen tietosuoja-asetus edellyttää, että rekisterinpitäjät antavat rekisteröidyille yksityiskohtaisia erityistietoja sen mukaan, onko tiedot kerätty suoraan rekisteröidyltä vai muualta. Nämä tiedot on annettava asianmukaisilla tietosuojailmoituksilla tai ilmoituksilla oikeudenmukaisesta tietojenkäsittelystä, joiden on oltava tiiviitä, läpinäkyviä, ymmärrettäviä, helposti saatavilla ja selkeällä ja yksinkertaisella kielellä, jotta rekisteröity voi helposti ymmärtää ne.

Aina kun keräämme henkilötietoja suoraan rekisteröidyltä, myös henkilöstö- tai työllistämistarkoituksiin, meidän on annettava rekisteröidylle kaikki tietosuoja-asetuksen edellyttämät tiedot, mukaan lukien rekisterinpitäjän ja tietosuojavastaavan henkilöllisyys sekä se, miten ja miksi käytämme, käsittelemme, luovutamme, suojaamme ja säilytämme kyseisiä henkilötietoja.

Kun henkilötiedot kerätään epäsuorasti (esimerkiksi kolmannelta osapuolelta tai julkisesti saatavilla olevasta lähteestä), sinun on annettava rekisteröidylle kaikki tietosuoja-asetuksen edellyttämät tiedot mahdollisimman pian tietojen keräämisen/vastaanottamisen jälkeen. Sinun on myös tarkistettava, että kolmas osapuoli on kerännyt henkilötiedot yleisen tietosuoja-asetuksen mukaisesti ja sellaisella perusteella, joka mahdollistaa ehdotetun henkilötietojen käsittelyn.

6. Käyttötarkoituksen rajoittaminen

Henkilötietoja saa kerätä vain määriteltyjä, nimenomaisia ja laillisia tarkoituksia varten. Niitä ei saa käsitellä millään näiden tarkoitusten kanssa yhteensopimattomalla tavalla.

Et voi käyttää henkilötietoja uusiin, erilaisiin tai yhteensopimattomiin tarkoituksiin kuin mitä ilmoitettiin silloin, kun tiedot ensimmäisen kerran saatiin, ellet ole ilmoittanut rekisteröidylle uusista tarkoituksista ja ellei hän ole tarvittaessa antanut suostumustaan.

7. Tietojen minimointi

Henkilötietojen on oltava asianmukaisia, olennaisia ja rajoitettava siihen, mikä on tarpeen niiden tarkoitusten kannalta, joita varten niitä käsitellään.

Voit käsitellä henkilötietoja vain, kun työtehtävien hoitaminen sitä edellyttää. Et voi käsitellä henkilötietoja mistään työtehtäviisi liittymättömästä syystä.

Voit kerätä vain sellaisia henkilötietoja, joita tarvitset työtehtäviisi: älä kerää liikaa tietoja. Varmista, että kaikki kerätyt henkilötiedot ovat asianmukaisia ja tarkoituksenmukaisia.

Sinun on varmistettava, että kun henkilötietoja ei enää tarvita tiettyihin tarkoituksiin, ne poistetaan tai anonymisoidaan yhtiön tietojen säilyttämisohjeiden mukaisesti.

8. Tarkkuus

Henkilötietojen on oltava täsmällisiä ja tarvittaessa ajan tasalla. Jos tiedot ovat virheellisiä, ne on korjattava tai poistettava viipymättä.

Varmistat, että käyttämämme ja hallussamme olevat henkilötiedot ovat tarkkoja, täydellisiä, ajan tasalla ja asianmukaisia sen tarkoituksen kannalta, johon keräsimme ne. Sinun on tarkistettava kaikkien henkilötietojen oikeellisuus keräyshetkellä ja säännöllisin väliajoin sen jälkeen. Sinun on ryhdyttävä kaikkiin kohtuullisiin toimiin epätarkkojen tai vanhentuneiden henkilötietojen tuhoamiseksi tai muuttamiseksi.

9. Varastointirajoitus

Henkilötietoja ei saa säilyttää tunnistettavassa muodossa pidempään kuin on tarpeen niiden tarkoitusten kannalta, joita varten tietoja käsitellään.

Et saa säilyttää henkilötietoja sellaisessa muodossa, että rekisteröity voidaan tunnistaa pidempään kuin on tarpeen sitä laillista liiketoimintatarkoitusta tai niitä tarkoituksia varten, joita varten olemme alun perin keränneet tiedot, mukaan lukien oikeudellisten, kirjanpito- tai raportointivaatimusten täyttäminen.

Yhtiö ylläpitää säilyttämiskäytäntöjä ja -menettelyjä, joilla varmistetaan, että henkilötiedot poistetaan niiden tarkoitusten kannalta kohtuullisen ajan kuluttua, joita varten niitä säilytettiin, ellei laki edellytä tietojen säilyttämistä vähimmäisaikaa.

Sinun on toteutettava kaikki kohtuulliset toimenpiteet hävittääksesi tai poistaaksesi järjestelmistämme kaikki sellaiset henkilötiedot, joita emme enää tarvitse, yhtiön sovellettavien tietojen säilyttämissuunnitelmien ja -käytäntöjen mukaisesti. Tähän sisältyy myös kolmansien osapuolten vaatiminen poistamaan tällaiset tiedot tarvittaessa.

Varmistat, että rekisteröidyille ilmoitetaan tietojen säilytysaika ja se, miten tämä aika määritetään sovellettavassa tietosuojailmoituksessa tai ilmoituksessa oikeudenmukaisesta tietojenkäsittelystä.

10. Turvallisuuden eheys ja luottamuksellisuus

• • Henkilötietojen suojaaminen

Henkilötiedot on suojattava asianmukaisin teknisin ja organisatorisin toimenpitein luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta katoamiselta, tuhoutumiselta tai vahingoittumiselta.

Kehitämme, toteutamme ja ylläpidämme suojatoimia, jotka vastaavat kokoamme, laajuuttamme ja liiketoimintaamme, käytettävissä olevia resurssejamme, omistamiemme tai muiden puolesta ylläpitämiemme henkilötietojen määrää ja tunnistettuja riskejä (mukaan lukien salauksen ja tarvittaessa pseudonymisoinnin käyttö). Arvioimme ja testaamme säännöllisesti näiden suojatoimien tehokkuutta varmistaaksemme henkilötietojen käsittelyn turvallisuuden. Olet vastuussa hallussamme olevien henkilötietojen suojaamisesta. Sinun on toteutettava kohtuulliset ja asianmukaiset turvatoimenpiteet henkilötietojen laittoman tai luvattoman käsittelyn sekä henkilötietojen vahingossa tapahtuvan katoamisen tai vahingoittumisen estämiseksi. Sinun on noudatettava erityistä huolellisuutta suojellessasi arkaluonteisia henkilötietoja katoamiselta ja luvattomalta pääsyltä, käytöltä tai paljastamiselta.

Sinun on noudatettava kaikkia menettelyjä ja tekniikoita, jotka olemme ottaneet käyttöön kaikkien henkilötietojen turvallisuuden ylläpitämiseksi keräämisestä niiden tuhoamiseen. Voit siirtää henkilötietoja vain sellaisille kolmansille palveluntarjoajille, jotka suostuvat noudattamaan vaadittuja käytäntöjä ja menettelyjä ja jotka suostuvat ottamaan käyttöön asianmukaiset toimenpiteet pyydettäessä.

Sinun on ylläpidettävä tietoturvaa suojaamalla seuraavasti määriteltyjen henkilötietojen luottamuksellisuus, eheys ja saatavuus:

• Luottamuksellisuus tarkoittaa sitä, että vain henkilöt, joilla on tarve tietää ja joilla on oikeus käyttää henkilötietoja, voivat käyttää niitä.
• Eheys tarkoittaa, että henkilötiedot ovat tarkkoja ja soveltuvat siihen tarkoitukseen, jota varten niitä käsitellään.
• Saatavuus tarkoittaa, että valtuutetut käyttäjät voivat käyttää henkilötietoja silloin, kun he tarvitsevat niitä valtuutettuihin tarkoituksiin.

Sinun on noudatettava kaikkia soveltuvia näkökohtia tietoturvakäytännöstämme ja GDPR:n noudattamiskäytännöstämme, jotka ovat kulloinkin voimassa, sekä noudatettava hallinnollisia, fyysisiä ja teknisiä suojatoimia, joita otamme käyttöön ja ylläpidämme GDPR:n ja asiaankuuluvien standardien mukaisesti henkilötietojen suojaamiseksi, ja sinun ei pidä yrittää kiertää niitä.

• Henkilötietojen tietoturvaloukkauksesta ilmoittaminen

Tietosuoja-asetus edellyttää, että rekisterinpitäjät ilmoittavat henkilötietojen tietoturvaloukkauksesta sovellettavalle sääntelyviranomaiselle ja tietyissä tapauksissa rekisteröidylle.

Olemme ottaneet käyttöön menettelyt, joilla käsittelemme epäiltyjä henkilötietojen tietoturvaloukkauksia, ja ilmoitamme niistä rekisteröidyille tai mille tahansa sovellettavalle sääntelyviranomaiselle, jos meitä vaaditaan laillisesti tekemään niin.

Jos tiedät tai epäilet, että henkilötietojen tietoturvaloukkaus on tapahtunut, älä yritä tutkia asiaa itse. Ota välittömästi yhteyttä henkilötietojen tietoturvaloukkauksia käsittelevään yhteyshenkilöön tai -ryhmään ja noudata tietoturvaloukkauksiin reagoimista koskevaa suunnitelmaa. Sinun on säilytettävä kaikki mahdolliseen henkilötietojen tietoturvaloukkaukseen liittyvät todisteet.

11.Siirtorajoitus

Yleisessä tietosuoja-asetuksessa rajoitetaan tiedonsiirtoja ETA:n ulkopuolisiin maihin, jotta varmistetaan, että tietosuoja-asetuksen yksilöille tarjoama tietosuojan taso ei vaarannu. Siirrät yhdestä maasta peräisin olevia henkilötietoja rajojen yli, kun siirrät, lähetät, katselet tai käytät kyseisiä tietoja toisessa maassa tai toiseen maahan.

Voit siirtää henkilötietoja ETA:n ulkopuolelle vain, jos jokin seuraavista edellytyksistä täyttyy:

• Euroopan komissio on antanut päätöksen, jossa vahvistetaan, että maa, johon siirrämme henkilötietoja, takaa rekisteröidyn oikeuksien ja vapauksien riittävän suojan tason;
• käytössä on asianmukaiset suojatoimet, kuten sitovat yrityssäännöt, Euroopan komission hyväksymät vakiosopimuslausekkeet, hyväksytyt käytännesäännöt tai sertifiointimekanismi, joista voi pyytää kopion tietosuojavastaavalta;
• rekisteröity on antanut nimenomaisen suostumuksensa ehdotettuun siirtoon sen jälkeen, kun hänelle on ilmoitettu mahdollisista riskeistä; tai
• siirto on tarpeen jostakin muusta tietosuoja-asetuksessa säädetystä syystä, mukaan lukien meidän ja rekisteröidyn välisen sopimuksen täytäntöönpano, yleisen edun mukaiset syyt, oikeudellisten vaatimusten laatiminen, esittäminen tai puolustaminen tai rekisteröidyn elintärkeiden etujen suojaaminen, jos rekisteröity on fyysisesti tai oikeudellisesti kykenemätön antamaan suostumustaan, ja joissakin rajoitetuissa tapauksissa oikeutetun etumme vuoksi.

Sinun on noudatettava yhtiön rajat ylittäviä tiedonsiirtoja koskevia ohjeita.

12. Rekisteröidyn oikeudet ja pyynnöt

Rekisteröidyillä on oikeuksia siihen, miten käsittelemme heidän henkilötietojaan. Näihin kuuluvat seuraavat oikeudet:

• peruuttaa suostumuksensa käsittelyyn milloin tahansa;
• saada tiettyjä tietoja rekisterinpitäjän käsittelytoimista;
• pyytää pääsyä hallussamme oleviin henkilötietoihinsa;
• estää meitä käyttämästä heidän henkilötietojaan suoramarkkinointitarkoituksiin;
• pyytää meitä poistamaan henkilötiedot, jos niitä ei enää tarvita niihin tarkoituksiin, joita varten ne kerättiin tai käsiteltiin, tai oikaisemaan virheelliset tiedot tai täydentämään puutteelliset tiedot;
• rajoittaa käsittelyä tietyissä olosuhteissa;
• haaste Käsittely, joka on perusteltua oikeutettujen etujemme tai yleisen edun perusteella;
• pyytää kopiota sopimuksesta, jonka nojalla henkilötietoja siirretään ETA:n ulkopuolelle;
• vastustaa päätöksiä, jotka perustuvat yksinomaan automaattiseen käsittelyyn, mukaan lukien profilointi (ADM);
• estää käsittely, joka todennäköisesti aiheuttaa vahinkoa tai kärsimystä rekisteröidylle tai jollekin muulle;
• saada ilmoitus henkilötietojen tietoturvaloukkauksesta, joka todennäköisesti aiheuttaa suuren riskin heidän oikeuksilleen ja vapauksilleen;
• tehdä valitus valvontaviranomaiselle; ja
• rajoitetuissa olosuhteissa saada tai pyytää, että heidän henkilötietonsa siirretään kolmannelle osapuolelle jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa.

Sinun on tarkistettava henkilöllisyys henkilöltä, joka pyytää tietoja jonkin edellä luetellun oikeuden nojalla (älä anna kolmansien osapuolten suostutella sinua luovuttamaan henkilötietoja ilman asianmukaista lupaa).

Sinun on välitettävä kaikki saamasi rekisteröityjen tietopyynnöt välittömästi esimiehellesi ja noudatettava yrityksen rekisteröityjen vastausprosessia.

13. Vastuullisuus

• • Rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet tehokkaalla tavalla varmistaakseen tietosuojaperiaatteiden noudattamisen. Rekisterinpitäjä on vastuussa tietosuojaperiaatteiden noudattamisesta, ja sen on pystyttävä osoittamaan se.

Yhtiöllä on oltava riittävät resurssit ja valvontatoimet GDPR:n noudattamisen varmistamiseksi ja dokumentoimiseksi, mukaan lukien:

• nimitetään asianmukaisesti pätevä tietosuojavastaava (tarvittaessa) ja tietosuojasta vastaava vastuuhenkilö;
• yksityisyydensuojan suunnittelun toteuttaminen henkilötietoja käsiteltäessä ja DPIA:n tekeminen, jos käsittely aiheuttaa suuren riskin rekisteröityjen oikeuksille ja vapauksille;
• tietosuojan sisällyttäminen sisäisiin asiakirjoihin, kuten tähän tietosuojanormiin, siihen liittyviin toimintaperiaatteisiin, tietosuojailmoituksiin tai oikeudenmukaista käsittelyä koskeviin ilmoituksiin;
• kouluttaa säännöllisesti yhtiön henkilöstöä GDPR:stä, tästä tietosuojastandardista ja siihen liittyvistä toimintaperiaatteista sekä tietosuoja-asioista, kuten esimerkiksi rekisteröidyn oikeuksista, suostumuksesta, oikeusperustasta, DPIA:sta ja henkilötietojen tietoturvaloukkauksista. Yhtiön on pidettävä kirjaa yhtiön henkilöstön koulutukseen osallistumisesta; ja
• testaamalla säännöllisesti toteutettuja yksityisyydensuojatoimenpiteitä ja tekemällä säännöllisiä tarkastuksia ja auditointeja vaatimustenmukaisuuden arvioimiseksi, mukaan lukien testauksen tulosten käyttäminen vaatimustenmukaisuuden parantamiseen tähtäävien toimien osoittamiseksi.

• Tietojen säilyttäminen

GDPR edellyttää, että pidämme täydellistä ja tarkkaa kirjaa kaikista tietojenkäsittelytoimistamme.

Sinun on säilytettävä ja ylläpidettävä tarkkaa yritysrekisteriä, josta käy ilmi käsittelymme, mukaan lukien rekisteröidyn suostumukset ja suostumusten hankkimismenettelyt.

Näihin rekistereihin olisi sisällyttävä vähintään rekisterinpitäjän ja tietosuojavastaavan nimi ja yhteystiedot, selkeät kuvaukset henkilötietotyypeistä, rekisteröidyistä, käsittelytoimista, käsittelytarkoituksista, henkilötietojen kolmansista osapuolista, henkilötietojen vastaanottajista, henkilötietojen säilytyspaikoista, henkilötietojen siirroista, henkilötietojen säilytysajasta ja kuvaus käytössä olevista turvatoimista. Tällaisten tietueiden luomiseksi olisi luotava tietokarttoja, joihin olisi sisällytettävä edellä esitetyt yksityiskohdat sekä asianmukaiset tietovirrat.

• Koulutus ja tarkastus

Meidän on varmistettava, että kaikki yhtiön työntekijät ovat saaneet riittävän koulutuksen, jotta he voivat noudattaa tietosuojalakeja. Meidän on myös säännöllisesti testattava järjestelmämme ja prosessimme vaatimustenmukaisuuden arvioimiseksi.

Sinun on osallistuttava kaikkiin pakollisiin tietosuojaan liittyviin koulutuksiin ja varmistettava, että tiimisi osallistuu vastaaviin pakollisiin koulutuksiin.

Sinun on säännöllisesti tarkistettava kaikki hallinnassasi olevat järjestelmät ja prosessit varmistaaksesi, että ne ovat tämän tietosuojastandardin mukaisia, ja tarkistettava, että käytössä on riittävät hallintokontrollit ja resurssit, joilla varmistetaan henkilötietojen asianmukainen käyttö ja suojaaminen.

• Suunniteltu yksityisyyden suoja ja tietosuojaa koskeva vaikutustenarviointi (DPIA)

Henkilötietoja käsitellessämme meidän on toteutettava sisäänrakennetun yksityisyydensuojan toimenpiteitä toteuttamalla asianmukaiset tekniset ja organisatoriset toimenpiteet (kuten pseudonymisointi) tehokkaalla tavalla, jotta voimme varmistaa yksityisyydensuojan periaatteiden noudattamisen.

Sinun on arvioitava, mitä Privacy by Design -toimenpiteitä voidaan toteuttaa kaikissa ohjelmissa/järjestelmissä/prosesseissa, joissa käsitellään henkilötietoja, ottaen huomioon seuraavat seikat:

• tekniikan nykytila;
• täytäntöönpanokustannukset;
• käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset; ja
• käsittelystä rekisteröidyn oikeuksille ja vapauksille aiheutuvat riskit, joiden todennäköisyys ja vakavuus vaihtelevat.

Rekisterinpitäjien on tehtävä DPIA myös korkean riskin käsittelystä.

Sinun tulisi tehdä DPIA (ja keskustella tuloksista tietosuojavastaavan kanssa), kun toteutat merkittäviä järjestelmien tai liiketoiminnan muutosohjelmia, joihin liittyy henkilötietojen käsittelyä, mukaan lukien:

• uusien teknologioiden (ohjelmien, järjestelmien tai prosessien) käyttö tai muuttuvat teknologiat (ohjelmat, järjestelmät tai prosessit);
• Automaattinen käsittely, mukaan lukien profilointi ja ADM;
• arkaluonteisten tietojen laajamittainen käsittely; ja
• laajamittainen, systemaattinen yleisölle avoimen alueen seuranta.

DPIA:n on sisällettävä:

• kuvaus käsittelystä, sen tarkoituksista ja tarvittaessa rekisterinpitäjän oikeutetuista eduista;
• arvio käsittelyn tarpeellisuudesta ja oikeasuhteisuudesta suhteessa sen tarkoitukseen;
• yksilöihin kohdistuvan riskin arviointi; ja
• käytössä olevat riskinhallintatoimenpiteet ja osoitus niiden noudattamisesta.

• Automatisoitu käsittely (mukaan lukien profilointi) ja automatisoitu päätöksenteko

Yleensä ADM on kielletty, kun päätöksellä on oikeudellinen tai vastaava merkittävä vaikutus yksilöön, paitsi jos:

• rekisteröity on antanut nimenomaisen suostumuksensa;
• Käsittely on lain mukaan sallittua; tai
• Käsittely on tarpeen sopimuksen täyttämiseksi tai sopimuksen tekemistä varten.

Jos käsitellään tietyntyyppisiä arkaluonteisia tietoja, perusteet b tai c eivät ole sallittuja, mutta tällaisia arkaluonteisia tietoja voidaan käsitellä, jos se on välttämätöntä (ellei voida käyttää vähemmän tunkeilevia keinoja) merkittävän yleisen edun, kuten petosten torjunnan, vuoksi.

Jos päätös perustuu yksinomaan automaattiseen käsittelyyn (mukaan lukien profilointi), rekisteröidyille on ilmoitettava heidän vastustamisoikeudestaan, kun olet ensimmäisen kerran yhteydessä heihin. Tämä oikeus on tuotava nimenomaisesti heidän tietoonsa ja esitettävä selkeästi ja erillään muista tiedoista. Lisäksi on toteutettava asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen turvaamiseksi.

Meidän on myös ilmoitettava rekisteröidylle päätöksentekoon tai profilointiin liittyvästä logiikasta, sen merkityksestä ja suunnitelluista seurauksista sekä annettava rekisteröidylle oikeus pyytää ihmisen väliintuloa, ilmaista näkemyksensä tai riitauttaa päätös.

DPIA on tehtävä ennen automatisoitua käsittelyä (mukaan lukien profilointi) tai ADM-toimia.

• Suoramarkkinointi

Markkinoidessamme asiakkaillemme noudatamme tiettyjä sääntöjä ja tietosuojalakeja.

Esimerkiksi sähköiseen suoramarkkinointiin (esimerkiksi sähköpostitse, tekstiviestillä tai automaattisilla puheluilla) tarvitaan rekisteröidyn ennakkosuostumus. Olemassa olevia asiakkaita koskeva rajoitettu poikkeus, ns. pehmeä suostumus, sallii organisaatioiden lähettää markkinointitekstejä tai -sähköpostia, jos ne ovat saaneet yhteystiedot kyseiselle henkilölle myynnin yhteydessä, ne markkinoivat samankaltaisia tuotteita tai palveluja ja ne antoivat henkilölle mahdollisuuden kieltäytyä markkinoinnista tietoja kerätessään ja jokaisessa seuraavassa viestissä.

Oikeus vastustaa suoramarkkinointia on tarjottava rekisteröidylle nimenomaisesti ja ymmärrettävästi, jotta se erottuu selvästi muista tiedoista.

Rekisteröidyn suoramarkkinointia koskeva vastalause on hyväksyttävä viipymättä. Jos asiakas kieltäytyy milloin tahansa, hänen tietonsa on poistettava mahdollisimman pian. Tietojen poistaminen tarkoittaa, että tietoja säilytetään vain sen verran, että markkinointimieltymyksiä voidaan kunnioittaa tulevaisuudessa.

• Henkilötietojen jakaminen

Yleisesti ottaen emme saa jakaa henkilötietoja kolmansien osapuolten kanssa, ellei tiettyjä suojatoimia ja sopimusjärjestelyjä ole otettu käyttöön.

Voit jakaa hallussamme olevia henkilötietoja konsernimme (johon kuuluvat tytäryhtiömme ja perimmäinen holdingyhtiömme tytäryhtiöineen) toisen työntekijän, asiamiehen tai edustajan kanssa vain, jos vastaanottajalla on työtehtävään liittyvä tarve saada tiedot ja jos siirto on kaikkien sovellettavien rajatylittävää siirtoa koskevien rajoitusten mukainen.

Voit jakaa hallussamme olevia henkilötietoja kolmansien osapuolten, kuten palveluntarjoajiemme, kanssa vain, jos:

• heillä on tarve saada tiedot sopimuksen mukaisten palvelujen tarjoamista varten;
• henkilötietojen jakaminen on rekisteröidylle annetun tietosuojailmoituksen mukaista ja tarvittaessa rekisteröidyn suostumus on saatu;
• kolmas osapuoli on suostunut noudattamaan vaadittuja tietoturvastandardeja, -käytäntöjä ja -menettelyjä ja toteuttamaan riittävät turvatoimet;
• siirto on kaikkien sovellettavien rajatylittäviä siirtoja koskevien rajoitusten mukainen; ja
• on saatu täysin toteutettu kirjallinen sopimus, joka sisältää GDPR:n hyväksymät kolmannen osapuolen lausekkeet.

14. Muutokset tähän tietosuojastandardiin

Pidätämme oikeuden muuttaa tätä tietosuojalauseketta milloin tahansa ilman ennakkoilmoitusta, joten tarkista säännöllisesti, että saat uusimman version tästä tietosuojalausekkeesta.

Tämä tietosuojastandardi ei syrjäytä sovellettavia kansallisia tietosuojalakeja ja -määräyksiä maissa, joissa yhtiö toimii.