Clarum Oy:n palveluiden tietosuojaseloste

1. Rekisterinpitäjä ja yhteystiedot

Rekisterinpitäjä: Clarum Oy
Y-tunnus: 3181203-6
Tietosuoja-asioita koskevat yhteydenotot: info@clarum.fi

2. Rekisterinpitäjän ja käsittelijän rooli

Palvelun yhteydessä henkilötietoja käsitellään kahdessa eri roolissa:

• Clarum Oy on rekisterinpitäjä niiden henkilötietojen osalta, jotka liittyvät käyttäjätileihin, palvelun tuottamiseen, laskutukseen, asiakasviestintään ja palvelun kehittämiseen (esim. käyttäjien nimet, sähköpostiosoitteet, kirjautumistiedot, tekniset lokitiedot).
• Clarum Oy on henkilötietojen käsittelijä sen aineiston osalta, jonka asiakasorganisaatio ("Asiakas") syöttää Palveluun (ns. Asiakkaan aineisto). Tämä voi sisältää esimerkiksi sopimusten yhteyshenkilöiden tietoja. Näiden tietojen osalta rekisterinpitäjä on Asiakas, ja Clarum Oy käsittelee niitä Asiakkaan lukuun vain Palvelun tuottamiseksi. Käsittelystä sovitaan käyttöehtojen liitteenä olevalla henkilötietojen käsittelysopimuksella (GDPR 28 art.).

Tämä seloste koskee ensisijaisesti käsittelyä, jossa Clarum Oy on rekisterinpitäjä. Asiakkaan aineiston osalta rekisteröityjen tulee ensisijaisesti olla yhteydessä omaan organisaatioonsa (Asiakkaaseen).

3. Käsiteltävät henkilötiedot

Tiedot saadaan pääsääntöisesti käyttäjältä itseltään tai Asiakkaalta, tai ne syntyvät Palvelun käytön yhteydessä. Käsittelemme seuraavia tietoja:

• Käyttäjätiedot (kuten nimi, sähköpostiosoite, organisaatio ja käyttäjärooli sekä kirjautumistiedot)
• Käyttötiedot (kuten loki- ja tapahtumatiedot sekä tekniset tiedot Palvelun käytöstä)
• Asiakkaan aineistoon sisältyvät henkilötiedot (kuten sopimusten yhteyshenkilöiden tiedot); näiden osalta rekisterinpitäjä on Asiakas

4. Käsittelyn tarkoitukset ja oikeusperusteet

Käsittelemme henkilötietoja seuraaviin tarkoituksiin ja seuraavin oikeusperustein:

• Palvelun tarjoaminen ja käyttäjätilien hallinta: sopimuksen täytäntöönpano; käsittelijän roolissa Asiakkaan toimeksianto.
• Tunnistautuminen ja pääsynhallinta: sopimuksen täytäntöönpano ja oikeutettu etu (tietoturva).
• Palvelun tietoturva, väärinkäytösten esto ja lokitus: oikeutettu etu ja tarpeen mukaan lakisääteinen velvoite.
• Palvelun toiminnan seuranta, vianselvitys ja kehittäminen: oikeutettu etu.
• Laskutus ja kirjanpito: lakisääteinen velvoite ja sopimuksen täytäntöönpano.
• Asiakasviestintä Palvelusta: sopimuksen täytäntöönpano ja oikeutettu etu.

Emme käytä henkilötietoja GDPR:n 22 artiklassa tarkoitettuun automaattiseen päätöksentekoon emmekä profilointiin.

5. Vastaanottajat ja alikäsittelijät

Käytämme Palvelun tuottamisessa huolellisesti valittuja palveluntarjoajia (alikäsittelijöitä), jotka käsittelevät henkilötietoja lukuumme. Kunkin kohdalla on merkitty käyttötarkoitus ja käsittelyn sijainti:

• Clerk, Inc.: käyttäjien tunnistautuminen ja käyttäjähallinta. Sijainti: Yhdysvallat.
• Google Cloud (Google Ireland Ltd / Google LLC): Palvelun ajoympäristö, tietokanta ja tiedostojen tallennus. Sijainti: EU.
• Sentry (Functional Software, Inc.): virheiden seuranta ja tekninen vianselvitys. Sijainti: EU.

Emme myy henkilötietoja. Tietoja voidaan luovuttaa viranomaisille lakisääteisen velvoitteen niin edellyttäessä.

6. Tietojen siirto EU/ETA-alueen ulkopuolelle

Osa alikäsittelijöistä voi käsitellä henkilötietoja EU/ETA-alueen ulkopuolella, kuten Yhdysvalloissa. Tällöin siirto perustuu GDPR:n edellyttämään suojatoimeen, kuten Euroopan komission riittävyyspäätökseen (esim. EU–US Data Privacy Framework) tai komission vakiolausekkeisiin (SCC).

7. Säilytysajat

• Käyttäjätili- ja käyttötiedot: säilytetään käyttöoikeuden voimassaolon ajan ja poistetaan tai anonymisoidaan 90 vuorokauden kuluessa tilin päättymisestä, ellei lainsäädäntö edellytä pidempää säilytystä.
• Laskutus- ja kirjanpitotiedot: säilytetään kirjanpitolain edellyttämä aika (pääsääntöisesti kuusi vuotta).
• Lokitiedot: säilytetään 90 vuorokautta tietoturva- ja vianselvitystarkoituksessa.
• Asiakkaan aineisto: säilytetään Palvelusopimuksen mukaisesti; sopimuksen päättyessä sovelletaan käyttöehtojen mukaista poistamista.

8. Rekisteröidyn oikeudet

Rekisteröidyllä on GDPR:n mukaiset oikeudet:

• oikeus saada pääsy tietoihinsa;
• oikeus tietojen oikaisuun;
• oikeus tietojen poistamiseen ("oikeus tulla unohdetuksi");
• oikeus käsittelyn rajoittamiseen;
• oikeus vastustaa käsittelyä, joka perustuu oikeutettuun etuun;
• oikeus siirtää tiedot järjestelmästä toiseen soveltuvin osin;
• oikeus peruuttaa suostumus, jos käsittely perustuu suostumukseen.

Oikeuksien käyttämistä koskevat pyynnöt osoitetaan kohdan 1 yhteystietoihin. Jos kyse on Asiakkaan aineistoon sisältyvistä tiedoista (Clarum Oy käsittelijänä), ohjaamme pyynnön Asiakkaalle tai kehotamme olemaan yhteydessä suoraan Asiakkaaseen.

Pyrimme vastaamaan pyyntöihin kuukauden kuluessa. Voimme pyytää tarpeen mukaan lisätietoja henkilöllisyyden varmistamiseksi.

9. Tietoturva

Suojaamme henkilötietoja asianmukaisin teknisin ja hallinnollisin suojatoimin, joita ovat muun muassa:

• pääsynhallinta ja käyttäjäkohtaiset roolit; monivuokralaisympäristön organisaatiokohtainen eristäminen;
• tietoliikenteen salaus (TLS) ja levossa olevan tiedon suojaus;
• lokitus ja muutoshistoria;
• salaisuuksien hallinta ja pääsyoikeuksien rajaaminen tarpeen mukaan.

10. Evästeet ja vastaavat teknologiat

Palvelu käyttää toiminnan kannalta välttämättömiä evästeitä ja vastaavia teknologioita esimerkiksi kirjautumisen ja istunnon ylläpitoon. Muita kuin välttämättömiä evästeitä (esimerkiksi analytiikka) käytetään vain käyttäjän suostumuksella, ja niistä ja niihin liittyvästä suostumuksenhallinnasta kerrotaan Palvelussa.

11. Muutokset tähän selosteeseen

Voimme päivittää tätä selostetta Palvelun tai lainsäädännön muuttuessa. Ajantasainen versio on saatavilla Palvelussa, ja olennaisista muutoksista tiedotetaan.

12. Oikeus tehdä valitus valvontaviranomaiselle

Rekisteröidyllä on oikeus tehdä valitus toimivaltaiselle tietosuojaviranomaiselle, jos hän katsoo, että henkilötietojen käsittely on tietosuojalainsäädännön vastaista. Suomessa valvontaviranomainen on Tietosuojavaltuutetun toimisto (tietosuoja.fi).