Tietojenkäsittelysopimus

1. Datan käsittelyä koskeva lisäys

AISignal on sitoutunut asiakasdatan yksityisyyteen, turvallisuuteen ja vaatimustenmukaisuuteen. Tämä Data Processing Addendum (“DPA”) kuvaa ehdot, joiden mukaan käsittelemme, säilytämme ja suojaamme henkilötietoja sovellettavien tietosuojalakien mukaisesti. DPA on pääsopimuksemme laajennus asiakkaiden kanssa ja soveltuu, kun AISignal käsittelee henkilötietoja asiakkaan puolesta henkilötietojen käsittelijänä.

Se määrittää selkeät vastuut molemmille osapuolille datan käsittelystä ja varmistaa asiaankuuluvien tietosuojalakien noudattamisen. Käyttämällä AISignal-palvelua asiakkaat tunnustavat ja hyväksyvät tämän DPA:n ehdot. Jos tarvitset allekirjoitetun vastakappaleen vaatimustenmukaisuutta varten, ota yhteyttä osoitteeseen [email protected].

2. Määritelmät

Sidosyhteisö tarkoittaa mitä tahansa yhteisöä, joka suoraan tai epäsuorasti hallitsee osapuolta, on osapuolen hallinnassa tai yhteisessä hallinnassa osapuolen kanssa. “Hallinta” tarkoittaa vähintään 50 prosentin suoraa tai epäsuoraa omistusta äänivallasta, osakkeista, osuuksista tai vastaavista oikeuksista yhteisössä. Sidosyhteisöt katsotaan sidotuiksi tässä DPA:ssa kuvattuihin velvoitteisiin ja vastuisiin siltä osin kuin ne osallistuvat henkilötietojen käsittelyyn.

Valtuutettu alikäsittelijä tarkoittaa mitä tahansa kolmannen osapuolen toimittajaa, palveluntarjoajaa tai alihankkijaa, jonka AISignal on ottanut käsittelemään asiakkaan henkilötietoja tiukasti AISignal-palvelun puolesta ja ohjeiden mukaisesti. Kaikkien alikäsittelijöiden on noudatettava samoja tietosuojavelvoitteita ja ylläpidettävä turvallisuutta, luottamuksellisuutta ja sääntelyn noudattamista.

Tilitiedot tarkoittavat kaikkia yritykseen liittyviä tietoja, joita AISignal kerää, tallentaa ja käsittelee sopimussuhteessaan asiakkaaseen. Tämä sisältää nimet, sähköpostiosoitteet, puhelinnumerot, maksutiedot ja käyttöoikeustiedot henkilöiltä, jotka asiakas on valtuuttanut hallitsemaan ja käyttämään tiliään alustalla. Tilitietoja käytetään tiukasti hallinnollisiin, laskutus- ja tukitarkoituksiin.

Tietosuojalait kattavat kaikki sovellettavat lait, säädökset ja kehykset, jotka säätelevät henkilötietojen keräämistä, käsittelyä, tallennusta, siirtoa ja suojausta — mukaan lukien mutta ei rajoittuen Euroopan unionin yleiseen tietosuoja-asetukseen (GDPR), UK GDPR:ään, California Consumer Privacy Actiin (CCPA) ja muihin kansallisiin tai kansainvälisiin tietosuojalakeihin, jotka ovat relevantteja tämän sopimuksen mukaisessa datankäsittelyssä.

Henkilötiedot tarkoittavat kaikkea tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön (“rekisteröity”) liittyvää tietoa. Henkilötietoihin eivät kuulu anonymisoidut tai aggregoidut tiedot, joita ei voida käyttää henkilön tunnistamiseen.

Käsittely tarkoittaa mitä tahansa toimenpidettä tai toimenpidejoukkoa, joka kohdistuu henkilötietoihin automaattisesti tai manuaalisesti — mukaan lukien kerääminen, tallentaminen, järjestäminen, jäsentäminen, säilyttäminen, mukauttaminen, muuttaminen, hakeminen, konsultointi, käyttö, luovutus, siirtäminen, rajoittaminen, poistaminen tai tuhoaminen.

Turvatoimet tarkoittavat teknisiä ja organisatorisia suojatoimia, jotka on toteutettu henkilötietojen luottamuksellisuuden, eheyden ja saatavuuden varmistamiseksi. Näihin kuuluvat salaus, käyttöoikeushallinta, palomuurit, datan maskaus, pseudonymisointi, säännölliset tietoturva-auditoinnit ja loukkausilmoitusmekanismit.

Valvontaviranomainen tarkoittaa riippumatonta julkista viranomaista, joka vastaa tietosuojalakien noudattamisen valvonnasta ja täytäntöönpanosta — esimerkiksi Euroopan tietosuojaneuvosto (EDPB), UK Information Commissioner's Office (ICO) ja California Privacy Protection Agency (CPPA).

Rekisteröidyn oikeudet tarkoittavat sovellettavien tietosuojalakien yksilöille myöntämiä oikeuksia, mukaan lukien pääsy, oikaisu, poisto, rajoittaminen, siirrettävyys, vastustaminen ja oikeus tehdä valitus valvontaviranomaiselle.

3. Datan käsittely

Asiakas voi toimia joko rekisterinpitäjänä tai henkilötietojen käsittelijänä riippuen suhteestaan rekisteröityyn ja tarkoituksista, joita varten henkilötietoja käsitellään. Kaikissa tapauksissa AISignal toimii henkilötietojen käsittelijänä ja käsittelee henkilötietoja asiakkaan puolesta ja ohjeiden mukaisesti.

Asiakas vastaa siitä, että kaikki palvelujemme avulla suoritettavat käsittelytoimet noudattavat sovellettavia tietosuojalakeja. Asiakas tunnustaa, että sillä on oikeusperuste käsitellä henkilötietoja, ja korvaa AISignal-palvelulle kaikki vaatimukset, vastuut tai vahingot, jotka johtuvat näiden lakivaatimusten noudattamatta jättämisestä.

AISignal käsittelee henkilötietoja vain asiakkaan kirjallisten ohjeiden mukaisesti ja ainoastaan palvelujen tarjoamisen edellyttämällä tavalla, ellei laki toisin edellytä. Emme käytä, luovuta tai jaa henkilötietoja mihinkään muuhun tarkoitukseen kuin asiakkaan valtuuttamiin tai tässä sopimuksessa nimenomaisesti kuvattuihin tarkoituksiin.

Sopimuksen päättyessä tai asiakkaan pyynnöstä AISignal joko (a) poistaa turvallisesti kaikki tämän sopimuksen nojalla käsitellyt henkilötiedot varmistaen, ettei kopioita jää, ellei laki edellytä säilyttämistä, tai (b) palauttaa henkilötiedot asiakkaalle jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa ennen poistamista, asiakkaan harkinnan mukaan.

4. Turvallisuus ja luottamuksellisuus

AISignal on sitoutunut suojaamaan asiakkaan puolesta käsiteltävien henkilötietojen turvallisuutta ja luottamuksellisuutta. Toteutamme ja ylläpidämme alan johtavia turvatoimia, jotka on suunniteltu estämään luvaton pääsy, luovutus, muuttaminen tai tuhoaminen, mukaan lukien:

• Datan salaus. Henkilötiedot salataan siirrossa (TLS 1.2+) ja levossa (AES-256) alan standardiprotokollilla.
• Käyttöoikeushallinta. Tiukat käyttöoikeuspolitiikat varmistavat, että vain valtuutetulla henkilöstöllä on pääsy henkilötietoihin vähimmän oikeuden periaatteen mukaisesti.
• Verkko- & järjestelmäturvallisuus. Palomuurit, tunkeutumisen havaitsemisjärjestelmät ja jatkuva valvonta auttavat estämään luvattoman pääsyn ja kyberuhat.
• Datan anonymisointi & pseudonymisointi. Soveltuvin osin henkilötiedot anonymisoidaan tai pseudonymisoidaan datan paljastumiseen liittyvien riskien vähentämiseksi.
• Säännölliset tietoturva-auditoinnit. Säännölliset turvallisuusarvioinnit, haavoittuvuustestaukset ja vaatimustenmukaisuustarkistukset tunnistavat ja lieventävät riskejä.
• Incident response -suunnitelma. Rakenteinen protokolla varmistaa, että tietoturvatapahtumat tunnistetaan, lievennetään ja raportoidaan viipymättä sovellettavien tietosuojalakien mukaisesti.

Jokainen henkilö — työntekijä, alihankkija tai valtuutettu palveluntarjoaja — joka käsittelee henkilötietoja puolestamme, on sidottu tiukkoihin salassapitovelvoitteisiin, mukaan lukien allekirjoitetut salassapitosopimukset ja sisäisten datankäsittelypolitiikkojen noudattaminen.

5. Alikäsittelijät

AISignal käyttää kolmannen osapuolen alikäsittelijöitä palvelun tarjoamisen ja ylläpidon avustamiseen. Nämä alikäsittelijät suorittavat tiettyjä toimintoja, kuten infrastruktuurin isännöintiä, maksunkäsittelyä, transaktionaalista sähköpostia ja turvallisuutta. Varmistamme allekirjoitetuilla sopimuksilla, että kaikki käytetyt alikäsittelijät noudattavat tämän DPA:n mukaisia vastaavia tietosuojavelvoitteita.

Ajantasainen lista on saatavilla pyynnöstä osoitteesta [email protected]. Nykyisiä alikäsittelijöitä ovat muun muassa:

• Stripe — maksunkäsittely, laskutus ja petosseulonta.
• Mailgun — transaktionaalisten ja ilmoitussähköpostien toimitus.
• Cloudflare — CDN, DDoS-suojaus ja Turnstile-bottihaaste.
• Hallinnoidut tietokantatarjoajat — sovellusdatan salattu levossa säilytys.

Tekoälymoottorien päätepisteet

Mitatakseen, miten generatiiviset avustajat kuvaavat asiakkaan yritystä, AISignal lähettää huolellisesti laadittuja julkisia kyselyitä ChatGPT:n (OpenAI), Clauden (Anthropic), Geminin (Google), Meta AI:n (Meta), DeepSeekin ja Grokin (xAI) virallisiin API-rajapintoihin. Nämä moottorit ovat itsenäisiä palveluntarjoajia, jotka toimivat omalla infrastruktuurillaan ja omilla ehdoillaan.

• Lähetämme vain AI Visibility Sprintiä varten valmistellut kehotteet — emme tilitietojasi, yksityisiä tiedostojasi tai asiakkaidesi henkilötietoja.
• Emme koskaan lähetä henkilötietoja tai omistusoikeudellista sisältöä koulutusdataksi. Kun palveluntarjoaja tarjoaa “älä käytä dataani mallien kouluttamiseen” -asetuksen, otamme sen käyttöön palvelutileillämme.
• Kukin moottori käsittelee kehotteita oman tietosuojakäytäntönsä ja säilytysaikataulunsa mukaisesti. Linkit näihin käytäntöihin on listattu Evästekäytännön liitteessä ja pyynnöstä.

Asiakkaan oikeudet & vastalauseet. AISignal ilmoittaa asiakkaille uusista alikäsittelijöistä vähintään 10 päivää etukäteen. Asiakkaat voivat tehdä kirjallisen vastalauseen tämän ajan kuluessa, jos heillä on perusteltuja tietosuojahuolia. Käymme vilpittömässä mielessä keskusteluja huolien ratkaisemiseksi; jos molempia osapuolia tyydyttävää ratkaisua ei saavuteta, asiakkaalla voi olla oikeus päättää kyseiset palvelut.

6. Henkilötietojen siirrot

AISignal voi siirtää henkilötietoja Euroopan talousalueen (ETA), Yhdistyneen kuningaskunnan tai Sveitsin ulkopuolelle palvelujen tarjoamisen mahdollistamiseksi. Kun tällaisia siirtoja tapahtuu, varmistamme asianmukaiset oikeudelliset suojatoimet, mukaan lukien:

• Euroopan komission tai muiden toimivaltaisten viranomaisten hyväksymät vakiosopimuslausekkeet (SCC:t).
• Täydentävät toimenpiteet — lisätekniset, organisatoriset ja sopimukselliset suojatoimet.
• Sitovat konsernisäännöt (BCR:t), kun ne soveltuvat sidosyhteisöihin.
• Muut hyväksytyt siirtomekanismit, jotka tunnustetaan sovellettavan lain nojalla.

7. Rekisteröidyn oikeudet

AISignal tunnistaa ja kunnioittaa rekisteröityjen oikeuksia sovellettavien tietosuojalakien nojalla. Avustamme asiakasta rekisterinpitäjänä vastaamaan yksilöiden pyyntöihin heidän henkilötiedoistaan:

• Oikeus saada pääsy — vahvistus siitä, käsitelläänkö dataa, ja pääsy dataan.
• Oikeus oikaisuun — virheellisen tai puutteellisen datan korjaaminen.
• Oikeus poistamiseen (“oikeus tulla unohdetuksi”) — henkilötietojen poistaminen lakisääteiset ja sopimukselliset velvoitteet huomioiden.
• Oikeus käsittelyn rajoittamiseen — henkilötietojen käsittelyn rajoittaminen tietyissä olosuhteissa.
• Oikeus datan siirrettävyyteen — henkilötietojen saaminen ja siirtäminen toiselle rekisterinpitäjälle, kun se on teknisesti mahdollista.
• Oikeus vastustaa — oikeutettuun etuun, suoramarkkinointiin tai automaattiseen päätöksentekoon perustuvaa käsittelyä.
• Oikeus peruuttaa suostumus — milloin tahansa, jos käsittely perustuu suostumukseen.

8. Tietoturvaloukkauksesta ilmoittaminen

AISignal toteuttaa ennaltaehkäiseviä toimia henkilötietojen suojaamiseksi. Vahvistetun henkilötietojen tietoturvaloukkauksen sattuessa me:

• Arvioimme loukkauksen vaikutuksen ja ryhdymme välittömiin lieventäviin toimiin;
• Ilmoitamme asiakkaalle ilman aiheetonta viivytystä (tyypillisesti 48 tunnin sisällä vahvistuksesta);
• Annamme tiedot loukkauksen luonteesta ja laajuudesta, vaikutetun datan tyypistä, mahdollisista seurauksista ja tehdyistä toimenpiteistä;
• Avustamme asiakasta täyttämään mahdolliset viranomaisille ja rekisteröidyille tehtävät ilmoitusvelvoitteet;
• Toteutamme korjaavat toimet toistumisen estämiseksi.

Asiakas vastaa sen määrittämisestä, ilmoitetaanko valvontaviranomaisille ja rekisteröidyille sovellettavien tietosuojalakien mukaisesti.

9. Datan säilytys ja poistaminen

AISignal säilyttää henkilötietoja vain niin kauan kuin on tarpeen tämän sopimuksen mukaisten velvoitteiden täyttämiseksi tai sovellettavien lakien edellyttämällä tavalla. Noudatamme datan minimointiperiaatteita: dataa säilytetään vain oikeutettuihin liiketoiminta- ja vaatimustenmukaisuustarpeisiin, ja se poistetaan tai anonymisoidaan, kun sitä ei enää tarvita.

Asiakkaat voivat pyytää henkilötietojen poistamista milloin tahansa. Palvelujen päättyessä AISignal poistaa tai palauttaa henkilötiedot asiakkaan ohjeiden mukaisesti. Jos poistopyyntöä ei tehdä, henkilötiedot poistetaan automaattisesti kohtuullisessa ajassa, elleivät lakisääteiset säilytysvaatimukset sovellu (verotiedot, petosten ehkäisytutkimukset jne.).

10. Sovellettava laki & riitojen ratkaisu

Tähän DPA:han sovelletaan samoja lakeja ja lainkäyttöaluetta kuin AISignal-palvelun ja asiakkaan välisessä pääsopimuksessa määritellään, ja sitä tulkitaan niiden mukaisesti. Riidat ratkaistaan ensin vilpittömässä mielessä käytävillä neuvotteluilla; jos ratkaisua ei saavuteta, riita voidaan viedä sovitteluun, välimiesmenettelyyn tai sovellettavan lainkäyttöalueen toimivaltaisiin tuomioistuimiin. Jos tämän DPA:n ja pääsopimuksen välillä on ristiriita, tämän DPA:n ehdot ovat etusijalla tietosuoja-asioissa.

11. Loppumääräykset

Tämä DPA muodostaa olennaisen osan AISignal-palvelun ja asiakkaan välistä kokonaissopimusta. Jatkamalla palvelujen käyttöä asiakas tunnustaa ja hyväksyy tämän DPA:n ehdot. Jos jokin määräys todetaan pätemättömäksi tai täytäntöönpanokelvottomaksi, muut määräykset pysyvät täysimääräisesti voimassa.

AISignal pidättää oikeuden muuttaa tai päivittää tätä DPA:ta sovellettavien tietosuojalakien, alan käytäntöjen tai operatiivisten tarpeiden muutosten huomioimiseksi. Asiakkaille ilmoitetaan olennaisista muutoksista; palvelujen käytön jatkaminen merkitsee päivitettyjen ehtojen hyväksymistä.

12. Yhteys

Kaikissa kysymyksissä, muodollisissa pyynnöissä tai DPA:n allekirjoitetun vastakappaleen saamiseksi ota yhteyttä osoitteeseen [email protected]. Yleisissä yksityisyyteen liittyvissä kysymyksissä ota yhteyttä osoitteeseen [email protected].