Henkilötietojen käsittelysopimus

Soveltamisala ja roolit

Asiakas on rekisterinpitäjä ja Onur Öztürk, yksityinen elinkeinonharjoittaja toiminimellä Ozan Soft (”GenderAPI”), on henkilötietojen käsittelijä niiden Asiakkaan henkilötietojen osalta, jotka lähetetään API:n, tiedostonkäsittelytyökalujen tai yhdistettyjen taulukkotoimintojen kautta. Kumpikin osapuoli vastaa itsenäisesti henkilötiedoista, joita se käsittelee rekisterinpitäjänä, mukaan lukien GenderAPI:n tilien, laskutuksen ja liikesuhteiden yhteystietojen hallinta.

Asiakas ratkaisee, ovatko lähetetyt tiedot henkilötietoja, ja vastaa niiden käsittelyn oikeusperusteesta, tiedotteista, luvista ja ohjeista. Asiakas ei saa lähettää tietoja, joiden käsittelyyn Palvelua ei ole suunniteltu, eikä käyttää päättelytuloksia ainoana perusteena päätökselle, jolla on henkilöön kohdistuvia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi.

Käsittelyohjeet

GenderAPI käsittelee Asiakkaan henkilötietoja vain Palvelun tarjoamiseksi, suojaamiseksi ja tukemiseksi sopimuksen, tämän DPA:n, Asiakkaan dokumentoidun Palvelun käytön ja sovellettavan lain mukaisesti. GenderAPI ilmoittaa Asiakkaalle, jos ohje sen kohtuullisen arvion mukaan rikkoo sovellettavaa tietosuojalainsäädäntöä, paitsi jos laki kieltää tällaisen ilmoituksen.

GenderAPI ei myy Asiakkaan henkilötietoja, käytä niitä rajat ylittävään käyttäytymisperusteiseen mainontaan, käytä niitä yksityisen päättelymallin kouluttamiseen eikä säilytä niitä tekoälylokeissa. Tietosuojakäytännön säilytyssäännöt ovat osa näitä dokumentoituja käsittelyohjeita.

Luottamuksellisuus ja tietoturva

GenderAPI varmistaa, että Asiakkaan henkilötietoja käsittelemään valtuutettuja henkilöitä sitoo asianmukainen salassapitovelvollisuus ja että he voivat käyttää tietoja vain siltä osin kuin heille osoitettu työ sitä edellyttää. GenderAPI ylläpitää teknisiä ja organisatorisia toimenpiteitä, jotka ovat asianmukaisia Palvelun luonteeseen ja käsittelyn riskeihin nähden.

• TLS-suojattu tiedonsiirto Palvelun kanssa vaihdettaville tiedoille.
• Pääsyrajoitukset tuotantojärjestelmiin, asiakastietoihin ja pääsyrajoitettuihin varmuuskopioihin.
• Tilitunnusten ja tuotantokäytössä olevien API-avainten erottelu ja suojaus.
• Tietoturvatapahtumien ja teknisten tietojen lokitus julkaistun säilytysaikataulun mukaisesti.
• Jatkuvasti korvautuvat varmuuskopiot, joiden vakiomuotoinen korvautumisaika on enintään 15 päivää.
• Yksityinen tekoälykäsittely ilman asiakastiedoilla kouluttamista ja ilman tekoälykehotteiden tai -tulosten lokitusta.
• Tietojen minimointi- ja poistomenettelyt, jotka noudattavat Palvelun säilytysaikataulua.

Alikäsittelijät

Asiakas antaa GenderAPI:lle yleisen kirjallisen luvan käyttää palveluntarjoajia, jotka on merkitty DPA:n mukaisiksi alikäsittelijöiksi alikäsittelijäsivulla. GenderAPI edellyttää, että kukin tällainen alikäsittelijä suojaa Asiakkaan henkilötietoja velvoitteilla, jotka vastaavat olennaisilta osin tätä DPA:ta siltä osin kuin ne soveltuvat alikäsittelijän suorittamiin palveluihin. GenderAPI vastaa edelleen tämän DPA:n mukaisista velvoitteistaan. Palveluntarjoajat, joita käytetään ainoastaan GenderAPI:n omassa rekisterinpitäjän toiminnassa, kuten laskutuksessa tai tiliviestinnässä, ilmoitetaan erikseen, eikä niitä pidetä Asiakkaan henkilötietojen käsittelijöinä pelkästään siksi, että ne on mainittu palveluntarjoajaluettelossa.

GenderAPI ilmoittaa vähintään 30 päivää etukäteen alikäsittelijäsivulla, Palvelussa tai Asiakkaan tilin sähköpostiosoitteeseen ennen kuin se lisää tai vaihtaa alikäsittelijän, joka käsittelee Asiakkaan henkilötietoja. Asiakas voi tänä aikana esittää kohtuullisen, perustellun tietosuojaan liittyvän vastalauseen. Osapuolet pyrkivät vilpittömässä mielessä kaupallisesti kohtuulliseen ratkaisuun; jos sellaista ei ole, Asiakas voi lopettaa kyseisen toiminnon käytön.

Avustaminen ja henkilötietojen tietoturvaloukkaukset

Ottaen huomioon käsittelyn luonteen ja sen käytettävissä olevat tiedot GenderAPI avustaa kohtuullisesti rekisteröityjen pyyntöjen, tietoturvavelvoitteiden, henkilötietojen tietoturvaloukkauksista ilmoittamisen, tietosuojaa koskevien vaikutustenarviointien ja sovellettavan tietosuojalainsäädännön edellyttämien ennakkokuulemisten yhteydessä. Jos rekisteröity ottaa yhteyttä GenderAPI:hin Asiakkaan henkilötiedoista, GenderAPI voi ohjata pyynnön Asiakkaalle, ellei sovellettava laki edellytä suoraa vastausta.

GenderAPI ilmoittaa Asiakkaalle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 48 tunnin kuluessa siitä, kun se on saanut tiedon vahvistetusta henkilötietojen tietoturvaloukkauksesta, joka koskee Asiakkaan henkilötietoja. Ilmoituksessa annetaan käytettävissä olevat tiedot, joita Asiakas kohtuudella tarvitsee arviointiaan ja ilmoitusvelvollisuuksiaan varten. Ilmoitus ei ole myönnytys syyllisyydestä tai vastuusta.

Palauttaminen ja poistaminen

Palvelun voimassaolon aikana Asiakas voi noutaa saatavilla olevat tulokset Palvelun tuettujen toimintojen avulla. Tilin sulkemisen, kyseisen käsittelyn päättymisen tai pätevän poistopyynnön jälkeen GenderAPI poistaa tai anonymisoi peruuttamattomasti aktiivisiin järjestelmiin jääneet Asiakkaan henkilötiedot 30 päivän kuluessa, ellei sovellettava laki edellytä niiden säilyttämistä. Aktiivisista järjestelmistä poistetut tiedot voivat säilyä pääsyrajoitetuissa, jatkuvasti korvautuvissa varmuuskopioissa vielä enintään 15 päivää ennen automaattista korvautumista.

Laskutus-, tapahtuma-, petostentorjunta- tai riitatietojen lakisääteinen säilyttäminen ei oikeuta Asiakkaan kyselyjen tai ladattujen tiedostojen sisällön jatkokäyttöön. Tietosuojakäytännön tietoryhmäkohtaista aikataulua sovelletaan edelleen silloin, kun siinä määrätään lyhyempi aika.

Tiedot ja auditoinnit

GenderAPI antaa Asiakkaan saataville tiedot, jotka ovat kohtuudella tarpeen tämän DPA:n noudattamisen osoittamiseksi, ensisijaisesti ajantasaisten käytäntöjen, dokumentaation ja kohtuullisen tietoturvakyselyn avulla. Jos nämä tiedot eivät riitä lakisääteisen velvoitteen täyttämiseen, Asiakas voi pyytää oikeasuhteista auditointia enintään kerran vuodessa, paitsi vahvistetun tietoturvaloukkauksen jälkeen tai valvontaviranomaisen sitovasta pyynnöstä.

Auditointi on tehtävä kohtuullisen ennakkoilmoituksen jälkeen tavanomaisena työaikana siten, ettei toisen asiakkaan tietoja paljasteta eikä tietoturvaa vaaranneta. Asiakas vastaa auditointinsa kustannuksista, ellei auditoinnissa havaita GenderAPI:n olennaista rikkomusta. Osapuolet sopivat ensin asianmukaisista luottamuksellisuutta ja laajuutta koskevista ehdoista.

Kansainväliset siirrot

Asiakkaan henkilötietoja voidaan käsitellä Turkissa ja sopimuksen mukaisen infrastruktuurin kautta Yhdysvalloissa. GenderAPI käyttää tarvittaessa laissa tunnustettua siirtomekanismia. Jos komission täytäntöönpanopäätöksellä (EU) 2021/914 hyväksytyt EU:n vakiosopimuslausekkeet (SCC) vaaditaan, niiden rekisterinpitäjältä henkilötietojen käsittelijälle -moduuli sisällytetään tähän DPA:han, ja se on kyseisen siirron osalta ensisijainen suhteessa ristiriitaisiin ehtoihin. Osapuolet täydentävät DPA:ta tehdessään kaikki valinnat tai liitteiden tiedot, joita niiden kyseinen siirto lain mukaan edellyttää.

Käsittelyn tiedot

Käsittelyn kohde ja kesto

Käsittely, jota GenderAPI:n tarjoaminen edellyttää Asiakkaan käyttäessä Palvelua, sekä tässä DPA:ssa ja tietosuojakäytännössä kuvatut rajatut poisto-, varmuuskopio-, tietoturva- ja lakisääteiset säilytysajat.

Käsittelyn luonne ja tarkoitus

API-kyselyjen, ladattujen Excel- tai CSV-tiedostojen ja yhdistettyjen taulukkotoimintojen tietojen vastaanottaminen, siirtäminen, analysointi ja tulosten palauttaminen sekä niihin liittyvä isännöinti, tietoturva, vianetsintä ja tuki.

Rekisteröityjen ryhmät

Henkilöt, joiden nimiä, sähköpostiosoitteita, käyttäjänimiä tai niihin liittyviä tietueita Asiakas lähettää; Asiakkaan käyttäjät, henkilöstö, yhteyshenkilöt tai loppukäyttäjät; sekä henkilöt, joita ladatut tai yhdistetyt taulukkotiedot koskevat.

Henkilötietotyypit

Nimet, sähköpostiosoitteet, käyttäjänimet, maa- tai lokalisointitieto, asiakkaan antamat taulukon kentät, päätelty sukupuolitulos ja luottamusarvoa koskevat tiedot sekä Palvelun toiminnan edellyttämät rajatut pyyntö-, laite-, todennus- ja tietoturvametatiedot. Asiakas ei saa lähettää erityisiin henkilötietoryhmiin kuuluvia tietoja, ellei siitä ole nimenomaisesti sovittu kirjallisesti ja se ole lain mukaan sallittua.