YLEISET EHDOT (GTC)

Leadoo-kumppanuudelle

Nämä yleiset ehdot (”GTC”) sisällytetään viittauksella jokaiseen kumppanuussopimukseen (Partnership Agreement), joka on sõlmittu Leadoo Marketing Technologies Oy:n (Y-tunnus 2922046-1, rekisteröity osoite Paasivuorenkatu 3, 00530 Helsinki, SUOMI) (”Leadoo”) ja Kumppanin välillä, ja ne säätelevät kaikkia niitä oikeuksia ja velvollisuuksia, joista ei ole nimenomaisesti määrätty Kumppanuussopimuksessa.

1 YLEISET SÄÄNNÖKSET

1. Osapuolet sitoutuvat täyttämään tämän Sopimuksen mukaiset velvoitteensa huolellisesti ja hyvän uskon mukaisesti.
2. Leadoo vahvistaa omistavansa kaikki rekisteröidyt ja rekisteröimättömät aineettomat oikeudet (IPR), jotka liittyvät Leadoo-tuotteisiin.
3. Kumppani vahvistaa, että sillä on käytettävissään riittävät ja asianmukaiset sisäiset resurssit, jotka mahdollistavat Leadoo-tuotteiden käyttöön tarkoitettujen asiakkaiden hankinnan, perehdyttämisen (onboarding) ja pitämisen (retention). Kumppani ilmoittaa tuntevansa Leadoo-tuotteiden toiminnallisuudet ja ominaisuudet siinä määrin kuin edellä mainitun toiminnan harjoittaminen edellyttää.

2 LEADOON OIKEUDET JA VELVOLLISUUDET

1. Leadoo tekee kaikki kohtuulliset pyristykset ylläpitääkseen Leadoo-alustan jatkuvaa kehitystä ja varmistaakseen sen luotettavuuden.
2. Leadoo tekee kaikki kohtuulliset pyristykset ylläpitääkseen 24/7-asiakaspalvelua ja teknistä tukea osoitteessa [email protected].
3. Leadoo tarjoaa Kumppanille kaiken tarvittavan tuen ja koulutuksen myynti-, perehdytys- ja asiakaspitoprosessien helpottamiseksi.
4. Ellei toisin sovita, Leadoo tarjoaa omistautunutta asiakastukea kaikille Kumppanin hankkimille tai suosittelemille asiakkaille valitun lisenssityypin mukaisesti Osapuolten sovittujen järjestelyjen mukaisesti.
5. Leadoolla on yksinomainen harkintavalta luoda suoria suhteita asiakkaisiin, jos asiakas niin päättää tai jos ilmenee merkittäviä asiakaspito-ongelmia.
6. Leadoo voi tarjota Kumppanille potentiaalisia asiakkaita lisäarvopalveluita varten (perehdytys, koulutus, konsultointi, strategian toteutus) veloittamatta komissioita, edellyttäen että Kumppani suostuu tähän.
7. Leadoo voi käyttää Kumppanin logoa, brändiä ja kumppanuuden aikana vastaanotettuja materiaaleja markkinointitarkoituksiin.

3 KUMPPANIN OIKEUDET JA VELVOLLISUUDET

1. Kumppani pidättäytyy kaikesta toiminnasta, joka loukkaa Leadoon aineettomia oikeuksia tai hyvän kilpailutavan sääntöjä.
2. Kumppani ilmoittaa Leadoolle ennen kuin se aloittaa kilpailevien tuotteiden suoramyynnin Leadoon nykyisille asiakkaille, paitsi jos asiakas aloittaa toimittajan vaihdon.
3. Kumppani on velvollinen pitämään luottamuksellisina kaikki tämän Sopimuksen määräykset, liiketoiminnallisen tietotaidon (know-how) ja kaikki mahdollisia ja nykyisiä asiakkaita koskevat tiedot sopimuskauden aikana ja 5 vuotta sen päättymisen jälkeen.
4. Kumppani voi käyttää Leadoon logoa, brändiä ja kumppanuuden aikana vastaanotettuja materiaaleja markkinointitarkoituksiin tai ottaakseen yhteyttä potentiaalisiin asiakkaisiin.
5. Kumppani voi tarjota lisäarvopalveluita asiakkaille. Leadoo ei veloita komissioita näistä palveluista.
6. Kaikki Leadoon aineettomat oikeudet, mukaan lukien Leadoo-alustaan liittyvät oikeudet (kuten logiikka, organisointiperiaatteet ja tukidokumentaatio), tietotaito ja luottamukselliset tiedot, pysyvät Leadoon yksinomaisena omaisuutena. Kumppanin käyttöoikeus rajoittuu tiukasti siihen, mitä Sopimuksessa on nimenomaisesti määrätty.

4 KOMISSIOT – YLEISET MÄÄRÄYKSET

1. Leadoo voi oman harkintansa mukaan ja ilman velvoitetta välittää omia liidejään Kumppanille. Tällaisten liidien komissiotasot määritellään tapauskohtaisesti. Kumppani saa käyttää Leadoon tarjoamia liidejä vain tämän Sopimuksen toteuttamiseen.
2. Komissiot koskevat vain Leadoon lisenssimaksuista kertyviä tuloja (netto, maksetut laskut). Ne eivät koske lisäpalveluita, joita Leadoo toimittaa Kumppanin asiakkaalle.
3. Kumppani saa kuukausittaisen tilitysraportin, joka sisältää yksityiskohtaisen luettelon laskuista ja maksujen tiloista. Komission tilitysehdot:
   • 4.1 Jos lisenssisopimuksen tekee suoraan Leadoo tai Kumppani Leadoon puolesta — Leadoo maksaa oman harkintansa mukaan komission maksetuista laskuista lisenssisopimuksen mukaisina tilitysjaksoina tai kuukausisykleissä;
   • 4.2 Jos lisenssisopimus tehdään Kumppanin ja Leadoon välillä — Kumppani saa komission maksetuista laskuista lisenssisopimuksen mukaisten tilitysjaksojen mukaisesti.
4. Jos maksun viivästyminen luokitellaan luottotappioksi (>180 päivää), Kumppanilla ei ole oikeutta komissioon kyseisistä laskuista.
5. Leadoo ei ole vastuussa paikallisista, liittovaltion tai osavaltion veroista, joita voidaan kantaa Kumppanin maassa.
6. Tilanteissa, joita tämä Sopimus ei kata, Osapuolet saavuttavat yksilöllisen konsensuksen. Kumppanilla ei ole oikeutta kulujen korvaukseen, ellei toisin ole kirjallisesti sovittu.

5 VASTUU

Jos Osapuoli rikkoo tämän Sopimuksen määräyksiä, se sitoutuu maksamaan vahingonkorvausta toiselle Osapuolelle yleisten oikeusperiaatteiden mukaisesti.

6 SOPIMUKSEN PÄÄTTÄMINEN

1. Leadoo voi irtisanoa Sopimuksen päättymään välittömästi seuraavissa olosuhteissa:
   • Kumppanin laskujen maksulaiminlyönti ylittää 30 päivää (koskee sopimuksia, jotka Kumppani on tehnyt asiakkaan puolesta),
   • ilman että se rajoittaa Sopimuksen irtisanomismahdollisuutta, edellä mainittu rikkomus voi johtaa myös Kumppanin asiakkaan Leadoo-pääsyn rajoittamiseen tai estämiseen,
   • Kumppani rikkoo sosiaalisen yhteiselon tai liike-etiikan perussääntöjä, joilla on vaikutusta Leadoon imagoon tai Leadoo-brändiin,
   • Kumppani rikkoo lain säännöksiä,
   • jos Kumppanilta puuttuu myyntitoimintaa vähintään 2 kuukauden ajan, jolloin myyntitoiminnaksi ymmärretään kaikki toiminnot, jotka johtavat asiakkaiden hankintaan (esim. sosiaalisen median postaukset, yhteiset webinaarit, blogikirjoitukset, kumppanin outbound-toiminta, myyntipuheet),
   • jos Kumppani ei sitoudu asiakaspalveluprosessiin, erityisesti jos Kumppani ei vastaa asiakkaalle tai Leadoon Customer Success Managerille, joka vastaa Kumppanin hankkimasta asiakkaasta – kun Kumppanin sitoutuminen on välttämätöntä kyseisen asiakkaan pitämiseksi.
2. Osapuolet voivat irtisanoa tämän Sopimuksen milloin tahansa ilman syytä 3 kuukauden irtisanomisajalla.
3. Epäselvyyksien välttämiseksi Osapuolet lepäävät siitä, että tämän Sopimuksen päättymisen jälkeen Kumppanilla ei ole oikeutta mihinkään komissioihin, ellei Kumppanuussopimuksessa ole nimenomaisesti toisin määrätty.

7 SÄÄNTÖJEN NOUDATTAMINEN (COMPLIANCE)

1. Kumppanin on noudatettava kaikkia sovellettavia vientivalvonta-, talouspakote- ja tuontilakeja sekä -määräyksiä, mukaan lukien EU:n, Yhdistyneen kuningaskunnan ja Yhdysvaltojen määräykset. Kumppani ei suoraan tai välillisesti ryhdy liikesuhteeseen minkään henkilön tai yhteisön kanssa, joka: (i) asuu, sijaitsee tai on järjestäytynyt sellaisen maan lakien mukaan, johon kohdistuu kattavia talouspakotteita (tällä hetkellä Krimin alue, Kuuba, Iran, Pohjois-Korea ja Syyria) (”Pakotemaat”); tai (ii) on yksilöity missä tahansa sovellettavassa rajoitettujen osapuolten luettelossa (mukaan lukien OFAC SDN -luettelo, HM Treasury Consolidated -luettelo, EU:n konsolidoitu luettelo) (”Rajoitettujen osapuolten luettelot”).
2. Kumppani takaa, että se ei asu eikä tule asumaan Pakotemaassa, eikä sitä ole yksilöity Rajoitettujen osapuolten luettelossa. Leadoo pidättää oikeuden pyytää määräaikaisia kirjallisia vahvistuksia sääntöjen noudattamisesta.

8 TIETOSUOJA

1. Kumppanin on noudatettava tiukasti sovellettavaa tietosuojalainsäädäntöä, mukaan lukien GDPR, käsitellessään henkilötietoja tämän Sopimuksen alaisuudessa, mukaan lukien asianmukaisten suostumusten hankkiminen ja vaadittujen teknisten ja organisatoristen toimenpiteiden toteuttaminen. Kumppani vapauttaa Leadoon vastuusta ja korvaa sille tappiot tai vahingot, jotka johtuvat Kumppanin, sen työntekijöiden, alihankkijoiden tai toimittajien aiheuttamasta tietoturvaloukkauksesta. Kumppanin vastuu rajoittuu vahinkoihin, jotka johtuvat tahallisuudesta tai törkeästä huolimattomuudesta.
2. Kumppani ilmoittaa lukeneensa tiedot Leadoon suorittamasta Kumppanin edustajien henkilötietojen käsittelystä (Liite 1) ja sitoutuu toimittamaan nämä tiedot asianomaisille rekisteröidyille.
3. Osapuolet ovat säännelleet luovutettujen henkilötietojen käsittelyä liitteenä 2 olevassa Henkilötietojen käsittelysopimuksessa.
4. Kun lisenssisopimus tehdään näiden GTC-ehtojen kohdan 4.3.2 mukaisesti, Kumppanin on 14 kalenteripäivän kuluessa siitä päivästä, jona loppuasiakkaalle myönnetään pääsy Leadoo-alustalle, toimitettava Leadoolle kirjallinen vahvistus (sähköposti osoitteeseen [email protected] riittää) siitä, että loppuasiakkaalle on toimitettu kaikki asetuksen (EU) 2023/2854 (datiasasetus / Data Act) 28 artiklan 1 kohdan mukaisesti vaaditut tiedot, mukaan lukien Leadoon yleisten ehtojen liitteessä nro 1 esitetyt toimivaltaisia tuomioistuimia koskevat tiedot.
5. Kumppanin on välitettävä Leadoolle ilman aiheetonta viivästystä ja joka tapauksessa 48 tunnin kuluessa vastaanottamisesta kaikki loppuasiakkaan esittämät pyynnöt, valitukset tai vaatimukset, jotka liittyvät Data Actin mukaisiin oikeuksiin, mukaan lukien tietojen siirtämistä järjestelmästä toiseen tai vaihtamista koskevat pyynnöt sen 23–25 artiklan mukaisesti. Tämän velvoitteen noudattamatta jättäminen katsotaan tämän Sopimuksen olennaiseksi rikkomukseksi, ja se oikeuttaa Leadoon irtisanomaan Sopimuksen päättymään välittömästi kohdan 6(1) mukaisesti.
6. Kumppanin on sisällytettävä loppuasiakkaan kanssa tekemäänsä sopimukseen määräys, jossa loppuasiakkaalle ilmoitetaan, että Data Actia koskevat pyynnöt voidaan toimittaa suoraan Leadoolle osoitteeseen [email protected] ja että Leadoo käsittelee tällaiset pyynnöt sovellettavan lain mukaisten velvoitteidensa mukaisesti.
7. Kumppani korvaa ja pitää Leadoon vahingoittumattomana kaikista tappioista, viranomaissakoista, vahingoista tai kuluista (mukaan lukien kohtuulliset asianajopalkkiot), joita Leadoolle aiheutuu siitä, että Kumppani ei täytä tässä 8 kohdassa asetettuja velvoitteita.

9 LOPPUSÄÄNNÖKSET

1. Nämä GTC-ehdot yhdessä Kumppanuussopimuksen kanssa ratkaisevat lopullisesti ja korvaavat kaikki Osapuolten aiemmat keskustelut ja järjestelyt.
2. Kumppani voi siirtää tämän Sopimuksen mukaisia oikeuksia tai velvollisuuksia kolmannelle osapuolelle vain Leadoon etukäteen antamalla kirjallisella hyväksynnällä.
3. Kaikki muutokset on tehtävä kirjallisesti tai digitaalisilla allekirjoitustyökaluilla (esim. DocuSign) tai skannatun asiakirjan muodossa, muutoin ne ovat mitättömiä.
4. Jos jokin määräys todetaan lainvastaiseksi, mitättömäksi tai täytäntöönpanokelvottomaksi, se poistetaan ja Sopimus jää muutoin täysin voimaan. Osapuolet neuvottelevat hyvässä uskoakseen sovittaakseen molempia osapuolia tyydyttävän vaihtoehdon.
5. Kaikki riidat kuuluvat Leadoon rekisteröidyn kotipaikan tuomioistuinten yksinomaiseen toimivaltaan. Osapuolet voivat myös keskinäisesti sopia riitojen ratkaisemisesta sovinnollisesti tai sovittelulla.
6. Tähän Sopimukseen sovelletaan Suomen lainsäädäntöä ja sitä tulkitaan sen mukaisesti.

LIITE 1 – TIETOA HENKILÖTIETOJEN KÄSITTELYSTÄ

Rekisterinpitäjä: Henkilötietojesi rekisterinpitäjä on Leadoo Marketing Technologies Oy, Y-tunnus 2922046-1, rekisteröity osoite Paasivuorenkatu 3, 00530 Helsinki, Suomi (jäljempänä ”Leadoo” tai ”rekisterinpitäjä”).

Henkilötietojen käsittelyn tarkoitukset ja oikeusperuste: Rekisterinpitäjä käsittelee luonnollisina henkilöinä olevien sopimuskumppaneiden henkilötietoja:

• sopimuksen täytäntöön panemiseksi sopimuskumppaneiden ja rekisterinpitäjän välillä tai toimenpiteiden toteuttamiseksi sopimuskumppaneiden pyynnöstä ennen sopimuksen tekemistä (GDPR 6 artiklan 1 kohdan b alakohta);
• rekisterinpitäjälle kuuluvien lakisääteisten velvoitteiden täyttämiseksi, jotka johtuvat erityisesti vero- ja kirjanpitolainsäädännöstä (GDPR 6 artiklan 1 kohdan c alakohta);
• vaateiden esittämiseksi tai puolustamiseksi, mikä on rekisterinpitäjän oikeutettu etu (GDPR 6 artiklan 1 kohdan f alakohta).

Henkilötietojen käsittelyn tarkoitukset ja oikeusperuste: Rekisterinpitäjä käsittelee sopimuskumppanin edustajien, sopimuksia toteuttavien henkilöiden, käyttäjien ja yhteyshenkilöiden henkilötietoja:

• liikesuhteiden ylläpitämiseksi, mikä on rekisterinpitäjän oikeutettu etu (GDPR 6 artiklan 1 kohdan f alakohta);
• rekisterinpitäjälle kuuluvien lakisääteisten velvoitteiden täyttämiseksi, jotka johtuvat erityisesti vero- ja kirjanpitolainsäädännöstä (GDPR 6 artiklan 1 kohdan c alakohta);
• käyttäjätilin luomiseksi asiakkaan kanssa tehdyn sopimuksen täyttämiseksi, mikä on rekisterinpitäjän oikeutettu etu (GDPR 6 artiklan 1 kohdan f alakohta);
• vaateiden esittämiseksi tai puolustamiseksi, mikä on rekisterinpitäjän oikeutettu etu (GDPR 6 artiklan 1 kohdan f alakohta).

Henkilötietojen vastaanottajat: Rekisterinpitäjä voi luovuttaa sopimuskumppaneiden henkilötietoja lain nojalla valtuutetuille tahoille. Rekisterinpitäjää tukevilla tahoilla, mukaan lukien IT-palveluntarjoajat, voi myös olla pääsy sopimuskumppaneiden henkilötietoihin rekisterinpitäjän kanssa tehtyjen sopimusten perusteella.

Käsittelyaika: Sopimuskumppaneiden henkilötietoja käsitellään lain edellyttämän ajan tai mahdollisten vaateiden vanhentumisajan verran riippuen siitä, kumpi näistä ajankohdista on myöhäisempi. Yhteydenottotarkoituksiin käsiteltäviä henkilötietoja käsitellään liikesuhteen keston ajan.

Vapaaehtoisuus / velvollisuus antaa henkilötietoja: Henkilötietojen antaminen on vapaaehtoista, mutta välttämätöntä sopimuksen tekemiseksi rekisterinpitäjän kanssa.

Henkilötietojen siirrot kolmansiin maihin tai kansainvälisille järjestöille: Henkilötietojasi käsitellään myös työkaluissa/järjestelmissä, joita tarjoavat rekisterinpitäjää tukevat tahot, joiden kotipaikka on tai jotka käsittelevät tietoja Euroopan talousalueen ulkopuolella. Tässä tapauksessa henkilötiedot siirretään Euroopan komission hyväksymien vakiosopimuslausekkeiden tai Euroopan komission päätöksen perusteella, jossa todetaan riittävä tietosuojan taso kyseisessä maassa, esim. EU:n ja Yhdysvaltojen välisen tietosuojakehyksen (EU-US Data Protection Framework) perusteella.

Pelkästään automaattiseen käsittelyyn/profilointiin perustuva päätöksenteko: Rekisterinpitäjä ei tee päätöksiä, jotka perustuvat pelkästään automaattiseen käsittelyyn, mukaan lukien profilointi (edellä kuvattujen tietojenkäsittelytarkoitusten osalta).

Rekisteröidyn oikeudet: Sinulla on soveltuvin osin oikeus:

• pyytää pääsyä henkilötietoihisi, niiden oikaisemista, poistamista ja käsittelyn rajoittamista, ja jos henkilötietojasi käsitellään automaattisesti sopimuksen perusteella, sinulla on myös oikeus siirtää henkilötietosi järjestelmästä toiseen;
• peruuttaa suostumuksesi milloin tahansa, jos tietoja käsiteltiin tämän suostumuksen perusteella. Suostumuksen peruuttaminen ei vaikuta ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen;
• vastustaa henkilötietojesi käsittelyä – kun tietoja käsitellään rekisterinpitäjän oikeutetun edun perusteella.

Sinulla on myös oikeus tehdä valitus valvontaviranomaiselle (Tietosuojavaltuutetun toimisto), PL 800, 00531 Helsinki, sähköposti: [email protected]

Rekisterinpitäjä:

Leadoo Marketing Technologies Oy

Y-tunnus 2922046-1

Paasivuorenkatu 3, 00530 Helsinki SUOMI

Tietosuojavastaava:

sähköposti: [email protected]

LIITE 2 – HENKILÖTIETOJEN KÄSITTELYSOPIMUS (DPA)

Leadoo Marketing Technologies Oy:n (”Toimeksiantaja” / ”Entruster”) ja Kumppanin (”Käsittelijä” / ”Processor”) välillä, yhdessä ”Osapuolet”.

1 MÄÄRITELMÄT

1. Aina kun tässä Sopimuksessa viitataan seuraaviin termeihin:
   • GDPR – tarkoitetaan Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkumisesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus);
   • Sopimus – tarkoitetaan tätä Henkilötietojen käsittelysopimusta;
   • Pääsopimus – tarkoitetaan Toimeksiantajan ja Käsittelijän välillä solmittua Kumppanuussopimusta (Partnership Agreement).
2. Jos tässä DPA-sopimuksessa käytetään GDPR:ssä määriteltyjä termejä, näillä termeillä on sama merkitys kuin GDPR:ssä.

2 OSAPUOLTEN ILMOITUKSET

1. Käsittelijä ilmoittaa täten, että sillä on resurssit, mukaan lukien infrastruktuuriresurssit, kokemus, tietotaito ja pätevä henkilöstö siinä määrin, että se kykenee täyttämään Sopimuksen asianmukaisesti sovellettavien lakien mukaisesti. Erityisesti Käsittelijä ilmoittaa tuntevansa GDPR:stä johtuvat henkilötietojen käsittelyn ja tietoturvan periaatteet.
2. Käsittelijä ilmoittaa käsittelevänsä henkilötietoja vain Toimeksiantajan dokumentoidun ohjeistuksen mukaisesti. Dokumentoiduksi ohjeeksi on katsottava erityisesti Sopimuksen ja Pääsopimuksen nojalla tilatut tietojenkäsittelytoimenpiteet.
3. Käsittelijä ilmoittaa täten soveltavansa kaikkia vaadittuja teknisiä ja organisatorisia toimenpiteitä, jotta käsittely suoritetaan GDPR 32 artiklan mukaisesti.
4. Toimeksiantaja ilmoittaa, että se on luovutettujen henkilötietojen osalta rekisterinpitäjä tai käsittelijä ja sillä on oikeus käsitellä niitä ja uskoa tai edelleen uskoa niiden käsittely.

3 DPA-SOPIMUKSEN KOHDE

1. GDPR 28 artiklan 3 kohdan mukaisesti Toimeksiantaja uskoo Käsittelijälle henkilötietojen käsittelyn tässä Sopimuksessa määritellyssä laajuudessa.
2. Sopimus on tehty Toimeksiantajan ja Käsittelijän välisen Pääsopimuksen toteuttamisen yhteydessä.
3. Uskotun henkilötietojen käsittelyn tarkoitus liittyy Käsittelijän Pääsopimuksessa yksilöityjen toimintojen suorittamiseen. Uskotun henkilötietojen käsittelyn luonne käsittää erityisesti seuraavat henkilötietoihin kohdistuvat toiminnot tai toimintosarjat, joita Käsittelijä suorittaa: kerääminen, järjestäminen, jäsennys, säilyttäminen, haku, katselu, käyttö, yhdistäminen, rajoittaminen, poistaminen.
4. Sopimus kattaa seuraavien henkilötietoryhmien luovuttamisen:
   • Henkilöryhmät: luonnollisina henkilöinä olevat sopimuskumppanit, sopimuskumppaneiden edustajat, Toimeksiantajan ja sopimuskumppanin välistä sopimusta täytäntöön panevat henkilöt, sopimuskumppanin nimeämät henkilöt yhteydenpitoon Toimeksiantajan kanssa, luonnollisina henkilöinä olevat mahdolliset sopimuskumppanit, mahdollisten sopimuskumppaneiden edustajat, henkilöt, jotka täytäntöön panevat sopimusta, jonka Toimeksiantaja ja mahdollinen sopimuskumppani aikovat tehdä, mahdollisen sopimuskumppanin nimeämät henkilöt yhteydenpitoon Toimeksiantajan kanssa.
   • Tietojen laajuus: nimi, sukunimi, sähköpostiosoite, puhelinnumero, muut yhteystiedot, tehtävänimike, kirjeenvaihto-osoite, sopimuskumppanin rekisteröidyn toimipaikan osoite, työpaikka, muut tiedot, jotka ovat välttämättömiä Sopimuksen 3 §:n 3 momentissa määritellyn tarkoituksen toteuttamiseksi.

4 OSAPUOLTEN OIKEUDET JA VELVOLLISUUDET

Käsittelijän on:

1. Käsiteltävä henkilötietoja GDPR:n, GDPR:n soveltamiseksi annettujen sovellettavien kansallisten säännösten, muiden sovellettavien lakien, Sopimuksen ja Toimeksiantajan ohjeiden (määräysten) mukaisesti. Toimeksiantajan on toimitettava ohjeet (määräykset) sähköpostitse Sopimuksen 10 §:n 4 momentin a kohdassa ilmoitettuun osoitteeseen; Käsittelijän on toteutettava ohjeet (määräykset) viipymättä, kuitenkin viimeistään 7 arkipäivän kuluessa niiden vastaanottamisesta.
2. Käsiteltävä henkilötietoja vain Toimeksiantajan dokumentoidun ohjeen mukaisesti (jollaiseksi katsotaan erityisesti tämä Sopimus), ellei sovellettavassa kansallisessa tai EU:n lainsäädännössä toisin edellytetä. Jos Käsittelijän velvollisuus käsitellä henkilötietoja perustuu lakiin, Käsittelijän on ilmoitettava Toimeksiantajalle sähköpostitse – ennen käsittelyn aloittamista – tästä lakisääteisestä velvoitteesta, ellei kyseinen laki kiellä tällaisen tiedon antamista tärkeän yleisen edun vuoksi;
3. Käsiteltävä henkilötietoja vain Pääsopimuksessa sovitussa paikassa ja Käsittelijän ja sen henkilöstön tai Toimeksiantajan hallinnoimilla laitteilla sovellettavien lakien edellyttämien korkeimpien tietoturva- ja tietosuojaperiaatteiden mukaisesti.
4. Myönnettävä pääsy henkilötietoihin vain henkilöille, jotka Käsittelijä on tehtäviensä laajuuden vuoksi valtuuttanut käsitellä tällaisia tietoja ja vain Sopimuksen mukaisten velvoitteidensa täyttämiseksi, ja ryhdyttävä toimenpiteisiin sen varmistamiseksi, että jokainen Käsittelijän alaisuudessa toimiva luonnollinen henkilö, jolla on pääsy henkilötietoihin, käsittelee niitä vain Toimeksiantajan ohjeesta, ellei käsittelyä edellytetä sovellettavissa kansallisissa tai EU:n säännöksissä;
5. Varmistettava, että henkilötietoina käsitellä valtuutetut henkilöt sitoutuvat salassapitovelvollisuuteen (salassapitovelvollisuuden säilyessä myös Sopimuksen täytäntöönpanon ja Käsittelijän palvelussuhteen päättymisen jälkeen vähintään 3 vuotta Sopimuksen päättymisestä), elleivät he ole henkilöitä, joita koskee asianmukainen lakisääteinen salassapitovelvollisuus;
6. Ylläpidettävä luetteloa henkilöistä, joille on annettu ohjeet käsitellä Pääsopimuksen täytäntöönpanon yhteydessä käsiteltäviä henkilötietoja, ja toimitettava kopio tai asianmukainen ote tällaisesta luettelosta aina Toimeksiantajan pyynnöstä;
7. Toteutettava Sopimuksen 5 §:n ohjeiden mukaisesti asianmukaiset tekniset ja organisatoriset toimenpiteet sellaisen turvallisuustason varmistamiseksi, joka vastaa niiden luonnollisten henkilöiden oikeuksien ja vapauksien loukkaamisen riskiä, joiden henkilötietoja käsitellään Sopimuksen nojalla, ja varmistettava sisäänrakennetun ja oletusarvoisen tietosuojan periaatteiden toteuttaminen (GDPR 25 artiklan mukaisesti);
8. Tuettava Toimeksiantajaa (erityisesti asianmukaisten teknisten ja organisatoristen toimenpiteiden avulla) sen velvollisuuden täyttämisessä, joka koskee rekisteröityjen pyyntöihin vastaamista näiden käyttäessä GDPR:n III luvussa asetettuja oikeuksiaan. Käsittelijän yhteistyön Toimeksiantajan kanssa edellä ilmoitetussa laajuudessa on tapahduttava muodossa ja aikataulussa, jonka ansiosta Toimeksiantaja voi täyttää nämä velvoitteet; tämän velvoitteen täyttämisen yhteydessä Käsittelijän on erityisesti:
   • rekisteröidyn pyytäessä GDPR 15 artiklassa tarkoitettua saantioikeutta, valmisteltava Toimeksiantajalle raportti 5 arkipäivän kuluessa, jotta Toimeksiantaja voi toimittaa rekisteröidylle GDPR 15 artiklan 1 kohdassa tarkoitetut tiedot,
   • rekisteröidyn ilmoittaessa GDPR 16 artiklassa tarkoitetusta oikeudesta tietojen oikaisemiseen, merkittävä rekisteröidyn pyyntö päivittämällä henkilötiedot siltä osin kuin henkilötietojen päivitys kuuluu Pääsopimuksen piiriin, ja toimitettava siitä tieto Toimeksiantajalle 5 arkipäivän kuluessa,
   • rekisteröidyn ilmoittaessa GDPR 17 artiklassa tarkoitetusta oikeudessa tulla unohdetuksi, välitettävä tämä pyyntö viipymättä Toimeksiantajalle, viimeistään 3 arkipäivän kuluessa siitä, kun rekisteröity on esittänyt pyynnön,
   • rekisteröidyn ilmoittaessa GDPR 18 artiklassa tarkoitetusta oikeudesta käsittelyn rajoittamiseen, välitettävä tämä pyyntö viipymättä Toimeksiantajalle, viimeistään 3 arkipäivän kuluessa rekisteröidyn pyynnöstä,
   • rekisteröidyn ilmoittaessa GDPR 20 artiklassa tarkoitetusta oikeudestaan siirtää tiedot järjestelmästä toiseen, vietävä Toimeksiantajalle kaikki kyseistä henkilöä koskevat sähköisesti käsiteltävät henkilötiedot viimeistään 5 arkipäivän kuluessa rekisteröidyn pyynnöstä,
   • rekisteröidyn ilmoittaessa GDPR 21 artiklassa tarkoitetusta vastustamisoikeudestaan, toimitettava tiedot viipymättä Toimeksiantajalle, viimeistään 3 arkipäivän kuluessa rekisteröidyn pyynnöstä,
   • rekisteröidyn pyytäessä oikeutta ihmisen interventioon rekisterinpitäjän puolelta tai oikeutta esittää kantansa ja riitauttaa automaattinen päätös GDPR 22 artiklassa tarkoitetulla tavalla, välitettävä tämä pyyntö viipymättä Toimeksiantajalle viimeistään 3 arkipäivän kuluessa rekisteröidyn pyynnöstä.
   • Käsittelijä ei kuitenkaan saa vastata tällaiseen pyyntöön ilman Toimeksiantajan etukäteistä suostumusta tai nimenomaista ohjetta;
9. Toimitettava Toimeksiantajan puolesta rekisteröidylle tämän henkilötietojen hankkimisen yhteydessä kaikki GDPR 13 artiklassa tarkoitetut tiedot, mikäli tämä henkilötietotoimintojen kokonaisuus tapahtuu Pääsopimuksen täytäntöönpanossa. Käsittelijän Toimeksiantajan puolesta esittämän tietosuoja-ilmoituksen sisältö ja muoto voivat muuttua milloin tahansa; uutta tietosuoja-ilmoitusta sovelletaan Toimeksiantajan ilmoittamasta päivämäärästä alkaen.
10. Noudatettava kaikkia valvontaviranomaisen tai EU:n tietosuojaa käsittelevän neuvoa-antavan toimielimen mahdollisesti antamia ohjeita tai suosituksia, jotka koskevat henkilötietojen käsittelyä, erityisesti GDPR:n soveltamisen osalta;
11. Avustettava Toimeksiantajaa GDPR:ssä asetettujen velvoitteiden noudattamisessa (mukaan lukien erityisesti GDPR:n 32–36 artiklat), ts. erityisesti:
    • Soveltava kaikkia teknisiä ja organisatorisia toimenpiteitä henkilötietojen suojaamiseksi GDPR 32 artiklassa säädettyjen periaatteiden mukaisesti;
    • Tehtävä ilmoituksia henkilötietojen tietoturvaloukauksista valvontaviranomaiselle ja ilmoitettava rekisteröidyille tällaisista loukkauksista. Käsittelijällä on velvollisuus:
      • toimittaa Toimeksiantajalle tiedot henkilötietojen tietoturvaloukauksesta 24 tunnin kuluessa siitä, kun henkilötietojen tietoturvaloukkauksen muodostava tapahtuma tai epäilty tapahtuma on havaittu, mukaan lukien GDPR 33 artiklan 3 kohdassa tarkoitettuun valvontaviranomaiselle tehtävään tietoturvalousilmoitukseen vaadittavien tietojen valmistelu; ilmoituksen tulee sisältää vähintään tiedot seuraavista:
        • henkilötietojen tietoturvaloukkauksen päivämäärä, kesto ja paikka;
        • loukkauksen luonne ja laajuus, eli erityisesti rekisteröityjen ryhmät ja arvioitu määrä sekä kyseessä olevat henkilötietotietueiden ryhmät ja arvioitu määrä ja, jos mahdollista, ilmoitus rekisteröidyistä, joihin asia vaikuttaa;
        • tietokonejärjestelmä, jossa rikkomus tapahtui (jos rikkomus tapahtui tietokonejärjestelmässä tapahtuneen tietojenkäsittelyn yhteydessä);
        • rikkomuksen aiheuttamien vahinkojen korjaamiseen tarvittava arvioitu aika;
        • niitä henkilötietoja koskeva luonne ja laajuus, joita rikkomus koskee;
        • rikkomuksen mahdolliset seuraukset ottaen huomioon seuraukset rekisteröidyille;
        • toimenpiteet, joihin on ryhdytty rikkomuksen seurausten minimoimiseksi, sekä ehdotetut ennaltaehkäisevät ja korjaavat toimenpiteet;
        • yhteystiedot henkilölle, joka voi antaa lisätietoja rikkomuksesta;
      • ylläpitää rekisteriä tietosuojaloukkauksista, josta käyvät ilmi henkilötietojen tietoturvaloukkauksen olosuhteet, sen seuraukset ja toteutetut korjaavat toimenpiteet,
      • muuttaa tietosuojaloukkausrekisterin kattamien tietojen laajuutta Toimeksiantajan pyynnöstä,
      • saattaa edellä mainittu loukkausrekisteri välittömästi Toimeksiantajan saataville tämän pyynnöstä,
      • suorittaa alustava analyysi rekisteröityjen oikeuksien ja vapauksien loukkaamisen syistä ja ilmoittaa tämän analyysin tulokset Toimeksiantajalle 24 tunnin kuluessa henkilötietojen tietoturvaloukkauksen muodostavan tapahtuman havaitsemisesta,
      • jos Käsittelijä ei pysty toimittamaan kaikkia edellä mainittuja tietoja Toimeksiantajalle samanaikaisesti, sen tulee toimittaa ne peräkkäin ilman aiheetonta viivästystä,
      • nimetä henkilöt, jotka vastaavat toimenpiteistä rikkomuksen korjaamiseksi ja korjaavien toimenpiteiden toteuttamisesta kuultuaan Toimeksiantajaa,
      • ennen kuin Toimeksiantaja antaa ohjeita, ryhdyttävä ilman aiheetonta viivästystä kaikkiin kohtuullisiin toimenpiteisiin henkilötietojen tietoturvaloukkauksen haitallisten vaikutusten lieventämiseksi ja korjaamiseksi.
      • Käsittelijä ei saa ilman Toimeksiantajan nimenomaista ohjetta (määräystä) ilmoittaa rikkomuksesta rekisteröidyille eikä valvontaviranomaiselle;
    • Suorittaa Toimeksiantajan puolesta tietosuojaa koskevia vaikutustenarviointeja ja kuulla Toimeksiantajaa valvontaviranomaisen kanssa.
12. Säilytettävä kirjallisesti (mukaan lukien sähköisesti) rekisteriä kaikista Toimeksiantajan puolesta suoritetuista käsittelytoimintojen luokista ja myönnettävä Toimeksiantajalle pääsy niihin rekisterin osiin, jotka liittyvät Toimeksiantajan puolesta suoritettuun tietojenkäsittelyyn;
13. Saattaa Toimeksiantajan saataville tämän pyynnöstä, viimeistään 3 arkipäivän kuluessa, kaikki tiedot, jotka ovat tarpeen Toimeksiantajan sovellettavien lakien, erityisesti GDPR:n, mukaisten velvoitteiden noudattamisen osoittamiseksi, mukaan lukien tietojen antaminen käytössä olevista suojatoimista, tunnistetuista riskeistä ja vaaratilanteista henkilötietojen suojan alalla;
14. Mahdollistettava Toimeksiantajan tai Toimeksiantajan valtuuttaman tilintarkastajan/auditoijan suorittamat auditoinnit Sopimuksen 7 §:n ehtojen mukaisesti;
15. Ilmoitettava välittömästi Toimeksiantajalle, jos se katsoo sille annetun määräyksen rikkovan GDPR:ää tai muita kansallisia tai EU:n tietosuojasäännöksiä; tätä koskevat tiedot tulee toimittaa Toimeksiantajalle sähköisessä muodossa, ja niihin tulee sisältyä asianmukaiset perustelut ja ilmoitus lainkohdasta, jota Käsittelijän mielestä on rikottu;
16. Ilmoitettava välittömästi, kuitenkin viimeistään 2 työpäivän kuluessa (ellei tämä johtaisi sovellettavan lain säännösten rikkomiseen) Toimeksiantajalle kaikista menettelyistä, erityisesti hallinnollisista tai tuomioistuinmenettelyistä, jotka koskevat Käsittelijän suorittamaa henkilötietojen käsittelyä, kaikista Käsittelijälle osoitetuista tietojenkäsittelyä koskevista hallintopäätöksistä tai -ratkaisuista, kaikista valvontaviranomaisen suorittamista tarkastuksista sekä kaikista rekisteröityjen valituksista, jotka liittyvät heidän henkilötietojensa käsittelyyn;
17. Säilytettävä henkilötietoja vain Toimeksiantajan määräämän ajan ja ilman aiheetonta viivästystä päivitettävä, korjattava, muutettava, anonymisoitava, rajoitettava käsittelyä tai poistettava nimetyt henkilötiedot Toimeksiantajan ohjeiden ja Pääsopimuksen mukaisesti.
18. Käsittelijä ei saa siirtää tämän Sopimuksen nojalla käsiteltäviä henkilötietoja kolmanteen maahan (eli maahan, joka ei ole Euroopan talousalueen jäsen) tai kansainväliselle järjestölle, elleivät Osapuolet ole toisin lepäänneet ja edellyttäen, että GDPR:n IV luvun vaatimukset täyttyvät tältä osin, mikä edellyttää erillisen kirjallisen sopimuksen tai tämän Sopimuksen liitteen tekemistä Osapuolten välillä mitättömyyden uhalla.

5 ORGANISATORISET JA TEKNISET TOIMENPITEET

1. Käsittelijän on toteutettava ja sovellettava asianmukaisia teknisiä ja organisatorisia toimenpiteitä ennen henkilötietojen käsittelyn aloittamista Sopimuksen nojalla varmistaakseen turvallisuustason, joka vastaa riskiä loukata niiden luonnollisten henkilöiden oikeuksia tai vapauksia, joiden henkilötietoja käsitellään Sopimuksen nojalla, ja sitoutuu ylläpitämään niitä Sopimuksen täytäntöönpanon aikana.
2. Arvioidessaan, onko Sopimuksen 5 §:n 1 momentissa tarkoitettu turvallisuustaso asianmukainen, Käsittelijän on otettava huomioon käsittelyyn liittyvät riskit, erityisesti ne, jotka aiheutuvat siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuvasta tai lainvastaisesta tuhoamisesta, häviämisestä, muuttamisesta, luvattomasta luovuttamisesta tai luvattomasta pääsystä niihin.
3. Käsittelijän on myös toteutettava sekä käsittelytapaa määritettäessä että itse käsittelyn aikana asianmukaiset tekniset ja organisatoriset toimenpiteet, joiden tarkoituksena on tehokkaasti toteuttaa GDPR:ssä asetetut tietosuojaperiaatteet ja suojella rekisteröityjen oikeuksia, sekä asianmukaiset tekniset ja organisatoriset toimenpiteet sen varmistamiseksi, että oletusarvoisesti käsitellään vain sellaisia henkilötietoja, jotka ovat välttämättömiä kunkin Sopimuksen 3 §ssä asetun tietyn käsittelytarkoituksen saavuttamiseksi.
4. Toteuttaessaan edellä mainittuja organisatorisia ja teknisiä toimenpiteitä Käsittelijä:
   • Noudattaa Toimeksiantajan ohjeita henkilötietojen käsittelyn turvaamisesta sovellettavan lain säännösten mukaisesti, kuten Sopimuksen 3 §:n 1 momentissa ja 4 §:n 1 momentin a kohdassa tarkoitetaan;
   • Ottaa huomioon uusin tekniikka ja käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä riski loukata niiden yksilöiden oikeuksia tai vapauksia, joiden henkilötietoja se käsittelee Sopimuksen nojalla;
   • Jos todetaan, että käytössä olevat toimenpiteet voivat olla riittämättömiä tunnistettujen riskien osalta, Käsittelijä ilmoittaa tästä Toimeksiantajalle ja sovittaa yhteistyössä Toimeksiantajan kanssa asianmukaiset suojatoimet henkilötietojen käsittelyä varten sen jälkeen, kun Osapuolet ovat meidän sopineet tällaisten toimenpiteiden laajuudesta, tavasta ja aikataulusta.
5. Käsittelijä on velvollinen sallimaan Toimeksiantajan pyynnöstä tarkastella käytössä olevia teknisiä ja organisatorisia toimenpiteitä sekä tällaisten toimenpiteiden dokumentaatiota, jotta käsittely suoritetaan lain mukaisesti, ja päivittämään tällaiset toimenpiteet yhteistyössä Toimeksiantajan kanssa.

6 ALIKÄSITTELIJÄT (SUB-PROCESSORS)

1. Käsittelijä voi luovuttaa sille uskotut henkilötiedot muille käsittelijöille (alikäsittelijöille) vain Sopimuksessa määritellyssä laajuudessa ja tarkoituksessa ja vain saatuaan Toimeksiantajan kirjallisen suostumuksen mitättömyyden uhalla. Käsittelijän on varmistettava, että se käyttää vain sellaisia alikäsittelijöitä, jotka antavat riittävät takuut asianmukaisten teknisten ja organisatoristen toimenpiteiden toteuttamisesta niin, että käsittely täyttää GDPR:n ja muiden sovellettavien lakien vaatimukset.
2. Jos henkilötietojen käsittely uskotaan alikäsittelijöille, tällaisen käsittelyn luovuttamisen on perustuttava sopimukseen, jolla alikäsittelijä sitoutuu täyttämään samat velvoitteet, jotka Käsittelijälle asetetaan tämän Sopimuksen nojalla.
3. Käsittelijän on varmistettava, että alikäsittelijä, jolle henkilötietojen käsittely on uskottu, soveltaa vähintään vastaavaa henkilötietojen suojan tasoa kuin Käsittelijä.
4. Toimeksiantajan pyynnöstä osoittaakseen Käsittelijän noudattavan Sopimuksen mukaisia velvoitteitaan Käsittelijän on saatettava Toimeksiantajan saataville kaikki tiedot alikäsittelijöistä ja näiden käsittelijöiden kanssa tehdyistä sopimuksista.
5. Toimeksiantaja voi vaatia Käsittelijää irtisanomaan välittömästi toisen käsittelijän kanssa tehdyn sopimuksen siltä osin kuin se liittyy uskotun henkilötietojen käsittelyyn siinä tapauksessa, että Käsittelijä on tehnyt sopimuksen tällaisen yhteisön kanssa henkilötietojen käsittelyn luovuttamisesta ilman Toimeksiantajan etukäteistä kirjallista suostumusta, samoin kuin siinä tapauksessa, että alikäsittelijä ei anna takuuta henkilötietojen riittävästä turvallisuudesta, ja missä tahansa muussa tapauksessa, jossa Toimeksiantajalla on kohtuullinen syy päätellä, että henkilötietojen edelleen jatkuvalla käsittelyllä tällaisen yhteisön toimesta on kielteinen vaikutus henkilötietojen suojaan.
6. Käsittelijä on täysin vastuussa Toimeksiantajalle Käsittelijän ja edelleen-käsittelijän välillä tehdyn sopimuksen mukaisten velvoitteiden noudattamisesta. Jos alikäsittelijä ei täytä tietosuojavelvoitteitaan, täysi vastuu Toimeksiantajalle alikäsittelijän velvoitteiden täyttämisestä on Käsittelijällä.

7 AUDITOINTI

1. Toimeksiantajalla on oikeus milloin tahansa auditoida Käsittelijän sekä minkä tahansa alikäsittelijän suorittaman henkilötietojen käsittelyn vaatimustenmukaisuus Sopimuksen ja sovellettavien lakien kanssa; erityisesti Toimeksiantaja voi tarkistaa Käsittelijän tai alikäsittelijän toteuttamien henkilötietojen käsittelyn teknisten ja organisatoristen suojatoimien asianmukaisuuden ja riittävyyden. Käsittelijän on omalla vastuullaan ja kustannuksellaan varmistettava, että Toimeksiantajan oikeuksia kutakin alikäsittelijää vastaan voidaan käyttää.
2. Toimeksiantajan on ilmoitettava Käsittelijälle vähintään 3 arkipäivää ennen suunniteltua auditointipäivää aikeestaan suorittaa auditointi, ellei rekisteröityjen oikeuksille ja vapauksille aiheutuvan korkean uhkariskin vuoksi auditointia pitäisi suorittaa välittömästi. Käsittelijä on velvollinen tekemään yhteistyötä Toimeksiantajan ja Toimeksiantajan valtuuttamien auditoijien kanssa, erityisesti tarjoamaan heille pääsyn tiloihin sekä asiakirjoihin, jotka kattavat henkilötiedot ja tiedot henkilötietojen käsittelytavasta, ICT-infrastruktuurista ja IT-järjestelmistä (mukaan lukien visuaalinen tarkastus), sekä henkilöiden luo, joilla on tietoa Käsittelijän suorittamista henkilötietojen käsittelyprosesseista (mukaan lukien kirjallisten tai suullisten selitysten hankkiminen tosiseikkojen toteamiseksi tarvittavassa laajuudessa). Toimeksiantaja suorittaa auditoinnin Käsittelijän liikesalaisuuksia kunnioittaen.
3. Auditoinnin tai tarkastuksen päätyttyä Toimeksiantajan valtuuttama työntekijä tai Toimeksiantajan valtuuttama kolmas osapuoli laatii auditoinnin tai tarkastuksen jälkeisen pöytäkirjan, joka sisältää ohjeet ja suositukset koskien erityisesti uskotun henkilötietojen käsittelyn turvallisuuden parantamista ja jonka molempien Osapuolten edustajat allekirjoittavat, ja Käsittelijä on velvollinen poistamaan pöytäkirjassa ilmoitetut säännönvastaisuudet ja noudattamaan siinä ilmoitettuja suosituksia Toimeksiantajan kanssa sovitussa ajassa.

8 VASTUU

1. Käsittelijä on täysin vastuussa vahingoista, joita aiheutuu Toimeksiantajalle, rekisteröidyille tai kolmansille osapuolille siitä, että Käsittelijä käsittelee Sopimuksen katamia henkilötietoja, GDPR:ää tai muita sovellettavia lakeja Sopimuksen vastaisesti, mukaan lukien toimiminen Toimeksiantajan laillisten ohjeiden ulkopuolella. Erityisesti Käsittelijä on vastuussa vahingoista, jotka aiheutuvat teknisten tai organisatoristen toimenpiteiden soveltamisesta tai soveltamatta jättämisestä henkilötietojen turvallisuuden varmistamiseksi niiden käsittelyn riskiä vastaavassa laajuudessa. Epäselvyyksien välttämiseksi Osapuolet lepäävät siitä, että mitkä tahansa Pääsopimuksessa määrätyt Käsittelijän vastuunrajoitukset eivät koske Käsittelijän tämän Sopimuksen mukaista vastuuta, mukaan lukien henkilötietojen suojan rikkomiset.
2. Käsittelijä on velvollinen maksamaan kaikki vahingot sekä kaikki kulut, kustannukset, mukaan lukien asianajopalkkiot ja taloudelliset seuraamukset, joita Toimeksiantajalle aiheutuu tai saattaa aiheutua tai joista Toimeksiantaja voi joutua vastuuseen sellaisen kannteen, vaatimuksen tai menettelyn yhteydessä, joka sita vastaan nostetaan Käsittelijän tämän Sopimuksen mukaisten velvoitteidensa ja GDPR:n ja muiden sovellettavien lakien mukaisten velvoitteidensa virheellisen täyttämisen yhteydessä.

9 SOPIMUKSEN PÄÄTTÄMINEN

1. Sopimuksen päättymispäivänä Käsittelijän tulee Toimeksiantajan ohjeiden mukaisesti palauttaa tai hävittää Toimeksiantajan kanssa erikseen sovitulla tavalla kaikki henkilötiedot ja niiden kopiot, elleivät sovellettavat kansallisen tai EU:n lainsäädännön säännökset edellytä henkilötietojen säilyttämistä.
2. Toimeksiantajan pyynnöstä Käsittelijä lähettää kirjallisen vahvistuksen henkilötietojen poistamisesta tämän määräämässä määräajassa.
3. Jos Käsittelijä tekee sopimuksen henkilötietojen käsittelyn luovuttamisesta alikäsittelijän kanssa, Käsittelijä sitoutuu sisällyttämään tällaiseen sopimukseen määräykset, joiden mukaan tämä sopimus päättyy automaattisesti tämän Sopimuksen päättyessä siltä osin kuin se koskee tämän Sopimuksen nojalla uskotun henkilötietojen käsittelyn luovuttamista.
4. Käsittelijä ilmoittaa Toimeksiantajalle kaikkien olemassa olevien henkilötietokopioiden poistamisesta ja mahdollistaa Toimeksiantajalle auditoinnin suorittamisen Sopimuksen 7 §:n mukaisesti.
5. Jos Toimeksiantaja rajoittaa uskotun käsittelyn laajuutta Sopimuksessa määritellyllä tavalla, käsittelyn luovuttamisen päättämistä koskevia määräyksiä sovelletaan vastaavasti henkilötietoihin, joita Käsittelijä ei laajuuden rajoittamisen vuoksi enää saa käsitellä.

10 LOPPUSÄÄNNÖKSET

1. Sopimus on voimassa Pääsopimuksen keston ja kaikkien tästä Sopimuksesta johtuvien velvoitteiden täyttämisen ajan.
2. Tämä Sopimus korvaa kaikki muut henkilötietojen käsittelysopimukset, jotka Osapuolet ovat aiemmin tehneet Pääsopimuksen toteuttamisen yhteydessä.
3. Sopimus voidaan irtisanoa päättymään välittömästi, jos:
   • Käsittelijä käsittelee henkilötietoja sovellettavan lain, erityisesti GDPR:n, vastaisesti;
   • Käsittelijä käsittelee henkilötietoja Sopimuksen vastaisesti;
   • Käsittelijä ei poista Toimeksiantajan tarkastuksen aikana osoittamia puutteita;
   • Käsittelijä luovuttaa käsittelyn kolmannelle osapuolelle ilman asianmukaisen sopimuksen tekemistä henkilötietojen käsittelyn luovuttamisesta;
   • Käsittelijä ei sovella asianmukaisia teknisiä ja organisatorisia toimenpiteitä varmistaakseen riittävän turvallisuustason, joka vastaa uskotun henkilötietojen käsittelyyn liittyvää riskiä;
   • Käsittelijä on menettänyt kyvyn täyttää Sopimusta, erityisesti se on menettänyt kyvyn taata uskotun henkilötietojen asianmukainen turvallisuus.
4. Osapuolet ovat nimenneet henkilöt, joilla on valtuudet ottaa yhteyttä tähän sopimukseen liittyvissä asioissa:
   • Toimeksiantaja – [email protected];
   • Käsittelijä – Pääsopimuksessa ilmoitettu yhteyshenkilö.
5. Edellä mainittujen henkilöiden ja näiden henkilöiden tietojen muuttaminen edellyttää ilmoitusta toiselle Osapuolelle dokumentoidussa muodossa (edellä mainittuun aiemmin voimassa olevaan osoitteeseen lähetetty sähköposti). Epäselvyyksien välttämiseksi Osapuolet lepäävät siitä, että tällainen muutos ei edellytä Sopimuksen muuttamista.
6. Asioissa, joista ei ole määrätty Sopimuksessa, sovelletaan sovellettavan siviilioikeuden, GDPR:n sekä sen nojalla annettujen lakien ja asetusten säännöksiä.
7. Ellei Sopimuksessa toisin määrätä, kaikki muutokset Sopimukseen on tehtävä kirjallisesti ollakseen voimassa.
8. Siinä tapauksessa, että jokin Sopimuksen määräys osoittautuu lain nojalla mitättömäksi tai tehottomaksi, Sopimuksen muut määräykset jäävät voimaan ja Osapuolet lepäävät välittömästi uudesta määräyksestä, joka heijastaa heidän tarkoitustaan kyseisen mitättömän tai tehottoman määräyksen osalta.
9. Tämän Sopimuksen täytäntöönpanoon liittyvät riidat ratkaisee Toimeksiantajan rekisteröidyn kotipaikan toimivaltainen tuomioistuin.