Tämä tietojenkäsittelysopimus ("Sopimus") tehdään Asiakkaan (rekisterinpitäjä — yrityksen nimi ja CVR-numero täytetään tilin luonnin yhteydessä) ja WEAKESTLINK ApS:n (CVR 46614011) välillä, joka ylläpitää palvelua weakestlink ("Toimittaja", henkilötietojen käsittelijä). Sopimus hyväksytään sähköisesti tilin luonnin yhteydessä, ja se sääntelee Toimittajan suorittamaa henkilötietojen käsittelyä Asiakkaan puolesta tietoturvakoulutuksen ja phishing-simulaatioiden yhteydessä. Tietojenkäsittelyä koskevissa kysymyksissä tällä Sopimuksella on etusija käyttöehtoihin nähden; kaikissa muissa kysymyksissä sovelletaan käyttöehtoja.

1. Kohde ja ohjeet

Toimittaja käsittelee henkilötietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden mukaisesti — tämä Sopimus liitteineen sekä palvelun jatkuva käyttö (Liite A) — ellei EU-oikeus tai Tanskan lainsäädäntö edellytä muuta; tällöin Toimittaja ilmoittaa Asiakkaalle vaatimuksesta ennen käsittelyä, ellei laki sitä kiellä. Ohjeisiin kuuluu myös se, että Toimittaja saa laatia anonymisoitua ja koottua tilastotietoa käyttöehdoissa kuvatulla tavalla; anonymisoinnin jälkeen tiedot eivät enää ole henkilötietoja. Toimittaja ilmoittaa Asiakkaalle, jos ohje Toimittajan arvion mukaan on ristiriidassa tietosuojasäännösten kanssa, eikä siirrä tietoja kolmansiin maihin Liitteen B ulkopuolelle ilman pätevää siirtoperustetta.

2. Luottamuksellisuus

Toimittaja varmistaa, että henkilöt, joilla on valtuutus käsitellä tietoja, ovat sitoutuneet salassapitoon tai heitä koskee asianmukainen lakisääteinen vaitiolovelvollisuus.

3. Tietoturva (art. 32)

Toimittaja toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet (Liite C). Keskeinen periaate on tietojen minimointi: phishing-simulaatioissa tallennetaan vain se, että tapahtuma sattui (avattu/klikattu/tiedot syötetty), sekä kenttien nimet — ei koskaan arvoja, joita työntekijä syöttää.

4. Alikäsittelijät

Asiakas antaa yleisen ennakkoluvan Liitteessä B mainituille alikäsittelijöille. Toimittaja asettaa jokaiselle alikäsittelijälle samat tietosuojavelvoitteet kuin tässä Sopimuksessa ja ilmoittaa suunnitelluista muutoksista sähköpostitse vähintään 30 päivää etukäteen, jotta Asiakas voi esittää vastalauseen. Jos vastalausetta ei voida ratkaista kohtuullisella ratkaisulla, Asiakas voi irtisanoa asiakassuhteen muutoksen voimaantulopäivästä alkaen. Toimittaja on edelleen täysin vastuussa alikäsittelijöiden vaatimustenmukaisuudesta.

5. Avustaminen Asiakkaalle

Toimittaja avustaa, ottaen huomioon käsittelyn luonteen ja käyttäen asianmukaisia teknisiä ja organisatorisia toimenpiteitä, Asiakasta rekisteröityjen oikeuksia koskeviin pyyntöihin vastaamisessa (art. 12–23) sekä Asiakkaan art. 32–36 mukaisten velvoitteiden täyttämisessä (tietoturva, tietoturvaloukkauksesta ilmoittaminen, vaikutustenarviointi ja ennakkokuuleminen). Palvelu sisältää valmiin etujen punninnan ja läpinäkyvyystekstin työntekijöille, jota Asiakas voi käyttää suoraan. Avustus, joka merkittävästi ylittää palvelun tavanomaisen sisällön, voidaan laskuttaa käytetyn ajan mukaan kohtuullisella tuntihinnalla.

6. Henkilötietojen tietoturvaloukkaus

Toimittaja ilmoittaa Asiakkaalle ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluttua siitä, kun se on saanut tiedon Asiakkaan tietoihin liittyvästä tietoturvaloukkauksesta — ilmoituksessa kuvataan loukkauksen luonne, koskettujen tietojen kategoriat ja rekisteröityjen likimääräinen määrä, todennäköiset seuraukset sekä toteutetut tai ehdotetut toimenpiteet. Arvio siitä, onko loukkaus ilmoitettava Datatilsynetille (72 tunnin määräaika), kuuluu Asiakkaalle rekisterinpitäjänä.

7. Poistaminen ja palauttaminen

Sopimuksen päättyessä Toimittaja poistaa tai palauttaa Asiakkaan valinnan mukaan kaikki henkilötiedot. Palautus toimitetaan jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa (esim. CSV). Jos Asiakas ei ilmoita valintaansa viimeistään sopimuksen päättyessä, tiedot poistetaan. Jos Asiakas irtisanoo sopimuksen, henkilötiedot poistetaan 30 päivää irtisanomisen jälkeen tai heti Asiakkaan pyynnöstä. Siihen asti Asiakas voi perua irtisanomisen ja ladata vientitiedoston. Poisto toteutetaan kaikissa tapauksissa viimeistään 90 päivää sopimuksen päättymisestä, eikä sitä voi perua. Jos asiakassuhde päättyy, koska tili on ollut rajoitetussa tilassa (ks. sopimusehtojen kohta 4), poistosta ilmoitetaan sähköpostitse vähintään 30 päivää etukäteen, ja Asiakas voi valita palautuksen poistoon asti. Varmuuskopioissa olevat henkilötiedot poistuvat varmuuskopioiden säännöllisen kierron myötä, viimeistään 90 päivää tuotantoympäristöstä poistamisen jälkeen. Tiedot, jotka on lain mukaan säilytettävä (esim. kirjanpitoaineisto), säilytetään vain niin kauan kuin säilytysvelvollisuus on voimassa.

8. Tarkastus ja valvonta

Toimittaja asettaa Asiakkaan saataville kaikki tiedot, jotka ovat tarpeen art. 28:n noudattamisen osoittamiseksi, ja mahdollistaa ja avustaa Asiakkaan tai tämän valtuuttaman tarkastajan suorittamissa tarkastuksissa, mukaan lukien paikan päällä tehtävät tarkastukset. Ajantasaiset tietoturvakuvaukset ja -raportit voivat korvata fyysisen tarkastuksen, kun se on kohtuullista. Fyysinen tarkastus toteutetaan kohtuullisella ennakkoilmoituksella, enintään kerran vuodessa — ellei tietoturvaloukkaus tai viranomaisvaatimus anna siihen konkreettista aihetta — ja Asiakkaan kustannuksella.

9. Voimassaolo ja päättyminen

Sopimus on voimassa niin kauan kuin Toimittaja käsittelee henkilötietoja Asiakkaan puolesta, ja se päättyy automaattisesti asiakassuhteen päättyessä — myös silloin, kun asiakassuhteen katsotaan päättyneen pitkäaikaisen rajoitetun tilan vuoksi käyttöehtojen mukaisesti — minkä jälkeen sovelletaan kohtaa 7.

10. Vastuu ja sovellettava laki

Suhteessa rekisteröityihin osapuolten vastuu määräytyy tietosuoja-asetuksen art. 82 mukaisesti. Osapuolten keskinäisessä suhteessa sovelletaan käyttöehtojen vastuunrajoitusta siltä osin kuin sovellettava laki sen sallii. Sopimukseen sovelletaan Tanskan lakia, ja oikeuspaikka määräytyy käyttöehtojen mukaisesti.

Liite A — Käsittelyn luonne

Liite B — Alikäsittelijät

Hosting tapahtuu Toimittajan omassa infrastruktuurissa Tanskassa. Simulaatioviestit lähetetään Toimittajan omista järjestelmistä ilman muita alikäsittelijöitä.

Rajauksen selvennykseksi: tekoälyllä tuotettu koulutus- ja simulaatiosisältö laaditaan ilman henkilötietojen käyttöä — tekoälytoimittaja ei siis ole alikäsittelijä. Maksujen käsittelystä vastaavat QuickPay ja Clearhaus itsenäisinä rekisterinpitäjinä (maksunvälittäjä ja korttimaksujen vastaanottaja), ja tästä kerrotaan tarkemmin tietosuojaselosteessa.

Liite C — Tekniset ja organisatoriset turvatoimenpiteet (art. 32)

• Asiakaskohtainen erottelu (multi-tenancy): tiukka tenant-eristys sovellustasolla; yhden asiakkaan tiedot eivät ole muiden asiakkaiden saatavilla.
• Pääsynhallinta: roolipohjainen pääsynhallinta (RBAC) vähimmän oikeuden periaatteella; henkilökohtaiset tunnukset; ei jaettuja kirjautumistietoja.
• Salaus: TLS-salaus siirron aikana; varmuuskopioiden salaus.
• Tietojen minimointi: simulaatiot tallentavat vain tapahtuman ja kenttien nimet, ei koskaan syötettyjä arvoja; raportit ovat koottuja (ryhmän vähimmäiskoko, k ≥ 5), ja yksittäiset tulokset on rajattu roolin mukaan (vain ylläpitäjä; esimiehet vain Asiakkaan valinnasta).
• Lokitus ja auditointi: turvallisuuden kannalta merkittävien toimintojen tapahtumaloki; vain lisäävä (append-only) auditointijälki.
• Turvaotsikot/CSP: tiukka Content-Security-Policy ja muut turvaotsikot kaikilla sivuilla.
• Varautuminen: menettely henkilötietojen tietoturvaloukkauksen ilmoittamiseksi Asiakkaalle 48 tunnin kuluessa (kohta 6).
• Poisto: automatisoitu prosessi sopimuksen päättyessä. Asiakkaan irtisanoessa sopimuksen tiedot poistetaan 30 päivää irtisanomisen jälkeen (tai heti pyynnöstä). Rajoitetun tilan jälkeen ilmoitus lähetetään 60 päivän kuluttua ja tiedot poistetaan 90 päivän kuluttua, ei koskaan ilman vähintään 30 päivän ennakkoilmoitusta. Muissa tapauksissa tiedot poistetaan tai palautetaan viimeistään 90 päivää sopimuksen päättymisestä (kohta 7).

Jos tarvitsette allekirjoitetun version omaan arkistoonne, kirjoittakaa osoitteeseen info@weakestlink.io.