Tämä tietojenkäsittelysopimus (”sopimus”) määrittää, miten TicketPa käsittelee henkilötietoja sitä käyttävien yritysten puolesta, kuten yleisen tietosuoja-asetuksen (GDPR) 28 artikla edellyttää. Se on osa käyttöehtojamme, ja hyväksyt sen, kun hyväksyt käyttöehdot.
Sopimuksen osapuolet
- Sinä, TicketPa-palvelua käyttävä yritys, rekisterinpitäjänä.
- TicketPa (ylläpitäjä: henkilö, jolle on myönnetty itsenäisen toiminnan todistus nro 777726, Vilna, Liettua) käsittelijänä.
Sopimus koskee asiakkaidesi ja muiden henkilöiden henkilötietoja, joita käsittelemme puolestasi tarjotessamme TicketPa-palvelua (”asiakastiedot”). Liitteessä 1 kuvataan nämä tiedot ja se, mitä teemme niillä. Sinun ja tiimisi jäsenten henkilötietoihin sovelletaan sen sijaan tietosuojaselostettamme, koska niiden osalta me olemme rekisterinpitäjä.
Jos tämä sopimus ja käyttöehdot ovat henkilötietojen osalta ristiriidassa, sovelletaan tätä sopimusta.
Mitä teemme asiakastiedoilla
Käsittelemme asiakastietoja vain tarjotaksemme TicketPa-palvelua sinulle ja vain dokumentoitujen ohjeidesi mukaisesti. Ohjeesi ovat käyttöehdot ja tämä sopimus sekä tapa, jolla määrität ja käytät TicketPa-palvelua: asetuksesi, se, mitä sinä ja tiimisi teette sovelluksessa, ja se, mitä pyydät meiltä kirjallisesti.
Jos katsomme, että jokin ohje rikkoo tietosuojalainsäädäntöä, kerromme sen sinulle. Jos EU:n tai Liettuan lainsäädäntö edellyttää meidän käsittelevän asiakastietoja jollain muulla tavalla, kerromme siitä sinulle ensin, ellei kyseinen laki kiellä sitä.
Luottamuksellisuus
Jokaista, jolla on meidän puolellamme pääsy asiakastietoihin, sitoo salassapitovelvollisuus, ja hän saa käyttää tietoja vain tämän sopimuksen sallimalla tavalla.
Tietoturva
Suojaamme asiakastietoja liitteessä 2 kuvatuilla teknisillä ja organisatorisilla toimenpiteillä, ja pidämme ne riskien mukaisina TicketPa-palvelun muuttuessa. Voimme päivittää toimenpiteitä, kunhan niiden antama suoja ei heikkene.
Alikäsittelijät
Annat meille luvan käyttää alikäsittelijöitä eli liitteessä 3 lueteltuja palveluntarjoajia TicketPa-palvelun tarjoamisessa. Asetamme kullekin niistä sopimuksella tietosuojavelvoitteet, jotka ovat vähintään yhtä tiukat kuin omamme tässä sopimuksessa, ja vastaamme sinulle niiden työstä.
Vähintään 30 päivää ennen kuin lisäämme tai vaihdamme alikäsittelijän, lähetämme sähköpostia yrityksesi omistajille ja päivitämme liitteen 3. Jos sinulla on perusteltu tietosuojaan liittyvä syy vastustaa muutosta, kerro siitä meille tämän ajan kuluessa. Jos emme pysty ratkaisemaan vastustustasi, voit sulkea tilisi ennen muutosta, ja palautamme etukäteen maksamasi maksut sulkemisen jälkeiseltä ajalta.
Autamme sinua
Autamme sinua niin pitkälle kuin kohtuudella voimme, ottaen huomioon, mitä TicketPa tekee:
- asiakkaidesi pyynnöissä, jotka koskevat heidän tietosuoja-asetuksen mukaisten oikeuksiensa käyttämistä. Jos asiakas kirjoittaa meille, välitämme pyynnön sinulle emmekä vastaa siihen itse, ellet pyydä meitä tekemään niin. Monet pyynnöt voit hoitaa itse TicketPa-palvelussa; muissa, kuten asiakkaan tietojen poistamisessa, kirjoita meille, niin teemme sen puolestasi.
- muissa velvollisuuksissasi, jotka perustuvat tietosuoja-asetuksen 32-36 artiklaan, kuten tietoturvassa, tietosuojaa koskevissa vaikutustenarvioinneissa ja tietosuojaviranomaisen kuulemisessa.
Henkilötietojen tietoturvaloukkaukset
Jos saamme tietoomme asiakastietoihin vaikuttavan tietoturvaloukkauksen, ilmoitamme siitä sinulle ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa. Kerromme, mitä siitä tiedämme: mitä tapahtui, mitä tietoryhmiä ja suunnilleen kuinka montaa ihmistä se koskee, todennäköiset seuraukset ja mitä teemme asialle, ja pidämme sinut ajan tasalla sitä mukaa kuin saamme lisätietoa. Ryhdymme kohtuullisiin toimiin loukkauksen rajaamiseksi ja sen vaikutusten vähentämiseksi.
Kun lopetat TicketPa-palvelun käytön
Ennen kuin tilisi suljetaan, voit ladata varauksesi, esimerkiksi varausten CSV-tiedoston Reports-osiosta (Raportit). Poistamme asiakastiedot 90 päivän kuluessa siitä, kun yrityksesi on suljettu TicketPa-palvelussa, ellei EU:n tai Liettuan lainsäädäntö edellytä meitä säilyttämään osaa niistä. Varmuuskopioissamme olevat kopiot poistetaan automaattisesti 30 päivän kuluessa sen jälkeen. Pyynnöstä vahvistamme poistamisen kirjallisesti.
Tiedot ja auditoinnit
Annamme sinulle tiedot, joita tarvitset osoittaaksesi, että noudatamme tätä sopimusta. Sinä tai valitsemasi riippumaton tarkastaja, jota sitoo salassapitovelvollisuus, voitte auditoida sopimuksen noudattamisen kerran vuodessa tai useammin tietoturvaloukkauksen jälkeen tai silloin, kun tietosuojaviranomainen sitä pyytää. Ilmoita auditoinnista meille vähintään 30 päivää etukäteen. Auditoinnit tehdään sinun kustannuksellasi, tavanomaisena työaikana ja ilman pääsyä muiden yritysten tietoihin.
Siirrot Euroopan talousalueen ulkopuolelle
Siirrämme asiakastietoja Euroopan talousalueen ulkopuolelle vain tietosuoja-asetuksen V luvun edellyttämin suojatoimin, kuten Euroopan komission riittävyyspäätöksen tai vakiosopimuslausekkeiden perusteella. Hostinger säilyttää asiakastietoja Euroopan unionissa, ja Cloudflarella olevat varmuuskopiomme säilytetään myös siellä. TicketPa-palveluun tulevat pyynnöt kulkevat kuitenkin Cloudflaren maailmanlaajuisen verkon kautta, yleensä TicketPa-palvelua käyttävää henkilöä lähimmän datakeskuksen kautta, joka voi olla Euroopan talousalueen ulkopuolella. Yhdysvaltalainen yhtiö Cloudflare on sertifioitunut EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen (EU-US Data Privacy Framework), ja sen kanssa tekemämme sopimus sisältää vakiosopimuslausekkeet.
Sinun vastuusi
Vastaat seuraavista:
- siitä, että keräämillesi asiakastiedoille ja sähköposteille, jotka päätät lähettää, kuten arvostelupyynnöille, on lainmukainen peruste;
- siitä, että kerrot asiakkaillesi omassa tietosuojaselosteessasi, miten käytät heidän tietojaan;
- siitä, että annat meille vain lainmukaisia ohjeita;
- siitä, ettet pyydä asiakkailta erityisiin henkilötietoryhmiin kuuluvia tietoja, kuten terveystietoja, ellet todella tarvitse niitä ja sinulla ole niille lainmukaista perustetta;
- sen päättämisestä roolien avulla, kuka tiimissäsi voi nähdä asiakastiedot.
Vastuu ja voimassaolo
Kummankin osapuolen vastuu tämän sopimuksen perusteella määräytyy käyttöehtojen mukaan siltä osin kuin tietosuojalainsäädäntö sen sallii. Tämä sopimus on voimassa niin kauan kuin käsittelemme asiakastietoja puolestasi, myös tilisi sulkemisen jälkeen siihen asti, kunnes asiakastiedot on poistettu.
Liite 1: Käsittelyn tiedot
| Kohta | Tiedot |
|---|---|
| Kohde | TicketPa-varausjärjestelmän tarjoaminen sinulle |
| Tarkoitus | Antaa sinun ottaa vastaan ja hallita varauksia ja saada niistä maksu, pyörittää päiviäsi ja nähdä raportteja |
| Käsittelyn luonne | Asiakastietojen tallentaminen ja järjestäminen; varaussivusi näyttäminen; QR-koodillisten lippujen luominen; sähköpostien lähettäminen nimissäsi; asiakkaiden saapumisen kirjaus; maksu- ja hyvitystietojen pitäminen ajan tasalla Stripen kanssa; raportit ja tietojen vienti; tietojen poistaminen |
| Kesto | Niin kauan kuin käytät TicketPa-palvelua ja sen jälkeen poistamiseen asti edellä kuvatulla tavalla |
| Rekisteröidyt | Asiakkaasi, heidän varauksissaan ja osallistujalomakkeissaan nimetyt henkilöt sekä tiimisi lisäämät asiakkaat |
| Henkilötiedot | Nimi, sähköpostiosoite, puhelinnumero ja maa, johon numero kuuluu; varaukset (aktiviteetti, aika, liput, ryhmän koko, hinta, varausnumero ja historia); asiakkaiden kirjoittamat ja tiimisi lisäämät lisätiedot; osallistujalomakkeet (kunkin allekirjoittajan nimi, allekirjoitusajankohta sekä käytetty IP-osoite ja selain); saapumisen kirjaukset ja merkinnät saapumatta jäämisestä; maksut ja hyvitykset (summat, maksutapa, tila ja Stripen tunnisteet, ei koskaan korttitietoja); tiedot kustakin varauksesta lähetetyistä sähköposteista |
| Erityiset henkilötietoryhmät | Niitä ei ole tarkoitus käsitellä. Asiakkaat voivat silti kirjoittaa lisätietokenttään esimerkiksi allergioita koskevia tietoja. |
Liite 2: Tietoturvatoimenpiteet
- Salaus siirron aikana: jokainen sivu ja pyyntö toimitetaan HTTPS-yhteyden kautta.
- Suojaus hyökkäyksiltä: kaikki TicketPa-palveluun tuleva liikenne kulkee Cloudflaren kautta, joka suodattaa hyökkäykset, kuten pyyntötulvat, ennen kuin ne saavuttavat palvelimet. Myös yhteys Cloudflaresta palvelimille on salattu.
- Tilit: salasanat tallennetaan vain turvallisina tiivisteinä, kaksivaiheinen tunnistautuminen on käytettävissä jokaisella tilillä, ja kirjautumisyritysten määrää rajoitetaan.
- Salaisuuksien salaus tallennettuna: kaksivaiheisen tunnistautumisen salaiset avaimet, palautuskoodit ja maksuistuntojen salaisuudet on salattu tietokannassa.
- Yritysten erottaminen toisistaan: jokainen tietue kuuluu yhdelle yritykselle, ja TicketPa tarkistaa jokaisen pyynnön kohdalla, että kirjautunut henkilö on kyseisen yrityksen jäsen. Automaattiset testit varmistavat, ettei yritys pääse käsiksi toisen yrityksen tietoihin.
- Roolit yrityksesi sisällä: omistajat, esihenkilöt ja vetäjät näkevät eri asioita. Vetäjät eivät näe raportteja tai maksuasetuksia.
- Oma pääsymme: vain TicketPa-palvelua ylläpitävät henkilöt pääsevät palvelimille ja ylläpitopaneeliin. Palvelimille kirjautuminen vaatii SSH-avaimen, koska salasanakirjautuminen on poistettu käytöstä, ja osoite, josta kirjautuminen epäonnistuu toistuvasti, estetään automaattisesti.
- Palvelinympäristö: palvelimet ovat datakeskuksessa Euroopan unionissa palomuurin takana, joka sallii vain TicketPa-palvelun tarvitsemat yhteydet. Käyttöjärjestelmän tietoturvapäivitykset asentuvat automaattisesti.
- Varmuuskopiot: tietokanta varmuuskopioidaan 6 tunnin välein yksityiseen, salattuun tallennustilaan Euroopan unionissa, erillään palvelimista. Jokainen varmuuskopio poistetaan automaattisesti 30 päivän kuluttua. Palveluun ladatut kuvat ja logot varmuuskopioidaan päivittäin samaan paikkaan ja säilytetään 7 päivää.
- Maksut: korttitietoja käsittelee vain Stripe, jolla on PCI DSS -sertifiointi. TicketPa tallentaa maksujen tunnisteet ja summat, ei koskaan korttinumeroita.
- Tietojen minimointi: palveluun ladatut kuvat ja logot koodataan uudelleen, mikä poistaa niistä piilotetut tiedot, kuten GPS-sijainnin; Stripen tapahtumatiedot ja epäonnistuneet taustatehtävät, joissa voi olla asiakastietoja, poistetaan 30 päivän kuluttua; vanhentuneet kutsut poistetaan.
Liite 3: Alikäsittelijät
| Alikäsittelijä | Mitä se tekee | Missä tiedot ovat |
|---|---|---|
| Hostinger | Ylläpitää palvelimia ja tietokantaa sekä lähettää sähköpostit | Euroopan unioni |
| Cloudflare (Cloudflare, Inc.) | Välittää jokaisen TicketPa-palveluun tulevan pyynnön verkkonsa kautta ja suojaa TicketPa-palvelua hyökkäyksiltä. Säilyttää myös salattuja varmuuskopioita tietokannasta sekä palveluun ladatuista kuvista ja logoista | Kaikkialla maailmassa, yleensä käyttäjää lähimmässä datakeskuksessa. Varmuuskopiot: Euroopan unioni |
Itse yhdistämäsi palvelut. Jos otat verkkomaksut käyttöön, asiakkaidesi maksutiedot menevät omalle Stripe-tilillesi sinun ja Stripen välisen sopimuksen mukaisesti. Stripe ei ole siinä alikäsittelijämme.
Tätä sopimusta koskevat kysymykset: hello@ticketpa.com.