Henkilötietojen käsittelysopimus

Tämä henkilötietojen käsittelysopimus (DPA) on osa Ravintolan tai muun yritysasiakkaan (Rekisterinpitäjä) ja Fiest Oy:n, Y-tunnus 3438254-5 (Käsittelijä), välistä sopimusta aina, kun Fiest käsittelee henkilötietoja Rekisterinpitäjän puolesta Palveluiden tarjoamiseksi.

Palvelusopimus, tilauslomake, kumppanuussopimus tai käyttöehdot, joissa tämä DPA sisällytetään sopimukseen, muodostaa Pääsopimuksen. Jos tämä DPA ja Pääsopimus ovat ristiriidassa henkilötietojen käsittelyn osalta, tätä DPA:ta sovelletaan ensisijaisesti. Erikseen allekirjoitettu henkilötietojen käsittelysopimus on ensisijainen tähän verkossa julkaistuun DPA:han nähden.

Rekisterinpitäjä määrittää Ravintolan tietojen käsittelyn tarkoitukset ja olennaiset keinot. Fiest käsittelee Ravintolan tietoja vain Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti. Ohjeita ovat Pääsopimus, Ravintolan Palveluihin tekemät määritykset ja Palveluiden käyttö sekä muut Fiestin hyväksymät kirjalliset ohjeet.

Jos Rekisterinpitäjä ottaa käyttöön sille valitun tai yhdistetyn kolmannen osapuolen palvelun integraation, tämä määritys on Fiestille dokumentoitu ohje luovuttaa, vastaanottaa ja synkronoida Ravintolan tietoja käyttöön otetussa laajuudessa. Kolmannen osapuolen palvelusta ei tule Fiestin alikäsittelijää pelkästään siksi, että Fiest toteuttaa teknisen yhteyden Rekisterinpitäjän ohjeesta. Jos Fiest käyttää palveluntarjoajaa Ravintolan tietojen käsittelyyn Fiestin puolesta, sovelletaan kohtaa 7.

Fiest ilmoittaa Rekisterinpitäjälle, jos ohje rikkoo Fiestin näkemyksen mukaan sovellettavaa tietosuojalainsäädäntöä, ellei laki kiellä ilmoittamista. Fiest voi käsitellä tietoja EU:n tai jäsenvaltion lain sitä edellyttäessä. Tällöin Fiest ilmoittaa vaatimuksesta Rekisterinpitäjälle ennen käsittelyä, ellei laki kiellä ilmoittamista.

Fiestin käsittely, jossa se määrittää itsenäisesti tarkoitukset ja keinot, mukaan lukien oma tilien hallinta, laskutus, tietoturva, palvelun luotettavuus, tili- ja tukiviestintä, palvelun käytön analysointi ja kehittäminen, viestintä, markkinointi sekä muut tietosuojaselosteessa kuvatut tarkoitukset, ei kuulu tämän DPA:n soveltamisalaan. Tukityöhön, joka edellyttää pääsyä Ravintolan tietoihin, sovelletaan edelleen tätä DPA:ta.

Palveluihin ei ole tarkoitus toimittaa täydellisiä maksukorttinumeroita, kortin turvakoodeja, maksun todentamistietoja tai erityisiin henkilötietoryhmiin kuuluvia tietoja, elleivät osapuolet nimenomaisesti sovi toisin.

Fiest voi Rekisterinpitäjän ohjeiden mukaisesti käsitellä pseudonyymejä tapahtuma- tai maksuviitteitä tuottaakseen Ravintolakohtaisia koottuja ja arvioituja uusintakäyntianalyysejä. Tulokset voivat olla likimääräisiä, eikä niitä esitetä yksilöllisten asiakkaiden täsmällisinä lukumäärinä.

Ravintolan määräysvallassa olevat tiedot rajataan kyseiseen Rekisterinpitäjään, ja niitä voivat käyttää vain valtuutetut käyttäjät ja henkilöt. Olennaisesti erilainen käyttö edellyttää dokumentoituja ohjeita sekä soveltuvia rooleja, oikeusperustetta, ilmoituksia ja suojatoimia.

Fiest varmistaa, että Ravintolan tietojen käsittelyyn oikeutetut henkilöt ovat salassapitovelvollisia ja saavat pääsyn tietoihin vain tehtäviensä edellyttämässä laajuudessa.

Fiest voi päivittää suojatoimia teknologian ja riskien kehittyessä edellyttäen, ettei suojan kokonaistasoa olennaisesti heikennetä.

Rekisterinpitäjä antaa Fiestille yleisen kirjallisen luvan käyttää alikäsittelijöitä. Ajantasainen rekisteri, joka sisältää palveluntarjoajan tunnistetiedot, tarkoituksen ja käsittelypaikan, julkaistaan osoitteessa https://fiest.io/fi/subprocessors.

Fiest ilmoittaa Rekisterinpitäjän rekisteröityyn yhteysosoitteeseen vähintään neljätoista (14) päivää ennen kuin uusi alikäsittelijä aloittaa Ravintolan tietojen käsittelyn. Rekisterinpitäjä voi vastustaa muutosta kyseisen ajan kuluessa perustelluista tietosuojasyistä. Osapuolet pyrkivät vilpittömässä mielessä ratkaisemaan vastustuksen, muuttamaan kyseistä käsittelyä tai tarjoamaan kohtuullisen vaihtoehdon. Jos kohtuullista ratkaisua ei ole, Rekisterinpitäjä voi päättää kyseisen Palvelun kirjallisella ilmoituksella ennen muutoksen voimaantuloa.

Fiest asettaa kullekin alikäsittelijälle tietosuojavelvoitteet, jotka tarjoavat kyseiselle käsittelylle olennaisesti vastaavan suojan. Fiest vastaa edelleen alikäsittelijöidensä näiden velvoitteiden täyttämisestä.

Fiest avustaa Rekisterinpitäjää kohtuullisin teknisin ja organisatorisin toimin vastaamaan GDPR:n 12-22 artiklojen mukaisiin pyyntöihin käsittelyn luonne huomioon ottaen. Fiest välittää suoraan vastaanottamansa pyynnön viipymättä, jos Rekisterinpitäjä voidaan tunnistaa, eikä vastaa Rekisterinpitäjän puolesta ilman ohjetta tai lakisääteistä velvoitetta.

Fiest ilmoittaa Rekisterinpitäjälle Ravintolan tilille rekisteröityyn sähköpostiosoitteeseen tai nimettyyn tietosuoja- tai tietoturvayhteysosoitteeseen ilman aiheetonta viivytystä saatuaan tiedon Ravintolan tietoja koskevasta henkilötietojen tietoturvaloukkauksesta.

Ilmoitus sisältää Fiestin saatavilla olevat tiedot, joita Rekisterinpitäjän velvoitteet kohtuudella edellyttävät. Fiest voi toimittaa tiedot vaiheittain ja tekee kohtuullista yhteistyötä Rekisterinpitäjän tutkinta- ja ilmoitusvelvoitteiden täyttämiseksi.

Fiest avustaa kohtuullisesti tietoturvavelvoitteissa, tietosuojaa koskevissa vaikutustenarvioinneissa, ennakkokuulemisissa ja valvontaviranomaisten tietopyynnöissä GDPR:n 32-36 artiklojen mukaisesti ottaen huomioon käsittelyn luonteen ja Fiestin saatavilla olevat tiedot.

Pääsopimuksen voimassa ollessa Fiest poistaa tai palauttaa määritellyt Ravintolan tiedot Rekisterinpitäjän dokumentoidusta ohjeesta, jos se on teknisesti mahdollista ja sovellettavat säilytysvelvoitteet sen sallivat.

Pääsopimuksen päätyttyä Fiest poistaa tai palauttaa Ravintolan tiedot Rekisterinpitäjän valinnan mukaan Pääsopimuksen mukaisesti, ellei sovellettava laki edellytä säilyttämistä. Lainmukaista tarkoitusta varten säilytettävät tiedot suojataan yhteensopimattomalta käytöltä ja poistetaan sovellettavan ajan päätyttyä.

Ravintolakohtaista analytiikkaa säilytetään Palvelun määritysten, Rekisterinpitäjän dokumentoitujen ohjeiden ja sovellettavien säilytysvaatimusten mukaisesti.

Fiest antaa saataville tiedot, jotka ovat kohtuudella tarpeen tämän DPA:n noudattamisen osoittamiseksi. Rekisterinpitäjä tai sen riippumaton tarkastaja voi suorittaa tarkastuksen kohtuullisella ennakkoilmoituksella, tavanomaisena työaikana sekä salassapitoa, tietoturvaa ja toiminnan häiriöttömyyttä koskevin ehdoin.

Fiest voi ensisijaisesti vastata tarkastuspyyntöön ajantasaisilla sertifikaateilla, kolmannen osapuolen raporteilla, tietoturvadokumentaatiolla tai kirjallisella kyselyllä. Paikan päällä tehtävä tarkastus rajoitetaan tilanteisiin, joissa nämä tiedot ovat kohtuudella riittämättömiä tai olennainen poikkeama tai viranomainen edellyttää lisävarmennusta.

Fiest ei siirrä Ravintolan tietoja Euroopan talousalueen ulkopuolelle, ellei siirto ole sallittu sovellettavan tietosuojalainsäädännön nojalla. Fiest käyttää tarvittaessa vastaavuuspäätöstä, Euroopan komission vakiosopimuslausekkeita tai muuta lainmukaista siirtomekanismia ja riskiin nähden asianmukaisia täydentäviä suojatoimia.

Tämä DPA on voimassa niin kauan kuin Fiest käsittelee Ravintolan tietoja Pääsopimuksen nojalla, ja se jää voimaan Pääsopimuksen päättymisen jälkeen niin kauan kuin käsittely jatkuu.

Fiest voi päivittää tätä DPA:ta lain, viranomaisohjeiden, tietoturvakäytäntöjen tai Palveluiden muutosten vuoksi. Olennaisesta Rekisterinpitäjän oikeuksiin tai velvollisuuksiin vaikuttavasta muutoksesta Fiest ilmoittaa Rekisterinpitäjän rekisteröityyn sähköpostiosoitteeseen vähintään kolmekymmentä (30) päivää ennen muutoksen voimaantuloa. Ilmoituksessa kerrotaan keskeiset muutokset, niiden syy, voimaantulopäivä ja uusi versio. Rekisterinpitäjä voi päättää kyseisen Palvelun ennen voimaantulopäivää, jos se vastustaa muutosta perustellusti eivätkä osapuolet löydä ratkaisua. Alikäsittelijämuutoksiin sovelletaan kohdan 7 neljäntoista päivän menettelyä.

Päivitys ei vähennä GDPR:n 28 artiklan edellyttämää suojaa. Versioidut jäljennökset ovat saatavilla osoitteessa https://fiest.io/fi/data-processing-agreement.