MSP-tietojenkäsittelysopimus

Tämä tietojenkäsittelysopimus (”sopimus”) on osa hallittujen palvelujen tarjoajasopimusta (”pääsopimus”), jonka osapuolia ovat Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Sveitsi, yritystunnus CHE-354.686.492 (jäljempänä ”käsittelijä”), ja pääsopimuksessa yksilöity MSP-palveluntarjoaja (jäljempänä ”yritys”, jolla tarkoitetaan hallittujen palvelujen tarjoajaa, joka käyttää palveluita omien hallittujen asiakkaidensa käyttöönottoon, laskutukseen ja tukeen sen oikeudellisesta muodosta riippumatta).

Tämä sopimus sääntelee tietosuojalainsäädännön erityisvaatimuksia siltä osin kuin yrityksen palveluiden käyttö, mukaan lukien yrityksen palvelujen tarjoaminen hallituille asiakkaille, sisältää tietosuojalainsäädännön alaisen henkilötietojen käsittelyn.

Tämän sopimuksen voimassaoloaika noudattaa pääsopimuksen voimassaoloaikaa. Määrittelemättömillä termeillä on pääsopimuksessa esitetty merkitys.

OTTAEN HUOMIOON, ETTÄ

A) Yritys toimii rekisterinpitäjänä tai, jos hallittu asiakas itse antaa ohjeet omien henkilötietojensa käsittelystä, kyseisen hallitun asiakkaan puolesta toimivana henkilötietojen käsittelijänä (kummassakin tapauksessa ”rekisterinpitäjä”).

B) Yritys haluaa antaa tiettyjä palveluita, jotka edellyttävät henkilötietojen käsittelyä, alihankintana henkilötietojen käsittelijänä toimivalle Proton AG:lle (”käsittelijä”).

C) Osapuolet pyrkivät ottamaan käyttöön tietojenkäsittelysopimuksen, joka noudattaa tietojenkäsittelyyn sovellettavan nykyisen lainsäädännön vaatimuksia, mukaan lukien asetusta (EU) 2016/679 (”GDPR”) ja Sveitsin liittovaltion tietosuojalakia (”FADP”) sekä muuta sovellettavaa tietosuojalainsäädäntöä.

D) Osapuolet haluavat vahvistaa vastaavat oikeutensa ja velvollisuutensa.

ON SOVITTU SEURAAVAA:

1. Määritelmät, roolit ja soveltamisala

1.1 Määritelmät. Ellei toisin määritellä, isolla alkukirjaimella kirjoitetuilla termeillä on pääsopimuksessa annettu merkitys tai, jos niitä ei ole siinä määritelty, seuraava merkitys:

• ”Yrityksen henkilötiedot” tarkoittaa kaikkia yritykseen, yrityksen hallittuihin asiakkaisiin tai näiden asiakkaisiin tai työntekijöihin liittyviä henkilötietoja, joita käsitellään pääsopimuksen yhteydessä.
• ”Sopimuskäsittelijä” tarkoittaa alikäsittelijää.
• ”Tietosuojalainsäädäntö” tarkoittaa GDPR:ää, FADP:tä ja soveltuvin osin minkä tahansa muun maan tietosuoja- tai yksityisyyslainsäädäntöä.
• ”Tiedonsiirto” tarkoittaa (i) yrityksen henkilötietojen siirtoa yritykseltä käsittelijälle tai sopimuskäsittelijälle tai (ii) yrityksen henkilötietojen edelleensiirtoa käsittelijältä alikäsittelijälle tai alikäsittelijän kahden toimipaikan välillä.
• ”Hallittu asiakas” tarkoittaa pääsopimuksessa annettua merkitystä: loppukäyttäjäyhteisöä, jolle yritys ottaa käyttöön ja toimittaa palvelut osana omaa hallittujen palvelujen tarjontaansa.
• ”Alikäsittelijä” tarkoittaa ketä tahansa tahoa, jonka käsittelijä tai joku käsittelijän puolesta on nimittänyt käsittelemään henkilötietoja sopimuksen yhteydessä.
• Termeillä ”komissio”, ”rekisterinpitäjä”, ”rekisteröity”, ”jäsenvaltio”, ”henkilötieto”, ”henkilötietojen tietoturvaloukkaus”, ”käsittely” ja ”valvontaviranomainen” on sama merkitys kuin GDPR:ssä tai muussa sovellettavassa tietosuojalainsäädännössä.

1.2 Osapuolten roolit. Protonin ja yrityksen välillä yritys on rekisterinpitäjä (tai soveltuvin osin hallitun asiakkaan ohjeiden mukaan toimiva käsittelijä) ja Proton on käsittelijä kaikkien pääsopimuksen perusteella käsiteltyjen yrityksen henkilötietojen osalta, mukaan lukien hallittujen asiakkaiden ja näiden loppukäyttäjien henkilötiedot tai niihin liittyvät tiedot. Tämä sopimus on kattava ja yksinomainen tietojenkäsittelyjärjestely Protonin ja minkä tahansa hallittujen asiakkaiden ketjuun kuuluvan osapuolen välillä. Protonilla ei ole suoraa sopimussuhdetta, rekisterinpitäjän ja käsittelijän välistä suhdetta eikä käsittelijän ja alikäsittelijän välistä suhdetta minkään hallitun asiakkaan kanssa, eikä mikään hallittu asiakas ole tämän sopimuksen osapuoli tai kolmas edunsaajaosapuoli. Yritys on yksin vastuussa sopimuksistaan hallittujen asiakkaidensa kanssa ja velvollisuuksistaan heitä kohtaan, mukaan lukien kaikki tietosuojaehdot, joita yrityksellä on heitä kohtaan sovellettavan lain tai sopimuksen nojalla.

1.3 Yrityksen ketjun loppupään vastuu. Yrityksen on tehtävä kunkin hallitun asiakkaan kanssa kirjallinen sopimus, jossa yritykselle asetetaan tietosuojavelvoitteet, jotka suojaavat kyseisen hallitun asiakkaan henkilötietoja vähintään yhtä tehokkaasti kuin ne velvoitteet, jotka Protonilla on yritystä kohtaan tämän sopimuksen nojalla, siltä osin kuin niitä sovelletaan yrityksen kyseiselle hallitulle asiakkaalle tarjoamien palvelujen luonteeseen. Protonin tämän sopimuksen mukaiset velvoitteet kohdistuvat ainoastaan yritykseen; yritys pysyy yksin vastuussa hallituille asiakkailleen heidän henkilötietojensa käsittelystä, mukaan lukien Protonin toimet tai laiminlyönnit yrityksen ja sen hallittujen asiakkaiden välillä.

2. Yrityksen henkilötietojen käsittely

Käsittelijän on:

• noudattaa kaikkea sovellettavaa tietosuojalainsäädäntöä yrityksen henkilötietojen käsittelyssä ja
• olla käsittelemättä yrityksen henkilötietoja muuten kuin yrityksen dokumentoitujen ohjeiden mukaisesti jäljempänä kuvatulla tavalla.

Yritys ohjeistaa käsittelijää käsittelemään yrityksen henkilötietoja:

• palveluiden ja niihin liittyvän teknisen tuen tarjoamiseksi yritykselle ja yrityksen kautta hallituille asiakkaille;
• lakisääteisten velvoitteiden täyttämiseksi tai riitojen ratkaisemiseksi;
• sellaisten sisäisten tehtävien suorittamiseksi, joiden tavoitteena on optimoida palvelujen turvallisuus, yksityisyys, luottamuksellisuus ja toimivuus; ja
• sisäisen raportoinnin, taloudellisen raportoinnin ja muiden vastaavien sisäisten tehtävien suorittamiseksi.

3. Käsittelijän henkilöstö

Käsittelijä ryhtyy kohtuullisiin toimiin varmistaakseen kunkin sellaisen sopimuskäsittelijän työntekijän, edustajan tai alihankkijan luotettavuuden, jolla voi olla pääsy yrityksen henkilötietoihin, varmistaen kussakin tapauksessa, että pääsy rajoittuu tiukasti henkilöihin, joiden on saatava tietoonsa tai käytettävä kyseisiä yrityksen henkilötietoja siltä osin kuin se on ehdottoman välttämätöntä pääsopimuksen tarkoituksia varten ja/tai tietosuojalainsäädännön noudattamiseksi, ja varmistaen, että kaikkia tällaisia henkilöitä sitoo salassapitosopimus tai ammatillinen tai lakisääteinen salassapitovelvollisuus.

4. Suojaus

GDPR:n 32 artiklan 1 kohdan mukaisesti käsittelijä toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen riskiä vastaavan turvallisuustason ottaen huomioon uusimman tekniikan tason, toteuttamiskustannukset sekä käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset. Näiden toimenpiteiden tarkoituksena on suojata luonnollisten henkilöiden oikeuksia ja vapauksia ottaen huomioon todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit, mukaan lukien henkilötietojen tietoturvaloukkauksen riski. Yritys ottaa käyttöön asianmukaiset tekniset ja organisatoriset toimenpiteet omaa yrityksen henkilötietojen käsittelyään varten, mukaan lukien hallittujen asiakkaiden tilien hallinnointi MSP-ylläpitäjälisenssien kautta, ja varmistaa, että pääsy tällaisille tileille on rajattu vain yrityksen henkilöstölle, joka sitä tarvitsee, suojattu asianmukaisilla tunnistautumistoimenpiteillä ja peruutettu viipymättä, kun sitä ei enää tarvita.

5. Alikäsittely

Tämän sopimuksen mukaisesti yritys myöntää käsittelijälle yleisen valtuutuksen käyttää alikäsittelijöitä ja luovuttaa tai siirtää yrityksen henkilötietoja heille. Yritys hyväksyy ja vahvistaa käsittelijän tietosuojakäytännössä esitetyn alikäsittelijöiden luettelon ymmärtäen, että käsittelijä voi päivittää tätä luetteloa ajoittain, jolloin yritykselle ilmoitetaan tietosuojakäytännön ilmoitusprosessin mukaisesti. Yritys valtuuttaa lisäksi käsittelijän luovuttamaan ja siirtämään henkilötietoja mille tahansa sen konserniin kuuluvalle yhtiölle. Käsittelijä varmistaa, että alikäsittelijöitä sitoo käsittelijän kanssa tehty sopimus, joka ei ole vähemmän rajoittava ja suojaava kuin tämä sopimus yrityksen henkilötietojen suojan osalta, siltä osin kuin sitä sovelletaan kyseisen alikäsittelijän tarjoamien palvelujen luonteeseen. Epäselvyyksien välttämiseksi todetaan, että yritys ei ole Protonin alikäsittelijä, eikä tätä osiota sovelleta yrityksen omiin toimiin minkään hallitun asiakkaan tai kolmannen osapuolen kanssa.

6. Rekisteröidyn oikeudet

Käsittelyn luonne huomioon ottaen käsittelijä avustaa yritystä kohtuullisessa määrin yrityksen velvollisuuksien täyttämisessä vastata rekisteröidyn oikeuksien käyttämistä koskeviin pyyntöihin tietosuojalainsäädännön nojalla, mukaan lukien pyynnöt, jotka yritys vastaanottaa hallitulta asiakkaalta tai tämän puolesta tai kyseisen hallitun asiakkaan omilta loppukäyttäjiltä.

Käsittelijän on:

• ilmoittaa viipymättä yritykselle, jos se vastaanottaa rekisteröidyltä tietosuojalainsäädännön mukaisen pyynnön, joka koskee yrityksen henkilötietoja; ja

• varmistaa, että se ei vastaa pyyntöön muutoin kuin yrityksen dokumentoitujen ohjeiden mukaisesti tai sovellettavan lain niin vaatiessa, jolloin käsittelijän on lain sallimassa laajuudessa ilmoitettava yritykselle kyseisestä lakisääteisestä vaatimuksesta ennen vastaamista.

Yritys on yksin vastuussa vastaamisesta rekisteröityjen pyyntöihin ja yhteydenpidosta hallittuun asiakkaaseen sellaisissa rekisteröidyn pyynnöissä, jotka liittyvät kyseisen hallitun asiakkaan henkilötietoihin; käsittelijällä ei ole velvollisuutta tunnistaa tai olla suoraan yhteydessä kehenkään hallittuun asiakkaaseen.

7. Henkilötietojen tietoturvaloukkaus

Käsittelijä hallinnoi kaikkia henkilötietojen tietoturvaloukkauksia sovellettavan tietosuojalainsäädännön ja sisäisten henkilötietojen tietoturvaloukkausmenettelyjensä mukaisesti. Jos yrityksen henkilötietoihin kohdistuu henkilötietojen tietoturvaloukkaus, käsittelijä ilmoittaa siitä yritykselle viipymättä ja antaa riittävät tiedot, jotta yritys voi täyttää omat tietosuojalainsäädännön mukaiset velvollisuutensa, mukaan lukien tarvittaessa ilmoittaminen asianosaisille hallituille asiakkaille ja rekisteröidyille. Käsittelijä tekee yhteistyötä yrityksen kanssa ja ryhtyy kohtuullisiin kaupallisiin toimiin yrityksen ohjeiden mukaisesti avustaakseen kunkin tällaisen henkilötietojen tietoturvaloukkauksen tutkinnassa, lieventämisessä ja korjaamisessa. Kumpikin osapuoli vastaa tutkinta-, korjaus- ja lieventämiskustannuksista sekä muista vastaavista kustannuksista siltä osin kuin henkilötietojen tietoturvaloukkaus on kyseisen osapuolen aiheuttama. Kumpikin osapuoli vastaa toimivaltaisen sääntelyviranomaisen määräämistä sakoista, seuraamusmaksuista, vahingonkorvauksista tai muista vastaavista summista siltä osin kuin ne johtuvat kyseisen osapuolen omasta tämän sopimuksen mukaisten velvoitteidensa rikkomisesta. Yritys on yksin vastuussa tietoturvaloukkausilmoituksista hallituille asiakkailleen ja näiden rekisteröidyille sekä kyseisten ilmoitusten ajoituksesta ja sisällöstä.

8. Tietosuojaa koskeva vaikutustenarviointi ja ennakkokuuleminen

Käsittelijä antaa yritykselle kohtuullista apua tietosuojaa koskevissa vaikutustenarvioinneissa ja ennakkokuulemisissa valvontaviranomaisten kanssa, joita yritys pitää kohtuullisesti arvioiden GDPR:n 35 tai 36 artiklan tai muun tietosuojalainsäädännön vastaavien säännösten edellyttäminä, kussakin tapauksessa ainoastaan suhteessa sopimuskäsittelijöiden suorittamaan yrityksen henkilötietojen käsittelyyn sekä ottaen huomioon käsittelyn luonteen ja sopimuskäsittelijöiden saatavilla olevat tiedot.

9. Yrityksen henkilötietojen poistaminen tai palauttaminen

Kun jokin yrityksen henkilötietojen käsittelyä sisältävä palvelu lakkaa, käsittelijä poistaa kaikki yrityksen henkilötiedot sovellettavan lain sallimassa laajuudessa ja käsittelijän käyttöehtojen sekä tietosuojakäytännön mukaisesti. Jos yritys tarvitsee kopion yrityksen henkilötiedoista, sen on pyydettävä sitä ennen poistamista; poistamisen jälkeen tehtyjä pyyntöjä ei voida enää ottaa huomioon. Pääsopimuksen päättyessä yritys vastaa yksin minkä tahansa hallitun asiakkaan henkilötietojen poistamisen, palauttamisen tai siirron hallinnoinnista yrityksen ja kyseisen hallitun asiakkaan välillä pääsopimuksen kohdan 5.4 (Siirtymäkauden tuki) mukaisesti.

10. Auditointioikeudet

Tämän kohdan 10 mukaisesti käsittelijä asettaa pyynnöstä yrityksen saataville kaikki tiedot, jotka ovat tarpeen tämän sopimuksen noudattamisen osoittamiseksi, ja sallii yrityksen tai yrityksen valtuuttaman auditoijan suorittamat auditoinnit, mukaan lukien tarkastukset, sekä osallistuu niihin siltä osin kuin kyse on sopimuskäsittelijöiden suorittamasta yrityksen henkilötietojen käsittelystä. Yritys ei saa käyttää tämän kohdan mukaisia auditointioikeuksiaan useammin kuin kerran kalenterivuodessa, paitsi henkilötietojen tietoturvaloukkauksen tai sääntelyviranomaisen määräyksen jälkeen. Yrityksen on annettava käsittelijälle vähintään kuusikymmentä (60) päivää etukäteen kirjallinen ilmoitus aikomuksestaan suorittaa auditointi. Auditointi on suoritettava käsittelijän aukioloaikoina, se ei saa häiritä käsittelijän toimintaa ja sen on varmistettava yrityksen, käsittelijän ja muiden rekisteröityjen henkilötietojen suoja. Osapuolet sopivat etukäteen yhteisesti auditoinnin ajankohdasta, laajuudesta, kestosta sekä sovellettavista turvallisuus- ja luottamuksellisuusvalvonnoista; käsittelijä voi vaatia salassapitosopimusta ennen auditointia. Tämän kohdan mukaiset tieto- ja auditointioikeudet syntyvät vain siltä osin kuin tämä sopimus ei muuten anna yritykselle tieto- ja auditointioikeuksia, jotka täyttävät tietosuojalainsäädännön asiaankuuluvat vaatimukset. Jos hallittu asiakas pyytää tietoja Protonin suorittamasta käsittelystä osana yrityksen omia due diligence -velvoitteita kyseistä hallittua asiakasta kohtaan, yritys voi tämän kohdan nojalla hankkia tarvittavat tiedot käsittelijältä ja välittää ne eteenpäin, mutta hallitulla asiakkaalla itsellään ei ole itsenäistä auditointioikeutta käsittelijää kohtaan.

11. Tiedonsiirto

Mahdollisuuksien mukaan käsittelijä siirtää tai valtuuttaa yrityksen henkilötietojen siirron ainoastaan Sveitsin tai EU:n sisäisiin maihin ja/tai maihin, joista on tehty tietosuojan riittävyyttä koskeva päätös GDPR:n 45 artiklan ja Sveitsin FADP:n 16 artiklan mukaisesti. Jos tämän sopimuksen nojalla käsiteltyjä yrityksen henkilötietoja siirretään Sveitsistä, EU:sta tai sellaisesta maasta, josta on tehty tietosuojan riittävyyttä koskeva päätös, tämän soveltamisalan ulkopuolella olevaan maahan, osapuolet varmistavat, että henkilötiedot on suojattu asianmukaisesti tukeutuen, ellei toisin sovita, Sveitsin, EU:n ja/tai Yhdistyneen kuningaskunnan hyväksymiin ja kulloinkin voimassa oleviin vakiolausekkeisiin tai muihin tietosuojalainsäädännössä säädettyihin siirtomekanismeihin. Käsittelijällä on oikeus suorittaa tällaisia siirtoja alikäsittelijöille edellyttäen, että asianmukaiset suojatoimet toteutetaan siirron luonne huomioon ottaen.

12. Yleiset ehdot

12.1 Sovellettavien lakien noudattaminen. Käsittelijä käsittelee yrityksen henkilötietoja tämän sopimuksen ja sen tämän sopimuksen mukaiseen rooliin sovellettavan tietosuojalainsäädännön mukaisesti. Käsittelijä ei ole vastuussa sellaisen tietosuojalainsäädännön noudattamisesta, jota sovelletaan ainoastaan yritykseen tai mihin tahansa hallittuun asiakkaaseen näiden liiketoiminnan tai toimialan perusteella.

12.2 Luottamuksellisuus. Kumpikin osapuoli pitää luottamuksellisena kaikki tiedot, jotka se vastaanottaa toisesta osapuolesta tämän sopimuksen yhteydessä, eikä käytä tai luovuta niitä ilman toisen osapuolen etukäteen antamaa kirjallista suostumusta, paitsi siltä osin kuin (a) tietojen luovuttamista edellytetään laissa tai (b) tiedot ovat jo julkisesti saatavilla ilman osapuolten tuottamusta.

12.3 Ilmoitukset. Tämän sopimuksen mukaiset ilmoitukset on annettava pääsopimuksen ilmoitusehtojen mukaisesti. Käsittelijälle osoitetut tietosuoja-asioita koskevat ilmoitukset on lisäksi lähetettävä kopiona osoitteeseen legal@proton.ch

12.4 Vastuu. Kummankin osapuolen tähän sopimukseen liittyvään tai siitä johtuvaan vastuuseen sovelletaan pääsopimuksen vastuunrajoitusehtoja ja vastuu rajoittuu niiden mukaisesti, mukaan lukien kaikki siinä asetetut erityiset enimmäisrajat luottamuksellisuus- ja tietosuojavelvoitteiden rikkomisille. Mikään tässä sopimuksessa ei rajoita kummankaan osapuolen vastuuta sakoista tai seuraamusmaksuista, jotka toimivaltainen valvontaviranomainen on määrännyt suoraan sille kyseisen osapuolen omasta sovellettavan tietosuojalainsäädännön rikkomisesta johtuen. Yritys myöntää, että ainoana rekisterinpitäjään rinnastettavana osapuolena suhteessa hallittuihin asiakkaisiinsa yrityksellä on yksinomainen vastuu kaikista vastuista, joita yritykselle koituu hallittua asiakasta kohtaan ja jotka ylittävät sen, mitä yritys voi periä käsittelijältä pääsopimuksen vastuukaton puitteissa.

12.5 Sovellettava laki ja oikeuspaikka. Tähän sopimukseen sovelletaan Sveitsin lakia ottamatta huomioon minkään muun lainkäyttöalueen lainvalintasäännöksiä, ja tähän sopimukseen liittyvät tai siitä johtuvat riidat kuuluvat Sveitsin Geneven tuomioistuinten yksinomaiseen toimivaltaan.

12.6 Pätemisjärjestys. Jos tämän sopimuksen ja pääsopimuksen välillä on ristiriita henkilötietojen käsittelyn osalta, tämä sopimus on ensisijainen pääsopimuksen kohdan 10.1 mukaisesti. Jos tämän sopimuksen englanninkielisen version ja käännetyn version välillä on ristiriitaisuuksia, englanninkielinen versio on ensisijainen.