Kun asiakas asentaa Cookieshin verkkosivustolleen, kävijöiden suostumusvalinnat ovat henkilötietoja. Asiakas päättää, miksi tietoja kerätään, joten asiakas on rekisterinpitäjä. Cookiesh käsittelee tietoja asiakkaan lukuun, joten Cookiesh on asiakkaan henkilötietojen käsittelijä. Tietosuoja-asetuksen 28 artikla edellyttää, että osapuolten välillä on sopimus, ja Cookieshin tietojenkäsittelysopimus (Data Processing Agreement, DPA) on tämä sopimus.
Tällä sivulla tiivistetään DPA selkokielellä. Jos tämä tiivistelmä ja varsinainen sopimus poikkeavat toisistaan, sopimus on ratkaiseva.
DPA:n soveltaminen
DPA on osa Cookieshin käyttöehtoja, ja sitä sovelletaan automaattisesti jokaiseen Cookiesh-tiliin, myös ilmaiseen pakettiin. Sopimus on voimassa ilman erillistä allekirjoitusta.
Jos asiakkaan hankintaprosessi edellyttää molempien osapuolten allekirjoittamaa kappaletta, asiakas voi lähettää yrityksensä virallisen nimen ja osoitteen osoitteeseen privacy@cookiesh.eu, ja Cookiesh lähettää sopimuksen sähköisesti allekirjoitettavaksi. Enterprise-paketeissa voidaan myös neuvotella räätälöity DPA tai käyttää asiakkaan omaa sopimuspohjaa.
Käsiteltävät tiedot
| Tiedot | |
|---|---|
| Käsittelyn kohde | Cookieshin suostumustenhallintapalvelun tarjoaminen |
| Rekisteröidyt | Asiakkaan verkkosivustojen ja sovellusten kävijät sekä asiakkaan käyttäjät, jotka kirjautuvat hallintapaneeliin |
| Henkilötiedot | Pseudonyymi suostumustunniste, aikaleima, kategoriakohtaiset suostumusvalinnat, bannerin ja käytännön versio, likimääräinen alue (maa tai osavaltio), typistetty user agent -tieto sekä identify()-kutsua käytettäessä suolattu tiiviste asiakkaan käyttäjätunnisteesta |
| Ei käsitellä | Raakoja IP-osoitteita ei tallenneta. Erityisiin henkilötietoryhmiin kuuluvia tietoja ei käsitellä. |
| Käyttötarkoitus | Suostumusten kirjaaminen, säilyttäminen ja todentaminen sekä suostumustiedon välittäminen asiakkaan verkkosivustolle |
| Kesto | Niin kauan kuin asiakas käyttää Cookieshia, lisättynä suostumustietueille määritetyllä säilytysajalla |
Cookieshin velvoitteet käsittelijänä
DPA:n mukaan Cookiesh:
- käsittelee henkilötietoja vain asiakkaan dokumentoitujen ohjeiden mukaisesti, ja nämä ohjeet muodostuvat käyttöehdoista, DPA:sta ja asiakkaan palveluun tekemistä määrityksistä;
- varmistaa, että kaikkia tietoihin pääsevät henkilöt sitoo salassapitovelvollisuus;
- toteuttaa tietoturvasivulla kuvatut tekniset ja organisatoriset turvatoimet;
- auttaa asiakasta vastaamaan rekisteröityjen pyyntöihin esimerkiksi viemällä tai poistamalla suostumustunnisteeseen tai käyttäjätunnisteeseen liitetyt suostumustietueet;
- auttaa asiakasta tietosuojaa koskevissa vaikutustenarvioinneissa ja valvontaviranomaisten ennakkokuulemisissa, kun ne liittyvät Cookieshin palveluun;
- ilmoittaa asiakkaan tietoja koskevasta henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun se on tullut Cookieshin tietoon;
- poistaa tai palauttaa asiakkaan tiedot sopimuksen päättyessä asiakkaan valinnan mukaan, ellei laki edellytä niiden säilyttämistä;
- antaa asiakkaan saataville tiedot, joita tämä tarvitsee vaatimustenmukaisuuden osoittamiseen, ja sallii auditoinnit jäljempänä kuvatulla tavalla.
Alikäsittelijät
Asiakas antaa Cookieshille yleisen luvan käyttää alikäsittelijäsivulla lueteltuja alikäsittelijöitä. Cookiesh sitoo jokaisen alikäsittelijän tietosuojaehtoihin, jotka suojaavat tietoja vähintään yhtä hyvin kuin DPA, ja vastaa niiden toiminnasta.
Cookiesh ilmoittaa asiakkaille vähintään 30 päivää ennen alikäsittelijän lisäämistä tai vaihtamista. Jos asiakas vastustaa muutosta perustelluista tietosuojasyistä, Cookiesh etsii ratkaisun yhdessä asiakkaan kanssa. Jos ratkaisua ei löydy, asiakas voi irtisanoa muutoksen koskeman palvelun ja saada hyvityksen siitä etukäteen maksamistaan maksuista.
Kansainväliset siirrot
Suostumustietueet säilytetään Euroopan unionissa. Kun alikäsittelijä käsittelee henkilötietoja Euroopan talousalueen ulkopuolelta, siirto perustuu tietosuojan riittävyyttä koskevaan päätökseen, kuten EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen (Data Privacy Framework), tai Euroopan komission vakiosopimuslausekkeisiin (moduulit 2 ja 3). Yhdistyneestä kuningaskunnasta ja Sveitsistä tehtäviä siirtoja varten DPA sisältää Yhdistyneen kuningaskunnan kansainvälisiä tiedonsiirtoja koskevan lisäyksen (International Data Transfer Addendum) ja vakiosopimuslausekkeisiin tehdyt Sveitsiä koskevat muutokset.
Auditoinnit
Cookiesh vastaa kohtuullisiin tietoturvakyselyihin ja toimittaa pyynnöstä tiivistelmät tietoturvakäytännöistään ja kolmansien osapuolten testien tuloksista. Jos nämä tiedot eivät riitä vaatimustenmukaisuuden osoittamiseen tai valvontaviranomainen sitä edellyttää, asiakas voi tehdä auditoinnin kerran vuodessa 30 päivän ennakkoilmoituksella ja salassapitovelvollisuuden alaisena. Paikan päällä tehtävät auditoinnit ovat mahdollisia Enterprise-paketeissa.
Yhdysvaltain tietosuojalait
Asiakkaille, joihin sovelletaan CCPA/CPRA:ta tai vastaavia Yhdysvaltain osavaltioiden lakeja, DPA sisältää palveluntarjoajaa (service provider) koskevat ehdot. Cookiesh ei myy eikä jaa henkilötietoja, ei käytä niitä mihinkään muuhun tarkoitukseen kuin palvelun tarjoamiseen eikä yhdistä niitä muista lähteistä saatuihin henkilötietoihin, paitsi näiden lakien sallimissa rajoissa.
Yhteystiedot
Allekirjoitettua DPA:ta tai sitä koskevia kysymyksiä varten voit lähettää sähköpostia osoitteeseen privacy@cookiesh.eu.