Tämä henkilötietojen käsittelysopimus (”DPA”) on osa Sportyplanner-palvelun käyttöä koskevaa Sportyfly Oy:n ja Ammattilaisen välistä sopimusta.
Käsittelijä
Sportyfly Oy
Y-tunnus: 2594763-9
Kuntokatu 17, 33520 Tampere
(jäljempänä ”Sportyfly”)
Rekisterinpitäjä
Sportyplanner-palvelua käyttävä ammattilainen, joka käsittelee omien asiakkaidensa henkilötietoja Sportyplanner-palvelun kautta (jäljempänä ”Ammattilainen”).
Tämä henkilötietojen käsittelysopimus (”DPA”) koskee tilanteita, joissa Ammattilainen käyttää Sportyplanner-palvelua omassa valmennus-, ohjaus-, kuntoutus-, hyvinvointi- tai muussa asiakastoiminnassaan ja tallentaa tai käsittelee palvelussa omien asiakkaidensa henkilötietoja.
Ammattilainen toimii tällöin henkilötietojen rekisterinpitäjänä ja Sportyfly henkilötietojen käsittelijänä. Sportyfly käsittelee henkilötietoja Ammattilaisen lukuun ja tämän DPA:n mukaisesti Sportyplanner-palvelun teknisenä alustana.
1. Sopimuksen tarkoitus
Tämän henkilötietojen käsittelysopimuksen tarkoituksena on määrittää Sportyfly Oy:n Käsittelijänä suorittaman henkilötietojen käsittelyn ehdot sekä osapuolten oikeudet ja velvollisuudet tilanteissa, joissa Sportyfly käsittelee henkilötietoja Rekisterinpitäjän lukuun Sportyplanner-palvelun tarjoamisen yhteydessä.
Osapuolet sitoutuvat henkilötietojen käsittelyssä noudattamaan kulloinkin voimassa olevaa sovellettavaa tietosuojalainsäädäntöä, mukaan lukien Euroopan unionin yleistä tietosuoja-asetusta (EU) 2016/679 (GDPR).
2. Käsittelyn kohde ja kesto
Sportyfly käsittelee henkilötietoja Ammattilaisen lukuun ainoastaan siinä laajuudessa ja niin kauan kuin se on tarpeen Sportyplanner-palvelun tarjoamiseksi Ammattilaiselle ja tämän asiakkaisiin liittyvien palveluiden toteuttamiseksi.
Yksittäistä asiakasta koskeva henkilötietojen käsittely Ammattilaisen lukuun voi päättyä myös Ammattilaisen ja asiakkaan välisen valmennus- tai muun asiakassuhteen päättyessä. Verkkokaupasta ostetun tuotteen tai valmennuksen käyttöoikeus voi tuotteen ehtojen mukaisesti päättyä määräajan jälkeen tai jäädä ostajan käyttöön valmennussuhteen päättymisen jälkeen.
Mikäli ostettu tuote jää ostajan käyttöön valmennussuhteen päättymisen jälkeen, ostaja poistuu Ammattilaisen asiakaslistalta eikä Sportyfly tämän jälkeen käsittele ostajan henkilötietoja kyseiseen valmennussuhteeseen liittyen Ammattilaisen lukuun. Ostajan Sportyplanner-käyttäjätiliin ja hänen käyttöönsä jääneeseen tuotteeseen liittyvien henkilötietojen käsittely voi kuitenkin jatkua Sportyflyn omien käsittelytarkoitusten ja sovellettavan tietosuojalainsäädännön mukaisesti.
Sportyfly käsittelee henkilötietoja Rekisterinpitäjän lukuun niin kauan kuin käsittely on tarpeen Sportyplanner-palvelun tarjoamiseksi Rekisterinpitäjälle tai Rekisterinpitäjän dokumentoitujen ohjeiden toteuttamiseksi. Sopimuksen päättyessä henkilötietojen käsittelyyn sovelletaan tämän sopimuksen kohtaa 13.
3. Käsittelyn luonne ja tarkoitus
Sportyfly käsittelee henkilötietoja seuraavia tarkoituksia varten:
- käyttäjätilien ylläpito
- valmennus- ja ohjauspalveluiden tekninen toteuttaminen
- harjoitus- ja ravintoseurannan mahdollistaminen
- asiakassuhteiden hallinnan mahdollistaminen
- ammattilaisen verkkokaupassa myymien tuotteiden ja palveluiden tilausten tekninen toteuttaminen
- ostettujen tuotteiden, palveluiden ja valmennusten toimittamisen sekä niihin liittyvien käyttöoikeuksien hallinnan mahdollistaminen Sportyplanner-palvelussa
- tietojen tallentaminen ja varmuuskopiointi
- palvelun ylläpito, kehittäminen ja tietoturvan varmistaminen
- tekninen tuki ja virhetilanteiden selvittäminen.
- Sportyfly ei käytä Rekisterinpitäjän lukuun käsittelemiään asiakastietoja omiin markkinointitarkoituksiinsa.
4. Rekisteröityjen ryhmät ja henkilötietoryhmät
Käsittely voi koskea esimerkiksi seuraavia rekisteröityjen ryhmiä:
- rekisterinpitäjän asiakkaat
- valmennettavat
- palvelun käyttäjät
Käsiteltäviä henkilötietoja voivat olla esimerkiksi:
- nimi
- sähköpostiosoite
- puhelinnumero
- harjoituspäiväkirjat
- liikunta- ja harjoitusmerkinnät
- harjoitustulokset
- ravintomerkinnät
- paino- ja kehonmittaustiedot
- uni- ja palautumistiedot
- käyttäjän lisäämät kuvat ja videot
- rekisterinpitäjän myymiin tuotteisiin, palveluihin ja valmennuksiin liittyvät tilaaja- ja tilaustiedot siltä osin kuin Sportyfly käsittelee niitä Rekisterinpitäjän lukuun
ostettuihin tuotteisiin, palveluihin ja valmennuksiin liittyvät tiedot - muut Rekisterinpitäjän palveluun tallentamat asiakas- ja valmennustiedot.
Osa edellä mainituista tiedoista voi sisältää GDPR:n 9 artiklassa tarkoitettuja erityisiin henkilötietoryhmiin kuuluvia tietoja, kuten terveyttä koskevia tietoja.
Sportyfly ei määritä, mitä henkilötietoja Rekisterinpitäjä tallentaa palveluun.
5. Rekisterinpitäjän velvollisuudet
Rekisterinpitäjä vastaa siitä, että:
- henkilötietojen käsittelylle on lainmukainen peruste
- rekisteröityjä informoidaan tietosuojalainsäädännön edellyttämällä tavalla
- henkilötietojen käsittely tapahtuu sovellettavan lainsäädännön mukaisesti
- palveluun tallennettavat henkilötiedot ovat tarpeellisia käsittelyn tarkoituksen kannalta
- rekisterinpitäjä vastaa omien asiakasrekisteriensä lainmukaisuudesta.
6. Sportyflyn velvollisuudet käsittelijänä
Sportyfly sitoutuu:
käsittelemään henkilötietoja ainoastaan Rekisterinpitäjän dokumentoitujen ohjeiden, tämän sopimuksen ja sovellettavan tietosuojalainsäädännön mukaisesti, ellei Euroopan unionin tai jäsenvaltion lainsäädäntö edellytä muuta käsittelyä. Tällaisesta lainsäädäntöön perustuvasta vaatimuksesta Sportyfly ilmoittaa Rekisterinpitäjälle ennen käsittelyä, ellei lainsäädäntö kiellä ilmoittamista tärkeän yleisen edun vuoksi
huolehtimaan henkilötietojen luottamuksellisuudesta
toteuttamaan asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi
varmistamaan, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon tai heitä koskee lakisääteinen salassapitovelvollisuus
avustamaan Rekisterinpitäjää kohtuullisessa määrin rekisteröityjen oikeuksien toteuttamisessa.
Mikäli Sportyfly katsoo, että Rekisterinpitäjän antama henkilötietojen käsittelyä koskeva ohje on sovellettavan tietosuojalainsäädännön vastainen, Sportyfly ilmoittaa tästä Rekisterinpitäjälle ilman aiheetonta viivytystä.
Sportyflyn henkilöstön pääsy Rekisterinpitäjän asiakastietoihin on rajattu työtehtävien edellyttämään laajuuteen. Tietoja voidaan käsitellä esimerkiksi teknisen ylläpidon, asiakastuen, tietoturvan tai virhetilanteiden selvittämisen yhteydessä silloin, kun se on kyseisen tehtävän suorittamiseksi tarpeen.
Sportyplanner-palvelun alikäsittelijöitä voivat olla esimerkiksi:
Amazon Web Services (AWS)
muut Sportyflyn käyttämät tekniset palveluntarjoajat, jotka käsittelevät henkilötietoja Sportyflyn lukuun ja osallistuvat palvelun tekniseen toteuttamiseen, ylläpitoon, tietojen säilyttämiseen tai tietoturvaan.
Sportyfly varmistaa, että alikäsittelijät sitoutuvat henkilötietojen käsittelyyn sovellettavan tietosuojalainsäädännön mukaisesti ja että alikäsittelijöiden kanssa on tehty tietosuojalainsäädännön edellyttämät sopimusjärjestelyt.
Sportyfly vastaa käyttämiensä alikäsittelijöiden toiminnasta henkilötietojen käsittelijänä sovellettavan tietosuojalainsäädännön mukaisesti.
Rekisterinpitäjä antaa Sportyflylle yleisen kirjallisen luvan käyttää henkilötietojen käsittelyssä alikäsittelijöitä, jotka osallistuvat Sportyplanner-palvelun tekniseen toteuttamiseen, ylläpitoon, tietojen säilyttämiseen, tietoturvaan tai muihin palvelun tarjoamisen kannalta tarpeellisiin toimintoihin.
Sportyfly ilmoittaa Rekisterinpitäjälle etukäteen suunnitelluista muutoksista, jotka koskevat alikäsittelijöiden lisäämistä tai vaihtamista, ja antaa Rekisterinpitäjälle mahdollisuuden vastustaa muutosta perustellusta tietosuojaan liittyvästä syystä. Mikäli vastustamisesta ei päästä kohtuullisessa ajassa ratkaisuun, osapuolilla on oikeus ryhtyä toimenpiteisiin pääsopimuksen päättämiseksi sen ehtojen mukaisesti.
7. Tietoturva
Sportyfly toteuttaa henkilötietojen suojaamiseksi asianmukaiset tekniset ja organisatoriset toimenpiteet huomioiden:
- käsittelyn luonteen ja tarkoituksen
- käsittelyn laajuuden
- henkilötietojen käsittelyyn liittyvät riskit
- käytettävissä olevan teknologian ja toteuttamisen kustannukset.
- tietoja säilytetään suojatuissa palvelinympäristöissä Euroopan talousalueella.
- toimenpiteillä pyritään varmistamaan henkilötietojen asianmukainen suojaaminen, luottamuksellisuus, eheys ja saatavuus.
8. Tietoturvaloukkaukset
Mikäli Sportyfly havaitsee henkilötietojen tietoturvaloukkauksen, joka koskee Rekisterinpitäjän henkilötietoja, Sportyfly ilmoittaa tietoturvaloukkauksesta Rekisterinpitäjälle ilman aiheetonta viivytystä sen jälkeen, kun Sportyfly on tullut tietoiseksi loukkauksesta.
Sportyfly antaa Rekisterinpitäjälle kohtuullisesti saatavilla olevat tiedot tietoturvaloukkauksesta sekä avustaa Rekisterinpitäjää kohtuullisessa määrin sellaisten lakisääteisten velvoitteiden täyttämisessä, jotka liittyvät tietoturvaloukkaukseen ilmoittamiseen ja käsittelyyn.
Sportyfly ryhtyy asianmukaisiin toimenpiteisiin tietoturvaloukkauksen rajoittamiseksi, vaikutusten selvittämiseksi ja vastaavien loukkausten ehkäisemiseksi.
9. Rekisteröidyn oikeuksien toteuttaminen
Sportyfly avustaa Rekisterinpitäjää kohtuullisessa määrin rekisteröityjen tietosuojaoikeuksien toteuttamisessa. Mikäli rekisteröity esittää henkilötietojaan koskevan pyynnön Sportyflylle, Sportyfly ilmoittaa pyynnöstä Rekisterinpitäjälle ilman aiheetonta viivytystä.
Sportyfly toteuttaa Rekisterinpitäjän pyynnöstä tarvittavat tekniset toimenpiteet tietojen hakemiseksi, toimittamiseksi, oikaisemiseksi, poistamiseksi tai käsittelyn rajoittamiseksi siltä osin kuin se on Sportyplanner-palvelun teknisten ominaisuuksien perusteella mahdollista.
Rekisterinpitäjä vastaa rekisteröidyn pyyntöön vastaamisesta ja siitä, että pyyntö käsitellään sovellettavan lainsäädännön mukaisessa määräajassa.
10. Avustaminen tietosuojavelvoitteiden täyttämisessä
Sportyfly avustaa Rekisterinpitäjää kohtuullisessa määrin sovellettavan tietosuojalainsäädännön mukaisten tietoturvaa, henkilötietojen tietoturvaloukkauksia, tietosuojaa koskevaa vaikutustenarviointia ja viranomaisen ennakkokuulemista koskevien velvoitteiden täyttämisessä ottaen huomioon käsittelyn luonteen ja Sportyflyn saatavilla olevat tiedot.
11. Vaatimustenmukaisuuden osoittaminen ja tarkastukset
Sportyfly antaa Rekisterinpitäjän saataville kohtuullisesti tarvittavat tiedot tämän sopimuksen ja sovellettavan tietosuojalainsäädännön mukaisten käsittelijän velvollisuuksien noudattamisen osoittamiseksi.
Sportyfly sallii Rekisterinpitäjän tai tämän valtuuttaman riippumattoman tarkastajan suorittamat henkilötietojen käsittelyä koskevat asianmukaiset tarkastukset ja osallistuu niihin kohtuullisessa määrin.
Tarkastuksesta on sovittava Sportyflyn kanssa etukäteen, ja se on toteutettava siten, ettei siitä aiheudu tarpeetonta haittaa Sportyflyn tai Sportyplanner-palvelun toiminnalle eikä muiden asiakkaiden tietoturvalle tai luottamuksellisuudelle.
12. Sopimuksen päättyminen ja tietojen säilyttäminen
Kun Ammattilaisen ja tämän asiakkaan välinen valmennus- tai muu asiakassuhde päättyy ja asiakas poistuu Ammattilaisen asiakaslistalta, Sportyfly ei enää käsittele kyseiseen asiakassuhteeseen liittyviä henkilötietoja Ammattilaisen lukuun, ellei tietojen käsittely ole edelleen tarpeen Ammattilaisen dokumentoitujen ohjeiden perusteella tai sovellettava lainsäädäntö edellytä tietojen säilyttämistä.
Verkkokaupasta ostetun tuotteen käyttöoikeus voi Ammattilaisen tuotteelle määrittämien ehtojen mukaisesti päättyä määräajan jälkeen tai jäädä ostajan käyttöön valmennussuhteen päättymisen jälkeen. Mikäli tuote jää ostajan käyttöön, ostajan Sportyplanner-käyttäjätiliin ja tuotteeseen liittyvien tietojen käsittely voi jatkua valmennussuhteen päättymisestä riippumatta.
Ammattilaisen Sportyplanner-palvelun käyttöä koskevan sopimuksen päättyessä Sportyfly poistaa tai palauttaa Ammattilaisen valinnan mukaisesti tämän lukuun käsitellyt henkilötiedot ja poistaa olemassa olevat jäljennökset, ellei sovellettava lainsäädäntö edellytä henkilötietojen säilyttämistä.
Edellä mainittu ei koske henkilötietoja, joita Sportyfly käsittelee itsenäisenä rekisterinpitäjänä omiin lainmukaisiin tarkoituksiinsa. Tällaisten henkilötietojen käsittelyyn ja säilyttämiseen sovelletaan Sportyflyn tietosuojaselostetta.
13. Osapuolten vastuut
Kumpikin osapuoli vastaa omista tietosuojalainsäädännön mukaisista velvollisuuksistaan.
Rekisterinpitäjä vastaa henkilötietojen käsittelyn lainmukaisuudesta sekä henkilötietojen keräämisestä ja rekisteröityjen informoinnista.
Sportyfly vastaa omalta osaltaan henkilötietojen käsittelystä tämän sopimuksen ja sovellettavan tietosuojalainsäädännön mukaisesti.
14. Sovellettava laki
Tähän sopimukseen sovelletaan Suomen lakia.
Osapuolet pyrkivät ensisijaisesti ratkaisemaan tästä sopimuksesta aiheutuvat erimielisyydet neuvottelemalla. Ellei erimielisyyttä saada ratkaistua neuvotteluteitse, riita ratkaistaan Sportyfly Oy:n kotipaikan toimivaltaisessa käräjäoikeudessa.