Tämä henkilötietojen käsittelysopimus (”DPA”) on osa Sportyplanner-palvelun käyttöä koskevaa Sportyfly Oy:n ja Ammattilaisen välistä sopimusta.
Käsittelijä
Sportyfly Oy
Y-tunnus: 2594763-9
Kuntokatu 17, 33520 Tampere
(jäljempänä ”Sportyfly”)
Rekisterinpitäjä
Sportyplanner-palvelua käyttävä ammattilainen, joka käsittelee omien asiakkaidensa henkilötietoja Sportyplanner-palvelun kautta (jäljempänä ”Ammattilainen”).
Tämä henkilötietojen käsittelysopimus (”DPA”) koskee tilanteita, joissa Ammattilainen käyttää Sportyplanner-palvelua omassa valmennus-, ohjaus-, kuntoutus-, hyvinvointi- tai muussa asiakastoiminnassaan ja tallentaa tai käsittelee palvelussa omien asiakkaidensa henkilötietoja.
Ammattilainen toimii tällöin henkilötietojen rekisterinpitäjänä ja Sportyfly henkilötietojen käsittelijänä. Sportyfly käsittelee henkilötietoja Ammattilaisen lukuun ja tämän DPA:n mukaisesti Sportyplanner-palvelun teknisenä alustana.
1. Sopimuksen tarkoitus
Tämän henkilötietojen käsittelysopimuksen tarkoituksena on määrittää Sportyfly Oy:n Käsittelijänä suorittaman henkilötietojen käsittelyn ehdot sekä osapuolten oikeudet ja velvollisuudet tilanteissa, joissa Sportyfly käsittelee henkilötietoja Rekisterinpitäjän lukuun Sportyplanner-palvelun tarjoamisen yhteydessä.
Osapuolet sitoutuvat henkilötietojen käsittelyssä noudattamaan kulloinkin voimassa olevaa sovellettavaa tietosuojalainsäädäntöä, mukaan lukien Euroopan unionin yleistä tietosuoja-asetusta (EU) 2016/679 (GDPR).
2. Käsittelyn kohde ja kesto
Sportyfly käsittelee henkilötietoja ainoastaan siinä laajuudessa kuin se on tarpeen Sportyplanner-palvelun tarjoamiseksi ja tämän sopimuksen mukaisten velvoitteiden täyttämiseksi.
Henkilötietoja käsitellään niin kauan kuin Rekisterinpitäjän käyttäjätili on aktiivinen tai niin kauan kuin henkilötietojen käsittely on muutoin tarpeen Sportyplanner-palvelun tarjoamiseksi.
Palvelun päättymisen jälkeen Sportyfly säilyttää henkilötietoja vain siinä määrin ja niin kauan kuin niiden säilyttäminen on tarpeen sovellettavan lainsäädännön tai muun oikeudellisen velvoitteen noudattamiseksi tai oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi.
Sopimuksen päättyessä Sportyfly poistaa tai palauttaa Rekisterinpitäjän pyynnöstä Rekisterinpitäjän lukuun käsittelemänsä henkilötiedot 30 päivän kuluessa pyynnön vastaanottamisesta, ellei sovellettavasta lainsäädännöstä muuta johdu.
3. Käsittelyn luonne ja tarkoitus
Sportyfly käsittelee henkilötietoja seuraavia tarkoituksia varten:
● käyttäjätilien ylläpito
● valmennus- ja ohjauspalveluiden tekninen toteuttaminen
● harjoitus- ja ravintoseurannan mahdollistaminen
● asiakassuhteiden hallinnan mahdollistaminen
● tietojen tallentaminen ja varmuuskopiointi
● palvelun ylläpito, kehittäminen ja tietoturvan varmistaminen
● tekninen tuki ja virhetilanteiden selvittäminen.
Sportyfly ei käytä Rekisterinpitäjän lukuun käsittelemiään asiakastietoja omiin markkinointitarkoituksiinsa.
4. Rekisteröityjen ryhmät ja henkilötietoryhmät
Käsittely voi koskea esimerkiksi seuraavia rekisteröityjen ryhmiä:
● Rekisterinpitäjän asiakkaat
● valmennettavat
● palvelun käyttäjät
Käsiteltäviä henkilötietoja voivat olla esimerkiksi:
● nimi
● sähköpostiosoite
● puhelinnumero
● harjoituspäiväkirjat
● liikunta- ja harjoitusmerkinnät
● harjoitustulokset
● ravintomerkinnät
● paino- ja kehonmittaustiedot
● uni- ja palautumistiedot
● käyttäjän lisäämät kuvat ja videot
● ostohistoria
● tilaustiedot
● maksutapahtumaan liittyvät tiedot (ei maksukorttitietoja)
● ostettuihin tuotteisiin, palveluihin ja valmennuksiin liittyvät tiedot
● muut Rekisterinpitäjän palveluun tallentamat asiakas- ja valmennustiedot.
Osa edellä mainituista tiedoista voi sisältää GDPR:n 9 artiklassa tarkoitettuja erityisiin henkilötietoryhmiin kuuluvia tietoja, kuten terveyttä koskevia tietoja.
Sportyfly ei määritä, mitä henkilötietoja Rekisterinpitäjä tallentaa palveluun.
5. Rekisterinpitäjän velvollisuudet
Rekisterinpitäjä vastaa siitä, että:
● henkilötietojen käsittelylle on lainmukainen peruste
● rekisteröityjä informoidaan tietosuojalainsäädännön edellyttämällä tavalla
● henkilötietojen käsittely tapahtuu sovellettavan lainsäädännön mukaisesti
● palveluun tallennettavat henkilötiedot ovat tarpeellisia käsittelyn tarkoituksen kannalta
Rekisterinpitäjä vastaa omien asiakasrekisteriensä lainmukaisuudesta.
6. Sportyflyn velvollisuudet käsittelijänä
Sportyfly sitoutuu:
● käsittelemään henkilötietoja ainoastaan tämän sopimuksen, Sportyplanner-palvelun käyttöehtojen ja sovellettavan lainsäädännön mukaisesti
● huolehtimaan henkilötietojen luottamuksellisuudesta
● toteuttamaan asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi
● varmistamaan, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon tai heitä koskee lakisääteinen salassapitovelvollisuus
● avustamaan Rekisterinpitäjää kohtuullisessa määrin rekisteröityjen oikeuksien toteuttamisessa.
Sportyflyn henkilöstön pääsy Rekisterinpitäjän asiakastietoihin on rajattu työtehtävien edellyttämään laajuuteen. Tietoja voidaan käsitellä esimerkiksi teknisen ylläpidon, asiakastuen, tietoturvan tai virhetilanteiden selvittämisen yhteydessä silloin, kun se on kyseisen tehtävän suorittamiseksi tarpeen.
Rekisterinpitäjä hyväksyy, että Sportyfly voi käyttää henkilötietojen käsittelyssä alikäsittelijöitä, jotka osallistuvat Sportyplanner-palvelun tekniseen toteuttamiseen, ylläpitoon, tietojen säilyttämiseen, tietoturvaan tai muihin palvelun tarjoamisen kannalta tarpeellisiin toimintoihin.
Sportyplanner-palvelun alikäsittelijöitä voivat olla esimerkiksi:
● Amazon Web Services (AWS)
● Paytrail Oyj
● muut Sportyflyn käyttämät tekniset palveluntarjoajat, jotka osallistuvat palvelun toteuttamiseen.
Sportyfly varmistaa, että alikäsittelijät sitoutuvat henkilötietojen käsittelyyn sovellettavan tietosuojalainsäädännön mukaisesti ja että alikäsittelijöiden kanssa on tehty tietosuojalainsäädännön edellyttämät sopimusjärjestelyt.
Sportyfly vastaa käyttämiensä alikäsittelijöiden toiminnasta henkilötietojen käsittelijänä sovellettavan tietosuojalainsäädännön mukaisesti.
Sportyfly ilmoittaa Rekisterinpitäjälle uusista alikäsittelijöistä tai alikäsittelijöitä koskevista olennaisista muutoksista etukäteen, mikäli sovellettava tietosuojalainsäädäntö tätä edellyttää.
Rekisterinpitäjällä on oikeus vastustaa uuden alikäsittelijän käyttöä perustellusta tietosuojaan liittyvästä syystä. Mikäli vastustamisesta ei päästä kohtuullisessa ajassa ratkaisuun, osapuolilla on oikeus ryhtyä toimenpiteisiin pääsopimuksen päättämiseksi sen ehtojen mukaisesti.
7. Tietoturva
Sportyfly toteuttaa henkilötietojen suojaamiseksi asianmukaiset tekniset ja organisatoriset toimenpiteet huomioiden:
● käsittelyn luonteen ja tarkoituksen
● käsittelyn laajuuden
● henkilötietojen käsittelyyn liittyvät riskit
● käytettävissä olevan teknologian ja toteuttamisen kustannukset.
Tietoja säilytetään suojatuissa palvelinympäristöissä Euroopan talousalueella.
Toimenpiteillä pyritään varmistamaan henkilötietojen asianmukainen suojaaminen, luottamuksellisuus, eheys ja saatavuus.
8. Tietoturvaloukkaukset
Mikäli Sportyfly havaitsee henkilötietojen tietoturvaloukkauksen, joka koskee Rekisterinpitäjän henkilötietoja, Sportyfly ilmoittaa tietoturvaloukkauksesta Rekisterinpitäjälle ilman aiheetonta viivytystä sen jälkeen, kun Sportyfly on tullut tietoiseksi loukkauksesta.
Sportyfly antaa Rekisterinpitäjälle kohtuullisesti saatavilla olevat tiedot tietoturvaloukkauksesta sekä avustaa Rekisterinpitäjää kohtuullisessa määrin sellaisten lakisääteisten velvoitteiden täyttämisessä, jotka liittyvät tietoturvaloukkaukseen ilmoittamiseen ja käsittelyyn.
Sportyfly ryhtyy asianmukaisiin toimenpiteisiin tietoturvaloukkauksen rajoittamiseksi, vaikutusten selvittämiseksi ja vastaavien loukkausten ehkäisemiseksi.
9. Rekisteröidyn oikeuksien toteuttaminen
Sportyfly avustaa Rekisterinpitäjää kohtuullisessa määrin rekisteröityjen tietosuojaoikeuksien toteuttamisessa. Mikäli rekisteröity esittää henkilötietojaan koskevan pyynnön Sportyflylle, Sportyfly ilmoittaa pyynnöstä Rekisterinpitäjälle ilman aiheetonta viivytystä.
Sportyfly toteuttaa Rekisterinpitäjän pyynnöstä tarvittavat tekniset toimenpiteet tietojen hakemiseksi, toimittamiseksi, oikaisemiseksi, poistamiseksi tai käsittelyn rajoittamiseksi siltä osin kuin se on Sportyplanner-palvelun teknisten ominaisuuksien perusteella mahdollista.
Rekisterinpitäjä vastaa rekisteröidyn pyyntöön vastaamisesta ja siitä, että pyyntö käsitellään sovellettavan lainsäädännön mukaisessa määräajassa.
10. Sopimuksen päättyminen ja tietojen säilyttäminen
Tämä DPA on voimassa niin kauan kuin Rekisterinpitäjä käyttää Sportyplanner-palvelua. Palvelun käytön päättyminen ei automaattisesti johda henkilötietojen välittömään poistamiseen.
Mikäli käyttäjä ei ole kirjautunut Sportyplanner-palveluun kahteen (2) vuoteen, Sportyfly voi poistaa käyttäjätilin ja siihen liittyvät henkilötiedot tai anonymisoida tiedot. Ennen poistamista tai anonymisointia Sportyfly pyrkii ilmoittamaan tulevasta toimenpiteestä käyttäjän ilmoittamaan sähköpostiosoitteeseen.
Mikäli käyttäjä kirjautuu palveluun ennen käyttäjätilin poistamista tai tietojen anonymisointia, säilytysaika alkaa kulua uudelleen viimeisimmästä kirjautumisesta.
Lainsäädännön, viranomaisvaatimusten tai muun lakisääteisen velvoitteen perusteella tietoja voidaan säilyttää tätä pidempään.
11. Osapuolten vastuut
Kumpikin osapuoli vastaa omista tietosuojalainsäädännön mukaisista velvollisuuksistaan.
Rekisterinpitäjä vastaa henkilötietojen käsittelyn lainmukaisuudesta sekä henkilötietojen keräämisestä ja rekisteröityjen informoinnista.
Sportyfly vastaa omalta osaltaan henkilötietojen käsittelystä tämän sopimuksen ja sovellettavan tietosuojalainsäädännön mukaisesti.
12. Sovellettava laki
Tähän sopimukseen sovelletaan Suomen lakia.
Osapuolet pyrkivät ensisijaisesti ratkaisemaan tästä sopimuksesta aiheutuvat erimielisyydet neuvottelemalla. Ellei erimielisyyttä saada ratkaistua neuvotteluteitse, riita ratkaistaan Sportyfly Oy:n kotipaikan toimivaltaisessa käräjäoikeudessa.