Tietojenkäsittelysopimus

Käsittelyn laajuus

Kai käsittelee henkilötietoja ainoastaan tarjotakseen jaetun omaisuudenhallinnan alustan palveluehdoissa kuvatulla tavalla. Käsittely sisältää tietojen tallentamisen, hakemisen, näyttämisen ja poistamisen Controllerin ohjeiden mukaisesti alustan normaalikäytön kautta.

Operaattoreiden odotuslistat

Operaattorin odotuslista kuuluu kyseiselle operaattorille. Kai käyttää sitä vain kyseisen operaattorin ilmoittautumissivuun, yhdistämiseen ja sähköposteihin. Kai ei koskaan tarjoa listalla oleville toisten operaattoreiden kohteita (veneitä, ilma-aluksia, loma-asuntoja tai autoja) tai omia tarjouksiaan eikä lisää heitä omille postituslistoilleen. Operaattori voi viedä koko listan milloin tahansa.

Operaattorin hoitamat kohteet

Kun kohde (vene, ilma-alus, loma-asunto tai auto) kuuluu operaattorin laivastoon, operaattorin toimisto näkee vain siitä kohteesta: sen varaukset ja kuka ne teki, erääntyvät huollot, asiakirjojen nimet ja voimassaolon päättymispäivät sekä omistajien erääntyneiden maksujen summan ja myöhässä olevien omistajien määrän, ei koskaan heidän henkilöllisyyttään. Toimisto ei näe kohteen viestejä, kuluja eikä asiakirjatiedostoja. Tämä päättyy, kun kohde poistuu laivastosta tai operaattorin paketti päättyy.

Käsiteltyjen tietojen kategoriat

Seuraavia henkilötietokategorioita käsitellään:

• Identiteettitiedot: nimi, sähköpostiosoite, profiilikuva
• Yhteystiedot: puhelinnumero, laskutusosoite
• Taloudelliset tiedot: IBAN, laskutustiedot, laskurekisterit
• Käyttötiedot: varaukset, käyttölokit, kulurekisterit, huoltolokit
• Viestintätiedot: viestit, tukipyynnöt
• Tekniset tiedot: IP-osoite, selaintyyppi, suostumusrekisterit
• Odotuslistatiedot (yhdistäminen, operaattoreille): nimi, sähköposti, puhelin, kielet, toivekuukaudet, toivotut osuudet, valmiuspäivä, henkilömäärä, veneilijän pätevyys, muistiinpanot, vastaukset operaattorin ilmoittautumiskysymyksiin ja suostumustiedot

Turvallisuustoimenpiteet

Kai toteuttaa seuraavat tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi:

• Salaus siirrossa (TLS 1.3) ja levossa (AES-256)
• Rivitason tietoturva tietojen eristämiseksi ryhmien välillä
• Roolipohjainen pääsynhallinta vähimmäisoikeuksien periaatteella
• Automatisoidut päivittäiset varmuuskopiot point-in-time-palautuksella
• Säännölliset tietoturva-auditoinnit ja tunkeutumistestaukset
• Henkilökohtaisia tunnistetietoja ei lähetetä virheseurantaan

Alikäsittelijät

Kai käyttää seuraavia alikäsittelijöitä. Controller ilmoitetaan kaikista muutoksista tähän luetteloon:

• Supabase (AWS Frankfurt, EU) — Tietokanta ja todennus
• Stripe (EU/US, SCC) — Maksujenkäsittely
• Resend (US, SCC) — Sähköpostin toimitus
• Sentry (EU) — Virheseuranta (ei PII)
• Vercel (EU) — Sovellusisännöinti
• Google Analytics & Ads (US, DPF) — Analytiikka ja mainonta (suostumuksesta riippuvainen)
• Firebase / Google Cloud (EU) — Tiedostojen tallennus
• Cloudinary (US, SCC) — Kuvaoptimointi

Tietoturvaloukkausilmoitus

Henkilötietojen tietoturvaloukkauksen sattuessa Kai ilmoittaa Controllerille ilman aiheetonta viivytystä ja viimeistään 72 tunnin kuluessa loukkauksen havaitsemisesta. Ilmoitus sisältää loukkauksen luonteen, asianomaisten rekisteröityjen kategoriat ja likimääräisen lukumäärän, todennäköiset seuraukset sekä loukkauksen käsittelemiseksi toteutetut tai ehdotetut toimenpiteet.

Rekisteröidyn oikeudet

Kai avustaa Controlleria rekisteröityjen pyyntöjen toteuttamisessa, mukaan lukien:

• Oikeus saada pääsy tietoihin — käyttäjät voivat tarkastella kaikkia tietojaan alustalla
• Oikeus oikaisuun — käyttäjät voivat päivittää profiilinsa ja tietonsa
• Oikeus poistamiseen — tilin poistaminen poistaa kaikki henkilötiedot
• Oikeus tietojen siirrettävyyteen — käyttäjät voivat viedä kaikki tietonsa JSON-muodossa
• Oikeus peruuttaa suostumus — evästeasetuksia voi muuttaa milloin tahansa

Tietojen palautus ja poistaminen

Sopimuksen päättyessä Kai poistaa kaikki Controllerin puolesta käsitellyt henkilötiedot 30 päivän kuluessa, ellei sovellettava lainsäädäntö edellytä tietojen säilyttämistä. Controller voi viedä tietonsa milloin tahansa ennen sopimuksen päättymistä alustan sisäänrakennettujen vientitoimintojen avulla.

Yhteystiedot

Tätä DPA:ta koskevissa kysymyksissä tai allekirjoitetun kopion pyytämiseksi ota yhteyttä osoitteeseen [email protected]