TIETOJENKÄSITTELYSOPIMUS (DPA)

Versio 1.7 · 22.10.2026

Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (GDPR) 28 artiklan mukainen henkilötietojen käsittelyä koskeva sopimus

Soveltamisala

Tämä DPA koskee vain organisaatio- ja yritysasiakkaita. Yksityis- ja perhekäytössä Traily on Palvelussa käsiteltävien henkilötietojen rekisterinpitäjä, eikä tämä DPA sovellu; tällaiseen käyttöön sovelletaan Trailyn tietosuojaselostetta sekä Trailyn kulloinkin julkaisemia kuluttajaehtoja (ei vielä julkaistu; Palvelua tarjotaan toistaiseksi vain organisaatioille) tai sovelluskaupan edellyttämää loppukäyttäjän lisenssisopimusta.

1  Osapuolet, määritelmät ja roolit

1.1 Osapuolet

• Rekisterinpitäjä: organisaatioasiakas (jäljempänä “Asiakas” tai “Rekisterinpitäjä”), joka yksilöidään Palvelusopimuksessa.
• Käsittelijä: palveluntarjoaja Traily Oy (Y-tunnus 3632921-1), jäljempänä “Käsittelijä” tai “Traily”, joka tarjoaa Palvelua osoitteessa traily.fi.
  Tietosuoja-asiat: tietosuoja@traily.fi

Asiakas ja Käsittelijä jäljempänä yhdessä “Osapuolet” ja kumpikin erikseen “Osapuoli”.

1.2 Määritelmät

Termeillä henkilötieto, käsittely, rekisterinpitäjä, henkilötietojen käsittelijä, rekisteröity, henkilötietojen tietoturvaloukkaus ja valvontaviranomainen on GDPR 4 artiklan mukainen merkitys. Lisäksi:

Yleiset sopimusehdot

Käsittelijän yleiset sopimusehdot yritys- ja organisaatioasiakkaille.

Alikäsittelijä

Kolmas taho, jonka Käsittelijä ottaa avukseen käsittelemään henkilötietoja Rekisterinpitäjän lukuun.

Sovellettava tietosuojalainsäädäntö

GDPR, Suomen tietosuojalaki (1050/2018) sekä muu Osapuoliin sovellettava henkilötietojen suojaa koskeva lainsäädäntö.

Muilla termeillä (mm. Palvelu, Laite, Laitedata, Tekninen data, Sopimus, Palvelusopimus, Hinnasto, Palvelukuvaus, Aineisto, SLA-liite, Käyttäjä ja Pääkäyttäjä) on Yleisten sopimusehtojen kohdan 1.4 mukainen merkitys.

1.3 Roolit

Palvelussa Asiakkaan lukuun käsiteltävien henkilötietojen — erityisesti Asiakkaan työntekijöiden ja muiden Käyttäjien sijainti-, ajo- ja kuljettajatietojen — osalta Asiakas on rekisterinpitäjä ja Käsittelijä henkilötietojen käsittelijä. Asiakas päättää käsittelyn tarkoitukset ja keinot, ja Käsittelijä käsittelee näitä henkilötietoja yksinomaan Asiakkaan lukuun tämän DPA:n ja Sopimuksen mukaisesti.

Käsittelijä toimii itsenäisenä rekisterinpitäjänä seuraavien tietojen osalta, eikä tämä DPA koske niitä:

• (a) asiakkuus-, tilaus- ja laskutustiedot;
• (b) käyttäjätilien perustiedot ja tunnistautumistiedot tilin luonnin, hallinnan ja tietoturvan tarkoituksiin;
• (c) tietoturva- ja audit-lokit;
• (d) rekisteröitymisvaiheen tiedot ja bottisuojaus ennen Sopimuksen syntymistä sekä markkinointisivuston (traily.fi) kävijä- ja yhteydenottotiedot;
• (e) Palvelun kehittäminen anonymisoidulla tai tilastollisella tasolla (kohta 14); sekä
• (f) kohdan 14.4 mukainen ajoneuvojen teknisten profiilien anonymisointi tutkimusaineistoksi; kohdan 14.4 rajoitukset ja Rekisterinpitäjän kielto-oikeus sitovat kuitenkin Käsittelijää. Tekninen profiili itse on Rekisterinpitäjän lukuun käsiteltävää tietoa (Liite 1).

Tähän käsittelyyn sovelletaan Käsittelijän tietosuojaselostetta. Samat käyttäjä- ja kuljettajatiedot siltä osin kuin ne näkyvät Palvelun sisältönä (esim. kuljettajan nimi ajopäiväkirjassa ja kuljettajan ja ajoneuvon välinen kytkentä) käsitellään Asiakkaan lukuun tämän DPA:n ja Liitteen 1 mukaisesti.

1.4 Suhde Sopimukseen, hyväksyminen ja etusijajärjestys

Tämä DPA on Sopimuksen liite. Asiakas hyväksyy DPA:n osana Sopimusta, ja DPA tulee voimaan Sopimuksen syntyessä ilman erillistä allekirjoitusta.

Sopimusasiakirjojen etusijajärjestys on:

1. Palvelusopimus (tilaus) liitteineen, mukaan lukien mahdollinen SLA-liite;
2. Hinnasto;
3. Palvelukuvaus;
4. Yleiset sopimusehdot;
5. tämä DPA liitteineen.

Edellä sanotusta poiketen henkilötietojen käsittelyä koskevissa kysymyksissä tämä DPA on aina ensisijainen muihin sopimusasiakirjoihin nähden. Pakottava Sovellettava tietosuojalainsäädäntö menee kaikissa tilanteissa sopimusasiakirjojen edelle.

2  Käsittelyn kohde, kesto, luonne ja tarkoitus

2.1 Käsittelyn kohde, kesto, luonne ja tarkoitus, käsiteltävät henkilötietoryhmät, rekisteröityjen ryhmät sekä käsittelyn sijainnit on kuvattu Liitteessä 1 (Käsittelyn kuvaus). Käsittelijä ei käsittele Rekisterinpitäjän lukuun käsiteltäviä henkilötietoja muihin kuin tämän DPA:n mukaisiin tarkoituksiin.

3  Käsittely vain Rekisterinpitäjän dokumentoitujen ohjeiden mukaan

(GDPR 28 artiklan 3 kohdan a alakohta)

3.1 Käsittelijä käsittelee henkilötietoja yksinomaan Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, myös siirrettäessä henkilötietoja kolmanteen maahan tai kansainväliselle järjestölle, ellei Käsittelijään sovellettava unionin tai jäsenvaltion lainsäädäntö toisin vaadi.

3.2 Rekisterinpitäjän dokumentoituja ohjeita ovat tämä DPA liitteineen, Sopimus, Palvelun dokumentaatio sekä Asiakkaan Palvelussa tekemät asetukset ja valinnat. Asiakas voi antaa täydentäviä kirjallisia ohjeita. Jos täydentävä ohje edellyttää Palvelun vakiotoiminnallisuuden ulkopuolisia toimia, Osapuolet sopivat toteutuksesta ja kustannuksista erikseen kohdan 7.4 mukaisesti.

3.3 Jos Käsittelijään sovellettava laki velvoittaa käsittelemään henkilötietoja ohjeista poiketen, Käsittelijä ilmoittaa vaatimuksesta Rekisterinpitäjälle ennen käsittelyä, ellei laki kiellä ilmoittamista tärkeän yleisen edun perusteella.

3.4 Käsittelijä ilmoittaa Rekisterinpitäjälle välittömästi, jos se katsoo ohjeen rikkovan Sovellettavaa tietosuojalainsäädäntöä. Käsittelijällä ei tällöin ole velvollisuutta toteuttaa ohjetta ennen kuin asia on selvitetty Osapuolten välillä.

3.5 Kolmasmaasiirroista määrätään kohdassa 12.

4  Käsittelijän henkilöstön salassapito

(GDPR 28 artiklan 3 kohdan b alakohta)

4.1 Käsittelijä varmistaa, että henkilötietoja sen lukuun käsittelevät henkilöt ovat sitoutuneet salassapitoon sopimuksin tai että heitä koskee vastaava lakisääteinen salassapitovelvollisuus. Salassapito on voimassa myös tehtävien tai työsuhteen päättymisen jälkeen.

4.2 Pääsy henkilötietoihin rajataan henkilöihin, joiden työtehtävät sitä edellyttävät (need-to-know), ja nämä henkilöt ohjeistetaan henkilötietojen käsittelyyn.

5  Käsittelyn turvallisuus — tekniset ja organisatoriset toimet

(GDPR 28 artiklan 3 kohdan c alakohta; viittaa 32 artiklaan)

5.1 Käsittelijä toteuttaa GDPR 32 artiklan mukaiset riskiperusteiset, asianmukaiset tekniset ja organisatoriset toimet turvallisuustason varmistamiseksi ottaen huomioon uusimman tekniikan, toteuttamiskustannukset, käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset sekä rekisteröityjen oikeuksiin ja vapauksiin kohdistuvat riskit.

5.2 Toteutetut toimet on kuvattu Liitteessä 2 (Tekniset ja organisatoriset turvatoimet).

5.3 Erityiset henkilötietoryhmät. Palvelua ei ole tarkoitettu GDPR 9 artiklan mukaisten erityisten henkilötietoryhmien järjestelmälliseen käsittelyyn. Asiakas vastaa siitä, ettei tällaisia tietoja syötetä Palveluun ilman, että käsittelyn lainmukaisuus ja tarvittavat lisäsuojatoimet on varmistettu. Jos tällaisia tietoja tosiasiallisesti käsitellään tai niitä satunnaisesti sisältyy esimerkiksi ladattuihin dokumentteihin, Käsittelijä toteuttaa riskin edellyttämässä laajuudessa täydentäviä suojatoimia (Liite 2, kohta 9), ja tiedot poistetaan Asiakkaan pyynnöstä.

5.4 Käsittelijä arvioi ja kehittää turvatoimia teknisen kehityksen ja riskiarvioinnin perusteella ja voi muuttaa yksittäisiä toimia, kunhan turvallisuuden kokonaistaso ei laske. Käsittelijä ilmoittaa Rekisterinpitäjälle olennaisista turvatoimien muutoksista kohtuullisessa ajassa.

6  Alikäsittelijät

(GDPR 28 artiklan 2 kohta, 3 kohdan d alakohta ja 4 kohta)

6.1 Yleinen ennakkovaltuutus. Rekisterinpitäjä antaa Käsittelijälle yleisen kirjallisen ennakkovaltuutuksen käyttää kulloinkin voimassa olevaan Liitteeseen 3 (Alikäsittelijät) merkittyjä Alikäsittelijöitä.

6.2 Vastaavat velvoitteet. Käsittelijä sitoo kunkin Alikäsittelijän kirjallisella sopimuksella tai muulla oikeudellisesti sitovalla asiakirjalla noudattamaan olennaisilta osin vastaavia tietosuojavelvoitteita ja suojatoimia, jotka Käsittelijää tämän DPA:n nojalla sitovat, mukaan lukien GDPR 32 artiklan mukaiset turvatoimet ja kielto käyttää Rekisterinpitäjän henkilötietoja Alikäsittelijän omiin tarkoituksiin (kohta 14). Rekisterinpitäjä voi kohdistaa tämän DPA:n mukaiset oikeutensa Alikäsittelijöiden käsittelyyn Käsittelijän kautta, ja Käsittelijä ajaa tarvittaessa Rekisterinpitäjän perusteltuja vaatimuksia Alikäsittelijää kohtaan.

6.3 Muutosilmoitus ja vastustusoikeus. Käsittelijä ilmoittaa Rekisterinpitäjälle etukäteen kaikista suunnitelluista Alikäsittelijöiden lisäyksistä tai vaihdoista vähintään kolmekymmentä (30) päivää ennen muutoksen voimaantuloa sähköpostitse Rekisterinpitäjän ilmoittamaan osoitteeseen ja/tai Palvelussa. Jos Rekisterinpitäjä vastustaa muutosta perustellusta tietosuojasyystä ennen sen voimaantuloa, Osapuolet neuvottelevat ratkaisusta. Jos ratkaisua ei löydy, Rekisterinpitäjällä on oikeus irtisanoa muutoksen kohteena oleva Palvelu päättymään ennen muutoksen voimaantuloa ilman ennenaikaisen päättämisen seuraamuksia; päättymisen jälkeiseen aikaan kohdistuvat, kyseisestä Palvelusta etukäteen maksetut maksut palautetaan.

6.4 Vastuu Alikäsittelijöistä. Käsittelijä vastaa Alikäsittelijöidensä työstä kuin omastaan ja on täysimääräisesti vastuussa Rekisterinpitäjälle Alikäsittelijän velvoitteiden täyttämisestä.

6.5 Kolmasmaasiirrot alikäsittelyketjussa. Jos Alikäsittelijä sijaitsee EU/ETA-alueen ulkopuolella tai käsittelee henkilötietoja sen ulkopuolella, sovelletaan kohdan 12 suojatoimia.

7  Avustaminen rekisteröidyn oikeuksien toteuttamisessa

(GDPR 28 artiklan 3 kohdan e alakohta)

7.1 Käsittelijä avustaa Rekisterinpitäjää asianmukaisin teknisin ja organisatorisin toimin mahdollisuuksien mukaan, jotta Rekisterinpitäjä voi vastata rekisteröityjen GDPR III luvun mukaisia oikeuksia koskeviin pyyntöihin (pääsy, oikaisu, poisto, käsittelyn rajoittaminen, vastustaminen ja siirto-oikeus).

7.2 Jos rekisteröity esittää Palvelua koskevan pyynnön suoraan Käsittelijälle, Käsittelijä ei vastaa rekisteröidylle ilman Rekisterinpitäjän lupaa, vaan ohjaa pyynnön viipymättä Rekisterinpitäjälle.

7.3 Siirrettävyys ja vienti. Käsittelijä toimittaa Rekisterinpitäjälle pyynnöstä Palvelussa käsiteltävän Aineiston (sijainti-, ajopäiväkirja-, työaika- ja kulutiedot) jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa Palvelun vientitoiminnolla tai Käsittelijän tekemänä poimintana (Yleiset sopimusehdot 10.2; Palvelukuvaus 6.4). Käsittelijä avustaa GDPR 20 artiklan mukaisissa siirrettävyyspyynnöissä näiden vientikeinojen rajoissa.

7.4 Avustamisen kustannukset (kohdat 7 ja 8). Tavanomainen avustaminen — mukaan lukien yksittäisiin rekisteröityjen pyyntöihin vastaaminen ja Käsittelijän vastuupiiriin kuuluvan tietoturvaloukkauksen selvittäminen — sisältyy Palveluun ilman lisämaksua. Lisätyöstä, joka ylittää Palvelun vakiotoiminnallisuuden ja on poikkeuksellista, laajamittaista tai toistuvaa, Käsittelijällä on oikeus kohtuulliseen korvaukseen Hinnaston mukaisesti esitettyään kustannusarvion ennen lisätyön aloittamista. Tämä ei koske kohdan 7.3 mukaista vientiä ja poimintaa, joka on maksutonta Yleisten sopimusehtojen kohtien 10.2 ja 10.5 mukaisesti; korvaus on mahdollinen vain kohdassa 9.4 tarkoitetuista räätälöidyistä muunnostöistä. Erimielisyys korvauksesta ei oikeuta Käsittelijää viivyttämään avustamista, jota Rekisterinpitäjä tarvitsee Sovellettavan tietosuojalainsäädännön velvoitteen tai lakisääteisen määräajan (esim. GDPR 12 artiklan 3 kohta ja 33 artikla) noudattamiseksi.

8  Avustaminen turvallisuus-, loukkaus-, DPIA- ja ennakkokuulemisvelvoitteissa

(GDPR 28 artiklan 3 kohdan f alakohta; viittaa 32–36 artiklaan)

8.1 Käsittelijä avustaa Rekisterinpitäjää GDPR 32–36 artiklan mukaisten velvoitteiden täyttämisessä ottaen huomioon käsittelyn luonteen ja Käsittelijän saatavilla olevat tiedot: käsittelyn turvallisuus (32 art.), tietoturvaloukkauksesta ilmoittaminen valvontaviranomaiselle ja rekisteröidyille (33–34 art.), vaikutustenarviointi (DPIA, 35 art.) ja valvontaviranomaisen ennakkokuuleminen (36 art.).

8.2 DPIA on Rekisterinpitäjän vastuulla. Vaikutustenarviointi on Rekisterinpitäjän vastuulla; työntekijöiden järjestelmällinen sijaintiseuranta edellyttää sitä tyypillisesti (GDPR 35 art.). Käsittelijä avustaa kohdan 8.1 mukaisesti toimittamalla kohtuudella saatavilla olevat Palvelua koskevat tiedot.

8.3 Viranomaisvaatimukset. Käsittelijä ilmoittaa Rekisterinpitäjälle viipymättä Palvelua koskevista viranomaisen vaatimuksista, ellei ilmoittaminen ole laissa kielletty. Käsittelijä ei ilmoita valvontaviranomaiselle eikä vastaa viranomaiselle Rekisterinpitäjän puolesta ennen kuin asiasta on ilmoitettu Rekisterinpitäjälle ja menettelystä on sovittu, ellei pakottava laki muuta edellytä. Kohdan 12.6 b–d alakohtien periaatteita (luovutus vain sitovan velvoitteen perusteella ja vähimmäismäärä, ylimitoitettujen pyyntöjen riitauttaminen ja ilmoitus) sovelletaan myös kotimaisten ja muiden EU/ETA-alueen viranomaisten tietopyyntöihin.

8.4 Tietoturvaloukkauksista ilmoittamisesta määrätään kohdassa 15. Avustamisen kustannuksiin sovelletaan kohtaa 7.4.

9  Tietojen poisto tai palautus käsittelyn päättyessä

(GDPR 28 artiklan 3 kohdan g alakohta)

9.1 Voimassaolon aikana. Sopimuksen voimassa ollessa Käsittelijä ei poista Rekisterinpitäjän henkilötietoja ilman Rekisterinpitäjän pyyntöä tai Palvelun toiminnallisuuteen perustuvaa, Rekisterinpitäjän hyväksymää poistoa, ellei sovellettava laki tai kohdan 9.6 säilytyskäytäntö muuta edellytä.

9.2 Päättyessä. Sopimuksen päättyessä Käsittelijä Rekisterinpitäjän valinnan mukaan joko poistaa tai palauttaa kaikki Rekisterinpitäjän lukuun käsittelemänsä henkilötiedot ja poistaa olemassa olevat kopiot, ellei sovellettava unionin tai jäsenvaltion laki edellytä niiden säilyttämistä.

9.3 Vientijakso ja oletuspoisto. Tiedot ovat vietävissä Palvelusta tai saatavissa Käsittelijältä kohdan 7.3 mukaisesti yhdeksänkymmenen (90) päivän ajan Sopimuksen päättymisestä. Tänä aikana Rekisterinpitäjä voi pyytää palautusta tai aikaisempaa poistoa. Ellei pyyntöä esitetä, Käsittelijä poistaa henkilötiedot kokonaan kolmenkymmenen (30) päivän kuluessa vientijakson päättymisestä, ellei laki edellytä pidempää säilytystä; Käsittelijä säilyttää vain kohtien 14.1 ja 14.4 mukaisen anonymisoidun tiedon. Vientijakson aikana tietoja käsitellään vain säilytystä, vientiä ja mahdollista palautusta varten.

9.4 Palautusmuoto. Palautus tehdään kohdan 7.3 mukaisella vientitoiminnolla tai poiminnalla maksutta Yleisten sopimusehtojen kohdan 10.2 määräajassa ja Palvelukuvauksen kohdan 6.4 muodoissa. Käsittelijällä on oikeus kohtuulliseen korvaukseen Hinnaston mukaisesti vain Rekisterinpitäjän pyytämistä räätälöidyistä muunnos- tai jäsentelytöistä, jotka ylittävät nämä muodot (Yleiset sopimusehdot 10.2).

9.5 Poisto alikäsittelyketjussa ja varmuuskopioissa. Käsittelijä huolehtii, että henkilötiedot poistetaan myös Alikäsittelijöiltä kohdan 6.2 mukaisesti. Varmuuskopioihin sisältyvät henkilötiedot poistuvat osana tavanomaista varmuuskopioiden kiertosykliä (enintään 31 vuorokautta), ja niitä käsitellään siihen asti vain varmuuskopiointi- ja palautustarkoituksessa.

9.6 Raakadatan ja reittipisteiden säilytys. Laitteen lähettämä sijainti- ja sensoriraakadata säilytetään rullaavasti yhdeksänkymmentä (90) päivää ja poistetaan automaattisesti viimeistään kolmenkymmenen (30) päivän kuluessa säilytysajan täyttymisestä. Ajopäiväkirjamerkinnät reittipisteineen (raakadatasta erillinen tallenne, jota raakadatan poisto ei poista) säilyvät Sopimuksen voimassaolon ja kohdan 9.3 jakson ajan; reittipisteet poistetaan kuitenkin viimeistään seitsemän (7) vuoden kuluttua tallennuksesta, ja ne poistuvat myös, kun niihin liittyvä ajopäiväkirjamerkintä poistetaan. Seitsemän vuoden aika vastaa ajopäiväkirjan kirjanpito- ja verotussäilytystä, kuusi (6) vuotta verovuoden päättymisestä (kohta 9.7), lisättynä tallennusvuodella.

9.7 Lakisääteinen säilytys on Asiakkaan vastuulla. Ajopäiväkirja- ja kuluaineiston lakisääteinen säilyttäminen (esim. verotusta ja kirjanpitoa varten, tyypillisesti kuusi (6) vuotta verovuoden päättymisestä) on Asiakkaan vastuulla. Asiakkaan on vietävä tarvitsemansa aineisto Palvelusta ennen kohtien 9.3 ja 9.6 mukaisia poistoja kohdan 7.3 vientikeinoin. Käsittelijän omaan kirjanpito- ja laskutusaineistoon sovelletaan kirjanpitolainsäädännön säilytysaikoja osana Käsittelijän omaa rekisterinpitoa (kohta 1.3).

10  Auditointi- ja tarkastusoikeus

(GDPR 28 artiklan 3 kohdan h alakohta)

10.1 Käsittelijä saattaa Rekisterinpitäjän saataville kaikki tiedot, jotka ovat tarpeen tämän DPA:n ja GDPR 28 artiklan mukaisten velvoitteiden noudattamisen osoittamiseksi.

10.2 Käsittelijä sallii Rekisterinpitäjän tai tämän valtuuttaman riippumattoman tarkastajan auditoinnit ja tarkastukset ja myötävaikuttaa niihin. Noudattaminen osoitetaan ensisijaisesti dokumentaatiolla, raporteilla ja mahdollisilla riippumattomilla sertifioinneilla tai auditointiraporteilla; jos nämä eivät kohtuudella riitä, Rekisterinpitäjällä on oikeus paikan päällä tehtävään tarkastukseen tämän pykälän ehdoin.

10.3 Reunaehdot.

• (a) Rekisterinpitäjä ilmoittaa auditoinnista etukäteen vähintään kolmekymmentä (30) päivää;
• (b) auditointeja tehdään enintään kerran kahdessatoista (12) kuukaudessa, ellei tietoturvaloukkaus, perusteltu epäily olennaisesta rikkomuksesta tai toimivaltaisen viranomaisen vaatimus edellytä tiheämpää tai välitöntä tarkastusta;
• (c) auditoinnit tehdään tavanomaisena työaikana aiheuttamatta kohtuutonta häiriötä Käsittelijän tuotantoympäristölle tai liiketoiminnalle, Käsittelijän kohtuullisia turvallisuus- ja salassapitovaatimuksia noudattaen ja muiden asiakkaiden tietoja vaarantamatta; sekä
• (d) Rekisterinpitäjä vastaa omista kustannuksistaan sekä Käsittelijän kohtuullisista kustannuksista Hinnaston mukaisesti. Jos auditoinnissa paljastuu Käsittelijän olennainen rikkomus, Käsittelijä vastaa auditoinnin kohtuullisista kustannuksista.

10.4 Alikäsittelijät. Auditointioikeus ulottuu Alikäsittelijöiden suorittamaan käsittelyyn Käsittelijän kautta ja alikäsittelijäsopimusten sallimissa rajoissa; ensisijaisesti Käsittelijä toimittaa Alikäsittelijöiden ajantasaiset auditointiraportit tai sertifioinnit.

11  Paikkatiedon erityisvelvoitteet ja työelämän tietosuoja

11.1 Osapuolet tunnistavat, että sijaintitietoon liittyy korostunut yksityisyysmerkitys, erityisesti työntekijöiden ajoneuvojen seurannassa.

11.2 Rekisterinpitäjä vastaa siitä, että:

• (a) työntekijöiden ja muiden rekisteröityjen henkilötietojen käsittelylle on lainmukainen käsittelyperuste;
• (b) seurannassa noudatetaan yksityisyyden suojasta työelämässä annettua lakia (759/2004);
• (c) yhteistoimintalain (1333/2021) mukaiset vuoropuhelu- ja tiedottamisvelvoitteet tai, jos yhteistoimintalaki ei työnantajaan sovellu, lain 759/2004 21 §:n mukainen kuulemismenettely on täytetty ennen seurannan aloittamista;
• (d) rekisteröidyille on annettu GDPR 13–14 artiklan mukaiset tiedot, mukaan lukien kohdan 13 tekoälykäsittely, kohdan 12 kolmasmaasiirrot ja Liitteen 3 huomautuksessa 3 tarkoitettu luovutus Applelle; sekä
• (e) myös ajoneuvoa yksityisajon aikana kuljettavat muut henkilöt, myös alaikäiset, saavat tiedon seurannasta (Liite 1, rekisteröityjen ryhmät).

11.3 Käsittelijä avustaa Rekisterinpitäjää toimittamalla Palvelua koskevat tarpeelliset tiedot ja pitämällä saatavilla mallitiedotteen työntekijöiden informointia varten (Käsittelijän verkkosivuilla tai Palvelussa). Käsittelijä ei vastaa Asiakkaan henkilöstöön kohdistuvan seurannan oikeusperusteesta.

12  Kolmasmaasiirrot

(GDPR V luku, 44–49 art.)

12.1 Siirrot EU/ETA-alueella. Henkilötietojen käsittely ja siirto EU/ETA-alueen sisällä on vapaata tämän DPA:n estämättä.

12.2 Siirrot EU/ETA-alueen ulkopuolelle. Osa Palvelun toiminnoista edellyttää henkilötietojen siirtoa EU/ETA-alueen ulkopuolelle, erityisesti Yhdysvaltoihin, eikä Käsittelijä sitoudu siihen, ettei siirtoja tehdä. Siirrot ja niiden suojatoimet on kuvattu Liitteessä 3.

12.3 Siirtoperusteet. Kaikki siirrot EU/ETA-alueen ulkopuolelle toteutetaan GDPR V luvun mukaisin asianmukaisin suojatoimin. Kullakin siirrolla on Liitteessä 3 yksilöity, voimassa oleva siirtoperuste:

• (a) komission riittävyyspäätös, mukaan lukien EU–US Data Privacy Framework (DPF), kun vastaanottaja on sertifioitu voimassa olevalla DPF-listalla;
• (b) komission vakiosopimuslausekkeet (SCC) (komission päätös (EU) 2021/914, moduuli 3 tai 2) täydennettynä siirtovaikutusten arvioinnilla (TIA) ja tarvittavilla täydentävillä suojatoimilla; tai
• (c) muu GDPR V luvun mukainen pätevä siirtomekanismi.

Riittävyyspäätöksen lakatessa sovelletaan ilman eri toimenpiteitä toissijaisesti b alakohdan mukaisia vakiosopimuslausekkeita siirtovaikutusten arviointeineen.

12.4 Toteutuneet siirrot. Toteutuneet siirrot EU/ETA-alueen ulkopuolelle, vastaanottajat ja siirtoperusteet on yksilöity Liitteessä 3. Selainpohjaiset push-ilmoitukset välitetään päästä päähän salattuina selainvalmistajan push-palvelun kautta, joka ei ole Alikäsittelijä. Mobiilisovelluksen push-ilmoitukset välitetään Googlen (Android) ja Applen (iOS) palvelujen kautta, jotka vastaanottavat ilmoituksen sisällön selväkielisenä. Googlen push-välittäjä on Alikäsittelijä (Liite 3, rivi 5); Apple toimii itsenäisenä rekisterinpitäjänä, ja iOS-ilmoitusten luovutuksesta Applelle määrätään Liitteen 3 rivillä 6 ja huomautuksessa 3.

12.5 Uudet kolmannet maat ja vastaanottajat. Jos Käsittelijä suunnittelee siirtoa uuteen kolmanteen maahan tai uudelle EU/ETA-alueen ulkopuoliselle vastaanottajalle, joka ei sisälly Liitteeseen 3, sovelletaan kohdan 6.3 ilmoitus- ja vastustusmenettelyä, ja Käsittelijä toimittaa tiedot siirtomekanismista ja suojatoimista ennen siirron aloittamista.

12.6 Viranomaisten ja lainvalvonnan tietopyynnöt. Jos Käsittelijä tai sen Alikäsittelijä saa kolmannen maan viranomaiselta pyynnön luovuttaa Rekisterinpitäjän lukuun käsiteltäviä henkilötietoja, Käsittelijä:

• (a) ilmoittaa pyynnöstä Rekisterinpitäjälle viipymättä, ellei ilmoittaminen ole laissa kielletty;
• (b) ei luovuta henkilötietoja, ellei pyyntö perustu Käsittelijää tai Alikäsittelijää oikeudellisesti sitovaan velvoitteeseen, ja luovuttaa tällöinkin vain velvoitteen täyttämisen edellyttämän vähimmäismäärän;
• (c) pyrkii kohtuullisin keinoin riitauttamaan ilmeisen lainvastaiset tai ylimitoitetut pyynnöt; sekä
• (d) ilmoittaa Rekisterinpitäjälle, jos se katsoo, ettei se enää kykene täyttämään tämän DPA:n tai sovellettavien SCC-lausekkeiden mukaisia velvoitteitaan.

13  Tekoälykäsittelyn läpinäkyvyys

13.1 Palvelu käyttää tekoälymalleja avustaviin toimintoihin (tietojen poiminta Palveluun ladatuista kuitti- ja dokumenttikuvista, luokittelu, ehdotukset, haut kuten ajoneuvon teknisten tietojen haku merkin, mallin ja vuosimallin perusteella sekä yhteenvedot) siinä laajuudessa kuin ne on kuvattu kulloinkin voimassa olevassa Palvelukuvauksessa. Tekoälypalvelut, niillä käsiteltävät tiedot, niiden sijainti EU-alueella ja siirtoperusteet on yksilöity Liitteessä 3. Tekoälymallin tai malliversion vaihto saman Liitteessä 3 yksilöidyn Alikäsittelijän sisällä ei ole kohdassa 6.3 tarkoitettu Alikäsittelijän muutos; käytössä oleva malli päivitetään Palvelukuvaukseen ja Käsittelijän tietosuojaselosteeseen.

13.2 Kuvat voivat sisältää henkilötietoja (esim. kuiteissa esiintyviä nimiä, ajoneuvon rekisteritunnuksia tai maksutietoja). Käsittely tapahtuu EU-alueella; tekoälypalvelujen yhdysvaltalaisten emoyhtiöiden (Google LLC ja Amazon.com, Inc.) mahdollinen pääsy tietoihin katsotaan kolmasmaasiirroksi, johon sovelletaan kohtaa 12 (siirtoperuste: Liite 3).

13.3 Alikäsittelijä ei käytä Rekisterinpitäjän henkilötietoja tai muita syötteitä tekoälymallien kouluttamiseen eikä omiin tarkoituksiinsa (kohta 14.3). Käsittelijä ei käytä tunnistettavia henkilötietoja omiin tarkoituksiinsa (kohta 14.2) ja kouluttaa tai kehittää omia tekoälymalleja vain kohdan 14.1 mukaisella anonymisoidulla tiedolla, mukaan lukien kohdan 14.4 anonymisoitu tutkimusaineisto; muuhun Palvelun kehittämiseen sovelletaan kohtia 14.1 ja 14.4. Ensisijaisen tekoälypalvelun lyhytaikainen säilytys ja väärinkäytösvalvonta on kuvattu Liitteessä 3 (rivi 8).

13.4 Palvelussa ei tehdä GDPR 22 artiklan tarkoittamaa pelkästään automaattiseen käsittelyyn perustuvaa päätöksentekoa, jolla on rekisteröityyn kohdistuvia oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia. Tekoäly on avustava apuväline; lopulliset päätökset tekee Asiakkaan Käyttäjä.

13.5 Rekisterinpitäjä vastaa siitä, että rekisteröidyille annetaan GDPR 13–14 artiklan mukaiset tiedot tekoälykäsittelystä ja siihen liittyvistä kolmasmaasiirroista. Käsittelijä huolehtii, että sen tietosuojaseloste ja muut rekisteröidyille suunnatut tiedot kuvaavat tekoälykäsittelyn yhdenmukaisesti tämän pykälän kanssa.

13.6 Tekoälyasetus. Palvelu ei sisällä Euroopan parlamentin ja neuvoston asetuksen (EU) 2024/1689 (tekoälyasetus) liitteessä III olevan 4 kohdan b alakohdassa tarkoitettua järjestelmää, jolla arvioidaan työntekijän suoritusta tai käyttäytymistä; tekoälytoiminnot ovat kohdan 13.4 mukaisia apuvälineitä. Jos Käsittelijä myöhemmin tarjoaa tällaisen toiminnon, se on erikseen aktivoitava (Palvelukuvaus 3.8; kohta 16.4), Käsittelijä on sen tarjoaja ja Rekisterinpitäjä sen käyttöönottaja tekoälyasetuksen 26 artiklan mukaisin velvoittein.

14  Anonymisoidun ja aggregoidun datan käyttö

14.1 Käsittelijä saa käyttää Palvelun ylläpitoon, tietoturvaan, vianselvitykseen ja kehittämiseen vain anonymisoitua tai aggregoitua dataa, josta yksittäistä rekisteröityä tai Rekisterinpitäjää ei voida tunnistaa. Aggregoitu tieto on anonymisoitua vain, kun ryhmässä on vähintään viisi (5) ajoneuvoa vähintään kahdelta (2) asiakkaalta, yksittäisen ajoneuvon osuus ryhmän kilometreistä on enintään seitsemänkymmentä (70) prosenttia eikä yksittäisiä arvoja tai tunnisteita esitetä. Jos kynnys ei täyty, ryhmää yleistetään portaittain tarkasta vuosimallista kolmen vuoden vuosimalliryhmään ja edelleen malliin ilman vuosimallia; jos kynnys ei täyty tämänkään jälkeen, käyttötietoa ei kirjata. Ajoneuvo- ja laitetyypin tekniset ominaisuudet, jotka eivät kuvaa kenenkään henkilön tai Rekisterinpitäjän toimintaa, eivät ole henkilötietoa, eikä niihin sovelleta ryhmäkokoehtoa. Pseudonymisoitu tieto on henkilötietoa, eikä sitä käytetä tässä tarkoitettuun käyttöön. Oikeus anonymisoidun tiedon käyttöön jatkuu Sopimuksen päättymisen jälkeen.

14.2 Käsittelijä ei käytä Rekisterinpitäjän lukuun käsiteltäviä tunnistettavia henkilötietoja omiin kaupallisiin tarkoituksiinsa eikä luovuta niitä kolmansille muutoin kuin tämän DPA:n ja Sopimuksen sallimissa rajoissa (Alikäsittelijät sekä Liitteen 3 huomautuksessa 3 tarkoitettu luovutus) tai lain edellyttäessä.

14.3 Edellä kohtien 14.1 ja 14.2 rajoitukset koskevat myös Alikäsittelijöitä (ks. kohta 6.2): Alikäsittelijä ei saa käyttää Rekisterinpitäjän henkilötietoja omiin tarkoituksiinsa eikä tekoälymallien kouluttamiseen.

14.4 Ajoneuvon tekninen profiili ja anonymisoitu tutkimusaineisto (Tekninen data). Tämä kohta on Teknisen datan ja teknisen profiilin anonymisoinnin ensisijainen kuvaus, johon Yleiset sopimusehdot (1.4 ja 9.5), Palvelukuvaus ja Käsittelijän tietosuojaseloste viittaavat.

• (a) Tekninen profiili ja tutkimusaineisto. Palvelu muodostaa kullekin ajoneuvolle Laitedatasta, Palvelun kirjauksista ja Rekisterinpitäjän Palveluun syöttämistä ajoneuvotiedoista teknisen profiilin, joka on osa Palvelua ja jota käsitellään Rekisterinpitäjän lukuun tämän DPA:n mukaisesti (Liite 1, tietoryhmä “ajoneuvon tekninen profiili”); profiili ei sisällä nopeustietoja. Käsittelijä muodostaa profiileista kuukausittain anonymisoidun tutkimusaineiston, jossa ajoneuvot ryhmitellään merkin, mallin, vuosimalliryhmän ja voimalinjan mukaan ja johon kirjataan (i) ajoneuvo- ja laitetyypin tekniset ominaisuudet mallitasolla (akkutiedot, tankin nimellinen ja kalibroitu tilavuus ja kalibroinnin luotettavuus, tankin anturikohina, mittarilukeman askel, signaalien saatavuusosuudet ja laitemalli sekä ajoneuvojen ja asiakkaiden lukumäärä) sekä (ii) käyttötiedot (kulutuksen keskiarvo pyöristettynä, kilometriluokkien jakauma, matkojen määrän keskiarvo ja vikakoodien esiintyvyysosuus) vain ryhmätasolla kuukausittain ja vain, kun kohdan 14.1 kynnys täyttyy. Tutkimusaineisto ei sisällä ajoneuvon, Laitteen, Rekisterinpitäjän tai kuljettajan tunnistetta, rekisteritunnusta, valmistenumeroa, sijaintia, nopeustietoja eikä päiväkohtaisia aikaleimoja. Tutkimusaineisto, mukaan lukien mallitason ominaisuustiedot, on Yleisten sopimusehtojen tarkoittamaa Teknistä dataa.
• (b) Rooli ja peruste. Anonymisointi on Käsittelijän omaa käsittelyä, jonka rekisterinpitäjä Käsittelijä on (kohta 1.3 f). Käsittelyn peruste on Käsittelijän oikeutettu etu (GDPR 6 artiklan 1 kohdan f alakohta) kehittää Palvelua ja sen automaattisia tunnistuksia, varmistaa laatua ja selvittää vikoja; tasapainotesti toimitetaan pyynnöstä (kohta 10.1). Rekisteröidyllä on oikeus vastustaa anonymisointia (GDPR 21 artikla). Anonymisoitu tutkimusaineisto ei ole henkilötietoa.
• (c) Kielto-oikeus. Rekisterinpitäjä voi kieltää organisaationsa ajoneuvojen poiminnan tutkimusaineistoon kirjallisesti osoitteeseen tuki@traily.fi tai Palvelun asetuksella, kun se on saatavilla. Kielto tulee voimaan viimeistään seuraavassa kuukausittaisessa poiminnassa. Kielto ei ulotu jo muodostettuun anonymisoituun tutkimusaineistoon, josta ajoneuvoa tai Rekisterinpitäjää ei voida tunnistaa, eikä se vaikuta tekniseen profiiliin Palvelun toimintona, Palvelun hintaan eikä sisältöön.
• (d) Säilytys. Tekninen profiili säilyy ajoneuvon Palvelussa olon ajan ja poistuu, kun ajoneuvo poistetaan Palvelusta, ja viimeistään kohdan 9.3 mukaisessa poistossa. Anonymisoitu tutkimusaineisto säilyy pysyvästi kohdan 14.1 mukaisena anonymisoituna tietona. Käsittelijä ei muodosta eikä säilytä pseudonymisoitua kehitysaineistoa; ajoneuvokohtaista tietoa ei säilytetä muutoin kuin Rekisterinpitäjän lukuun tämän DPA:n mukaisesti.
• (e) Kiellot. Teknistä profiilia ja tutkimusaineistoa ei käytetä kuljettajan tai työntekijän arviointiin, ei luovuteta kolmansille, ei käytetä Rekisterinpitäjää koskevien päätelmien tekemiseen eikä Rekisterinpitäjän hinnoitteluun. Teknistä profiilia ei käytetä tekoälymallien kouluttamiseen; Käsittelijän omia malleja kehitetään vain anonymisoidulla tutkimusaineistolla (kohta 13.3).

15  Tietoturvaloukkaukset ja niistä ilmoittaminen

(GDPR 28 artiklan 3 kohdan f alakohta ja 33 artikla)

15.1 Ilmoitus ilman aiheetonta viivytystä. Käsittelijä ilmoittaa Rekisterinpitäjälle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään neljänkymmenenkahdeksan (48) tunnin kuluessa siitä, kun loukkaus on tullut Käsittelijän tietoon, eli kun Käsittelijä on kohtuullisella varmuudella todennut loukkauksen tapahtuneen.

15.2 Sisältö ja täydentäminen. Käsittelijä toimittaa alustavan ilmoituksen, vaikka kaikki yksityiskohdat eivät vielä olisi tiedossa, ja täydentää tietoja vaiheittain ilman aiheetonta lisäviivytystä (GDPR 33(4)). Ilmoitus sisältää GDPR 33 artiklan 3 kohdan mukaiset tiedot kohtuudella saatavilla olevassa laajuudessa, vähintään:

• (a) loukkauksen luonne ja kuvaus;
• (b) loukkauksen kohteena olleet henkilötietoryhmät ja rekisteröityjen ryhmät sekä mahdollisuuksien mukaan niiden arvioidut lukumäärät;
• (c) yhteyspiste lisätietoja varten;
• (d) loukkauksen todennäköiset seuraukset; sekä
• (e) toteutetut tai ehdotetut toimet loukkauksen käsittelemiseksi ja haittavaikutusten lieventämiseksi.

15.3 Vastuunjako. Rekisterinpitäjä vastaa ilmoituksista valvontaviranomaiselle (33 art.) ja rekisteröidyille (34 art.). Käsittelijä ei ilmoita loukkauksesta valvontaviranomaiselle eikä rekisteröidyille ilman Rekisterinpitäjän lupaa, ellei pakottava laki muuta edellytä. Käsittelijä avustaa loukkauksen selvittämisessä, dokumentoinnissa ja ilmoitusten laatimisessa (kohta 8).

15.4 Dokumentointi. Käsittelijä dokumentoi kaikki henkilötietojen tietoturvaloukkaukset tosiseikkoineen, vaikutuksineen ja korjaavine toimineen ja saattaa dokumentaation pyynnöstä Rekisterinpitäjän saataville.

16  Vastuu, sovellettava laki ja voimassaolo

16.1 Vastuunrajoitus ja korotettu vastuukatto henkilötietovahingoissa. Osapuolten vastuuseen ja vastuunrajoitukseen sovelletaan Yleisten sopimusehtojen vahingonkorvaus- ja vastuunrajoitusehtoja, jollei tästä DPA:sta tai pakottavasta lainsäädännöstä muuta johdu. Henkilötietojen käsittelyyn liittyvissä vahingoissa Osapuolen kokonaisvastuun enimmäismäärä on kuitenkin määrä, joka vastaa vahinkotapahtumaa edeltäneiden kahdentoista (12) kuukauden aikana kyseisestä Palvelusta tosiasiallisesti maksettuja maksuja (alv 0 %).

16.2 Vastuunrajoituksen poikkeukset. Vastuunrajoitus ja -katto eivät sovellu:

• (a) tahallisesti tai törkeällä huolimattomuudella aiheutettuun vahinkoon;
• (b) liikesalaisuuksia koskevan salassapitovelvoitteen rikkomiseen;
• (c) henkilövahinkoihin siltä osin kuin pakottavasta laista muuta johtuu; eikä
• (d) määriin, joista Osapuoli on GDPR 82 artiklan (erityisesti 82(4)–(5) kohdan) nojalla takautumisvastuussa toiselle Osapuolelle rekisteröidylle maksetusta korvauksesta.

16.3 Vastuu rekisteröidyille ja takautumisoikeus. Osapuolten vastuu rekisteröidyille määräytyy GDPR 82 artiklan mukaisesti. Jos Osapuoli on maksanut rekisteröidylle korvauksen vahingosta, josta toinen Osapuoli on GDPR 82(4) kohdan nojalla vastuussa, maksaneella Osapuolella on oikeus periä toiselta Osapuolelta tämän vastuun mukainen osuus GDPR 82(5) kohdan mukaisesti.

16.4 DPA:n muuttaminen. Jos Sovellettava tietosuojalainsäädäntö muuttuu tai jokin kohdassa 12 tarkoitettu siirtomekanismi todetaan pätemättömäksi, Osapuolet päivittävät tämän DPA:n viipymättä ja vilpittömässä mielessä vastaamaan voimassa olevia vaatimuksia. Kummallakin Osapuolella on oikeus vaatia tällaista päivitystä. Lakimuutosten edellyttämiä päivityksiä ei tehdä yksipuolisesti Rekisterinpitäjän vahingoksi. Muilta osin Käsittelijä voi päivittää tätä DPA:ta liitteineen Yleisten sopimusehtojen kohdan 18 mukaisesti; Käsittelijälle uusia oikeuksia tuovat tai Rekisterinpitäjän asemaa muutoin heikentävät muutokset ilmoitetaan ja tulevat voimaan Yleisten sopimusehtojen kohdan 18.2 mukaisesti, ja Alikäsittelijöiden muutoksiin sovelletaan aina kohtaa 6.3. Jos erikseen aktivoitava toiminto tuo lisäyksiä Liitteen 1 tietoryhmiin tai tarkoituksiin, Käsittelijä ilmoittaa lisäyksistä Palvelussa tai sähköpostitse ennen aktivointia, ja Rekisterinpitäjän tekemä aktivointi on kohdan 3.2 mukainen dokumentoitu ohje. Muut Liitteen 1 tietoryhmien tai tarkoitusten laajennukset ovat edellä tarkoitettuja Yleisten sopimusehtojen kohdan 18.2 mukaisia muutoksia.

16.5 Sovellettava laki ja riidanratkaisu. Tähän DPA:han sovelletaan Suomen lakia, lukuun ottamatta sen lainvalintasääntöjä. Erimielisyydet ratkaistaan Yleisten sopimusehtojen riidanratkaisuehtojen mukaisesti.

16.6 Voimassaolo. Tämä DPA tulee voimaan Sopimuksen syntyessä osana Sopimusta ilman erillistä allekirjoitusta ja on voimassa niin kauan kuin Käsittelijä käsittelee henkilötietoja Rekisterinpitäjän lukuun.

LIITE 1 — Käsittelyn kuvaus

Käsittelyn kohde: Henkilötietojen käsittely Traily-telematiikkapalvelun tuottamiseksi Asiakkaalle.

Käsittelyn kesto: Sopimuksen voimassaolon ajan sekä kohdan 9 mukainen vienti- ja poistojakso, ellei laki edellytä pidempää säilytystä.

Käsittelyn luonne: Henkilötietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen, haku, käyttö, esittäminen, luovuttaminen Alikäsittelijöille ja Liitteen 3 huomautuksessa 3 tarkoitetulle vastaanottajalle, yhdistäminen, rajoittaminen ja poistaminen Palvelun teknisten toimintojen kautta, osin automaattisesti.

Käsittelyn tarkoitus: Ajoneuvojen GPS-seuranta, ajopäiväkirjan ylläpito, työaika- ja työvuorotietojen hallinta, telematiikkadatan kerääminen ja esittäminen, ajoneuvon teknisen profiilin muodostaminen ja esittäminen, kulu-, tankkaus- ja huoltodokumenttien käsittely, sijaintihistoriasta johdettujen tietojen muodostaminen ajopäiväkirjan ja kirjausten automatisointiin ja ehdotuksiin, Palvelun käyttäjähallinta, laadunvarmistus ja vianselvitys sekä tilastointi ja tuotekehitys kohdan 14 rajoissa.

Käsittelyn sijainnit: Ensisijainen käsittely ja säilytys EU/ETA-alueella (Suomi). Eräitä toimintoja varten henkilötietoja siirretään EU/ETA-alueen ulkopuolelle (mm. Yhdysvaltoihin) kohdan 12 ja Liitteen 3 mukaisesti.

Rekisteröityjen ryhmät:

• Asiakkaan työntekijät ja muut Palvelun Käyttäjät (kuljettajat), mukaan lukien Asiakkaan ajoneuvoja kuljettavat henkilöt, joilla ei ole omaa käyttäjätiliä;
• Asiakkaan ajoneuvoa yksityisajon aikana kuljettavat muut henkilöt, myös alaikäiset;
• Asiakkaan nimeämät Pääkäyttäjät;
• muut henkilöt, joiden tietoja esiintyy Palveluun ladatuissa dokumenteissa (esim. kuiteissa).

Henkilötietoryhmät:

• Käyttäjä- ja kuljettajatiedot: nimi, sähköpostiosoite, käyttäjärooli, organisaatio sekä kuljettajan ja ajoneuvon välinen kytkentä.
• Sijainti- ja ajotiedot: ajoneuvon sijainti, ajot ja niiden reittipisteet, osoitteet sekä työvuorojen alku- ja loppusijainti (Käyttäjän päätelaitteen paikannuksesta Käyttäjän sijaintiluvalla).
• Sijaintihistoriasta johdetut tiedot: toistuvat pysähdyspaikat (esim. kotisijainti ja työpaikka) ja niille annetut nimet sekä näihin perustuvat ehdotukset ajopäiväkirjan ja kirjausten täyttämiseen.
• Ajoneuvo- ja telematiikkatiedot: ajoneuvon ja Laitteen yksilöintitiedot sekä Laitteen mittaamat ajo-, tila- ja anturitiedot (mm. mittarilukema, nopeus, ajotila (moottorin käynnissäolo) ja liiketieto, polttoaine- ja akkutiedot, vikakoodit).
• Ajoneuvon tekninen profiili: Laitedatasta, Palvelun kirjauksista ja Rekisterinpitäjän syöttämistä ajoneuvotiedoista johdettu ajoneuvokohtainen yhteenveto seuraavissa ryhmissä: ajoneuvomalli, vuosimalli ja voimalinja; laitemalli; väylä- ja anturisignaalien saatavuus; akkutiedot; tankin tilavuus ja kalibrointi sekä kulutus- ja latauskeskiarvot; mittarilukeman askel, kokonaiskilometrit ja matkojen määrä; sekä vikakoodit. Profiili ei sisällä nopeus- eikä sijaintitietoja (kohta 14.4).
• Työaika- ja kulutiedot sekä dokumenttikuvat: työvuorot ja tauot, kulu- ja matkalaskut sekä kuitti- ja huoltodokumenttikuvat.
• Push-ilmoitusten ja mobiilisovelluksen tekniset tiedot: push-tilausten ja ilmoitusten tunnistetiedot, mobiilisovelluksen ilmoitusten sisältö (tapahtuman kuvaus, joka voi sisältää ajoneuvon tunnisteen ja kirjauksen jättäjän nimen) ja sovelluksen sisäiset linkki- ja ryhmittelytunnisteet sekä sovelluspäivitysten haussa käsiteltävät laitetunniste, sovelluksen ja käyttöjärjestelmän versiotiedot ja IP-osoite.
• Erikseen aktivoitavat toiminnot: erikseen aktivoitavien toimintojen tietoryhmät käsitellään vain, kun Rekisterinpitäjä on aktivoinut toiminnon (Palvelukuvaus 3.8; kohta 16.4).

Rajaus — Käsittelijän oma rekisterinpito: Asiakkuus-, tilaus- ja laskutustiedot, käyttäjätilien perustiedot ja tunnistautumistiedot, tietoturva- ja audit-lokit sekä kohdan 14.4 mukainen teknisten profiilien anonymisointi tutkimusaineistoksi ovat Käsittelijän omaa, itsenäisenä rekisterinpitäjänä suorittamaa käsittelyä (kohta 1.3), eivätkä ne kuulu tämän liitteen piiriin. Niiden käsittely ja säilytysajat on kuvattu Käsittelijän tietosuojaselosteessa.

Käsittelyn erityispiirteet: Sijaintitietojen käsittely (kohta 11); sijaintihistoriasta johdetut tiedot, jotka ovat Käyttäjän tarkistettavissa ja muutettavissa ja Rekisterinpitäjän poistettavissa ja joiden muodostamiseen ei käytetä yksityistilassa ajettuja ajoja; sekä tekoälypohjainen kuvien käsittely EU-alueella (kohta 13).

Säilytysajat: kohta 9. Lisäksi sijaintihistoriasta johdetut tiedot lasketaan enintään kuudenkymmenen (60) päivän ajohistoriasta ja säilyvät ajoneuvon Palvelussa olon ajan tai kunnes Rekisterinpitäjä poistaa ne, ja push-tilaustiedot ja ilmoitustunnisteet säilyvät, kunnes Käyttäjä peruu tilauksen tai kirjautuu ulos mobiilisovelluksesta tai välityspalvelu ilmoittaa tunnisteen vanhentuneen, viimeistään Sopimuksen päättyessä. Ajoneuvon tekninen profiili säilyy ajoneuvon Palvelussa olon ajan ja poistuu viimeistään kohdan 9.3 mukaisessa poistossa (kohta 14.4 d).

LIITE 2 — Tekniset ja organisatoriset turvatoimet (GDPR 32 art.)

Käsittelijä toteuttaa seuraavat tekniset ja organisatoriset toimet riskiä vastaavan turvallisuustason varmistamiseksi:

1. Pääsynhallinta ja asiakasorganisaatioiden eristäminen

• Organisaatiokohtainen tietojen eristys tietokantatason rivitason turvamekanismilla (Row-Level Security), joka rajaa kunkin organisaation pääsyn vain omiin tietoihinsa.
• Roolipohjainen pääsynhallinta (RBAC) tarpeellisuusperiaatteella (need-to-know).
• Käyttöoikeuksien myöntämistä, muuttamista ja poistamista hallitaan dokumentoidusti; käyttäjäistunnot validoidaan jokaisella pyynnöllä, joten oikeuksien muutokset ja deaktivoinnit tulevat voimaan välittömästi.

2. Tunnistautuminen

• Käyttäjäsalasanat tallennetaan vain tiivistettyinä (vahvalla, suolatulla ja tarkoitukseen suunnitellulla tiivistefunktiolla).
• Käyttäjäistunnot on suojattu selainpohjaisilta väärinkäytöksiltä (istuntoeväste ei ole komentosarjojen luettavissa, ja se välitetään vain salatussa yhteydessä).
• Ylläpitopääsy hallintaympäristöihin (pilvi-infrastruktuurin hallintapaneeli, palvelimet ja tietokanta) on suojattu monivaiheisella tai avainpohjaisella tunnistautumisella.

3. Salaus

• Salaus tiedonsiirrossa (TLS), mukaan lukien tietokantayhteydet ja ulkoiset rajapintakutsut.
• Salaus levossa tietokannan ja sen varmuuskopioiden osalta (hallinnoidun tietokantapalvelun levysalaus).
• Mobiilisovelluksen sisältöpäivitykset ovat Käsittelijän allekirjoittamia; sovellus asentaa vain allekirjoitusta vastaavat päivitykset.
• Palveluun ladatut dokumenttikuvat tarjoillaan vain kirjautuneille käyttäjille organisaatiokohtaisesti rajattuna (sovellustason pääsynvalvonta).

4. Lokitus ja valvonta

• Keskitetty audit-lokitus tietoturvan kannalta merkityksellisistä tapahtumista; lokien käsittely on suojattu sovellustason ohituksilta; lokit ovat Käsittelijän omaa rekisterinpitoa (kohta 1.3), ja niiden säilytysajat on kuvattu Käsittelijän tietosuojaselosteessa.
• Sovellusvirheseuranta, jossa henkilötiedot poistetaan virheraporteista ohjelmallisesti ennen lähetystä (Liite 3, rivi 2).

5. Haavoittuvuus- ja päivityshallinta

• Käyttöjärjestelmä-, ohjelmisto- ja riippuvuuspäivityksiä hallitaan säännöllisellä päivityskäytännöllä; tietoturvapäivitykset asennetaan ilman aiheetonta viivytystä.

6. Varmuuskopiointi ja jatkuvuus

• Säännöllinen, vähintään päivittäinen salattu varmuuskopiointi; palautuspiste (RPO) ja palautusaika (RTO) enintään 24 tuntia; rajattu säilytysaika (kohta 9.5) ja määräajoin testatut palautusmenettelyt.

7. Sovellustason suojaukset

• Syötteiden validointi sovellusrajapinnoissa.
• Tekoälykutsujen syötteen ja tuotoksen validointi sekä käyttörajat ja aikakatkaisut.

8. Organisatoriset toimet

• Henkilöstön salassapitositoumukset (kohta 4) ja ohjeistus henkilötietojen käsittelyyn.
• Käsittelytoimien dokumentointi ja tietoturvapoikkeamien hallintaprosessi (kohta 15).

9. Erityiset henkilötietoryhmät

• Jos erityisiä henkilötietoryhmiä tosiasiallisesti käsitellään, sovelletaan riskin edellyttämässä laajuudessa tiukennettua pääsynvalvontaa, korotettua lokitusta ja tietojen erottelua (kohta 5.3).

Laitetason turvatoimet: Laitteiden tiedonsiirrossa Käsittelijä soveltaa kulloisenkin teknisen toteutuksen mukaisia suojauksia. Laitetason tunnistautumismekanismien yksityiskohtia ei kuvata tässä liitteessä; Käsittelijä antaa niistä tietoja Rekisterinpitäjän perustellusta pyynnöstä (esim. DPIA:ta varten, kohta 8) salassapitoa edellyttäen.

LIITE 3 — Alikäsittelijät

Käsittelijä käyttää tämän DPA:n voimaantulohetkellä seuraavia Alikäsittelijöitä. Rivin 6 vastaanottaja (Apple) ei ole Alikäsittelijä vaan itsenäinen rekisterinpitäjä; se on merkitty taulukkoon läpinäkyvyyden vuoksi (huomautus 3).

Huomautukset:

1. Siirtovaikutusten arvioinnit (TIA), riskiarviot ja DPF-sertifiointien tarkistustiedot toimitetaan Rekisterinpitäjälle pyynnöstä (kohta 10.1).
2. Maksu-, laskutus-, bottisuojaus- ja verkkosivupalvelut sekä sovelluskaupat käsittelevät vain Käsittelijän omaan rekisterinpitoon kuuluvia tietoja (kohta 1.3) eivätkä ole tämän DPA:n tarkoittamia Alikäsittelijöitä; ne on kuvattu Käsittelijän tietosuojaselosteessa. Jos tällaiseen palveluun tulevaisuudessa sisältyy Rekisterinpitäjän lukuun tapahtuvaa käsittelyä, palveluntarjoaja lisätään Alikäsittelijäksi kohdan 6.3 menettelyä noudattaen.
3. Luovutus itsenäiselle rekisterinpitäjälle (rivi 6): Apple Distribution International Ltd toimii Apple Push Notification -palvelussa omien ehtojensa mukaan itsenäisenä rekisterinpitäjänä eikä ole GDPR 28 artiklan tarkoittama Alikäsittelijä. Se on sisällytetty tähän liitteeseen läpinäkyvyyden vuoksi, koska se vastaanottaa iOS-ilmoituksen sisällön selväkielisenä. Rekisterinpitäjä antaa tällä DPA:lla Käsittelijälle ohjeen luovuttaa iOS-ilmoitusten sisältö Applelle ilmoitusten toimittamiseksi; luovutus edellyttää lisäksi, että Käyttäjä on sallinut ilmoitukset laitteellaan. Rekisterinpitäjä voi milloin tahansa kohdan 3.2 mukaisella kirjallisella ohjeella määrätä Käsittelijän lopettamaan mobiilisovelluksen push-ilmoitukset organisaationsa osalta, ja Käyttäjä voi kytkeä ilmoitukset pois laitteellaan. Kohtien 6.2, 6.4 ja 14.3 alikäsittelijävelvoitteet eivät koske Applea. Applen käyttö rajoittuu Apple Developer Program License Agreementin APNs-ehtoihin, jotka rajaavat käsittelyn ilmoituksen toimittamiseen. Applen rooli itsenäisenä rekisterinpitäjänä perustuu Käsittelijän arvioon Applen tietosuojakäytännöstä ja kehittäjäsopimuksen APNs-ehdoista (perustelut Käsittelijän sisäisessä siirtovaikutusten arvioinnissa, toimitetaan pyynnöstä huomautuksen 1 mukaisesti); jos Apple tarjoaa käsittelijäsopimuksen, rivi 6 päivitetään kohdan 6.3 menettelyllä. Käsittelijä ei vastaa Applen omasta käsittelystä itsenäisenä rekisterinpitäjänä, mutta vastaa ilmoituksen sisällön minimoinnista (ei sijaintitietoa) ja toimittaa pyynnöstä arvionsa luovutuksen olosuhteista (huomautus 1). Rivin 6 muutoksiin sovelletaan kohdan 6.3 ilmoitus- ja vastustusmenettelyä.