Tietojenkäsittelysopimus (DPA)

Versio 2026-09-09 · EU:n yleinen tietosuoja-asetus (GDPR) 28 artikla

Tämä tietojenkäsittelysopimus (Data Processing Agreement, DPA) on osa Luviamon käyttöehtoja ja täydentää niitä. Se kuvaa, millä ehdoilla Luviamo käsittelee henkilötietoja asiakkaan lukuun. Yksityiskohtainen kuvaus siitä, mitä tietoja palvelu tosiasiassa käsittelee, on tietosuojaselosteessa, joka on tämän sopimuksen liite.

1. Osapuolet ja roolit

Kun asiakas tuo palveluun omia asiakas- tai kontaktitietojaan — esimerkiksi uutiskirjeen vastaanottajia Viesti-moduuliin — asiakas on näiden tietojen rekisterinpitäjä ja Luviamo käsittelijä. Asiakas vastaa siitä, että sillä on lainmukainen peruste käsitellä tuomiaan tietoja ja lähettää niihin viestintää.

Luviamo on itsenäinen rekisterinpitäjä palvelun käyttäjätilien ja laskutuksen osalta. Näitä koskee tietosuojaselosteemme, ei tämä sopimus.

2. Käsittelyn kohde, kesto, luonne ja tarkoitus

Erityisiä henkilötietoryhmiä (GDPR 9 art.) ei ole tarkoitettu käsiteltäväksi palvelussa, eikä asiakkaan tule tuoda niitä sinne.

3. Käsittely vain ohjeiden mukaan

Luviamo käsittelee henkilötietoja vain asiakkaan dokumentoitujen ohjeiden mukaisesti. Palvelun käyttö ja tämä sopimus muodostavat asiakkaan ohjeet: kun asiakas tuo listan, luo kampanjan tai lähettää viestin, hän antaa samalla käsittelyohjeen.

Jos lainsäädäntö velvoittaa Luviamon käsittelemään tietoja muutoin, Luviamo ilmoittaa siitä asiakkaalle ennen käsittelyä, ellei laki kiellä ilmoittamista. Jos Luviamo katsoo ohjeen rikkovan tietosuojalainsäädäntöä, se ilmoittaa asiasta asiakkaalle.

Luviamo ei myy asiakkaan tietoja eikä käytä niitä omiin tarkoituksiinsa, kuten oman markkinointinsa kohdentamiseen tai tekoälymallien kouluttamiseen.

4. Salassapito

Henkilötietoihin pääsevät vain ne henkilöt, joiden on välttämätöntä käsitellä niitä palvelun tuottamiseksi. Heitä sitoo salassapitovelvollisuus, joka jatkuu tehtävän päättymisen jälkeen.

5. Tietoturva (GDPR 32 art.)

Luviamo toteuttaa riskiin nähden asianmukaiset tekniset ja organisatoriset toimenpiteet. Käytössä ovat muun muassa:

• Salaus siirrossa (TLS) ja levossa; integraatioiden pääsytunnukset salataan erikseen (AES-256-GCM)
• Organisaatiokohtainen eristys: jokainen tietokantakysely rajataan asiakasorganisaatioon
• Roolipohjainen pääsynhallinta ja valinnainen kaksivaiheinen tunnistautuminen
• Tietoturvaloki (audit-loki) kirjoittavista toiminnoista, säilytys 12 kuukautta
• Päivittäinen varmuuskopio, joka salataan ennen siirtoa ja säilytetään erillisessä pilvessä EU-alueella
• Toistuvat koodiauditoinnit, joissa tietoturva ja tietosuoja käydään läpi erillisinä osa-alueina

6. Alikäsittelijät

Asiakas antaa yleisen valtuutuksen käyttää alikäsittelijöitä. Voimassa oleva luettelo alikäsittelijöistä, heidän roolistaan, käsiteltävästä datasta ja sijainnista on tietosuojaselosteen kohdassa 7, ja se pidetään ajan tasalla.

Jokaisen alikäsittelijän kanssa on voimassa tätä vastaavat tietosuojavelvoitteet. Luviamo vastaa alikäsittelijöidensä toiminnasta kuin omastaan.

Uudesta alikäsittelijästä tai alikäsittelijän vaihdosta ilmoitetaan asiakkaalle vähintään 30 vuorokautta ennen muutosta. Asiakas voi vastustaa muutosta perustellusta tietosuojasyystä; jos ratkaisua ei löydy, asiakas voi irtisanoa palvelun ilman irtisanomisseuraamuksia.

7. Tietojen sijainti ja siirrot

Sovellusdata ja mediatiedostot säilytetään EU-alueella. Osa alikäsittelijöistä toimii EU:n ulkopuolella; näihin siirtoihin sovelletaan EU:n vakiolausekkeita (SCC) ja tarvittaessa täydentäviä suojatoimia. Sijainnit toimijoittain on lueteltu tietosuojaselosteen kohdissa 7 ja 8.

8. Avustaminen rekisteröidyn oikeuksissa

Palvelu sisältää toiminnot, joilla asiakas voi itse toteuttaa rekisteröidyn oikeudet: tietojen katselu ja muokkaus, tietojen vienti koneluettavassa muodossa sekä poisto. Jos asiakas tarvitsee näiden lisäksi apua, Luviamo avustaa kohtuullisessa laajuudessa ilman eri korvausta.

Jos rekisteröity ottaa yhteyttä suoraan Luviamoon asiakkaan tiedoista, Luviamo ei vastaa pyyntöön itse vaan ohjaa sen asiakkaalle.

9. Avustaminen tietoturvaloukkauksissa ja vaikutustenarvioinnissa

Luviamo ilmoittaa asiakkaalle tietoonsa tulleesta henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja antaa tiedot, jotka asiakas tarvitsee omaan ilmoitusvelvollisuuteensa (GDPR 33–34 art.). Luviamo avustaa kohtuullisessa laajuudessa myös vaikutustenarvioinnissa ja ennakkokuulemisessa (35–36 art.).

10. Tietojen palautus ja poisto

Asiakas voi viedä tietonsa palvelusta koska tahansa asiakassuhteen aikana. Käsittelyn päättyessä tiedot poistetaan; poistoa ei peruuteta varmuuskopioista, ja kopiot poistuvat oman kiertonsa mukaisesti (tietosuojaselosteen kohta 9). Lakisääteisen säilytysvelvollisuuden alaiset tiedot, kuten kirjanpitoaineisto, säilytetään säädetyn ajan.

11. Auditointi

Luviamo antaa asiakkaalle tiedot, jotka ovat tarpeen tässä sopimuksessa asetettujen velvoitteiden noudattamisen osoittamiseksi. Ensisijaisesti tämä tapahtuu dokumentaatiolla: tietosuojaseloste, tämä sopimus, alikäsittelijäluettelo ja kuvaus tietoturvatoimenpiteistä. Asiakkaalla on oikeus tehdä tai teettää auditointi kohtuullisin väliajoin ja ennalta sovittuna ajankohtana siten, ettei se vaaranna muiden asiakkaiden tietoturvaa.

12. Voimassaolo ja muutokset

Tämä sopimus on voimassa niin kauan kuin Luviamo käsittelee henkilötietoja asiakkaan lukuun. Ristiriitatilanteessa tämä sopimus voittaa käyttöehdot henkilötietojen käsittelyä koskevissa kysymyksissä.

Sopimuksen uudesta versiosta ilmoitetaan palvelussa, ja se pyydetään hyväksymään ennen käytön jatkamista. Aiemmat versiot pysyvät saatavilla versiotunnuksellaan.

13. Yhteystiedot