Tietojenkäsittelysopimus (DPA)

Päivitetty viimeksi: 28.5.2026

Tämä tietojenkäsittelysopimus (“DPA” tai “Sopimus”) on osa Vahti Service Oy:n palveluehtoja ja tulee sovellettavaksi automaattisesti, kun Vahti Service Oy käsittelee henkilötietoja asiakkaan puolesta vahti.ai-palvelun yhteydessä.

Palveluehdot: Palveluehdot
Tietosuojaseloste: Tietosuojaseloste
Alikäsittelijät: Alikäsittelijät
Cookie Policy: Cookie Policy

1. Osapuolet

Tämä Sopimus koskee henkilötietojen käsittelyä, jossa asiakas toimii rekisterinpitäjänä ja Vahti Service Oy käsittelijänä.

Rekisterinpitäjä: asiakas, joka käyttää vahti.ai-palvelua (“Asiakas”).
Käsittelijä: Vahti Service Oy, Y-tunnus 3598836-2, Kauppakatu 39, 40100 Jyväskylä (“Vahti Service Oy” tai “Käsittelijä”).

Tätä Sopimusta sovelletaan siltä osin kuin Vahti Service Oy käsittelee henkilötietoja Asiakkaan puolesta vahti.ai-palvelun tuottamiseksi.

2. Määritelmät

Tässä Sopimuksessa käytetyillä tietosuojatermeillä, kuten “henkilötieto”, “rekisterinpitäjä”, “käsittelijä”, “rekisteröity”, “käsittely”, “henkilötietojen tietoturvaloukkaus” ja “alikäsittelijä”, on EU:n yleisessä tietosuoja-asetuksessa (EU) 2016/679 (“GDPR”) määritelty merkitys.

“Pääsopimus” tarkoittaa Asiakkaan ja Vahti Service Oy:n välistä palvelusopimusta, käyttöehtoja, tilausta, tarjousta, tilausvahvistusta tai muuta sopimusta, jonka perusteella Asiakas käyttää vahti.ai-palvelua.

3. Sopimuksen tarkoitus ja suhde pääsopimukseen

Tämän Sopimuksen tarkoituksena on sopia GDPR:n 28 artiklan mukaisista ehdoista, joilla Vahti Service Oy käsittelee henkilötietoja Asiakkaan puolesta.

Tämä Sopimus täydentää Pääsopimusta ja tulee sovellettavaksi automaattisesti osana Pääsopimusta, kun Vahti Service Oy käsittelee henkilötietoja Asiakkaan puolesta.

Jos tämä Sopimus ja Pääsopimus ovat ristiriidassa henkilötietojen käsittelyä koskevissa asioissa, tätä Sopimusta sovelletaan ensisijaisesti. Kaupallisiin ehtoihin, vastuisiin ja palvelun käyttöön sovelletaan Pääsopimusta, ellei tässä Sopimuksessa nimenomaisesti toisin sovita.

4. Käsittelyn kohde, luonne ja tarkoitus

Vahti Service Oy käsittelee henkilötietoja vahti.ai-palvelun tuottamiseksi, ylläpitämiseksi, suojaamiseksi, vianmääritykseksi ja laadun varmistamiseksi Pääsopimuksen mukaisesti.

Palvelu on Microsoft 365 -ympäristöjen tietoturvan ja vaatimustenmukaisuuden jatkuva seurantapalvelu. Käsittely voi liittyä esimerkiksi Microsoft 365 -ympäristöstä saatuihin käyttäjä-, asetustila-, tapahtuma-, havainto- ja turvallisuustietoihin sekä palvelun käyttöön liittyviin teknisiin tietoihin.

Käyttöönoton ensimmäisten 30 päivän aikana käsittely voi sisältää rajattua palvelun laadunvarmistusta, jossa Vahti Service Oy tarkistaa, että palvelun keskeiset käyttöliittymänäkymät, skannausputki, käyttöönoton tilatiedot ja operatiiviset yhteenvedot toimivat Asiakkaan tenant-dataan perustuen. Tämä käsittely tehdään vain palvelun käyttöönoton ja laadunvarmistuksen vuoksi, se rajataan tarpeelliseen scopeen, eikä se oikeuta Asiakkaan Microsoft 365 -sisällön yleiseen selaamiseen tai datan kopiointiin ilman erillistä perustetta.

Palvelun yleiseen kehittämiseen käytetään tunnistamatonta, anonymisoitua, koottua tai muuten sellaiseen muotoon saatettua tietoa, josta Asiakasta tai luonnollista henkilöä ei voida tunnistaa, ellei Asiakkaan kanssa ole erikseen kirjallisesti sovittu toisin.

Vahti Service Oy ei käytä Asiakkaan tunnistettavaa tenant-dataa yleisten tekoälymallien kouluttamiseen. Tekoälyä voidaan käyttää havaintojen selittämiseen, ohjeiden tuottamiseen ja tietoturvasisällön tiivistämiseen, mutta tekoäly ei luo, muuta, sulje tai priorisoi riskitilaa.

Käsittelyn tarkempi kuvaus on Liitteessä 1.

5. Käsittelyn kesto

Vahti Service Oy käsittelee henkilötietoja niin kauan kuin Pääsopimus on voimassa ja käsittely on tarpeen palvelun tuottamiseksi.

Pääsopimuksen päätyttyä henkilötiedot poistetaan tai palautetaan kohdan 18 ja Liitteen 3 mukaisesti, ellei sovellettava laki edellytä tietojen säilyttämistä pidempään.

6. Henkilötietoryhmät

Käsiteltävät henkilötietoryhmät on kuvattu Liitteessä 1. Tietoryhmät voivat sisältää esimerkiksi käyttäjien tunniste- ja yhteystietoja, käyttöoikeus- ja roolitietoja, Microsoft 365 -ympäristöön liittyviä tietoturva- ja vaatimustenmukaisuustietoja sekä palvelun teknisiä loki- ja käyttötietoja.

Vahti Service Oy ei lähtökohtaisesti tarvitse erityisiin henkilötietoryhmiin kuuluvia tietoja palvelun tuottamiseksi. Asiakas vastaa siitä, ettei se toimita palveluun tarpeettomia erityisiä henkilötietoryhmiä tai muuta arkaluonteista aineistoa, ellei siitä ole erikseen sovittu.

Jos Asiakas ottaa käyttöön tiedostosisältöä analysoivan ominaisuuden, tuettuja tiedostoja voidaan käsitellä rajatusti analyysin suorittamiseksi. Raakaa dokumenttisisältöä, tekstiosumia tai havaittuja henkilötietoarvoja ei tallenneta Vahti-palveluun, ellei tästä ole erikseen kirjallisesti sovittu.

7. Rekisteröityjen ryhmät

Rekisteröityjen ryhmät on kuvattu Liitteessä 1. Näitä voivat olla esimerkiksi Asiakkaan työntekijät, käyttäjät, ylläpitäjät, konsultit, alihankkijat ja muut Microsoft 365 -ympäristöön liittyvät henkilöt.

8. Rekisterinpitäjän velvollisuudet

Asiakas vastaa rekisterinpitäjänä siitä, että henkilötietojen käsittelylle on lainmukainen peruste ja että käsittely on sovellettavan tietosuojalainsäädännön mukaista.

Asiakas vastaa erityisesti siitä, että:

Asiakkaalla on oikeus antaa henkilötiedot Vahti Service Oy:n käsiteltäväksi.
Rekisteröidyille annetaan tarvittavat tietosuojainformaatiot.
Asiakkaan Vahti Service Oy:lle antamat ohjeet ovat lainmukaisia.
Asiakas määrittää, ketkä sen organisaatiossa saavat käyttää palvelua.
Asiakas huolehtii omien käyttäjiensä käyttöoikeuksista ja niiden ajantasaisuudesta.
Asiakas ei toimita palveluun tarpeettomia henkilötietoja.
Asiakas vastaa siitä, että palvelulle myönnetyt Microsoft 365 / Entra -käyttöoikeudet on hyväksytty Asiakkaan organisaation asianmukaisessa hallintaprosessissa.

9. Käsittelijän velvollisuudet

Vahti Service Oy käsittelee henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti, ellei sovellettava laki velvoita Vahti Service Oy:tä käsittelemään tietoja muulla tavoin.

Vahti Service Oy sitoutuu:

käsittelemään henkilötietoja vain tämän Sopimuksen, Pääsopimuksen ja Asiakkaan dokumentoitujen ohjeiden mukaisesti;
toteuttamaan asianmukaiset tekniset ja organisatoriset turvatoimet;
huolehtimaan siitä, että henkilötietoja käsittelevät henkilöt ovat salassapitovelvollisia;
käyttämään alikäsittelijöitä tämän Sopimuksen mukaisesti;
avustamaan Asiakasta kohtuullisesti rekisteröityjen oikeuksiin, tietoturvaloukkauksiin, tietoturvatoimiin, tietosuojaa koskeviin vaikutustenarviointeihin ja valvontaviranomaisen ennakkokuulemiseen liittyvissä asioissa siltä osin kuin avustaminen liittyy Vahti Service Oy:n suorittamaan käsittelyyn;
poistamaan tai palauttamaan henkilötiedot Sopimuksen päättyessä kohdan 18 mukaisesti.

10. Dokumentoidut ohjeet

Asiakkaan dokumentoituja ohjeita ovat tämä Sopimus, Pääsopimus, palvelun asetukset, Asiakkaan palvelussa tekemät valinnat sekä muut kirjallisesti sovitut ohjeet.

Asiakkaan dokumentoituihin ohjeisiin sisältyy myös käyttöönoton ensimmäisten 30 päivän aikana tehtävä rajattu palvelun laadunvarmistus kohdassa 4 kuvatulla tavalla.

Dokumentoidut ohjeet kattavat myös henkilötietojen siirrot kolmanteen maahan tai kansainväliselle järjestölle siltä osin kuin tällaisia siirtoja tehdään tämän Sopimuksen, Pääsopimuksen tai Asiakkaan palvelussa tekemien valintojen perusteella.

Jos Vahti Service Oy katsoo, että Asiakkaan ohje rikkoo tietosuojalainsäädäntöä, Vahti Service Oy ilmoittaa tästä Asiakkaalle ilman aiheetonta viivytystä, ellei laki estä ilmoittamista.

11. Henkilöstön salassapito

Vahti Service Oy varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.

Pääsy henkilötietoihin rajataan henkilöihin, joilla on työtehtäviensä perusteella tarve käsitellä tietoja.

12. Tietoturvatoimet

Vahti Service Oy toteuttaa käsittelyyn nähden asianmukaiset tekniset ja organisatoriset turvatoimet. Turvatoimien tarkoituksena on suojata henkilötietoja luvattomalta tai lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta.

Turvatoimia kuvataan tarkemmin Liitteessä 3.

Vahti Service Oy voi päivittää turvatoimiaan palvelun, teknologian ja uhkaympäristön kehittyessä, kunhan tietosuojan kokonaistaso ei olennaisesti heikkene.

13. Alihankkijat / alikäsittelijät

Asiakas antaa Vahti Service Oy:lle yleisen luvan käyttää alikäsittelijöitä henkilötietojen käsittelyssä.

Vahti Service Oy ylläpitää ajantasaista luetteloa olennaisista alikäsittelijöistä julkisella alikäsittelijäsivulla: Alikäsittelijät. Ajantasainen julkinen alikäsittelijälista on ensisijainen lähde. Liite 2 kuvaa alikäsittelijöiden tilanteen tämän Sopimuksen päivityshetkellä.

Vahti Service Oy varmistaa, että alikäsittelijöitä sitovat vähintään vastaavat tietosuojavelvoitteet kuin Vahti Service Oy:tä tämän Sopimuksen perusteella sitovat velvoitteet siltä osin kuin velvoitteet soveltuvat kyseisen alikäsittelijän suorittamaan käsittelyyn.

Vahti Service Oy vastaa Asiakkaalle alikäsittelijän tämän Sopimuksen mukaisesta henkilötietojen käsittelystä kuten omastaan siltä osin kuin alikäsittelijä käsittelee henkilötietoja Vahti Service Oy:n puolesta.

Jos Vahti Service Oy aikoo ottaa käyttöön uuden olennaisen alikäsittelijän, joka käsittelee Asiakkaan henkilötietoja, Vahti Service Oy ilmoittaa muutoksesta vähintään 30 päivää ennen muutoksen voimaantuloa, ellei muutos ole kiireellinen esimerkiksi tietoturva-, saatavuus- tai lakisääteisestä syystä.

Asiakas voi esittää perustellun tietosuojaan liittyvän vastalauseen uudesta alikäsittelijästä ilmoitusajan kuluessa. Osapuolet pyrkivät tällöin löytämään kohtuullisen ratkaisun. Jos ratkaisua ei löydy, Asiakkaalla voi olla oikeus päättää se palvelun osa, jota uusi alikäsittelijä koskee, Pääsopimuksen mukaisesti.

14. Kansainväliset siirrot

Vahti Service Oy käsittelee palvelun ydininfrastruktuuriin liittyviä tietoja ensisijaisesti EU/ETA-alueella.

Joihinkin alikäsittelijöihin, kuten maksuihin, sähköpostien toimitukseen tai muihin tukitoimintoihin liittyviin palveluihin, voi kuitenkin liittyä henkilötietojen käsittelyä tai pääsyä EU/ETA-alueen ulkopuolelta.

Jos henkilötietoja siirretään EU/ETA-alueen ulkopuolelle, Vahti Service Oy huolehtii siitä, että siirrolle on soveltuva tietosuojalainsäädännön mukainen siirtoperuste, kuten Euroopan komission hyväksymät vakiosopimuslausekkeet, EU-U.S. Data Privacy Framework tai muu soveltuva mekanismi.

15. AI-palvelut ja asiakkaan datan käyttö mallien kouluttamiseen

Vahti Service Oy ei käytä Asiakkaan henkilötietoja tai Asiakkaan palveludataa omien tai kolmannen osapuolen AI-mallien kouluttamiseen.

Vahti Service Oy voi käyttää Google Cloud Vertex AI:tä rajattuihin palvelutoimintoihin, kuten tietoturvahavaintojen selittämiseen, ohjeiden tuottamiseen ja palvelun käyttökokemuksen parantamiseen. Tällöin tietoja käsitellään pyynnön toteuttamiseksi ja palvelun tuottamiseksi, ei AI-mallien kouluttamiseksi.

Google Cloudin ehtojen mukaan asiakkaan dataa ei käytetä Google AI/ML -mallien kouluttamiseen tai hienosäätöön ilman asiakkaan ennakkolupaa tai ohjetta.

16. Rekisteröidyn oikeuksiin ja DPIA:han liittyvä avustaminen

Vahti Service Oy avustaa Asiakasta kohtuullisesti ja käsittelyn luonne huomioiden rekisteröityjen oikeuksien toteuttamisessa, kuten tietopyyntöihin, oikaisupyyntöihin, poistopyyntöihin ja käsittelyn rajoittamista koskeviin pyyntöihin liittyen.

Vahti Service Oy avustaa Asiakasta kohtuullisesti myös GDPR:n 32–36 artikloissa tarkoitettuihin tietoturvatoimiin, henkilötietojen tietoturvaloukkauksiin, tietosuojaa koskeviin vaikutustenarviointeihin ja valvontaviranomaisen ennakkokuulemiseen liittyen siltä osin kuin avustaminen liittyy Vahti Service Oy:n suorittamaan käsittelyyn ja Vahti Service Oy:n hallussa oleviin tietoihin.

Jos rekisteröity ottaa suoraan yhteyttä Vahti Service Oy:hyn Asiakkaan rekisterinpitäjän rooliin liittyvässä asiassa, Vahti Service Oy ohjaa pyynnön Asiakkaalle, ellei laki muuta edellytä.

17. Tietoturvaloukkaukset

Vahti Service Oy ilmoittaa Asiakkaalle ilman aiheetonta viivytystä saatuaan tietoonsa henkilötietojen tietoturvaloukkauksen, joka koskee Vahti Service Oy:n Asiakkaan puolesta käsittelemiä henkilötietoja.

Vahti Service Oy:n tavoitteena on antaa alustava ilmoitus 48 tunnin kuluessa siitä, kun Vahti Service Oy on tullut tietoiseksi henkilötietojen tietoturvaloukkauksesta. Tämä tavoite ei rajoita Vahti Service Oy:n velvollisuutta ilmoittaa Asiakkaalle ilman aiheetonta viivytystä.

Ilmoitus sisältää saatavilla olevat tiedot loukkauksen luonteesta, todennäköisistä vaikutuksista, toteutetuista tai ehdotetuista korjaavista toimista sekä yhteyspisteen lisätietoja varten. Jos kaikkia tietoja ei ole saatavilla heti, Vahti Service Oy toimittaa lisätiedot vaiheittain ilman aiheetonta viivytystä.

Asiakas vastaa rekisterinpitäjänä mahdollisista ilmoituksista valvontaviranomaiselle ja rekisteröidyille. Vahti Service Oy avustaa Asiakasta kohtuullisesti näiden velvoitteiden täyttämisessä.

18. Auditoinnit ja osoitusvelvollisuus

Vahti Service Oy antaa Asiakkaalle kohtuullisesti saatavilla olevat tiedot, jotka ovat tarpeen tämän Sopimuksen mukaisten velvoitteiden osoittamiseksi.

Asiakkaalla on oikeus pyytää tämän Sopimuksen noudattamisen arvioimiseksi kohtuullisia tietoja ja tarvittaessa tarkastusta. Vahti Service Oy voi ensisijaisesti täyttää pyynnön toimittamalla kirjallisia kuvauksia, tietoturvadokumentaatiota, alikäsittelijälistan, auditointiraportteja tai muita kohtuullisia selvityksiä.

Jos kirjallinen selvitys ei ole kohtuudella riittävä ja Asiakkaalla on perusteltu tarve suorittaa tarkastus, tarkastuksesta on sovittava etukäteen kirjallisesti. Tarkastus on toteutettava kohtuullisena aikana, tavalla, joka ei vaaranna muiden asiakkaiden tietoja, Vahti Service Oy:n liikesalaisuuksia, tietoturvaa tai palvelun jatkuvuutta.

Vahti Service Oy voi periä kohtuulliset kustannukset laajoista, toistuvista tai tavanomaisen asiakastuen ylittävistä auditointipyynnöistä, ellei pakottava laki muuta edellytä.

19. Tietojen poistaminen tai palauttaminen sopimuksen päättyessä

Pääsopimuksen päättyessä Vahti Service Oy poistaa tai palauttaa Asiakkaan puolesta käsittelemänsä henkilötiedot Asiakkaan valinnan mukaisesti, ellei sovellettava laki edellytä tietojen säilyttämistä.

Asiakkaalla on päättymisen jälkeen 30 päivää aikaa pyytää kohtuullisesti saatavilla olevien tietojen palauttamista tai vientiä, ellei Pääsopimuksessa toisin sovita.

Vahti Service Oy poistaa henkilötiedot aktiivisista järjestelmistään kohtuullisessa ajassa, kuitenkin viimeistään 90 päivän kuluessa sopimuksen päättymisestä tai Asiakkaan poistopyynnöstä. Varmuuskopioissa olevat tiedot poistuvat varmuuskopioiden normaalin elinkaaren mukaisesti, eikä niitä palauteta tuotantokäyttöön muuten kuin palautumis- tai jatkuvuustilanteissa.

Jos varmuuskopiopalautus palauttaisi aiemmin poistettua tai anonymisoitua Asiakkaan henkilötietoa aktiiviseen käyttöön, Vahti Service Oy poistaa tai anonymisoi kyseisen tiedon uudelleen ennen normaalin palvelukäytön jatkamista siltä osin kuin se on teknisesti ja kohtuudella mahdollista.

20. Vastuunjako

Osapuolet vastaavat omista tietosuojalainsäädännön mukaisista velvoitteistaan.

Asiakas vastaa rekisterinpitäjänä käsittelyn lainmukaisuudesta, käsittelyn tarkoituksista, rekisteröityjen informoinnista ja henkilötietojen toimittamisesta palveluun.

Vahti Service Oy vastaa käsittelijänä siitä, että se käsittelee henkilötietoja tämän Sopimuksen, Pääsopimuksen ja Asiakkaan dokumentoitujen ohjeiden mukaisesti.

Tämä Sopimus ei muuta Pääsopimuksessa sovittuja vastuunrajoituksia, ellei pakottavasta tietosuojalainsäädännöstä muuta johdu.

21. Sovellettava laki ja erimielisyydet

Tähän Sopimukseen sovelletaan Suomen lakia, lukuun ottamatta sen lainvalintasäännöksiä.

Tästä Sopimuksesta aiheutuvat erimielisyydet ratkaistaan Pääsopimuksessa sovitun riidanratkaisumenettelyn mukaisesti. Jos Pääsopimuksessa ei ole sovittu riidanratkaisusta, erimielisyydet ratkaistaan toimivaltaisessa suomalaisessa yleisessä tuomioistuimessa.

Liite 1 – Käsittelyn kuvaus

1. Käsittelyn tarkoitus

Henkilötietoja käsitellään vahti.ai-palvelun tuottamiseksi Asiakkaalle. Palvelun tarkoituksena on seurata Microsoft 365 -ympäristön tietoturvaa ja vaatimustenmukaisuutta sekä tuottaa havaintoja, näkymiä, ilmoituksia ja ohjeita Asiakkaan käyttöön.

Käsittely voi sisältää esimerkiksi:

Microsoft 365 -ympäristöstä saatavien tietojen hakemista, vastaanottamista ja tallentamista;
käyttäjä-, rooli-, käyttöoikeus-, asetustila-, turvallisuus- ja tapahtumatietojen analysointia;
tietoturva- ja vaatimustenmukaisuushavaintojen muodostamista;
havaintojen ja suositusten näyttämistä palvelussa;
raporttien, ilmoitusten ja audit trail -tietojen muodostamista;
teknistä lokitusta, ylläpitoa, vianmääritystä ja tietoturvan valvontaa;
käyttöönoton ensimmäisten 30 päivän aikana tehtävää rajattua palvelun laadunvarmistusta, jolla varmistetaan käyttöliittymänäkymien, skannausputken, käyttöönoton tilatietojen ja operatiivisten yhteenvetojen toiminta Asiakkaan tenant-dataan perustuen;
palveluviestien ja järjestelmäilmoitusten lähettämistä;
tekoälyavusteista havaintojen selittämistä ja ohjeiden tuottamista siten, että tekoäly ei luo, muuta, sulje tai priorisoi riskitilaa;
erikseen käyttöön otettavien tiedostosisältöä analysoivien ominaisuuksien rajattua prosessointia analyysin suorittamiseksi.

2. Käsittelyn kesto

Käsittely jatkuu Pääsopimuksen voimassaolon ajan.

Pääsopimuksen päättyessä henkilötiedot poistetaan tai palautetaan DPA:n kohdan 18 mukaisesti, ellei laki tai muu sovittu velvoite edellytä pidempää säilytystä.

3. Henkilötietoryhmät

Käsiteltävät henkilötietoryhmät voivat sisältää seuraavia tietoja:

käyttäjän nimi;
sähköpostiosoite;
käyttäjätunnus tai muu yksilöivä tunniste;
Microsoft 365 / Entra ID -käyttäjä- ja roolitiedot;
käyttöoikeuksiin, ryhmiin ja hallintarooleihin liittyvät tiedot;
kirjautumis-, loki-, tapahtuma- ja turvallisuustiedot;
Microsoft 365 -ympäristön asetuksiin ja suojaustilaan liittyvät tiedot;
sovelluksiin, OAuth-suostumuksiin, jakamiseen ja palveluasetuksiin liittyvät tiedot;
dokumentteihin liittyvä metadata, kuten omistaja, polku, tunniste, jakamistiedot ja analyysin perusteella muodostettu deterministinen havaintodata, jos tällainen ominaisuus on käytössä;
palvelun käyttöön liittyvät tekniset tiedot;
palvelun tuottamisessa syntyvät havainnot, riskit, suositukset, toimenpiteet, raportit ja tilatiedot;
asiakasorganisaation yhteyshenkilöiden palvelun käytön kannalta tarpeelliset tiedot.

Palvelun tarkoituksena ei ole käsitellä erityisiä henkilötietoryhmiä. Asiakas vastaa siitä, ettei se toimita palveluun tarpeettomia erityisiin henkilötietoryhmiin kuuluvia tietoja.

Jos Content Compliance Scan tai muu tiedostosisältöä analysoiva ominaisuus on käytössä, raakaa dokumenttisisältöä, tekstiosumia tai havaittuja henkilötietoarvoja ei tallenneta Vahti-palveluun eikä palauteta käyttöliittymässä, ellei tästä ole erikseen kirjallisesti sovittu.

4. Rekisteröityjen ryhmät

Rekisteröityjen ryhmiä voivat olla:

Asiakkaan työntekijät;
Asiakkaan käyttäjät ja ylläpitäjät;
Asiakkaan konsultit, alihankkijat tai muut yhteistyökumppanit, joilla on pääsy Asiakkaan Microsoft 365 -ympäristöön;
muut henkilöt, joiden tietoja näkyy Asiakkaan Microsoft 365 -ympäristön turvallisuus-, käyttöoikeus- tai tapahtumatiedoissa.

Liite 2 – Alikäsittelijät

1. Nykyiset alikäsittelijät

Ajantasainen alikäsittelijälista on saatavilla osoitteessa Alikäsittelijät. Tämä liite kuvaa alikäsittelijöiden tilanteen tämän Sopimuksen päivityshetkellä.

Alikäsittelijä	Tarkoitus	Sijainti / data residency	Huomio
Google Cloud / Google Cloud EMEA Limited	Infrastruktuuri, hosting, tietokanta, lokitus, monitorointi, tekninen ajo sekä Google Vertex AI / Gemini -käsittely havaintojen selittämiseen ja ohjeiden tuottamiseen.	Vahdin päätuotantoinfra sijaitsee EU-alueella. Google Vertex AI / Gemini määritetään käytettäväksi EU-sijainneissa.	Käsittelee palvelun ydintoiminnan kannalta tarpeellisia tietoja. Google Cloud / Vertex AI käsittelee tietoja palvelun tuottamiseksi. Asiakkaan dataa ei käytetä Google AI/ML -mallien kouluttamiseen tai hienosäätöön ilman asiakkaan ennakkolupaa tai ohjetta.
Stripe / Stripe Payments Europe, Limited ja Stripe Technology Europe, Limited	Maksut, tilaukset, laskutus ja maksutapahtumien käsittely.	ETA-alueella irlantilaisten Stripe-yhtiöiden kautta; mahdollinen EU/ETA-alueen ulkopuolinen käsittely tai pääsy.	Käsittelee pääasiassa laskutus- ja maksutietoja, ei varsinaista Microsoft 365 -tenant-dataa.
Postmark / AC PM, LLC	Sähköpostien toimitus, kuten järjestelmäviestit, kutsut ja ilmoitukset.	Yhdysvallat / mahdollinen EU/ETA-alueen ulkopuolinen käsittely.	Käsittelee sähköpostien lähettämiseen tarvittavia tietoja ja toimituslokeja.
HubSpot / HubSpot Ireland Limited	Verkkosivun lomakkeet, liidien ja demopyyntöjen käsittely, CRM, myyntiprosessi sekä asiakasviestinnän hallinta.	HubSpot-tili on EU1-ympäristössä. HubSpotin palveluun voi silti liittyä EU/ETA-alueen ulkopuolista käsittelyä tai pääsyä.	HubSpot käsittelee ensisijaisesti verkkosivun, myynnin ja asiakassuhteen tietoja. HubSpot ei lähtökohtaisesti käsittele varsinaista Microsoft 365 -tenant-dataa.

2. Muutosilmoitusmekanismi

Vahti Service Oy ylläpitää ajantasaista alikäsittelijälistaa osoitteessa:

Alikäsittelijät

Vahti Service Oy ilmoittaa uudesta olennaisesta alikäsittelijästä vähintään 30 päivää ennen muutoksen voimaantuloa, ellei muutos ole kiireellinen esimerkiksi tietoturva-, saatavuus- tai lakisääteisestä syystä.

Asiakas voi esittää perustellun tietosuojaan liittyvän vastalauseen ilmoitusajan kuluessa.

Liite 3 – Teknisiä ja organisatorisia turvatoimia koskeva kuvaus

1. Pääsynhallinta

Vahti Service Oy rajaa pääsyn henkilötietoihin henkilöille, järjestelmille ja palvelutileille, joilla on työtehtäviensä tai palvelun teknisen toiminnan perusteella tarve käsitellä tietoja.

Pääsynhallinnassa käytetään rooleihin ja käyttöoikeuksiin perustuvia menettelyjä. Käyttöoikeuksia tarkistetaan ja poistetaan tarpeen mukaan esimerkiksi tehtävien muuttuessa tai työsuhteen tai toimeksiannon päättyessä.

Sovelluskäyttö on tenant-kohtaisesti valtuutettua. Asiakkaan käyttäjät näkevät vain oman organisaationsa palvelussa näkyvät tiedot oman roolinsa mukaisesti.

2. Sisäinen operaattori- ja tukipääsy

Vahti Service Oy:n sisäinen operaattori- ja tukipääsy asiakkaan dataan rajataan hyväksyttyihin käyttötarkoituksiin, kuten käyttöönoton tukeen, käyttöönoton ensimmäisten 30 päivän aikana tehtävään rajattuun palvelun laadunvarmistukseen, häiriöselvitykseen, asiakkaan tukipyyntöön, laskutuksen selvittämiseen, tietoturvapoikkeaman käsittelyyn tai asiakkaan pyytämään datan vientiin, poistoon tai anonymisointiin.

Sisäinen pääsy rajataan vähimmän oikeuden periaatteen mukaisesti. Tarkoituksellinen asiakkaan tenanttiin kohdistuva käyttöliittymä-, tietokanta-, loki- tai metadatatarkistus kirjataan sisäiseen tukipääsymerkintään, johon tallennetaan vähintään tarkoitus, syy, tavoite, rajaus, pääsytapa, operaattori, aikarajaus ja työn lopputulos. Pääsy poistetaan tai rajataan uudelleen, kun käsittelytarve päättyy.

3. Salassapito

Henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon tai heitä koskee vastaava salassapitovelvollisuus.

Salassapitovelvollisuus koskee henkilötietojen lisäksi Asiakkaan luottamuksellisia tietoja ja palvelun käytön yhteydessä saatuja tietoja.

4. Ympäristöjen eriytys ja tenant-eristys

Tuotanto-, testi- ja kehitysympäristöt pidetään erillään toisistaan. Tuotantodataa ei käytetä kehitykseen tai testaukseen ilman erillistä perustetta ja asianmukaisia suojaustoimia.

Asiakasdata eristetään sovellustasolla tenant-kohtaisesti. Palvelun käyttöliittymä ja API-tasot tarkistavat tenant-kontekstin ja käyttäjän oikeudet ennen asiakasdataan liittyvien toimintojen suorittamista.

5. Lokitus ja monitorointi

Palvelussa kerätään teknisiä lokeja palvelun toiminnan, tietoturvan, vianmäärityksen, väärinkäytösten havaitsemisen ja audit trail -tarpeiden tueksi.

Lokit voivat sisältää esimerkiksi tapahtuma-aikaleimoja, käyttäjä- tai järjestelmätunnisteita, tenant- tai ajotunnisteita, IP-osoitteita, teknisiä tapahtumatietoja, virhekategorioita ja palvelun toimintaan liittyviä metatietoja. Lokien säilytys rajataan käyttötarkoituksen kannalta tarpeelliseen aikaan.

Lokeihin ei tarkoituksella kirjata Microsoft Graph -salaisuuksia, access tokeneita, maksukortin kokonaisia tietoja, kutsutokenien selväkielisiä arvoja, raakoja Graph-virherunkoja, jos ne sisältävät arkaluonteista dataa, eikä Content Compliance Scan -raaka-aineistoa, tekstiosumia tai havaittuja henkilötietoarvoja.

6. Salaus ja salaisuuksien hallinta

Henkilötietoja suojataan tarkoituksenmukaisin salaus- ja suojausmenetelmin siirron aikana ja tallennettuna silloin, kun käytetty infrastruktuuri ja palvelun tekninen toteutus sitä tukevat.

Yhteydet palveluun toteutetaan salattujen yhteyksien kautta. Pilvi-infrastruktuurin tallennusratkaisuissa hyödynnetään palveluntarjoajan tarjoamia suojausmekanismeja.

Tuotantosalaisuudet, kuten palvelun tekniset tunnisteet ja integraatiosalaisuudet, säilytetään erillisessä salaisuuksienhallintapalvelussa eikä niitä tallenneta versionhallintaan tai asiakasnäkyviin tietoihin.

7. Palautuminen ja varmistukset

Vahti Service Oy käyttää palvelun jatkuvuuden ja palautumisen tukena teknisiä varmistus- ja palautumismenettelyjä.

Varmuuskopioita ja palautumismenettelyjä hallitaan siten, että palvelu voidaan kohtuullisesti palauttaa häiriötilanteissa. Tarkat palautumisaikatavoitteet tai palvelutasot määräytyvät Pääsopimuksen mukaan, jos niistä on erikseen sovittu.

Varmuuskopioissa olevat tiedot poistuvat varmuuskopioiden normaalin elinkaaren mukaisesti. Jos varmuuskopiopalautus palauttaa aiemmin poistettua tai anonymisoitua Asiakkaan henkilötietoa aktiiviseen käyttöön, poisto tai anonymisointi suoritetaan uudelleen siltä osin kuin se on teknisesti ja kohtuudella mahdollista.

8. Haavoittuvuuksien hallinta

Vahti Service Oy pyrkii tunnistamaan, arvioimaan ja korjaamaan palveluun liittyviä haavoittuvuuksia riskiperusteisesti.

Haavoittuvuuksien hallinta voi sisältää esimerkiksi riippuvuuksien päivittämistä, tietoturvapäivityksiä, koodikatselmointeja, teknisen ympäristön koventamista, lokien seurantaa, häiriöiden selvittämistä ja muutosten validointia ennen tuotantokäyttöä.

9. Tekoälyyn liittyvät suojatoimet

Tekoälyä käytetään palvelussa neuvoa-antavana kerroksena havaintojen selittämiseen, ohjeiden tuottamiseen ja tietoturvasisällön tiivistämiseen. Tekoäly ei luo, muuta, sulje tai priorisoi riskitilaa.

Asiakkaan tunnistettavaa tenant-dataa ei käytetä yleisten tekoälymallien kouluttamiseen. Tekoälypalveluihin lähetettävä tieto rajataan kulloisenkin toiminnon kannalta tarpeelliseen kontekstiin.

10. Poistaminen ja palauttaminen

Pääsopimuksen päättyessä henkilötietojen poistamiseen ja palauttamiseen sovelletaan DPA:n kohtaa 18.

Asiakkaan pyynnöstä Vahti Service Oy palauttaa kohtuullisesti saatavilla olevat henkilötiedot sovitussa muodossa, jos se on teknisesti ja kohtuudella mahdollista. Tämän jälkeen tiedot poistetaan tai anonymisoidaan aktiivisista järjestelmistä viimeistään 90 päivän kuluessa, ellei laki tai muu sovittu velvoite edellytä pidempää säilytystä.

Varmuuskopioissa olevat tiedot poistuvat varmuuskopioiden normaalin elinkaaren mukaisesti.

Tietojenkäsittelysopimus (DPA)