Tietojenkäsittelysopimus (DPA)

Päivitetty viimeksi: 12.8.2026

Tämä tietojenkäsittelysopimus (“DPA” tai “Sopimus”) on osa Vahti Service Oy:n palveluehtoja ja tulee sovellettavaksi automaattisesti, kun Vahti Service Oy käsittelee henkilötietoja asiakkaan puolesta vahti.ai-palvelun yhteydessä.

Palveluehdot: Palveluehdot
Tietosuojaseloste: Tietosuojaseloste
Alikäsittelijät: Alikäsittelijät
Cookie Policy: Cookie Policy

1. Osapuolet

Tämä Sopimus koskee henkilötietojen käsittelyä, jossa asiakas toimii rekisterinpitäjänä ja Vahti Service Oy käsittelijänä.

Rekisterinpitäjä: asiakas, joka käyttää vahti.ai-palvelua (“Asiakas”).
Käsittelijä: Vahti Service Oy, Y-tunnus 3598836-2, Kauppakatu 39, 40100 Jyväskylä (“Vahti Service Oy” tai “Käsittelijä”).

Tätä Sopimusta sovelletaan siltä osin kuin Vahti Service Oy käsittelee henkilötietoja Asiakkaan puolesta vahti.ai-palvelun tuottamiseksi.

2. Määritelmät

Tässä Sopimuksessa käytetyillä tietosuojatermeillä, kuten “henkilötieto”, “rekisterinpitäjä”, “käsittelijä”, “rekisteröity”, “käsittely”, “henkilötietojen tietoturvaloukkaus” ja “alikäsittelijä”, on EU:n yleisessä tietosuoja-asetuksessa (EU) 2016/679 (“GDPR”) määritelty merkitys.

“Pääsopimus” tarkoittaa Asiakkaan ja Vahti Service Oy:n välistä palvelusopimusta, käyttöehtoja, tilausta, tarjousta, tilausvahvistusta tai muuta sopimusta, jonka perusteella Asiakas käyttää vahti.ai-palvelua.

3. Sopimuksen tarkoitus ja suhde pääsopimukseen

Tämän Sopimuksen tarkoituksena on sopia GDPR:n 28 artiklan mukaisista ehdoista, joilla Vahti Service Oy käsittelee henkilötietoja Asiakkaan puolesta.

Tämä Sopimus täydentää Pääsopimusta ja tulee sovellettavaksi automaattisesti osana Pääsopimusta, kun Vahti Service Oy käsittelee henkilötietoja Asiakkaan puolesta.

Jos tämä Sopimus ja Pääsopimus ovat ristiriidassa henkilötietojen käsittelyä koskevissa asioissa, tätä Sopimusta sovelletaan ensisijaisesti. Kaupallisiin ehtoihin, vastuisiin ja palvelun käyttöön sovelletaan Pääsopimusta, ellei tässä Sopimuksessa nimenomaisesti toisin sovita.

4. Käsittelyn kohde, luonne ja tarkoitus

Vahti Service Oy käsittelee henkilötietoja vahti.ai-palvelun tuottamiseksi, ylläpitämiseksi, suojaamiseksi, vianmääritykseksi ja laadun varmistamiseksi Pääsopimuksen mukaisesti.

Palvelu on Microsoft 365 -ympäristöjen tietoturvan ja vaatimustenmukaisuuden jatkuva seurantapalvelu. Käsittely voi liittyä esimerkiksi Microsoft 365 -ympäristöstä saatuihin käyttäjä-, asetustila-, tapahtuma-, havainto- ja turvallisuustietoihin sekä palvelun käyttöön liittyviin teknisiin tietoihin.

Käyttöönoton ensimmäisten 30 päivän aikana käsittely voi sisältää rajattua palvelun laadunvarmistusta. Tällöin Vahti Service Oy tarkistaa Asiakkaan Microsoft 365 -ympäristön tietojen perusteella, että palvelun keskeiset käyttöliittymänäkymät, tarkistusprosessi, käyttöönoton tilatiedot ja operatiiviset yhteenvedot toimivat oikein. Käsittely tehdään vain palvelun käyttöönottoa ja laadunvarmistusta varten, ja se rajataan välttämättömään. Se ei oikeuta Asiakkaan Microsoft 365 -sisällön yleiseen selaamiseen tai tietojen kopiointiin ilman erillistä perustetta.

Palvelun yleiseen kehittämiseen käytetään tunnistamatonta, anonymisoitua, koottua tai muuten sellaiseen muotoon saatettua tietoa, josta Asiakasta tai luonnollista henkilöä ei voida tunnistaa, ellei Asiakkaan kanssa ole erikseen kirjallisesti sovittu toisin.

Vahti Service Oy ei käytä Asiakkaan Microsoft 365 -ympäristön tunnistettavia tietoja yleisten tekoälymallien kouluttamiseen. Tekoälyä voidaan käyttää havaintojen selittämiseen, ohjeiden tuottamiseen ja tietoturvasisällön tiivistämiseen, mutta tekoäly ei luo, muuta, sulje tai priorisoi riskitilaa.

Käsittelyn tarkempi kuvaus on Liitteessä 1.

5. Käsittelyn kesto

Vahti Service Oy käsittelee henkilötietoja niin kauan kuin Pääsopimus on voimassa ja käsittely on tarpeen palvelun tuottamiseksi.

Pääsopimuksen päätyttyä henkilötiedot poistetaan tai palautetaan kohdan 19 ja Liitteen 3 mukaisesti, ellei sovellettava laki edellytä tietojen säilyttämistä pidempään.

6. Henkilötietoryhmät

Käsiteltävät henkilötietoryhmät on kuvattu Liitteessä 1. Tietoryhmät voivat sisältää esimerkiksi käyttäjien tunniste- ja yhteystietoja, käyttöoikeus- ja roolitietoja, Microsoft 365 -ympäristöön liittyviä tietoturva- ja vaatimustenmukaisuustietoja sekä palvelun teknisiä loki- ja käyttötietoja.

Vahti Service Oy ei lähtökohtaisesti tarvitse erityisiin henkilötietoryhmiin kuuluvia tietoja palvelun ydintoimintojen tuottamiseksi. Jos Asiakas ottaa käyttöön GDPR-tarkistuksen tai muun tiedostosisältöä analysoivan ominaisuuden, tuetuissa tiedostoissa mahdollisesti esiintyviä erityisiin henkilötietoryhmiin kuuluvia tietoja voidaan käsitellä tilapäisesti analyysin aikana. Ominaisuuden tarkoituksena ei ole tunnistaa tai tallentaa erityisiin henkilötietoryhmiin kuuluvia arvoja. Asiakas vastaa käsittelyn lainmukaisesta perusteesta, tarpeellisuudesta ja rekisteröityjen informoinnista.

GDPR-tarkistus lukee ja analysoi rajatusti tuettuja Microsoft 365 -tiedostoja tunnistaakseen merkkejä mahdollisten henkilötietojen esiintymisestä ja aineiston säilytystarpeista. Vahti-palveluun voidaan tallentaa tiedoston metatietoja ja analyysistä johdettuja, ennalta määritettyihin sääntöihin perustuvia havaintoja. Raakaa tiedostosisältöä, tekstiosumia tai havaittuja henkilötietoarvoja ei tallenneta Vahti-palveluun eikä näytetä käyttöliittymässä, ellei tästä ole erikseen kirjallisesti sovittu.

7. Rekisteröityjen ryhmät

Rekisteröityjen ryhmät on kuvattu Liitteessä 1. Näitä voivat olla esimerkiksi Asiakkaan työntekijät, käyttäjät, ylläpitäjät, konsultit, alihankkijat ja muut Microsoft 365 -ympäristöön liittyvät henkilöt sekä henkilöt, joiden tietoja esiintyy GDPR-tarkistuksen piiriin kuuluvissa tuetuissa tiedostoissa.

8. Rekisterinpitäjän velvollisuudet

Asiakas vastaa rekisterinpitäjänä siitä, että henkilötietojen käsittelylle on lainmukainen peruste ja että käsittely on sovellettavan tietosuojalainsäädännön mukaista.

Asiakas vastaa erityisesti siitä, että:

Asiakkaalla on oikeus antaa henkilötiedot Vahti Service Oy:n käsiteltäväksi.
Rekisteröidyille annetaan tarvittavat tietosuojainformaatiot.
Asiakkaan Vahti Service Oy:lle antamat ohjeet ovat lainmukaisia.
Asiakas määrittää, ketkä sen organisaatiossa saavat käyttää palvelua.
Asiakas huolehtii omien käyttäjiensä käyttöoikeuksista ja niiden ajantasaisuudesta.
Asiakas ei toimita palveluun tarpeettomia henkilötietoja.
Asiakas vastaa siitä, että palvelulle myönnetyt Microsoft 365:n ja Entran käyttöoikeudet on hyväksytty Asiakkaan organisaation asianmukaisessa hallintaprosessissa.

9. Käsittelijän velvollisuudet

Vahti Service Oy käsittelee henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti, ellei sovellettava laki velvoita Vahti Service Oy:tä käsittelemään tietoja muulla tavoin.

Vahti Service Oy sitoutuu:

käsittelemään henkilötietoja vain tämän Sopimuksen, Pääsopimuksen ja Asiakkaan dokumentoitujen ohjeiden mukaisesti;
toteuttamaan asianmukaiset tekniset ja organisatoriset turvatoimet;
huolehtimaan siitä, että henkilötietoja käsittelevät henkilöt ovat salassapitovelvollisia;
käyttämään alikäsittelijöitä tämän Sopimuksen mukaisesti;
avustamaan Asiakasta kohtuullisesti rekisteröityjen oikeuksiin, tietoturvaloukkauksiin, tietoturvatoimiin, tietosuojaa koskeviin vaikutustenarviointeihin ja valvontaviranomaisen ennakkokuulemiseen liittyvissä asioissa siltä osin kuin avustaminen liittyy Vahti Service Oy:n suorittamaan käsittelyyn;
poistamaan tai palauttamaan henkilötiedot Sopimuksen päättyessä kohdan 19 mukaisesti.

10. Dokumentoidut ohjeet

Asiakkaan dokumentoituja ohjeita ovat tämä Sopimus, Pääsopimus, palvelun asetukset, Asiakkaan palvelussa tekemät valinnat sekä muut kirjallisesti sovitut ohjeet.

Asiakkaan dokumentoituihin ohjeisiin sisältyy myös käyttöönoton ensimmäisten 30 päivän aikana tehtävä rajattu palvelun laadunvarmistus kohdassa 4 kuvatulla tavalla.

Kun Asiakkaan pääkäyttäjä vahvistaa GDPR-tarkistuksen käyttöönoton Palvelussa, vahvistus muodostaa dokumentoidun ohjeen käsitellä toiminnon piiriin kuuluvia tuettuja tiedostoja tässä Sopimuksessa kuvatulla tavalla. Kaupallinen tilaus ei yksin myönnä Microsoft-käyttöoikeuksia, ja käsittely alkaa vasta, kun tarvittavat käyttöoikeudet ja tekninen valmius ovat voimassa.

Dokumentoidut ohjeet kattavat myös henkilötietojen siirrot kolmanteen maahan tai kansainväliselle järjestölle siltä osin kuin tällaisia siirtoja tehdään tämän Sopimuksen, Pääsopimuksen tai Asiakkaan palvelussa tekemien valintojen perusteella.

Jos Vahti Service Oy katsoo, että Asiakkaan ohje rikkoo tietosuojalainsäädäntöä, Vahti Service Oy ilmoittaa tästä Asiakkaalle ilman aiheetonta viivytystä, ellei laki estä ilmoittamista.

11. Henkilöstön salassapito

Vahti Service Oy varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.

Pääsy henkilötietoihin rajataan henkilöihin, joilla on työtehtäviensä perusteella tarve käsitellä tietoja.

12. Tietoturvatoimet

Vahti Service Oy toteuttaa käsittelyyn nähden asianmukaiset tekniset ja organisatoriset turvatoimet. Turvatoimien tarkoituksena on suojata henkilötietoja luvattomalta tai lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta.

Turvatoimia kuvataan tarkemmin Liitteessä 3.

Vahti Service Oy voi päivittää turvatoimiaan palvelun, teknologian ja uhkaympäristön kehittyessä, kunhan tietosuojan kokonaistaso ei olennaisesti heikkene.

13. Alihankkijat / alikäsittelijät

Asiakas antaa Vahti Service Oy:lle yleisen luvan käyttää alikäsittelijöitä henkilötietojen käsittelyssä.

Vahti Service Oy ylläpitää ajantasaista luetteloa olennaisista alikäsittelijöistä julkisella alikäsittelijäsivulla: Alikäsittelijät. Ajantasainen julkinen alikäsittelijälista on ensisijainen lähde. Liite 2 kuvaa alikäsittelijöiden tilanteen tämän Sopimuksen päivityshetkellä.

Vahti Service Oy varmistaa, että alikäsittelijöitä sitovat vähintään vastaavat tietosuojavelvoitteet kuin Vahti Service Oy:tä tämän Sopimuksen perusteella sitovat velvoitteet siltä osin kuin velvoitteet soveltuvat kyseisen alikäsittelijän suorittamaan käsittelyyn.

Vahti Service Oy vastaa Asiakkaalle alikäsittelijän tämän Sopimuksen mukaisesta henkilötietojen käsittelystä kuten omastaan siltä osin kuin alikäsittelijä käsittelee henkilötietoja Vahti Service Oy:n puolesta.

Jos Vahti Service Oy aikoo ottaa käyttöön uuden olennaisen alikäsittelijän, joka käsittelee Asiakkaan henkilötietoja, Vahti Service Oy ilmoittaa muutoksesta vähintään 30 päivää ennen muutoksen voimaantuloa, ellei muutos ole kiireellinen esimerkiksi tietoturva-, saatavuus- tai lakisääteisestä syystä.

Asiakas voi esittää perustellun tietosuojaan liittyvän vastalauseen uudesta alikäsittelijästä ilmoitusajan kuluessa. Osapuolet pyrkivät tällöin löytämään kohtuullisen ratkaisun. Jos ratkaisua ei löydy, Asiakkaalla voi olla oikeus päättää se palvelun osa, jota uusi alikäsittelijä koskee, Pääsopimuksen mukaisesti.

14. Kansainväliset siirrot

Vahti Service Oy käsittelee palvelun ydininfrastruktuuriin liittyviä tietoja ensisijaisesti EU/ETA-alueella.

Joihinkin alikäsittelijöihin, kuten maksuihin, sähköpostien toimitukseen tai muihin tukitoimintoihin liittyviin palveluihin, voi kuitenkin liittyä henkilötietojen käsittelyä tai pääsyä EU/ETA-alueen ulkopuolelta.

Jos henkilötietoja siirretään EU/ETA-alueen ulkopuolelle, Vahti Service Oy huolehtii siitä, että siirrolle on soveltuva tietosuojalainsäädännön mukainen siirtoperuste, kuten Euroopan komission hyväksymät vakiosopimuslausekkeet, EU-U.S. Data Privacy Framework tai muu soveltuva mekanismi.

15. Tekoälypalvelut ja Asiakkaan tietojen käyttö mallien kouluttamiseen

Vahti Service Oy ei käytä Asiakkaan henkilötietoja tai muita palvelussa käsiteltäviä Asiakkaan tietoja omien tai kolmannen osapuolen tekoälymallien kouluttamiseen.

Vahti Service Oy voi käyttää Google Cloud Vertex AI:tä rajattuihin palvelutoimintoihin, kuten tietoturvahavaintojen selittämiseen, ohjeiden tuottamiseen ja palvelun käyttökokemuksen parantamiseen. Tällöin tietoja käsitellään pyynnön toteuttamiseksi ja palvelun tuottamiseksi, ei tekoälymallien kouluttamiseksi.

Google Cloudin ehtojen mukaan Asiakkaan tietoja ei käytetä Googlen tekoäly- tai koneoppimismallien kouluttamiseen tai hienosäätöön ilman Asiakkaan ennakkolupaa tai ohjetta.

16. Rekisteröidyn oikeuksiin ja DPIA:han liittyvä avustaminen

Vahti Service Oy avustaa Asiakasta kohtuullisesti ja käsittelyn luonne huomioiden rekisteröityjen oikeuksien toteuttamisessa, kuten tietopyyntöihin, oikaisupyyntöihin, poistopyyntöihin ja käsittelyn rajoittamista koskeviin pyyntöihin liittyen.

Vahti Service Oy avustaa Asiakasta kohtuullisesti myös GDPR:n 32–36 artikloissa tarkoitetuissa tietoturvatoimissa, henkilötietojen tietoturvaloukkauksissa, tietosuojaa koskevissa vaikutustenarvioinneissa ja valvontaviranomaisen ennakkokuulemisessa. Avustaminen rajataan Vahti Service Oy:n suorittamaan käsittelyyn ja sen hallussa oleviin tietoihin.

Jos rekisteröity ottaa suoraan yhteyttä Vahti Service Oy:hyn Asiakkaan rekisterinpitäjän rooliin liittyvässä asiassa, Vahti Service Oy ohjaa pyynnön Asiakkaalle, ellei laki muuta edellytä.

17. Tietoturvaloukkaukset

Vahti Service Oy ilmoittaa Asiakkaalle ilman aiheetonta viivytystä saatuaan tietoonsa henkilötietojen tietoturvaloukkauksen, joka koskee Vahti Service Oy:n Asiakkaan puolesta käsittelemiä henkilötietoja.

Vahti Service Oy:n tavoitteena on antaa alustava ilmoitus 48 tunnin kuluessa siitä, kun Vahti Service Oy on tullut tietoiseksi henkilötietojen tietoturvaloukkauksesta. Tämä tavoite ei rajoita Vahti Service Oy:n velvollisuutta ilmoittaa Asiakkaalle ilman aiheetonta viivytystä.

Ilmoitus sisältää saatavilla olevat tiedot loukkauksen luonteesta, todennäköisistä vaikutuksista, toteutetuista tai ehdotetuista korjaavista toimista sekä yhteyspisteen lisätietoja varten. Jos kaikkia tietoja ei ole saatavilla heti, Vahti Service Oy toimittaa lisätiedot vaiheittain ilman aiheetonta viivytystä.

Asiakas vastaa rekisterinpitäjänä mahdollisista ilmoituksista valvontaviranomaiselle ja rekisteröidyille. Vahti Service Oy avustaa Asiakasta kohtuullisesti näiden velvoitteiden täyttämisessä.

18. Auditoinnit ja osoitusvelvollisuus

Vahti Service Oy antaa Asiakkaalle kohtuullisesti saatavilla olevat tiedot, jotka ovat tarpeen tämän Sopimuksen mukaisten velvoitteiden osoittamiseksi.

Asiakkaalla on oikeus pyytää tämän Sopimuksen noudattamisen arvioimiseksi kohtuullisia tietoja ja tarvittaessa tarkastusta. Vahti Service Oy voi ensisijaisesti täyttää pyynnön toimittamalla kirjallisia kuvauksia, tietoturvadokumentaatiota, alikäsittelijälistan, auditointiraportteja tai muita kohtuullisia selvityksiä.

Jos kirjallinen selvitys ei ole kohtuudella riittävä ja Asiakkaalla on perusteltu tarve suorittaa tarkastus, tarkastuksesta on sovittava etukäteen kirjallisesti. Tarkastus on toteutettava kohtuullisena aikana, tavalla, joka ei vaaranna muiden asiakkaiden tietoja, Vahti Service Oy:n liikesalaisuuksia, tietoturvaa tai palvelun jatkuvuutta.

Vahti Service Oy voi periä kohtuulliset kustannukset laajoista, toistuvista tai tavanomaisen asiakastuen ylittävistä auditointipyynnöistä, ellei pakottava laki muuta edellytä.

19. Tietojen poistaminen tai palauttaminen sopimuksen päättyessä

Pääsopimuksen päättyessä Vahti Service Oy poistaa tai palauttaa Asiakkaan puolesta käsittelemänsä henkilötiedot Asiakkaan valinnan mukaisesti, ellei sovellettava laki edellytä tietojen säilyttämistä.

Asiakkaalla on päättymisen jälkeen 30 päivää aikaa pyytää kohtuullisesti saatavilla olevien tietojen palauttamista tai vientiä, ellei Pääsopimuksessa toisin sovita.

Vahti Service Oy poistaa henkilötiedot aktiivisista järjestelmistään kohtuullisessa ajassa, kuitenkin viimeistään 90 päivän kuluessa sopimuksen päättymisestä tai Asiakkaan poistopyynnöstä. Varmuuskopioissa olevat tiedot poistuvat varmuuskopioiden normaalin elinkaaren mukaisesti, eikä niitä palauteta tuotantokäyttöön muuten kuin palautumis- tai jatkuvuustilanteissa.

Jos varmuuskopiopalautus palauttaisi aiemmin poistettua tai anonymisoitua Asiakkaan henkilötietoa aktiiviseen käyttöön, Vahti Service Oy poistaa tai anonymisoi kyseisen tiedon uudelleen ennen normaalin palvelukäytön jatkamista siltä osin kuin se on teknisesti ja kohtuudella mahdollista.

20. Vastuunjako

Osapuolet vastaavat omista tietosuojalainsäädännön mukaisista velvoitteistaan.

Asiakas vastaa rekisterinpitäjänä käsittelyn lainmukaisuudesta, käsittelyn tarkoituksista, rekisteröityjen informoinnista ja henkilötietojen toimittamisesta palveluun.

Vahti Service Oy vastaa käsittelijänä siitä, että se käsittelee henkilötietoja tämän Sopimuksen, Pääsopimuksen ja Asiakkaan dokumentoitujen ohjeiden mukaisesti.

Tämä Sopimus ei muuta Pääsopimuksessa sovittuja vastuunrajoituksia, ellei pakottavasta tietosuojalainsäädännöstä muuta johdu.

21. Sovellettava laki ja erimielisyydet

Tähän Sopimukseen sovelletaan Suomen lakia, lukuun ottamatta sen lainvalintasäännöksiä.

Tästä Sopimuksesta aiheutuvat erimielisyydet ratkaistaan Pääsopimuksessa sovitun riidanratkaisumenettelyn mukaisesti. Jos Pääsopimuksessa ei ole sovittu riidanratkaisusta, erimielisyydet ratkaistaan toimivaltaisessa suomalaisessa yleisessä tuomioistuimessa.

Liite 1 – Käsittelyn kuvaus

1. Käsittelyn tarkoitus

Henkilötietoja käsitellään vahti.ai-palvelun tuottamiseksi Asiakkaalle. Palvelun tarkoituksena on seurata Microsoft 365 -ympäristön tietoturvaa ja vaatimustenmukaisuutta sekä tuottaa havaintoja, näkymiä, ilmoituksia ja ohjeita Asiakkaan käyttöön.

Käsittely voi sisältää esimerkiksi:

Microsoft 365 -ympäristöstä saatavien tietojen hakemista, vastaanottamista ja tallentamista;
käyttäjä-, rooli-, käyttöoikeus-, asetustila-, turvallisuus- ja tapahtumatietojen analysointia;
tietoturva- ja vaatimustenmukaisuushavaintojen muodostamista;
havaintojen ja suositusten näyttämistä palvelussa;
kulloinkin saatavilla olevien raporttien, ilmoitusten ja tarkastuslokitietojen muodostamista;
teknistä lokitusta, ylläpitoa, vianmääritystä ja tietoturvan valvontaa;
käyttöönoton ensimmäisten 30 päivän aikana tehtävää rajattua palvelun laadunvarmistusta, jolla varmistetaan käyttöliittymänäkymien, tarkistusprosessin, käyttöönoton tilatietojen ja operatiivisten yhteenvetojen toiminta Asiakkaan Microsoft 365 -ympäristön tietojen perusteella;
palveluviestien ja järjestelmäilmoitusten lähettämistä;
tekoälyavusteista havaintojen selittämistä ja ohjeiden tuottamista siten, että tekoäly ei luo, muuta, sulje tai priorisoi riskitilaa;
erikseen käyttöön otettavan GDPR-tarkistuksen tai muun tiedostosisältöä analysoivan ominaisuuden yhteydessä tuettujen Microsoft 365 -tiedostojen tilapäistä lukemista ja analysointia mahdollisten henkilötietojen esiintymiseen ja aineiston säilytystarpeisiin liittyvien merkkien tunnistamiseksi.

2. Käsittelyn kesto

Käsittely jatkuu Pääsopimuksen voimassaolon ajan.

Pääsopimuksen päättyessä henkilötiedot poistetaan tai palautetaan DPA:n kohdan 19 mukaisesti, ellei laki tai muu sovittu velvoite edellytä pidempää säilytystä.

3. Henkilötietoryhmät

Käsiteltävät henkilötietoryhmät voivat sisältää seuraavia tietoja:

käyttäjän nimi;
sähköpostiosoite;
käyttäjätunnus tai muu yksilöivä tunniste;
Microsoft 365:n ja Entra ID:n käyttäjä- ja roolitiedot;
käyttöoikeuksiin, ryhmiin ja hallintarooleihin liittyvät tiedot;
kirjautumis-, loki-, tapahtuma- ja turvallisuustiedot;
Microsoft 365 -ympäristön asetuksiin ja suojaustilaan liittyvät tiedot;
sovelluksiin, OAuth-suostumuksiin, jakamiseen ja palveluasetuksiin liittyvät tiedot;
tiedostoihin liittyvät metatiedot, kuten omistaja, polku, tunniste ja jakamistiedot, sekä analyysin perusteella muodostetut, henkilötietoihin ja säilytykseen liittyvät ennalta määritettyihin sääntöihin perustuvat merkit ja havainnot, jos tällainen ominaisuus on käytössä;
palvelun käyttöön liittyvät tekniset tiedot;
palvelun tuottamisessa syntyvät havainnot, riskit, suositukset, toimenpiteet, raportit ja tilatiedot;
asiakasorganisaation yhteyshenkilöiden palvelun käytön kannalta tarpeelliset tiedot.

Palvelun ydintoimintojen tarkoituksena ei ole käsitellä erityisiä henkilötietoryhmiä. Jos GDPR-tarkistus tai muu tiedostosisältöä analysoiva ominaisuus on käytössä, tuetuissa tiedostoissa esiintyviä erityisiin henkilötietoryhmiin kuuluvia tietoja voidaan käsitellä tilapäisesti analyysin aikana. Ominaisuuden tarkoituksena ei ole tunnistaa tai tallentaa tällaisia arvoja.

Jos GDPR-tarkistus tai muu tiedostosisältöä analysoiva ominaisuus on käytössä, raakaa tiedostosisältöä, tekstiosumia tai havaittuja henkilötietoarvoja ei tallenneta Vahti-palveluun eikä näytetä käyttöliittymässä, ellei tästä ole erikseen kirjallisesti sovittu. Tiedoston metatietoja ja analyysistä johdettuja havaintoja voidaan tallentaa. Lisätoiminnon päätyttyä aiemmat havainnot voidaan säilyttää vain tarkasteltavina niin kauan kuin Pääsopimus on voimassa. Pääsopimuksen päättyessä niihin sovelletaan kohdan 19 mukaista poistamis- ja palauttamismenettelyä.

4. Rekisteröityjen ryhmät

Rekisteröityjen ryhmiä voivat olla:

Asiakkaan työntekijät;
Asiakkaan käyttäjät ja ylläpitäjät;
Asiakkaan konsultit, alihankkijat tai muut yhteistyökumppanit, joilla on pääsy Asiakkaan Microsoft 365 -ympäristöön;
muut henkilöt, joiden tietoja näkyy Asiakkaan Microsoft 365 -ympäristön turvallisuus-, käyttöoikeus- tai tapahtumatiedoissa;
henkilöt, joiden tietoja esiintyy GDPR-tarkistuksen tai muun käyttöön otetun tiedostoanalyysin piiriin kuuluvissa tuetuissa tiedostoissa.

Liite 2 – Alikäsittelijät

1. Nykyiset alikäsittelijät

Ajantasainen alikäsittelijälista on saatavilla osoitteessa Alikäsittelijät. Tämä liite kuvaa alikäsittelijöiden tilanteen tämän Sopimuksen päivityshetkellä.

Alikäsittelijä	Tarkoitus	Sijainti ja tietojen käsittelyalue	Huomio
Google Cloud / Google Cloud EMEA Limited	Pilvi-infrastruktuuri, palvelinympäristö, tietokanta, lokitus, valvonta, tekniset ajot sekä Google Vertex AI:n ja Geminin käyttö havaintojen selittämiseen ja ohjeiden tuottamiseen.	Vahdin varsinainen tuotantoympäristö sijaitsee EU-alueella. Google Vertex AI ja Gemini määritetään käytettäväksi EU-sijainneissa.	Käsittelee palvelun ydintoiminnan kannalta tarpeellisia tietoja. Google Cloud ja Vertex AI käsittelevät tietoja palvelun tuottamiseksi. Asiakkaan tietoja ei käytetä Googlen tekoäly- tai koneoppimismallien kouluttamiseen tai hienosäätöön ilman Asiakkaan ennakkolupaa tai ohjetta.
Stripe / Stripe Payments Europe, Limited ja Stripe Technology Europe, Limited	Maksut, tilaukset, laskutus ja maksutapahtumien käsittely.	ETA-alueella irlantilaisten Stripe-yhtiöiden kautta; mahdollinen EU/ETA-alueen ulkopuolinen käsittely tai pääsy.	Käsittelee pääasiassa laskutus- ja maksutietoja, ei varsinaisia Asiakkaan Microsoft 365 -ympäristön tietoja.
Postmark / AC PM, LLC	Sähköpostien toimitus, kuten järjestelmäviestit, kutsut ja ilmoitukset.	Yhdysvallat / mahdollinen EU/ETA-alueen ulkopuolinen käsittely.	Käsittelee sähköpostien lähettämiseen tarvittavia tietoja ja toimituslokeja.
HubSpot / HubSpot Ireland Limited	Verkkosivun lomakkeet, potentiaalisten asiakkaiden ja demopyyntöjen käsittely, asiakkuudenhallinta, myyntiprosessi sekä asiakasviestinnän hallinta.	HubSpot-tili on EU1-ympäristössä. HubSpotin palveluun voi silti liittyä EU/ETA-alueen ulkopuolista käsittelyä tai pääsyä.	HubSpot käsittelee ensisijaisesti verkkosivun, myynnin ja asiakassuhteen tietoja. HubSpot ei lähtökohtaisesti käsittele varsinaisia Asiakkaan Microsoft 365 -ympäristön tietoja.

2. Muutosilmoitusmekanismi

Vahti Service Oy ylläpitää ajantasaista alikäsittelijälistaa osoitteessa:

Alikäsittelijät

Vahti Service Oy ilmoittaa uudesta olennaisesta alikäsittelijästä vähintään 30 päivää ennen muutoksen voimaantuloa, ellei muutos ole kiireellinen esimerkiksi tietoturva-, saatavuus- tai lakisääteisestä syystä.

Asiakas voi esittää perustellun tietosuojaan liittyvän vastalauseen ilmoitusajan kuluessa.

Liite 3 – Teknisiä ja organisatorisia turvatoimia koskeva kuvaus

1. Pääsynhallinta

Vahti Service Oy rajaa pääsyn henkilötietoihin henkilöille, järjestelmille ja palvelutileille, joilla on työtehtäviensä tai palvelun teknisen toiminnan perusteella tarve käsitellä tietoja.

Pääsynhallinnassa käytetään rooleihin ja käyttöoikeuksiin perustuvia menettelyjä. Käyttöoikeuksia tarkistetaan ja poistetaan tarpeen mukaan esimerkiksi tehtävien muuttuessa tai työsuhteen tai toimeksiannon päättyessä.

Sovelluksen käyttö valtuutetaan organisaatiokohtaisesti. Asiakkaan käyttäjät näkevät oman roolinsa mukaisesti vain oman organisaationsa Palvelussa olevat tiedot.

2. Sisäinen ylläpito- ja tukipääsy

Vahti Service Oy:n sisäinen ylläpito- ja tukipääsy Asiakkaan tietoihin rajataan hyväksyttyihin käyttötarkoituksiin. Tällaisia tarkoituksia ovat esimerkiksi käyttöönoton tuki, käyttöönoton ensimmäisten 30 päivän aikana tehtävä rajattu laadunvarmistus, häiriöselvitys, Asiakkaan tukipyyntö, laskutuksen selvittäminen, tietoturvapoikkeaman käsittely sekä Asiakkaan pyytämä tietojen vienti, poistaminen tai anonymisointi.

Sisäinen pääsy rajataan vähimmän oikeuden periaatteen mukaisesti. Asiakkaan ympäristöön tarkoituksellisesti kohdistuva käyttöliittymä-, tietokanta-, loki- tai metatietotarkistus kirjataan sisäiseen tukipääsymerkintään. Merkintään tallennetaan vähintään käsittelyn tarkoitus, syy, tavoite, rajaus, pääsytapa, käsittelijä, voimassaoloaika ja työn lopputulos. Pääsy poistetaan tai rajataan uudelleen, kun käsittelytarve päättyy.

3. Salassapito

Henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon tai heitä koskee vastaava salassapitovelvollisuus.

Salassapitovelvollisuus koskee henkilötietojen lisäksi Asiakkaan luottamuksellisia tietoja ja palvelun käytön yhteydessä saatuja tietoja.

4. Ympäristöjen ja asiakkaiden tietojen eriytys

Tuotanto-, testi- ja kehitysympäristöt pidetään erillään toisistaan. Tuotantodataa ei käytetä kehitykseen tai testaukseen ilman erillistä perustetta ja asianmukaisia suojaustoimia.

Asiakkaiden tiedot eristetään sovellustasolla organisaatiokohtaisesti. Palvelun käyttöliittymä ja rajapinnat tarkistavat organisaation ja käyttäjän oikeudet ennen Asiakkaan tietoihin liittyvien toimintojen suorittamista.

5. Lokitus ja valvonta

Palvelussa kerätään teknisiä lokeja palvelun toiminnan, tietoturvan, vianmäärityksen, väärinkäytösten havaitsemisen ja tapahtumien jäljitettävyyden tueksi.

Lokit voivat sisältää esimerkiksi tapahtuma-aikoja, käyttäjä- tai järjestelmätunnisteita, organisaation tai ajon tunnisteita, IP-osoitteita, teknisiä tapahtumatietoja, virheluokkia ja palvelun toimintaan liittyviä metatietoja. Lokeja säilytetään vain niin kauan kuin niiden käyttötarkoitus edellyttää.

Lokeihin ei tarkoituksella kirjata Microsoft Graph -salaisuuksia, käyttöoikeustunnuksia, maksukortin kokonaisia tietoja, kutsutunnisteita selväkielisinä eikä Graph-rajapinnan virhevastausten raakasisältöä, jos se sisältää arkaluonteisia tietoja. Lokeihin ei myöskään kirjata GDPR-tarkistuksen raaka-aineistoa, tekstiosumia tai havaittuja henkilötietoarvoja.

6. Salaus ja salaisuuksien hallinta

Henkilötietoja suojataan tarkoituksenmukaisin salaus- ja suojausmenetelmin siirron aikana ja tallennettuna silloin, kun käytetty infrastruktuuri ja palvelun tekninen toteutus sitä tukevat.

Yhteydet palveluun toteutetaan salattujen yhteyksien kautta. Pilvi-infrastruktuurin tallennusratkaisuissa hyödynnetään palveluntarjoajan tarjoamia suojausmekanismeja.

Tuotantosalaisuudet, kuten palvelun tekniset tunnisteet ja integraatiosalaisuudet, säilytetään erillisessä salaisuuksienhallintapalvelussa eikä niitä tallenneta versionhallintaan tai asiakasnäkyviin tietoihin.

7. Palautuminen ja varmistukset

Vahti Service Oy käyttää palvelun jatkuvuuden ja palautumisen tukena teknisiä varmistus- ja palautumismenettelyjä.

Varmuuskopioita ja palautumismenettelyjä hallitaan siten, että palvelu voidaan kohtuullisesti palauttaa häiriötilanteissa. Tarkat palautumisaikatavoitteet tai palvelutasot määräytyvät Pääsopimuksen mukaan, jos niistä on erikseen sovittu.

Varmuuskopioissa olevat tiedot poistuvat varmuuskopioiden normaalin elinkaaren mukaisesti. Jos varmuuskopiopalautus palauttaa aiemmin poistettua tai anonymisoitua Asiakkaan henkilötietoa aktiiviseen käyttöön, poisto tai anonymisointi suoritetaan uudelleen siltä osin kuin se on teknisesti ja kohtuudella mahdollista.

8. Haavoittuvuuksien hallinta

Vahti Service Oy pyrkii tunnistamaan, arvioimaan ja korjaamaan palveluun liittyviä haavoittuvuuksia riskiperusteisesti.

Haavoittuvuuksien hallinta voi sisältää esimerkiksi riippuvuuksien päivittämistä, tietoturvapäivityksiä, koodikatselmointeja, teknisen ympäristön koventamista, lokien seurantaa, häiriöiden selvittämistä ja muutosten validointia ennen tuotantokäyttöä.

9. Tekoälyyn liittyvät suojatoimet

Tekoälyä käytetään palvelussa neuvoa-antavana kerroksena havaintojen selittämiseen, ohjeiden tuottamiseen ja tietoturvasisällön tiivistämiseen. Tekoäly ei luo, muuta, sulje tai priorisoi riskitilaa.

Asiakkaan Microsoft 365 -ympäristön tunnistettavia tietoja ei käytetä yleisten tekoälymallien kouluttamiseen. Tekoälypalveluihin lähetettävät tiedot rajataan kulloisenkin toiminnon kannalta välttämättömiin tietoihin.

10. Poistaminen ja palauttaminen

Pääsopimuksen päättyessä henkilötietojen poistamiseen ja palauttamiseen sovelletaan DPA:n kohtaa 19.

Asiakkaan pyynnöstä Vahti Service Oy palauttaa kohtuullisesti saatavilla olevat henkilötiedot sovitussa muodossa, jos se on teknisesti ja kohtuudella mahdollista. Tämän jälkeen tiedot poistetaan tai anonymisoidaan aktiivisista järjestelmistä viimeistään 90 päivän kuluessa, ellei laki tai muu sovittu velvoite edellytä pidempää säilytystä.

Varmuuskopioissa olevat tiedot poistuvat varmuuskopioiden normaalin elinkaaren mukaisesti.

Tietojenkäsittelysopimus (DPA)