Business- ja Custom-sopimus

1. Osapuolet ja sopimusasiakirjat

Toimittaja on suomalainen yksityinen elinkeinonharjoittaja Soroltech, Y-tunnus 3363620-8. Asiakas on hyväksytyssä lopullisessa tilauksessa (”Tilaus”) nimetty organisaatio. Sopimukseen kuuluvat Tilaus, tämä Business- ja Custom-sopimus liitteineen, käyttöehdot ja tietosuojaseloste. Tiedustelu tai laskutuspyyntö ei ole Tilaus.

Tilauksessa on yksilöitävä viite, asiakas ja laskutusyhteyshenkilö, paketti, ominaisuudet ja rajat, käyttäjäpaikat, hinta ja verot, laskutus- ja sopimuskausi, uusimis- ja päättämisehdot, aloituspäivä sekä mahdollinen poikkeava tuki tai palvelutaso. Ristiriidassa tietojenkäsittelyosa määrää asiakkaan henkilötietojen käsittelyssä, sitten Tilaus, tämä sopimus ja viimeiseksi yleiset käyttöehdot.

2. Palvelu, maksut ja asiakkaan vastuut

Soroltech toimittaa vain Tilauksessa ja ylläpidon pakettitallenteessa yksilöidyt ominaisuudet ja kapasiteetin. Business voi sisältää omistajan hallitsemia jäsentilejä. Custom on yksilöllisesti määritetty paketti ilman tiimioikeuksia, ellei Tilauksessa sovita toisin. Asiakas maksaa laskut, nimeää valtuutetut yhteyshenkilöt, hallitsee jäsenet ja tunnukset, suojaa salaus- ja widget-avaimet, käyttää vain lainmukaisia kohteita ja sisältöä sekä antaa tarvittavat ilmoitukset henkilöille, joiden tietoja se käsittelee.

Hinnat ja eräpäivät ovat Tilauksessa ja laskussa. Maksuviive voi kohtuullisen ilmoituksen jälkeen keskeyttää käytön, ellei turvallisuus tai laki vaadi välitöntä toimintaa. Ellei Tilauksessa määrätä määräaikaa tai uusimista, sopimus jatkuu kuukausittain ja voidaan päättää 30 päivän kirjallisella ilmoituksella. Olennainen rikkomus voidaan päättää kohtuullisen korjausajan jälkeen; vakava turvallisuusuhka, lainvastainen käyttö tai maksamattomuus voi oikeuttaa aiempaan keskeytykseen.

3. Vakiotuki ja palvelutaso

Tuki toimii osoitteessa [email protected]. Vakiotavoite on ensivastaus kahden suomalaisen arkipäivän kuluessa. Tietoturvahäiriöt ja koko palvelun katkot käsitellään niin pian kuin kohtuudella on mahdollista. Vakiopalveluun ei kuulu ympärivuorokautisesti miehitetty tuki, taattu ratkaisuaika, palveluhyvitys tai prosentuaalinen käytettävyyslupaus. Poikkeava vastausaika, huoltoikkuna, käytettävyystavoite, eskalointikanava tai hyvitys on kirjattava nimenomaisesti Tilaukseen.

4. Tietojenkäsittelysopimus

Tätä osaa sovelletaan, kun asiakas on rekisterinpitäjä ja Soroltech käsittelee henkilötietoja sen lukuun. Osa on laadittu täyttämään GDPR:n 28 artiklan vaatimukset. Käsittelyn kohde on tilatun palvelun toimittaminen, suojaaminen, tukeminen, ylläpito ja poistaminen sopimuskauden ja alla olevan poistoajan ajan. Käsittelyyn kuuluu tietojen vastaanottaminen, tallentaminen, järjestäminen, välittäminen, hakeminen, suojaaminen, vianmääritys ja poistaminen palvelun edellyttämässä laajuudessa.

Rekisteröityjä voivat olla asiakkaan työntekijät, alihankkijat, käyttäjät, lähettäjät, vastaanottajat, valvottujen sivustojen yhteyshenkilöt ja asiakassisällössä esiintyvät henkilöt. Tiedot voivat sisältää tili- ja tiimitunnisteita, yhteystietoja, tunnistautumis- ja lokitietoja, julkisia valvontakohteita ja tuloksia, salattuja viestejä ja tiedostoja, tiedosto- ja linkkimetatietoja, kohdeosoitteita, tukiviestejä ja muita dokumentoitujen ohjeiden mukaisia tietoja. Erityisiä henkilötietoryhmiä tai rikostietoja ei saa toimittaa, ellei Tilaus salli sitä nimenomaisesti lisäsuojatoimin.

• Soroltech käsittelee tietoja vain dokumentoitujen lainmukaisten ohjeiden, kuten Tilauksen ja palvelun normaalien hallintatoimien, perusteella, ellei laki velvoita muuhun.
• Tietoihin valtuutettu henkilö on salassapitovelvollinen. Soroltech toimii tällä hetkellä yhden henkilön yrityksenä.
• Soroltech ylläpitää asianmukaisia teknisiä ja organisatorisia toimia, avustaa kohtuullisesti rekisteröityjen pyynnöissä, tietoturvassa, loukkausvelvoitteissa, vaikutustenarvioinneissa ja viranomaiskuulemisissa sekä ilmoittaa asiakkaalle ilman aiheetonta viivytystä saatuaan tiedon asiakastietoja koskevasta henkilötietojen tietoturvaloukkauksesta.
• Soroltech antaa 28 artiklan noudattamisen osoittamiseksi kohtuudella tarvittavat tiedot ja sallii yhden kohtuullisen auditoinnin vuodessa ennakkoilmoituksella sekä perustellun lisäauditoinnin olennaisen loukkauksen jälkeen. Auditoinnin on suojattava muita asiakkaita, turvallisuutta ja salassapitoa. Asiakaskohtaiset ulkoiset kulut maksaa asiakas, ellei auditointi osoita olennaista laiminlyöntiä.
• Soroltech ilmoittaa viipymättä, jos ohje vaikuttaa rikkovan tietosuojalakia, ja voi keskeyttää ohjeen selvityksen ajaksi.

5. Turvallisuusliite

• TLS suojaa verkkoliikennettä; verkko-oikeuksia ja konttien käyttöoikeuksia on rajattu; tuotantopalveluilla on terveystarkistukset, rajatut lokit ja tunnistautuva ylläpito.
• Salasanat tallennetaan hitaina tiivisteinä. Arkaluonteiset linkkikentät ja autentikaattorisalaisuudet salataan levossa. Kertakäyttöviestit ja tiedostoarkistot salataan selaimessa, eikä Soroltech saa purkuavainta, kun dokumentoitua jakotapaa noudatetaan.
• Rooli-, paketti-, tiimi- ja käyttäjäkohtaiset oikeudet tarkistetaan palvelimella. Allekirjoitetut Paddle-webhookit ohjaavat henkilötilauksia; yrityspaketti vaatii tallennetun hyväksytyn tilausviitteen ennen aktivointia.
• Asiakas vastaa päätelaitteistaan, lainmukaisista ohjeista, tilien luonnista ja poistosta, avainten toimituksesta, lähdetiedostojen varmuuskopioista ja vaarantuneiden tunnusten ilmoittamisesta.

Mikään järjestelmä ei ole täysin turvallinen. Soroltech voi muuttaa toimia turvallisuuden ylläpitämiseksi tai parantamiseksi heikentämättä asiakastietojen kokonaissuojaa olennaisesti.

6. Säilytys-, palautus-, vienti- ja poistoliite

• Tiimijäsenyys, tiliasetukset, valvonnat, hallitut linkit ja niihin liittyvät tiedot säilyvät, kunnes kohde tai tili poistetaan, lukuun ottamatta lakisääteisiä tietoja.
• Salattu kertakäyttöviesti säilyy ensimmäiseen hakuun tai tilin poistoon. Valvontahistoria rajataan 2 000 tulokseen valvontaa kohti. Linkkianalytiikka sisältää päiväkohtaisia yhteismääriä.
• Salatut tiedostojaot noudattavat Tilauksen/tilin enimmäissäilytystä ja lähettäjän valintaa. Ne poistetaan vanhentuessa, latausrajan täyttyessä, omistajan poistolla, moderoinnissa tai tilin poistolla. Keskeneräiset siirrot poistetaan 24 tunnissa.
• Tunnistautumiskoodit vanhenevat 10 minuutissa. Kirjautumisoikeus vanhenee 12 tunnissa; istunto- ja turvallisuustiedot säilyvät muuten tilin mukana. Kokorajoitettujen käyttölokien säilytysaika riippuu liikenteestä eikä ole kiinteä.
• Sopimuksen päättyessä asiakas voi pyytää kohtuullisen koneluettavan viennin tiedoista, jotka Soroltech pystyy teknisesti yhdistämään tiliin. Pyyntö on tehtävä ennen päättymistä tai 30 päivän kuluessa sen jälkeen. Asiakas säilyttää omat purkuavaimensa ja lähdetiedostojen varmuuskopiot.
• 30 päivän palautusajan jälkeen Soroltech poistaa aktiivipalvelun asiakkaan hallitsemat tiedot seuraavan 30 päivän kuluessa, paitsi kirjanpitoon, veroihin, turvallisuuteen, riitoihin tai lakiin tarvittavat tiedot. Suojattuun varmuuskopioon mahdollisesti jäävä kopio eristetään normaalikäytöstä ja poistetaan tai ylikirjoitetaan 90 päivässä, ellei laki vaadi pidempää säilytystä.

7. Hyväksytyt alikäsittelijät

Asiakas antaa yleisen kirjallisen luvan seuraaville alikäsittelijöille, kun ne käsittelevät asiakashenkilötietoja palvelua varten:

• Hetzner Online GmbH — palvelin- ja tallennusinfrastruktuuri; nykyinen työkuorman sijainti Helsinki, Suomi.
• Cloudflare, Inc. — verkkotunneli, sisällön toimitus, DNS, domainvahvistus ja turvallisuus; maailmanlaajuinen verkko asianmukaisin siirtosuojin.
• Brevo / Sendinblue SAS — tili-, tiimi-, tunnistautumis-, tuki- ja laskutuspyyntösähköpostit; Ranska/ETA sekä toimittajan dokumentoidut alikäsittelijät ja siirtosuojat.

Paddle toimii erillisten henkilöostojen Merchant of Record -kauppiaana, eikä sitä käytetä Business-paketin maksunkäsittelijänä. Googlen analytiikka, jos sivukävijä antaa erillisen suostumuksen, palvelee Soroltechin omia sivustotarkoituksia eikä asiakkaan sisällön käsittelyä tämän liitteen nojalla.

Soroltech ilmoittaa mahdollisuuksien mukaan kirjallisesti vähintään 30 päivää ennen alikäsittelijän lisäämistä tai vaihtamista. Asiakas voi tässä ajassa vastustaa muutosta dokumentoiduin tietosuojaperustein. Osapuolet etsivät kohtuullisen vaihtoehdon; jos sitä ei ole, kumpikin voi päättää muutoksen kohteena olevan palvelun. Kiireellinen turvallisuus- tai jatkuvuusmuutos voidaan tehdä aiemmin ja ilmoittaa niin pian kuin mahdollista. Soroltech vastaa alikäsittelijän olennaisista velvoitteista.

8. Kansainväliset siirrot

Käsittely pidetään ETA:ssa, kun kuvattu palvelu sen sallii. Jos alikäsittelijä siirtää henkilötietoja ETA:n ulkopuolelle, Soroltech edellyttää lainmukaista mekanismia, kuten riittävyyspäätöstä, EU:n vakiolausekkeita ja tarvittaessa lisäsuojia. Asiakas voi pyytää olennaiset siirtotiedot.

9. Salassapito, vastuu ja muutokset

Osapuolet suojaavat toistensa ei-julkiset liiketoiminta-, turvallisuus- ja tekniset tiedot ja käyttävät niitä vain tähän sopimukseen, lainmukaiset luovutukset sallien. Yleisten käyttöehtojen vastuurajat soveltuvat, ellei Tilauksessa sovita muuta, mutta pakottavan lain mukaista vastuuta ei poisteta. Julkisen version muutos ei korvaa hyväksyttyyn Tilaukseen liitettyä versiota. Uusi versio tulee voimaan vain uudella tai muutetulla Tilauksella.

10. Tilaus- ja allekirjoitustarkistus

Ennen aktivointia lopullisessa Tilauksessa on oltava yksilöllinen viite, osapuolet, valtuutetut allekirjoittajat tai vastaava hyväksymisnäyttö, hyväksymispäivä, sopimusversio, paketin sisältö ja rajat, maksut ja verot, kesto ja uusiminen, valittu tuki/SLA, käsittelyn laajuus ja päätös erityisistä henkilötietoryhmistä, sovitut poikkeukset sekä aloituspäivä. Soroltech tallentaa viitteen, hyväksymispäivän, version, pakettirajat ja aktivoineen ylläpitäjän. Hyväksytty Tilaus säilytetään asiakastietojen yhteydessä.

Kysymykset ja ilmoitukset: [email protected]. Euroopan komissio julkaisee valinnaiset rekisterinpitäjän ja käsittelijän vakiolausekkeet.