Tietojenkäsittelysopimus

Asiakasorganisaatio, joka ylläpitää newsroom-workspacea, on rekisterinpitäjä. Entro314 Labs PC on henkilötietojen käsittelijä. Tämä sopimus tulee voimaan, kun asiakas hyväksyy käyttöehdot, ja on voimassa niin kauan kuin workspace on olemassa. Sitovuus ei edellytä erillistä allekirjoitusta; allekirjoitettu paperikappale toimitetaan pyynnöstä.

ErmisAI käsittelee henkilötietoja pyörittääkseen asiakkaan tilaamaa newsroom-workspacea: seuraa määritettyjä lähteitä, ryhmittelee kattavuutta clustereihin, luonnostelee juttuja, ohjaa ne toimitukselliseen tarkastukseen ja toimittaa hyväksytyn tuotoksen asiakkaan liittämiin julkaisupintoihin. Käsittely kestää tilauskauden ajan sekä siirtymä- ja poistoikkunat, jotka on kuvattu tietojen siirrettävyyttä ja poistumista käsittelevällä sivulla.

Rekisteröityjä ovat asiakkaan toimittajat, ylläpitäjät ja kutsutut jäsenet sekä kuka tahansa henkilö, joka mainitaan newsroomin seuraamassa lähdeaineistossa tai sen toimittajien kirjoittamissa luonnoksissa. Tietoryhmät ovat:

• tunniste- ja tilitiedot – nimi, sähköpostiosoite, rooli, workspace-jäsenyys,
• käyttötiedot – toimet workspacessa, juttu- ja luonnoshistoria, auditointimerkinnät,
• sisältötiedot – lähdeartikkelit, clusterit, luonnokset ja hyväksytyt jutut sekä niissä mainitut henkilötiedot,
• tekniset tiedot – IP-osoite sekä laite- ja selainmetatiedot, jotka tallentuvat tietoturva- ja virhelokeihin.

ErmisAI käsittelee henkilötietoja vain asiakkaan dokumentoitujen ohjeiden mukaisesti. Näitä ohjeita ovat käyttöehdot, tämä sopimus, asiakkaan määrittämät tuoteasetukset ja sen toimittajien workspacessa tekemät toimet. Jos EU:n tai jäsenvaltion lainsäädäntö velvoittaa ErmisAI:n käsittelemään tietoja niiden ulkopuolella, se ilmoittaa asiasta asiakkaalle etukäteen, ellei kyseinen laki kiellä ilmoitusta. ErmisAI kertoo asiakkaalle, jos ohje näyttää rikkovan tietosuojalainsäädäntöä.

Kaikkia, joilla on oikeus käsitellä asiakkaan henkilötietoja, sitoo salassapitovelvollisuus, ja heillä on pääsy vain siihen, mitä työ edellyttää. Pääsy tuotantodataan on rajattu palvelun operaattoriin, ja se kirjataan lokiin.

ErmisAI ylläpitää riskiä vastaavia teknisiä ja organisatorisia toimenpiteitä, mukaan lukien salaus siirron aikana, salattu tallennus hosting-palveluntarjoajilla, roolipohjainen pääsynhallinta, asiakaskohtainen eristys jokaisella luku- ja kirjoituspolulla, saapuvien webhookien allekirjoitusten varmennus sekä pyyntörajoitus. Tietoturvasivu kuvaa toimenpiteet ja kertoo suoraan, mitä ei luvata.

Asiakas antaa yleisen valtuutuksen alikäsittelijäsivulla luetelluille alikäsittelijöille; sivu nimeää jokaisen palveluntarjoajan, sen roolin ja käsittelyalueen. ErmisAI asettaa jokaiselle vastaavat tietosuojavelvoitteet ja vastaa täysimääräisesti niiden toiminnasta. Uusista tai korvaavista alikäsittelijöistä ilmoitetaan kyseisellä sivulla ennen käsittelyn alkamista, ja asiakas voi vastustaa niitä perustellusta tietosuojasyystä; ratkaisematon vastustus oikeuttaa asiakkaan irtisanomaan kyseisen palvelun seuraamuksitta.

Käsittelyn luonne huomioon ottaen ErmisAI avustaa asiakasta seuraavissa:

• rekisteröityjen pyyntöihin vastaaminen, mukaan lukien pääsy, oikaisu, poistaminen ja siirrettävyys – suurimman osan asiakas voi hoitaa itse workspacesta,
• käsittelyn turvallisuus, tietoturvaloukkauksista ilmoittaminen ja tietosuojaa koskevat vaikutustenarvioinnit,
• valvontaviranomaisen ennakkokuuleminen silloin, kun sellainen vaaditaan.

ErmisAI ilmoittaa asiakkaalle ilman aiheetonta viivytystä saatuaan tiedon asiakkaan tietoja koskevasta henkilötietojen tietoturvaloukkauksesta ja toimittaa tiedot, joita asiakas tarvitsee omaa 33 artiklan mukaista ilmoitustaan varten, sekä täydentää niitä tutkinnan edetessä.

ErmisAI saattaa saataville tiedot, jotka tarvitaan 28 artiklan noudattamisen osoittamiseen, ja sallii asiakkaan tai sen valtuuttaman auditoijan tekemät auditoinnit ja tarkastukset. Auditoinnit sovitaan kohtuullisella varoitusajalla, enintään kerran vuodessa, ellei tietoturvapoikkeama tai valvontaviranomainen edellytä muuta, eivätkä ne saa vaarantaa muiden asiakkaiden turvallisuutta.

Käsittely pidetään Euroopan unionissa tai Euroopan talousalueella silloin, kun palveluntarjoaja sen tarjoaa. Jos alikäsittelijä siirtää tietoja ETA:n ulkopuolelle, siirto perustuu riittävyyspäätökseen tai Euroopan komission vakiosopimuslausekkeisiin ja täydentäviin toimenpiteisiin. Alikäsittelijäsivulla kerrotaan, millä alueella kukin palveluntarjoaja toimii.

Sopimuksen päättyessä asiakas valitsee, palautetaanko vai poistetaanko henkilötiedot. Tiedot pysyvät luettavina Tietojen siirrettävyys ja irtautuminen -sivulla kuvatun siirtymäajan, jotta viennit ehditään saattaa loppuun, ja poistetaan sen jälkeen, paitsi jos EU:n tai jäsenvaltion laki edellyttää säilyttämistä – tavallisimmin laskutustiedot.

Jos tämä sopimus on henkilötietojen käsittelyn osalta ristiriidassa käyttöehtojen kanssa, tämä sopimus on etusijalla. Asiakkaan kanssa neuvoteltu ja allekirjoitettu sopimus on etusijalla molempiin nähden. Olennaiset muutokset julkaistaan tällä sivulla uudella voimaantulopäivällä, ja niistä ilmoitetaan asiakkaille, joilla on voimassa oleva tilaus.