TuntiTassu Soolo – personuppgifts­biträdesavtal

Version 1.1, gäller från 1.9.2026

Detta är en översättning av det finskspråkiga personuppgiftsbiträdesavtalet, version 1.1, som är bilaga 3 till användarvillkoren. Om språkversionerna strider mot varandra tillämpas den tolkning som är förmånligare för kunden; i övrigt tillämpas den finskspråkiga versionen (användarvillkoren, avsnitt 24).

Denna bilaga är en del av TuntiTassu Soolos användarvillkor. Den är ett sådant avtal som avses i artikel 28.3 i allmänna dataskyddsförordningen (EU) 2016/679.

Varför den här bilagan finns

När du bara noterar dina egna arbetstimmar i tjänsten behandlar vi dina personuppgifter och är personuppgiftsansvariga för dem. Då tillämpas dataskyddsbeskrivningen, och den här bilagan behövs inte.

Situationen ändras när du skriver en uppgift om någon annan person i en uppgiftsbeskrivning eller ett projektnamn – till exempel namnet på din egen kund. Då behandlar du en tredje persons personuppgifter för ditt eget affärsändamål, och du blir personuppgiftsansvarig för dessa uppgifter. Vi behandlar dem för din räkning, det vill säga vi är personuppgiftsbiträde.

Dataskyddsförordningen kräver att det finns ett skriftligt avtal mellan den personuppgiftsansvarige och personuppgiftsbiträdet. Den här bilagan är det avtalet. Du behöver inte underteckna något separat: bilagan träder i kraft automatiskt som en del av användarvillkoren.

1. Parter

Personuppgiftsansvarig: den kund som har ingått ett prenumerationsavtal för TuntiTassu Soolo.

Personuppgiftsbiträde: Digitahti Oy, FO-nummer 3514735-2, Metsäkulmankatu 38, 48910 Kotka, telefon +358 41 327 4360, tuki@tuntitassu.fi.

2. Beskrivning av behandlingen

Särskilda kategorier av personuppgifter. Tjänsten är inte utformad för behandling av sådana särskilda kategorier av personuppgifter som avses i artikel 9 i dataskyddsförordningen eller av sådana uppgifter om lagöverträdelser som avses i artikel 10, och sådana uppgifter får inte sparas i tjänsten.

3. Personuppgiftsbiträdets skyldigheter

Personuppgiftsbiträdet förbinder sig till följande.

3.1 Behandling enligt instruktioner. Personuppgiftsbiträdet behandlar personuppgifter endast enligt instruktioner från den personuppgiftsansvarige. Användningen av tjänsten i enlighet med användarvillkoren utgör den personuppgiftsansvariges dokumenterade instruktion. Andra instruktioner kan lämnas till adressen tuki@tuntitassu.fi, och personuppgiftsbiträdet genomför dem om de är tekniskt möjliga och skäliga.

Om personuppgiftsbiträdet anser att en instruktion strider mot dataskyddsförordningen eller mot andra dataskyddsbestämmelser, underrättar det den personuppgiftsansvarige om detta utan dröjsmål.

Personuppgiftsbiträdet behandlar inte personuppgifterna för egna ändamål, säljer dem inte, lämnar inte ut dem för marknadsföring och använder dem inte för att träna AI-modeller.

3.2 Konfidentialitet. Personuppgiftsbiträdet säkerställer att de personer som behandlar personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Åtkomsten till uppgifterna är begränsad till de personer som behöver den i sina arbetsuppgifter.

3.3 Informationssäkerhet. Personuppgiftsbiträdet vidtar sådana lämpliga tekniska och organisatoriska åtgärder som avses i artikel 32 i dataskyddsförordningen. Åtgärderna beskrivs i bilaga A.

3.4 Underbiträden. Den personuppgiftsansvarige ger personuppgiftsbiträdet ett allmänt tillstånd att anlita underbiträden. De underbiträden som används förtecknas i bilaga B.

Personuppgiftsbiträdet säkerställer att underbiträdet är bundet av motsvarande dataskyddsskyldigheter som personuppgiftsbiträdet självt. Personuppgiftsbiträdet ansvarar för underbiträdets verksamhet som för sin egen.

Personuppgiftsbiträdet meddelar per e-post om ett underbiträde läggs till eller byts ut, minst 30 dygn före ändringen. Den personuppgiftsansvarige kan invända mot ändringen av ett befogat skäl som gäller dataskyddet. Om parterna inte når en lösning kan den personuppgiftsansvarige avsluta sin prenumeration innan ändringen träder i kraft, varvid den oanvända delen av den betalda perioden återbetalas.

3.5 Bistånd i fråga om de registrerades rättigheter. Tjänsten är uppbyggd så att den personuppgiftsansvarige själv kan söka fram, ändra, radera och ladda ner de uppgifter som han eller hon har sparat. I praktiken omfattar detta tillgodoseendet av de registrerades rättigheter.

Om den personuppgiftsansvarige behöver ytterligare hjälp, bistår personuppgiftsbiträdet honom eller henne i skälig omfattning. Om en registrerad vänder sig direkt till personuppgiftsbiträdet, hänvisar personuppgiftsbiträdet den registrerade till den personuppgiftsansvarige och besvarar inte begäran själv.

3.6 Bistånd med andra skyldigheter. Personuppgiftsbiträdet bistår den personuppgiftsansvarige med skyldigheterna enligt artiklarna 32–36 i dataskyddsförordningen, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå.

3.7 Personuppgiftsincidenter. Personuppgiftsbiträdet underrättar den personuppgiftsansvarige om en personuppgiftsincident utan onödigt dröjsmål och senast inom 48 timmar efter att personuppgiftsbiträdet har fått vetskap om den. Underrättelsen innehåller tillgänglig information om incidentens art, de bedömda följderna och de åtgärder som har vidtagits.

3.8 Radering och återlämnande av uppgifter. Den personuppgiftsansvarige kan när som helst ladda ner sina uppgifter i maskinläsbar form via tjänstens inställningar, även efter att prenumerationen har upphört och kontot har låsts. Ingen avgift tas ut för nedladdningen.

När den personuppgiftsansvarige raderar sitt konto raderas uppgifterna omedelbart från produktionsdatabasen. När det gäller säkerhetskopior följs det förfarande som beskrivs i avsnitt 8 i dataskyddsbeskrivningen.

Om den personuppgiftsansvarige inte raderar sitt konto, raderas uppgifterna i enlighet med avsnitt 9 i användarvillkoren.

3.9 Skyldighet att visa efterlevnad och granskning. Personuppgiftsbiträdet ger på begäran den personuppgiftsansvarige den information som behövs för att visa att skyldigheterna enligt artikel 28 fullgörs.

Den personuppgiftsansvarige har rätt att granska behandlingen eller låta en oberoende granskare som den personuppgiftsansvarige har bemyndigat utföra granskningen. Granskningen ska meddelas minst 30 dygn i förväg, och den utförs under normal arbetstid. Granskningen får inte i onödan störa personuppgiftsbiträdets verksamhet. Granskning får utföras högst en gång per år, om inte en personuppgiftsincident eller ett krav från en myndighet förutsätter fler granskningar. Den personuppgiftsansvarige svarar för kostnaderna för granskningen.

Personuppgiftsbiträdet kan fullgöra denna skyldighet genom att tillhandahålla en aktuell beskrivning av säkerhetsåtgärderna samt sina underbiträdens certifikat och granskningsrapporter, om de tillgodoser den personuppgiftsansvariges behov.

4. Den personuppgiftsansvariges skyldigheter

Den personuppgiftsansvarige ansvarar för att

• han eller hon har en laglig grund för att behandla de personuppgifter om tredje personer som han eller hon sparar i tjänsten;
• de registrerade har informerats om behandlingen på det sätt som krävs i artiklarna 13 och 14 i dataskyddsförordningen;
• inga särskilda kategorier av personuppgifter eller uppgifter om lagöverträdelser sparas i tjänsten;
• endast sådana uppgifter sparas i tjänsten som är nödvändiga för hans eller hennes ändamål.

Det är bra för den personuppgiftsansvarige att veta att uppgiftsbeskrivningen är fritext och att tjänsten inte kontrollerar dess innehåll. Den praktiska rekommendationen är att bara notera det som faktureringen och bokföringen kräver.

5. Överföringar utanför EU och EES

Personuppgifter som omfattas av denna bilagas tillämpningsområde behandlas uteslutande inom EU. Arbetstidsuppgifter förmedlas inte till Stripe, och därför gäller den behandling i USA som hör samman med betalningsförmedlingen inte dessa uppgifter.

Om personuppgiftsbiträdet senare skulle överföra uppgifter som omfattas av denna bilagas tillämpningsområde utanför EU eller EES, görs överföringen endast på grundval av en skyddsåtgärd enligt kapitel V i dataskyddsförordningen, och den personuppgiftsansvarige underrättas om överföringen i enlighet med punkt 3.4.

6. Giltighet och övriga villkor

Denna bilaga gäller så länge personuppgiftsbiträdet behandlar personuppgifter för den personuppgiftsansvariges räkning.

Om denna bilaga och användarvillkoren strider mot varandra, tillämpas denna bilaga i första hand till den del det gäller behandling av personuppgifter för den personuppgiftsansvariges räkning.

På ansvarsbegränsningen tillämpas avsnitt 16 i användarvillkoren. Ansvarsbegränsningen begränsar inte den registrerades rätt till ersättning enligt artikel 82 i dataskyddsförordningen.

På denna bilaga tillämpas finsk lag.

Varje version numreras och dateras. Tidigare versioner kan fås på begäran via tuki@tuntitassu.fi.

Bilaga A: Tekniska och organisatoriska åtgärder

Åtgärderna kan vidareutvecklas. Ändringarna försämrar inte skyddsnivån.

Bilaga B: Underbiträden

En aktuell förteckning finns publicerad på tuntitassu.fi/sv/underbitraden.

Underbiträdenas underleverantörer. De ovan nämnda underbiträdena anlitar egna underleverantörer, till exempel för datacentertjänster. En aktuell förteckning över varje underbiträdes underleverantörer finns på underbiträdets egen webbplats. Personuppgiftsbiträdet har förbundit sig att ta emot meddelanden om ändringar som gäller dessa underleverantörer och att vidarebefordra dem till den personuppgiftsansvarige i enlighet med punkt 3.4, om ändringen har betydelse för de uppgifter som omfattas av denna bilagas tillämpningsområde.

Stripe är inte ett underbiträde i den mening som avses i denna bilaga, eftersom inga arbetstidsuppgifter eller andra personuppgifter som omfattas av denna bilagas tillämpningsområde förmedlas till Stripe. Stripes roll beskrivs i avsnitt 6 och 7 i dataskyddsbeskrivningen.

Digitahti Oy · FO-nummer 3514735-2 · Metsäkulmankatu 38, 48910 Kotka · +358 41 327 4360 · tuki@tuntitassu.fi