TuntiTassu Soolo — tietojenkäsittelyliite
Versio 1.0, voimassa 21.8.2026 alkaen
Tämä liite on osa TuntiTassu Soolon käyttöehtoja. Se on yleisen tietosuoja-asetuksen (EU) 2016/679 28 artiklan 3 kohdassa tarkoitettu sopimus.
Miksi tämä liite on olemassa
Kun kirjaat palveluun vain omat työtuntisi, käsittelemme sinun henkilötietojasi ja olemme niiden rekisterinpitäjä. Silloin sovelletaan tietosuojaselostetta, eikä tätä liitettä tarvita.
Tilanne muuttuu, kun kirjoitat tehtäväkuvaukseen tai projektin nimeen jonkun muun henkilön tiedon — esimerkiksi oman asiakkaasi nimen. Silloin sinä käsittelet kolmannen henkilötietoja omaan liiketoimintatarkoitukseesi, ja sinusta tulee näiden tietojen rekisterinpitäjä. Me käsittelemme niitä sinun lukuusi eli olemme käsittelijä.
Tietosuoja-asetus edellyttää, että rekisterinpitäjän ja käsittelijän välillä on kirjallinen sopimus. Tämä liite on se sopimus. Sinun ei tarvitse allekirjoittaa mitään erikseen: liite tulee voimaan automaattisesti osana käyttöehtoja.
1. Osapuolet
Rekisterinpitäjä: asiakas, joka on tehnyt TuntiTassu Soolon tilaussopimuksen.
Käsittelijä: Digitahti Oy, Y-tunnus 3514735-2, Metsäkulmankatu 38, 48910 Kotka.
2. Käsittelyn kuvaus
| Kohde | Henkilötiedot, jotka rekisterinpitäjä tallentaa palveluun työaikakirjausten tehtäväkuvauksiin, projektien nimiin tai muihin vapaan tekstin kenttiin |
|---|---|
| Kesto | Tilaussopimuksen voimassaoloaika sekä käyttöehtojen mukainen säilytysaika sen päättymisen jälkeen |
| Luonne ja tarkoitus | Tietojen tallentaminen, säilyttäminen, järjestäminen, hakeminen ja poistaminen työajanseurantapalvelun tuottamiseksi rekisterinpitäjälle |
| Henkilötietojen tyypit | Nimet, yritysten ja yhteisöjen nimet sekä muut rekisterinpitäjän vapaaehtoisesti kirjaamat tiedot. Palvelu ei edellytä minkään kolmatta koskevan tiedon kirjaamista. |
| Rekisteröityjen ryhmät | Rekisterinpitäjän asiakkaat, yhteistyökumppanit ja muut henkilöt, joita rekisterinpitäjän työ koskee |
Erityiset henkilötietoryhmät. Palvelua ei ole suunniteltu tietosuoja-asetuksen 9 artiklassa tarkoitettujen erityisten henkilötietoryhmien eikä 10 artiklassa tarkoitettujen rikostietojen käsittelyyn, eikä niitä saa tallentaa palveluun.
3. Käsittelijän velvollisuudet
Käsittelijä sitoutuu seuraavaan.
3.1 Käsittely ohjeiden mukaisesti. Käsittelijä käsittelee henkilötietoja vain rekisterinpitäjän ohjeiden mukaisesti. Palvelun käyttäminen käyttöehtojen mukaisesti muodostaa rekisterinpitäjän dokumentoidun ohjeen. Muita ohjeita voi antaa osoitteeseen tuki@tuntitassu.fi, ja käsittelijä toteuttaa ne, jos ne ovat teknisesti mahdollisia ja kohtuullisia.
Jos käsittelijä katsoo, että ohje rikkoo tietosuoja-asetusta tai muuta tietosuojasääntelyä, se ilmoittaa siitä rekisterinpitäjälle viipymättä.
Käsittelijä ei käsittele henkilötietoja omiin tarkoituksiinsa, ei myy niitä, ei luovuta niitä markkinointiin eikä käytä niitä tekoälymallien opettamiseen.
3.2 Luottamuksellisuus. Käsittelijä varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon tai heitä koskee lakisääteinen salassapitovelvollisuus. Pääsy tietoihin on rajattu niihin henkilöihin, jotka sitä tehtävissään tarvitsevat.
3.3 Tietoturva. Käsittelijä toteuttaa tietosuoja-asetuksen 32 artiklassa tarkoitetut asianmukaiset tekniset ja organisatoriset toimenpiteet. Toimenpiteet on kuvattu liitteessä A.
3.4 Alikäsittelijät. Rekisterinpitäjä antaa käsittelijälle yleisen valtuutuksen käyttää alikäsittelijöitä. Käytössä olevat alikäsittelijät on lueteltu liitteessä B.
Käsittelijä varmistaa, että alikäsittelijää sitovat vastaavat tietosuojavelvoitteet kuin käsittelijää itseään. Käsittelijä vastaa alikäsittelijän toiminnasta kuin omastaan.
Käsittelijä ilmoittaa alikäsittelijän lisäämisestä tai vaihtamisesta sähköpostitse vähintään 30 vuorokautta ennen muutosta. Rekisterinpitäjä voi vastustaa muutosta perustellusta tietosuojaan liittyvästä syystä. Jos osapuolet eivät pääse ratkaisuun, rekisterinpitäjä voi päättää tilauksensa ennen muutoksen voimaantuloa, jolloin käyttämättä jäävä osa maksetusta kaudesta hyvitetään.
3.5 Avustaminen rekisteröityjen oikeuksissa. Palvelu on rakennettu niin, että rekisterinpitäjä voi itse hakea, muuttaa, poistaa ja ladata tallentamansa tiedot. Tämä kattaa käytännössä rekisteröityjen oikeuksien toteuttamisen.
Jos rekisterinpitäjä tarvitsee lisäksi apua, käsittelijä avustaa häntä kohtuullisessa laajuudessa. Jos rekisteröity kääntyy suoraan käsittelijän puoleen, käsittelijä ohjaa hänet rekisterinpitäjän puoleen eikä vastaa pyyntöön itse.
3.6 Avustaminen muissa velvoitteissa. Käsittelijä avustaa rekisterinpitäjää tietosuoja-asetuksen 32–36 artiklan mukaisissa velvoitteissa ottaen huomioon käsittelyn luonteen ja käsittelijän käytettävissä olevat tiedot.
3.7 Tietoturvaloukkaukset. Käsittelijä ilmoittaa rekisterinpitäjälle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun se on tullut käsittelijän tietoon. Ilmoitus sisältää käytettävissä olevat tiedot loukkauksen luonteesta, arvioiduista seurauksista ja toteutetuista toimenpiteistä.
3.8 Tietojen poistaminen ja palauttaminen. Rekisterinpitäjä voi ladata tietonsa koneluettavassa muodossa palvelun asetuksista milloin tahansa, myös tilauksen päätyttyä ja tilin lukituttua. Latauksesta ei peritä maksua.
Kun rekisterinpitäjä poistaa tilinsä, tiedot poistetaan välittömästi tuotantotietokannasta. Varmuuskopioiden osalta noudatetaan tietosuojaselosteen luvussa 8 kuvattua menettelyä.
Jos rekisterinpitäjä ei poista tiliään, tiedot poistetaan käyttöehtojen luvun 9 mukaisesti.
3.9 Osoitusvelvollisuus ja auditointi. Käsittelijä antaa rekisterinpitäjälle pyynnöstä ne tiedot, jotka ovat tarpeen 28 artiklan velvoitteiden noudattamisen osoittamiseksi.
Rekisterinpitäjällä on oikeus auditoida käsittely tai teettää auditointi valtuuttamallaan riippumattomalla tarkastajalla. Auditoinnista on ilmoitettava vähintään 30 vuorokautta etukäteen, ja se tehdään normaalina työaikana. Auditointi ei saa tarpeettomasti häiritä käsittelijän toimintaa. Auditointi voidaan tehdä enintään kerran vuodessa, jollei tietoturvaloukkaus tai viranomaisen vaatimus edellytä useampaa. Rekisterinpitäjä vastaa auditoinnin kustannuksista.
Käsittelijä voi täyttää tämän velvoitteen toimittamalla ajantasaisen kuvauksen tietoturvatoimenpiteistä sekä alikäsittelijöidensä sertifikaatit ja auditointiraportit, jos ne vastaavat rekisterinpitäjän tarpeeseen.
4. Rekisterinpitäjän velvollisuudet
Rekisterinpitäjä vastaa siitä, että:
- hänellä on lainmukainen peruste käsitellä palveluun tallentamiaan kolmansien henkilötietoja;
- rekisteröidyt on informoitu käsittelystä siten kuin tietosuoja-asetuksen 13 ja 14 artikla edellyttävät;
- palveluun ei tallenneta erityisiä henkilötietoryhmiä eikä rikostietoja;
- palveluun tallennetaan vain sellaisia tietoja, jotka ovat tarpeellisia hänen tarkoitukseensa.
Rekisterinpitäjän on hyvä tietää, että tehtäväkuvaus on vapaata tekstiä, eikä palvelu tarkista sen sisältöä. Käytännön suosituksena on kirjata vain se, mitä laskutus ja kirjanpito edellyttävät.
5. Siirrot EU:n ja ETA:n ulkopuolelle
Tämän liitteen soveltamisalaan kuuluvia henkilötietoja käsitellään yksinomaan EU:ssa. Työaikatietoja ei välitetä Stripelle, joten maksujen välitykseen liittyvä käsittely Yhdysvalloissa ei koske näitä tietoja.
Jos käsittelijä myöhemmin siirtäisi tämän liitteen soveltamisalaan kuuluvia tietoja EU:n tai ETA:n ulkopuolelle, siirto tehdään vain tietosuoja-asetuksen V luvun mukaisen suojatoimen perusteella, ja siitä ilmoitetaan rekisterinpitäjälle kohdan 3.4 mukaisesti.
6. Voimassaolo ja muut ehdot
Tämä liite on voimassa niin kauan kuin käsittelijä käsittelee henkilötietoja rekisterinpitäjän lukuun.
Jos tämän liitteen ja käyttöehtojen välillä on ristiriita, tätä liitettä sovelletaan ensisijaisesti siltä osin kuin kyse on henkilötietojen käsittelystä rekisterinpitäjän lukuun.
Vastuunrajoitukseen sovelletaan käyttöehtojen lukua 16. Vastuunrajoitus ei rajoita tietosuoja-asetuksen 82 artiklan mukaista rekisteröidyn oikeutta korvaukseen.
Tähän liitteeseen sovelletaan Suomen lakia.
Jokainen versio numeroidaan ja päivätään. Aiemmat versiot ovat saatavilla pyynnöstä osoitteesta tuki@tuntitassu.fi.
| Versio | Päivämäärä | Muutos |
|---|---|---|
| 1.0 | 21.8.2026 | Ensimmäinen julkaistu versio |
Liite A: Tekniset ja organisatoriset toimenpiteet
| Alue | Toimenpide |
|---|---|
| Salaus siirrettäessä | Kaikki yhteydet salattu (TLS) |
| Salaus tallennettaessa | Tietokanta ja varmuuskopiot salattu levytasolla |
| Pääsynhallinta | Tietokannan rivitason käytännöt: käyttäjä pääsee vain omiin tietoihinsa. Rajaus tietokannan tasolla, ei käyttöliittymässä |
| Tunnistautuminen | Kertakäyttöinen ja lyhytikäinen kirjautumislinkki tai koodi. Salasanoja ei ole. Istunnot vanhenevat automaattisesti ja ne voidaan mitätöidä pyynnöstä |
| Ylläpitorooli | Ei tuota lukuoikeutta henkilökohtaisen tilan työaikakirjauksiin |
| Ylläpitäjän tietokantayhteys | Rajattu nimettyihin henkilöihin, käytössä vain vianselvitykseen ja varmuuskopiointiin, käyttö kirjataan |
| Varmuuskopiointi | Automaattinen, kiertävä sykli, enimmäispituus 7 vuorokautta. Käytetään vain palvelun palauttamiseen |
| Palautusten käsittely | Palautuksen jälkeen toteutetaan uudelleen poistot, jotka on tehty varmuuskopion ottamisen jälkeen |
| Lokitus | Tekniset lokit tietoturvaa ja vianselvitystä varten, säilytysaika enintään 30 vuorokautta (Vercel 30 vrk, Supabase 7 vrk). Stripe ei kuulu tämän liitteen soveltamisalaan, ks. liite B |
| Väärinkäytön esto | Automaattisen liikenteen tunnistus ja lähetysmäärän rajoitus tilauksen aloitussivulla |
| Erottelu | Asiakkaiden tiedot erotettu toisistaan tietokannan tasolla |
| Alihankkijoiden valinta | Vain alihankkijat, jotka tarjoavat 28 artiklan mukaisen käsittelysopimuksen ja EU-alueen |
| Henkilöstö | Salassapitositoumus. Pääsy rajattu tehtävän edellyttämään |
Toimenpiteitä voidaan kehittää. Muutokset eivät heikennä suojan tasoa.
Liite B: Alikäsittelijät
| Alikäsittelijä | Tehtävä | Sijainti | Siirtoperuste |
|---|---|---|---|
| Supabase | Tietokanta ja tunnistautuminen | EU (Tukholma) | — |
| Vercel Inc. | Palvelun tarjoaminen ja palvelinfunktiot | EU (Tukholma) | — |
| Resend | Sähköpostiviestien lähetys | EU (Irlanti) | — |
Ajantasainen luettelo on julkaistu osoitteessa tuntitassu.fi/alikasittelijat.
Alialikäsittelijät. Edellä mainitut alikäsittelijät käyttävät omia alihankkijoitaan esimerkiksi konesalipalveluissa. Kunkin alikäsittelijän ajantasainen alihankkijaluettelo on saatavilla sen omilta verkkosivuilta. Käsittelijä on sitoutunut vastaanottamaan näiden alihankkijoiden muutosilmoitukset ja välittämään ne rekisterinpitäjälle kohdan 3.4 mukaisesti, jos muutoksella on merkitystä tämän liitteen soveltamisalaan kuuluvien tietojen kannalta.
Stripe ei ole tämän liitteen tarkoittama alikäsittelijä, koska sille ei välitetä työaikatietoja eikä muita tämän liitteen soveltamisalaan kuuluvia henkilötietoja. Stripen rooli on kuvattu tietosuojaselosteen luvuissa 6 ja 7.
Digitahti Oy · Y-tunnus 3514735-2 · Metsäkulmankatu 38, 48910 Kotka · tuki@tuntitassu.fi