QR Code AI:n tietojenkäsittelysopimus (DPA)

TIETOJENKÄSITTELYSOPIMUS (DPA)

Päivitetty viimeksi 2. maaliskuuta 2026

Tämä tietojenkäsittelysopimus (”DPA”) on osa Käyttöehtoja (”Sopimus”), jotka on tehty Ranskassa rekisteröidyn Supernovae-yhtiön, osoite 27 Rue Wurtz, Juvisy-sur-Orge 91260, arvonlisäverotunniste FR67948452891 (”Käsittelijä”, ”me”), ja tämän DPA:n hyväksyvän yhteisön (”Rekisterinpitäjä”, ”sinä”) välillä. Näihin viitataan yhdessä nimellä ”Osapuolet”.

Tätä DPA:ta sovelletaan, kun käsittelemme henkilötietoja puolestasi QR Code AI -palvelujemme yhteydessä, myös API:n kautta.

1. MÄÄRITELMÄT

• ”Henkilötiedot” tarkoittavat kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja GDPR:n 4 artiklan 1 kohdan mukaisesti.
• ”Käsittely” tarkoittaa kaikkia Henkilötietoihin kohdistuvia toimintoja tai toimintojen kokonaisuuksia GDPR:n 4 artiklan 2 kohdan mukaisesti.
• ”Rekisteröity” tarkoittaa tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä, johon Henkilötiedot liittyvät.
• ”Alikäsittelijä” tarkoittaa kolmatta osapuolta, jolle Käsittelijä on antanut tehtäväksi käsitellä Henkilötietoja Rekisterinpitäjän puolesta.
• ”GDPR” tarkoittaa Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679.
• ”UK GDPR” tarkoittaa Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta sellaisena kuin sitä sovelletaan Yhdistyneen kuningaskunnan lainsäädännössä yhdessä tietosuojalain (Data Protection Act 2018) kanssa.
• ”SCC-lausekkeet” tarkoittavat Euroopan komission hyväksymiä vakiosopimuslausekkeita, jotka koskevat Henkilötietojen siirtoa kolmansiin maihin.
• ”Tietoturvaloukkaus” tarkoittaa turvallisuuden loukkausta, jonka seurauksena Henkilötietoja tuhoutuu, häviää tai muuttuu vahingossa tai lainvastaisesti, niitä luovutetaan luvattomasti tai niihin päästään luvattomasti.

2. SOVELTAMISALA JA ROOLIT

2.1 Rekisterinpitäjä ja Käsittelijä

Tässä DPA:ssa:

• Sinä (Rekisterinpitäjä): Määrität Henkilötietojen käsittelyn tarkoitukset ja keinot käyttäessäsi Palvelujamme, erityisesti kun käytät API:amme QR-koodien luomiseen omille asiakkaillesi tai sisällytät Palvelumme omiin tuotteisiisi.
• Me (Käsittelijä): Käsittelemme Henkilötietoja puolestasi ohjeidesi mukaisesti tässä DPA:ssa ja Sopimuksessa kuvatulla tavalla.

2.2 Milloin tätä DPA:ta sovelletaan

Tätä DPA:ta sovelletaan, kun:

• Käytät QR Code AI:n API:a luodaksesi QR-koodeja, joiden käyttöön liittyy loppukäyttäjiesi tietojen käsittelyä (esimerkiksi henkilötietoja sisältävät URL-osoitteet, vCard-tiedot tai QR-koodeihin koodatut yhteystiedot).
• Käytät QR Code AI:n seuranta- ja analytiikkaominaisuuksia, jotka keräävät loppukäyttäjiesi skannaustietoja.
• Käsittelemme muussa tilanteessa Henkilötietoja puolestasi henkilötietojen käsittelijänä.

Kun käytät QR Code AI:ta yksityishenkilönä omiin tarkoituksiisi, toimimme itsenäisenä rekisterinpitäjänä ja tietojen käsittelyyn sovelletaan Tietosuojakäytäntöämme.

3. TIETOJEN KÄSITTELYN YKSITYISKOHDAT

3.1 Kohde ja kesto

Käsittelemme Henkilötietoja Sopimuksen voimassaolon ajan QR Code AI -palvelujen tarjoamiseksi, mukaan lukien QR-koodien luominen, seuranta, analytiikka ja niihin liittyvät toiminnot.

3.2 Käsittelyn luonne ja tarkoitus

• QR-koodien luominen Rekisterinpitäjän toimittamien lähtötietojen perusteella
• QR-koodien skannausten seuranta ja analytiikkatietojen kerääminen
• QR-koodien asetusten ja niihin liittyvien metatietojen tallentaminen
• Tekoälyllä luotavia taiteellisia QR-koodeja koskevien pyyntöjen käsittely
• Raporttien ja analytiikan hallintapaneelien tarjoaminen

3.3 Henkilötietojen tyypit

Käsiteltäviä Henkilötietoja voivat olla:

• QR-koodeihin koodatut yhteystiedot (nimet, sähköpostiosoitteet, puhelinnumerot)
• URL-osoitteet ja verkko-osoitteet
• QR-koodien skannauksista saadut sijaintitiedot
• QR-koodien skannauksista saadut laitetiedot ja IP-osoitteet
• QR-koodien luomiseen tekoälyllä annetut tekstikehotteet ja kuvat
• Muut tiedot, jotka Rekisterinpitäjä päättää koodata QR-koodeihin

3.4 Rekisteröityjen ryhmät

• Loppukäyttäjät, jotka skannaavat Rekisterinpitäjän luomia QR-koodeja
• Henkilöt, joiden yhteystietoja on koodattu QR-koodeihin
• Rekisterinpitäjän tuotteiden tai palvelujen käyttäjät, jotka käyttävät QR-koodeja

4. KÄSITTELIJÄN VELVOLLISUUDET

4.1 Käsittelyä koskevat ohjeet

Käsittelemme Henkilötietoja ainoastaan dokumentoitujen ohjeidesi mukaisesti, ellei meihin sovellettava EU:n tai jäsenvaltion lainsäädäntö velvoita meitä muuhun. Tällöin ilmoitamme tästä lakisääteisestä vaatimuksesta sinulle ennen käsittelyä, ellei laki kiellä ilmoittamista tärkeän yleisen edun vuoksi.

Ilmoitamme sinulle välittömästi, jos jokin ohje mielestämme rikkoo GDPR:ää tai muita sovellettavia EU:n tai jäsenvaltion tietosuojasäännöksiä.

4.2 Salassapito

Varmistamme, että Henkilötietoja käsittelemään valtuutetut henkilöt ovat sitoutuneet salassapitoon tai että heitä sitoo asianmukainen lakisääteinen salassapitovelvollisuus.

4.3 Turvatoimet

Toteutamme asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi, mukaan lukien:

• Henkilötietojen salaus siirron aikana (TLS/HTTPS) sekä arkaluonteisten tallennettujen tietojen salaus
• Sisäisten järjestelmien käyttöoikeuksien hallinta ja roolipohjainen tunnistautuminen
• Säännölliset turvallisuusarvioinnit ja haavoittuvuusskannaukset
• Scalewayn ja DigitalOceanin ylläpitämä infrastruktuuri, jonka turvallisuus- ja vaatimustenmukaisuustoimet riippuvat palveluntarjoajasta ja ylläpitopalvelusta
• DDoS-suojaus ja verkkosovellusten palomuuri (Cloudflare)
• Säännölliset varmuuskopiot salatussa tallennustilassa
• Henkilötietojen käytön lokitus ja valvonta

4.4 Alikäsittelijät

Käytämme Alihankkijat-sivullamme lueteltuja alikäsittelijöitä. Ilmoitamme sinulle erikseen kirjallisesti jokaisesta suunnitellusta alikäsittelijän lisäämisestä tai vaihtamisesta ja annamme sinulle ilmoituksesta lukien 30 päivää aikaa vastustaa muutosta ennen sen voimaantuloa. Voit esittää vastustuksesi ottamalla meihin yhteyttä osoitteessa [email protected] tämän määräajan kuluessa. Jos vastustat muutosta emmekä voi kohtuudella ottaa vastustustasi huomioon, kumpi tahansa osapuoli voi päättää Palvelujen kyseisen osan.

Annamme Henkilötietojen käsittelyn alikäsittelijän tehtäväksi puolestasi ainoastaan kirjallisen sopimuksen perusteella. Sopimus voi sisältää sovellettavat sähköiset ehdot, ja sen on asetettava GDPR:n 28 artiklan 4 kohdassa edellytetyt tietosuojavelvoitteet. Vastaamme edelleen alikäsittelijöistämme kyseisen artiklan edellyttämällä tavalla.

4.5 Rekisteröityjen oikeudet

Avustamme sinua vastaamaan Rekisteröityjen pyyntöihin, jotka koskevat sovellettavan tietosuojalainsäädännön mukaisten oikeuksien käyttöä (oikeus saada pääsy tietoihin, tietojen oikaiseminen ja poistaminen, käsittelyn rajoittaminen, tietojen siirtäminen järjestelmästä toiseen ja käsittelyn vastustaminen). Jos saamme pyynnön suoraan Rekisteröidyltä, ohjaamme hänet viipymättä puoleesi, ellei muuta ole ohjeistettu.

4.6 Avustaminen velvoitteiden noudattamisessa

Avustamme sinua GDPR:n 32–36 artiklan mukaisten velvoitteidesi noudattamisessa ottaen huomioon käsittelyn luonteen ja käytettävissämme olevat tiedot.

5. TIETOTURVALOUKKAUKSESTA ILMOITTAMINEN

5.1 Ilmoituksen määräaika

Ilmoitamme sinulle Tietoturvaloukkauksesta ilman aiheetonta viivytystä ja joka tapauksessa 72 tunnin kuluessa siitä, kun olemme saaneet loukkauksen tietoomme. Ilmoitus lähetetään tiliisi liitettyyn sähköpostiosoitteeseen.

5.2 Ilmoituksen sisältö

Ilmoitukseen sisällytetään saatavilla olevien tietojen perusteella:

• Kuvaus Tietoturvaloukkauksen luonteesta, mukaan lukien loukkauksen kohteena olevien Rekisteröityjen ja tietueiden ryhmät ja arvioidut määrät.
• Tietosuoja-asioiden yhteyshenkilömme nimi ja yhteystiedot.
• Kuvaus Tietoturvaloukkauksen todennäköisistä seurauksista.
• Kuvaus toteutetuista tai ehdotetuista toimenpiteistä Tietoturvaloukkauksen käsittelemiseksi, mukaan lukien toimenpiteet mahdollisten haittavaikutusten lieventämiseksi.

5.3 Jatkuva yhteistyö

Teemme kanssasi yhteistyötä ja tarjoamme kohtuullista apua Tietoturvaloukkauksen tutkimisessa, sen vaikutusten lieventämisessä ja korjaamisessa sekä niiden ilmoitusten tekemisessä valvontaviranomaisille tai Rekisteröidyille, jotka sinun on tehtävä.

6. KANSAINVÄLISET TIETOJENSIIRROT

6.1 Tietojen sijainti

Henkilötiedot tallennetaan ja käsitellään pääasiassa Euroopan unionissa:

• Ranska (EU) Scalewayn kautta
• Alankomaat (EU) DigitalOceanin kautta

6.2 Siirrot EU:n ja ETA:n ulkopuolelle

Osa alikäsittelijöistämme sijaitsee EU:n ja ETA:n ulkopuolella, pääasiassa Yhdysvalloissa. Näissä siirroissa tukeudumme seuraaviin:

• EU:n ja Yhdysvaltojen välinen tietosuojakehys (Data Privacy Framework): Soveltuvin osin, kun tietoja siirretään Yhdysvalloissa toimiville palveluntarjoajille, jotka on sertifioitu kehyksen mukaisesti.
• Vakiosopimuslausekkeet (SCC): Sisällytämme Euroopan komission hyväksymät vakiosopimuslausekkeet (komission täytäntöönpanopäätös (EU) 2021/914) sopimuksiimme EU:n ja ETA:n ulkopuolella sijaitsevien alikäsittelijöiden kanssa silloin, kun tietosuojakehystä ei sovelleta.

6.3 Siirtojen vaikutustenarviointi

Teemme kolmansiin maihin suuntautuvista siirroista vaikutustenarviointeja ja toteutamme tarvittaessa täydentäviä toimenpiteitä riittävän tietosuojan tason varmistamiseksi.

7. AUDITOINNIT JA TARKASTUKSET

7.1 Auditointioikeus

Sinulla on oikeus auditoida tämän DPA:n noudattamista. Saatamme käyttöösi kaikki noudattamisen osoittamiseksi tarvittavat tiedot sekä sallimme sinun tai valtuuttamasi auditoijan suorittamat auditoinnit, mukaan lukien tarkastukset, ja osallistumme niihin.

7.2 Auditointimenettely

Seuraavia järjestelyjä sovelletaan auditointeihin vain siltä osin kuin ne eivät rajoita sovellettavan tietosuojalainsäädännön mukaisia oikeuksia tai velvollisuuksia:

• Sinun on ilmoitettava auditoinnista kirjallisesti vähintään 30 päivää etukäteen.
• Auditointeja voidaan suorittaa enintään kerran vuodessa, ellei valvontaviranomainen edellytä muuta tai auditointi johdu Tietoturvaloukkauksesta.
• Auditoinnit on suoritettava tavanomaisena työaikana, eivätkä ne saa kohtuuttomasti häiritä toimintaamme.
• Vastaat auditoinnin kustannuksista, ellei auditoinnissa ilmene tämän DPA:n olennaista rikkomista.
• Muiden asiakkaidemme luottamuksellisia tietoja ei saa paljastaa auditoinnin yhteydessä.

8. TIETOJEN SÄILYTTÄMINEN JA POISTAMINEN

8.1 Sopimuksen voimassaolon aikana

Säilytämme Henkilötietoja Sopimuksen voimassaolon ajan siltä osin kuin se on tarpeen Palvelujen tarjoamiseksi.

8.2 Sopimuksen päättyessä

Sopimuksen päättyessä tai kirjallisesta pyynnöstäsi:

• Valintasi mukaan poistamme Henkilötiedot tai palautamme ne sinulle ja poistamme jäljellä olevat kopiot aktiivisista järjestelmistämme 30 päivän kuluessa.
• Varmuuskopioarkistoissa olevat Henkilötiedot poistetaan 6 kuukauden kuluessa. Siihen asti ne pysyvät suojattuina eikä niitä käytetä muihin tarkoituksiin, ellei sovellettava laki edellytä muuta.
• Voimme säilyttää Henkilötietoja siltä osin kuin sovellettava laki sitä edellyttää (esimerkiksi vero- tai kirjanpitovelvoitteet). Tällöin eristämme ja suojaamme kyseiset tiedot sekä rajoitamme niiden jatkokäsittelyn siihen, mitä laki edellyttää.

8.3 Vahvistus

Annamme pyynnöstäsi kirjallisen vahvistuksen siitä, että Henkilötiedot on poistettu tämän kohdan mukaisesti.

9. VASTUU

Kummankin osapuolen tämän DPA:n mukaiseen vastuuseen sovelletaan Sopimuksessa määriteltyjä vastuunrajoituksia. Mikään tässä DPA:ssa ei rajoita kummankaan osapuolen sovellettavan tietosuojalainsäädännön mukaista vastuuta Rekisteröityjä tai valvontaviranomaisia kohtaan.

10. SOVELLETTAVA LAKI

Tähän DPA:han sovelletaan Ranskan lakia. GDPR:ää ja UK GDPR:ää sovelletaan siltä osin kuin käsittely kuuluu niiden soveltamisalaan. Tästä DPA:sta johtuvat riidat ratkaistaan Sopimuksen riidanratkaisumääräysten mukaisesti.

11. DPA:N HYVÄKSYMINEN

Tämä DPA on sisällytetty Käyttöehtoihin ja muodostaa osan niistä. Käyttämällä QR Code AI -palveluja hyväksyt tämän DPA:n.

Jos tarvitset asiakirjojasi varten erikseen allekirjoitetun kappaleen tästä DPA:sta, ota meihin yhteyttä osoitteessa [email protected]. Toimitamme sen 10 työpäivän kuluessa.

12. YHTEYSTIEDOT

Tätä DPA:ta tai tietojenkäsittelykäytäntöjämme koskevissa kysymyksissä:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 France [email protected]