QR Code AI:n tietojenkäsittelysopimus (DPA)

TIETOJENKÄSITTELYSOPIMUS (DPA)

Viimeksi päivitetty 2. maaliskuuta 2026

Tämä tietojenkäsittelysopimus ("DPA") on osa palveluehtoja ("Sopimus") Supernovae-yhtiön, Ranskassa rekisteröidyn yrityksen osoitteessa 27 Rue Wurtz, Juvisy-sur-Orge 91260, ALV-numero FR67948452891 ("Käsittelijä", "me"), ja tämän DPA:n hyväksyvän tahon ("Rekisterinpitäjä", "sinä") välillä. Yhdessä osapuolia kutsutaan "Osapuoliksi".

Tätä DPA:ta sovelletaan, kun käsittelemme henkilötietoja puolestasi QR Code AI -palveluihimme liittyen, mukaan lukien API:n kautta.

1. MÄÄRITELMÄT

• "Henkilötiedot" tarkoittaa mitä tahansa tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyvää tietoa GDPR:n 4 artiklan 1 kohdan mukaisesti.
• "Käsittely" tarkoittaa mitä tahansa henkilötietoihin kohdistuvaa toimenpidettä tai toimenpidekokonaisuutta GDPR:n 4 artiklan 2 kohdan mukaisesti.
• "Rekisteröity" tarkoittaa tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä, johon henkilötiedot liittyvät.
• "Alikäsittelijä" tarkoittaa mitä tahansa kolmatta osapuolta, jonka Käsittelijä on ottanut käsittelemään henkilötietoja Rekisterinpitäjän puolesta.
• "GDPR" tarkoittaa Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679.
• "UK GDPR" tarkoittaa GDPR:ää sellaisena kuin se on saatettu osaksi Yhdistyneen kuningaskunnan lainsäädäntöä Data Protection Act 2018 -lain kautta.
• "SCC:t" tarkoittaa Euroopan komission hyväksymiä vakiolausekkeita henkilötietojen siirtoon kolmansiin maihin.
• "Tietoturvaloukkaus" tarkoittaa tietoturvan loukkausta, joka johtaa henkilötietojen tahattomaan tai lainvastaiseen tuhoutumiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai luvattomaan pääsyyn.

2. SOVELTAMISALA JA ROOLIT

2.1 Rekisterinpitäjä ja käsittelijä

Tämän DPA:n tarkoituksessa:

• Sinä (Rekisterinpitäjä): Sinä määrität henkilötietojen käsittelyn tarkoitukset ja keinot käyttäessäsi Palveluitamme, erityisesti silloin kun käytät API:amme QR-koodien luomiseen omille asiakkaille tai integroit Palvelumme tuotteisiisi.
• Me (Käsittelijä): Me käsittelemme henkilötietoja puolestasi ohjeidesi mukaisesti, kuten tässä DPA:ssa ja Sopimuksessa kuvataan.

2.2 Milloin tätä DPA:ta sovelletaan

Tätä DPA:ta sovelletaan, kun:

• Käytät QR Code AI:n API:a QR-koodien luomiseen siten, että ne käsittelevät loppukäyttäjiesi tietoja (esim. henkilötietoja sisältävät URL-osoitteet, vCard-tiedot, QR-koodeihin koodatut yhteystiedot).
• Käytät QR Code AI:n seurantaa ja analytiikkaominaisuuksia, jotka keräävät skannausdataa loppukäyttäjiltäsi.
• Missä tahansa muussa tilanteessa, jossa käsittelemme henkilötietoja puolestasi henkilötietojen käsittelijänä.

Kun käytät QR Code AI:ta yksityishenkilönä omiin tarkoituksiisi, toimimme itsenäisenä rekisterinpitäjänä ja tietojen käsittelyä ohjaa tietosuojakäytäntömme.

3. TIETOJENKÄSITTELYN YKSITYISKOHDAT

3.1 Käsittelyn kohde ja kesto

Käsittelemme henkilötietoja Sopimuksen voimassaolon ajan QR Code AI -palvelujen tarjoamiseksi, mukaan lukien QR-koodien luonti, seuranta, analytiikka ja niihin liittyvät toiminnot.

3.2 Käsittelyn luonne ja tarkoitus

• QR-koodien luominen Rekisterinpitäjän toimittamien syöttötietojen perusteella
• QR-koodien skannausten seuranta ja analytiikkadatan kerääminen
• QR-koodien asetusten ja niihin liittyvien metatietojen tallentaminen
• Tekoälyn luomien taiteellisten QR-koodipyyntöjen käsittely
• Raporttien ja analytiikan hallintapaneelien tarjoaminen

3.3 Henkilötietojen tyypit

Käsiteltäviä henkilötietotyyppejä voivat olla:

• QR-koodeihin koodatut yhteystiedot (nimet, sähköpostiosoitteet, puhelinnumerot)
• URL-osoitteet ja verkkosoitteet
• QR-koodien skannauksista saatava sijaintidata
• QR-koodien skannauksista saatavat laitetiedot ja IP-osoitteet
• Tekstikehotteet ja kuvat, jotka toimitetaan tekoäly-QR-koodien luontia varten
• Mikä tahansa muu data, jonka Rekisterinpitäjä päättää koodata QR-koodeihin

3.4 Rekisteröityjen ryhmät

• Loppukäyttäjät, jotka skannaavat Rekisterinpitäjän luomia QR-koodeja
• Henkilöt, joiden yhteystiedot on koodattu QR-koodeihin
• Rekisterinpitäjän tuotteiden tai palvelujen käyttäjät, jotka ovat vuorovaikutuksessa QR-koodien kanssa

4. KÄSITTELIJÄN VELVOLLISUUDET

4.1 Käsittelyohjeet

Käsittelemme henkilötietoja vain dokumentoitujen ohjeidesi mukaisesti, ellei EU:n tai jäsenvaltion lainsäädäntö, jota meihin sovelletaan, edellytä muuta. Tällöin ilmoitamme sinulle kyseisestä oikeudellisesta vaatimuksesta ennen käsittelyä, ellei laki kiellä tällaista ilmoittamista tärkeän yleisen edun perusteella.

4.2 Luottamuksellisuus

Varmistamme, että henkilötietoja käsittelemään valtuutetut henkilöt ovat sitoutuneet luottamuksellisuuteen tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.

4.3 Tietoturvatoimet

Toteutamme asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaaksemme riskiä vastaavan tietoturvatason, mukaan lukien:

• Henkilötietojen salaus siirrossa (TLS/HTTPS) ja levossa
• Pääsynhallinta ja roolipohjainen tunnistautuminen sisäisiin järjestelmiin
• Säännölliset tietoturva-arvioinnit ja haavoittuvuusskannaukset
• ISO 27001 -sertifioitujen palveluntarjoajien ylläpitämä infrastruktuuri
• DDoS-suojaus ja web-sovellusten palomuuri (Cloudflare)
• Säännölliset varmuuskopiot salatulla tallennuksella
• Henkilötietoihin kohdistuvan pääsyn lokitus ja valvonta

4.4 Alikäsittelijät

Käytämme alikäsittelijöitä, jotka on lueteltu Alikäsittelijät-sivullamme. Ilmoitamme sinulle alikäsittelijöihin suunnitelluista muutoksista päivittämällä kyseisen sivun. Voit vastustaa uutta alikäsittelijää ottamalla meihin yhteyttä osoitteessa [email protected] 30 päivän kuluessa päivityksestä. Jos vastustat emmekä voi kohtuudella huomioida vastustustasi, kumpi tahansa osapuoli voi irtisanoa Palvelujen kyseisen osan.

Teemme kaikkien alikäsittelijöiden kanssa kirjalliset sopimukset, jotka asettavat tietosuojavelvoitteet vähintään yhtä suojaaviksi kuin tässä DPA:ssa.

4.5 Rekisteröidyn oikeudet

Avustamme sinua vastaamaan rekisteröityjen pyyntöihin, kun he käyttävät sovellettavan tietosuojalainsäädännön mukaisia oikeuksiaan (pääsy, oikaisu, poisto, rajoittaminen, siirrettävyys, vastustaminen). Jos saamme pyynnön suoraan rekisteröidyltä, ohjaamme hänet viipymättä sinun puoleesi, ellei toisin ohjeisteta.

4.6 Avustaminen vaatimustenmukaisuudessa

Avustamme sinua varmistamaan GDPR:n 32-36 artiklojen mukaisten velvoitteidesi noudattamisen ottaen huomioon käsittelyn luonteen ja meille saatavilla olevat tiedot.

5. TIETOTURVALOUKKAUKSESTA ILMOITTAMINEN

5.1 Ilmoitusaikataulu

Ilmoitamme sinulle tietoturvaloukkauksesta ilman aiheetonta viivytystä ja joka tapauksessa 72 tunnin kuluessa siitä, kun olemme tulleet tietoisiksi loukkauksesta. Ilmoitus lähetetään tiliisi liitettyyn sähköpostiosoitteeseen.

5.2 Ilmoituksen sisältö

Ilmoitus sisältää saatavilla olevin osin:

• Kuvauksen tietoturvaloukkauksen luonteesta, mukaan lukien rekisteröityjen ryhmät sekä arvioitu rekisteröityjen ja tietueiden määrä.
• Tietosuojayhteyshenkilömme nimen ja yhteystiedot.
• Kuvauksen tietoturvaloukkauksen todennäköisistä seurauksista.
• Kuvauksen toteutetuista tai suunnitelluista toimenpiteistä tietoturvaloukkauksen käsittelemiseksi, mukaan lukien toimenpiteet mahdollisten haitallisten vaikutusten lieventämiseksi.

5.3 Jatkuva yhteistyö

Teemme yhteistyötä kanssasi ja annamme kohtuullista apua tietoturvaloukkauksen tutkimisessa, lieventämisessä ja korjaamisessa sekä niissä ilmoituksissa valvontaviranomaisille tai rekisteröidyille, jotka sinun on tehtävä.

6. KANSAINVÄLISET TIETOSIIRROT

6.1 Datan sijainti

Henkilötietoja säilytetään ja käsitellään pääasiassa Euroopan unionissa:

• Ranska (EU) Scalewayn kautta
• Alankomaat (EU) DigitalOceanin kautta

6.2 Siirrot EU/ETA-alueen ulkopuolelle

Osa alikäsittelijöistämme sijaitsee EU/ETA-alueen ulkopuolella, pääasiassa Yhdysvalloissa. Näissä siirroissa tukeudumme seuraaviin:

• EU-US Data Privacy Framework: soveltuvin osin siirroissa yhdysvaltalaisille palveluntarjoajille, jotka on sertifioitu viitekehyksen mukaisesti.
• Vakiolausekkeet (SCC:t): sisällytämme Euroopan komission hyväksymät SCC:t (komission täytäntöönpanopäätös (EU) 2021/914) sopimuksiimme EU/ETA-alueen ulkopuolella sijaitsevien alikäsittelijöiden kanssa, kun Data Privacy Framework ei sovellu.

6.3 Siirtojen vaikutustenarviointi

Teemme siirtojen vaikutustenarviointeja siirroille kolmansiin maihin ja toteutamme tarvittaessa täydentäviä toimenpiteitä riittävän tietosuojatason varmistamiseksi.

7. AUDITOINNIT JA TARKASTUKSET

7.1 Auditointioikeudet

Sinulla on oikeus auditoida DPA:n noudattamistamme. Asetamme käyttöösi kaikki vaatimustenmukaisuuden osoittamiseksi tarvittavat tiedot ja mahdollistamme auditoinnit, mukaan lukien tarkastukset, joita sinä tai valtuuttamasi auditoija suorittaa, sekä osallistumme niihin.

7.2 Auditointiprosessi

Auditointeihin sovelletaan seuraavia ehtoja:

• Sinun on annettava vähintään 30 päivän kirjallinen ennakkoilmoitus ennen auditointia.
• Auditointeja voidaan tehdä enintään kerran vuodessa, ellei valvontaviranomainen sitä edellytä tai ellei auditointi seuraa tietoturvaloukkausta.
• Auditoinnit on tehtävä normaalina työaikana, eikä niiden tule kohtuuttomasti häiritä toimintaamme.
• Vastaat auditoinnin kustannuksista, ellei auditointi paljasta olennaista tämän DPA:n rikkomusta.
• Muiden asiakkaidemme luottamuksellisia tietoja ei saa paljastua auditoinnin aikana.

8. TIETOJEN SÄILYTTÄMINEN JA POISTAMINEN

8.1 Sopimuksen aikana

Säilytämme henkilötietoja Sopimuksen voimassaolon ajan siltä osin kuin se on tarpeen Palvelujen tarjoamiseksi.

8.2 Sopimuksen päättyessä

Sopimuksen päättyessä tai kirjallisesta pyynnöstäsi:

• Poistamme henkilötiedot aktiivisista järjestelmistämme 30 päivän kuluessa.
• Varmuuskopioarkistoissa olevat henkilötiedot poistetaan 6 kuukauden kuluessa.
• Voimme säilyttää henkilötietoja siltä osin kuin sovellettava laki sitä edellyttää (esim. vero- ja kirjanpitovelvoitteet). Tällöin eristämme ja suojaamme kyseiset tiedot ja rajoitamme jatkokäsittelyn vain lain edellyttämään.

8.3 Vahvistus

Pyynnöstäsi toimitamme kirjallisen vahvistuksen siitä, että henkilötiedot on poistettu tämän kohdan mukaisesti.

9. VASTUU

Kummankin osapuolen vastuu tämän DPA:n nojalla on Sopimuksessa määriteltyjen vastuunrajoitusten alainen. Mikään tässä DPA:ssa ei rajoita kummankaan osapuolen vastuuta rekisteröityjä tai valvontaviranomaisia kohtaan sovellettavan tietosuojalainsäädännön nojalla.

10. SOVELLETTAVA LAKI

Tähän DPA:han sovelletaan Ranskan lakia. EU:ssa oleviin rekisteröityihin sovelletaan GDPR:ää. Yhdistyneessä kuningaskunnassa oleviin rekisteröityihin sovelletaan UK GDPR:ää. Tästä DPA:sta aiheutuvat riidat ratkaistaan Sopimuksen riidanratkaisuehtojen mukaisesti.

11. MITEN TÄMÄ DPA HYVÄKSYTÄÄN

Tämä DPA sisältyy palveluehtoihin ja on niiden osa. Käyttämällä QR Code AI -palveluja hyväksyt tämän DPA:n.

Jos tarvitset erikseen allekirjoitetun kopion tästä DPA:sta arkistoihisi, ota yhteyttä osoitteeseen [email protected], niin toimitamme kopion 10 arkipäivän kuluessa.

12. YHTEYSTIEDOT

Kysymyksissä, jotka koskevat tätä DPA:ta tai tietojenkäsittelykäytäntöjämme:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Ranska [email protected]