Tietojenkäsittelysopimus

Versio 2.0 — julkaistu 20. lokakuuta 2026
Tulee voimaan 24. marraskuuta 2026.

1. Johdanto ja tausta

Tämä henkilötietojen käsittelyä koskeva sopimus (englanniksi Data Processing Agreement, jäljempänä ”DPA”) koskee Open Badge Factory Oy:n (”Toimittaja”) Asiakkaan (”Asiakas”) lukuun suorittamaa henkilötietojen käsittelyä Open Badge Factory -palveluiden tarjoamista koskevan sopimuksen (”Sopimus”) nojalla. Asiakkaalla tarkoitetaan tässä DPA:ssa sitä tahoa, joka on solminut Sopimuksen Open Badge Factory -palveluiden tarjoamisesta. Tämä DPA on olennainen ja erottamaton osa Sopimusta. DPA:ssa viitataan Asiakkaaseen ja Toimittajaan yhdessä sanalla ”Osapuolet” ja erikseen ”Osapuoli”.

Toimittaja toimii Henkilötietojen käsittelijänä Asiakkaan puolesta, joka toimii rekisterinpitäjänä. Toimittaja käsittelee Henkilötietoja käsittelijänä Asiakkaan puolesta palveluita tarjotessaan.

Henkilötietojen käsittelyä kuvataan tarkemmin Liitteessä 1 (Henkilötietojen käsittelyn kuvaus ja yksityiskohdat), joka on liitetty tähän DPA:han.

Mikäli DPA:n tekstiosan tai sen Liitteiden, Sopimuksen tai Tietosuojalainsäädännön sisältöjen välillä on ristiriitaisuuksia, sovelletaan seuraavaa etusijajärjestystä:

  • Tietosuojalainsäädäntö
  • Tämän DPA:n Liitteet; Liitteiden välinen etusija määräytyy numerojärjestyksen mukaan siten, että pienemmällä numerolla varustettu Liite on etusijalla suuremmalla numerolla varustettuun Liitteeseen nähden
  • DPA
  • Sopimus

2. Yhteystiedot

Toimittaja on Open Badge Factory Oy.

Toimittajan osoite on Kalasuolantie 11, 90220 Oulu, Suomi.

Kaikki tämän DPA:n mukaiset Toimittajalle osoitetut raportit ja ilmoitukset on lähetettävä sähköpostitse osoitteeseen: contact(at)openbadgefactory.com. Toimittajan tietosuojavastaava on Open Badge Factory Oy:n toimitusjohtaja.

3. Määritelmät

TERMI

Alikäsittelijä

MÄÄRITELMÄ

tarkoittaa Toimittajan puolesta toimivaa käsittelijää.

Asianmukainen Siirtomekanismi

tarkoittaa Siirtomekanismeja, jotka mahdollistavat Henkilötietojen laillisen siirron Tietosuojalainsäädännön mukaisesti, mukaan lukien GDPR:n 46 artiklan mukaiset asianmukaiset suojatoimenpiteet.

ETA

tarkoittaa Euroopan talousaluetta, joka koostuu Euroopan unionin jäsenvaltioista sekä Islannista, Liechtensteinista ja Norjasta.

GDPR

tarkoittaa Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) ja sen muutoksia.

EEA

means the European Economic Area, consisting of the Member States of the European Union and Iceland, Liechtenstein and Norway.

Henkilötiedot

tarkoittaa kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja, joita Toimittaja käsittelee Sopimuksen nojalla tai muutoin ja joiden rekisterinpitäjä on Asiakas. Tässä yhteydessä käsittelyllä tarkoitetaan mitä tahansa Toimittajan suorittamaa henkilötietojen käsittelytoimenpidettä tai toimenpidesarjaa millä tahansa tavalla, kuten henkilötietojen keräämistä, järjestämistä, tallentamista, muuttamista, hakemista, käyttöä, luovuttamista, siirtämistä, yhdistämistä, estämistä, poistamista tai tuhoamista.

Henkilötietojen käsittelyn kuvaus ja yksityiskohdat

tarkoittaa DPA:n Liitettä, jossa kuvataan DPA:n nojalla tapahtuvaa Henkilötietojen Käsittelyä.

Henkilötietojen Tietoturvaloukkaus

tarkoittaa Tietoturvaloukkausta, joka johtaa lähetettyjen, tallennettujen tai muutoin käsiteltyjen Henkilötietojen tuhoutumiseen, katoamiseen, muuttumiseen, luvattomaan luovuttamiseen tai luvattomaan pääsyyn Henkilötietoihin.

Kolmas Maa

tarkoittaa mitä tahansa Euroopan unionin (EU) ja Euroopan talousalueen (ETA) ulkopuolella sijaitsevaa maata tai aluetta, johon ei sovelleta Euroopan komission GDPR:n 45 artiklan nojalla tekemää voimassa olevaa tietosuojan riittävyyttä koskevaa päätöstä.

Rekisteröity

tarkoittaa luonnollista henkilöä, jonka Henkilötietoja Toimittaja käsittelee Sopimuksen ja tämän DPA:n nojalla.

Tietosuojalainsäädäntö

tarkoittaa kaikkia henkilötietojen suojaamiseen sovellettavia lakeja, mukaan lukien rajoituksetta GDPR ja sen muutokset sekä muut sovellettavat EU:n tai kansalliset yksityisyyden suojaa ja tietosuojaa koskevat lait ja asetukset sekä niiden muutokset. Jos Asiakas on sijoittautunut Yhdistyneeseen kuningaskuntaan, tietosuojalainsäädäntöön kuuluvat myös Yhdistyneen kuningaskunnan GDPR ja vuoden 2018 tietosuojalaki sekä niiden muutokset.

UK GDPR

tarkoittaa GDPR:ää sellaisena kuin se on osa Englannin, Walesin, Skotlannin ja Pohjois-Irlannin lainsäädäntöä vuoden 2018 Euroopan unionista eroamista koskevan lain (European Union (Withdrawal) Act 2018) 3 §:n nojalla, sellaisena kuin se on muutettuna vuoden 2019 tietosuojaa, yksityisyyttä ja sähköistä viestintää koskevilla (EU:sta eroamista koskevilla) asetuksilla (Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019) sisältäen myöhemmät muutokset. Sovelletaan vain, jos Asiakas on sijoittautunut Yhdistyneeseen kuningaskuntaan.

Tietosuojalainsäädännössä määritellyillä termeillä, joita ei ole määritelty tässä asiakirjassa, on Tietosuojalainsäädännössä niille annettu merkitys.

4. Asiakkaan oikeudet ja velvollisuudet

Asiakkaan on käsiteltävä Henkilötietoja Tietosuojalainsäädännön ja hyvän tietojenkäsittelykäytännön mukaisesti. 

Tämä DPA tulee automaattisesti voimaan Osapuolten välillä, kun Asiakas hyväksyy Palvelun Käyttöehdot ja luo tilin. Tämä vakiomuotoinen DPA koskee kaikkia lisenssitasoja (Basic, Premium, Pro ja Enterprise). Ainoastaan Enterprise-lisenssin haltijat voivat pyytää poikkeusta tämän DPA:n erikseen allekirjoitetun version käyttöönottamiseksi. Jos Osapuolet solmivat erikseen allekirjoitetun DPA:n, kyseinen allekirjoitettu versio korvaa tämän automaattisen DPA:n. Asiakkaan Toimittajalle antamat kirjalliset ohjeet sisältyvät tähän DPA:han ja sen Liitteisiin. Asiakkaan uudet tai muutetut kirjalliset ohjeet edellyttävät Osapuolten välistä kirjallista sopimusta. Toimittajalla on oikeus veloittaa Asiakkaalta lisäkustannukset, jotka aiheutuvat Asiakkaan uusien tai muutettujen kirjallisten ohjeiden noudattamisesta, sekä muut odottamattomat kustannukset ja kulut, jotka johtuvat tehtävistä, joita ei ole mainittu tässä DPA:ssa ja sen Liitteissä. Lisäksi Asiakas sitoutuu:

  • varmistamaan, että tämän DPA:n piiriin kuuluvien Henkilötietojen käsittelylle on laillinen peruste ja että Tietosuojalainsäädännön mukaiset tarvittavat tietojenkäsittelysopimukset ovat voimassa;
  • varmistamaan, että Rekisteröidyt ovat Tietosuojalainsäädännön mukaisesti saaneet riittävät tiedot käsittelystä, mukaan lukien tiedot siitä, että Toimittaja voi käsitellä henkilötietoja Asiakkaan puolesta;
  • ilmoittamaan Toimittajalle välittömästi sen jälkeen, kun asia on tullut Asiakkaan tietoon, kaikista virheellisistä, oikaistuista, päivitetyistä tai poistetuista Henkilötiedoista, joita Toimittaja käsittelee; ja
  • antamaan Toimittajalle ajoissa lailliset ja dokumentoidut ohjeet Toimittajan suorittamasta Henkilötietojen käsittelystä.

5. Toimittajan velvollisuudet

5.1 Henkilötietojen käsittelyyn sovellettavat yleiset periaatteet

Toimittajan on:

5.1.1 käsiteltävä Henkilötietoja tämän DPA:n, Tietosuojalainsäädännön ja hyvän tietojenkäsittelykäytännön mukaisesti;

5.1.2 käsiteltävä Henkilötietoja Asiakkaan dokumentoitujen ohjeiden mukaisesti, ellei Toimittajaan sovellettavasta Tietosuojalainsäädännöstä muuta johdu. Tällöin Toimittajan on ilmoitettava Asiakkaalle kyseisestä vaatimuksesta kohtuullisessa ajassa ennen Henkilötietojen käsittelyn aloittamista ohjeiden mukaisesti, ellei Tietosuojalainsäädännössä kielletä tällaisen vaatimuksen ilmoittamista. Mikäli Toimittaja katsoo, että Asiakkaan ohjeet ovat Tietosuojalainsäädännön vastaisia, Toimittajan on ilmoitettava asiasta Asiakkaalle ilman aiheetonta viivytystä;

5.1.3 varmistettava, että Toimittajan palveluksessa olevat henkilöt, joilla on pääsy Henkilötietoihin, ovat sitoutuneet noudattamaan asianmukaisia salassapitovelvoitteita;

5.1.4 toteutettava tämän DPA:n kohdassa 5.2 (Tietoturvallisuus) määrätyt toimenpiteet;

5.1.5 noudatettava tämän DPA:n kohdassa 8 (Alikäsittelijät) määriteltyjä Alikäsittelijöiden käyttöä koskevia ehtoja;

5.1.6 otettava huomioon Toimittajan käytettävissä olevat tiedot, avustaa Asiakasta vastaamaan Rekisteröityjen oikeuksien käyttämistä koskeviin pyyntöihin, jos Asiakkaalla ei ole tarvittavia tietoja. Toimittajalla on oikeus veloittaa Asiakkaalta kustannukset ja kulut, jotka aiheutuvat tämän kohdan 5.1.6 noudattamisesta;

5.1.7 otettava huomioon Toimittajan käytettävissä olevat tiedot ja avustettava Asiakasta sen Tietosuojalainsäädännössä määriteltyjen velvoitteiden noudattamisessa, jotka liittyvät tietoturvaan, Henkilötietojen Tietoturvaloukkauksiin (kuten tarkemmin määritelty DPA:n kohdassa 6), tietosuojavaikutusten arviointeihin ja ennakkokuulemisvelvoitteisiin. Toimittajalla on oikeus veloittaa Asiakkaalta kustannukset ja kulut, jotka ovat aiheutuneet tämän kohdan 5.1.7 noudattamisesta;

5.1.8 Asiakkaan valinnan mukaan poistettava tai palautettava Henkilötiedot Asiakkaalle DPA:n kohdassa 11.2 määrätyllä tavalla;

5.1.9 toimitettava Asiakkaalle kaikki tiedot, jotka ovat tarpeen tämän DPA:n ja Tietosuojalainsäädännön mukaisten velvoitteiden noudattamisen osoittamiseksi. Asiakas on velvollinen pitämään kaikki tällaiset tiedot luottamuksellisina. Toimittajalla on oikeus veloittaa Asiakkaalta kustannukset ja kulut, jotka ovat aiheutuneet tämän kohdan 5.1.9 noudattamisesta;

5.1.10 sallittava Asiakkaan suorittaa tarkastuksia tämän DPA:n kohdassa 9 (Tarkastukset) määritellyllä tavalla.

5.2 Tietoturvallisuus

Toimittajan on toteutettava tekniset ja organisatoriset toimenpiteet varmistaakseen asianmukaisen turvallisuustason Henkilötietojen suojaamiseksi luvattomalta pääsyltä sekä katoamiselta, tuhoamiselta, vahingoittumiselta, muuttamiselta tai paljastamiselta tai muulta lainvastaiselta käsittelyltä. Tekniset ja organisatoriset toimenpiteet on dokumentoitu Liitteessä 3 (Luettelo teknisistä ja organisatorisista toimenpiteistä).

6. Henkilötietojen Tietoturvaloukkauksista ilmoittaminen

6.1 Toimittajan on ilmoitettava Asiakkaalle kaikista Henkilötietojen Tietoturvaloukkauksista ilman aiheetonta viivytystä sen jälkeen, kun Toimittaja on saanut tiedon epäillystä Henkilötietojen Tietoturvaloukkauksesta. Ilmoituksessa Henkilötietojen Tietoturvaloukkauksesta on oltava seuraavat tiedot:

  • kuvaus Henkilötietojen Tietoturvaloukkauksen luonteesta, mukaan lukien asianomaisten Rekisteröityjen ryhmät ja arvioitu lukumäärä sekä asianomaisten tietueiden ryhmät ja arvioitu lukumäärä;
  • Henkilötietojen Tietoturvaloukkauksen käsittelystä vastaavan Toimittajan yhteyshenkilön nimi ja yhteystiedot;
  • kuvaus Henkilötietojen Tietoturvaloukkauksen todennäköisistä ja/tai toteutuneista seurauksista; ja
  • kuvaus toimenpiteistä, joihin Toimittaja on ryhtynyt Henkilötietojen Tietoturvaloukkauksen korjaamiseksi ja sen haitallisten vaikutusten lieventämiseksi.

6.2 Jos lueteltuja tietoja ei ole mahdollista toimittaa kerralla, tiedot voidaan toimittaa vaiheittain.

6.3 Toimittajan on dokumentoitava Henkilötietojen Tietoturvaloukkaukset ja toimitettava dokumentaatio Asiakkaalle tämän pyynnöstä.

6.4 Kun Toimittaja on saanut tiedon Henkilötietojen Tietoturvaloukkauksesta, sen on varmistettava Henkilötietojen turvallisuus ja toteutettava asianmukaiset toimenpiteet Henkilötietojen suojan varmistamiseksi yhteistyössä Asiakkaan kanssa.

7.  Henkilötietojen siirrot

7.1 Toimittaja ei saa siirtää Henkilötietoja Kolmanteen Maahan tai Kolmannessa Maassa henkilötietoja käsittelevälle Alikäsittelijälle, ellei Asiakas ole antanut etukäteen kirjallista lupaa siirtoon ja Toimittaja varmistanut, että Asianmukainen Siirtomekanismi on käytössä ennen Henkilötietojen siirtämistä Kolmanteen Maahan.

8. Alikäsittelijät

8.1 Toimittajalla on oikeus käyttää Alikäsittelijöitä Henkilötietojen käsittelyssä, kun Asiakas on hyväksynyt kyseiset Alikäsittelijät. Päivänä, jona Asiakas solmii Sopimuksen ja hyväksyy tämän DPA:n ehdot, Asiakas suostuu samanaikaisesti käyttämään Alikäsittelijöitä, jotka on kyseisenä päivänä lueteltu Liitteessä 2 (Luettelo hyväksytyistä Alikäsittelijöistä).

8.2 Toimittajalla on oikeus vähentää Alikäsittelijöiden määrää ilman erillistä ilmoitusta.

8.3 Toimittajan on ilmoitettava Asiakkaalle tämän DPA:n nojalla Henkilötietoja käsittelevän Alikäsittelijän lisäämisestä vähintään kolmekymmentä (30) päivää ennen kuin Alikäsittelijä aloittaa Henkilötietojen käsittelyn. Jos Asiakkaan kieltäytyminen uuden Alikäsittelijän käytöstä aiheuttaa Toimittajalle lisäkustannuksia tai -kuluja, Asiakkaan on korvattava Toimittajalle kyseiset lisä- ja/tai korotetut kustannukset ja kulut. Mikäli Toimittaja ja Asiakas eivät pääse sopimukseen uuden Alikäsittelijän käyttöönotosta, Toimittajalla on oikeus irtisanoa Sopimus neljäntoista (14) päivän irtisanomisajalla kieltäytymisen jälkeen joko kokonaan ja/tai niiden Palvelujen osalta, joita Toimittaja katsoo, ettei voida kohtuudella toimittaa Sopimuksen mukaisesti Asiakkaan kieltäydyttyä lisättävästä Alikäsittelijästä.

8.4 Toimittajan on varmistettava, että Alikäsittelijät noudattavat tässä DPA:ssa määriteltyjä velvoitteita, mukaan lukien tietoturva- ja salassapitovaatimukset. Toimittaja on vastuussa Alikäsittelijöistään ja näiden työstä kuten omastaan.

9. Auditoinnit

9.1 Asiakkaalla tai Asiakkaan nimeämällä kolmannella osapuolella (joka ei ole Toimittajan kilpailija) on oikeus suorittaa auditointi koskien sitä, että Toimittaja noudattaa tässä DPA:ssa ja Tietosuojalainsäädännössä määriteltyjä velvoitteita, jotta voidaan varmistaa, että Toimittaja on täyttänyt tässä DPA:ssa määritellyt velvoitteet.

9.2 Asiakas vastaa Toimittajalle ja Asiakkaalle auditoinnista aiheutuvista kustannuksista ja kuluista. Asiakas vastaa kolmannen osapuolen palkkioista ja kuluista sekä kaikista auditointiin liittyvistä kustannuksista.

9.3 Asiakkaan on ilmoitettava Toimittajalle auditoinnista vähintään kolmekymmentä (30) arkipäivää etukäteen. Toimittajan on avustettava Asiakasta ja/tai kolmatta osapuolta auditoinnin suorittamisessa kohtuullisin toimenpitein tavanomaisena työaikana. Auditointi on suoritettava mahdollisimman nopeasti, eikä se saa häiritä Toimittajan normaalia liiketoimintaa. Auditoijan on noudatettava Toimittajan työohjeita, turvallisuusvaatimuksia ja standardeja suorittaessaan paikan päällä tehtäviä tarkastuskäyntejä. Ennen auditoinnin aloittamista Asiakkaan tai riippumattoman tarkastajan (mukaan lukien auditointia suorittavat osapuolet/henkilöt) on allekirjoitettava Toimittajan toimittama tai hyväksymä salassapitosopimus tai -sopimukset.

9.4 Jos auditoinnissa havaitaan puutteita, Toimittajan on korjattava ne viipymättä tai viimeistään kolmenkymmenen (30) päivän kuluessa Asiakkaan kirjallisesta ilmoituksesta, elleivät Osapuolet toisin sovi. Kaikki olennaiset puutteet, jotka muodostavat ilmeisen uhan tietoturvalle, on korjattava viipymättä.

10. Vastuunrajoitus

10.1 Jos henkilölle aiheutuu aineellista tai aineetonta vahinkoa Tietosuojalainsäädännön tai tämän DPA:n rikkomisen seurauksena, Toimittaja on vastuussa vahingosta vain siltä osin kuin se on laiminlyönyt Tietosuojalainsäädännössä tai tässä DPA:ssa Henkilötietojen käsittelijöille asetettuja velvoitteita.

10.2 Molemmat Osapuolet ovat velvollisia maksamaan vain sen osan vahingoista tai hallinnollisesta sakosta, joka vastaa heidän vahingonkorvausvastuutaan, joka on vahvistettu tietosuojaviranomaisen tai tuomioistuimen lopullisessa päätöksessä. Toimittaja ei kuitenkaan ole vastuussa mistään vahingoista tai hallinnollisista sakoista siltä osin kuin kyseiset vahingot tai hallinnolliset sakot johtuvat suoraan tai epäsuorasti Asiakkaan toiminnasta tai sen laiminlyönnistä. Toimittaja ei ole vastuussa menetetyistä voitoista tai välillisistä vahingoista. Selvyyden vuoksi todetaan, että Asiakkaalle määrätyt ja tämän maksamat hallinnolliset sakot katsotaan välillisiksi vahingoiksi.

10.3 Muilta osin Osapuolten vastuu määräytyy Sopimuksen mukaisesti. Tässä kohdassa 10 sovitut seikat eivät rajoita Sopimuksessa sovittujen vastuurajoitusten soveltamista.

11. Voimassaolo ja irtisanominen

11.1 Tämä DPA tulee voimaan, kun Osapuolet ovat solmineet Sopimuksen, ja se pysyy voimassa Sopimuksen irtisanomiseen tai päättymiseen saakka, edellyttäen että Osapuolilla ei ole toisiaan kohtaan muita Henkilötietojen käsittelyyn liittyviä velvoitteita.

11.2 Asiakkaan lisenssin päättyessä Asiakkaan tili ja sen koko sisältö säilytetään kuuden (6) kuukauden ajan. Tämän säilytysajan kuluessa Asiakkaalla on edelleen pääsy tiliinsä ja hän voi viedä tietonsa Palvelusta milloin tahansa. Yksi (1) kuukausi ennen kuuden (6) kuukauden säilytysajan päättymistä Toimittaja lähettää Asiakkaalle kirjallisen muistutuksen, jossa ilmoitetaan Asiakkaan tilin ja tietojen tulevasta poistamisesta. Kuuden (6) kuukauden säilytysajan päätyttyä Toimittaja poistaa pysyvästi kaikki Henkilötiedot ja tilin sisällön, lukuun ottamatta Henkilötietoja, joita tarvitaan Sopimuksen nojalla myönnettyjen merkkien ylläpitoon, kuten kohdassa 11.6 kuvataan. Kun säilytysaika on päättynyt ja tiedot on poistettu, Toimittaja ei voi palauttaa tai ennallistaa kyseisiä tietoja Asiakkaalle.

11.3 Asiakas voi poistaa tilinsä ja kaiken siihen liittyvän sisällön milloin tahansa. Ennen poistamista Asiakas voi viedä tilitietonsa suoraan Palvelusta. Koska Asiakkaalla on mahdollisuus viedä omat tietonsa, Toimittajaa ei velvoiteta toimittamaan tietoja Asiakkaalle tilin poistamisen yhteydessä. Oletusarvoisesti tilin poistaminen ei vaikuta Henkilötietoihin, joita tarvitaan Sopimuksen nojalla aiemmin myönnettyjen merkkien ylläpitoon. Asiakas voi kuitenkin päättää peruuttaa kaikki myönnetyt merkit, jolloin myös yksinomaan ylläpitotarkoituksiin käytetyt niihin liittyvät Henkilötiedot poistetaan. Asiakas hyväksyy, että myönnettyjen merkkien peruuttaminen mitätöi ne pysyvästi, mikä tarkoittaa, että merkkien saajat eivät enää voi käyttää, näyttää tai tarkistaa merkkejään.

11.4 Jos Asiakas on rekisteröinyt kokeilutilin eikä ole ostanut lisenssiä kuudenkymmenen (60) päivän kokeilujakson kuluessa, kokeilutili ja kaikki siihen liittyvä sisältö, mukaan lukien kaikki myönnetyt merkit, säilytetään kuuden (6) kuukauden ajan kokeilujakson päättymisestä. Tämän säilytysajan kuluessa Asiakkaalla on edelleen pääsy tiliinsä ja hän voi viedä tietojaan milloin tahansa. Yksi (1) kuukausi ennen kuuden (6) kuukauden säilytysajan päättymistä Toimittaja lähettää Asiakkaalle kirjallisen muistutuksen, jossa ilmoitetaan tilin ja tietojen tulevasta poistamisesta. Kuuden (6) kuukauden säilytysajan päätyttyä Toimittaja poistaa pysyvästi ja peruuttaa automaattisesti kaikki Henkilötiedot, tilin sisällön ja myönnetyt merkit ilman erillistä ilmoitusta. Asiakas hyväksyy, että merkkien automaattinen peruuttaminen mitätöi ne pysyvästi, mikä tarkoittaa, että merkkien saajat eivät enää voi käyttää, näyttää tai tarkistaa merkkejään. Koska kokeilutilin puitteissa myönnettyjä merkkejä ei ole luotu kaupallisen lisenssin nojalla, Toimittaja ei ole velvollinen säilyttämään Henkilötietoja kokeilutilin poistamisen jälkeen. Kun säilytysaika on päättynyt ja tiedot on poistettu, Toimittaja ei voi palauttaa tai entisöidä kyseisiä tietoja Asiakkaalle.

11.5 Selvyyden vuoksi todetaan, että mikäli kohdissa 11.2 tai 11.4 tarkoitetun kirjallisen muistutuksen lähettäminen tai vastaanottaminen epäonnistuu tai viivästyy mistä tahansa syystä, tällä ei ole vaikutusta kohdissa 11.2 ja 11.4 tarkoitettuun kuuden (6) kuukauden säilytysaikaan eikä Asiakkaan tilin, sen sisällön, Henkilötietojen tai myönnettyjen merkkien poistamiseen säilytysajan päätyttyä.

11.6 Edellä mainitusta huolimatta tämän DPA:n irtisanomisen tai voimassaolon päättymisen jälkeen Toimittaja voi oman harkintansa mukaan säilyttää Henkilötietoja, jotka ovat välttämättömiä, jotta Toimittaja voi pitää saatavilla kaupallisen lisenssin nojalla myönnettyjä merkkejä. Toimittaja käsittelee tällaisia Henkilötietoja rekisterinpitäjänä ainoastaan merkkien ylläpitämiseksi ja jotta Rekisteröidyt voivat käyttää, tarkastella ja näyttää merkkejä. Tätä DPA:ta ei enää sovelleta tällaiseen käsittelyyn, jota Toimittaja suorittaa rekisterinpitäjänä.

12. Yhdistyneeseen kuningaskuntaan sijoittautuneita Asiakkaita koskevat lisäehdot

12.1 Tämä luku 12 koskee yksinomaan Yhdistyneeseen kuningaskuntaan sijoittautuneita Asiakkaita ja täydentää tämän DPA:n määräyksiä vastaavasti. Mikäli luvun 12 ja DPA:n muiden osien välillä on ristiriita, luku 12 on ensisijainen Yhdistyneeseen kuningaskuntaan sijoittautuneiden Asiakkaiden osalta.

12.2 Sovellettava lainsäädäntö. Yhdistyneeseen kuningaskuntaan sijoittautuneiden asiakkaiden osalta tietosuojalainsäädäntöön kuuluvat EU:n yleisen tietosuoja-asetuksen (GDPR) lisäksi Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus (UK GDPR) ja vuoden 2018 tietosuojalaki (Data Protection Act 2018). Kaikki viittaukset GDPR:ään tässä DPA:ssa on tulkittava siten, että ne sisältävät soveltuvin osin vastaavat viittaukset Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen (UK GDPR).

12.3 Toimivaltainen valvontaviranomainen. Yhdistyneeseen kuningaskuntaan sijoittautuneiden Asiakkaiden osalta toimivaltainen valvontaviranomainen on Information Commissioner’s Office (ICO), jonka osoite on Wycliffe House, Water Lane, Wilmslow, Cheshire, SK9 5AF, Yhdistynyt kuningaskunta http://www.ico.org.uk.

12.4 Tietojen siirrot. Tämän DPA:n kohdan 7.1 mukaisia Henkilötietojen siirtoja Yhdistyneestä kuningaskunnasta koskevat UK GDPR:n säännökset ja Yhdistyneen kuningaskunnan lainsäädännössä tunnustetut asiaankuuluvat suojatoimet, mukaan lukien Yhdistyneen kuningaskunnan kansainvälinen tietosiirtosopimus (IDTA) tai mikä tahansa ICO:n hyväksymä vastaava suojatoimi, kohdassa 7.1 määriteltyjen Siirtomekanismien lisäksi.

Liite 1 — Henkilötietojen käsittelyn kuvaus ja yksityiskohdat

Henkilötietojen käsittelyn luonne ja tarkoitukset

Käsittelyn luonne on Henkilötietojen kerääminen, levittäminen tai muu saataville asettaminen, tallentaminen ja jäsentäminen.
Toimittaja käsittelee Henkilötietoja ainoastaan Open Badge Factory -palvelun tarjoamiseksi, jotta Asiakas voi täyttää tietoja merkkien vastaanottajista kunkin vastaanottajan yksilöllisten merkkien luomiseksi sekä merkkien siirtämiseksi vastaanottajille. Lisäksi Toimittaja käsittelee Henkilötietoja merkkien ylläpitämiseksi sekä mahdollistaakseen sen, että Rekisteröity voi käyttää, tarkastella ja näyttää niitä. Lisäksi Toimittaja käsittelee Henkilötietoja myöntääkseen pääsyn Open Badge Factory -palvelun Asiakkaan käyttäjätiliin, ylläpitääkseen tilejä sekä mahdollistamaan myönnettyjen merkkien ja muiden tilitietojen tarkastelun. Toimittaja voi myös ryhtyä toimenpiteisiin ilman Asiakkaan ennakkokuulemista, kun Rekisteröidyt käyttävät GDPR:n tai UK GDPR:n mukaisia oikeuksiaan, ja esimerkiksi antaa Rekisteröidyille pääsyn omiin Henkilötietoihinsa tai poistaa Henkilötiedot nimenomaisen pyynnön perusteella.

Rekisteröityjen ryhmät ja Henkilötiedot

Rekisteröityjen ryhmiä, joiden Henkilötietoja käsitellään, ovat Asiakkaan edustajat, työntekijät, opiskelijat, liikekumppanit tai muut yhteistyökumppanit, jäsenet tai Asiakkaan omat asiakkaat sekä kaikki Rekisteröidyt, jotka saavat Asiakkaan myöntämän merkin.

Toimittaja käsittelee ainoastaan seuraavia Henkilötietoryhmiä:

Asiakkaan tilin käyttäjien tunnistus- ja yhteystiedot: nimi, tilin salasana, sähköpostiosoite

Asiakkaan tilin käyttäjien ja vastaanottajien tekniset tiedot: IP-osoite, muut Palvelun käyttöön liittyvät tekniset tiedot, tilin nimi, tilin salasana, kirjautumistiedot, kirjautumisaika, Tietoturvaloukkauksiin liittyvät tiedot
Asiakkaan tai merkin vastaanottajan toimittamat vastaanottajien tiedot merkinmyöntämistä varten: etunimi, sukunimi, sähköpostiosoite, taidot, suoritetut koulutukset ja muut vastaanottajan saavutukset, merkin hakijan työt, kuten tekstit, kuvat tai videot, jotka saattavat sisältää henkilötietoja, jakamiset sosiaalisessa mediassa (LinkedIn ja muut palvelut)

Henkilötietojen käsittelyn kesto

Henkilötietoja käsitellään niin kauan kuin se on tarpeen Sopimuksen mukaisten Palvelujen tarjoamiseksi.

Liite 2 — Luettelo hyväksytyistä Alikäsittelijöistä

Alikäsittelijä

Henkilötietojen käsittelyn tarkoitus

Henkilötietojen
maantieteellinen sijainti

AWS

Mailer-järjestelmä — Open Badge Factory -sähköpostien lähettäminen ja Open Badge Factoryn tietojen varmuuskopioiden tallentaminen

Irlanti (EU)

Mailjet

Mailer-järjestelmä — Open Badge Factory -sähköpostien lähettäminen

Ranska (EU)

UpCloud

Pilvipalveluntarjoaja — palvelun isännöinti ja Open Badge Factoryn tietojen varmuuskopioiden tallentaminen

Saksa (EU)

Liite 3 — Luettelo teknisistä ja organisatorisista
toimenpiteistä

Viimeksi päivitetty: 21.8.2026

Toimittaja on toteuttanut seuraavat tekniset ja organisatoriset toimenpiteet varmistaakseen
asianmukaisen tietoturvatason Henkilötietojen käsittelylle DPA:n nojalla, GDPR:n 32 artiklan
ja soveltuvilta osin UK GDPR:n vastaavien säännösten mukaisesti.

1. Pääsynvalvonta

Fyysinen pääsynvalvonta

Toimittajan palveluja isännöidään EU:ssa pilvipalveluntarjoajan tiloissa, joiden datakeskuksissa on käytössä seuraavat fyysiset turvatoimenpiteet: magneetti- tai sirukorttijärjestelmät, sähköiset ovien avaajat, kiinteistön turvapalvelut, sisäänkäynnin vartiointihenkilöstö, hälytysjärjestelmät sekä video- ja CCTV-valvonta.
Pilvipalveluntarjoajalla on seuraavat sertifikaatit: ISO 22301 (turvallisuus ja palautumiskyky), ISO 27001 (tietoturvan hallinta), SOC 2 Type II (tietoturva ja yksityisyys) sekä PCI-DSS (tietoturva).

Sähköinen kulunvalvonta

Toimittajan palvelu on suojattu palomuureilla ja TLS-salauksella. Pääsy tietojenkäsittely- ja tallennusjärjestelmiin on rajoitettu vain valtuutetuille ja nimetyille järjestelmänvalvojille. Järjestelmänvalvojan pääsy edellyttää kaksivaiheista todennusta ja salattuja yhteyksiä. Kaikki järjestelmänvalvojan toimet kirjataan turvallisuuden seurantaa varten.

Eristämisen hallinta

Toimittaja käyttää moniasiakasarkkitehtuuria (multi-tenant), jossa kaikkia asiakasorganisaatioita palvellaan yhdellä jaetulla käyttöönotolla. Looginen eristäminen toteutetaan sovellustasolla: kukin asiakasorganisaatio pääsee käsiksi vain omiin tietoihinsa, ja arkkitehtuuri estää yhden asiakkaan tietojen luvattoman käytön tai paljastamisen toiselle asiakkaalle. Käyttöoikeudet rajataan asiakasorganisaatioon ja niitä valvotaan jokaisessa pyynnössä. Toimittaja ei tarjoa asiakaskohtaisia tai fyysisesti erillisiä ympäristöjä.

2. Tietojen salaus

Kaikki Toimittajan järjestelmiin tallennetut tiedot salataan alan standardien mukaisilla salausprotokollilla. Kaikki järjestelmien tai päätelaitteiden välillä siirrettävät tiedot suojataan TLS-salauksella luvattoman pääsyn tai sieppauksen estämiseksi. Henkilötietoja poistettaessa sovelletaan anonymisointia, jos tunnisteita ei voida poistaa kokonaan.

3. Fyysinen turvallisuus

Toimittaja luottaa pilvipalveluntarjoajansa turvalliseen datakeskuksen infrastruktuuriin, johon kuuluu edistyneitä fyysisiä suojatoimenpiteitä, kuten pääsynvalvonta, videovalvonta ja edellä kohdassa 1 luetellut sertifikaatit.

4. Tietojen säilyttäminen ja poistaminen

Palvelun sisällöstä luodaan päivittäin täydelliset varmuuskopiot tietojen saatavuuden ja Palvelun jatkuvuuden varmistamiseksi. Varmuuskopiot on tarkoitettu yksinomaan Palvelun sisällön palauttamiseen teknisen vian sattuessa, eikä niillä palauteta loppukäyttäjän tietoja, jotka on poistettu tarkoituksellisesti. Tietojen poistoprosessit noudattavat sovellettavaa tietosuojalainsäädäntöä, mukaan lukien tunnisteiden anonymisointi Henkilötietojen poistamisen yhteydessä.

5. Henkilötietojen Tietoturvaloukkaus – reagointi tapahtumiin

Henkilötietojen Tietoturvaloukkauksen sattuessa Toimittaja noudattaa tämän DPA:n kohdassa 6 kuvattuja menettelyjä GDPR:n 33 artiklan ja, soveltuvin osin, UK GDPR:n vastaavien säännösten mukaisesti. Loukkausvasteprosessiin kuuluu loukkauksen luonteen, sen todennäköisten seurausten ja sen korjaamiseksi toteutettujen toimenpiteiden dokumentointi sekä ilmoitus Asiakkaalle ilman aiheetonta viivytystä, jotta Asiakas voi täyttää ilmoitusvelvollisuutensa asianomaiselle valvontaviranomaiselle lakisääteisessä määräajassa.

6. Henkilöstö ja salassapitovelvollisuus

Kaikki Toimittajan henkilöstön jäsenet ja järjestelmänvalvojat, joilla on pääsy Henkilötietoihin, ovat tiukkojen pääsynvalvontamenettelyjen alaisia ja sitoutuneet noudattamaan asianmukaisia salassapitovelvoitteita. Sisäiset menettelytavat varmistavat sovellettavan Tietosuojalainsäädännön ja tässä DPA:ssa määriteltyjen velvoitteiden noudattamisen.

7. Varmuuskopiointi ja katastrofipalautus

Palvelun sisällöstä tehdään päivittäin täydelliset varmuuskopiot. Varmuuskopiot salataan sekä siirron aikana että tallennettuna, ja ne replikoidaan kahteen erilliseen tallennuspaikkaan, joita ylläpitävät kaksi erillistä infrastruktuuripalveluntarjoajaa. Kumpaankin pääsee erillisillä järjestelmänvalvojan tunnuksilla, joita suojaa kaksivaiheinen todennus, jotta yhden palveluntarjoajan vaarantuminen tai käytön estyminen ei vaikuta toisen palveluntarjoajan
hallussa oleviin varmuuskopioihin. Varmuuskopiot säilytetään kolmenkymmenen (30) päivän ajan, minkä jälkeen vanhimmat varmuuskopiot poistetaan automaattisesti ja pysyvästi. Palautusmenettely dokumentoidaan ja testataan vähintään kerran vuodessa, mukaan lukien palautettujen tietojen eheyden ja käytettävyyden tarkistaminen. Tietokeskukset on varustettu keskeytymättömillä virtalähteillä (UPS), sähkögeneraattoreilla, palomuureilla ja virustorjuntaohjelmistoilla. Säännöllinen valvonta varmistaa Toimittajan palveluiden vikasietoisuuden ja saatavuuden.

8. Alikäsittelijät ja Toimittajan hallinta

Toimittaja käyttää Henkilötietojen käsittelyyn tämän DPA:n Liitteessä 2 lueteltuja Alikäsittelijöitä. Kaikkiin Alikäsittelijöihin sovelletaan tämän DPA:n mukaisia sopimusvelvoitteita, mukaan lukien turvallisuus- ja luottamuksellisuusvaatimukset. Toimittaja on vastuussa Alikäsittelijöidensä toimista kuten omista toimistaan.

9. Pseudonymisointi ja anonymisointi

Toimittaja soveltaa pseudonymisointia käyttämällä käyttäjätunnuksia ja identiteettihash-arvoja. Anonymisointia sovelletaan, kun Henkilötiedot poistetaan, jolloin varmistetaan, ettei niitä voida tunnistaa uudelleen.

10. Tarkastus ja seuranta

Toimittaja suorittaa säännöllisesti teknisten ja organisatoristen toimenpiteidensä testausta, arviointia ja tarkastelua varmistaakseen käsittelyjärjestelmiensä ja Palveluidensa jatkuvan luottamuksellisuuden, eheyden, saatavuuden ja vikasietoisuuden. Turvallisuutta ja säännösten
noudattamista tarkastellaan sekä kehitys- että tuotantovaiheissa. Tarkastuslokeja pidetään kaikkien tapahtumien ja järjestelmänvalvojien toimien seurantaa varten.