Henkilötietojen käsittelysopimus

Sopimuksen osapuolet ovat valmennusalustaa käyttävä valmentaja (rekisterinpitäjä) ja palvelun tarjoaja Konfit Oy (y-tunnus 3551429-8, Torpantie 82 B, 90230 Oulu), jäljempänä Kiwi (käsittelijä).

Sopimus on käyttöehtojen erottamaton osa. Se tulee valmentajaa sitovaksi samalla, kun valmentaja hyväksyy käyttöehdot luomalla tilin tai jatkamalla palvelun käyttöä ehtojen muututtua. Sopimus on tehty sähköisessä muodossa, jonka tietosuoja-asetus hyväksyy kirjalliseksi muodoksi. Jos tämä sopimus ja käyttöehdot ovat ristiriidassa henkilötietojen käsittelyä koskevassa asiassa, sovelletaan tätä sopimusta.

Valmentaja päättää, mitä tietoja hän asiakkaistaan kerää ja mihin hän niitä valmennuksessa käyttää. Siksi valmentaja on asiakkaidensa tietojen rekisterinpitäjä. Kiwi käsittelee näitä tietoja vain palvelun tuottamiseksi valmentajan lukuun, joten Kiwi on tietosuoja-asetuksen tarkoittama henkilötietojen käsittelijä.

Valmentajan omista tiedoista, kuten tilistä ja tilaustiedoista, Kiwi on rekisterinpitäjä. Tästä käsittelystä kerrotaan tietosuojaselosteessa, eikä se kuulu tämän sopimuksen piiriin.

• Käsittelyn kohde ja tarkoitus: valmennuspalvelun tekninen tuottaminen eli ohjelmien ja ruokavalioiden jakaminen, valmentajan ja asiakkaan välinen viestintä, edistymisen seuranta sekä palveluun kuuluvat muistutukset ja ilmoitukset.
• Käsittelyn luonne: tietojen tallentaminen, säilyttäminen, järjestäminen, näyttäminen valmentajalle ja asiakkaalle, välittäminen osapuolten välillä, varmuuskopiointi ja poistaminen.
• Käsittelyn kesto: niin kauan kuin valmentajan tili on voimassa, sekä kohdassa 12 kuvattu poistoaika sen jälkeen.
• Rekisteröidyt: valmentajan valmennusasiakkaat.

Käsiteltävät tietoryhmät ovat:

• Perustiedot: nimi, sähköposti, puhelinnumero, syntymävuosi ja sukupuoli.
• Valmennuksen lähtötiedot: pituus, paino, tavoitteet, taustatiedot ja valmentajan muistiinpanot.
• Edistymisen seuranta: mittaukset, kehonkoostumusluvut, edistymiskuvat ja raporttivastaukset.
• Treeni- ja ravintokirjaukset sekä päivittäiset tavat, kuten askeleet, uni ja vesi.
• Valmentajan ja asiakkaan väliset viestit liitteineen, kuten kuvat, videot ja ääniviestit.
• Tekniset tiedot: kirjautumistiedot ja laitteen ilmoitustunnus push-ilmoituksia varten.

Osa tiedoista on terveyttä koskevia tietoja, jotka kuuluvat tietosuoja-asetuksen 9 artiklan erityisiin henkilötietoryhmiin.

Valmentaja vastaa siitä, että:

• Hänellä on lainmukainen peruste asiakkaidensa tietojen käsittelyyn. Terveystietojen käsittely edellyttää lähtökohtaisesti asiakkaan nimenomaista suostumusta tai muuta 9 artiklan mukaista perustetta.
• Hän kertoo asiakkailleen tietosuoja-asetuksen edellyttämällä tavalla, mitä tietoja heistä käsitellään, mihin tarkoitukseen ja mitä oikeuksia heillä on.
• Hän kirjaa alustalle vain valmennuksen kannalta tarpeellisia tietoja.
• Hänen Kiwille antamansa ohjeet ovat tietosuojalainsäädännön mukaisia.

Kiwi sitoutuu seuraavaan:

• Käsittelemme tietoja vain valmentajan dokumentoitujen ohjeiden mukaisesti. Ohjeet muodostuvat käyttöehdoista, tästä sopimuksesta ja siitä, miten valmentaja alustan toimintoja käyttää. Jos ohje on mielestämme tietosuojalainsäädännön vastainen, ilmoitamme siitä valmentajalle.
• Emme käytä valmennusasiakkaiden tietoja omiin tarkoituksiimme, emme markkinointiin emmekä myy tai luovuta niitä eteenpäin.
• Varmistamme, että jokainen tietoja käsittelevä henkilö on sitoutunut salassapitoon.
• Toteutamme kohdassa 10 kuvatut tekniset ja organisatoriset suojatoimet.
• Autamme valmentajaa vastaamaan rekisteröityjen oikeuksia koskeviin pyyntöihin alustan toimintojen avulla ja tarvittaessa erikseen pyynnöstä.
• Autamme valmentajaa tietoturvan varmistamisessa, tietoturvaloukkausten käsittelyssä ja tietosuojaa koskevissa vaikutustenarvioinneissa siltä osin kuin se on käsittelyn luonne huomioon ottaen mahdollista.
• Poistamme tai palautamme tiedot käsittelyn päättyessä kohdan 12 mukaisesti.
• Annamme valmentajalle tiedot, jotka ovat tarpeen tässä sopimuksessa sovittujen velvollisuuksien noudattamisen osoittamiseksi, ja sallimme auditoinnit kohdan 11 mukaisesti.

Valmentaja antaa Kiwille yleisen ennakkoluvan käyttää kohdassa 7 lueteltuja alihankkijoita. Jos alihankkija vaihtuu tai uusia lisätään, ilmoitamme siitä valmentajille sähköpostilla tai alustalla vähintään 30 päivää etukäteen. Valmentajalla on oikeus vastustaa muutosta perustellusta syystä. Jos ratkaisua ei löydy, valmentaja voi irtisanoa tilauksensa ennen muutoksen voimaantuloa.

Teemme jokaisen alihankkijan kanssa kirjallisen sopimuksen, jolla alihankkijalle asetetaan vähintään tätä sopimusta vastaavat tietosuojavelvoitteet. Vastaamme valmentajalle alihankkijoidemme työstä kuin omastamme.

• Supabase: tietokanta, kirjautuminen ja tiedostojen säilytys. Palvelimet sijaitsevat Frankfurtissa Saksassa.
• Vercel: sovelluksen ajoympäristö ja jakelu. Palvelimet sijaitsevat Frankfurtissa Saksassa.
• Google Workspace: sähköpostien lähetys, kuten kutsut, muistutukset ja salasanan palautukset.
• Expo: push-ilmoitusten välitys mobiilisovellukseen. Palvelu toimii Yhdysvalloissa.
• Apple ja Google: push-ilmoitusten tekninen jakelu asiakkaan laitteelle, kun asiakas käyttää mobiilisovellusta.

Maksunvälittäjä Stripe käsittelee vain valmentajan omia tilaustietoja, ei valmennusasiakkaiden tietoja, joten se ei ole tämän sopimuksen tarkoittama alihankkija.

Tiedot säilytetään EU:n alueella. Osa alihankkijoista voi kuitenkin käsitellä tietoja myös EU:n ja ETA:n ulkopuolella, esimerkiksi kun push-ilmoitus välitetään Yhdysvalloissa toimivan palvelun kautta. Tällaiset siirrot suojataan Euroopan komission hyväksymillä vakiosopimuslausekkeilla tai muulla tietosuoja-asetuksen V luvun mukaisella suojatoimella, kuten komission päätöksellä riittävästä tietosuojan tasosta.

Jos havaitsemme henkilötietoihin kohdistuvan tietoturvaloukkauksen, ilmoitamme siitä valmentajalle ilman aiheetonta viivytystä. Ilmoituksesta käy ilmi, mitä on tapahtunut, mitä tietoja ja keitä rekisteröityjä loukkaus todennäköisesti koskee, mitkä ovat todennäköiset seuraukset ja mitä toimenpiteitä olemme tehneet tai ehdotamme. Valmentaja arvioi rekisterinpitäjänä, onko loukkauksesta ilmoitettava valvontaviranomaiselle tai rekisteröidyille, ja autamme näiden ilmoitusten tekemisessä.

• Kaikki yhteydet salataan.
• Pääsy tietoihin on rajattu tietokannassa rivitasolla niin, että valmentaja näkee vain omat asiakkaansa ja asiakas vain omat tietonsa.
• Salasanoja ei tallenneta selkokielisenä, vaan niistä säilytetään vain salattu tiiviste.
• Tietokannasta otetaan säännölliset varmuuskopiot.
• Pääsy tuotantoympäristöön on rajattu vain niille, joille se on palvelun ylläpidon vuoksi välttämätöntä, ja pääsy edellyttää vahvaa tunnistautumista.
• Poistetut tiedot siirtyvät ensin roskakoriin, josta ne poistuvat lopullisesti 30 päivän kuluttua. Tämä suojaa myös vahinkopoistoilta.

Annamme valmentajalle pyynnöstä kohtuulliset tiedot siitä, miten tässä sopimuksessa sovittuja velvollisuuksia noudatetaan. Ensisijainen tapa on kirjallinen selvitys. Valmentaja tai hänen valtuuttamansa riippumaton tarkastaja voi lisäksi auditoida käsittelyn enintään kerran vuodessa ilmoittamalla siitä vähintään 30 päivää etukäteen. Auditointi tehdään valmentajan kustannuksella tavalla, joka ei vaaranna muiden valmentajien tai heidän asiakkaidensa tietoja eikä palvelun tietoturvaa.

• Valmentaja voi poistaa yksittäisen asiakkaan tiedot alustalta milloin tahansa. Poistetut tiedot säilyvät roskakorissa 30 päivää, minkä jälkeen ne poistetaan lopullisesti.
• Kun valmentajan tili päättyy, valmentaja voi pyytää tietojensa ja asiakkaidensa tietojen siirtoa ennen tilin sulkemista.
• Tilin päättymisen jälkeen poistamme tai anonymisoimme valmennusasiakkaiden tiedot viimeistään kuuden kuukauden kuluessa, ellei lainsäädäntö velvoita säilyttämään jotakin tietoa pidempään.

Sopimus on voimassa niin kauan kuin Kiwi käsittelee valmennusasiakkaiden tietoja valmentajan lukuun. Tietojen poistoa ja salassapitoa koskevat velvoitteet jäävät voimaan käsittelyn päättymisen jälkeenkin. Vastuisiin sovelletaan käyttöehtojen vastuunrajoituksia siltä osin kuin pakottava lainsäädäntö ei muuta edellytä. Kumpikin osapuoli vastaa sille tietosuoja-asetuksessa säädetyistä velvoitteista. Sopimukseen sovelletaan Suomen lakia.

Muutoksista tähän sopimukseen ilmoitetaan samalla tavalla kuin käyttöehtojen muutoksista eli vähintään 30 päivää etukäteen sähköpostilla tai alustalla. Sivun yläreunassa näkyy viimeisin päivityspäivä. Kysymykset ja tietosuojaa koskevat yhteydenotot: info@kiwiapp.fi.