PÄIVITETTY 2026-09-30

Henkilötietojen käsittelysopimus

Sopimuksen osapuolet ovat VeraBIM-palvelua projekteissaan käyttävä taho, joka on projektien tietojen rekisterinpitäjä (”Asiakas”), tavallisesti palveluun luotu yritys, sekä VeraBIM-palvelua ylläpitävä Bäckman (henkilötietojen käsittelijä, ”Käsittelijä”). Sopimus tehdään tietosuoja-asetuksen (GDPR) 28 artiklan mukaisesti, ja se on osa käyttöehtoja.

1. Sopimuksen syntyminen ja soveltamisala

Sopimus on voimassa siitä lähtien, kun Asiakas luo palveluun yrityksen tai projektin tai muulla tavoin antaa Käsittelijän käsitellä henkilötietoja Asiakkaan puolesta, ja se hyväksytään, kun Asiakkaan ylläpitäjä tai projektin omistaja hyväksyy käyttöehdot. Sopimus kattaa henkilötiedot, joita Asiakkaan käyttäjät ja muut lisäävät Asiakkaan projekteihin. Tilitietoja ja palvelun käyttöä koskevia tietoja Käsittelijä käsittelee rekisterinpitäjänä tietosuojaselosteen mukaisesti. Ristiriitatilanteessa tämä sopimus on henkilötietojen käsittelyä koskevissa kysymyksissä ensisijainen käyttöehtoihin nähden.

2. Käsittelyn luonne, tarkoitus ja kesto

Käsittelijä käsittelee henkilötietoja yksinomaan tarjotakseen palvelun Asiakkaalle: tallennus, näyttäminen, haku, jakaminen projektin sisällä, sähköpostien ja push-ilmoitusten lähettäminen, varmuuskopiointi, vianetsintä ja tuki. Käsittely jatkuu niin kauan kuin sopimus on voimassa ja sen jälkeen siihen asti, kunnes tiedot on poistettu 12 kohdan mukaisesti.

3. Rekisteröityjen ryhmät ja tietoryhmät

• Rekisteröidyt: Asiakkaan työntekijät ja vuokratyöntekijät, Asiakkaan yhteistyökumppaneiden työntekijät, jakelulistojen vastaanottajat, turvallisuushavaintoja tekevät henkilöt, vierailijat ja muut valokuvissa tai muistiinpanoissa esiintyvät henkilöt.
• Tiedot: henkilöllisyys- ja yhteystiedot, ammattirooli ja työnantaja, ajankohdat ja sijainnit projektissa, valokuvat ja vapaa teksti. Palvelussa ei saa käsitellä erityisiä henkilötietoryhmiä (9 artikla); Asiakas vastaa siitä, ettei näin tapahdu.

4. Asiakkaan vastuu ja ohjeet

Asiakas on rekisterinpitäjä ja vastaa käsittelyn lainmukaisuudesta: siitä, että käsittelylle on oikeusperuste, että rekisteröityjä informoidaan, että vain valtuutettuja henkilöitä kutsutaan, että roolit asetetaan oikein ja ettei tarpeettomia tietoja lisätä. Asiakas vastaa ladattavan aineiston sisällöstä, mukaan lukien henkilöistä otetut valokuvat.

Asiakkaan dokumentoidut ohjeet ovat tämä sopimus, käyttöehdot sekä Asiakkaan palvelussa tekemät asetukset ja valinnat. Lisäohjeet on annettava kirjallisesti, ja niiden on oltava yhteensopivia palvelun toimintojen kanssa. Käsittelijä voi kieltäytyä noudattamasta ohjeita, jotka edellyttävät muutoksia palveluun tai jotka eivät ole kohtuullisia; Asiakas voi tällöin irtisanoa sopimuksen lopettamalla palvelun käytön. Asiakas vastaa omista kustannuksistaan, jotka aiheutuvat tietosuoja-asetuksen noudattamisesta.

5. Käsittelijän velvollisuudet

• Käsittelijä käsittelee henkilötietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden mukaisesti, myös siltä osin kuin on kyse siirroista kolmanteen maahan, jollei unionin oikeudessa tai Ruotsin lainsäädännössä toisin vaadita. Tällöin Käsittelijä ilmoittaa asiasta Asiakkaalle ennen käsittelyä, jollei laki kiellä sitä.
• Käsittelijä ilmoittaa Asiakkaalle, jos ohje on Käsittelijän arvion mukaan tietosuoja-asetuksen tai muun tietosuojalainsäädännön vastainen, ilman että Käsittelijä on velvollinen tekemään omaa oikeudellista arviointia Asiakkaan ohjeista.
• Käsittelijä varmistaa, että henkilötietoja käsittelemään oikeutetut henkilöt ovat sitoutuneet noudattamaan luottamuksellisuutta tai heitä koskee lakisääteinen salassapitovelvollisuus.
• Käsittelijä toteuttaa 32 artiklassa edellytetyt turvatoimet, joita kuvataan 6 kohdassa.
• Käsittelijä käyttää alikäsittelijöitä ainoastaan 7 kohdan mukaisesti.
• Käsittelijä avustaa Asiakasta käsittelyn luonne huomioon ottaen ja mahdollisuuksien mukaan vastaamaan rekisteröityjen pyyntöihin sekä täyttämään 32–36 artiklan mukaiset velvollisuudet 9 ja 10 kohdan mukaisesti.
• Käsittelijä poistaa tai palauttaa henkilötiedot sopimuksen päättyessä 12 kohdan mukaisesti.
• Käsittelijä antaa Asiakkaan saataville tiedot, jotka tarvitaan 28 artiklassa säädettyjen velvollisuuksien noudattamisen osoittamiseksi, ja mahdollistaa tarkastukset 11 kohdan mukaisesti.

6. Turvatoimet

• Käyttäjien laitteiden ja palvelun välinen liikenne salataan HTTPS (TLS) -protokollalla. Salasanat tallennetaan suolattuina PBKDF2-tiivisteinä, ja kaksivaiheista kirjautumista tarjotaan. Kirjautuminen Asiakkaan oman hakemiston kautta (OpenID Connect) voidaan ottaa käyttöön, kun verkkotunnuksen omistus on vahvistettu.
• Oikeus projektitietoihin tarkistetaan palvelimella jokaisen pyynnön yhteydessä Asiakkaan roolien perusteella. Käyttäjä voi päättää istuntoja; kirjautumista rajoitetaan toistuvien epäonnistuneiden yritysten jälkeen.
• Tiedot tallennetaan palvelimelle Ruotsissa. Tietokanta ja tiedostot varmuuskopioidaan päivittäin; kopioita säilytetään 14 päivää. Palvelinlokeja säilytetään 30 päivää.
• Pääsy palvelimelle on ainoastaan Käsittelijällä ja henkilöillä, joita Käsittelijä käyttää ja joita koskee salassapitovelvollisuus, ja vain siinä määrin kuin ylläpito, vianetsintä ja tuki edellyttävät.
• Poistetut tietueet säilyvät projektin roskakorissa 30 päivää, minkä jälkeen ne poistetaan automaattisesti; projektin omistaja voi poistaa ne pysyvästi välittömästi.

Asiakas on arvioinut, että toimenpiteet tarjoavat asianmukaisen turvallisuustason niille tiedoille, joita Asiakas lisää palveluun. Käsittelijä voi muuttaa toimenpiteitä, kunhan suojauksen kokonaistaso ei heikkene.

7. Alikäsittelijät ja muut vastaanottajat

Asiakas antaa yleisen ennakkoluvan sille, että Käsittelijä käyttää alikäsittelijöitä. Palvelinta, tietokantaa ja tiedostojen tallennusta ylläpitää Käsittelijä itse, ja alustana on oma palvelin Ruotsissa. Sopimusta tehtäessä lähtevään sähköpostiin (vastaanottajan osoite, aihe ja viestin teksti) käytetään palveluntarjoajaa Simply.com Tanskassa, EU:n sisällä.

Push-ilmoitukset toimitetaan vastaanottajan selaimeen tai käyttöjärjestelmään kuuluvien push-palvelujen kautta (esimerkiksi Google, Apple, Microsoft tai Mozilla). Push-palveluja käytetään vain, kun käyttäjä on itse ottanut push-ilmoitukset käyttöön, ja ilmoitusten sisältö on salattu, joten push-palvelu ei voi lukea sitä.

Käsittelijä ilmoittaa Asiakkaalle suunnitelluista alikäsittelijöiden lisäyksistä tai vaihdoista päivittämällä tämän sopimuksen ja ilmoittamalla siitä palvelussa tai sähköpostitse hyvissä ajoin ennen muutoksen toteuttamista. Asiakas voi vastustaa muutosta 14 päivän kuluessa ilmoituksesta. Jos osapuolet eivät pääse yhteisymmärrykseen, Asiakkaan ainoa oikeus on irtisanoa sopimus lopettamalla palvelun käyttö. Käsittelijä asettaa alikäsittelijöille samat tietosuojaa koskevat velvollisuudet, jotka seuraavat tästä sopimuksesta, ja vastaa Asiakkaalle alikäsittelijöiden velvollisuuksien täyttämisestä 28 artiklan 4 kohdan mukaisesti 13 kohdassa määrätyin vastuunrajoituksin.

8. Siirrot kolmansiin maihin

Käsittelijä tallentaa ja käsittelee Asiakkaan projektitiedot Ruotsissa, ja sähköposti lähetetään EU:n sisällä toimivan alikäsittelijän kautta. Push-palvelut voivat käsitellä laitteen push-osoitetta ja tietoja ilmoitusten lähetysajankohdista EU:n/ETA:n ulkopuolella, mutta ne eivät voi lukea sisältöä. Muilta osin Käsittelijä ei siirrä henkilötietoja kolmansiin maihin ilman Asiakkaan kirjallista ohjetta.

9. Henkilötietojen tietoturvaloukkaukset

Käsittelijä ilmoittaa Asiakkaalle ilman aiheetonta viivytystä saatuaan tietää Asiakkaan henkilötietoja koskevasta henkilötietojen tietoturvaloukkauksesta. Ilmoitus lähetetään Asiakkaan ylläpitäjän tai projektin omistajan sähköpostiosoitteeseen, ja se sisältää Käsittelijän käytettävissä olevat tiedot loukkauksen luonteesta, asianomaisista ryhmistä sekä rekisteröityjen ja tietueiden arvioidusta lukumäärästä, todennäköisistä seurauksista sekä toteutetuista tai ehdotetuista toimenpiteistä. Tiedot voidaan antaa vaiheittain. Asiakas arvioi itse, onko loukkauksesta ilmoitettava valvontaviranomaiselle ja rekisteröidyille.

10. Avustaminen ja kustannukset

Rekisteröityjen pyynnöt Asiakas käsittelee ensisijaisesti itse palvelun toimintojen avulla, esimerkiksi viennin, oikaisun ja poistamisen avulla. Jos Käsittelijä saa Asiakkaan tietoja koskevan pyynnön, Käsittelijä ohjaa rekisteröidyn Asiakkaan puoleen. Muilta osin Käsittelijä avustaa Asiakasta rekisteröityjen pyynnöissä, vaikutustenarvioinneissa ja ennakkokuulemisissa kohtuullisessa laajuudessa ottaen huomioon käsittelyn luonteen ja Käsittelijän käytettävissä olevat tiedot. Palvelun toiminnot ylittävää apua annetaan Käsittelijän kohtuullisten kustannusten korvaamista vastaan, jollei apua tarvita sen vuoksi, että Käsittelijä on rikkonut tätä sopimusta.

11. Tarkastukset

Käsittelijä osoittaa velvollisuuksien noudattamisen ensisijaisesti kirjallisin tiedoin, esimerkiksi tällä sopimuksella, turvatoimien kuvauksella ja kirjallisilla vastauksilla Asiakkaan kohtuullisiin kysymyksiin. Jos Asiakas osoittaa, että paikan päällä tehtävä tarkastus on tästä huolimatta tietosuoja-asetuksen mukaan tarpeen, Asiakas voi teettää sen riippumattomalla tarkastajalla, jota koskee salassapitovelvollisuus. Tarkastuksesta on ilmoitettava vähintään 30 päivää etukäteen, se voidaan tehdä enintään kerran vuodessa, se on toteutettava häiritsemättä palvelun toimintaa ja paljastamatta muiden asiakkaiden tietoja, ja Asiakas vastaa sen kustannuksista kokonaisuudessaan, mukaan lukien kohtuullinen korvaus Käsittelijän käyttämästä ajasta. Valvontaviranomaisen vaatima tarkastus toteutetaan viranomaisen vaatimusten mukaisesti.

12. Sopimuskausi, poistaminen ja palauttaminen

Sopimus on voimassa niin kauan kuin Käsittelijä käsittelee henkilötietoja Asiakkaan puolesta. Asiakas voi milloin tahansa itse viedä projektitietoja (esimerkiksi raportit, Excel, BCF ja tiedostot) ja poistaa projekteja palvelussa. Palauttaminen tapahtuu siten, että Asiakas vie tiedot ennen sopimuksen päättymistä. Jos Käsittelijä lopettaa palvelun tai Asiakkaan käyttöoikeuden, Käsittelijä antaa Asiakkaalle mahdollisuuksien mukaan kohtuullisen ajan viedä tiedot ensin. Sopimuksen päätyttyä Käsittelijä poistaa Asiakkaan henkilötiedot kohtuullisessa ajassa, ja tiedot poistuvat varmuuskopioista sitä mukaa kuin varmuuskopiot kierrätetään pois. Tiedot, jotka Käsittelijän on lain mukaan säilytettävä, poistetaan, kun velvollisuus lakkaa.

13. Vastuu

Tällä sopimuksella ei voida rajoittaa rekisteröidyn oikeutta saada korvausta tietosuoja-asetuksen 82 artiklan mukaisesti. Osapuolten välillä sovelletaan seuraavaa:

• Kumpikin osapuoli vastaa omasta osuudestaan vahingosta sekä osapuolelle itselleen määrätyistä hallinnollisista sakoista.
• Käsittelijä vastaa Asiakkaalle vain vahingosta, joka on aiheutunut siitä, että Käsittelijä ei ole noudattanut tietosuoja-asetuksen nimenomaisesti henkilötietojen käsittelijöille osoitettuja velvollisuuksia tai on toiminut Asiakkaan lainmukaisten ohjeiden ulkopuolella tai vastaisesti.
• Käsittelijän vastuu on rajoitettu samalla tavalla kuin käyttöehdoissa. Käsittelijä ei vastaa välillisistä vahingoista tai seurannaisvahingoista, ja yhteenlaskettu vastuu rajoittuu määrään, jonka Asiakas on maksanut palvelusta vahinkotapahtumaa välittömästi edeltäneiden kahdentoista kuukauden aikana, eli nollaan (0) kruunuun niin kauan kuin palvelu on maksuton. Rajoitus ei koske tahallisuutta tai törkeää huolimattomuutta, eikä sitä sovelleta siltä osin kuin pakottava lainsäädäntö estää sen.
• Asiakkaan on pidettävä Käsittelijä vahingottomana rekisteröityjen, valvontaviranomaisten ja muiden kolmansien osapuolten vaatimusten sekä korvausten ja kustannusten osalta, jotka johtuvat Asiakkaan ohjeista, Asiakkaan sisällöstä tai siitä, että Asiakas on rikkonut tätä sopimusta tai tietosuoja-asetusta.
• Jos Käsittelijä on maksanut rekisteröidylle täyden korvauksen 82 artiklan 4 kohdan mukaisesti, Käsittelijällä on oikeus periä Asiakkaalta se osa korvauksesta, joka vastaa Asiakkaan vastuuta (82 artiklan 5 kohta).

14. Muutokset ja sovellettava laki

Käsittelijä voi muuttaa sopimusta samalla tavalla kuin käyttöehtoja, esimerkiksi kun alikäsittelijöitä vaihdetaan tai laki sitä edellyttää. Sopimus korvaa aiemmat samaa käsittelyä koskevat sopimukset. Sopimukseen sovelletaan Ruotsin lakia, ja riidat ratkaistaan käyttöehtojen mukaisesti.

15. Yhteystiedot

Sopimusta koskevat kysymykset, ilmoitukset ja rekisteröityjen pyynnöt: support@verabim.com.