Henkilötietojen käsittelysopimus

1. Osapuolet ja roolit

Tämä sopimus koskee henkilötietoja, joita Finnzon (Y-tunnus 2849466-3, Espoo) (”Tastiana”) käsittelee Tastiana Guide -palvelua käyttävän ravintolan (”Asiakas”) puolesta. Asiakas on rekisterinpitäjä ja Tastiana henkilötietojen käsittelijä EU:n yleisen tietosuoja-asetuksen (GDPR) 28 artiklan mukaisesti.

Sopimus on osa palvelun käyttöehtoja, ja se tulee voimaan, kun Asiakas ottaa palvelun käyttöön. Asiakkaan omien käyttäjätunnusten, laskutuksen ja yhteydenottojen tiedoissa Tastiana on itsenäinen rekisterinpitäjä, ja niistä kerrotaan tietosuojaselosteessa.

2. Käsittelyn kohde, luonne ja tarkoitus

Tastiana tuottaa ravintolaoppaan, jonka Asiakas upottaa omille verkkosivuilleen. Henkilötietoja käsitellään vain oppaan näyttämiseen vieraille, vieraiden kysymyksiin vastaamiseen, koostettujen käyttötilastojen tuottamiseen ja väärinkäytön rajoittamiseen.

Tietoja ei käytetä markkinointiin, mainontaan, profilointiin eikä tekoälymallien kouluttamiseen. Pöytävaraus tehdään Asiakkaan omassa varauspalvelussa, eikä Tastiana kerää varaajan tietoja.

3. Rekisteröidyt ja henkilötiedot

Rekisteröityjä ovat Asiakkaan verkkosivujen kävijät, jotka avaavat oppaan. Käsiteltäviä tietoja ovat:

• palvelun toimittamiseen tarvittavat tekniset tiedot, kuten IP-osoite ja selaimen tiedot
• selaimessa luotu satunnainen istuntotunniste, joka katoaa, kun välilehti suljetaan
• vieraan oppaalle kirjoittamat kysymykset ja niihin tuotetut vastaukset
• oppaan käyttötapahtumat, kuten ruokalistan avaaminen tai varauspainikkeen painaminen.

Erityisiä henkilötietoryhmiä ei pyydetä. Vieras voi kuitenkin itse kirjoittaa kysymykseen esimerkiksi ruoka-aineallergian. Opas ei koskaan arvioi allergiaturvallisuutta, vaan ohjaa varmistamaan asian henkilökunnalta.

4. Säilytysajat

• Kysymykset ja vastaukset käsitellään vain vastauksen tuottamisen ajan, eikä Tastiana tallenna niitä tietokantaan tai lokeihin.
• IP-osoite ja istuntotunniste tallennetaan väärinkäytön rajoittamiseksi vain salattuna tiivisteenä, joka poistetaan viimeistään vuorokauden kuluessa rajoitusjakson päättymisestä.
• Usein kysyttyjen aiheiden tunnistamiseksi tallennetaan istuntotunnisteen tiiviste ja kysymyksen yleinen aihe (esimerkiksi gluteenittomuus), ei kysymyksen tekstiä. Nämä tiedot säilytetään sopimuksen ajan.
• Käyttötilastot tallennetaan päiväkohtaisina lukumäärinä, joista yksittäistä vierasta ei voi tunnistaa.

OpenAI voi säilyttää rajapintansa kautta lähetettyjä tietoja enintään 30 päivää väärinkäytösten valvontaa varten, eikä se käytä niitä mallien kouluttamiseen.

5. Tastianan velvollisuudet

Tastiana käsittelee henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti. Ohjeet ovat nämä ehdot ja Asiakkaan palvelussa tekemät asetukset. Tastiana ilmoittaa Asiakkaalle, jos se katsoo ohjeen rikkovan tietosuojalainsäädäntöä.

Tastiana varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon. Tastiana avustaa Asiakasta kohtuullisin toimin rekisteröityjen oikeuksiin liittyvissä pyynnöissä sekä GDPR:n 32–36 artiklan velvoitteissa, kuten vaikutustenarvioinnissa.

6. Tietoturva

Tastiana suojaa henkilötiedot asianmukaisin teknisin ja organisatorisin toimin. Tietokanta sijaitsee EU:ssa, tiedot salataan siirron ja säilytyksen aikana, ja jokaisen ravintolan tiedot on erotettu toisistaan tietokannan tasolla. Ylläpito käyttää kaksivaiheista tunnistautumista ja pienimpiä tarvittavia käyttöoikeuksia. Toimet on kuvattu tarkemmin tietoturvasivulla.

7. Alihankkijat

Asiakas antaa yleisen ennakkoluvan käyttää alihankkijasivulla lueteltuja alihankkijoita. Tastiana sitoo alihankkijansa vastaaviin tietosuojavelvoitteisiin ja vastaa niiden toiminnasta.

Tastiana ilmoittaa uudesta tai vaihtuvasta alihankkijasta sähköpostitse vähintään 30 päivää etukäteen. Jos Asiakas vastustaa muutosta perustellusta syystä, eikä asiaa saada ratkaistua, Asiakas voi irtisanoa sopimuksen päättymään ennen muutoksen voimaantuloa.

8. Siirrot EU:n ja ETA:n ulkopuolelle

Osa alihankkijoista on yhdysvaltalaisia yhtiöitä. Tietoja siirretään EU:n ja ETA:n ulkopuolelle vain EU–Yhdysvallat-tietosuojakehyksen tai Euroopan komission hyväksymien vakiosopimuslausekkeiden perusteella.

9. Tietoturvaloukkaukset

Tastiana ilmoittaa Asiakkaalle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun se on saanut tiedon loukkauksesta. Ilmoitus sisältää GDPR:n 33 artiklan 3 kohdan mukaiset tiedot siltä osin kuin ne ovat saatavilla, ja Tastiana täydentää sitä tietojen tarkentuessa.

10. Sopimuksen päättyminen

Kun palvelu päättyy, Tastiana poistaa Asiakkaan puolesta käsittelemänsä henkilötiedot 90 päivän kuluessa, ellei laki edellytä niiden säilyttämistä. Varmuuskopioista tiedot poistuvat niiden tavanomaisen kierron mukaisesti. Asiakas voi ennen päättymistä pyytää käyttötilastonsa itselleen.

11. Auditointi

Tastiana antaa Asiakkaalle pyynnöstä tiedot, jotka osoittavat tämän sopimuksen noudattamisen. Asiakas voi omalla kustannuksellaan teettää auditoinnin enintään kerran vuodessa vähintään 30 päivän ennakkoilmoituksella, ellei tietoturvaloukkaus tai viranomaisen vaatimus edellytä muuta. Auditoija on sitoutunut salassapitoon.

12. Vastuu ja sovellettava laki

Osapuolten vastuu määräytyy palvelun käyttöehtojen mukaan, ellei pakottavasta lainsäädännöstä muuta johdu. Sopimukseen sovelletaan Suomen lakia.

Tietosuojaa koskevat yhteydenotot: privacy@tastiana.com.