PolaParla Broadcast – henkilötietojen käsittelysopimus (DPA)

1. Tarkoitus ja soveltamisala

Tämä henkilötietojen käsittelysopimus muodostaa osan asiakkaan ja PolaVuo Oy:n välistä PolaParla Broadcast -palvelua koskevaa sopimusta. DPA:ssa sovitaan EU:n yleisen tietosuoja-asetuksen 28 artiklan mukaisista ehdoista, kun asiakas toimii rekisterinpitäjänä ja PolaVuo henkilötietojen käsittelijänä.

2. Roolit ja dokumentoidut ohjeet

Asiakas määrittelee käsittelyn tarkoitukset ja keinot sekä vastaa lainmukaisesta käsittelyperusteesta, läpinäkyvyydestä, rekisteröityjen oikeuksista ja mahdollisesta vaikutustenarvioinnista. PolaVuo käsittelee henkilötietoja vain asiakkaan dokumentoitujen ohjeiden, tämän DPA:n ja palvelusopimuksen mukaisesti, mukaan lukien mahdolliset kansainvälisiä siirtoja koskevat ohjeet.

Jos PolaVuo katsoo asiakkaan ohjeen rikkovan tietosuojalainsäädäntöä, se ilmoittaa tästä viipymättä asiakkaalle ja voi keskeyttää kyseisen käsittelyn lainmukaisen ratkaisun löytämiseksi.

3. Käsittelyn kohde, luonne ja kesto

Käsittelyn yksityiskohdat kuvataan liitteessä 1. DPA on voimassa kuukausitilauksen ajan. Asiakas päättää itsenäisesti, milloin Broadcast-istuntoja käynnistetään; kunkin istunnon sisältökäsittely kestää vain reaaliaikaisen istunnon ja välittömän teknisen toimituksen ajan. PolaVuo ei luo istuntosisällöstä pysyvää tallennetta.

4. Henkilöstön luottamuksellisuus

PolaVuo varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus ja että heidän pääsynsä on rajattu työtehtävien edellyttämään laajuuteen.

5. Tietoturva

PolaVuo toteuttaa ja ylläpitää liitteessä 2 kuvattuja sekä muita riskitasoon nähden asianmukaisia teknisiä ja organisatorisia toimenpiteitä yleisen tietosuoja-asetuksen 32 artiklan mukaisesti. Toimenpiteissä huomioidaan erityisesti reaaliaikaisen puhesisällön luottamuksellisuus, sisällön säilyttämättömyys, pääsynhallinta, salattu siirto ja häiriöiden hallinta.

6. Alihankkijat

Asiakas antaa PolaVuolle yleisen kirjallisen luvan käyttää henkilötietojen käsittelijöinä palvelun tuottamiseen tarvittavia alihankkijoita. PolaVuo antaa Asiakkaalle ajantasaisen alihankkijaluettelon SaaS-tilauksen yhteydessä ja pyynnöstä. PolaVuo ilmoittaa olennaisesta lisäyksestä tai vaihdoksesta kohtuullisesti etukäteen, jotta Asiakas voi esittää tietosuojaan perustellun vastalauseen.

PolaVuo tekee alihankkijan kanssa kirjallisen sopimuksen, joka asettaa olennaisilta osin samat tietosuojavelvoitteet kuin tämä DPA, mukaan lukien istuntosisällön säilyttämättömyys ja mallikoulutuksen kielto. PolaVuo vastaa alihankkijan velvoitteiden täyttämisestä Asiakkaalle GDPR:n edellyttämässä laajuudessa.

7. Kansainväliset siirrot

PolaVuo ei siirrä henkilötietoja Euroopan talousalueen ulkopuolelle ilman GDPR:n V luvun mukaista siirtoperustetta ja tarvittavia täydentäviä suojatoimia. Käytettävä siirtomekanismi ja käsittelyalue ilmoitetaan alihankkijaluettelossa. PolaVuo toimittaa asiakkaalle pyynnöstä saatavilla olevat tiedot siirtosuojan arvioimiseksi.

8. Rekisteröityjen oikeudet

PolaVuo avustaa asiakasta kohtuullisin teknisin ja organisatorisin toimin rekisteröityjen pyyntöihin vastaamisessa. Jos PolaVuo vastaanottaa pyynnön, joka koskee asiakkaan rekisteriä, se välittää pyynnön asiakkaalle eikä vastaa siihen muuten kuin asiakkaan dokumentoidun ohjeen tai lain perusteella. Sisällön säilyttämättömyyden vuoksi tapahtumapuhetta tai käännöstä ei voida hakea istunnon jälkeen.

9. Vaikutustenarviointi ja viranomaisyhteistyö

PolaVuo avustaa saatavillaan olevilla tiedoilla asiakasta tietosuojaa koskevassa vaikutustenarvioinnissa, ennakkokuulemisessa ja valvontaviranomaisen tiedusteluissa ottaen huomioon käsittelyn luonteen. Tavanomaisen palvelun ulkopuolinen laaja työ voidaan laskuttaa erikseen, ellei avun tarve johdu PolaVuon sopimusrikkomuksesta.

10. Henkilötietojen tietoturvaloukkaus

PolaVuo ilmoittaa asiakkaalle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä sen tultua PolaVuon tietoon ja mahdollisuuksien mukaan 24 tunnin kuluessa. Ilmoitus sisältää saatavilla olevat tiedot loukkauksen luonteesta, vaikutuksista, tietoryhmistä, toteutetuista tai suunnitelluista korjaustoimista ja yhteyshenkilöstä. PolaVuo täydentää tietoja sitä mukaa kuin niitä varmistuu.

11. Osoittaminen ja auditoinnit

PolaVuo toimittaa asiakkaalle pyynnöstä kohtuulliset tiedot tämän DPA:n noudattamisen osoittamiseksi. Asiakas voi kerran kalenterivuodessa auditoida käsittelyn tai käyttää riippumatonta auditoijaa, kun auditoinnista ilmoitetaan vähintään 30 päivää etukäteen, se toteutetaan tavanomaisena työaikana eikä se vaaranna muiden asiakkaiden tietoja, tietoturvaa tai liikesalaisuuksia. Asiakas vastaa auditoinnin kustannuksista, ellei auditointi osoita PolaVuon olennaista rikkomusta.

12. Tietojen poistaminen ja palauttaminen

Koska PolaVuo ei säilytä Broadcastin lähdeääntä, litterointia tai käännöksiä, niitä ei ole palautettavissa ja ne poistuvat käsittelyn päättyessä. Sopimuksen päättyessä PolaVuo poistaa tai palauttaa muut asiakkaan lukuun säilytetyt henkilötiedot asiakkaan valinnan mukaan, jollei unionin tai kansallinen laki edellytä säilyttämistä. PolaVuon omassa rekisterinpitäjän roolissa käsiteltävät sopimus- ja kirjanpitotiedot eivät kuulu tähän poistovelvollisuuteen.

13. Erityiset henkilötietoryhmät

Asiakas ilmoittaa PolaVuolle etukäteen, jos palvelun suunniteltu käyttö sisältää järjestelmällisesti GDPR:n 9 tai 10 artiklan tietoja. Asiakas vastaa soveltuvasta käsittelyperusteesta ja tarpeellisista lisäsuojista. PolaVuo voi kieltäytyä käsittelystä tai edellyttää erillistä riskiarviota ja sopimusta.

14. Vastuu

Osapuolten keskinäiseen vastuuseen sovelletaan palvelusopimuksen vastuunrajoituksia siltä osin kuin laki sallii. Tämä ei rajoita rekisteröidyn tai valvontaviranomaisen GDPR:n mukaisia oikeuksia eikä osapuolen vastuuta, jota ei voida sopimuksella rajoittaa.

15. Voimassaolo ja etusija

DPA tulee voimaan samanaikaisesti palvelusopimuksen kanssa ja on voimassa niin kauan kuin PolaVuo käsittelee henkilötietoja asiakkaan lukuun. Jos DPA ja muu sopimus ovat ristiriidassa henkilötietojen käsittelyn osalta, DPA on etusijalla.

16. Sovellettava laki

DPA:han sovelletaan Suomen lakia. Riitoihin sovelletaan palvelusopimuksen riidanratkaisuehtoa.

Liite 1 – Käsittelyn kuvaus

Kohde

PolaParla Broadcastin reaaliaikainen puheentunnistus, käännös, puhesynteesi ja toimitus.

Kesto

Kuukausitilauksen ajan; yksittäisen istunnon sisältökäsittely vain reaaliaikaisen istunnon ja välittömän teknisen toimituksen ajan, ei pysyvää sisältötallennusta.

Tarkoitus

Asiakkaan itsenäisesti käynnistämien istuntojen seuraaminen tilauspaketin kielillä tekstinä ja/tai synteettisenä puheena.

Rekisteröidyt

Asiakkaan pääkäyttäjät ja valtuutetut SaaS-käyttäjät, puhujat, keskusteluihin tai kysymyksiin osallistuvat henkilöt, Asiakkaan yhteyshenkilöt ja loppukäyttäjät siltä osin kuin heistä käsitellään teknisiä yhteystietoja.

Tietoryhmät

Käyttäjätilin tunniste- ja käyttöoikeustiedot; ääni ja puheen sisältö; puheessa mainitut henkilötiedot; tilapäinen teksti ja käännös; kieli- ja ääniasetus sekä välttämätön tekninen yhteysmetadata.

Erityiset tiedot

Puheessa voi satunnaisesti ilmetä GDPR 9 tai 10 artiklan tietoja; PolaVuo ei pyri päättelemään tai profiloimaan niitä.

Poistaminen

Sisältö poistuu automaattisesti käsittelyn päättyessä; tekninen metadata poistetaan tai anonymisoidaan, kun käyttötarkoitus päättyy.

Liite 2 – Tekniset ja organisatoriset toimenpiteet

• salattu tiedonsiirto julkisten verkkojen yli
• sisällön käsittely vain tilapäisissä puskureissa tai haihtuvassa työmuistissa ilman pysyvää tallennusta
• tapahtumasisällön käytön estäminen mallikoulutukseen, hienosäätöön tai alihankkijan omiin tarkoituksiin
• roolipohjainen pääsynhallinta, vähimmän oikeuden periaate ja luottamuksellisuusvelvoitteet
• Asiakkaan käyttäjätilien ja huonekohtaisten osallistujapääsyjen erottaminen sekä väärinkäytösten rajoittaminen
• turvallinen ohjelmistokehitys, muutosten hallinta, haavoittuvuuksien korjaaminen ja tietoturvatapahtumien käsittely
• alihankkijoiden tietosuoja- ja tietoturvaehtojen arviointi ja sopimuksellinen sitominen
• palautumis- ja jatkuvuusmenettelyt siltä osin kuin ne soveltuvat reaaliaikaiseen palveluun.

Liite 3 – Alikäsittelijämenettely

PolaVuo toimittaa Asiakkaalle SaaS-tilauksen yhteydessä tai pyynnöstä ajantasaisen luettelon käytettävistä infrastruktuuri-, puheentunnistus-, kieli-, käännös- ja puhesynteesipalveluista, niiden käsittelyalueista sekä sovellettavista siirtomekanismeista. Muutoksesta ilmoitetaan kohtuullisesti etukäteen. Sisällön säilyttämättömyys ja koulutuskäytön kielto ovat pakollisia valintakriteerejä.