Palveluntarjoajan ehdot

Palveluntarjoajasopimus (Provider Agreement)

Operaattori (RK9 AI Oy:n vastuuhenkilö) on hyväksynyt tämän version 28.10.2026 ilman juristin tarkistusta. Hinnat, ehdot ja vastuunrajoitukset on johdettu palvelun nykyisestä koodista ja liiketoimintapäätöksistä. Tarkista ne aina, kun vastaava koodi tai hinnoittelu muuttuu.

Saatavilla-palvelu (RK9 AI Oy)
Sopimusversio: 2026-10-28
Viittaus: SAA-1067, SAA-1685, SAA-1721, SAA-1974, SAA-2060
Liite: Tietojenkäsittelysopimus (DPA)

1. Sopimuksen osapuolet ja kohde

Tämä sopimus ("Sopimus") tehdään RK9 AI Oy:n (Y-tunnus 3612536-6, Rantalankatu 9, 30100 Forssa), joka tarjoaa Saatavilla-varausalustaa (jäljempänä "Saatavilla" tai "Alusta"), ja palveluntarjoajaksi rekisteröityvän elinkeinonharjoittajan tai yrityksen (jäljempänä "Palveluntarjoaja") välillä. Palveluntarjoajaksi voi rekisteröityä vain elinkeinonharjoittaja. Rekisteröityessään Palveluntarjoaja vakuuttaa käyttävänsä palvelua elinkeinotoiminnassaan ja ilmoittaa Y-tunnuksensa. Saatavilla on RK9 AI Oy:n tarjoaman palvelun nimi; sopijaosapuolena toimii RK9 AI Oy.

Sopimuksen kohteena on varausalusta-SaaS-palvelu: Saatavilla tarjoaa Palveluntarjoajalle pilvipohjaisen ajanvarausjärjestelmän, jonka avulla Palveluntarjoaja voi julkaista palvelujaan, hallita saatavuuttaan ja vastaanottaa varauksia asiakkailtaan. Saatavilla ei ole osapuolena Palveluntarjoajan ja tämän asiakkaan välisessä varaus- tai kauppasopimuksessa (ks. kohta 3 ja käyttöehdot, kohta 6).

Sopimus syntyy, kun Palveluntarjoaja rekisteröityy palveluun ja hyväksyy tämän sopimuksen sekä käyttöehdot ja tietosuojaselosteen. Palvelin tallentaa hyväksynnän aikaleimattuna suostumustietona. Tallennettu sopimusversio tulee palvelimen omasta versiovakiosta, ei selaimelta. Kulloinkin voimassa oleva sopimusversio on merkitty tämän asiakirjan alkuun ja muutoshistoriaan. Kun sopimusversio vaihtuu, Palveluntarjoaja hyväksyy uuden version ennen kuin jatkaa hallintanäkymään. Sopimus ja sen DPA-liite ovat Palveluntarjoajan luettavissa osoitteessa /palveluntarjoajan-ehdot myös ennen rekisteröitymistä.

2. Palvelumaksut ja hinnoittelu

Saatavilla tarjoaa Palveluntarjoajalle seuraavat tilaustasot (lähde: src/lib/tiers.ts, kanoninen hinnoittelun totuuslähde):

¹ Hinnat ilmoitetaan ilman arvonlisäveroa (netto), joka on tavanomaista yritysten välisessä laskutuksessa. RK9 AI Oy on arvonlisäverovelvollinen (ALV-rekisterissä), joten Pro-tason hintaan lisätään Suomen yleinen arvonlisävero 25,5 % (voimassa 1.9.2024 alkaen) — Palveluntarjoajan maksama kokonaishinta on 19 € + ALV. Vähäisen liiketoiminnan ALV-alaraja on 20 000 € tilikaudessa (voimassa 1.1.2025 alkaen); RK9 AI Oy:n ALV-status ja tämä hintatieto tarkistetaan aina, kun hinnoittelu tai verokanta muuttuu. Free-tason palveluraja (3 palvelua) vastaa koodin tilaustasoa (src/lib/tiers.ts).

Saatavilla ei peri provisiota varauksista tai niiden kautta syntyvästä liikevaihdosta. Palveluntarjoajan asiakkailtaan perimät maksut kulkevat suoraan Palveluntarjoajalle — Saatavilla ei käsittele eikä välitä näitä maksuja (ks. käyttöehdot kohta 7). Saatavillan ainoa tulonlähde Palveluntarjoajalta on kuukausittainen tilausmaksu (Pro-taso).

Pro-tason ominaisuudet (mm. rajattomat palvelut ja varaukset, sähköpostimuistutukset, analytiikka ja asiakasrekisteri) on kuvattu tarkemmin palvelun hinnoittelusivulla. Saatavilla voi julkaista uusia tasoja tai muuttaa niiden ominaisuuksia; hinnanmuutoksista ilmoitetaan kohdan 9 mukaisesti.

3. Maksu- ja laskutusehdot

• Tilausmaksu veloitetaan kuukausittain etukäteen Palveluntarjoajan valitsemalta maksukortilta/-menetelmältä maksunvälittäjä Stripen kautta.
• Ei sitoutumisaikaa: Palveluntarjoaja voi vaihtaa tasoa tai peruuttaa tilauksensa milloin tahansa. Peruutus astuu voimaan kuluvan laskutuskauden loppuun asti (jo maksettua kautta ei hyvitetä takautuvasti, ellei pakottava lainsäädäntö muuta edellytä).
• Maksun epäonnistuessa Palveluntarjoajalle annetaan kohtuullinen mahdollisuus korjata maksutapa ennen tason alentamista Free-tasolle.
• Free-tasolla palvelun käyttö on maksutonta ilman aikarajaa, tason rajoitusten (kohta 2) puitteissa.
• Laskut ja kuitit ovat saatavilla Stripen asiakasportaalin kautta.

4. Osapuolten vastuut

Palveluntarjoaja vastaa:

• Antamiensa tietojen (palvelukuvaukset, hinnat, saatavuus, yhteystiedot) oikeellisuudesta ja ajantasaisuudesta
• Tarjoamiensa palveluiden laadusta, turvallisuudesta ja lainmukaisuudesta
• Omasta verotuksestaan, kirjanpidostaan ja muista lakisääteisistä velvoitteistaan
• Asiakassuhteestaan ja mahdollisista riidoista asiakkaidensa kanssa
• Oman asiakastietonsa käsittelyn lainmukaisuudesta siltä osin kuin Palveluntarjoaja itse toimii rekisterinpitäjänä

Saatavilla vastaa:

• Alustan teknisestä toiminnasta ja saatavuudesta kohdan 5 mukaisella tavoitetasolla
• Palveluntarjoajan syöttämien tietojen tallentamisesta ja näyttämisestä alustalla kuvatulla tavalla
• Henkilötietojen käsittelystä käsittelijänä siltä osin kuin Saatavilla käsittelee Palveluntarjoajan asiakkaiden tietoja Palveluntarjoajan lukuun (ks. kohta 7 ja DPA-liite)

Vastuunrajoitukset:

• Saatavilla tarjoaa Alustan "sellaisena kuin se on" ilman nimenomaisia tai hiljaisia takuita saatavuudesta tai virheettömyydestä, lukuun ottamatta kohdan 5 tavoitetasoa.
• Saatavilla ei vastaa Palveluntarjoajan tarjoamien palveluiden laadusta, turvallisuudesta tai soveltuvuudesta, eikä Palveluntarjoajan ja tämän asiakkaan välisistä riidoista.
• Saatavilla ei vastaa välillisistä vahingoista (esim. saamatta jäänyt liikevaihto, mainevahinko).
• Saatavillan kokonaisvastuu tästä sopimuksesta aiheutuvista vahingoista rajoittuu Palveluntarjoajan Saatavillalle viimeisen 12 kuukauden aikana maksamien tilausmaksujen määrään, ellei pakottava lainsäädäntö muuta edellytä (esim. tahallisuus tai törkeä huolimattomuus).

5. Palvelutasotavoite (Service Level)

Launch-vaiheessa Saatavilla ei tarjoa sopimuksellista SLA:ta. Alusta pyritään pitämään toiminnassa parhaan kykynsä mukaisesti ("best effort") — tämä ei ole sitova palvelutasolupaus, eikä sen rikkomisesta seuraa sopimussakkoa tai hyvitystä launch-vaiheessa.

Käytännössä tämä tarkoittaa:

• Suunnitellusta huoltokatkosta pyritään ilmoittamaan etukäteen, kun se on kohtuudella mahdollista.
• Merkittävistä häiriöistä tiedotetaan palvelun kautta ja/tai sähköpostitse mahdollisimman pian.
• Ei taattua vasteaikaa tukipyynnöille launch-vaiheessa, ellei erikseen sovita.

Sopimussuhteinen SLA (esim. uptime-tavoite ja hyvityskäytäntö) voidaan lisätä myöhemmin erillisenä liitteenä, kun palvelu on vakiintunut ja liiketoiminta sen edellyttää.

6. Irtisanominen

• Palveluntarjoaja voi irtisanoa tämän sopimuksen milloin tahansa poistamalla tilin palvelun asetuksista tai peruuttamalla tilauksensa (kohta 3).
• Saatavilla irtisanoo sopimuksen vähintään 30 päivän ilmoitusajalla ja ilmoittaa perusteet pysyvällä välineellä. Poikkeuksena ovat asetuksen (EU) 2019/1150 4 artiklan 4 kohdan tilanteet. Saatavilla voi lisäksi rajoittaa tai sulkea tilin, joka rikkoo tätä sopimusta tai käyttöehtoja, kohdan 12 mukaisesti.
• Vaikutus varauksiin: irtisanomisen jälkeen Palveluntarjoajan sivu ja uusien varausten vastaanotto lakkaavat. Jo tehdyt, tulevaisuuteen ajoittuvat varaukset suositellaan käsiteltäväksi (hoidettavaksi tai peruutettavaksi asiakkaan kanssa) ennen tilin sulkemista — Saatavilla ei vastaa irtisanomisen jälkeen enää auki olevien varausten toteutumisesta.
• Tilin poistamisen yhteydessä henkilötiedot käsitellään tietosuojaselosteen mukaisesti (anonymisointi, lakisääteisten tietojen säilytys esim. kirjanpitoa varten).
• Datan siirrettävyys: Palveluntarjoaja voi ennen tilin päättymistä viedä tietonsa koneluettavassa muodossa palvelun vientitoiminnolla. Saatavilla pyrkii edistämään sujuvaa siirtymistä toiseen palveluun soveltuvin osin EU:n datasäädöksen (Data Act, (EU) 2023/2854, sovellettu 12.9.2025 alkaen) pilvipalvelujen vaihtoa koskevien periaatteiden mukaisesti.
• Irtisanomalla ei vapaudu jo erääntyneistä maksuvelvoitteista.

7. Tietosuoja ja alikäsittelijät

Saatavilla käsittelee Palveluntarjoajan asiakkaiden henkilötietoja (nimi, yhteystiedot, varaustiedot) osittain Palveluntarjoajan lukuun tarjotessaan varausalustaa. Käsittelyn yleiset periaatteet, käsittelyn tarkoitukset, säilytysajat ja alikäsittelijät on kuvattu tietosuojaselosteessa ja alikäsittelijärekisterissä.

Tämän sopimuksen tietosuojaehdot on tarkoitus muodostaa erillinen tietojenkäsittelysopimus (DPA) -liite, joka kattaa vähintään GDPR:n artiklan 28 mukaisen minimisisällön:

• Käsittelyn kohde, kesto, luonne ja tarkoitus sekä käsiteltävien henkilötietojen tyypit ja rekisteröityjen ryhmät (art. 28(3))
• Saatavilla käsittelee henkilötietoja ainoastaan Palveluntarjoajan (rekisterinpitäjän) dokumentoitujen ohjeiden mukaisesti (art. 28(3)(a))
• Käsittelyyn osallistuvien henkilöiden salassapitovelvollisuus (art. 28(3)(b))
• Tietoturvatoimenpiteet GDPR art. 32 mukaisesti (art. 28(3)(c))
• Alikäsittelijöiden käytön ehdot ja yleinen etukäteislupa alikäsittelijärekisterin mukaisille alikäsittelijöille, sekä velvollisuus ilmoittaa muutoksista (art. 28(2), 28(4))
• Avustaminen rekisteröidyn oikeuksien toteuttamisessa (art. 28(3)(e))
• Avustaminen tietoturvaloukkausilmoituksissa (art. 33–34) ja vaikutustenarvioinneissa (art. 28(3)(f))
• Tietojen palautus tai poisto sopimuksen päättyessä, pois lukien lakisääteisesti säilytettävät tiedot (art. 28(3)(g))
• Auditointioikeus (art. 28(3)(h))

7.1 Asiakastietojen tuonti

Palveluntarjoaja voi tuoda asiakasrekisterinsä palveluun tiedostona (CSV). Palveluntarjoaja vastaa siitä, että sillä on oikeusperuste tuoda tiedot. Palveluntarjoaja informoi tuotuja asiakkaita GDPR:n 14 artiklan mukaisesti. Palveluntarjoaja ei tuo terveystietoja eikä muita erityisiä henkilötietoryhmiä (ks. kohta 7.2). Saatavilla ei lähetä tuoduille asiakkaille viestejä, ennen kuin he varaavat ajan. Jos Saatavilla tekee tuonnin Palveluntarjoajan puolesta, se tekee sen vain Palveluntarjoajan kirjallisesta pyynnöstä. Pyyntö säilytetään DPA:n mukaisena ohjeena.

7.2 Terveystiedot ja potilasasiakirjat

Saatavilla on ajanvaraus- ja asiakasrekisteripalvelu. Se ei ole potilastietojärjestelmä, eikä se liity Kanta-palveluihin. Palveluntarjoaja ei kirjaa palveluun terveystietoja eikä muita GDPR:n 9 artiklan erityisiä henkilötietoryhmiä. Kielto koskee muistiinpanoja, varausten lisätietoja ja tuotavia tiedostoja. Kielto koskee myös terapeutteja ja muita terveydenhuollon ammattihenkilöitä. Jos Palveluntarjoaja on terveydenhuollon ammattihenkilö, se laatii potilasasiakirjat lainsäädännön vaatimaan järjestelmään eikä Saatavillaan. Palveluntarjoaja saa käyttää palvelua ajanvaraukseen ja yhteystietojen hallintaan. Jos palveluun on kirjattu terveystietoa, Palveluntarjoaja poistaa sen. Saatavilla voi poistaa tällaisen tiedon tai rajoittaa palvelun käyttöä kohdan 12 mukaisesti.

Tämän sopimuksen erottamattomana osana on tietojenkäsittelysopimus (DPA) (art. 28), joka sisältää yllä luetellun minimisisällön koko tekstinä sekä liitteet A (käsittelyn kuvaus) ja B (tekniset ja organisatoriset toimenpiteet). DPA-liite on samaa sopimusversiota (2026-10-28).

8. Laatuvaatimukset Palveluntarjoajalle

Palveluntarjoajan tulee:

• Antaa totuudenmukaiset ja ajantasaiset tiedot palveluistaan, hinnoistaan ja saatavuudestaan
• Vastata varauksiin ja asiakasyhteydenottoihin kohtuullisessa ajassa
• Huolehtia tarjoamiensa palveluiden turvallisuudesta ja laadusta sekä noudattaa alansa lainsäädäntöä ja hyviä käytäntöjä
• Pitää kalenteri- ja saatavuustiedot ajan tasalla, jotta asiakkaille ei näytetä virheellisiä varausaikoja
• Olla käyttämättä alustaa väärin (esim. harhaanjohtava markkinointi, kolmansien osapuolten oikeuksien loukkaaminen)

Toistuva tai vakava laatuvaatimusten rikkominen voi johtaa tilin sulkemiseen (kohta 6).

9. Immateriaalioikeudet

• Alustan koodi, ulkoasu, tavaramerkit ja muu tekninen toteutus ovat ja pysyvät Saatavillan omaisuutena. Tämä sopimus ei siirrä Palveluntarjoajalle mitään oikeuksia alustan koodiin tai muuhun immateriaaliomaisuuteen.
• Palveluntarjoajan oma sisältö (palvelukuvaukset, hinnastot, profiilikuvat, logot ja muu Palveluntarjoajan syöttämä aineisto) pysyy Palveluntarjoajan omistuksessa. Palveluntarjoaja myöntää Saatavillalle ei-yksinomaisen, maailmanlaajuisen käyttöoikeuden näyttää ja käsitellä tätä sisältöä siinä laajuudessa kuin on tarpeen palvelun tarjoamiseksi (mm. Palveluntarjoajan julkisen sivun näyttäminen).
• Palveluntarjoaja vakuuttaa, että sillä on oikeus syöttämäänsä sisältöön eikä sisältö loukkaa kolmansien osapuolten oikeuksia.

10. Peruutus- ja no-show-käytännöt

• Alusta käyttää kaikille palveluille yhtä peruutusehtoa, jonka se näyttää asiakkaalle varauksen yhteydessä: varauksen voi perua maksutta vähintään 24 tuntia ennen varattua aikaa. Myöhäisestä peruutuksesta Palveluntarjoaja voi veloittaa palvelun hinnan omilla keinoillaan alustan ulkopuolella. Palveluntarjoajakohtaista peruutusehtoa ei tällä hetkellä voi asettaa.
• Alusta tarjoaa asiakkaalle ja Palveluntarjoajalle työkalut varauksen peruuttamiseen ja siirtämiseen ennalta asetettujen sääntöjen puitteissa.
• No-show (asiakas ei saavu eikä peruuta varaustaan) on Palveluntarjoajan ja asiakkaan välinen asia — Saatavilla ei ole varauksen osapuoli eikä vastaa no-show-tilanteiden taloudellisista seurauksista (esim. mahdollinen no-show-maksu, jos Palveluntarjoaja sellaisen on asettanut ja se on toteutettavissa Palveluntarjoajan omilla keinoilla alustan ulkopuolella).
• Koska Saatavilla ei käsittele maksuja asiakkaan ja Palveluntarjoajan välillä (kohta 2), alusta ei tällä hetkellä tarjoa automaattista no-show-veloitusta — tämä on huomioitava Palveluntarjoajalle viestittäessä.

11. Force majeure

Kumpikaan osapuoli ei vastaa viivästyksestä tai suoritusesteestä, joka johtuu osapuolen kohtuullisen vaikutusmahdollisuuden ulkopuolella olevasta esteestä (esim. luonnonmullistus, sota, viranomaistoimi, yleinen tietoliikenne- tai sähkökatkos, kolmannen osapuolen palvelun — kuten maksunvälittäjän, sähköpostitoimittajan tai hosting-palveluntarjoajan — laaja-alainen häiriö), jota osapuoli ei ole voinut kohtuudella ottaa huomioon sopimusta tehtäessä ja jonka seurauksia se ei ole voinut kohtuudella välttää tai voittaa. Force majeure -tilanteen jatkuessa pidempään kohtuullista aikaa (esim. yli 30 vuorokautta) kumpikin osapuoli voi irtisanoa sopimuksen kohdan 6 mukaisesti.

12. Välityspalveluvelvoitteet ja sopimusehtojen muutokset (P2B-asetus)

Saatavilla on EU:n asetuksen (EU) 2019/1150 (verkossa toimivien välityspalvelujen yrityskäyttäjien oikeudenmukaisuus ja avoimuus, "P2B-asetus") tarkoittama online-välityspalvelu, ja noudattaa sitä seuraavasti:

• Sopimusehtojen muutokset: Olennaisista muutoksista näihin ehtoihin tai käyttöehtoihin ilmoitetaan Palveluntarjoajalle pysyvällä välineellä (palvelun kautta ja/tai sähköpostitse) vähintään 15 päivää ennen muutosten voimaantuloa, ellei pidempi määräaika ole tarpeen tai lyhyempi ole sallittu (esim. lakisääteinen velvoite tai tietoturvasyy). Palveluntarjoaja voi irtisanoa sopimuksen ennen muutosten voimaantuloa; palvelun jatkuva käyttö ilmoitusajan jälkeen katsotaan muutosten hyväksymiseksi.
• Näkyvyys ja järjestys (ranking): Palvelujen näkyvyyteen ja hakutulosten järjestykseen alustalla vaikuttavat pääasialliset muuttujat ovat mm. hakusanan osuvuus palvelun nimeen ja kuvaukseen, palveluntarjoajan kategoria, saatavuus ja tietojen ajantasaisuus. Saatavilla ei peri maksua paremmasta sijoituksesta eikä suosi omia palvelujaan. Kriteerien pääpiirteet kuvataan palvelun ohjeissa, ja olennaisista muutoksista ilmoitetaan edellä kuvatulla tavalla.
• Valitusten käsittely: Palveluntarjoaja voi tehdä palvelua koskevan valituksen osoitteeseen tuki@saatavilla.fi. Valitukset käsitellään kohtuullisessa ajassa ja niihin vastataan yksilöidysti; toistuvat ja vakavat valitukset seurataan palvelun kehittämiseksi.
• Sovittelu: Mikäli valitusta ei saada ratkaistua sisäisesti, osapuolet voivat pyrkiä ratkaisuun sovittelun avulla ennen tuomioistuinkäsittelyä (kohta 13).
• Tilin rajoittaminen tai sulkeminen: Jos Saatavilla rajoittaa, keskeyttää tai päättää Palveluntarjoajan palvelun käytön, siitä annetaan perustelut sisältävä ilmoitus pysyvällä välineellä (ellei laki tai painava turvallisuussyy estä), ja Palveluntarjoajalla on mahdollisuus selventää tilannetta edellä mainitun valituskanavan kautta.

13. Sovellettava laki ja riidanratkaisu

Tähän sopimukseen sovelletaan Suomen lakia. Erimielisyydet pyritään ensisijaisesti ratkaisemaan neuvottelemalla. Mikäli neuvottelut eivät johda ratkaisuun, riidat ratkaistaan Helsingin käräjäoikeudessa, ellei pakottava lainsäädäntö toisin edellytä.

Muutoshistoria

• 2026-07-31: Ensimmäinen luonnos laadittu (SAA-1685, vastaa SAA-1067).
• 2026-08-03 (SAA-1721, juristi-review-valmistelu): sopijaosapuoleksi nimetty RK9 AI Oy; ALV korjattu (19 € + ALV 25,5 %, RK9 ALV-rekisterissä); Free-palveluraja 1→3; lisätty P2B-kohta (EU 2019/1150: 15 pv muutosilmoitus, valitukset, ranking-läpinäkyvyys, sulkemisperusteet); lisätty Data Act -maininta datan siirrettävyydestä; laadittu erillinen DPA-liite (art. 28); poistettu kilpailijavertailukohta; lisätty versiointi + hyväksynnän aikaleimaviittaus. Kaikki edelleen LUONNOS — vaatii ulkopuolisen juristin tarkistuksen.
• 2026-10-28 (SAA-2060, SAA-1974): sopimusversio 2026-10-28, operaattori hyväksyi ilman juristia, LUONNOS-merkintä pois; kohta 1: elinkeinonharjoittajaehto, Y-tunnus ja hyväksynnän palvelinversio; kohta 2: SMS-lupaus pois (sähköpostimuistutukset); kohta 6: Saatavillan 30 päivän irtisanomisaika; uudet kohdat 7.1 (CSV-tuonti) ja 7.2 (terveystiedot ja potilasasiakirjat); kohta 10: peruutusehdot vastaamaan koodia.

Tietojenkäsittelysopimus (DPA) — liite palveluntarjoajasopimukseen

Tämä on GDPR:n 28 artiklan mukainen henkilötietojen käsittelysopimus. Se liittyy palveluntarjoajasopimukseen sen erottamattomana osana. Operaattori on hyväksynyt tämän version 28.10.2026 ilman juristin tarkistusta.

Sopimusversio: 2026-10-28. Viittaus: SAA-1721, SAA-1685, SAA-1974, SAA-2060.

1. Osapuolet ja rooli

• Rekisterinpitäjä ("Rekisterinpitäjä"): palveluntarjoajaksi rekisteröityvä elinkeinonharjoittaja tai yritys ("Palveluntarjoaja"), joka määrää asiakkaidensa henkilötietojen käsittelyn tarkoituksista ja keinoista.
• Käsittelijä ("Käsittelijä"): RK9 AI Oy (Y-tunnus 3612536-6, Rantalankatu 9, 30100 Forssa), joka tarjoaa Saatavilla-varausalustaa ja käsittelee Palveluntarjoajan asiakkaiden henkilötietoja Palveluntarjoajan lukuun.

Osapuolet toimivat GDPR:n mukaisina rekisterinpitäjänä ja käsittelijänä siltä osin kuin Käsittelijä käsittelee henkilötietoja Palveluntarjoajan puolesta. Siltä osin kuin RK9 AI Oy käsittelee tietoja omiin tarkoituksiinsa (esim. tilausten laskutus, alustan tietoturva ja väärinkäytösten esto), se toimii itsenäisenä rekisterinpitäjänä oman tietosuojaselosteensa mukaisesti.

Tämä DPA syntyy samalla hetkellä kuin palveluntarjoajasopimus (rekisteröityessä ja ehdot hyväksyessä). Ristiriitatilanteessa tämän DPA:n tietosuojaehdot ovat etusijalla henkilötietojen käsittelyn osalta.

2. Käsittelyn kohde ja ohjeet (art. 28(3), 28(3)(a))

Käsittelyn kohde, kesto, luonne ja tarkoitus sekä henkilötietojen tyypit ja rekisteröityjen ryhmät on kuvattu Liitteessä A.

Käsittelijä käsittelee henkilötietoja ainoastaan Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti (art. 28(3)(a)), mukaan lukien kansainväliset siirrot (kohta 8). Tämä DPA, palveluntarjoajasopimus ja Rekisterinpitäjän palvelussa tekemät konfiguraatiot muodostavat Rekisterinpitäjän dokumentoidut ohjeet. Jos Käsittelijä tekee Rekisterinpitäjän puolesta käyttöönottotoimia, kuten asiakastietojen tuonnin, se tekee ne vain Rekisterinpitäjän kirjallisesta ohjeesta. Sähköposti riittää ohjeeksi. Käsittelijä säilyttää ohjeen tämän DPA:n voimassaoloajan.

Käsittelijä ilmoittaa Rekisterinpitäjälle, jos ohje on Käsittelijän näkemyksen mukaan tietosuojalainsäädännön vastainen (art. 28(3), 2. kohta). Jos EU:n tai jäsenvaltion oikeus edellyttää Käsittelijältä muuta käsittelyä, Käsittelijä ilmoittaa tästä ennen käsittelyä, ellei kyseinen laki kiellä ilmoittamista.

3. Salassapito (art. 28(3)(b))

Käsittelijä varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus. Pääsy henkilötietoihin on rajattu niihin henkilöihin, joille se on tarpeen tämän DPA:n velvoitteiden täyttämiseksi.

4. Tietoturva (art. 28(3)(c), art. 32)

Käsittelijä toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet (TOM) käsittelyn turvaamiseksi ottaen huomioon uusin tekniikka, toteuttamiskustannukset, käsittelyn luonne, laajuus ja tarkoitukset sekä riskit rekisteröityjen oikeuksille. Toteutetut toimenpiteet on kuvattu Liitteessä B.

5. Alikäsittelijät (art. 28(2), 28(4))

Rekisterinpitäjä antaa Käsittelijälle yleisen kirjallisen etukäteisluvan käyttää alikäsittelijöitä. Voimassa oleva alikäsittelijäluettelo on alikäsittelijärekisterissä (nimi, rooli, sijainti, siirtomekanismi).

• Käsittelijä sitouttaa jokaisen alikäsittelijän kirjallisesti vähintään samoihin tietosuojavelvoitteisiin kuin tässä DPA:ssa on sovittu (art. 28(4)), ja vastaa alikäsittelijänsä toiminnasta kuin omastaan.
• Käsittelijä ilmoittaa Rekisterinpitäjälle etukäteen alikäsittelijöiden lisäämisestä tai vaihtamisesta (päivittämällä alikäsittelijärekisteriä ja/tai ilmoittamalla palvelun kautta), jolloin Rekisterinpitäjällä on mahdollisuus vastustaa muutosta perustelluista tietosuojasyistä. Jos Rekisterinpitäjä vastustaa perustellusti eikä ratkaisua löydy, Rekisterinpitäjä voi irtisanoa palveluntarjoajasopimuksen sen kohdan 6 mukaisesti.

6. Avustaminen rekisteröidyn oikeuksissa (art. 28(3)(e))

Käsittelijä avustaa Rekisterinpitäjää asianmukaisin teknisin ja organisatorisin toimenpitein täyttämään velvollisuutensa vastata rekisteröidyn oikeuksien käyttöä koskeviin pyyntöihin (GDPR III luku: pääsy, oikaisu, poisto, rajoitus, siirrettävyys, vastustaminen). Palvelu tarjoaa Rekisterinpitäjälle työkalut tietojen katseluun, muokkaukseen, vientiin (koneluettava muoto) ja poistoon. Rekisterinpitäjä ohjeistaa Käsittelijää toteuttamaan rekisteröidyn oikeudet automaattisesti seuraavissa tapauksissa. Kun rekisteröity, jolla on Saatavilla-tili, pyytää tietojensa jäljennöstä, jäljennös sisältää Rekisterinpitäjän hänestä kirjaamat muistiinpanot. Kun tällainen rekisteröity poistaa tilinsä, varauksista syntyneet asiakasrekisterin tiedot poistetaan. Muut rekisteröidyn pyynnöt Käsittelijä ohjaa Rekisterinpitäjälle eikä vastaa niihin itsenäisesti, ellei laki muuta edellytä.

7. Avustaminen turvallisuudessa ja arvioinneissa (art. 28(3)(f), art. 32–36)

• Tietoturvaloukkaukset: Käsittelijä ilmoittaa Rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan tiedon henkilötietojen tietoturvaloukkauksesta, ja avustaa Rekisterinpitäjää tämän art. 33–34 mukaisissa ilmoitusvelvoitteissa (valvontaviranomaiselle ja rekisteröidyille) toimittamalla kohtuudella saatavilla olevat tiedot loukkauksesta.
• Vaikutustenarviointi (DPIA) ja ennakkokuuleminen: Käsittelijä avustaa Rekisterinpitäjää art. 35–36 mukaisissa velvoitteissa käsittelyn luonteen ja Käsittelijän saatavilla olevien tietojen edellyttämässä laajuudessa.

8. Kansainväliset siirrot (V luku)

Henkilötietojen käsittely tapahtuu ensisijaisesti EU/ETA-alueella. Siltä osin kuin alikäsittelijä käsittelee tietoja EU/ETA-alueen ulkopuolella (ks. alikäsittelijärekisteri), siirto perustuu asianmukaiseen suojakeinoon: EU–US Data Privacy Framework -sertifiointiin tai Euroopan komission hyväksymiin vakiosopimuslausekkeisiin (SCC) GDPR art. 46 mukaisesti, tarvittaessa täydentävin suojatoimin. Ajantasainen siirtomekanismi kunkin alikäsittelijän osalta on kuvattu alikäsittelijärekisterissä.

9. Tietojen palautus ja poisto (art. 28(3)(g))

Palveluntarjoajasopimuksen päättyessä Käsittelijä Rekisterinpitäjän valinnan mukaan poistaa tai palauttaa kaikki käsittelemänsä henkilötiedot ja poistaa olemassa olevat kopiot, ellei EU:n tai jäsenvaltion oikeus edellytä säilyttämistä (esim. kirjanpitolain mukaiset tositteet). Tilin poiston yhteydessä henkilötiedot käsitellään tietosuojaselosteen mukaisesti (anonymisointi, lakisääteisten tietojen säilytys). Rekisterinpitäjä voi viedä tietonsa koneluettavassa muodossa ennen sopimuksen päättymistä (ks. myös EU:n datasäädös / Data Act -mukainen siirrettävyys).

10. Auditointi (art. 28(3)(h))

Käsittelijä saattaa Rekisterinpitäjän saataville kaikki tiedot, jotka ovat tarpeen tässä artiklassa säädettyjen velvollisuuksien noudattamisen osoittamiseksi, sekä sallii Rekisterinpitäjän tai tämän valtuuttaman auditoijan suorittamat auditoinnit ja tarkastukset ja osallistuu niihin. Auditoinnit toteutetaan kohtuullisella ennakkoilmoituksella, tavanomaisena työaikana ja tavalla, joka ei kohtuuttomasti häiritse Käsittelijän toimintaa; ensisijaisesti Käsittelijän toimittamin dokumentein ja sertifikaatein.

11. Vastuu ja voimassaolo

Osapuolten vastuu määräytyy palveluntarjoajasopimuksen ja pakottavan tietosuojalainsäädännön (mm. GDPR art. 82) mukaisesti. Tämä DPA on voimassa niin kauan kuin Käsittelijä käsittelee henkilötietoja Rekisterinpitäjän lukuun.

Liite A — Käsittelyn kuvaus

Liite B — Tekniset ja organisatoriset toimenpiteet (TOM, art. 32)

• Pääsynhallinta: rooliperustainen käyttöoikeus; palveluntarjoajakohtainen tenant-eristys; salasanojen suolattu tiiviste (bcrypt); istunnon- ja pääsytokenien hallinta ja mitätöinti.
• Salaus: liikenteen salaus (TLS/HTTPS); tietokanta- ja varmuuskopiotietojen suojaus palveluntarjoajan ympäristössä.
• Tietoturvaotsikot ja väärinkäytön esto: tiukka sisältöturvakäytäntö (CSP), CSRF-suojaus, syötteen validointi, pyyntökohtaiset rate-limitit.
• Varmuuskopiointi ja palautuvuus: säännölliset varmuuskopiot ja dokumentoitu palautusmenettely (DR).
• Lokitus ja valvonta: virhe- ja tapahtumavalvonta (mm. Sentry) ilman tarpeetonta henkilötietojen keräämistä; ulkoinen uptime-valvonta.
• Alikäsittelijöiden hallinta: kirjalliset sopimukset ja siirtomekanismit (kohta 5, 8).
• Tietojen minimointi ja poisto: anonymisointi tilin poistossa; lakisääteisten tietojen erottelu.

Muutoshistoria

• 2026-08-03: Ensimmäinen DPA-luonnos laadittu (SAA-1721).
• 2026-10-28 (SAA-2060): versio 2026-10-28, LUONNOS-merkintä pois; kohta 2: kirjallinen ohje käyttöönottotoimiin; kohta 5: viittaus palveluntarjoajasopimuksen kohtaan 6; kohta 6: automaattiset rekisteröidyn oikeudet; Liite A: tyypit, kesto ja viittaus kohtaan 7.2.