Miten RessursAgent käsittelee ja suojaa henkilötietoja organisaatiosi puolesta. Lue koko sopimus ja sen liitteet valitsemallasi kielellä.
Julkaistu sopimusVersio 1.0 · 14. lokakuuta 2026
Kaikki kieliversiot viittaavat sopimuksen versioon 1.0. Englanti on hallitseva sopimuskieli ja sitä sovelletaan, jos käännös poikkeaa merkitykseltään. Lue englanninkielinen versio ↗
Tämä on RessursAgentin julkaistu vakiosopimus tietojenkäsittelystä. Se tulee sitovaksi asiakkaalle, kun tämä versio sisällytetään palvelusopimukseen tai muuten hyväksytään kirjallisesti, mukaan lukien sähköisesti. Itse julkaisu ei muuta olemassa olevaa asiakassopimusta. Asiakkaan ja palvelun tiedot toimitetaan hyväksytyn tilauksen ja liitteen D järjestelyjen mukaisesti.
Nämä ehdot kattavat henkilötietojen käsittelyn RessursAgent:ssä. Liitteet määrittelevät käsittelyn laajuuden, turvallisuustoimet, toimittajat ja asiakaskohtaiset järjestelyt.
Henkilötietojen käsittelijä on RessursAgent AS, norjalainen organisaationumero 935 854 067, Gydas vei 22, 0363 Oslo, Norja. Tietosuojayhteyshenkilö: privacy@ressursagent.no. Rekisterinpitäjä on palvelusopimuksessa mainittu asiakas. Liitteessä D voidaan tunnistaa asiakas ja sovittu palvelu viittaamalla kyseiseen tilaukseen; se ei vaadi toista kopiota jo selvästi siellä tallennetusta tiedosta.
Tämä sopimus ja sen liitteet tehdään kirjallisesti, mukaan lukien sähköisesti, ennen asiakkaan puolesta tapahtuvan käsittelyn aloittamista. Osapuolet voivat liittää tämän tunnistetun version hyväksyttyyn palvelutilaukseen ilman erillistä käsin allekirjoitettua allekirjoitusta. Pelkkä tämän sivun vierailu ei tarkoita hyväksyntää. Erillisesti tehty asiakastietojen käsittelysopimus pysyy voimassa, elleivät osapuolet sovi sen korvaamisesta. Jos palvelusopimuksen ja tämän tietojenkäsittelysopimuksen välillä on ristiriita, tämä tietojenkäsittelysopimus menee etusijalle henkilötietojen käsittelyn osalta.
Tämä tietojenkäsittelysopimus (DPA), mukaan lukien sen liitteet ja kaikki sovitut asiakaskohtaiset ohjeet, muodostaa osan RessursAgent-palvelusopimusta, joka on tunnistettu liitteessä D. Sovittu tilaus/palvelupyyntö ja sovellettavat RessursAgent-ehdot ohjaavat kaupallisia asioita. Hyväksytty versio on säilytettävä asiakassopimuksen yhteydessä.
Tämä sopimus säätelee käsittelyä RessursAgentin tarjoamiseksi ja tukemiseksi: Oma suunnitelma, projektisuunnittelu, resurssisuunnittelu, strateginen suunnittelu sekä sovitut tekoäly-, viestintä- ja yhteysominaisuudet. Liite A määrittelee asian, luonteen, tarkoitukset, keston, henkilötietojen tyypit ja rekisteröityjen kategorioiden luokituksen. Sopimusta sovelletaan niin kauan kuin RessursAgent tai alikäsittelijä käsittelee henkilötietoja asiakkaan puolesta, mukaan lukien palautus- ja poistomääräaika.
Asiakas määrittelee tarkoitukset ja olennaiset keinot. RessursAgent määrittelee käytännön tekniset järjestelyt näiden ohjeiden puitteissa. Käyttäjätilit, käyttöoikeudet ja toimintalokit kuuluvat käsittelyn piiriin, kun niitä käsitellään palvelun tarjoamiseksi asiakkaan puolesta. RessursAgentin omaan erilliseen tarkoitukseen, kuten laskutukseen ja asiakassuhteiden yhteydenottoihin, käsittelemät tiedot on kuvattava erikseen tietosuojailmoituksessa. Tiedot eivät poistu tämän sopimuksen soveltamisalasta pelkästään siksi, että ne ovat operatiivisia tietoja.
Sovellettava tietosuojalaki tarkoittaa asetusta (EU) 2016/679 (yleinen tietosuoja-asetus eli GDPR), kuten se on voimassa ETA-alueella ja osaksi Norjan lakiin otettuna Norjan henkilötietolain (Norwegian Personal Data Act) 15. kesäkuuta 2018 nro 38, yhdessä sovellettavan lisätietosuojalainsäädännön kanssa. Sopimuksen tarkoituksena on täsmentää GDPR:n 28 artiklassa vaadittuja käsittelyjärjestelyjä. Pakolliset suojatoimet sovellettavan lain mukaan pysyvät ennallaan.
Henkilötiedoilla, käsittelyllä, rekisterinpitäjällä, henkilötietojen käsittelijällä, henkilötietojen tietoturvaloukkauksella ja valvontaviranomaisella tarkoitetaan GDPR:ssä määriteltyjä käsitteitä. Käyttäjä on henkilö, jonka asiakas on valtuuttanut käyttämään palvelua. Alikäsittelijä on toinen henkilötietojen käsittelijä, jonka RessursAgent on ottanut käsittelemään henkilötietoja asiakkaan puolesta.
Asiakastiedot tarkoittavat palveluun toimitettuja tai palvelussa asiakkaan ohjeiden mukaisesti syntyviä tietoja. Tämä sopimus koskee niihin sisältyviä henkilötietoja, kuten suunnittelutietoja, viestintää, asiakirjoja ja analyysituloksia. Se, toimiiko RessursAgent tietyssä toiminnassa henkilötietojen käsittelijänä vai rekisterinpitäjänä, määräytyy toiminnan tosiasiallisen tarkoituksen ja vastuiden perusteella kohdassa 2 kuvatulla tavalla.
Palvelu tarkoittaa RessursAgent-ohjelmistopalvelusovellusta app.ressursagent.no:ssä ja asiakkaan kanssa sovittuja ominaisuuksia. Asiakastieto sisältää valtuutettujen käyttäjien syöttämät tai tuomat tiedot ja niistä syntyvät suunnittelutiedot. Asiakas säilyttää oikeutensa toimittamaansa sisältöön; tämä DPA sallii käsittelyn vain sovitun palvelun tarjoamiseksi ja laillisten ohjeiden noudattamiseksi. Tilauksen kesto, hinnoittelu, tukisitoumukset ja irtisanomisaika määritellään Palvelusopimuksessa, eikä niitä päätellä toisen palveluntarjoajan ehdoista.
RessursAgent käsittelee henkilötietoja vain asiakkaan kirjallisten ohjeiden mukaisesti, mukaan lukien ohjeet tietojen luovuttamisesta ja siirroista ETA:n ulkopuolelle. Ohjeisiin kuuluvat tämä sopimus, sen täytetyt liitteet ja valtuutettujen käyttäjien pyynnöt sovittujen palvelutoimintojen puitteissa, mukaan lukien API ja MCP. Osapuolet dokumentoivat myöhemmät ohjeet ja käsittelyn laajuuden muutokset kirjallisesti.
RessursAgent ei käytä tämän sopimuksen mukaisesti käsiteltäviä henkilötietoja omiin ei-liittyviin tarkoituksiinsa, mainontaan, tietojen myyntiin tai asiakkaiden väliseen profilointiin. Jos RessursAgent määrittää erillisen tarkoituksen ja olennaiset käsittelykeinot, sen oikeudelliset velvollisuudet määräytyvät sen todellisen roolin mukaisesti sovellettavan lain mukaan; tämä sopimus ei valtuuta tällaista tarkoituksen muutosta.
Kun EU:n/ETA:n tai Norjan lainsäädäntö, joka sitoo RessursAgent:ää, edellyttää käsittelyä asiakkaan ohjeiden ulkopuolella, RessursAgent ilmoittaa asiakkaalle kyseisestä lainsäädännöllisestä vaatimuksesta ennen käsittelyä, ellei laki kiellä tätä tärkeiden yleisen edun syiden perusteella. RessursAgent ilmoittaa välittömästi asiakkaalle, jos ohje vaikuttaa loukkaavan sovellettavaa tietosuojalainsäädäntöä, ja keskeyttää kyseisen ohjeen, kunnes laillinen lähestymistapa on määritelty.
Asiakkaan on määriteltävä ja dokumentoitava laillinen peruste GDPR:n 6 artiklan mukaisesti, annettava 13 ja 14 artiklassa vaaditut tiedot ja noudatettava 5 artiklan periaatteita. Asiakkaan on varmistettava, että henkilötiedot ovat riittäviä, olennaisia, vain tarvittaviin tarkoituksiin rajoittuvia, tarkkoja ja säilytetään enintään siihen tarkoitukseen tarvittavan ajan. Käyttäjäoikeudet, säilytysohjeet ja integraatioiden kautta luovutetut tiedot tulee vastata näitä tarkoituksia.
Asiakkaan on arvioitava tietosuoja-riskit ja, mikäli 35 artikla sitä vaatii, suoritettava tietosuojaan liittyvä vaikutusten arviointi ennen asianomaisen käsittelyn aloittamista. Kaikki 36 artiklassa edellytetyt ennakkoneuvottelut on suoritettava ennen käsittelyä. RessursAgent avustaa 11 kohdan mukaisesti. Asiakkaan on myös otettava huomioon sovellettavat työsuhteen ja työpaikan valvontaa koskevat säännöt.
Palvelu tukee poissaololuokkia ja -päiviä resurssien suunnittelua varten, kuten lomaa tai sairauspoissaoloa. Asiakkaan tulee määritellä, mitkä luokat kunkin valtuutetun yleisön tulee nähdä, sekä dokumentoida tarkoitus ja oikeudellinen peruste. Tarkat lääketieteelliset syyt ja diagnoosit eivät kuulu vakioplanauksen piiriin. Kaikki pelkät luokkarajoitukset on varmistettava ennen kuin niihin luotetaan. Henkilökuntaa koskevat ilmoitukset voidaan antaa työsopimusten ja niihin liittyvien tietojen kautta, mutta kyseiset asiakirjat eivät korvaa asiakkaan oikeudellisten perusteiden ja tarpeellisuuden arviointeja.
Lomakategoria ei sinänsä ilmaise terveydentilaa, mutta henkilöön liitetty sairauskategoria paljastaa terveystietoja jopa ilman diagnoosia tai tarkkaa selitystä. Tämän käsittelyn osalta asiakkaan on tunnistettava sovellettava 9 artiklan 2 momentin edellytys sekä 6 artiklan peruste. Työsopimuksen hyväksyminen ei sinänsä muodosta voimassa olevaa suostumusta eikä tee jokaisesta tietojenantotilanteesta tarpeellista. Kun luotetaan suostumukseen, sen pätevyys on arvioitava erikseen, mukaan lukien valinnanvapaus työsuhteessa, tarkkuus, tiedonsaanti ja peruuttamisoikeus ilman haittaa; 9 artiklan 2 kohdan a alakohdan mukaan vaaditaan nimenomainen suostumus. Jos kategoriaa ei laillisesti voida jakaa tietylle yleisölle, näytetään sen sijaan yleinen ei saatavilla -tila. Asiakkaan on dokumentoitava sovellettava peruste, tarpeellisuus, pääsy ja säilytyksen turvatoimet.
Diagnoosit, lääkäriraportit, tarpeettomat yksityiskohtaiset kertomukset, rikostiedot ja kansalliset henkilötunnukset eivät kuulu tavanomaiseen suunnittelun piiriin, ellei niiden käsittelystä erikseen sovita voimassa olevien lakien ja suojatoimien mukaisesti. HMS-korttien numerot ovat ammatillisia tunnisteita, eivät lupa kansallisten henkilötunnusten keräämiseen. RessursAgent noudattaa lainmukaisia ohjeita rajoittaen, palauttaen tai poistaen sovitun piirin ulkopuolisia tietoja; sen velvollisuudet jatkuvat vastaanotettujen tietojen osalta.
RessursAgent varmistaa, että pääsyä omaavat henkilöt ovat sopimus- tai lakisääteisten salassapitovelvollisuuksien alaisia. Pääsy rajoitetaan tehtävän kannalta tarpeelliseen ja poistetaan, kun sitä ei enää tarvita. Salassapitovelvollisuus jatkuu työsuhteen ja sopimuksen päättymisen jälkeen. Asiakastietoja ei saa luovuttaa muille asiakkaille eikä käyttää muuhun kolmannen osapuolen toimintaan.
Molempien osapuolien tulee suojata luottamuksellisia tietoja, joita vaihdetaan tämän sopimuksen hallinnoimiseksi, mukaan lukien turvallisuusasiakirjat ja ei-julkiset asiakastiedot. Paljastaminen, joka on tarpeen lakisääteisten velvoitteiden täyttämiseksi, yksilöiden auttamiseksi, ammatillisen neuvonnan saamiseksi luottamuksellisuuden alaisena tai yhteistyössä valvontaviranomaisen kanssa, on sallittua.
RessursAgentin tulee toteuttaa, ylläpitää ja dokumentoida tekniset ja organisatoriset toimenpiteet, jotka ovat GDPR:n 32 artiklan mukaisesti riskiin sopivia, ottaen huomioon tekniikan taso, toteutuskustannukset, käsittelyn luonne, laajuus, konteksti ja tarkoitukset sekä yksilöihin kohdistuvat riskit. Toimenpiteiden tulee kattaa käsittelyn jatkuva luottamuksellisuus, eheys, saatavuus ja resilienssi, pääsyn ajantasainen palauttaminen tietoihin incidentin jälkeen sekä niiden tehokkuuden säännöllinen testaus ja arviointi.
Liitteessä B on kirjattava yksityiskohtaiset toimenpiteet, mukaan lukien pääsynhallinta, asiakaskohtainen erottelu, tiedon suojaaminen siirron aikana ja levossa, varmuuskopiointi ja palautus, turvallinen kehitys ja häiriötilanteiden käsittely. Salaus ja pseudonymisointi on arvioitava ja sovellettava asianmukaisesti riskeihin. Henkilöstön tulee käsitellä tietoja vain valtuutuksensa ja asiakkaan ohjeiden mukaisesti. Toimenpiteiden on oltava käytössä ennen siihen liittyvän käsittelyn aloittamista.
RessursAgent avustaa asiakasta tietosuoja-asioissa suunnittelussa ja oletuksena tarjoamissaan palveluissa. Turvatoimia voidaan kehittää ilman, että sovittu suojaustaso tai sovellettavan lain noudattaminen heikkenee. Merkittävät muutokset on dokumentoitava ja viestittävä asiakkaalle.
Kumpikin osapuoli ylläpitää tietojen käsittelyyn liittyvät rekisterit, joita vaaditaan GDPR:n 30 artiklan mukaan, nimittää tietosuojavastaavan, jos 37 artikla sitä edellyttää, ja tekee yhteistyötä toimivaltaisten valvontaviranomaisten kanssa. RessursAgent säilyttää tukevat turvallisuusasiakirjat, arvioi säännöllisesti toimenpiteidensä tehokkuutta ja korjaa havaitut puutteet. Tämän sopimuksen julkaisu ei ole sertifiointi tai riippumaton turvallisuusauditointi.
RessursAgent ei saa käyttää alikäsittelijää ilman asiakkaan ennakkoon antamaa erityistä tai yleistä kirjallista lupaa. Tämän sopimuksen tekemisellä asiakas antaa luvan liitteessä C mainituille alikäsittelijöille sopimukseen sisältyvien palvelujen osalta ja antaa yleisen kirjallisen luvan myöhempiin lisäyksiin tai korvauksiin tämän kohdan alaisuudessa. Valinnaisen palvelun listaaminen ei tee siitä käyttöön kelpaavaa eikä anna lupaa ei-liittyvään käsittelyyn.
RessursAgent ilmoittaa asiakkaalle suoraan kirjallisesti suunnitelluista alikäsittelijöiden lisäyksistä tai korvaamisista riittävän hyvissä ajoin, jotta asiakkaalla on mahdollisuus esittää merkityksellinen vastalause ennen kyseisen käsittelyn aloittamista. Ilmoituksessa tulee mainita yksikkö, toiminta, asiaankuuluvat tiedot, käsittelypaikat ja siirron turvatoimet. Mahdollinen lisätty vähimmäisilmoitusaika, josta on sovittu, tulee kirjata liitteeseen D. Osapuolet pyrkivät lailliseen ratkaisuun perusteltuihin tietosuojavastaloihin. Kiistanalainen käsittely ei saa alkaa kyseiselle asiakkaalle, kunnes vastalause on ratkaistu; jos laillista ratkaisua ei ole mahdollista saada, asianomainen palvelu keskeytetään tai lopetetaan palautuksen ja poistamisen mukaisesti kohdan 14 mukaisesti.
Ennen kuin alikäsittelijä vastaanottaa henkilötietoja, RessursAgentin on arvioitava sen riittävät takeet ja tehtävä sitova sopimus, joka velvoittaa olennaisesti samoihin tietosuojavelvoitteisiin kuin tämä sopimus valtuutetussa käsittelyssä, mukaan lukien asianmukainen turvallisuus ja avustaminen. RessursAgent pysyy täysin vastuussa asiakkaalle alikäsittelijän näiden velvoitteiden noudattamisesta 28 artiklan 4 kohdan mukaisesti.
RessursAgent ylläpitää hyväksyttyä rekisteriä ajantasaisena ja antaa tietoja, jotka ovat kohtuudella tarpeen alikäsittelijäjärjestelyjen varmentamiseksi. Asianmukaiset sopimukset voidaan sensuroida vain niin paljon kuin on tarpeen luottamuksellisten tietojen suojaamiseksi ilman, että se estää asiakasta arvioimasta noudattamista. RessursAgent ilmoittaa asiakkaalle alikäsittelijän noudattamatta jättämisestä, mikä vaikuttaa käsittelyyn, ja ryhtyy asianmukaisiin korjaaviin toimiin.
Sovelluksen toiminnon suorittaminen, ensisijainen sovellusdatapankki sekä hallittu tietokannan varmuuskopiointi ja palautus on määritetty Frankfurtissa, Saksassa. RessursAgent ylläpitää tätä alueellista rajoitusta kyseiselle infrastruktuurille. Sisällön toimituksella, operatiivisilla lokeilla, tukikäytöllä sekä erikseen käytetyillä tekoäly-, sähköposti-, SMS- ja muilla palveluilla on omat käsittelypaikkansa. Liitteessä C on tunnistettu nämä palvelut; kohdat 8 ja 9 säätelevät niiden käyttöä ja mahdollisia kansainvälisiä siirtoja.
Liitteessä C on tunnistettava sovitut käsittely- ja säilytyspaikat, tuettava pääsyä muista maista ja asiaankuuluvaa jatkokäsittelyä. Tietokannan sijoittaminen ETA-alueelle ei itsessään osoita, että kaikki käsittely tapahtuu siellä. Paikan muutokset tulee arvioida ennen käyttöönottoa, ja ne ovat asiakkaan dokumentoitujen ohjeiden ja kohdan 8 mukaisia, kun alikäsittelijä muuttuu.
Paitsi jos kohdassa 4 kuvatun lakiin perustuvan vaatimuksen soveltaminen on tarpeen, siirrot ETA:n ulkopuolelle tapahtuvat vain asiakkaan dokumentoitujen ohjeiden mukaisesti. Jokaisen tällaisen siirron, mukaan lukien asiaankuuluva etäyhteys ja jatkosiirrot, on täytettävä GDPR:n V luvun vaatimukset. Ennen tietojen siirtämistä RessursAgent dokumentoi vastaanottajan, maan ja sovellettavan mekanismin, kuten asianmukaisen tasovaatimuspäätöksen sen soveltamisalassa tai asianmukaiset suojatoimet artiklan 46 mukaan.
Kun käytetään vakiosopimuslausekkeita, RessursAgent arvioi niiden tehokkaan suojan siirron olosuhteissa, dokumentoi asiaankuuluvan vastaanottajamaan lainsäädännön ja käytännöt sekä toteuttaa tarvittaessa täydentäviä toimenpiteitä. Siirtoja ei saa aloittaa, tai ne on keskeytettävä, jos vaadittua suojaa ei voida varmistaa. Tämä sopimus ei itsessään ole V luvun siirtomekanismi.
Kun se on otettu käyttöön ja määritetty, avustaja käyttää Anthropic:n kaupallista Claude API:a tulkitsemaan pyyntöjä, valmistelemaan ehdotettuja toimia, laatimaan vastauksia ja tarjoamaan kielitukea. Tehtäväkonteksti voi sisältää valittuja henkilöitä, laitteita, projekteja, päivämääriä, tehtäviä ja saatavilla olevaa suunnittelutietoa; myös käyttäjäprofiilitiedot, tallennetut mieltymykset tai muistot, viimeaikaiset kysymykset ja asiaankuuluva keskusteluhistoria voivat sisältyä. Liitteet käsitellään lähetyksen yhteydessä. Sallitun toimivallan laajuus on tarkistettava suhteessa todelliseen kehotteen rakentamiseen ja käyttäjäoikeuksiin, mukaan lukien valinnaiset kentät. RessursAgentin tulee paljastaa vain se, mikä on tarpeen valtuutettuun tehtävään.
RessursAgent käyttää Anthropic:n palvelua sen tavanomaisten kaupallisten ehtojen mukaisesti, jotka sisältävät tietojenkäsittelylisäyksen ja kieltävät asiakassisällön käytön koulutukseen. Tavalliset API-tulot ja -menot poistetaan yleensä 30 päivän kuluessa; tarjoajan hallinnoimat tiedostopalvelut, mallikohtaiset turvallisuusvaatimukset, käyttöpolitiikan tutkimukset ja lainmukaiset velvoitteet voivat noudattaa eri säilytysaikoja. Mukautettua nollatietosäilytysratkaisua ei sisällytetä. RessursAgent dokumentoi sovellettavan mallin, työkalun, säilytys- ja siirtäjärjestelyt ja rajoittaa tiedot, jotka paljastetaan valtuutetulle tehtävälle.
Tämän palvelun sopimuksellinen rajoitus on, että RessursAgent ei saa käyttää henkilötietoja, joita käsitellään tämän sopimuksen nojalla, eikä sallia alikäsittelijöidensä käyttää niitä yleiskäyttöisten mallien kouluttamiseen tai parantamiseen, asiakaskohtaisten profiilien luomiseen tai ei-liittyvien tuotteiden kehittämiseen. Palveluntarjoajasopimusten ja asetusten tulee tukea tätä rajoitusta ennen asianmukaisen käsittelyn aloittamista. Kaikki turvallisuus- tai väärinkäytösten valvontaa koskeva käsittely on dokumentoitava, rajoitettava lailliseen tarkoitukseen ja arvioitava koskien palveluntarjoajan todellista roolia.
Tekoälyn tuottama sisältö on päätöksenteon tukea ja saattaa sisältää virheitä. Asiakkaan tulee suorittaa merkityksellinen ihmisen tekemä tarkistus, jolla on valtuudet hylätä tai muuttaa ehdotusta, ennen kuin luotetaan sisältöön yksilöitä koskevissa päätöksissä. RessursAgent-avustajan ehdottamat suunnittelumuutokset vaativat käyttäjän hyväksynnän ja pysyvät palvelun luvan ja vahvistuksen valvonnan alaisina. Pelkkä vahvistusklikkaus ei muodosta merkityksellistä tarkistusta. Mikä tahansa kokonaan automatisoitu päätös, jolla on oikeudellisia tai vastaavan tason merkittäviä vaikutuksia, edellyttää erillistä arviointia artiklan 22, soveltuvan poikkeuksen ja tarvittavien turvatoimien osalta; sitä ei valtuuteta vakioprosessoinnin ohjeilla.
Liitteet ja keskusteluhistoria voidaan käsitellä valtuutetun pyynnön täyttämiseksi. Uutettu asiakirjan teksti tai ladatut tiedostot voidaan lähettää AI-toimittajalle tiedostotyypistä riippuen. Hakemushistorialla ja toimittajan hallussa olevilla tiedostoilla on erilliset säilytysjärjestelyt. Tilapäisten Files API-latausten osalta sovellus pyytää enintään tunnin vanhentumisaikaa, vahvistaa palautetun vanhentumisajan ennen käyttöä ja pyytää poistamista käsittelyn jälkeen. Nämä sovelluksen ohjaimet eivät lupaa jokaisen toimittajan kopion välitöntä fyysistä poistamista. RessursAgent seuraa epäonnistuneita vanhentumis-/poistopyyntöjä, soveltaa laillisia poistamisohjeita asiaankuuluviin kopioihin ja dokumentoi kaikki rajoitetut jäljellä olevat säilytykset kohdan 14 mukaisesti.
SMS käyttää Strex/Target365. Tuotteen sähköposti ja todennussähköposti, mukaan lukien kutsut ja salasanan palautus, käyttävät Resend. Nämä palvelut käsittelevät vastaanottajan tietoja, asiaankuuluvaa sisältöä, toimitustapahtumia ja linkkejä. Hyväksytty laajuus, sijainnit ja säilytysaika on kirjattava liitteeseen C. Herkkiä poissaolotietoja ja HMS-korttinumeroita ei saa sisällyttää viesteihin tai tekoälypohjaisiin kehotteisiin, elleivät ne ole erikseen arvioitu ja erityisesti valtuutettu sopivalla toimittajasuojauksella.
Asiakkaaseen liitetyt järjestelmät ja ulkoiset tekoälyasiakkaat, jotka käyttävät API:a tai MCP:tä, on arvioitava sen mukaan, kuka niitä käyttää, niiden todellinen rooli, pääsy tietoihin ja valtuutetut toimet. Ne eivät ole automaattisesti RessursAgent-aliprosessoreita. Asiakkaan tulee varmistaa tarvittavat ohjeet, lainmukainen tiedonluovutus ja sopimukset niistä palveluista, joita se käyttää; RessursAgent on edelleen vastuussa omiin palveluihinsa ja aliprosessoreihinsa liittyvistä velvoitteista.
Valinnainen karttanäkymä käyttää Google Mapsia. Osoitteiden geokoodaus käyttää Kartverketin Geonorge-palvelua, mukaan lukien projektien osoitteet ja resurssien työpaikkaosoitteet, joissa ne on määritetty. Asiakkaan ohjaamat linkit voivat paljastaa puhelinnumeron Gule Sider -palvelulle tai HMS-kortin numeron Jobbkortille käyttäjän klikkauksen jälkeen. Nämä ilmoitukset ja ulkoiset identiteetin tarjoajat kirjataan erikseen liitteessä C; niiden roolit ja laillinen käyttö on arvioitava, sen sijaan että jokaista ulkoista palvelua käsiteltäisiin alikäsittelijänä. Kukaan ei ole antanut tälle sopimukselle eikä yhteysluetteloille lupaa tarpeettomaan tietojen paljastamiseen.
Asiakas on vastuussa vastaamisesta yksilöille, jotka käyttävät oikeuksiaan GDPR:n III luvun mukaisesti. RessursAgent välittää saamansa pyynnöt viipymättä eteenpäin, eikä vastaa asiakkaan puolesta ilman ohjeita, ellei laillisesti vaadita. privacy@ressursagent.no:lle osoitetuissa pyynnöissä tulee ilmoittaa tapaus, laajuus ja sovellettava määräaika ilman tarpeettomia henkilötietoja.
Ottaen huomioon käsittelyn luonne, RessursAgent avustaa asianmukaisin teknisin ja organisatorisin toimin, mahdollisuuksiensa mukaan, jotta asiakas voi täyttää pääsyn, oikaisun, poistamisen, rajoittamisen, siirrettävyyden ja vastustamisen pyynnöt sekä muut sovellettavat III luvun oikeudet. Osapuolet järjestävät turvallisen vaihdon ja riittävän nopean avun lainsäädännöllisten määräaikojen täyttämiseksi; sisäiset menettelyt eivät saa pidentää näitä määräaikoja.
Ottaen huomioon käsittelyn luonteen ja saatavilla olevat tiedot, RessursAgent avustaa asiakasta artiklojen 32–36 mukaisissa velvoitteissa, mukaan lukien tietoturva, tietoturvaloukkausten arviointi ja ilmoittaminen, vaikutustenarvioinnit ja ennakkoneuvottelut. Sovitut toimintakohtaiset tiedot kirjataan liitteisiin B ja D. Mahdolliset avustamispalkkiot on sovittava etukäteen, eikä tämä saa estää laissa vaadittavaa avustamista.
RessursAgent ilmoittaa asiakkaan nimeämälle häiriötilanteiden yhteyshenkilölle ilman aiheetonta viivytystä sen jälkeen, kun se on tullut tietoiseksi henkilötietojen tietomurrosta, joka vaikuttaa tämän sopimuksen mukaiseen käsittelyyn, kuten artiklan 33(2) vaatimukset edellyttävät. Sen ei tule odottaa täydellistä tutkimusta tai omaa arviotaan siitä, onko tietomurto ilmoitettava viranomaiselle. Jos tiedot ovat puutteellisia, alkuperäisen ilmoituksen tulee olla peräisin päivityksinä ilman aiheetonta viivytystä.
Saatavilla olevin osin ilmoituksessa tulee määritellä tietomurron luonne, asianomaiset kategoriat ja arvioitu henkilöiden ja tietueiden lukumäärä, todennäköiset seuraukset, rajoitus- ja korjaavat toimenpiteet sekä yhteyshenkilö lisätietoja varten. RessursAgent dokumentoi tosiasiat ja vastauksensa, säilyttää asiaankuuluvat todisteet, ryhtyy suhteellisiin rajoitus- ja lieventämistoimiin ja avustaa asiakasta.
Asiakkaan on arvioitava ja täytettävä velvoitteensa artiklojen 33 ja 34 mukaisesti. Mikäli viranomaistiedotus on vaadittu, artikla 33(1) edellyttää tiedottamista viipymättä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun asiakas sai tiedon; myöhästyneen tiedotuksen on selitettävä syyt. Tiedotusta ei vaadita, jos rikkomuksen ei todennäköisesti katsota aiheuttavan riskiä yksilöiden oikeuksille ja vapauksille. Yksilöille annettava viestintä on toteutettava artiklan 34 mukaisesti, mukaan lukien sen korkean riskin kynnys ja sovellettavat poikkeukset. Nämä säännöt eivät anna RessursAgentille 72 tunnin odotusaikaa ilmoittaakseen asiakkaalle.
Asiakkaan on viipymättä ilmoitettava RessursAgentille vaarantuneista tileistä tai muista palveluun vaikuttavista tapahtumista ja tehtävä yhteistyötä tilanteen rajoittamiseksi. Tapahtumakontaktit, eskalointikanavat ja mahdolliset tiukemmat sopimusperusteiset vasteaikataulut on täytettävä liitteessä D, eikä tämä lykkää lakisääteistä velvoitetta.
RessursAgentin on tehtävä saataville kaikki tiedot, jotka ovat tarpeen näyttämään noudattamisen Artikla 28:n ja tämän sopimuksen mukaisuus, vastattava asianmukaisesti asiakkaan tiedusteluihin sekä sallittava ja osallistuttava tarkastuksiin, mukaan lukien asiakkaan tai tämän määräämän tarkastajan suorittamat tarkastukset. Asiaankuuluvat riippumattomat raportit voivat tukea tätä arviontia, mutta eivät automaattisesti korvaa tarvittavaa tarkastusta tai tarkistusta.
Rutiini-auditoinnit tulisi normaalisti järjestää neljän viikon varoitusajalla. Tätä aikatauluodotusta ei rajoita kiireellisesti tarvittavia auditointeja onnettomuuden, epäillyn sääntöjen noudattamatta jättämisen tai viranomaisvaatimuksen seurauksena. Osapuolten tulee sopia suhteellisista järjestelyistä, jotka suojaavat muiden asiakkaiden tietoja ja luottamuksellista tietoa estämättä tehokasta tarkastusta. Maksut tulee sopia etukäteen, eikä niiden tule tehdä auditointioikeutta tehottomaksi. Asianmukainen dokumentaatio ja havainnot ovat saatavilla valvontaviranomaiselle tarvittaessa.
RessursAgent noudattaa GDPR:n 5 artiklan 1 kohtaa (e) koskevaa tietojen säilyttämisen rajoittamisen periaatetta sekä sovellettavaa Norjan tietosuojalainsäädäntöä. Asiakkaan puolesta käsiteltävät henkilötiedot säilytetään vain niin kauan kuin on tarpeen sovittujen tarkoitusten ja laillisten, kirjallisesti dokumentoitujen ohjeiden mukaisesti tai sovellettavan lain edellyttämällä tavalla. Asiakas määrittelee asiaankuuluvat säilytysajat tai objektiiviset kriteerit, ja RessursAgent toteuttaa sovitut tarkastus- ja poistomenettelyt. Palvelussa ei ole yhtä ainoaa lainsäädännöllistä säilytysaikaa, joka koskisi kaikkia tietoja.
Palvelun aikana RessursAgent toteuttaa lailliset säilytys- ja poistamismääräykset sovitussa laajuudessa. Kun asiaankuuluvat käsittelypalvelut päättyvät, asiakkaan tulee valita henkilötietojen palautus tai poisto. RessursAgent suorittaa tämän valinnan ja poistaa jäljellä olevat kopiot, ellei EU:n/ETA:n tai Norjan laki vaadi tietojen säilyttämisen jatkamista. Tietoja ei saa säilyttää tai käyttää muihin tarkoituksiin palvelun päättymisen jälkeen.
Palautus tai poisto on suoritettava viivytyksettä ja viimeistään 30 kalenteripäivän kuluessa asiakkaan ohjeiden ja tarvittavan laajuuden selkeytymisestä. RessursAgentin on haettava tarvittava selvennys viipymättä eikä sitä saa käyttää säilyttämisen tarpeettomaan pidentämiseen. Palautuksessa on käytettävä jäsenneltyä, yleisesti käytettyä formaattia ja todennettua tai salattua toimituskanavaa. Jäljelle jäävät aktiiviset kopiot on poistettava, kun palautus on suoritettu, ellei laillinen ohje tai säilytysvelvoite toisin edellytä. Menettely kattaa aktiiviset järjestelmät, liitteet, asiaankuuluvat lokitiedostot ja alikäsittelijöiden kopiot, ottaen huomioon alla mainitut dokumentoidut varmuuskopiot ja lailliset tarjoajarajoitukset. Tämä operatiivinen määräaika ei pidennä yksilöiden oikeuksia koskevia lakisääteisiä määräaikoja.
Varakopiot, jotka odottavat poistamista dokumentoidun säilytyssyklin mukaisesti, on suojattava eikä niitä saa käyttää tavalliseen käyttöön. RessursAgentin hallinnoidut tietokantavarakopiot kiertävät noin seitsemän päivän välein. Tiettyjen toimittajien jäännöskopiot noudattavat liitteessä C määriteltyjä sovellettavia rajoitettuja säilytysjärjestelyjä. Palautuksen tai poistamisen yhteydessä RessursAgentin on kirjattava ja ilmoitettava asiakkaalle lopullinen vanhentumispäivämäärä tai sovellettava lakisääteinen säilytyskriteeri kaikista jäljellä olevista kopioista. Palveluntarjoajan politiikka ei sinänsä salli säilytystä sovellettavan lain tai tämän sopimuksen vastaisesti. Määräämättömät poistopyynnöt on sovellettava uudelleen ennen kuin normaali käyttö voidaan palauttaa palautuksen jälkeen. RessursAgentin on hankittava asianmukainen todiste alikäsittelijän poistosta ja vahvistettava asiakkaalle kirjallisesti poiston suorittaminen sekä mahdollinen rajoitettu jäännössäilytys.
Kun laki edellyttää tietojen säilyttämistä, RessursAgent ilmoittaa asiakkaalle lain perusteet, siihen liittyvät tiedot ja vaaditun säilytysajan, ellei se ole kielletty. Pääsy ja käsittely rajoittuvat kyseiseen lakisääteiseen vaatimukseen, ja tiedot pysyvät suojattuna poistoon saakka.
Jokainen osapuoli on vastuussa omista velvoitteistaan sovellettavan tietosuojalainsäädännön ja tämän sopimuksen mukaisesti. Osapuolten välinen vastuu noudattaa sovellettavaa lakia ja palvelusopimuksessa nimenomaisesti sovittuja voimassa olevia rajoituksia. Mikään rajoitus ei poista pakollisia velvoitteita eikä luo tätä sopimusta kautta lisärajoitusta.
Mikään tässä sopimuksessa ei rajoita rekisteröityjen oikeuksia saada korvausta GDPR:n 82 artiklan nojalla tai valvontaviranomaisten valtuuksia. Jos osapuoli on maksanut vahingonkorvausta, josta toinen osapuoli on vastuussa, osapuolten välinen takaisinperintä tapahtuu 82 artiklan 5 kohdan ja sovellettavan lain mukaisesti.
Lain, palvelun kehittämisen tai käsittelyjärjestelyjen edellyttämät muutokset on dokumentoitava. Ehdotetuista olennaisista muutoksista on normaalisti ilmoitettava vähintään 30 päivää ennen niiden aiottua voimaantulopäivää, ja ne vaativat kirjallisen suostumuksen, mukaan lukien sähköisen suostumuksen. Uudistetun asiakirjan julkaiseminen ei itsessään muokkaa tehtyä asiakassopimusta. Toimittajan muutokset noudattavat 8 kohtaa; pakolliset lakisääteiset velvoitteet soveltuvat, kun laki sitä edellyttää.
Sopimattomuuden tapahtuessa osapuolet pyrkivät ajalliseen korjaamiseen. Käsittely, jota ei voida suorittaa lainmukaisesti, keskeytetään tai lopetetaan tavalla, joka suojaa tiedot, palautus ja poisto liitteen 14 mukaisesti. Pakolliset lakisääteiset velvoitteet ovat etusijalla ristiriitaisten ohjeiden tai ehtojen edellä.
Tätä sopimusta säätelee Norjan laki. Pakollisten tuomiovaltaan liittyvien sääntöjen mukaisesti osapuolten väliset tämän sopimuksen johdosta syntyvät riidat käsitellään Oslon käräjäoikeudessa (Oslo tingrett). Tämä ei rajoita rekisteröityjen lakisääteisiä oikeussuojakeinoja, heidän oikeuttaan valittaa valvontaviranomaiselle tai toimivaltaisten viranomaisten valtuuksia.
Englanti on tämän sopimuksen ja kaikkien liitteiden määräävä sopimuskieli. Käännöksiä tarjotaan, jotta sopimus on saatavilla verkkosivuston kielillä. Jos käännös eroaa merkitykseltään, englanninkielinen versio on ratkaiseva. Kaikki täytetyt liitteet, kirjalliset muutokset ja sovittu versio on pidettävä englanninkielisenä.
Tämä liite määrittelee standardikäsittelyalueen. Asiakaskohtainen tilaus ja liite D määrittelevät käytössä olevat ominaisuudet ja mahdolliset lisäoikeudelliset ohjeet. Valinnaiset ominaisuudet ja yhteydet eivät anna lupaa rajoittamattomaan tiedonluovutukseen.
Seuraavat tekniset ja organisatoriset toimenpiteet kuuluvat RessursAgentin velvollisuuksiin 7. kohdan mukaisesti. Tukidokumentaatio, testausrekisterit ja turvallisuusarvioinnit säilytetään erikseen ja ne ovat saatavilla 13. kohdan mukaisesti. Sertifiointia, keskeytyksetöntä saatavuutta tai numeroituvaa palautustakuuta ei ole tarkoitettu.
Seuraava rekisteri tunnistaa RessursAgentin alatiedon käsittelijät ja muut vastaanottajat standardipalvelulle. Valinnaiset palvelut koskevat vain silloin, kun ne sisältyvät sovittuun palveluun. RessursAgent pitää rekisterin sekä siihen liittyvät vastaanottaja-, maa-, säilytys- ja siirtotiedot ajantasaisina, toimittaa ne kohdassa 13 ja noudattaa kohtaa 8 alatiedon käsittelijöiden muutoksissa.
Frankfurtin rajoitus koskee infrastruktuuria, joka on määritelty kohdassa 9. Se ei koske jokaista alla listattua vastaanottajaa. Kansainväliset siirrot ja asiaankuuluva etäyhteys vaativat kohdassa 9 mainittuja suojatoimia. Toimittajalinkit tarjoavat lisätietoja; muutokset toimittajan verkkosivuilla eivät automaattisesti muuta asiakkaan sovittuja ehtoja.
Alla oleva asiakaskohtainen tieto toimitetaan hyväksytyn palvelutilauksen, tilinhallintatietueen ja mahdollisten sovittujen kirjallisten ohjeiden perusteella. Sitä ei tarvitse toistaa erillisessä allekirjoitetussa aikataulussa. Liitteiden A–C vakiosäännökset pätevät, elleivät osapuolet kirjallisesti sovi laillisesta poikkeamasta.
Julkaistu sopimus · Versio 1.0 · 14. lokakuuta 2026