Henkilötietojen käsittelysopimus (DPA)

1. Osapuolet ja roolit

• Rekisterinpitäjä (controller): Luisteluseura (rekisteröity yhdistys), joka on tilannut LuisteluZeura-palvelun
• Käsittelijä (processor): KoutZe Digital Oy, Y-tunnus 3610786-2, Suomi
• Yhteyspiste: tietosuoja@koutze.fi

Seuran puolesta sopimuksen hyväksyy hallituksen valtuuttama henkilö (yleensä puheenjohtaja, toiminnanjohtaja tai muu palvelun ylläpitäjäroolissa toimiva henkilö).

2. Käsittelyn kohde, kesto, luonne ja tarkoitus

Kohde: Seuran toiminnassa syntyvät ja siihen liittyvät henkilötiedot.

Kesto: Palvelun voimassaolon ajan sekä lakisääteisten säilytysaikojen mukaisesti palvelun päättymisen jälkeen (kohta 9).

Luonne ja tarkoitus: Tietoja käsitellään seuran lakisääteisten velvoitteiden (yhdistyslaki, kirjanpitolaki, työnantaja- ja verovelvoitteet) sekä sopimusten täyttämiseksi: jäsenrekisterin ylläpito, ryhmiin ja joukkueisiin ilmoittautuminen, harjoitus- ja jäävuorojen suunnittelu, kilpailu- ja lisenssitiedot, laskutus ja kirjanpito, valmentajien työvuorot ja palkanmaksu sekä seuran viestintä. Käsittelijä käsittelee tietoja ainoastaan rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti — palvelun normaali käyttö muodostaa nämä dokumentoidut ohjeet.

3. Rekisteröidyt ja henkilötietoryhmät

Rekisteröidyt:

• luistelijat, myös alaikäiset
• huoltajat ja muut laskutusosapuolet
• valmentajat, ohjaajat ja muut seuran työntekijät sekä palkkionsaajat
• hallituksen jäsenet, toimihenkilöt ja talkoolaiset
• seuran jäsenet sekä yhteistyökumppanien ja tilintarkastajan yhteyshenkilöt

Tietoryhmät:

• nimi-, osoite- ja yhteystiedot sekä syntymäaika
• huoltajasuhteet, jäsenyys-, ryhmä- ja joukkuetiedot
• ilmoittautumiset, läsnäolot, poissaolot ja talkoovuorot
• kilpailu-, lisenssi- ja taitotasotiedot
• laskutus- ja maksuhistoria sekä pankkiyhteystiedot (IBAN)
• työsuhde-, työaika-, palkka- ja verotiedot (valmentajat ja toimihenkilöt)
• viestit, tiedotteet ja keskustelut palvelun viestintäkanavissa
• asiakirjat ja kuvat, joita rekisterinpitäjä lataa palveluun
• käyttäjätunnistus-, kirjautumis- ja audit-tiedot

Henkilötunnukset: Henkilötunnuksia käsitellään vain silloin, kun se on välttämätöntä lainsäädännön perusteella — käytännössä palkanmaksussa ja tulorekisteri-ilmoituksissa. Muutoin rekisteröity yksilöidään nimellä ja syntymäajalla.

Erityiset henkilötietoryhmät: Palvelua ei ole tarkoitettu terveystietojen järjestelmälliseen käsittelyyn. Jos rekisterinpitäjä syöttää esimerkiksi loukkaantumis- tai allergiatietoja vapaatekstikenttiin, vastuu käsittelyn oikeusperusteesta ja tietojen minimoinnista on rekisterinpitäjällä.

4. Alaikäiset ja huoltajan rooli

Suuri osa rekisteröidyistä on alaikäisiä. Palvelussa alaikäisen luistelijan tietoja hallinnoi ensisijaisesti huoltaja omalla tunnuksellaan, ja alaikäisen oma portaalitunnus voidaan avata rekisterinpitäjän määrittämän ikärajan mukaisesti. Suostumusluonteiset asiat — kuten kuvausluvat, tietojen julkaisu seuran sivuilla ja viestintäkanavien käyttö — kerätään huoltajalta palvelun suostumustoiminnoilla, ja suostumuksen sisällöstä ja perusteesta vastaa rekisterinpitäjä.

5. Käsittelijän velvollisuudet (art. 28.3)

• käsittelee henkilötietoja vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti
• varmistaa, että tietoja käsittelevät henkilöt ovat salassapitovelvollisia
• toteuttaa art. 32:n mukaiset tekniset ja organisatoriset turvatoimet (kohta 7)
• avustaa rekisterinpitäjää rekisteröityjen oikeuksien toteuttamisessa
• avustaa vaikutustenarvioinnissa ja ennakkokuulemisessa tarvittavassa laajuudessa
• ilmoittaa tietoturvaloukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä, viimeistään 48 tunnin kuluessa siitä kun se on tullut käsittelijän tietoon
• ei siirrä tietoja kolmansille ilman rekisterinpitäjän ohjetta tai lakiin perustuvaa velvoitetta

6. Alikäsittelijät

Rekisterinpitäjä antaa yleisen ennakkohyväksynnän alikäsittelijöiden käytölle. Käsittelijä sitoo jokaisen alikäsittelijän vastaaviin velvoitteisiin kuin tämä sopimus asettaa, ja vastaa alikäsittelijän toiminnasta kuin omastaan.

Ajantasainen lista on sivulla Alikäsittelijät. Uudesta tai vaihtuvasta alikäsittelijästä ilmoitetaan palvelussa vähintään 30 päivää ennen muutosta. Rekisterinpitäjä voi perustellusta tietosuojasyystä vastustaa muutosta, jolloin osapuolet etsivät ratkaisun tai rekisterinpitäjä voi irtisanoa palvelun.

7. Tietoturvatoimet

• seurakohtainen tietoeristys tietokantatasolla (row level security)
• tietojen salaus siirrossa (TLS) ja levossa
• roolipohjainen pääsynhallinta ja vahva tunnistautuminen ylläpitorooleille
• arkaluonteisten tiedostojen jakelu vain määräaikaisilla allekirjoitetuilla linkeillä
• muutos- ja käyttöloki (audit log) hallinnollisista toimenpiteistä
• säännölliset varmuuskopiot ja palautusmenettelyt
• automaattinen tietoturvatarkastus julkaisuputkessa

Turvatoimia kehitetään jatkuvasti; muutokset eivät heikennä suojan tasoa.

8. Käsittelyn sijainti ja siirrot EU/ETA:n ulkopuolelle

Henkilötiedot säilytetään lähtökohtaisesti EU/ETA-alueella. Osa alikäsittelijöistä (esimerkiksi tekoälytoiminnot ja sähköpostin välitys) voi käsitellä tietoja EU/ETA:n ulkopuolella. Näissä tapauksissa siirto perustuu Euroopan komission vakiosopimuslausekkeisiin (SCC) tai vastaavaan suojatoimeen. Yksityiskohdat on kuvattu alikäsittelijälistalla.

9. Säilytys, palautus ja poisto

Palvelun päättyessä rekisterinpitäjä saa tietonsa koneluettavassa muodossa (vientitoiminnot palvelussa). Tämän jälkeen käsittelijä poistaa tai anonymisoi henkilötiedot 90 päivän kuluessa, ellei laki edellytä pidempää säilytystä.

Kirjanpitoaineisto säilytetään kirjanpitolain mukaiset ajat (tositteet 6 vuotta, tilinpäätösaineisto 10 vuotta). Tänä aikana aineisto on arkistotilassa vain rekisterinpitäjän saatavilla; kyse ei ole aktiivisesta käytöstä.

10. Auditointi, vastuu ja sovellettava laki

Käsittelijä toimittaa rekisterinpitäjälle pyynnöstä tarvittavat tiedot art. 28:n velvoitteiden noudattamisen osoittamiseksi ja mahdollistaa rekisterinpitäjän tai tämän valtuuttaman tarkastajan tekemät auditoinnit kohtuullisin ehdoin, enintään kerran vuodessa, ellei tietoturvaloukkaus tai viranomaisvaatimus muuta edellytä. Auditoinnista sovitaan etukäteen kirjallisesti.

Osapuolten vastuunrajoituksiin sovelletaan palvelun käyttöehtoja. Tähän sopimukseen sovelletaan Suomen lakia, ja erimielisyydet ratkaistaan ensisijaisesti neuvottelemalla, muutoin käsittelijän kotipaikan käräjäoikeudessa.

11. Voimassaolo ja muutokset

Sopimus on voimassa niin kauan kuin käsittelijä käsittelee henkilötietoja rekisterinpitäjän lukuun. Sopimuksen muutoksista ilmoitetaan palvelussa, ja uusi versio on hyväksyttävä palvelun ylläpitäjäroolissa ennen käytön jatkamista. Voimassa oleva versio on aina nähtävissä tällä sivulla.