Henkilötietojen käsittelijä käsittelee henkilötietoja yksinomaan tarjotakseen sovitut palvelut rekisterinpitäjälle. Kyseisten henkilötietojen osalta rekisterinpitäjä on rekisterinpitäjä ja Nashua on henkilötietojen käsittelijä. Kumpikin osapuoli noudattaa omia velvoitteitaan sovellettavan tietosuojalainsäädännön mukaisesti. Käsittelyn yksityiskohdat, rekisteröityjen ryhmät ja henkilötietojen tyypit on esitetty liitteessä A.

Henkilötietojen käsittelijä käsittelee henkilötietoja ainoastaan rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, mukaan lukien sopimuksen ja tämän DPA:n mukaisesti, sekä siltä osin kuin se on tarpeen palvelujen tarjoamiseksi, ellei unionin oikeus tai jäsenvaltion lainsäädäntö edellytä käsittelyä, jolloin se ilmoittaa asiasta ensin rekisterinpitäjälle, paitsi jos kyseinen laki kieltää sen. Henkilötietojen käsittelijä ilmoittaa rekisterinpitäjälle, jos ohje sen mielestä rikkoo tietosuojalainsäädäntöä.

Henkilötietojen käsittelijä varmistaa, että henkilötietojen käsittelyyn valtuutetut henkilöt ovat sitoutuneet asianmukaiseen salassapitovelvollisuuteen ja käsittelevät tietoja ainoastaan ohjeiden mukaisesti. Pääsy on rajattu henkilöstöön, joka tarvitsee sitä palvelujen tarjoamiseksi.

Henkilötietojen käsittelijä toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen riskiä vastaavan turvallisuustason, kuten GDPR:n 32 artiklassa edellytetään. Nämä toimenpiteet on kuvattu liitteessä B, ja ne kuvastavat ISO/IEC 27001 -standardin ja SOC 2 -luottamuspalvelukriteerien mukaista tietoturvaohjelmaa sekä ottavat huomioon henkilötietojen käsittelijän velvoitteet DORA- ja NIS2-säädösten mukaisesti sellaisina kuin ne on pantu täytäntöön Alankomaiden lainsäädännössä. Henkilötietojen käsittelijä voi päivittää toimenpiteitä edellyttäen, että suojan taso ei heikkene.

Rekisterinpitäjä antaa henkilötietojen käsittelijälle yleisen valtuutuksen käyttää alikäsittelijöitä palvelujen tarjoamiseen, mukaan lukien liitteessä C luetellut hosting- ja infrastruktuuripalvelujen tarjoajat. Henkilötietojen käsittelijä asettaa sopimuksella jokaiselle alikäsittelijälle tietosuojavelvoitteet, jotka vastaavat tämän DPA:n velvoitteita, ja pysyy täysimääräisesti vastuussa rekisterinpitäjälle kunkin alikäsittelijän suorituksesta. Henkilötietojen käsittelijä ilmoittaa rekisterinpitäjälle aiotuista alikäsittelijöiden muutoksista ja antaa rekisterinpitäjälle kohtuullisen mahdollisuuden vastustaa niitä perustellusti tietosuojaan liittyvin syin.

Henkilötietojen käsittelijä ei siirrä henkilötietoja Euroopan talousalueen ulkopuolelle ilman tietosuojan riittävyyttä koskevaa päätöstä tai GDPR:n V luvun mukaisia asianmukaisia suojatoimia, erityisesti Euroopan komission vakiosopimuslausekkeita sekä mahdollisia tarvittavia täydentäviä toimenpiteitä. Oletusarvoisesti henkilötiedot isännöidään Alankomaissa ja ETA-alueella.

Ottaen huomioon käsittelyn luonteen henkilötietojen käsittelijä avustaa rekisterinpitäjää asianmukaisin teknisin ja organisatorisin toimenpitein, mahdollisuuksien mukaan, rekisterinpitäjän velvollisuuksien täyttämisessä vastata rekisteröityjen oikeuksien käyttämistä koskeviin pyyntöihin, ja avustaa rekisterinpitäjää varmistamaan GDPR:n 32-36 artiklan mukaisten velvoitteidensa noudattaminen, mukaan lukien tietoturva, tietoturvaloukkauksista ilmoittaminen, tietosuojaa koskevat vaikutustenarvioinnit ja ennakkokuuleminen, ottaen huomioon henkilötietojen käsittelijän saatavilla olevat tiedot.

Henkilötietojen käsittelijä ilmoittaa rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan tiedon rekisterinpitäjän henkilötietoja koskevasta tietoturvaloukkauksesta ja antaa tiedot, joita rekisterinpitäjä kohtuudella tarvitsee täyttääkseen omat ilmoitusvelvoitteensa valvontaviranomaisille ja rekisteröidyille. Henkilötietojen käsittelijä dokumentoi loukkaukset ja niiden johdosta toteutetut korjaavat toimenpiteet.

Palvelujen päättyessä henkilötietojen käsittelijä rekisterinpitäjän valinnan mukaan poistaa tai palauttaa kaikki henkilötiedot ja poistaa olemassa olevat kopiot, ellei unionin oikeus tai jäsenvaltion lainsäädäntö edellytä niiden säilyttämistä. Pyynnöstä henkilötietojen käsittelijä vahvistaa kirjallisesti tehneensä näin.

Henkilötietojen käsittelijä asettaa rekisterinpitäjän saataville tiedot, jotka ovat tarpeen GDPR:n 28 artiklan noudattamisen osoittamiseksi, ja sallii rekisterinpitäjän tai sen valtuuttaman tarkastajan suorittamat auditoinnit, mukaan lukien tarkastukset, sekä myötävaikuttaa niihin. Henkilötietojen käsittelijä voi täyttää auditointipyynnöt toimittamalla voimassa olevat sertifikaatit ja todistukset, kuten ISO/IEC 27001 -sertifikaatin tai SOC 2 -raportin, ja auditoinnit suoritetaan kohtuullisella varoitusajalla, työaikana, luottamuksellisuutta noudattaen ja ilman kohtuutonta häiriötä henkilötietojen käsittelijän toiminnalle.

Kummankin osapuolen vastuuseen tämän DPA:n nojalla sovelletaan pääsopimuksessa sovittuja vastuunrajoituksia siltä osin kuin pakottava lainsäädäntö sen sallii. Mikään tässä DPA:ssa ei rajoita rekisteröidyn GDPR:n mukaisia oikeuksia eikä kummankaan osapuolen vastuuta valvontaviranomaista kohtaan.

Tämä DPA tulee voimaan yhdessä sopimuksen kanssa ja pysyy voimassa niin kauan kuin henkilötietojen käsittelijä käsittelee henkilötietoja rekisterinpitäjän puolesta. Siihen sovelletaan Alankomaiden lainsäädäntöä, ja riidat kuuluvat pääsopimuksessa sovitun tuomioistuimen toimivaltaan. Jos tämä DPA ja pääsopimus ovat tietosuoja-asioissa ristiriidassa keskenään, tämä DPA on etusijalla.

Kohde ja kesto: sovittujen palvelujen tarjoaminen sopimuksen voimassaoloajan. Luonne ja tarkoitus: Nashua 360 Enterprise Platform -alustan ja siihen liittyvien palvelujen isännöinti, tallennus, käsittely, analysointi, tuki ja toiminta rekisterinpitäjän ohjeiden mukaisesti. Rekisteröityjen ryhmät: rekisterinpitäjän määrittämällä tavalla, mihin voivat kuulua rekisterinpitäjän työntekijät, asiakkaat, toimittajat ja yhteyshenkilöt. Henkilötietojen tyypit: rekisterinpitäjän palvelujen käytön kautta määrittämällä tavalla, mihin voivat kuulua tunniste-, yhteys-, sopimus-, talous-, työsuhde- ja tapahtumatiedot. Rekisterinpitäjä ei anna ohjeita erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä, ellei siitä ole nimenomaisesti sovittu ja ellei sitä kateta asianmukaisin lisätoimenpitein.

Henkilötietojen käsittelijä ylläpitää riskiä vastaavia toimenpiteitä, mukaan lukien: ISO/IEC 27001 -standardin ja SOC 2 -luottamuspalvelukriteerien mukainen tietoturvan hallintajärjestelmä; rooleihin perustuva pääsynhallinta ja vähimmän oikeuden periaate monivaiheisella tunnistautumisella; henkilötietojen salaus siirrettäessä ja levossa; verkon segmentointi ja perimeter-suojaus; keskitetty lokitus, seuranta ja hälytykset; turvallinen ohjelmistokehitys, koodikatselmointi ja muutostenhallinta; haavoittuvuuksien hallinta ja tunkeutumistestaus; varmuuskopiointi ja testattu katastrofista toipuminen sovittujen palautumistavoitteiden mukaisesti; toimittajien ja alikäsittelijöiden riskienhallinta; liiketoiminnan jatkuvuus ja toiminnan häiriönsietokyky DORA-säädöksen mukaisesti; henkilöstön taustatarkistukset, salassapitovelvoitteet ja tietoturvatietoisuuskoulutus; sekä dokumentoitu poikkeamien hallinta- ja loukkauksista ilmoittamisen prosessi. Voimassa olevat, yksityiskohtaiset toimenpiteet ovat rekisterinpitäjän saatavilla pyynnöstä.

Henkilötietojen käsittelijä käyttää rajattua joukkoa alikäsittelijöitä palvelujen tarjoamiseen, pääasiassa hosting- ja infrastruktuuripalveluihin Alankomaissa ja ETA-alueella sekä viestintä- ja tukityökaluihin. Ajantasainen luettelo alikäsittelijöistä, niiden roolista ja sijainnista on rekisterinpitäjän saatavilla pyynnöstä, ja henkilötietojen käsittelijä ilmoittaa rekisterinpitäjälle aiotuista lisäyksistä tai korvauksista kohdan 5 mukaisesti.