Henkilötietojen käsittelysopimus (DPA)

Liite Urakkakate-palvelun käyttöehtoihin

Päivitetty 17.9.2026

1. Soveltamisala

Tätä henkilötietojen käsittelysopimusta sovelletaan tilanteessa, jossa Perho advisory Oy käsittelee Urakkakate-palvelun yhteydessä henkilötietoja Asiakkaan puolesta.

Tällöin:

Asiakas toimii rekisterinpitäjänä ja

Perho advisory Oy toimii henkilötietojen käsittelijänä.

Tämä sopimus muodostaa osan Urakkakate-palvelun käyttöä koskevasta sopimuksesta.

2. Käsittelyn kohde ja tarkoitus

Käsittelyn tarkoituksena on mahdollistaa Urakkakate-palvelun tarjoaminen Asiakkaalle.

Käsittely voi liittyä esimerkiksi:

• projektien tallentamiseen ja ylläpitoon
• kustannusarvioihin
• tarjouksiin
• ennusteisiin
• toteumatietoihin
• muutosmääräyksiin
• Palvelun ylläpitoon ja tietoturvaan.

Palveluntarjoaja ei käytä Asiakkaan lukuun käsittelemiään henkilötietoja omiin riippumattomiin tarkoituksiinsa, ellei tällaiselle käsittelylle ole erillistä lainmukaista perustetta ja roolia rekisterinpitäjänä.

3. Käsittelyn kesto

Henkilötietoja käsitellään niin kauan kuin:

• Asiakkaan sopimus on voimassa; tai
• tietojen käsittely on muuten tarpeen Asiakkaan dokumentoitujen ohjeiden mukaisesti.

Sopimuksen päätyttyä tietojen poistamiseen ja palauttamiseen sovelletaan tämän sopimuksen kohtaa 13.

4. Asiakkaan ohjeet

Palveluntarjoaja käsittelee Asiakkaan henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti, jollei Euroopan unionin tai Suomen lainsäädäntö edellytä muuta.

Urakkakate-palvelun käyttö näiden käyttöehtojen ja tämän DPA:n mukaisesti katsotaan Asiakkaan dokumentoiduksi ohjeeksi käsitellä tietoja Palvelun toimittamisen edellyttämässä laajuudessa.

Jos Palveluntarjoaja katsoo Asiakkaan ohjeen olevan tietosuojalainsäädännön vastainen, se ilmoittaa tästä Asiakkaalle ilman aiheetonta viivytystä.

5. Asiakkaan velvollisuudet

Asiakas vastaa siitä, että:

• sillä on oikeus käsitellä Palveluun tallentamiaan henkilötietoja
• sillä on käsittelylle tarvittava oikeusperuste
• rekisteröidyille on annettu tarvittavat tiedot käsittelystä
• Asiakkaan Palveluntarjoajalle antamat ohjeet ovat lainmukaisia.

Palvelua ei ole suunniteltu erityisiin henkilötietoryhmiin kuuluvien tietojen tai muiden erityisen arkaluonteisten henkilötietojen ensisijaiseksi säilytysjärjestelmäksi.

Asiakas sitoutuu välttämään tarpeettomien henkilötietojen tallentamista Palveluun.

6. Luottamuksellisuus

Palveluntarjoaja varmistaa, että henkilötietojen käsittelyyn oikeutetut henkilöt:

• käsittelevät tietoja vain tehtäviensä edellyttämässä laajuudessa; ja
• ovat sitoutuneet luottamuksellisuuteen tai heitä koskee lakisääteinen salassapitovelvollisuus.

7. Tietoturva

Palveluntarjoaja toteuttaa käsittelyn riskiin nähden asianmukaiset tekniset ja organisatoriset toimenpiteet.

Näihin kuuluvat soveltuvin osin esimerkiksi:

• käyttöoikeuksien hallinta
• yrityskohtainen tietojen eristäminen
• käyttäjän tunnistaminen
• vähimpien oikeuksien periaate
• palvelin- ja tietokantatason käyttöoikeustarkastukset
• salatut tietoliikenneyhteydet
• lokitus
• ohjelmistojen ylläpito ja tietoturvapäivitykset
• väärinkäytösten ehkäiseminen.

Palveluntarjoaja arvioi ja kehittää suojaustoimenpiteitä Palvelun ja riskiympäristön muuttuessa.

8. Alikäsittelijät

Asiakas antaa Palveluntarjoajalle yleisen luvan käyttää alikäsittelijöitä Palvelun toteuttamisessa.

Urakkakatteen keskeisiä nykyisiä teknisiä alikäsittelijöitä ovat soveltuvin osin:

• Supabase – tietokanta-, autentikointi- ja taustapalvelut.
• Vercel – hosting- ja verkkopalveluinfrastruktuuri.

Palveluntarjoaja varmistaa, että alikäsittelijään sovelletaan tietosuojaoikeudellisesti asianmukaisia velvoitteita.

Palveluntarjoaja voi vaihtaa tai lisätä alikäsittelijöitä.

Palveluntarjoaja ilmoittaa olennaisista uusista alikäsittelijöistä Asiakkaalle kohtuullisella tavalla ennen muutosta, jotta Asiakkaalla on mahdollisuus esittää perusteltu tietosuojaan liittyvä vastalause.

9. Kansainväliset siirrot

Palveluntarjoaja ei siirrä Asiakkaan henkilötietoja EU/ETA-alueen ulkopuolelle ilman soveltuvaa oikeudellista siirtoperustetta.

Jos alikäsittelijä käsittelee tietoja EU/ETA-alueen ulkopuolella, Palveluntarjoaja varmistaa, että siirrossa käytetään esimerkiksi:

• Euroopan komission riittävyyspäätöstä
• vakiosopimuslausekkeita
• muuta sovellettavan tietosuojalainsäädännön mukaista mekanismia.

10. Rekisteröidyn oikeuksissa avustaminen

Palveluntarjoaja avustaa Asiakasta kohtuullisessa määrin rekisteröityjen oikeuksia koskevien pyyntöjen toteuttamisessa siltä osin kuin kyseiset tiedot ovat Palveluntarjoajan käsiteltävänä.

Jos Palveluntarjoaja vastaanottaa Asiakkaan henkilötietoja koskevan rekisteröidyn pyynnön, se ohjaa pyynnön Asiakkaalle, ellei sillä ole muuta oikeudellista velvollisuutta käsitellä pyyntöä itse.

11. Henkilötietojen tietoturvaloukkaukset

Palveluntarjoaja ilmoittaa Asiakkaalle ilman aiheetonta viivytystä tietoonsa tulleesta henkilötietojen tietoturvaloukkauksesta, joka koskee Palveluntarjoajan Asiakkaan puolesta käsittelemiä henkilötietoja.

Ilmoitus sisältää mahdollisuuksien mukaan tiedot, joita Asiakas tarvitsee omien lakisääteisten velvollisuuksiensa arvioimiseksi ja täyttämiseksi.

12. Avustaminen ja tietosuojan vaikutustenarviointi

Palveluntarjoaja avustaa Asiakasta kohtuullisessa määrin:

• käsittelyn tietoturvaa koskevien velvoitteiden täyttämisessä
• henkilötietojen tietoturvaloukkausten arvioinnissa
• tietosuojaa koskevassa vaikutustenarvioinnissa
• valvontaviranomaisen ennakkokuulemisessa

siltä osin kuin avustaminen liittyy Palveluntarjoajan suorittamaan käsittelyyn ja on Palveluntarjoajan käytettävissä olevien tietojen perusteella mahdollista.

13. Tietojen palauttaminen ja poistaminen

Kun Palvelun käyttöä koskeva sopimus päättyy, Palveluntarjoaja poistaa tai palauttaa Asiakkaan puolesta käsitellyt henkilötiedot Asiakkaan pyynnön ja sovitun menettelyn mukaisesti, ellei sovellettava laki edellytä tietojen säilyttämistä.

Jos Palvelussa käytetään teknisiä varmuuskopioita, niissä olevia tietoja ei käsitellä muihin tarkoituksiin ja ne poistuvat varmuuskopioiden säilytysjaksojen mukaisesti.

14. Tiedot ja auditoinnit

Palveluntarjoaja antaa Asiakkaalle kohtuudella tarvittavat tiedot, joiden avulla Asiakas voi arvioida tämän DPA:n ja sovellettavan tietosuojalainsäädännön mukaisten velvoitteiden toteutumista.

Jos kirjallinen dokumentaatio ei kohtuudella riitä vaatimustenmukaisuuden osoittamiseen, Asiakas voi perustellusta syystä pyytää auditointia.

Auditointi:

• sovitaan etukäteen
• toteutetaan tavalla, joka ei tarpeettomasti häiritse Palveluntarjoajan toimintaa
• suojaa muiden asiakkaiden tietoja ja liikesalaisuuksia
• tapahtuu lähtökohtaisesti Asiakkaan kustannuksella, ellei auditointi osoita olennaista Palveluntarjoajan rikkomusta.

15. Etusijajärjestys

Jos tämän DPA:n ja Urakkakatteen yleisten käyttöehtojen välillä on henkilötietojen käsittelyä koskeva ristiriita, tätä DPA:ta sovelletaan ensisijaisesti kyseiseen käsittelyyn.

Muihin asioihin sovelletaan Urakkakatteen käyttöehtoja.

Liite 1: Käsittelyn kuvaus

Rekisterinpitäjä

Urakkakate-palvelua käyttävä Asiakas.

Käsittelijä

Perho advisory Oy.

Käsittelyn kohde

Urakkakate-palveluun Asiakkaan toimesta tallennetut henkilötiedot.

Käsittelyn kesto

Asiakassuhteen ja sovitun säilytysajan mukainen.

Käsittelyn luonne

Tietojen vastaanottaminen, tallentaminen, järjestäminen, hakeminen, näyttäminen, suojaaminen, muuttaminen Asiakkaan pyynnöstä sekä poistaminen.

Käsittelyn tarkoitus

Urakkakate-palvelun tarjoaminen Asiakkaalle.

Rekisteröityjen mahdolliset ryhmät

• Asiakkaan asiakkaat
• Asiakkaan asiakkaiden yhteyshenkilöt
• Asiakkaan työntekijät
• Asiakkaan alihankkijoiden tai yhteistyökumppaneiden yhteyshenkilöt
• muut projektien yhteydessä esiintyvät henkilöt.

Henkilötietojen mahdolliset ryhmät

• nimi
• yritys tai organisaatio
• yhteyshenkilötiedot
• projektia tai toimeksiantoa koskevat tiedot
• projektiin liittyvät vapaamuotoiset tekstit.

Palvelua ei ole tarkoitettu erityisiin henkilötietoryhmiin kuuluvien tietojen järjestelmälliseen käsittelyyn.