GDPR-vaatimustenmukaisuuspolitiikka
Johdanto
Livappy OÜ (Lõkke 12, 10122 Tallinn, Estonia) on sitoutunut noudattamaan täysimääräisesti Euroopan unionin yleistä tietosuoja-asetusta (GDPR) kaikessa toiminnassaan. Tämä GDPR-vaatimustenmukaisuuspolitiikka toimii sekä sisäisenä ohjeena että julkisena lausumana siitä, miten Livappy varmistaa tietosuojan ja yksityisyyden suojan GDPR:n mukaisesti.
Jos sinulla on kysyttävää tai huolenaiheita tästä politiikasta tai Livappyn tietosuojasta, ota meihin yhteyttä osoitteessa info@livappy.com.
Soveltamisala
Tätä politiikkaa sovelletaan kaikkeen henkilötietojen käsittelyyn, jota Livappy OÜ suorittaa tarjotessaan palveluja Euroopan unionissa oleville henkilöille. EU:hun sijoittautuneena yhtiönä Livappy kuuluu GDPR:n soveltamisalaan kaikessa EU:ssa olevien henkilöiden henkilötietojen käsittelyssä1. Käytännössä tämä tarkoittaa, että kaikkia Livappyn keräämiä, käyttämiä, säilyttämiä tai muutoin käsittelemiä henkilötietoja – olivatpa ne peräisin asiakkailta, käyttäjiltä, työntekijöiltä tai kumppaneilta eri puolilta EU:ta – käsitellään GDPR:n vaatimusten mukaisesti.
Livappy on omistautunut varmistamaan, että GDPR:n periaatteet ja säännöt ohjaavat kaikkea asiaankuuluvaa tietojen käsittelyä riippumatta siitä, missä EU-maassa rekisteröity asuu. Tunnustamme, että GDPR suojaa EU:ssa olevien henkilöiden perusoikeutta yksityisyyteen ja asettaa meille velvoitteita aina, kun käsittelemme EU:n alueen henkilötietoja2.
Tämän politiikan mukaisesti GDPR:n piiriin kuuluvia Livappyn toimintoja ovat muun muassa: henkilötietojen kerääminen käyttäjiltä ja asiakkailta, näiden tietojen säilyttäminen tai isännöinti (esimerkiksi pilvipalvelimillamme), henkilötietojen analysointi liiketoiminnallisiin tarkoituksiin sekä tietojen jakaminen valtuutettujen palveluntarjoajien kanssa. Kaikki tällaiset toiminnot suoritetaan GDPR:n mukaisesti ja Euroopan talousalueella (ETA) tai hyväksyttyjä siirtomekanismeja käyttäen, kun tietoja siirretään ETA:n ulkopuolelle. Yhteenvetona: jos Livappy käsittelee EU:ssa olevan henkilön henkilötietoja, kyseinen käsittely kuuluu tämän politiikan ja GDPR-vaatimustenmukaisuuden piiriin.
Läpinäkyvyys
Livappy noudattaa läpinäkyvyyden periaatetta kertomalla rekisteröidyille selkeästi, miten keräämme, käytämme ja jaamme heidän henkilötietojaan. GDPR edellyttää, että organisaatiot ovat avoimia ja rehellisiä keräämiensä henkilötietojen sekä niiden käyttötarkoitusten suhteen3. Tämän mukaisesti Livappy toimittaa rekisteröidyille kattavat tietosuojailmoitukset aina, kun keräämme henkilötietoja. Näissä ilmoituksissa (kuten tietosuojaselosteessamme) esitetään yksityiskohtaisesti kaikki vaaditut tiedot, mukaan lukien:
Rekisterinpitäjän henkilöllisyys:
Ilmoitamme Livappy OÜ:n rekisterinpitäjäksi ja annamme yhteystietomme (osoite ja sähköposti) kaikessa tietosuojaviestinnässä.
Tietojen kerääminen ja käyttö:
Selitämme, mitä henkilötietoja keräämme sekä miten ja miksi keräämme niitä. Tämä sisältää tietoryhmät (esim. nimi, yhteystiedot, henkilöllisyystodistukset jne.) ja tarkoitukset, joita varten niitä käsitellään (kuten palvelujemme tarjoaminen, henkilöllisyyden todentaminen, asiakastuki, markkinointi jne.).
Oikeusperusteet:
Kunkin käsittelytoimen osalta täsmennämme sen GDPR:n mukaisen oikeusperusteen – esimerkiksi sen, perustuuko käsittely käyttäjän suostumukseen, sopimuksen täytäntöönpanoon, lakisääteiseen velvoitteeseen vai oikeutettuun etuun. Varmistamme, ettei henkilötietoja käsitellä ilman GDPR:n 6 ja 9 artiklan mukaista pätevää oikeusperustetta.
Tietojen säilytys:
Kerromme henkilöille, kuinka kauan säilytämme henkilötietoja. Livappy on sitoutunut säilytyksen rajoittamiseen, mikä tarkoittaa, että säilytämme henkilötietoja vain niin kauan kuin on tarpeen ilmoitettujen tarkoitusten toteuttamiseksi tai lain edellyttämällä tavalla, minkä jälkeen tiedot poistetaan turvallisesti tai anonymisoidaan.
Tietojen vastaanottajat:
Kerromme kolmansista osapuolista tai kumppaneista, jotka voivat vastaanottaa henkilötietoja. Tähän kuuluu sen ilmoittaminen, jos henkilötietoja jaetaan palveluntarjoajiemme tai käsittelijöidemme kanssa (esimerkiksi pilvipalvelujen tarjoajat, henkilöllisyyden todentamispalvelut, analytiikkatyökalut), sekä sen varmistaminen, että henkilöt tietävät vastaanottajien ryhmät.
Oikeudet ja yhteydenotto:
Ilmoitamme henkilöille heidän GDPR:n mukaisista rekisteröidyn oikeuksistaan (kuvattu seuraavassa osiossa) ja annamme selkeät ohjeet siitä, miten näitä oikeuksia käytetään, mukaan lukien yhteydenotto osoitteeseen info@livappy.com. Sisällytämme tietosuojailmoituksiimme myös oikeuden tehdä valitus valvontaviranomaiselle sekä muut vaaditut tiedot.
Kaikki tietosuojatiedot esitetään tiiviissä, läpinäkyvässä ja helposti saatavilla olevassa muodossa selkeällä kielellä GDPR:n edellyttämällä tavalla. Livappy toimittaa nämä tiedot tietoja kerättäessä (tai, jos tiedot on saatu kolmansilta osapuolilta, ensi tilassa GDPR:n 13 ja 14 artiklan mukaisesti). Olemme sitoutuneet päivittämään tietosuojailmoituksemme aina, kun tietojenkäsittelykäytäntömme muuttuvat, ja viestimme kaikista merkittävistä muutoksista viipymättä jatkuvan läpinäkyvyyden varmistamiseksi. Livappy pyrkii siis varmistamaan, etteivät henkilöt koskaan jää epätietoisiksi siitä, miten heidän tietojaan käsitellään, mikä vahvistaa luottamusta ja täyttää GDPR:n korkeat läpinäkyvyysvaatimukset3.
Rekisteröidyn oikeudet
GDPR:n nojalla henkilöille (rekisteröidyille) on myönnetty vahvat oikeudet heidän henkilötietoihinsa, ja Livappy on täysin sitoutunut mahdollistamaan ja kunnioittamaan näitä oikeuksia. Rekisteröidyille kuuluvia oikeuksia ovat: oikeus saada tietoa, oikeus saada pääsy tietoihin, oikeus tietojen oikaisemiseen, oikeus tietojen poistamiseen (”oikeus tulla unohdetuksi”), oikeus käsittelyn rajoittamiseen, oikeus siirtää tiedot järjestelmästä toiseen, oikeus vastustaa käsittelyä sekä oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn (mukaan lukien profilointi)4. Tunnustamme kaikki nämä oikeudet ja olemme luoneet menettelyt niiden käyttämisen helpottamiseksi.
Oikeuksien käyttäminen
Livappylla on käyttäjäystävälliset menettelyt, joiden avulla henkilöt voivat käyttää GDPR:n mukaisia oikeuksiaan. Rekisteröidyt voivat esittää pyyntöjä milloin tahansa ottamalla meihin yhteyttä osoitteessa info@livappy.com. Tarjoamme myös verkkolomakkeita tai sovelluksen sisäisiä asetuksia (soveltuvin osin) helpottamaan pääsy-, oikaisu-, poisto- ja muiden pyyntöjen tekemistä.
Kun pyyntö vastaanotetaan, Livappy:
Varmistaa pyynnön:
Turvallisuussyistä meidän voi olla tarpeen varmistaa pyynnön esittäjän henkilöllisyys sen varmistamiseksi, ettei henkilötietoja luovuteta asiattomalle henkilölle. Tämä voi tarkoittaa lisätietojen tai todentamisen pyytämistä, jos pyyntö tehdään sähköpostiosoitteesta tai tililtä, jota emme jo tunne.
Vastaa oikea-aikaisesti:
Vastaamme kaikkiin rekisteröityjen pyyntöihin ilman aiheetonta viivytystä ja kuukauden kuluessa niiden vastaanottamisesta GDPR:n edellyttämällä tavalla6. Jos pyyntö on monimutkainen tai pyyntöjä on useita, voimme pidentää tätä määräaikaa enintään kahdella kuukaudella, mutta ilmoitamme pyynnön esittäjälle pidennyksestä ja sen syistä alkuperäisen kuukauden määräajan kuluessa. Joka tapauksessa pyynnön tila ja lopputulos viestitään selkeästi.
Täyttää pyynnön, kun se on mahdollista:
Jos pyyntö on pätevä eikä siihen sovellu lakisääteistä poikkeusta, Livappy täyttää pyynnön. Esimerkiksi toimitamme jäljennöksen käsittelemistämme henkilön henkilötiedoista (oikeus saada pääsy tietoihin), oikaisemme mahdolliset virheellisyydet (oikaisu), poistamme tiedot pyydettäessä, jos mikään ohittava lainmukainen peruste ei sitä estä (poistaminen), tai lopetamme tietyn käsittelyn vastustamis- tai rajoittamispyyntöjen johdosta – kaikki GDPR:n edellytysten mukaisesti. Kun pyydetään tietojen siirtämistä järjestelmästä toiseen, toimitamme henkilötiedot jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa.
Perustelee mahdollisen kieltäytymisen tai rajoituksen:
Harvinaisessa tapauksessa, jossa emme voi noudattaa pyyntöä (esimerkiksi jos siihen soveltuu poikkeus tai jos pyyntö on ilmeisen perusteeton tai kohtuuton), ilmoitamme henkilölle nimenomaisen syyn, jonka vuoksi emme voi täyttää pyyntöä, sekä hänen oikeudestaan tehdä valitus valvontaviranomaiselle. Emme peri maksua oikeuksia koskeviin pyyntöihin vastaamisesta, ellei pyyntö ole toistuva tai kohtuuton (jolloin mahdollinen maksu tai kieltäytyminen on tiukasti GDPR:n sallimissa rajoissa).
Helpottaa ja dokumentoi:
Livappyn sisäiset menettelyt varmistavat, että henkilöstö on koulutettu tunnistamaan ja käsittelemään rekisteröityjen pyynnöt asianmukaisesti7. Ylläpidämme kirjaa pyynnöistä ja vastauksista osoittaaksemme vaatimustenmukaisuutemme. Ilmoitamme tarvittaessa myös asiaankuuluville kolmansien osapuolten käsittelijöille tai vastaanottajille (esimerkiksi jos tietoja on jaettu ja ne on poistettava tai oikaistava, välitämme pyynnön näille osapuolille vaaditulla tavalla).
Livappy kunnioittaa syvästi henkilöiden määräysvaltaa omiin henkilötietoihinsa. Kunnioittamalla näitä oikeuksia ja tekemällä prosessista suoraviivaisen osoitamme osoitusvelvollisuutemme ja sitoutumisemme siihen, että GDPR vahvistaa rekisteröityjen asemaa. Tiimimme on aina valmis auttamaan henkilöitä ymmärtämään ja käyttämään oikeuksiaan.
Sisäänrakennettu ja oletusarvoinen tietosuoja
Livappy noudattaa sisäänrakennettua ja oletusarvoista tietosuojaa keskeisinä periaatteina kaikissa tuotteissaan, palveluissaan ja liiketoimintaprosesseissaan. Tämä tarkoittaa, että jo minkä tahansa hankkeen tai järjestelmän alusta lähtien sisällytämme tietosuojanäkökohdat toimintaamme ja varmistamme, että yksityisyyden suojan takeet ovat mukana oletusarvoisesti eikä niitä lisätä vasta jälkikäteen8. Lähestymistapaamme kuuluvat seuraavat käytännöt:
Integrointi suunnitteluvaiheessa:
Aina kun kehitämme tai päivitämme ohjelmistoja, sovelluksia tai liiketoimintaprosesseja, joihin liittyy henkilötietoja, arvioimme ennakoivasti tietosuojariskit ja sisällytämme suojatoimet jo suunnitteluvaiheessa. Esimerkiksi rajoitamme tietojen keräämisen vain siihen, mikä on tarpeen määriteltyä tarkoitusta varten (tietojen minimointi), ja valitsemme järjestelmäarkkitehtuureja, jotka suojaavat henkilötietoja (kuten pseudonymisointi- tai aggregointitekniikoiden käyttö silloin, kun se on tarkoituksenmukaista).
Oletusarvoiset tietosuoja-asetukset:
Livappyn palvelut on määritetty yksityisyyttä suosivilla oletusasetuksilla. Tämä tarkoittaa, että ellei käyttäjä aktiivisesti toisin valitse, kerätään ja käytetään vain vähimmäismäärä tarpeellisia henkilötietoja. Kaikki ominaisuudet, joilla voi olla vaikutusta yksityisyyteen, on asetettu oletusarvoisesti suojaavimpaan asetukseen9. Käyttäjien ei tarvitse antaa suostumusta ylimääräiseen tietojen keräämiseen palvelun toimimiseksi – yksityisyys on vakioasetus.
Tietosuojaa koskevat vaikutustenarvioinnit (DPIA):
Teemme tietosuojaa koskevia vaikutustenarviointeja kaikista uusista tai merkittävästi muuttuneista käsittelytoimista, jotka voivat aiheuttaa korkean riskin yksityisyydelle. Vaikutustenarviointien avulla tunnistamme mahdolliset tietosuojaongelmat varhain ja puutumme niihin muokkaamalla suunnittelua tai toteuttamalla lisäsuojatoimia. Tämä prosessi varmistaa GDPR:n 35 artiklan noudattamisen ja osoittaa, että olemme huolellisesti arvioineet tietosuojariskit ennakolta.
Koulutus ja tietoisuus:
Insinööri- ja tuotetiimimme saavat koulutusta sisäänrakennetun tietosuojan periaatteista. Vaalimme sisäistä kulttuuria, jossa työntekijät ja alihankkijat ovat tietoisia tietosuojavelvoitteista ja soveltavat johdonmukaisesti yksityisyyskeskeistä ajattelua käsitellessään henkilötietoja. Ennen uusien ominaisuuksien julkaisua teemme tietosuoja-arviointeja tai tarkistuslistoja varmistaaksemme, että vaatimustenmukaisuuden kontrollit ovat kunnossa.
Jatkuva arviointi ja kehittäminen:
Sisäänrakennettu tietosuoja ei ole kertaluonteinen ponnistus. Livappy seuraa ja arvioi jatkuvasti järjestelmiään varmistaakseen, että ne täyttävät tietosuojavaatimukset myös ajan mittaan. Teemme säännöllisiä auditointeja ja päivityksiä turvallisuus- ja tietosuojakontrolleihin, mukaudumme uuteen sääntelyohjeistukseen ja hyödynnämme käyttäjäpalautetta tietosuojan parantamiseksi. Jos teknologiassa tai tietojen käytössä tapahtuu muutoksia, palaamme suunnitelmiimme säilyttääksemme korkeimman oletusarvoisen tietosuojan tason.
Sisällyttämällä yksityisyyden suojan toimintansa ytimeen Livappy ei ainoastaan noudata GDPR:n vaatimusta sisäänrakennetusta ja oletusarvoisesta tietosuojasta, vaan myös rakentaa luottamusta käyttäjiin. Tavoitteemme on varmistaa, että yksityisyyden suoja on erottamaton osa yhtiömme innovaatioita ja palveluja – suojaten henkilötietoja perustasta lähtien ja oletusarvoisesti kaikissa tilanteissa.
Tekniset ja organisatoriset toimenpiteet
Livappy on toteuttanut kattavan joukon teknisiä ja organisatorisia turvatoimia henkilötietojen suojaamiseksi ja riskiä vastaavan turvallisuustason varmistamiseksi GDPR:n 32 artiklan edellyttämällä tavalla11. Tunnustamme, että henkilötietojen suojaaminen on ensiarvoisen tärkeää, ja käytämme alan parhaita käytäntöjä estääksemme tietojen luvattoman käytön, luovuttamisen, muuttamisen tai häviämisen. Keskeisiä toimenpiteitä ovat:
Salaus:
Kaikki Livappyn käsittelemät henkilötiedot on suojattu vahvalla salauksella sekä siirron aikana että levossa. Käytämme ajantasaisia salausprotokollia (kuten TLS) verkoissa siirrettäville tiedoille sekä vahvoja salausalgoritmeja tietokannoissamme ja varmuuskopioissamme säilytettävien tietojen salaamiseen. Näin varmistetaan, että vaikka tiedot siepattaisiin tai niihin päästäisiin käsiksi luvattomasti, ne pysyisivät lukukelvottomina ja suojattuina12. Tarjoamme mahdollisuuksien mukaan mekanismeja salausavainten turvalliseen hallintaan, jotta yksittäinen vaarantumiskohta voidaan välttää.
Pääsynhallinta:
Livappy soveltaa tiukkoja pääsynhallintamekanismeja varmistaakseen, että henkilötiedot ovat vain valtuutetun henkilöstön saatavilla tiedonsaantitarpeen perusteella. Olemme ottaneet käyttöön roolipohjaisen pääsynhallinnan ja käyttäjän todentamisjärjestelmät (mukaan lukien monivaiheinen todennus arkaluonteisiin järjestelmiin) rajoittaaksemme sitä, kuka voi käyttää tietoja. Henkilöstön pääsy henkilötietoihin myönnetään työtehtävän perusteella ja peruutetaan tai muutetaan viipymättä roolien muuttuessa. Jokaista henkilötietoihin pääsyä käyttävää työntekijää tai alihankkijaa sitovat salassapitovelvoitteet, ja he saavat koulutusta tietoturvasta.
Lokitus ja valvonta:
Ylläpidämme yksityiskohtaista lokitusta järjestelmien käytöstä ja tietojenkäsittelytoimista. Kaikki pääsy henkilötietovarastoihin sekä merkittävät henkilötietoihin kohdistuvat toimet kirjataan suojattuihin lokitietoihin. Livappy käyttää valvontatyökaluja lokien tarkasteluun ja poikkeavan tai luvattoman toiminnan havaitsemiseen. Tämä ei ainoastaan auta meitä estämään ja tunnistamaan mahdollisia tietoturvapoikkeamia, vaan tarjoaa myös auditointiaineiston, jolla voidaan osoittaa vastuullisuus tietojen käytön ja muutosten osalta.
Turvallinen infrastruktuuri (AWS-pilvi):
Palvelumme isännöidään Amazon Web Servicesissä (AWS), joka on arvostettu pilvipalveluntarjoaja korkeine turvallisuusstandardeineen ja GDPR:n mukaisine käytäntöineen. Hyödynnämme AWS:n turvaominaisuuksia ja vaatimustenmukaisuussertifikaatteja. Esimerkiksi valitsemme Euroopassa sijaitsevat konesalialueet EU:n henkilötietojen säilyttämiseen, hyödynnämme AWS:n sisäänrakennettuja palomuureja ja verkkoturvallisuutta sekä asennamme säännöllisesti ohjelmistokorjaukset ja päivitykset. AWS tarjoaa vahvat takeet ja vaihtoehdot tietosuojalle (mukaan lukien asiakkaan määräysvalta tietojen sijaintiin, salaukseen ja pääsynhallintaan)12, joita hyödynnämme vahvistaaksemme kokonaisturvallisuuttamme.
Verkko- ja järjestelmäturvallisuus:
Livappy suojaa IT-järjestelmiään toimenpiteillä, kuten palomuureilla, tunkeutumisen havaitsemis- ja estojärjestelmillä (IDS/IPS), haittaohjelmasuojauksella ja turvallisella verkkoarkkitehtuurilla. Erottelemme ympäristöt toisistaan (esim. kehitys, testaus, tuotanto) riskin vähentämiseksi ja sovellamme haavoittuvuuksien hallinnan käytäntöjä, mukaan lukien säännölliset haavoittuvuusskannaukset ja tunkeutumistestaukset. Kaikkiin havaittuihin tietoturvaongelmiin puututaan viipymättä.
Organisatoriset politiikat ja koulutus:
Olemme laatineet sisäiset tietoturva- ja tietosuojapolitiikat, joita kaikkien työntekijöiden ja alihankkijoiden on noudatettava. Nämä politiikat kattavat henkilötietojen asianmukaisen käsittelyn, laitteiden käytön, poikkeamien raportointikäytännöt ja muuta. Järjestämme säännöllisiä koulutus- ja tietoisuusohjelmia, jotta tiimimme pysyy valppaana ja perillä kyberturvallisuuden ja tietosuojan parhaista käytännöistä. Pääsy henkilötietoihin edellyttää näiden politiikkojen noudattamista, ja rikkomuksista voi seurata kurinpidollisia toimia.
Säännölliset auditoinnit ja arvioinnit:
Livappy auditoi tietosuojatoimenpiteitään säännöllisesti ja tekee riskiarviointeja varmistaakseen niiden jatkuvan tehokkuuden. Tarkastamme käyttäjien käyttöoikeudet säännöllisesti, testaamme poikkeamanhallintasuunnitelmiamme ja voimme käyttää riippumattomia auditoijia turvakontrolliemme arvioimiseen. Kaikki havaitut puutteet tai parannusmahdollisuudet korjataan viipymättä. Nämä auditoinnit auttavat meitä ylläpitämään vaatimustenmukaisuutta ja mukautumaan jatkuvasti kehittyviin turvallisuusstandardeihin ja sääntelyohjeistukseen.
Liiketoiminnan jatkuvuus ja varmuuskopiot:
Suojautuaksemme tietojen häviämiseltä tai tuhoutumiselta ylläpidämme turvallisia varmuuskopiointirutiineja ja meillä on käytössä toipumissuunnitelmat. Kriittisten henkilötietojen varmuuskopiot on salattu ja säilytetään turvallisesti (mukaan lukien toimipaikan ulkopuoliset tai pilvivarmuuskopiot), ja testaamme tietojen palautusta säännöllisesti. Järjestelmähäiriön tai katastrofin sattuessa Livappy voi palauttaa henkilötiedot pysyvän häviämisen estämiseksi eheys- ja käytettävyysvaatimusten mukaisesti.
Pseudonymisointi ja tietojen minimointi:
Aina kun se on tarkoituksenmukaista, Livappy pseudonymisoi henkilötiedot – korvaamalla tunnistavat kentät keinotekoisilla tunnisteilla – vähentääkseen riskiä luvattoman pääsyn tapauksessa. Noudatamme myös vahvasti tietojen minimoinnin periaatetta keräämällä ja säilyttämällä vain ne henkilötiedot, jotka ovat tarpeen määriteltyihin tarkoituksiimme10. Minimoimalla hallussamme olevat tiedot sekä erottelemalla tai anonymisoimalla tietoja mahdollisuuksien mukaan rajoitamme mahdollisen tietoturvaongelman vaikutusta.
Näiden ja muiden toimenpiteiden avulla Livappy varmistaa, että henkilötiedot on aina suojattu sisäänrakennetusti ja oletusarvoisesti13. Arvioimme jatkuvasti uusia turvallisuusteknologioita ja -käytäntöjä suojaustemme parantamiseksi. Sitoumuksenamme on ylläpitää huipputasoista turvallisuuskehystä, joka täyttää tai ylittää GDPR:n tietoturvavaatimukset ja siten suojaa käyttäjiemme ja asiakkaidemme meihin asettamaa luottamusta.
Tietosuojavastaava (DPO)
GDPR edellyttää, että tietyt organisaatiot nimittävät tietosuojavastaavan, kun tietyt edellytykset täyttyvät, kuten jos keskeiset toiminnot muodostuvat arkaluonteisten tietojen laajamittaisesta käsittelystä tai henkilöiden säännöllisestä ja järjestelmällisestä laajamittaisesta seurannasta19. Livappy OÜ ei ole vielä nimittänyt tietosuojavastaavaa, koska nykyinen toimintamme laajuus ja tietojenkäsittelyn luonne eivät tee tästä pakollista vaatimusta GDPR:n 37 artiklan nojalla. Erityisesti Livappyn keskeisiin toimintoihin ei tällä hetkellä sisälly erityisiin henkilötietoryhmiin kuuluvien tietojen laajamittaista käsittelyä eikä henkilöiden laajamittaista säännöllistä seurantaa, jotka oikeudellisesti edellyttäisivät tietosuojavastaavan nimittämistä19. Olemme arvioineet velvoitteemme ja todenneet, ettei muodollista tietosuojavastaavaa toistaiseksi vaadita.
Livappy seuraa tätä vaatimusta kuitenkin valppaasti. Olemme sitoutuneet nimittämään pätevän tietosuojavastaavan tulevaisuudessa, jos toimintamme tai oikeudelliset velvoitteemme muuttuvat siten, että tietosuojavastaava tulee tarpeelliseksi. Esimerkiksi jos Livappyn liiketoiminta laajenee käsittelemään erittäin arkaluonteisia henkilötietoja laajamittaisesti tai jos aloitamme laajaa profilointia tai seurantaa, arvioimme tietosuojavastaavan tarpeen uudelleen ja teemme nimityksen viipymättä GDPR:n määräysten mukaisesti.
Nykyiset tietosuojatoimenpiteet
Vaikka muodollisesti nimettyä tietosuojavastaavaa ei ole, Livappy varmistaa, että tietosuojavastuut on selkeästi määritelty organisaatiossa:
- Meillä on oma tietosuoja- ja vaatimustenmukaisuustiimi (tai vastuuhenkilö), joka valvoo GDPR:n noudattamista ja neuvoo tietosuoja-asioissa. Tämä tiimi seuraa tietosuojatyömme tuloksia, antaa ohjeita GDPR-velvoitteista ja toimii sisäisenä käyttäjien yksityisyyden puolestapuhujana.
- Tarjoamme yhteystiedot (info@livappy.com) kaikkia tietosuojaa koskevia tiedusteluja ja pyyntöjä varten, ja käsittelemme näitä yhteydenottoja yhtä huolellisesti kuin jos tietosuojavastaava olisi nimitetty. Kaikki vastaanotetut tiedustelut tai valitukset käsitellään huolellisesti ja tarvittaessa siirretään johdolle tai yksityisyydensuojaan erikoistuneelle lakimiehelle.
- Ylläpidämme tarvittaessa avoimet viestintäyhteydet valvontaviranomaisiin ja pysymme ajan tasalla sääntelyohjeistuksesta jatkuvan vaatimustenmukaisuuden varmistamiseksi.
Livappy ymmärtää tietosuojavastaavan tuoman arvon, vaikka sitä ei tiukasti vaadittaisikaan – kuten riippumaton valvonta ja asiantuntemus yksityisyyden suojasta. Seuraamme jatkossakin velvollisuuksiamme emmekä epäröi nimittää tietosuojavastaavaa, kun olosuhteet tai kasvumme tekevät siitä asianmukaista. Siihen asti sitoumuksenamme on, että kaikki tietosuojavastaavan olennaiset tehtävät (vaatimustenmukaisuuden seuranta, vaikutustenarviointeja koskeva neuvonta, henkilöstön kouluttaminen jne.) hoidetaan sisäisten hallintorakenteidemme kautta.
Ilmoitus henkilötietojen tietoturvaloukkauksesta
Vahvoista suojauksista huolimatta Livappy tunnustaa, että tietoturvapoikkeamia voi tapahtua. Jos henkilötietojen tietoturvaloukkaus tapahtuu (tietoturvapoikkeama, joka johtaa henkilötietojen vahingossa tapahtuvaan tai laittomaan tuhoamiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai pääsyyn niihin), meillä on selkeä menettely loukkauksen hallitsemiseksi ja GDPR:n ilmoitusvelvoitteiden täyttämiseksi. Tietoturvaloukkausten hallintasuunnitelmamme sisältää seuraavat vaiheet GDPR:n 33 ja 34 artiklan mukaisesti:
Välitön havaitseminen ja sisäinen hälytys:
Meillä on järjestelmät ja prosessit mahdollisten tietoturvaloukkausten havaitsemiseksi ja niistä hälyttämiseksi. Työntekijämme on koulutettu tunnistamaan tietoturvapoikkeamat ja viemään ne eteenpäin. Heti kun loukkausta epäillään tai se tunnistetaan, sisäinen reagointitiimimme (johon kuuluu IT-, tietoturva- ja johtohenkilöstöä) saa siitä ilmoituksen. Nimeämme tietyn poikkeamavastaavan valvomaan tutkintaa.
Rajoittaminen ja arviointi:
Livappy rajoittaa loukkauksen nopeasti estääkseen tietojen lisävuodot (esimerkiksi eristämällä vaarantuneet järjestelmät, mitätöimällä vaarantuneet tunnistetiedot tai sulkemalla tietyt toiminnot). Tämän jälkeen tutkimme poikkeaman selvittääksemme loukkauksen luonteen ja laajuuden, sen, mitä tietoja ja keitä henkilöitä se koskee, sekä rekisteröidyille aiheutuvat mahdolliset riskit. Osana tätä arviointia arvioimme mahdollisen haitan todennäköisyyden ja vakavuuden.
Ilmoitus viranomaisille (72 tuntia):
Jos loukkaus todennäköisesti aiheuttaa riskin luonnollisten henkilöiden oikeuksille ja vapauksille, Livappy ilmoittaa asiasta toimivaltaiselle valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa loukkauksen ilmitulosta14. Koska Livappy on sijoittautunut Viroon, johtava valvontaviranomaisemme on todennäköisesti Viron tietosuojavirasto (Andmekaitse Inspektsioon), ellei loukkaus koske rekisteröityjä useissa EU-maissa (jolloin toimimme yhteistyössä johtavan viranomaisen kanssa yhden luukun mekanismin mukaisesti).
Viranomaisille tekemämme loukkausilmoitus sisältää kaikki vaaditut tiedot (loukkauksen luonne, asianomaisten rekisteröityjen ja tietueiden ryhmät ja arvioitu lukumäärä, todennäköiset seuraukset, loukkauksen johdosta toteutetut tai ehdotetut toimenpiteet jne.). Jos emme pysty toimittamaan kaikkia tietoja 72 tunnin kuluessa, toimitamme tiedot vaiheittain sallitulla tavalla ja perustelemme viivästyksen15,16.
Ilmoitus asianomaisille henkilöille:
Jos loukkaus todennäköisesti aiheuttaa korkean riskin henkilöiden henkilötiedoille tai yksityisyydelle, ilmoitamme loukkauksesta myös asianomaisille rekisteröidyille ilman aiheetonta viivytystä17. Tämä viestintä tehdään selkeällä ja yksinkertaisella kielellä kuvaten loukkauksen luonteen ja antaen henkilöille suosituksia mahdollisten haittavaikutusten lieventämiseksi (esimerkiksi voimme kehottaa vaihtamaan salasanat tai varomaan tietojenkalastelua, jos tunnistetiedot ovat paljastuneet). Emme ilmoita henkilöille, jos tehokkaiden teknisten toimenpiteiden (kuten salattujen tietojen) tai muiden tekijöiden vuoksi loukatut tiedot ovat lukukelvottomia tai riski on vähäinen, ellei viranomainen kehota meitä tekemään niin.
Korjaaminen ja tulevaisuuden ennaltaehkäisy:
Livappy ryhtyy välittömästi toimiin loukkauksen syyn korjaamiseksi. Tämä voi tarkoittaa ohjelmistohaavoittuvuuksien korjaamista, pääsynhallinnan tiukentamista, salauksen parantamista tai muita korjaavia toimenpiteitä sen varmistamiseksi, ettei vastaava poikkeama toistu. Dokumentoimme myös opitut asiat ja päivitämme tietoturvapolitiikkamme ja koulutuksemme vastaavasti. Ylin johto saa tiedon kaikista loukkauksista ja korjaustoimien etenemisestä, mikä varmistaa vastuullisuuden ja tuen tarvittaville parannuksille.
Dokumentointi:
GDPR:n 33 artiklan 5 kohdan mukaisesti Livappy dokumentoi kaikki henkilötietojen tietoturvaloukkaukset riippumatta siitä, edellyttävätkö ne ilmoittamista. Tähän sisäiseen loukkausrekisteriin kirjataan loukkaukseen liittyvät seikat, sen vaikutukset ja toteutetut korjaavat toimet. Tällainen dokumentaatio mahdollistaa sen, että valvontaviranomaiset voivat todentaa vaatimustenmukaisuutemme, ja auttaa meitä kehittämään jatkuvasti tietoturvapoikkeamien hallintaa. Myös vähäisistä poikkeamista pidämme kirjaa osana osoitusvelvollisuuttamme18.
Noudattamalla tätä jäsenneltyä lähestymistapaa Livappy varmistaa, että kaikki tietoturvaloukkaukset käsitellään nopeasti ja läpinäkyvästi, perimmäisenä tavoitteena käyttäjiemme tietojen ja oikeuksien suojaaminen. Ympärivuorokautinen valmiutemme reagoida poikkeamiin ja sitoutumisemme 72 tunnin ilmoitusaikaikkunaan kuvastavat sitä vakavuutta, jolla suhtaudumme henkilötietojen turvallisuuteen ja GDPR-velvoitteisiimme.
Tietojenkäsittelysopimukset
Livappy tukeutuu tiettyihin luotettaviin kolmansien osapuolten palveluntarjoajiin (henkilötietojen käsittelijöihin) palvelujensa tukemiseksi – esimerkiksi pilvi-infrastruktuurin tarjoajiin, henkilöllisyyden todentamispalveluihin ja analytiikka-alustoihin. GDPR:n vaatimusten mukaisesti Livappy solmii tietojenkäsittelysopimukset (DPA) kaikkien ulkoisten käsittelijöiden kanssa, jotka käsittelevät henkilötietoja puolestamme20. Nämä sopimukset ovat muodollisia sopimuksia, jotka varmistavat, että kukin käsittelijä on sitoutunut GDPR:n noudattamiseen ja suojaa henkilötietoja samojen korkeiden vaatimusten mukaisesti kuin me. Keskeisiä näkökohtia lähestymistavassamme tietojenkäsittelysopimuksiin ovat:
Pakolliset sopimukset kaikkien käsittelijöiden kanssa:
Politiikkamme on, ettei henkilötietoja jaeta tai uskota kolmannen osapuolen käsittelijälle, ellei GDPR:n mukaista tietojenkäsittelysopimusta ole tehty. Tämä koskee keskeisiä kumppaneita, kuten Amazon Web Services (AWS) pilvi-isännöinnissä, Veriff henkilöllisyyden todentamispalveluissa, Google pilvipohjaisissa työkaluissa tai analytiikassa sekä kaikkia muita tietoja käsitteleviä toimittajia tai alihankkijoita. Jokainen näistä käsittelijöistä on sopimuksin sitoutunut noudattamaan GDPR:n vaatimuksia, käsittelemään tietoja vain Livappyn dokumentoitujen ohjeiden mukaisesti ja toteuttamaan asianmukaiset turvatoimet.
Vakuutukset ja riittävät takeet:
GDPR:n 28 artiklan ja johdanto-osan 81 kappaleen mukaisesti Livappy käyttää vain sellaisia käsittelijöitä, jotka antavat riittävät takeet kyvystään suojata henkilötietoja21. Tietojenkäsittelysopimuksissamme määrätään, että käsittelijöiden on toteutettava kaikki asianmukaiset tekniset ja organisatoriset toimenpiteet tietojen suojaamiseksi (esim. salaus, pääsynhallinta, salassapitovelvoitteet) ja avustettava Livappya rekisteröityjen pyyntöjen täyttämisessä ja loukkausilmoituksissa tarpeen mukaan22. Arvioimme uudet toimittajat huolellisesti heidän tietosuojakäytäntöjensä ja maineensa osalta ennen kuin otamme heidät käsittelijöiksi.
Sopimusten keskeiset ehdot:
Jokainen Livappyn allekirjoittama tietojenkäsittelysopimus sisältää kaikki GDPR:n 28 artiklan 3 kohdan edellyttämät lausekkeet. Näihin kuuluvat muun muassa: käsittelijä käsittelee henkilötietoja vain Livappyn ohjeiden mukaisesti; tietoja käsittelevää henkilöstöä sitoo salassapitovelvollisuus; käsittelijä auttaa varmistamaan turvallisuusvaatimusten noudattamisen sekä avustaa rekisteröityjen oikeuksien toteuttamisessa ja vaikutustenarvioinneissa; alikäsittelijöitä ei voida käyttää ilman lupaamme, ja heitä on sidottava samoihin velvoitteisiin; käsittelijä palauttaa tai poistaa henkilötiedot toimeksiannon päättyessä; ja käsittelijän on suostuttava auditointeihin ja toimitettava näyttöä vaatimustenmukaisuudesta22. Nämä sopimusehdot antavat Livappylle ja käyttäjillemme varmuuden siitä, että henkilötiedot pysyvät suojattuina myös silloin, kun niitä käsittelevät kolmannet osapuolet.
Valvonta ja täytäntöönpano:
Livappy ylläpitää luetteloa kaikista nykyisistä henkilötietojen käsittelijöistä ja heidän kanssaan tehtyjen sopimusten tilasta. Seuraamme käsittelijöidemme vaatimustenmukaisuutta – esimerkiksi tarkastamalla heidän turvallisuussertifikaattinsa, auditointiraporttinsa tai käytännesääntöjen noudattamisen. Jos käsittelijä ei täytä tietosuojavelvoitteitaan, ryhdymme viipymättä toimiin, joihin voi kuulua korjaavien toimien vaatiminen, tietojenkäsittelyn keskeyttäminen tai jopa sopimuksen irtisanominen. Lisäksi sopimuksemme asettavat käsittelijät vastuuseen tietojen suojaamisesta, mikä tarkoittaa, että heidän on korvattava Livappylle (ja viime kädessä käyttäjillemme) kaikki vahingot, jotka aiheutuvat heidän käsittelystään, joka ei täytä GDPR:n vaatimuksia.
Alikäsittelijät:
Kun käsittelijämme edelleen alihankkivat käsittelyä (esimerkiksi jos AWS käyttää alihankkijoita konesalien ylläpidossa), näiden alikäsittelijöiden on sopimustemme mukaisesti täytettävä samat vaatimukset. Livappyn sopimukset varmistavat, että GDPR:n mukaisten velvoitteiden ketju ulottuu tietojenkäsittelyn kaikille tasoille.
Huomautus: Livappy on tehnyt tietojenkäsittelysopimuksen (DPA) Google Ireland Limitedin kanssa Google Workspace -palvelujen (sähköposti, kalenteri, pilvi) tarjoamisesta. Google toimii henkilötietojen käsittelijänä Livappyn puolesta, ja kaikki käsittely on GDPR:n mukaista, mukaan lukien vakiosopimuslausekkeet (SCC) silloin, kun tietoja voidaan siirtää EU:n ulkopuolelle.
Ylläpitämällä tiukkoja tietojenkäsittelysopimuksia Livappy täyttää rekisterinpitäjän velvollisuutensa työskennellä vain sellaisten käsittelijöiden kanssa, jotka voivat taata henkilötietojen suojan23. Tämä sopimuksellinen huolellisuus on olennainen osa GDPR-vaatimustenmukaisuusohjelmaamme ja antaa asiakkaillemme ja käyttäjillemme varmuuden siitä, että heidän tietojaan käsitellään turvallisesti paitsi Livappyn myös kaikkien palvelujemme tuottamiseen osallistuvien kumppaneiden ja toimittajien toimesta. Tarkistamme ja päivitämme sopimuksemme säännöllisesti oikeudellisen kehityksen mukaisesti ja varmistamme, että kaikki uudet kumppanuudet aloitetaan vankka tietosuojasopimus voimassa.
Yhteystiedot
Yhteydenotot sähköpostitse: info@livappy.com
Voimaantulopäivä: 10. syyskuuta 2025
Ylläpitäjä: Livappy OÜ (registrikood 17298558)
Harju maakond, Tallinn, Kesklinna linnaosa, Sakala tn 7-2, 10141, Estonia
Rekisteröity Tartun maakuntaoikeuden rekisteriosastoon, kaupparekisterin kortti nro 1
Voimaantulo ja tarkistaminen
Tämä GDPR-vaatimustenmukaisuuspolitiikka on voimassa julkaisupäivästä alkaen, ja Livappyn johto on hyväksynyt sen. Tarkistamme politiikan vähintään vuosittain ja lisäksi tarpeen mukaan heijastaaksemme muutoksia käytännöissämme tai lainsäädännössä. Päivitykset julkaistaan sen varmistamiseksi, että työntekijät, asiakkaat ja kumppanit pysyvät ajan tasalla siitä, miten Livappy pitää kiinni sitoumuksestaan noudattaa GDPR:ää.
Lähteet
1,12 GDPR - Amazon Web Services (AWS) - https://aws.amazon.com/compliance/gdpr-center/
2,3 EU General Data Protection Regulation Compliance Policy | Policy Library - https://www.policylibrary.gatech.edu/legal/eu-general-data-protection-regulation-compliance-policy
4,5,6,7 Respect individuals' rights | European Data Protection Board - https://www.edpb.europa.eu/sme-data-protection-guide/respect-individuals-rights_en
8,9,10 Privacy by Design & by Default: What You Need To Know - https://www.datagrail.io/blog/data-privacy/privacy-by-design-privacy-by-default/
11,20,21,22 What is a GDPR data processing agreement? - GDPR.eu - https://gdpr.eu/what-is-data-processing-agreement/
13 Data protection by design and by default | ICO - https://ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-by-design-and-by-default/
14,15,16,17,18 Personal data breaches: a guide | ICO - https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/
19 Does my company/organisation need to have a Data Protection Officer (DPO)? - European Commission - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_en
23 GDPR Compliance Statement - Free Privacy Policy - https://www.freeprivacypolicy.com/blog/gdpr-compliance-statement/
© 2026 livappy.com. Kaikki oikeudet pidätetään.