LIITE 3 – Henkilötietojen käsittelysopimus (DPA)

LIITE 3 – Henkilötietojen käsittelysopimus (DPA)

Rekisterinpitäjä (Asiakas): [Nimi, Y-tunnus, osoite]

Käsittelijä (Toimittaja): Lyyli AI Oy; hello@lyyli.ai

Tietosuoja-yhteyshenkilö: hello@lyyli.ai

1. Johdanto ja sovellettavat ehdot

GDPR ja kansallinen lainsäädäntö; IT2022 YSE soveltuvin osin.

2. Käsittelyn kohde ja kesto

Pääsopimuksen ajan + enintään 30 päivää päättymisen jälkeen poistamista/palautusta varten.

3. Luonne ja tarkoitus

Keruu, tallennus, järjestäminen, rajoittaminen, haku, käyttö, luovutus ohjeen perusteella, lokitus, varmistus/palautus, poisto/anonymisointi. Käsittely voi sisältää tekoälyavusteisia toimenpiteitä (esim. sisällön luonnostelu, analyysi, viestinnän tuki) Rekisterinpitäjän antamien ohjeiden ja pääsopimuksen puitteissa.

Tekoälyinferenssi reititetään OpenRouterin ja suorien palveluntarjoajien kautta. Valituilla reiteillä käytetään Zero Data Retention -asetuksia. Reittikohtaiset säilytys-, koulutus- ja poikkeuskäytännöt on kuvattu AI-mallirekisterissä.

4. Rekisteröidyt ja tietoryhmät

Organisaation käyttäjät: nimi, sähköposti, rooli/tehtävä, käyttö- ja lokitiedot.

Sisältö ja viestintä: viestien metadata ja sisällöt, kommentit, liitteet, versiohistoria Rekisterinpitäjän ohjeen mukaan.

Kokousosallistujat (Meeting Agent): nimet, äänitteet, litteroinnit ja kokouskohtaiset havainnot, kun Asiakas ottaa ominaisuuden käyttöön.

Ulkoiset kommentoijat: nimi ja kommentti julkisten tarkistuslinkkien kautta, ilman käyttäjätiliä.

Sähköpostin lähettäjät (saapuva posti): lähettäjän osoite, viestin metadata ja sisältö saapuneiden käsittelyssä.

Integraatioiden käyttäjät: Teams/Slack-viestien metadata ja sisältö integraation käytön yhteydessä.

Ei erityisiä henkilötietoryhmiä ilman erillistä sopimusta. Ei asiakkaiden asiakkaita.

5. Rekisterinpitäjän velvollisuudet

Lainmukaisuus, käsittelyperusteet, informointi; käyttäjä- ja oikeuksien hallinta.

6. Käsittelijän velvollisuudet

Ohjeiden noudattaminen, salassapito, Liite 4 TOMs, avustaminen pyyntöihin ja loukkauksiin, lokit ja dokumentointi, auditointien mahdollistaminen.

7. Alikäsittelijät

Alikäsittelijät on lueteltu Liitteessä 5. Käsittelijä varmistaa, että alikäsittelijöillä on vähintään vastaavat velvoitteet. Uusista alikäsittelijöistä tai olennaisista muutoksista ilmoitetaan rekisterinpitäjälle vähintään 30 päivää etukäteen; rekisterinpitäjällä on oikeus vastustaa perustellusta syystä. Tekoälyinferenssi reititetään OpenRouterin kautta taustamallitoimittajille; mallikohtaiset muutokset voivat tapahtua lyhyemmillä ilmoitusajoilla teknisen reitityksen vuoksi, ja ne dokumentoidaan AI-mallirekisterissä. Rekisterinpitäjäpuolen toimittajat (esim. maksut, CRM) on kuvattu tietosuojaselosteessa.

8. Kansainväliset siirrot

Henkilötietoja voidaan siirtää EU/ETA-alueen ulkopuolelle, kun alikäsittelijä tai tekninen toteutus (esim. tekoäly- tai pilvipalvelu) sitä edellyttää. Siirrot toteutetaan GDPR:n V luvun mukaisin suojatoimin, kuten Euroopan komission vakiosopimuslausekkeilla (SCC) ja/tai EU–US Data Privacy Framework -viitekehyksellä soveltuvin osin, sekä tarvittaessa täydentävin teknisin ja organisatorisin toimenpitein kulloisenkin alikäsittelijän ja palvelukuvauksen mukaisesti.

9. Tietoturvaloukkaukset

Ilmoitus viipymättä; alustava ilmoitus viimeistään 24 h kuluessa siitä, kun Käsittelijä on tietoinen loukkauksesta, täydennetty ilmoitus kun tiedot ovat saatavilla.

10. Auditoinnit

Kerran vuodessa, 14 arkipäivää ennakkoilmoitusta, ilman kohtuutonta haittaa.

11. Poistaminen tai palauttaminen

Päättyessä poisto/palautus aktiivisesta järjestelmästä; varmuuskopiot yliajetaan Liite 6 mukaisesti; lokit poistetaan erillisen aikataulun mukaan. Poistotodistus pyydettäessä.

12. Vastuu ja laki

Pääsopimus & IT2022; Suomen laki; Helsingin käräjäoikeus.