Tietojenkäsittelyliite

Kun yrityksesi käyttää Arvisflowsia, avustaja palvelee asiakkaitasi ja käsittelee heidän tietojaan. Tiedot ovat sinun, eivät meidän. Tämä liite on yleisen tietosuoja-asetuksen 28 artiklan edellyttämä käsittelysopimus, ja se määrää, mitä saamme ja mitä emme saa tehdä tiedoilla.

1. Osapuolet ja niiden roolit

Arvisflows ei määritä näiden tietojen käsittelyn tarkoituksia eikä keskeisiä keinoja, eikä se käytä tietoja omiin tarkoituksiinsa.

2. Kohde, kesto ja tarkoitus

Kohde. Yrityksen loppuasiakkaiden henkilötietojen käsittely siltä osin kuin se on tarpeen, jotta tekoälyavustaja voi palvella heitä.

Luonne ja tarkoitus. Tietojen kerääminen, tallentaminen, säilyttäminen, hakeminen, käyttäminen ja poistaminen keskustelujen käymiseksi, puheluihin vastaamiseksi, saatavuuden tarkistamiseksi, ajanvarausten, varausten, tilausten, lähetysten ja kuljetusmatkojen hallitsemiseksi ja yrityksen määrittämien ilmoitusten lähettämiseksi; ja jos yritys ottaa maksut käyttöön, tapahtuman maksun valmisteleminen yrityksen Stripe-tilillä ja sen tuloksen kirjaaminen.

Kesto. Palvelusopimuksen voimassaolon ajan sekä lausekkeessa 11 palauttamiselle tai poistamiselle varattu aika. Avustajan kanssa käytyjen keskustelujen (WhatsApp, puhelin ja verkkochat) sisältöä säilytetään kuusi kuukautta kustakin viestistä, minkä jälkeen se poistetaan automaattisesti riippumatta siitä, onko sopimus yhä voimassa. Tämä aika ei koske ajanvarausten, varausten, tarjousten, tilausten, lähetysten ja kuljetusmatkojen tietoja, joita säilytetään lausekkeen 11 mukaisesti.

3. Mitkä tiedot ja keneltä

4. Arvisflowsin velvollisuudet

Arvisflows sitoutuu:

• Käsittelemään tietoja ainoastaan asiakkaan dokumentoitujen ohjeiden mukaisesti. Dokumentoiduiksi ohjeiksi katsotaan nämä Käyttöehdot, tämä liite ja asetukset, jotka asiakas määrittää Yrittäjän paneelissa.
• Olemaan käyttämättä tietoja omiin tarkoituksiinsa, luovuttamatta niitä ja käyttämättä niitä omien tai kolmansien osapuolten tekoälymallien kouluttamiseen.
• Varmistamaan, että tietojen käsittelyyn valtuutetut henkilöt ovat sitoutuneet noudattamaan salassapitoa toistaiseksi myös suhteensa Arvisflowsiin päätyttyä.
• Soveltamaan ja ylläpitämään lausekkeen 8 tietoturvatoimenpiteitä.
• Avustamaan asiakasta mahdollisuuksien mukaan, jotta se voi vastata rekisteröityjen oikeuksia koskeviin pyyntöihin.
• Auttamaan asiakasta täyttämään tietoturvaa, tietoturvaloukkauksista ilmoittamista ja vaikutustenarviointia koskevat velvoitteensa käytettävissä olevien tietojen perusteella.
• Ilmoittamaan asiakkaalle välittömästi, jos se katsoo, että saatu ohje rikkoo tietosuojasäännöksiä.
• Asettamaan asiakkaan saataville tiedot, jotka ovat tarpeen näiden velvollisuuksien noudattamisen osoittamiseksi.

5. Asiakkaan velvollisuudet

Asiakas sitoutuu rekisterinpitäjänä:

• Varmistamaan, että sillä on pätevä oikeusperuste loppuasiakkaidensa tietojen käsittelyyn ja niiden luovuttamiseen Arvisflowsille.
• Kertomaan loppuasiakkailleen, että palvelu voidaan tuottaa automatisoidulla järjestelmällä, rekisterinpitäjän henkilöllisyyden ja sen, miten he voivat käyttää oikeuksiaan. Arvisflows suosittelee, että tämä mainitaan avustajan ensimmäisessä viestissä ja yrityksen tietosuojaselosteessa.
• Määrittämään avustajan ja paneelin säännösten mukaisesti ja olemaan syöttämättä niihin tietoja, joita se ei tarvitse palvelunsa tuottamiseen.
• Vastaamaan loppuasiakkailtaan saamiinsa oikeuksia koskeviin pyyntöihin Arvisflowsin avustuksella.
• Pitämään ajan tasalla luettelon organisaationsa henkilöistä, joilla on pääsy paneeliin, ja peruuttamaan pääsyn niiltä, jotka eivät sitä enää tarvitse.

6. Hyväksytyt alikäsittelijät

Asiakas antaa Arvisflowsille yleisen luvan käyttää seuraavia palvelun tuottamiseksi tarvittavia alikäsittelijöitä:

Kun asiakas ottaa varausten maksut käyttöön, Stripe tarjoaa maksupalvelun asiakkaan suoraan Stripen kanssa tekemän sopimuksen perusteella eikä Arvisflowsin alikäsittelijänä. Asiakkaan lukuun Arvisflows ilmoittaa Stripelle vain summan, valuutan, palvelun nimen ja varauksen sisäisen tunnisteen. Asiakas vastaa siitä, että se kertoo loppuasiakkailleen tästä Stripen suorittamasta käsittelystä.

Arvisflows sopii kunkin alikäsittelijän kanssa tämän liitteen velvoitteita vastaavista velvoitteista ja vastaa asiakkaalle niiden toiminnasta.

Ennen alikäsittelijän lisäämistä tai vaihtamista Arvisflows ilmoittaa siitä asiakkaalle vähintään 30 kalenteripäivää etukäteen. Jos asiakas vastustaa muutosta kohtuullisin ja perustelluin tietosuojaan liittyvin syin, se voi irtisanoa sopimuksen ilman seuraamuksia ennen kuin muutos tulee voimaan.

Viimeisin muutos tähän luetteloon: 6. syyskuuta 2026 Anthropic lisättiin alikäsittelijäksi, ja OpenAI:n tehtävä jaettiin sen kanssa. Molemmat käsittelevät samaa tietoryhmää samassa maassa ja samoin seuraavassa kohdassa kuvatuin suojatoimin, eikä kumpikaan käytä keskustelujen sisältöä mallien kouluttamiseen. Muutoksesta ilmoitettiin sähköpostilla kaikille asiakkaille 6. syyskuuta 2026.

Muutos 30. lokakuuta 2026: OpenAI siirtyi pääpalveluntarjoajaksi ja Anthropic jäi varapalveluntarjoajaksi. Molemmat käsittelevät samaa tietoryhmää samassa maassa ja samoin seuraavassa kohdassa kuvatuin suojatoimin.

7. Kansainväliset siirrot

Tiedot sijaitsevat Euroopan unionissa. Arvisflows on kuitenkin yhdysvaltalainen yhtiö, ja osa edellä mainituista alikäsittelijöistä käsittelee tietoja Yhdysvalloissa, joten tietoja siirretään kansainvälisesti.

Siirrot perustuvat Euroopan komission hyväksymiin vakiosopimuslausekkeisiin, joita täydennetään tarvittavilla lisätoimenpiteillä, tai EU:n ja Yhdysvaltojen välistä tietosuojakehystä koskevaan tietosuojan riittävyyttä koskevaan päätökseen, kun alikäsittelijä on sertifioitu siihen. Arvisflows toimittaa asiakkaalle pyynnöstä jäljennöksen sovellettavista suojatoimista.

8. Tietoturvatoimenpiteet

Tekniikan tason ja käsittelyn riskin huomioon ottaen Arvisflows soveltaa vähintään seuraavia toimenpiteitä:

• Salaus siirron aikana. Kaikki selaimen, sovelluksen ja palveluntarjoajien välinen tietoliikenne kulkee TLS-salattuna.
• Tunnukset. Paneelin salasanat tallennetaan suolattua johtamisfunktiota käyttäen, ei koskaan selväkielisinä, eikä edes Arvisflowsin henkilöstö voi palauttaa niitä.
• Pääsynhallinta. Pääsy paneeliin edellyttää tunnistautumista, ja sitä hallitaan määräaikaisilla istuntotunnuksilla, jotka vanhenevat, kun selain suljetaan.
• Erottelu. Kunkin yrityksen tiedot on eroteltu loogisesti, ja jokainen kysely rajataan tunnistautuneeseen yritykseen.
• Vähimmät käyttöoikeudet. Järjestelmien hallinnollinen käyttö on rajattu henkilöihin, jotka tarvitsevat sitä palvelun ylläpitämiseksi.
• Varmuuskopiot tietokannasta säännöllisesti, ja niistä voidaan palauttaa tiedot.
• Toimintoloki järjestelmän suorituksista ja virheistä häiriöiden havaitsemiseksi ja analysoimiseksi.
• Tarkistus. Näitä toimenpiteitä tarkistetaan säännöllisesti ja päivitetään, kun riski muuttuu.

9. Tietoturvaloukkaukset

Jos Arvisflows saa tiedon tietoturvaloukkauksesta, joka koskee asiakkaan lukuun käsiteltäviä tietoja, se ilmoittaa siitä asiakkaalle ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä, kun se on saanut asiasta tiedon.

Ilmoituksessa kuvataan loukkauksen luonne, rekisteröityjen ja tietueiden ryhmät ja arvioitu määrä, todennäköiset seuraukset sekä toteutetut tai ehdotetut korjaavat toimenpiteet. Asiakas päättää rekisterinpitäjänä ilmoittamisesta valvontaviranomaiselle ja rekisteröidyille.

10. Rekisteröityjen oikeudet

Jos loppuasiakas kääntyy suoraan Arvisflowsin puoleen käyttääkseen oikeuksiaan, Arvisflows ei vastaa pyynnön sisältöön, vaan siirtää sen viipymättä kyseiselle yritykselle ja kertoo pyytäjälle, että rekisterinpitäjä on tämä yritys.

Arvisflows tarjoaa asiakkaalle Yrittäjän paneelissa tarvittavat työkalut, joilla se voi itse vastata näihin pyyntöihin, ja antaa lisäapua, kun tietojen hakemista tai poistamista ei voida tehdä paneelista.

Asiakas voi itse poistaa Yrittäjän paneelista tietyn henkilön koko keskustelun, mukaan lukien tallenteen, jota avustaja käyttää aiempien keskustelujen muistamiseen. Poisto on välitön, eikä sitä voi perua.

11. Palauttaminen ja poistaminen päättyessä

Palvelun päättyessä Arvisflows asiakkaan valinnan mukaan joko palauttaa tiedot jäsennellyssä ja yleisesti käytetyssä muodossa tai poistaa ne olemassa olevine kopioineen.

Asiakkaalla on 30 kalenteripäivää tilin lopettamisesta aikaa pyytää tietojen palauttamista. Jos pyyntöä ei tehdä tässä ajassa, Arvisflows poistaa tiedot. Poikkeuksena ovat tiedot, jotka on säilytettävä lakisääteisen velvoitteen vuoksi; ne pidetään lukittuina ja käyttämättöminä kyseisen määräajan päättymiseen asti.

12. Auditointi

Arvisflows asettaa asiakkaan saataville tiedot, jotka ovat kohtuudella tarpeen tämän liitteen noudattamisen osoittamiseksi, ja tekee yhteistyötä asiakkaan tai sen nimeämän tarkastajan tekemissä auditoinneissa tai tarkastuksissa.

Auditoinneista on ilmoitettava vähintään kolmekymmentä päivää etukäteen, niitä tehdään enintään yksi vuodessa, ellei toista perustele jokin häiriö, ne tehdään työaikana toimintaa haittaamatta, ja niitä koskee salassapito. Kustannuksista vastaa asiakas, ellei auditointi paljasta Arvisflowsin aiheuttamaa olennaista laiminlyöntiä.

13. Muutokset tähän liitteeseen

Arvisflows voi päivittää tätä liitettä mukauttaakseen sen säännösten muutoksiin, valvontaviranomaisten uusiin päätöksiin tai palvelun muutoksiin. Olennaisista muutoksista ilmoitetaan vähintään 30 kalenteripäivää etukäteen. Jos tämän liitteen ja Käyttöehtojen välillä on ristiriita, tämä liite on etusijalla kaikessa, mikä koskee tietosuojaa.