Liite 1: Henkilötietojen käsittelyn ehdot (DPA)

1.1 Tätä liitettä sovelletaan, kun eWatt Smart Power Systems Oy (”Käsittelijä”) käsittelee Smart Power -palvelun (”Palvelu”) tuottamisen yhteydessä henkilötietoja Asiakkaan (”Rekisterinpitäjä”) lukuun. Tällaista käsittelyä on ennen kaikkea kiinteistön mittausdatan käsittely siltä osin kuin datasta on mahdollista tunnistaa luonnollinen henkilö, sekä Asiakkaan määrittämien hälytys- ja raporttivastaanottajien yhteystietojen käsittely Asiakkaan ohjeiden mukaan.

1.2 Käsittelystä, jossa eWatt toimii itse rekisterinpitäjänä (mm. käyttäjätunnukset, asiakkuuden hallinta, laskutus, markkinointi), kerrotaan eWattin tietosuojaselosteessa, eikä tämä liite koske sitä.

1.3 Osapuolet noudattavat EU:n yleistä tietosuoja-asetusta (EU) 2016/679 (”GDPR”) ja soveltuvaa kansallista lainsäädäntöä. Käsitteillä on GDPR:n mukainen merkitys. Ristiriitatilanteessa tämä liite syrjäyttää palveluehdot henkilötietojen käsittelyn osalta.

3.1 Rekisterinpitäjä vastaa siitä, että sillä on oikeus käsitellä henkilötietoja ja siirtää ne Käsittelijälle Palvelun tuottamiseksi, sekä rekisteröityjen informoinnista omalta osaltaan.

3.2 Käsittelijä käsittelee henkilötietoja vain Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti. Dokumentoituja ohjeita ovat palveluehdot, tilausvahvistus, tämä liite sekä Asiakkaan Palvelun asetuksissa tekemät valinnat (esim. hälytysten vastaanottajat). Jos Käsittelijä katsoo ohjeen rikkovan GDPR:ää tai muuta tietosuojalainsäädäntöä, se ilmoittaa tästä Rekisterinpitäjälle viipymättä.

3.3 Käsittelijä varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon tai heitä koskee lakisääteinen salassapitovelvollisuus.

Käsittelijä toteuttaa riskiä vastaavat tekniset ja organisatoriset toimet, mukaan lukien vähintään:

• tiedonsiirron salaus lukulaitteesta palvelualustalle ja palvelun käyttöliittymiin (TLS)
• tietojen säilytys EU/ETA-alueella sijaitsevissa konesaleissa
• pääsynhallinta työtehtävien mukaan, henkilökohtaiset tunnukset ja monivaiheinen tunnistautuminen ylläpidossa
• ympäristöjen valvonta, lokitus ja säännölliset varmuuskopiot sekä palautumissuunnitelma
• henkilöstön tietosuojaohjeistus.

5.1 Rekisterinpitäjä antaa yleisen ennakkoluvan käyttää alihankkijoita käsittelyssä. Käytössä olevat alihankkijat ja niiden sijainnit luetellaan liitteen lopussa.

5.2 Käsittelijä ilmoittaa alihankkijoiden lisäyksistä ja vaihdoksista vähintään 30 päivää etukäteen. Rekisterinpitäjä voi vastustaa muutosta perustellusta tietosuojasyystä; jos ratkaisua ei löydetä, Rekisterinpitäjä voi irtisanoa sopimuksen muutoksen kohteena olevan Palvelun osalta.

5.3 Käsittelijä asettaa alihankkijoille kirjallisella sopimuksella vähintään tätä liitettä vastaavat tietosuojavelvoitteet ja vastaa alihankkijoidensa työstä kuin omastaan.

Henkilötiedot käsitellään EU/ETA-alueella. Tietoja ei siirretä EU:n tai ETA:n ulkopuolelle ilman Rekisterinpitäjän etukäteistä kirjallista hyväksyntää, ja mahdollinen siirto toteutetaan GDPR:n V luvun mukaisin suojatoimin (esim. Euroopan komission vakiosopimuslausekkeet).

7.1 Käsittelijä avustaa Rekisterinpitäjää asianmukaisin teknisin ja organisatorisin toimin rekisteröityjen oikeuksia koskeviin pyyntöihin vastaamisessa (GDPR III luku). Jos rekisteröity esittää pyynnön suoraan Käsittelijälle, Käsittelijä ohjaa pyynnön Rekisterinpitäjälle ilman aiheetonta viivytystä.

7.2 Käsittelijä avustaa Rekisterinpitäjää GDPR 32–36 artiklan mukaisten velvoitteiden täyttämisessä (tietoturva, loukkausilmoitukset, vaikutustenarvioinnit ja ennakkokuulemiset) ottaen huomioon käsittelyn luonteen ja Käsittelijän saatavilla olevat tiedot.

7.3 Avustaminen sisältyy Palvelun hintaan tavanomaisessa laajuudessa; laajemmasta avustamisesta voidaan veloittaa kulloinkin voimassa olevan hinnaston mukainen tuntiveloitus.

Käsittelijä ilmoittaa Rekisterinpitäjälle sen lukuun käsiteltyihin henkilötietoihin kohdistuneesta tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa siitä tiedon saatuaan. Ilmoitus sisältää saatavilla olevat GDPR 33(3) artiklan mukaiset tiedot: kuvaus loukkauksesta, kohteena olevat tietoryhmät ja arvioidut määrät, todennäköiset seuraukset sekä toteutetut ja ehdotetut korjaavat toimet. Käsittelijä dokumentoi loukkaukset ja tekee yhteistyötä Rekisterinpitäjän kanssa niiden selvittämisessä.

9.1 Sopimuksen päättyessä Käsittelijä palauttaa henkilötiedot Rekisterinpitäjälle koneluettavassa muodossa tämän pyynnöstä ja poistaa ne järjestelmistään 90 päivän kuluessa sopimuksen päättymisestä, ellei unionin oikeus tai kansallinen lainsäädäntö edellytä säilyttämistä.

9.2 Käsittelijällä on oikeus anonymisoida mittausdata siten, ettei rekisteröityjä eikä Asiakasta voi tunnistaa, ja käyttää anonymisoitua dataa palveluehtojen mukaisesti. Anonymisoitu data ei ole henkilötietoa.

10.1 Käsittelijä antaa Rekisterinpitäjälle tämän pyynnöstä tiedot, jotka ovat tarpeen GDPR 28 artiklan velvoitteiden noudattamisen osoittamiseksi (esim. kuvaukset tietoturvatoimista ja alihankkijoista).

10.2 Rekisterinpitäjä tai sen valtuuttama riippumaton tarkastaja (joka ei saa olla Käsittelijän kilpailija) voi auditoida tämän liitteen noudattamisen enintään kerran vuodessa ilmoittamalla siitä vähintään 60 päivää etukäteen. Auditointi toteutetaan normaalia liiketoimintaa tarpeettomasti häiritsemättä, ja kumpikin osapuoli vastaa omista kustannuksistaan. Käsittelijä voi veloittaa auditoinnin avustamisesta kohtuulliset kustannukset.

11.1 Osapuolten vastuuseen sovelletaan palveluehtojen vastuunrajoituksia, ellei pakottavasta lainsäädännöstä muuta johdu.

11.2 Tämä liite on voimassa niin kauan kuin Käsittelijä käsittelee henkilötietoja Rekisterinpitäjän lukuun.