GDPR ja tietosuoja

Tietosuoja Sutjassa

Asiakkaan Sutja-työtilaan tallentamat työvuoro- ja HR-tiedot käsitellään Suomessa ja EU:ssa. Tämä sivu kertoo, miten Sutja täyttää velvoitteensa asiakkaan tietojen käsittelijänä ja mitä alikäsittelijöitä palvelussa käytetään.

Sivu on tarkoitettu asiakkaalle eli palvelun tilaavalle työnantajalle, joka on työntekijöidensä tietojen rekisterinpitäjä. Sivu kuvaa Sutjan velvoitteita henkilötietojen käsittelijänä yleistajuisesti; sitovat muotoilut ovat tietojenkäsittelysopimuksessa. Ristiriitatilanteessa sopimus ratkaisee.

Työntekijän omia tietoja koskevat kysymykset kuuluvat hänen työnantajalleen rekisterinpitäjänä, ei Sutjalle. Sutjan omassa rekisterinpitäjän roolissa käsittelemistä tiedoista kerrotaan tietosuojaselosteessa.

Rekisterinpitäjä ja käsittelijä

Kun asiakas käyttää Sutjaa työntekijöidensä työvuoro- ja HR-tietojen hallintaan, asiakas on rekisterinpitäjä ja Sutja toimii henkilötietojen käsittelijänä asiakkaan lukuun.

• AsiakasRekisterinpitäjäPäättää, mitä tietoja tallennetaan, mihin tarkoitukseen ja millä perusteella, ja vastaa työntekijöiden informoinnista.
• SutjaHenkilötietojen käsittelijäKäsittelee tietoja vain asiakkaan dokumentoitujen ohjeiden mukaan eikä käytä niitä omiin tarkoituksiinsa.

Rekisterinpitäjänä asiakas päättää, mitä tietoja palveluun tallennetaan, mihin tarkoitukseen ja millä oikeusperusteella, ja vastaa siitä että työntekijöitä on informoitu asianmukaisesti. Sutja ei tee näitä päätöksiä eikä käytä tietoja omiin tarkoituksiinsa.

Sutja käsittelee tietoja vain asiakkaan dokumentoitujen ohjeiden mukaisesti. Ohjeisiin kuuluvat tietojenkäsittelysopimus ja se, miten asiakas palvelua käyttää. Jos Sutja katsoo ohjeen rikkovan tietosuojalainsäädäntöä, se ilmoittaa siitä asiakkaalle.

Sutja on itse rekisterinpitäjä vain niiden tietojen osalta, jotka syntyvät sen omassa liiketoiminnassa: verkkosivuston kävijät, yhteydenotot ja asiakkaiden yhteyshenkilöt. Niitä koskee tietosuojaseloste.

Asiakas voi myöntää ulkopuoliselle palkanlaskijalle rajatun pääsyn työtilaansa ilman työsuhdetta. Palkanlaskija näkee palkka-aineiston palkkalajeittain, hyväksytyt korvaukset kuluriveineen, palkanlaskennan raportit (tunnit ja liukumat, korttiostot, poissaolot, lomasaldot, työehtosopimuksen poikkeamat sekä viikonloppu- ja pyhätyö) sekä työntekijän perustamiseen tarvittavat henkilö- ja työsuhdetiedot, kuten henkilötunnuksen, tilinumeron, osoitteen ja palkkatiedot. Hän voi korjata henkilönumeroita, kustannuspaikkakoodeja ja palkanlaskennan asetuksia sekä käynnistää palkkaviennin. Saldot hän näkee täsmäytystä varten muttei muuta niitä: saldotapahtuman kirjaaminen on työnantajan tehtävä. Hän ei hyväksy tuntikirjauksia tai korvauksia. Asiakas vastaa pääsyn myöntämisestä ja omasta palkanlaskijastaan; tämä ei ole Sutjan valitsema alikäsittelijä. Henkilötietonäkymän avaaminen kirjataan käyttölokiin ilman henkilötunnusta, tilinumeroa tai muita näytettyjä arvoja. Pääsyn voi perua työtilan asetuksista.

Datan sijainti: Suomi ja EU

Palvelu, tietokanta, tiedostot ja kirjautuminen pyörivät suomalaisen UpCloudin konesaleissa Suomessa. Sähköpostit lähetetään alankomaalaisen Lettermintin kautta, jonka lähetysinfrastruktuuri on Alankomaissa ja Saksassa. Henkilötietoja ei tallenneta EU:n tai ETA:n ulkopuolelle.

Myös liikenteen reitti on eurooppalainen: nimipalvelun, sisällönjakelun ja palomuurin toimittaa slovenialainen BunnyWay (bunny.net). Liikenne palvellaan EU-solmuista, ja rajaus on kirjattu tietojenkäsittelysopimukseen dokumentoituna ohjeena.

Asiakkaan tietojen alikäsittelijät

Sutja käyttää rajattua joukkoa huolellisesti valittuja palveluntarjoajia, joiden kanssa on tehty tietosuojavelvoitteet sisältävät sopimukset. Henkilötiedot tallennetaan ja käsitellään Suomessa ja EU:ssa, ja kaikki palveluntarjoajat ovat eurooppalaisia yhtiöitä.

Alla ovat toimittajat, jotka käsittelevät asiakkaan työtilan tietoja Sutjan lukuun. Niitä koskee asiakkaan kanssa tehty tietojenkäsittelysopimus. Sutjan oman toiminnan palveluntarjoajat on lueteltu tietosuojaselosteessa.

Sovelluksen käyttäjiä ei siirretä asiakkuudenhallintaan. He ovat asiakkaiden työntekijöitä, eivät Sutjan kontakteja. Brevon asiakkuudenhallintaan viedään vain työtilan laskutusyhteyshenkilö tilausta varten sekä verkkosivun liidit. Markkinointiviestejä lähetetään ainoastaan erikseen annetulla suostumuksella.

Sutja ilmoittaa suunnitelluista alikäsittelijämuutoksista etukäteen, ja asiakkaalla on oikeus vastustaa muutosta perustellusta syystä. Menettely on kirjattu tietojenkäsittelysopimuksen kohtaan 7.

Rekisteröidyn oikeuksien tuki

Sutja tukee rekisteröidyn oikeuksia: pääsy, oikaisu, poistaminen, siirrettävyys ja käsittelyn rajoittaminen. Koska työntekijätietojen rekisterinpitäjä on asiakas, tällaiset pyynnöt ohjataan asiakkaalle ja Sutja avustaa niiden täyttämisessä.

Palvelussa on tähän työkalut. Työtilan ylläpitäjä voi viedä työtilan tiedot asetusten Tietosuoja-osiosta; samasta osiosta voi myös ladata allekirjoitetun tietojenkäsittelysopimuksen. Vienti tuottaa pakatun, koneluettavan JSON-tiedoston, joka on ladattavissa 7 vuorokautta ja jonka jokainen lataus kirjataan. Työtilan tiedot voi viedä kerran 24 tunnissa, ja kukin ylläpitäjä ja esihenkilö voi viedä saman jäsenen tiedot kerran 24 tunnissa. Liitetiedostot eivät toistaiseksi sisälly pakettiin, vaan ne ladataan palvelusta erikseen. Paketti ei myöskään sisällä palvelun käyttölokia. Käyttäjien ilmoitukset ja viestit jäävät pois, koska ne ovat luottamuksellista viestintää. Jokainen käyttäjä voi ladata profiilisivulta omat tietonsa erillisenä tietopakettina, jossa ovat mukana myös hänelle osoitetut ilmoitukset ja hänen lähettämänsä viestit. Ilmoitukset ja viestit ovat vain tässä omassa paketissa. Oman paketin voi pyytää kerran 30 vuorokaudessa. Kun työtilan tilaus on irtisanottu päättymään kauden lopussa, oman paketin voi pyytää kauden loppuun asti 3 kertaa 30 vuorokaudessa. Muita tietojaan käyttäjä voi pyytää useammin työnantajalta, joka on rekisterinpitäjä. Poistaminen tapahtuu palvelun omilla toiminnoilla: työntekijän poisto tehdään henkilöstönäkymästä, työtilan poisto työtilan asetuksista ja oman tilin poisto profiilisivulta.

Avustaminen sisältyy palvelumaksuun. Sutja ei veloita erikseen rekisteröidyn pyyntöön vastaamisen tukemisesta eikä vaikutustenarviointiin (DPIA) tarvittavien palvelua koskevien tietojen antamisesta. Poikkeuksellisen laajasta erillistyöstä sovitaan etukäteen, ja ehto on kirjattu tietojenkäsittelysopimuksen kohtaan 9.

Tietojen minimointi ja anonymisointi

Rekisterinpitäjänä asiakas päättää, mitä tietoja työtilaan tallennetaan. Sutja on rakentanut palvelun niin, että vakiotoiminnot pyytävät vain sen, mitä työvuorosuunnittelu, työaikakirjanpito ja palkanmaksun perusteet edellyttävät. Sutja ei kerää työtilasta tietoja omiin tarkoituksiinsa eikä käytä asiakkaan tietoja tekoälymallien koulutukseen.

Osalla tiedoista on oma erityisperusteensa. Henkilötunnus kysytään palkanmaksua ja siihen liittyviä työnantajan lakisääteisiä velvoitteita varten, ja tietosuojalain 29 § sallii sen käsittelyn näissä tehtävissä: ne edellyttävät työntekijän yksiselitteistä yksilöimistä, eikä nimi ole yksilöivä tunniste. Sama koskee korvausten maksamista: kun asiakas on ottanut kirjanpitointegraation käyttöön, tunnus lähetetään asiakkaan valitsemaan taloushallinnon järjestelmään, jotta matkalasku kohdistuu oikealle saajalle eikä samannimiselle. Sovelluksessa tunnus näkyy vain työntekijälle itselleen, hänen esihenkilöketjulleen ja ylläpitäjille, ja se tyhjennetään jäsenyyden päätyttyä säilytystaulukon mukaisesti.

Sutjan omassa raportoinnissa ja tuotekehityksessä käytetään koostettua tai anonymisoitua tietoa, josta yksittäistä henkilöä ei voi tunnistaa.

Kun säilytysaika päättyy, tiedot joko poistetaan tai anonymisoidaan peruuttamattomasti. Tämä tapahtuu automaattisesti eikä edellytä asiakkaalta erillistä pyyntöä.

Tietoturva

Tiedot salataan siirrettäessä ja levossa, pääsy on roolipohjainen ja vähimmän oikeuden periaatteen mukainen, ja toimintaa seurataan lokein ja muutoshistorialla.

Yleistajuinen kuvaus on tietoturvasivulla. Sopimustasolla toimenpiteet on yksilöity tietojenkäsittelysopimuksen liitteessä 1, joka kertoo kohta kohdalta miten salaus, avainhallinta, luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus on toteutettu. Liitettä ei julkaista, koska se kuvaa suojausten yksityiskohdat. Sen saa pyynnöstä osoitteesta tietosuoja@sutja.fi.

Säilytys ja poisto

Sutja käsittelee tietoja vain sopimuksen voimassaolon ajan. Kun käsittely päättyy, asiakkaan tiedot palautetaan tai poistetaan 90 päivän kuluessa, lukuun ottamatta tietoja, jotka laki velvoittaa säilyttämään. Sama määräaika on kirjattu tietojenkäsittelysopimukseen. Käyttäjien ilmoituksia ja viestejä ei palauteta asiakkaalle, vaan kukin käyttäjä voi ladata itselleen osoitetut ilmoitukset ja itse lähettämänsä viestit ennen työtilan poistoa. Myöskään palvelun käyttölokia ei palauteta.

Alla on yhtenä taulukkona jokainen säilytysaika, joka koskee asiakkaan työtilaan tallennettuja tietoja. Niiden rekisterinpitäjä on asiakas. Sutjan omassa rekisterinpitäjän roolissa syntyvillä tiedoilla on omat säilytysaikansa, jotka luetellaan tietosuojaselosteessa.

Sama tieto näkyy myös työtilan asetusten Tietosuoja-osiossa, jossa taulukko muodostetaan suoraan järjestelmän omista säännöistä. Tämän sivun taulukko tarkistetaan samoja sääntöjä vasten automaattisella portilla ennen jokaista julkaisua, joten kuvaus ei voi ajautua erilleen siitä, mitä palvelu oikeasti tekee.

Säilytysaika alkaa taulukon oikeanpuoleisesta hetkestä, ei sopimuksen päättymisestä. Porrastus ei ole hitautta vaan lakisääteisiä säilytysvelvoitteita: työaikakirjanpitoa ei saa hävittää ennen kuin työaikalain kanneaika on kulunut umpeen.

Miten poisto etenee

Poisto ei ole yksi hetki vaan useampi vaihe. Vaiheet kerrotaan auki, koska ero on rekisterinpitäjälle olennainen:

1. HetiPääsy päättyy heti.Kun työtila tai käyttäjätili poistetaan, kirjautuminen ja pääsy tietoihin katkeavat välittömästi.
2. 60 pvTiedot tuhotaan armonajan jälkeen.Poistetun työtilan rivit poistetaan tietokannasta ja liitetiedostot tiedostovarastosta 60 päivän kuluttua poistosta.
3. LopuksiSalausavain hävitetään viimeisenä.Kun muu tuhoaminen on tehty, työtilan salausavain hävitetään, jolloin sillä salatut kentät ja tiedostot eivät ole enää palautettavissa millään avaimella.

Työtilan omistajalle lähetetään muistutus 14 ja 2 päivää ennen tuhoamista sekä vahvistusviesti sen jälkeen. Tiedot kannattaa viedä ennen poistoa, sillä poisto katkaisee pääsyn työtilaan välittömästi eikä vienti ole sen jälkeen itsepalveluna käytettävissä. Sama koskee käyttäjien omia tietopaketteja: ilmoitukset ja viestit eivät sisälly työtilan vientiin, joten jokaisen käyttäjän kannattaa ladata pakettinsa profiilisivulta ennen työtilan poistoa. Kun tilaus on irtisanottu päättymään kauden lopussa, käyttäjä voi pyytää oman pakettinsa kauden loppuun asti 3 kertaa 30 vuorokaudessa. Siksi tilaus kannattaa irtisanoa ensin ja poistaa työtila vasta kauden päätyttyä. Armonaikana työtilan voi vielä pyytää palautettavaksi ottamalla yhteyttä, minkä jälkeen vienti onnistuu normaalisti.

Sairauslomatodistukset ja sairausperusteiset poissaolon syyt ovat GDPR:n 9 artiklassa tarkoitettuja terveystietoja. Ne hävitetään 60 päivän kuluttua poissaolon päättymisestä riippumatta siitä, jatkuuko työsuhde: terveystieto on hävitettävä, kun sen käsittelyn peruste eli sairausajan palkanmaksu ja sen tarkastus on hoidettu. Käsittelyperusteesta ja siitä, kuka työnantajan palveluksessa saa käsitellä terveystietoa, vastaa asiakas rekisterinpitäjänä; sovellettavat säännökset ovat GDPR:n 9 artiklan 2 kohdassa ja yksityisyyden suojasta työelämässä annetun lain (759/2004) 5 §:ssä.

Käyttäjätilin poisto anonymisoi tilin heti: nimi ja yhteystiedot korvataan, istunnot mitätöidään, profiilikuva poistetaan ja asiakkuudenhallinnan kontakti poistetaan. Sama tehdään automaattisesti tilille, jolla ei ole yhtään voimassa olevaa työtilajäsenyyttä ja joka on ollut käyttämättömänä 90 päivää.

Salausavaimen hävittämisellä on rajansa, ja ne on rehellisempää sanoa ääneen kuin jättää sanomatta. Avaimen tuho tekee lukukelvottomaksi vain sen, mikä on salattu kenttä- tai tiedostokohtaisesti; muu aineisto poistetaan tietokannasta ja tiedostovarastosta rivi ja objekti kerrallaan. Poistoa edeltävissä varmuuskopioissa salaamattomat tiedot säilyvät siihen asti, kunnes kyseiset varmuuskopiot ovat poistuneet kierrosta. Kierto on noin 30 vuorokautta, joten viimeinenkin poistoa edeltävä kopio poistuu tuon jakson kuluessa. Salatut tiedot ovat varmuuskopioissa lukukelvottomia heti avaimen hävittämisen jälkeen.

Yksi asia on syytä hoitaa ennen 24 kuukauden rajaa: Sutja ei ole työnantajan pysyväisarkisto. Työtodistusvelvoite ulottuu 10 vuoteen työsuhteen päättymisestä, joten työsuhdeasiakirjat, kuten työsopimukset ja työtodistuksen pohjatiedot, on siirrettävä organisaation omaan arkistoon ennen kuin 24 kuukauden säilytysaika päättyy. Tietojen vienti kokoaa työtilan tietueet ilmoituksia, viestejä ja palvelun käyttölokia lukuun ottamatta koneluettavaan muotoon, mutta liitetiedostot on toistaiseksi ladattava palvelusta erikseen.

Tietojenkäsittelysopimus

Sutja tarjoaa asiakkaille GDPR:n 28 artiklan mukaisen tietojenkäsittelysopimuksen osana palvelun ehtoja. Sopimus on voimassa ilman erillistä pyyntöä, ja se kattaa käsittelyn kohteen ja tarkoituksen, käsittelyn asiakkaan dokumentoitujen ohjeiden mukaisesti, salassapidon, tietoturvan, alikäsittelijät, rekisteröidyn oikeuksien tukemisen, tietoturvaloukkaukset, auditoinnin ja käsittelyn päättymisen.

Sopimuksen liitteessä 1 on yksilöity, miten kohdan 6 tietoturvavelvoitteet on käytännössä toteutettu. Liitettä ei julkaista verkkosivulla, vaan Sutja toimittaa sen asiakkaalle pyynnöstä ilman eri veloitusta.

Allekirjoitetun kappaleen voi ladata palvelun asetusten Tietosuoja-osiosta. Sen voi myös pyytää osoitteesta tietosuoja@sutja.fi.

Tietoturvaloukkaukset

Jos henkilötietoihin kohdistuu tietoturvaloukkaus, Sutja ilmoittaa siitä rekisterinpitäjänä toimivalle asiakkaalle ilman aiheetonta viivästystä ja viimeistään 72 tunnin kuluessa siitä, kun loukkaus on tullut Sutjan tietoon.

Ensi-ilmoitus tehdään heti, kun loukkaus on vahvistettu, vaikka kaikkia yksityiskohtia ei vielä olisi selvitetty, ja sitä täydennetään vaiheittain selvityksen edetessä. Asiakkaan oma 72 tunnin määräaika ilmoittaa valvontaviranomaiselle alkaa siitä hetkestä, kun asiakas saa loukkauksen tietoonsa, joten Sutja ei odota täydellistä tilannekuvaa ennen ensi-ilmoitusta.