GDPR och dataskydd

Dataskydd hos Sutja

Arbetsskifts- och HR-uppgifter som kunden lagrar i sin Sutja-arbetsyta behandlas i Finland och EU. Den här sidan beskriver hur Sutja uppfyller sina skyldigheter som personuppgiftsbiträde för kundens uppgifter och vilka underbiträden tjänsten använder.

Sidan är avsedd för kunden, alltså den arbetsgivare som beställer tjänsten och som är personuppgiftsansvarig för sina anställdas uppgifter. Den beskriver Sutjas skyldigheter som personuppgiftsbiträde i allmänspråklig form; de bindande formuleringarna finns i personuppgiftsbiträdesavtalet. Vid konflikt gäller avtalet.

Frågor om en anställds egna uppgifter hör till arbetsgivaren som personuppgiftsansvarig, inte till Sutja. De uppgifter Sutja behandlar i sin egen roll som personuppgiftsansvarig beskrivs i dataskyddsbeskrivningen.

Ansvarig och biträde

När kunden använder Sutja för att hantera sina anställdas schema- och HR-uppgifter är kunden personuppgiftsansvarig och Sutja är personuppgiftsbiträde för kundens räkning.

• KundPersonuppgiftsansvarigBestämmer vilka uppgifter som lagras, för vilket ändamål och på vilken grund, och ansvarar för att de anställda informeras.
• SutjaPersonuppgiftsbiträdeBehandlar uppgifterna endast enligt kundens dokumenterade instruktioner och använder dem aldrig för egna ändamål.

Som personuppgiftsansvarig beslutar kunden vilka uppgifter som lagras i tjänsten, för vilket ändamål och på vilken rättslig grund, och ansvarar för att de anställda har informerats på behörigt sätt. Sutja fattar inte dessa beslut och använder inte uppgifterna för egna ändamål.

Sutja behandlar uppgifterna endast enligt kundens dokumenterade instruktioner. Till instruktionerna hör personuppgiftsbiträdesavtalet och det sätt på vilket kunden använder tjänsten. Om Sutja anser att en instruktion strider mot dataskyddslagstiftningen meddelar Sutja kunden.

Sutja är själv personuppgiftsansvarig endast för uppgifter som uppstår i den egna verksamheten: besökare på webbplatsen, kontakter och kundernas kontaktpersoner. Dessa omfattas av dataskyddsbeskrivningen.

Kunden kan ge en extern löneräknare begränsad åtkomst till arbetsytan utan att skapa en anställning. Löneräknaren ser löneunderlag per löneart, godkända ersättningar med sina kostnadsrader, lönerapporterna (timmar och flextid, kortköp, frånvaro, semestersaldon, avvikelser från kollektivavtalet samt veckoslut och helgdagar) samt de person- och anställningsuppgifter som behövs för att lägga upp anställda i lönesystemet, inklusive personbeteckning, bankkonto, adress och löneuppgifter. Löneräknaren kan rätta personalnummer, kostnadsställekoder och löneinställningar samt starta löneexport, men kan inte godkänna timmar eller ersättningar. Saldon ser löneräknaren för avstämning men ändrar dem inte: att bokföra en saldotransaktion är arbetsgivarens uppgift, och den externa parten har ingen väg till det. Kunden ansvarar för åtkomsten och sin egen löneräknare; denna är inte ett underbiträde som Sutja har valt. När anställningsuppgifterna öppnas registreras det i användningsloggen utan personbeteckning, bankkonto eller andra visade värden. Åtkomsten kan återkallas i arbetsytans inställningar.

Datans plats: Finland och EU

Tjänsten, databasen, filerna och inloggningen körs i den finländska leverantören UpClouds datacenter i Finland. E-post skickas via Lettermint, ett nederländskt företag vars sändningsinfrastruktur finns i Nederländerna och Tyskland. Personuppgifter lagras inte utanför EU eller EES.

Även trafikvägen är europeisk: DNS, innehållsleverans och brandvägg levereras av BunnyWay (bunny.net), ett slovenskt företag. Trafiken betjänas från EU-noder, och begränsningen är inskriven i personuppgiftsbiträdesavtalet som en dokumenterad instruktion.

Underbiträden för kundens uppgifter

Sutja använder ett begränsat antal omsorgsfullt valda leverantörer som det har ingåtts avtal med dataskyddsskyldigheter med. Personuppgifter lagras och behandlas i Finland och EU, och alla leverantörer är europeiska bolag.

Leverantörerna nedan behandlar kundens arbetsyteuppgifter för Sutjas räkning. De omfattas av personuppgiftsbiträdesavtalet med kunden. Leverantörer för Sutjas egen verksamhet anges i dataskyddsbeskrivningen.

Användarna av applikationen överförs inte till kundhanteringen. De är kundernas anställda, inte Sutjas kontakter. Till Brevos kundhantering förs endast arbetsytans faktureringskontaktperson för beställningen samt leads från webbplatsen. Marknadsföringsmeddelanden skickas endast med särskilt givet samtycke.

Sutja meddelar planerade byten av underbiträden i förväg, och kunden har rätt att invända mot en ändring på saklig grund. Förfarandet anges i punkt 7 i personuppgiftsbiträdesavtalet.

Stöd för den registrerades rättigheter

Sutja stöder de registrerades rättigheter: tillgång, rättelse, radering, portabilitet och begränsning av behandlingen. Eftersom personuppgiftsansvarig för de anställdas uppgifter är kunden vidarebefordras sådana begäranden till kunden, och Sutja bistår med att uppfylla dem.

Tjänsten har verktyg för detta. En administratör för arbetsytan kan exportera arbetsytans uppgifter i avsnittet Dataskydd i inställningarna; i samma avsnitt kan man också ladda ner det undertecknade personuppgiftsbiträdesavtalet. Exporten skapar en komprimerad, maskinläsbar JSON-fil som kan laddas ner i 7 dygn, och varje nedladdning loggas. Arbetsytans uppgifter kan exporteras en gång per 24 timmar, och varje administratör och chef kan exportera samma medlems uppgifter en gång per 24 timmar. Bilagor ingår tills vidare inte i paketet, utan laddas ner separat från tjänsten. Paketet innehåller inte heller tjänstens användningslogg. Användarnas aviseringar och meddelanden utelämnas eftersom de är konfidentiell kommunikation. Varje användare kan ladda ner sina egna uppgifter som ett separat datapaket på profilsidan, och det innehåller också de aviseringar som riktats till hen och de meddelanden hen har skickat. Aviseringar och meddelanden finns bara i detta egna paket. En användare kan begära sitt eget paket en gång per 30 dygn. När arbetsytans prenumeration har sagts upp att upphöra vid periodens slut kan en användare begära sitt eget paket 3 gånger per 30 dygn fram till periodens slut. Sina övriga uppgifter kan hen begära oftare av sin arbetsgivare, som är personuppgiftsansvarig. Radering sker med tjänstens egna funktioner: en anställd tas bort i personalvyn, en arbetsyta raderas i arbetsytans inställningar och det egna kontot raderas på profilsidan.

Biståndet ingår i tjänsteavgiften. Sutja tar inte ut någon separat avgift för stöd med att besvara en registrerads begäran eller för att lämna de uppgifter om tjänsten som behövs för en konsekvensbedömning (DPIA). Exceptionellt omfattande särskilt arbete avtalas på förhand, och villkoret anges i punkt 9 i personuppgiftsbiträdesavtalet.

Dataminimering och anonymisering

Som personuppgiftsansvarig beslutar kunden vilka uppgifter som lagras i arbetsytan. Sutja har byggt tjänsten så att standardfunktionerna endast efterfrågar det som schemaläggningen, arbetstidsbokföringen och grunderna för löneutbetalningen kräver. Sutja samlar inte in uppgifter från arbetsytan för egna ändamål och använder inte kundens uppgifter för att träna AI-modeller.

En del uppgifter har en egen särskild grund. Personbeteckningen efterfrågas för löneutbetalningen och arbetsgivarens därtill hörande lagstadgade skyldigheter, och 29 § i dataskyddslagen tillåter behandlingen i dessa uppgifter: de kräver att den anställda identifieras entydigt, och namnet är inte en unik identifierare. Detsamma gäller utbetalningen av ersättningar: när kunden har tagit i bruk bokföringsintegrationen skickas beteckningen till det ekonomisystem kunden valt, så att reseräkningen riktas till rätt mottagare och inte till en namne. I applikationen syns beteckningen bara för den anställda själv, den egna chefskedjan och administratörer, och den töms efter att medlemskapet upphört enligt tabellen över lagringstider.

I Sutjas egen rapportering och produktutveckling används aggregerade eller anonymiserade uppgifter som inte kan hänföras till en enskild person.

När lagringstiden löper ut raderas eller anonymiseras uppgifterna oåterkalleligt. Detta sker automatiskt och kräver ingen separat begäran från kunden.

Säkerhet

Uppgifterna krypteras under överföring och i vila, åtkomsten är rollbaserad och följer principen om lägsta behörighet, och verksamheten följs upp med loggar och ändringshistorik.

En allmänspråklig beskrivning finns på säkerhetssidan. På avtalsnivå specificeras åtgärderna i bilaga 1 till personuppgiftsbiträdesavtalet, som punkt för punkt anger hur kryptering, nyckelhantering, konfidentialitet, integritet, tillgänglighet och motståndskraft har genomförts. Bilagan publiceras inte, eftersom den beskriver detaljerna i skydden. Den lämnas på begäran via tietosuoja@sutja.fi.

Lagring och radering

Sutja behandlar uppgifter endast under avtalets giltighetstid. När behandlingen upphör återlämnas eller raderas kundens uppgifter inom 90 dagar, med undantag för uppgifter som lagen kräver att man sparar. Samma tidsfrist anges i personuppgiftsbiträdesavtalet. Användarnas aviseringar och meddelanden återlämnas inte till kunden, utan varje användare kan ladda ner de aviseringar som riktats till hen och de meddelanden hen har skickat innan arbetsytan raderas. Tjänstens användningslogg återlämnas inte heller.

Nedan finns i en enda tabell varje lagringstid som gäller de uppgifter kunden lagrar i sin arbetsyta. Kunden är personuppgiftsansvarig för dem. Uppgifter som uppstår i Sutjas egen roll som personuppgiftsansvarig har egna lagringstider, som anges i dataskyddsbeskrivningen.

Samma information visas också i avsnittet Dataskydd i arbetsytans inställningar, där tabellen skapas direkt utifrån systemets egna regler. Tabellen på den här sidan kontrolleras mot samma regler av en automatisk grind före varje release, så beskrivningen kan inte glida isär från vad tjänsten faktiskt gör.

Lagringstiden börjar från tidpunkten i högra kolumnen, inte från avtalets slut. Stegvisheten är inte långsamhet utan lagstadgade lagringsskyldigheter: arbetstidsbokföring får inte förstöras innan talefristen enligt arbetstidslagen har löpt ut.

Så går raderingen till

Radering är inte ett enda ögonblick utan flera steg. Stegen beskrivs öppet, eftersom skillnaden är väsentlig för den personuppgiftsansvarige:

1. GenastÅtkomsten upphör omedelbart.När en arbetsyta eller ett användarkonto raderas bryts inloggningen och åtkomsten till uppgifterna genast.
2. 60 dagarUppgifterna förstörs efter en frist.En raderad arbetsytas rader tas bort ur databasen och bilagorna ur fillagret 60 dagar efter raderingen.
3. Till sistKrypteringsnyckeln förstörs sist.När allt annat har förstörts förstörs arbetsytans krypteringsnyckel, varefter de fält och filer som krypterats med den inte kan återställas med någon nyckel.

Arbetsytans ägare får en påminnelse 14 och 2 dagar före förstöringen samt ett bekräftelsemeddelande efteråt. Uppgifterna bör exporteras före raderingen, eftersom raderingen bryter åtkomsten till arbetsytan omedelbart och export som självbetjäning inte längre är möjlig därefter. Detsamma gäller användarnas egna datapaket: aviseringar och meddelanden ingår inte i arbetsytans export, så varje användare bör ladda ner sitt eget paket på profilsidan innan arbetsytan raderas. När prenumerationen har sagts upp att upphöra vid periodens slut kan en användare begära sitt eget paket 3 gånger per 30 dygn fram till periodens slut. Därför lönar det sig att först säga upp prenumerationen och radera arbetsytan först när perioden har löpt ut. Under fristen kan arbetsytan fortfarande begäras återställd genom kontakt med oss, varefter export fungerar normalt.

Läkarintyg och sjukdomsbaserade frånvaroorsaker är hälsouppgifter enligt GDPR artikel 9. De förstörs 60 dagar efter att frånvaron upphört, oavsett om anställningen fortsätter: hälsouppgifter ska förstöras när grunden för behandlingen, det vill säga utbetalning och kontroll av lön för sjuktid, har skötts. Kunden ansvarar som personuppgiftsansvarig för den rättsliga grunden och för vem hos arbetsgivaren som får behandla hälsouppgifter; tillämpliga bestämmelser är GDPR artikel 9.2 och 5 § i lagen om integritetsskydd i arbetslivet (759/2004).

Radering av ett användarkonto anonymiserar kontot omedelbart: namn och kontaktuppgifter ersätts, sessionerna ogiltigförklaras, profilbilden tas bort och kontakten i kundhanteringen raderas. Detsamma görs automatiskt för ett konto som saknar giltigt medlemskap i någon arbetsyta och har varit oanvänt i 90 dagar.

Att förstöra krypteringsnyckeln har sina gränser, och det är ärligare att säga det högt än att låta bli. Nyckelns förstöring gör oläsligt endast det som krypterats på fält- eller filnivå; övrigt material tas bort ur databasen och fillagret rad för rad och objekt för objekt. I säkerhetskopior som tagits före raderingen finns okrypterade uppgifter kvar tills dessa säkerhetskopior har roterats bort. Cykeln är cirka 30 dygn, så även den sista kopian från tiden före raderingen försvinner under den perioden. Krypterade uppgifter i säkerhetskopiorna är oläsliga omedelbart efter att nyckeln har förstörts.

En sak är värd att sköta före 24-månadersgränsen: Sutja är inte arbetsgivarens permanenta arkiv. Skyldigheten att ge arbetsintyg sträcker sig till 10 år från anställningens slut, så anställningshandlingar såsom anställningsavtal och underlagen för arbetsintyg ska flyttas till organisationens eget arkiv innan lagringstiden på 24 månader löper ut. Exporten samlar arbetsytans poster, utom aviseringar, meddelanden och tjänstens användningslogg, i maskinläsbar form, men bilagor måste tills vidare laddas ner separat från tjänsten.

Personuppgiftsbiträdesavtal

Sutja erbjuder kunderna ett personuppgiftsbiträdesavtal enligt GDPR artikel 28 som en del av tjänstevillkoren. Avtalet gäller utan särskild begäran och omfattar behandlingens föremål och syfte, behandling enligt kundens dokumenterade instruktioner, sekretess, informationssäkerhet, underbiträden, stöd för de registrerades rättigheter, personuppgiftsincidenter, revision och behandlingens upphörande.

I bilaga 1 till avtalet specificeras hur säkerhetsskyldigheterna i punkt 6 har genomförts i praktiken. Bilagan publiceras inte på webbplatsen, utan Sutja lämnar den till kunden på begäran utan särskild avgift.

Ett undertecknat exemplar kan laddas ner i avsnittet Dataskydd i tjänstens inställningar. Det kan också begäras på tietosuoja@sutja.fi.

Personuppgiftsincidenter

Om personuppgifter drabbas av en incident underrättar Sutja kunden, som är personuppgiftsansvarig, utan onödigt dröjsmål och senast inom 72 timmar efter att Sutja fått kännedom om incidenten.

Den första underrättelsen görs så snart incidenten har bekräftats, även om alla detaljer ännu inte har utretts, och den kompletteras stegvis allteftersom utredningen fortskrider. Kundens egen 72-timmarsfrist för att anmäla till tillsynsmyndigheten börjar när kunden får kännedom om incidenten, varför Sutja inte inväntar en fullständig lägesbild före den första underrättelsen.