01Allmänt
Den här policyn beskriver hur plops Oy behandlar personuppgifter som personuppgiftsansvarig. Den gäller besökare på vår webbplats, personer som kontaktar oss samt kontaktpersoner hos våra prenumererande kunder.
När vår kund behandlar sina egna anställdas uppgifter i tjänsten (skift, frånvaro och övrig HR) är kunden personuppgiftsansvarig och Sutja agerar personuppgiftsbiträde. Den behandlingen regleras av ett separat personuppgiftsbiträdesavtal som beskrivs på GDPR-sidan.
02Personuppgiftsansvarig
- Företag
- plops Oy
- FO-nummer
- 3596026-3
- Postadress
- Linnanpellonkatu 52, 70300 Kuopio
- Dataskydd
- tietosuoja@sutja.fi
Personuppgiftsansvarig är plops Oy (organisationsnummer 3596026-3). Postadress: Linnanpellonkatu 52, 70300 Kuopio, Finland.
Vi har inte utsett ett separat dataskyddsombud, men i dataskyddsfrågor kan du kontakta tietosuoja@sutja.fi.
03Ansvarig eller biträde
Sutja är personuppgiftsansvarig för de uppgifter som Sutja själv styr över: webbplatsbesökare, förfrågningar och kundernas kontaktpersoner.
För de personuppgifter som en kund matar in om sina egna anställda är kunden personuppgiftsansvarig och Sutja behandlar uppgifterna för kundens räkning. Den här policyn täcker inte sådan behandling; den regleras av personuppgiftsbiträdesavtalet med kunden.
04Vad vi använder uppgifterna till
Vi behandlar personuppgifter för följande ändamål:
- Tillhandahålla tjänsten, hantera användarkonton och inloggning
- Kundrelationer, support och kommunikation
- Fakturering och lagstadgade bokföringsskyldigheter
- Utveckling av tjänsten, säkerhet och förebyggande av missbruk
- Marknadsföring och kontakt med affärskontaktpersoner
- Uppfylla lagstadgade skyldigheter
05Vilka uppgifter vi behandlar
Vi behandlar huvudsakligen följande uppgifter:
- Kontaktuppgifter: namn, arbetsmejl, telefonnummer, organisation och roll
- Kontouppgifter: användaridentifierare och kontoinställningar
- Avtals- och faktureringsuppgifter
- Förfrågningar och supportkorrespondens
- Tekniska uppgifter: loggar, IP-adress och sessionsuppgifter för att säkerställa tjänstens funktion och säkerhet
För respons och supportärenden i appen lagrar vi typ, rubrik, beskrivning, avsändare, arbetsyta, roll, vyns sökväg, webbläsaridentifierare, appversion och statushistorik. Rubriken och beskrivningen krypteras. Bara avsändaren och Sutjas personal kan se ärendet; arbetsytans administratörer kan inte se andra användares ärenden. Supporten svarar per e-post. Ärendena ingår bara i det datapaket som avsändaren själv begär. Ytterligare tekniska uppgifter kan omfatta föregående vys sökväg utan frågeparametrar, webbläsarens språk och tidszon, vyns storlek samt tidpunkterna för insamling och fel.
06Varifrån uppgifterna kommer
Vi får uppgifterna huvudsakligen från den registrerade själv eller dennes arbetsgivare (kundorganisationen) när tjänsten tas i bruk eller används. En del uppgifter uppstår vid användning av tjänsten. Företagsuppgifter kan kompletteras från offentliga register såsom handelsregistret.
07Rättsliga grunder för behandlingen
Behandlingen av personuppgifter grundar sig på följande rättsliga grunder:
- Avtal: att tillhandahålla tjänsten till beställaren och användarna
- Berättigat intresse: skötsel av kundrelationen, utveckling av tjänsten och informationssäkerhet
- Samtycke: elektronisk direktmarknadsföring
- Rättslig förpliktelse: till exempel bokföringslagstiftningen
När behandlingen grundar sig på ett berättigat intresse har vi bedömt vart och ett av de ovan nämnda ändamålen separat och konstaterat att vårt berättigade intresse inte åsidosätts av den registrerades intressen, rättigheter eller friheter. Bedömningarna är dokumenterade och ses över årligen.
Du har rätt att invända mot behandling som grundar sig på ett berättigat intresse av skäl som hänför sig till din specifika situation. Meddela oss på tietosuoja@sutja.fi, så avbryter vi behandlingen om det inte finns tvingande berättigade skäl att fortsätta.
En del uppgifter behövs för att ingå avtalet eller använda tjänsten; utan dem kan vi inte tillhandahålla tjänsten.
08Mottagare och personuppgiftsbiträden
Vi säljer inte personuppgifter. Uppgifterna behandlas för vår räkning av omsorgsfullt valda personuppgiftsbiträden som tillhandahåller till exempel datacenter-, e-post- och bokföringstjänster. Leverantörernas ändamål och behandlingsregioner beskrivs i denna beskrivning.
Leverantörer för Sutjas egen verksamhet anges i nästa avsnitt. Underbiträden som behandlar kundens arbetsyteuppgifter anges separat på GDPR-sidan och omfattas av personuppgiftsbiträdesavtalet med kunden.
Faktureringen av beställningar sköts i Procountor (Accountor Finago Oy). När vi fakturerar en kunds beställning överför vi faktureringsuppgifterna dit: företagets namn, FO-nummer, faktureringsadress, faktureringskontaktpersonens e-postadress samt fakturans uppgifter. Procountor skapar och levererar också fakturan och fungerar som vårt bokföringssystem, varvid fakturauppgifterna sparas under den tid bokföringslagen kräver.
Uppgifter kan lämnas ut till myndigheter om lagen kräver det.
Kunden kan ge en extern löneräknare begränsad åtkomst till arbetsytan utan att skapa en anställning. Löneräknaren ser löneunderlag per löneart, godkända ersättningar med sina kostnadsrader, lönerapporterna (timmar och flextid, kortköp, frånvaro, semestersaldon, avvikelser från kollektivavtalet samt veckoslut och helgdagar) samt de person- och anställningsuppgifter som behövs för att lägga upp anställda i lönesystemet, inklusive personbeteckning, bankkonto, adress och löneuppgifter. Löneräknaren kan rätta personalnummer, kostnadsställekoder och löneinställningar samt starta löneexport, men kan inte godkänna timmar eller ersättningar. Saldon ser löneräknaren för avstämning men ändrar dem inte: att bokföra en saldotransaktion är arbetsgivarens uppgift, och den externa parten har ingen väg till det. Kunden ansvarar för åtkomsten och sin egen löneräknare; denna är inte ett underbiträde som Sutja har valt. När anställningsuppgifterna öppnas registreras det i användningsloggen utan personbeteckning, bankkonto eller andra visade värden. Åtkomsten kan återkallas i arbetsytans inställningar.
När Slack-meddelanden är aktiverade skickas rubriken, beskrivningen och de tekniska uppgifterna i respons och supportärenden från appen till Sutjas personals supportkanal i Slack. Slack Technologies Limited tillhandahåller tjänsten för Sutjas egen kundsupport. Separata kontakt- och faktureringsuppgifter visas endast i Sutjas interna administrationsvy.
09Leverantörer för Sutjas egen verksamhet
Leverantörerna nedan behandlar uppgifter för vilka Sutja är personuppgiftsansvarig, till exempel uppgifter för vår egen fakturering. I denna roll är de inte underbiträden enligt kundens personuppgiftsbiträdesavtal.
| Leverantör | Uppgift | Plats |
|---|---|---|
| UpCloud Ltd | Server- och databastjänster för Sutjas webbplats, användarkonton, kontakter och kunduppgifter. | Finland |
| BunnyWay d.o.o. (bunny.net) | Namnserver, innehållsleverans och trafikskydd för Sutjas webbplats. | Slovenien |
| Lettermint B.V. | Leverans av Sutjas kundmeddelanden och e-post om kontakter. | Nederländerna (EU) |
| AppSignal B.V. | Behandling av fel- och prestandauppgifter för felsökning av Sutjas tjänst. | Nederländerna (EU) |
| Sendinblue SAS (Brevo) | Kundhantering: företag, prenumeration och faktureringskontakt samt leads från webbplatsen. Applikationens användare överförs inte till kundhanteringen. | Frankrike (EU) |
| Slack Technologies Limited | Interna meddelanden för kundsupport: typ, rubrik, beskrivning och tekniska uppgifter för respons eller supportärenden. Sutja behandlar dessa uppgifter i sitt eget kundserviceregister. Avsändarens namn, e-postadress, telefonnummer och faktureringsuppgifter läggs inte till som separata fält i meddelandet. När Slack-meddelanden är aktiverade skickas supportformulärets rubrik och beskrivning till Slack som de skrivits. Texten filtreras inte. | Irland; uppgifter behandlas även i USA |
| Accountor Finago Oy (Procountor) | Bokföring och fakturering | Finland |
10Överföringar utanför EU och EES
Appens uppgifter lagras i Finland. Behandlingen av kundsupportmeddelanden i Slack beskrivs separat nedan.
Inte heller tjänstens trafik behandlas utanför EU: DNS, innehållsleverans och brandvägg levereras av det slovenska företaget BunnyWay (bunny.net), och trafiken betjänas från EU-noder enligt en dokumenterad begränsning i personuppgiftsbiträdesavtalet.
Slack-meddelanden för Sutjas egen kundsupport utgör en separat behandling: rubriker, beskrivningar och tekniska uppgifter i respons och supportärenden kan även behandlas i USA. Slack beskriver skyddsåtgärderna för internationella överföringar i sin dataskyddsinformation.
11Hur länge vi sparar uppgifter
Vi sparar personuppgifter endast så länge det är nödvändigt:
- Konto- och kunduppgifter: under kundrelationen och högst 90 dagar efter att den upphört, varefter uppgifterna raderas eller anonymiseras
- Ett användarkonto utan giltigt medlemskap i någon arbetsyta: anonymiseras automatiskt när kontot varit oanvänt i 90 dagar
- Uppgifter som hör till bokföringen: den tid bokföringslagen kräver, i regel 6 år
- Kontakter: högst 12 månader
- Fel- och prestandauppgifter som vi behandlar för felsökning och utveckling av tjänsten: högst 60 dygn
- Trafikloggar från skyddslagret, som behandlas för informationssäkerhet och förhindrande av missbruk: 3 dygn
- Tjänstens användningslogg, som innehåller IP-adress och webbläsaridentifierare: 24 månader. Loggen uppstår i kundens arbetsyta och kunden är personuppgiftsansvarig för den, men Sutja använder samma logg också för att övervaka sin egen informationssäkerhet
- Säkerhetskopior: roteras i cykler om cirka 30 dygn
- Respons och supportärenden som skickas i appen: under behandlingen och i 24 månader efter att ärendet stängts. När arbetsytan raderas permanent raderas även ärendena.
När en arbetsyta raderas upphör åtkomsten till uppgifterna omedelbart och uppgifterna förstörs permanent efter 60 dagar. Som sista steg i förstöringen förstör vi arbetsytans krypteringsnyckel, varvid dess krypterade uppgifter blir permanent oläsbara. I säkerhetskopior som tagits före raderingen finns okrypterade uppgifter kvar så länge dessa säkerhetskopior roterar.
För de anställdas uppgifter som kunden lagrar i sin arbetsyta gäller egna, stegvisa lagringstider. Personuppgiftsansvarig för dem är kunden, och de omfattas därför inte av denna beskrivning. De är samlade i en tabell på GDPR-sidan.
Meddelanden som skickas till supportkanalen i Slack sparas i Slack i ett år från sändningen. I Free-paketet döljs meddelanden som är äldre än 90 dagar, men de raderas först efter ett år. Radering från Sutjas databas eller radering av en arbetsyta raderar inte Slack-meddelanden; lagringstiden i Slack räknas separat från sändningen.
12Den registrerades rättigheter
Du har rätt att:
- Få tillgång till och granska dina uppgifter
- Få felaktiga uppgifter rättade
- Begära radering av dina uppgifter
- Begränsa eller invända mot behandlingen
- Få dina uppgifter i ett portabelt format
- Återkalla ett samtycke du gett
Du kan själv radera ditt användarkonto på din profilsida i tjänsten. Övriga rättigheter utövar du genom att kontakta tietosuoja@sutja.fi. Vi besvarar förfrågningar i regel inom en månad.
Om din begäran gäller uppgifter som din arbetsgivare har sparat i sin arbetsyta är arbetsgivaren personuppgiftsansvarig och vi vidarebefordrar begäran dit. Raderingens steg och lagringstiderna beskrivs på vår GDPR-sida.
13Automatiserat beslutsfattande
Vi utför inte sådant automatiserat beslutsfattande eller profilering som omfattas av denna policy och som har rättsliga eller liknande betydande följder för dig.
Den automatiska schemaläggning som görs i tjänsten gäller kundens anställdas uppgifter, där kunden är personuppgiftsansvarig. Den behandlingen regleras av personuppgiftsbiträdesavtalet.
14Säkerhet
Vi skyddar personuppgifter med lämpliga tekniska och organisatoriska åtgärder. Uppgifterna krypteras under överföring och i vila, åtkomsten är rollbaserad enligt principen om lägsta behörighet, och användningen övervakas med loggar. Sutjas applikationsdatabas finns i finländska datacenter och säkerhetskopieras regelbundet.
De känsligaste uppgifterna, som frånvaroorsaker och deras bilagor, bankkonto, adress och innehållet i anställningsavtal, krypteras dessutom fält för fält och fil för fil med arbetsytans egen krypteringsnyckel redan innan de sparas. Huvudnyckeln förvaras inte i databasen, och nycklarna kan bytas. Inom arbetsgivarorganisationen syns dessa uppgifter bara för den anställda själv, den egna chefskedjan och administratörer. När en arbetsytas nyckel förstörs kan de fält och filer som krypterats med den inte längre återställas med någon nyckel.
Om en personuppgiftsincident inträffar underrättar vi tillsynsmyndigheten och, vid behov, dig, så som lagen kräver.
15Rätt att lämna klagomål
Om du anser att behandlingen av dina personuppgifter inte är laglig kan du lämna ett klagomål till tillsynsmyndigheten. I Finland är detta dataombudsmannens byrå (tietosuoja.fi).
17Ändringar i denna policy
Vi kan uppdatera denna policy när tjänsten eller lagstiftningen ändras. Vi publicerar den aktuella versionen på den här sidan och anger uppdateringsdatumet högst upp.