Tietoa meistä
GDPR tietosuoja
Sisällys
Periaatteet tietosuoja-asetusten noudattamisesta. 2
Seloste henkilörekisterin käsittelytoimista. 4
Henkilörekisterin menettelyt 4
Tietojen siirrot, mukaan lukien yhdistäminen. 5
Henkilötietojen käsittelyn turvallisuus. 5
Tietoturvaloukkauksen havaitsemisen menettelyt 5
Vastuumme rekisterinpitäjänä. 7
Henkilörekisterin käyttöoikeuksien rajoittaminen. 7
Tietoturvaloukkauksien havaitseminen. 8
Merkittävät liittyvät lomakkeet: 9
Ehtojen muutokset ja yhteystiedot …………………………………………………………………………………………….……………………10
Periaatteet tietosuoja-asetusten noudattamisesta
Tässä dokumentissa osoitetaan miten yrityksemme toteuttaa Euroopan parlamentin ja neuvoston 27 päivänä huhtikuuta 2016 antamaa asetusta (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta.
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus. Euroopan unionin perusoikeuskirjan 8 artiklan 1 kohdan ja Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan.
Henkilötietojen käsittely on yrityksessämme laillista ja asianmukaista. Luonnollisille henkilöille on tämän soveltamisohjeen luettuaan läpinäkyvää, miten heitä koskevia henkilötietoja kerätään ja käytetään. Samoin dokumentaatiosta selviää, missä määrin henkilötietoja käsitellään. Läpinäkyvyyden periaatteen mukaisesti kyseisten henkilötietojen käsittelyyn liittyvät tiedot ja viestintä ovat helposti saatavilla ja ymmärrettävissä ja niissä käytetään selkeää ja yksinkertaista kieltä. Tämä periaate koskee erityisesti rekisteröityjen tietoja rekisterinpitäjän identiteettiä ja käsittelyn tarkoituksia sekä lisätietoja, joilla varmistetaan kyseisiä luonnollisia henkilöitä koskevan käsittelyn asianmukaisuus ja läpinäkyvyys, sekä heidän oikeuttaan saada vahvistus ja ilmoitus heitä koskevien henkilötietojen käsittelystä.
Jos yrityksemme rekisterinpitäjänä ei pysty tunnistamaan luonnollista henkilöä käsittelemiensä henkilötietojen perusteella, rekisterinpitäjää ei voida asetuksen (EU) 2016/679 mukaan velvoittaa hankkimaan lisätietoja rekisteröidyn tunnistamista varten, jos tämä on tarpeen vain, jotta voitaisiin noudattaa jotakin tämän asetuksen säännöstä.
Läpinäkyvyyden periaatteen mukaisesti yleisölle tai rekisteröidylle tarkoitetut tiedot on tässä dokumentissa tiiviisti esitettynä sekä helposti saatavilla ja ymmärrettäviä, ne ilmaistaan selkeällä ja yksinkertaisella kielellä. Tällaiset tiedot voidaan antaa sähköisessä muodossa esimerkiksi internetsivuston kautta silloin kun ne on tarkoitettu yleisölle. Tämä on erityisen tärkeää tilanteissa, joissa rekisteröidyn on toimijoiden suuren määrän ja käytänteiden teknisen monimutkaisuuden vuoksi vaikea tietää ja ymmärtää, kerätäänkö hänen henkilötietojaan tai ketkä niitä keräävät ja mitä tarkoitusta varten; tällainen tilanne voi olla esimerkiksi verkkomainonnan kaltaisissa yhteyksissä. Koska lapset tarvitsevat erityistä suojelua, kaikessa lapsiin kohdistuvaa tietojenkäsittelyä koskevassa tiedotuksessa ja viestinnässä on käytettävä niin selkeää ja yksinkertaista kieltä, että lapsen on helppo ymmärtää sitä.
Luonnollisella henkilöllä on oikeus saada häntä koskevat virheelliset henkilötiedot oikaistuiksi ja oikeus ”tulla unohdetuksi”, jos tietojen säilyttäminen rikkoo asetusta luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä, tai rekisterinpitäjään sovellettavaa unionin oikeutta tai jäsenvaltion lainsäädäntöä. Rekisteröidyllä on oikeus siihen, että hänen henkilötietonsa poistetaan ja ettei niitä käsitellä sen jälkeen, kun henkilötietoja ei enää tarvita niitä tarkoituksia varten, joita varten ne kerättiin tai jota varten niitä muutoin käsiteltiin, tai kun rekisteröity on perunut tietojenkäsittelyä koskevan suostumuksensa.
Turvallisuuden ylläpitämiseksi ja asetuksen säännösten vastaisen käsittelyn estämiseksi yrityksemme, tietosuoja-asetuksen velvoitteiden mukaisesti, rekisterinpitäjänä tai henkilötietojen käsittelijä arvioi käsittelyyn liittyvät riskit ja toteuttaa toimenpiteitä näiden riskien lieventämiseksi esimerkiksi salauksella. Näiden toimenpiteiden avulla varmistetaan asianmukainen turvallisuustaso, muun muassa luottamuksellisuus, ottaen huomioon uusin tekniikka ja toteuttamiskustannukset suhteessa tietojenkäsittelyn riskeihin ja suojeltavien henkilötietojen luonteeseen. Tietosuojariskiä arvioitaessa otetaan huomioon henkilötietojen käsittelyyn liittyvät riskit, kuten siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai laiton tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen tai henkilötietoihin pääsy, mikä voi aiheuttaa etenkin fyysisiä, aineellisia tai aineettomia vahinkoja.
Mikäli henkilötietojen käsittelytoimiin todennäköisesti liittyy luonnollisten henkilöiden oikeuksiin ja vapauksiin liittyvä korkea riski, yrityksemme rekisterinpitäjänä toteuttaa tietosuojaa koskevan vaikutustenarvioinnin kyseisen riskin alkuperän, luonteen, erityisluonteen ja vakavuuden arvioimiseksi. Arvioinnin tulos otetaan huomioon määriteltäessä asianmukaisia toimia, jotka on toteutettava, jotta voidaan osoittaa, että henkilötietojen käsittely on säännösten mukaista. Mikäli tietosuojaa koskevan vaikutustenarvioinnin perusteella todetaan, että käsittelytoimiin liittyy korkea riski, jota rekisterinpitäjä ei voi asianmukaisin toimenpitein vähentää saatavilla olevan tekniikan ja toteuttamiskustannusten suhteen, ennen tietojenkäsittelyä kuullaan valvontaviranomaista.
Mahdollisesta tietoturvaloukkauksesta ilmoitetaan valvontaviranomaiselle ilman aiheetonta viivytystä heti, kun se on tullut rekisterinpitäjän tietoon, ja mahdollisuuksien mukaan 72 tunnin kuluessa, paitsi jos rekisterinpitäjä pystyy osoittamaan tilivelvollisuusperiaatteen mukaisesti, että henkilötietojen tietoturvaloukkauksesta ei todennäköisesti aiheudu luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä. Rekisteröidylle ilmoitetaan henkilötietojen tietosuojaloukkauksesta viipymättä, jos tämä tietosuojaloukkaus todennäköisesti aiheuttaa luonnollisen henkilön oikeuksia ja vapauksia koskevan suuren riskin.
Henkilörekisteriä yrityksessämme pidetään, kun vähintään yksi seuraavista edellytyksistä täyttyy:
- rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten
- käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä
- käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi
- käsittely on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi
- käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi
- käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.
Yrityksen tiedot
| Nimi | KuntoFarmi OY |
| LY-tunnus | 2657630-7 |
| Toimiala | Kuntosali, personal trainer palvelut ja lisäravinteiden jälleenmyynti |
| Päätoimipaikka | Kaustinen |
| Muut toimipaikat |
|
| www-osoite | |
| Tietosuojavastaava | Sami Parkkinen |
| Muu henkilötietojen käsittelijä | Tilitoimisto Kristiina Puutio |
Seloste henkilörekisterin käsittelytoimista
| Henkilörekisterin nimi tai käyttötarkoitus | Asiakasrekisteri |
| Käsittelyn tarkoitus ja tarpeellisuus. Miten varmistutaan, että kerätään ainoastaan oleellinen tieto. | Asiakasrekisteriin kerätään tietoja tuotteitamme ja palveluja tilanneista asiakkaista. Yritysten tiedot lain vaatimalla tasolla kerätään, samoin yhteyshenkilöiden oleelliset tiedot niin että pystymme kohdistamaan toimenpiteet ostotapahtumiin kyeten kontaktoimaan asiakasta. Henkilötiedoista kerätään: nimi, puhelin, sähköposti
|
| Kuvaus rekisteröityjen ryhmistä ja henkilötieto-ryhmittelystä | Asiakasjaottelu: yritysasiakkaat, yksityisasiakkaat Tuotejaottelu: Palvelujen osto, tuoteostot Laskutusjaottelu: tilausasiakkaat, käteisasiakkaat Maksuhäiriömerkintäinformaatio |
| Henkilörekisterin vastaanottajat (kenelle / mille ryhmälle tietoja luovutetaan) | Henkilörekisterin ylläpitäjä Viranomaiset |
| Tietojen siirtäminen EU:n ulkopuolelle | Ei siirretä Siirretään, mihin:
|
Henkilörekisterin menettelyt
Tietojen kerääminen
Tiedot kerätään ensimmäisen tilauksen tai tilauspyynnön yhteydessä. Keräys tapahtuu joko asiakkaan yhteydenotosta internet-sivustolla tai muulla tavoin asiakkaan kontaktoidessa.
Tietojen muuttaminen
Lomakkeessa ”Ohje henkilörekisterin muokkaamiseen” on kuvattu rekisterin muokkaamistoimet.
Tietoja muutetaan asiakkaan pyynnöstä tietojen muuttuessa, tai mikäli saamme tiedon muutoksesta muulta taholta.
Tietokyselyt
Tietokyselyt käsittelee yrittäjä.
Mikäli rekisteröidyiltä tulee kyselyjä, ne käsitellään. Ensin tarkistetaan onko kysyjä oikealla asialla, eli onko hänellä oikeus saada tietoja. Henkilöllisyys varmistetaan vähintään sähköpostilla, tavallisesti soittamalla.
Kysely saapuu yrittäjälle, joka on ainut työntekijä. Yrittäjä hallinnoi koko prosessin. Henkilön tiedot tarkistetaan rekisteristä.
Tietojen luovuttaminen
Yrityksellämme on mahdollisuudet kieltäytyä tietojen luovuttamisesta Direktiivin kohta 65)
Itse luovuttaminen tapahtuu printtamalla sähköpostiin tai asiakkaan niin halutessa paperille.
Tietojen siirrot, mukaan lukien yhdistäminen
Tietoja ei siirretä rekisterien kesken. Tietokoneen varmuuskopiossa (turvallinen tallennus) on samat tiedot kuin alkuperäisessä rekisterissä.
Tietojen poistaminen
Kun rekisteröity ilmaisee halunsa tietojen poistamiseen, toteutetaan poistamisessa prosessi tietopyyntöjen korjauksesta. Ei kuitenkaan, mikäli laki taikka asetukset vaativat tietojen säilyttämistä (esim. 10v vastuuaika).
Henkilöreksiterissämme ei ole tietojen automaattista poistoa etukäteen asetetun määräajan puitteissa. Käymme 3v välein rekisterin läpi ja poistamme tarpeettomat tiedot. Määräaikaistarkastelun toteuttaa tietosuojavastaava ja se merkitään ”Lomake tietojen korjaaminen” -lomakkeeseen.
Henkilötietojen käsittelyn turvallisuus
Henkilörekisterillemme ei ole tarpeen tehdä erillistä riskiarviointia.
Pääsy tietokoneelle on vain yrittäjällä, salasanan takana. Tietokone on virus- ja palomuurisuojattu. Tietoliikenneyhteys on suojattu.
Tietoturvaloukkauksen havaitsemisen menettelyt
Yrittäjän tietokoneella ja kaikilla internet-yhteyksillä on suojaus. Automaattinen suojaus ilmoittaa tietoturvaloukkauksista. Kaikki tietoturvaloukkaukset tutkitaan ja tarvittaessa ilmoitetaan tietosuojavastaavalle (tietoliikenneinsinööri). Tietosuojavastaavan tutkiminen sisältää lokitietojen tarkkailun.
Henkilörekisterien tietoturva-auditointi on tehty järjestelmän käyttöönoton yhteydessä. Mahdollisten tietoturvaloukkauksien havaitsemisten jälkeen toteutetaan uusi tietosuoja-auditointi.
Henkilön rekisteröinti
Henkilötieto rekisteröidään järjestelmiimme, mikäli saamme henkilöltä suostumuksen tai suostumukselle on oikeutettu peruste.
Oikeutettu peruste on esimerkiksi tarve noudattaa rekisterinpitäjää koskevaa lakisääteistä velvoitetta tai tarve panna täytäntöön sopimus, jossa rekisteröity on osapuolena, tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä.
Suostumuksen edellytykset
- Mikäli tietojenkäsittely perustuu suostumukseen, rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen henkilötietojensa käsittelyyn.
Rekisteröidyn oikeudet
Rekisteröidyn pyynnöstä toteutamme asianmukaiset toimenpiteetkin toimittaakseen rekisteröidylle (EU-asetuksen 2016/679) 13 ja 14 artiklan mukaiset tiedot ja 15–22 artiklan ja 34 artiklan mukaiset käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. Tiedot toimitetaan kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin. Tunnistamiseen voidaan sisällyttää rekisteröidyn digitaalinen tunnistaminen esimerkiksi todentamismekanismin avulla, kuten käyttämällä samoja tunnisteita, joita rekisteröity käyttää kirjautuessaan rekisterinpitäjän tarjoamiin verkkopalveluihin.
Toimitamme rekisteröidylle tiedot toimenpiteistä, joihin on ryhdytty (EU-asetuksen 2016/679) 15–22 artiklan nojalla tehdyn pyynnön johdosta ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella ottaen huomioon pyyntöjen monimutkaisuus ja määrä.
EU-asetuksen 2016/679 13 ja 14 artiklan nojalla toimitetut tiedot ja kaikki 15–22 ja 34 artiklaan perustuvat tiedot ja toimenpiteet ovat maksuttomia. Jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti jos niitä esitetään toistuvasti, rekisterinpitäjä voi joko:
- periä kohtuullisen maksun ottaen huomioon tietojen tai viestien toimittamisesta tai pyydetyn toimenpiteen toteuttamisesta aiheutuvat hallinnolliset kustannukset; tai
- kieltäytyä suorittamasta pyydettyä toimea.
Rekisteröidyllä on oikeus vaatia, että rekisterinpitäjä oikaisee ilman aiheetonta viivytystä rekisteröityä koskevat epätarkat ja virheelliset henkilötiedot. Ottaen huomioon tarkoitukset, joihin tietoja käsiteltiin, rekisteröidyllä on oikeus saada puutteelliset henkilötiedot täydennettyä, muun muassa toimittamalla lisäselvitys tietosuojavastaavalle tai hänen ohjeistamalleen taholle. Tietosuojavastaavaa sitoo hänen tehtäviensä suorittamista koskeva salassapitovelvollisuus.
Rekisteröidyllä on myös oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat EU-asetuksen 2016/679 määrittämissä rajoissa artiklan 17 mukaisesti. Asetuksen artiklassa 18 määritetään rekisteröidyn mahdollisuudesta rajoittaa tietojensa käsittelyä; yrityksemme toteuttaa rajoitukset määräysten mukaisina.
Ilmoitamme (16 artiklan, 17 artiklan 1 kohdan ja 18 artiklan mukaisesti tehdyistä) henkilötietojen oikaisuista, poistoista tai käsittelyn rajoituksista jokaiselle vastaanottajalle, jolle henkilötietoja on luovutettu, ellei tämä osoittaudu mahdottomaksi tai vaatii kohtuutonta vaivaa.
Rekisteröidyllä on oikeus henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella vastustaa häntä koskevien henkilötietojen käsittelyä. Rekisteröidyllä on myös oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn, kuten profilointiin, ja jolla on häntä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi.
Vastuumme rekisterinpitäjänä
Ottaen huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit yrityksemme toteuttaa tarvittavat tekniset ja organisatoriset toimenpiteet, joilla varmistetaan ja osoitetaan, että käsittelyssä noudatetaan GDPR-asetusta. Näitä toimenpiteitä päivitetään tarvittaessa.
Tietosuojavastaava sekä kaikki henkilörekisteriä käsittelevät ovat saaneet tehtäväänsä riittävän koulutuksen.
Dokumentoimme kaikki henkilötietojen tietoturvaloukkaukset, mukaan lukien henkilötietojen tietoturvaloukkaukseen liittyvät seikat, sen vaikutukset ja toteutetut korjaavat toimet. Tietoturvaloukkauksista ilmoitetaan valvontaviranomaiselle.
Mikäli henkilötietorekisterin käsittely etenkin uutta teknologiaa käytettäessä todennäköisesti aiheuttaa – käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset huomioon ottaen – luonnollisen henkilön oikeuksien ja vapauksien kannalta korkean riskin, toteutamme vaikutustenarvioinnin suunniteltujen käsittelytoimien vaikutuksista henkilötietojen suojalle. Valvontaviranomaisen on laatinut ja julkaissut luettelon käsittelytoimien tyypeistä, joiden yhteydessä vaaditaan tietosuojaa koskeva vaikutustenarviointi.
Henkilörekisterin käyttöoikeuksien rajoittaminen
Henkilötietojen käsittelyäkin rajoittavia menetelmiä yrityksessämme ovat muun muassa valittujen tietojen siirtäminen toiseen käsittelyjärjestelmään, käyttäjien pääsyn estäminen valittuihin henkilötietoihin tai julkaistujen tietojen väliaikainen poistaminen verkkosivustolta. Automaattisissa rekistereissä käsittelyn rajoittaminen varmistetaan lähtökohtaisesti teknisin keinoin niin, että henkilötiedot eivät enää myöhemmin joudu käsittelytoimien kohteeksi eikä niitä enää voi muuttaa.
Tietoturvaloukkauksien havaitseminen
Tarkistamme säännönmukaisella menettelyllä, että kaikki asianmukaiset tekniset suojatoimenpiteet ja organisatoriset toimenpiteet toteutuvat. Täten voimme välittömästi selvittää, onko tapahtunut henkilötietojen tietoturvaloukkaus, ja saattaa asia viipymättä valvontaviranomaisen ja rekisteröidyn tiedoksi. Mahdollinen ilmoitus tehdään ilman aiheetonta viivytystä, ottaen huomioon erityisesti henkilötietojen tietoturvaloukkauksen luonne ja vakavuus sekä tästä rekisteröidylle aiheutuvat seuraukset ja haittavaikutukset.
Lokitiedot
Lokitietoja käytetään ainoastaan käsittelyn lainmukaisuuden tarkistamiseen, omaehtoiseen valvontaan, henkilötietojen eheyden ja turvallisuuden varmistamiseen sekä rikosoikeudellisiin menettelyihin.
Lähteet:
EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016.
Tietosuojavaltuutetun toimisto: http://www.tietosuoja.fi/fi/
Merkittävät liittyvät lomakkeet:
GDPR Riskienarviointi
GDPR Vaikutuksenarviointi
GDPR Tietoturvaloukkausten rekisteri
Ohje henkilörekisterin muokkaamiseen
Tietosuojaseloste
Rekisteriseloste
Auditointi
Ennakkoilmoitus tunnistamistietojen käsittelyn aloittamisesta
Ehtojen muutokset ja yhteystiedot
Tämä kuvaus on päivitetty viimeksi 22.5.2018. Varaamme oikeuden muuttaa tässä kuvattuja tietosuojakäytäntöjä ja päivittää näitä ehtoja sen mukaisesti. Mikäli käyttäjällä on kysymyksiä KuntoFarmi Oy:n palveluihin liittyen, pyydämme ottamaan yhteyttä kyseisen palvelun asiakaspalveluun. Mikäli yhteydenotto koskee nimenomaan KuntoFarmi Oy:n yksityisyyden suojaa ja/tai evästekäytäntöjä, pyydämme ystävällisesti lähettämään palautetta osoitteeseen: sampe81@gmail.com
KuntoFarmi Oy
Tietosuoja/ Laki
Puumalantie 210
69600 Kaustinen