GDPR-käytäntö

1. GDPR lyhyesti ja sitoumuksemme

Yleinen tietosuoja-asetus (GDPR) on kattava tietosuojalaki, joka säätelee Euroopan talousalueella (ETA) olevien henkilöiden henkilötietojen keräämistä, käsittelyä ja säilyttämistä.

PrintedIn on täysin sitoutunut GDPR:n noudattamiseen. Käsittelemme henkilötietoja lainmukaisesti, asianmukaisesti ja läpinäkyvästi. Keräämme tietoja vain määriteltyihin, nimenomaisiin ja laillisiin tarkoituksiin ja varmistamme, että ne ovat asianmukaisia, olennaisia ja rajoitettuja siihen, mikä on tarpeen.

2. Rekisterinpitäjän tiedot

GDPR:n mukaan PrintedIn toimii käyttäjiensä henkilötietojen rekisterinpitäjänä. Se tarkoittaa, että me määrittelemme henkilötietojen käsittelyn tarkoitukset ja keinot.

3. Käsittelyn oikeusperuste

GDPR:n 6 artiklan nojalla käsittelemme henkilötietoja seuraavilla oikeusperusteilla:

Kun käsittely perustuu suostumukseen, sinulla on oikeus peruuttaa suostumuksesi milloin tahansa. Peruuttaminen ei vaikuta ennen sitä tehdyn käsittelyn lainmukaisuuteen.

4. Henkilötietoryhmät

Käsittelemme seuraavia henkilötietoryhmiä:

5. Rekisteröidyn oikeudet

GDPR:n nojalla sinulla on seuraavat henkilötietojasi koskevat oikeudet. Vastaamme kaikkiin perusteltuihin pyyntöihin 30 päivän kuluessa (monimutkaisissa pyynnöissä määräaikaa voidaan jatkaa 60 päivällä):

5.1 Oikeus saada pääsy tietoihin (15 art.)

Sinulla on oikeus saada vahvistus siitä, käsittelemmekö henkilötietojasi, ja pyytää niistä jäljennös yleisesti käytetyssä sähköisessä muodossa.

5.2 Oikeus tietojen oikaisemiseen (16 art.)

Sinulla on oikeus pyytää virheellisten henkilötietojen oikaisemista tai puutteellisten tietojen täydentämistä. Useimmat tiedot voit päivittää itse profiiliasetuksistasi.

5.3 Oikeus tietojen poistamiseen (17 art.)

Sinulla on oikeus pyytää henkilötietojesi poistamista (”oikeus tulla unohdetuksi”) ottaen huomioon sovellettavat lakisääteiset velvoitteet (esimerkiksi verotiedot, jotka on säilytettävä).

5.4 Oikeus käsittelyn rajoittamiseen (18 art.)

Voit pyytää tietojesi käsittelyn rajoittamista, kun tarkistamme niiden paikkansapitävyyden, arvioimme oikeutettuja etujamme tai kun käsittely on lainvastaista mutta vastustat poistamista.

5.5 Oikeus siirtää tiedot järjestelmästä toiseen (20 art.)

Sinulla on oikeus saada henkilötietosi jäsennellyssä, yleisesti käytetyssä ja koneluettavassa muodossa (JSON tai CSV) ja siirtää ne toiselle rekisterinpitäjälle.

5.6 Vastustamisoikeus (21 art.)

Sinulla on oikeus vastustaa oikeutettuun etuun perustuvaa käsittelyä tai käsittelyä suoramarkkinointia varten. Lopetamme käsittelyn, ellemme voi osoittaa huomattavan tärkeää ja perusteltua syytä, joka syrjäyttää etusi.

5.7 Automatisoituun päätöksentekoon liittyvät oikeudet (22 art.)

Emme käytä automatisoitua päätöksentekoa tai profilointia, jolla on sinua koskevia oikeusvaikutuksia tai vastaavalla tavalla merkittäviä vaikutuksia.

6. Käsittelytoimet

Ylläpidämme selostetta käsittelytoimista (ROPA), kuten GDPR:n 30 artikla edellyttää. Keskeisiä käsittelytoimiamme ovat:

• Käyttäjän rekisteröityminen: Nimen, sähköpostiosoitteen ja salasanan käsittely tilin luomiseksi.
• Tuotteen suunnittelu: Ladattujen kuvien ja tekstien käsittely esikatselujen tuottamiseksi.
• Tilauksen toteutus: Osoite- ja maksutietojen käsittely painamista ja toimitusta varten.
• Asiakaspalvelu: Viestien ja tilitietojen käsittely kyselyiden ratkaisemiseksi.
• Markkinointi: Sähköpostiosoitteiden käsittely uutiskirjeen lähettämistä varten (suostumukseen perustuen).
• Analytiikka: Käyttötietojen käsittely palvelujemme parantamiseksi (suostumukseen perustuen).
• Mainonta: Sivukäyntien ja ostojen käsittely mainonnan mittaamiseksi ja kohderyhmien muodostamiseksi (suostumukseen perustuen).

6.1 Alikäsittelijät

Käytämme seuraavia alikäsittelijäryhmiä, kaikkia asianmukaisin tietojenkäsittelysopimuksin (DPA):

7. Kansainväliset tiedonsiirrot

Säilytämme ja käsittelemme henkilötietoja ensisijaisesti Euroopan talousalueella (ETA). Kun siirrot ETA:n ulkopuolelle ovat tarpeen, varmistamme riittävän suojan seuraavin keinoin:

• Riittävyyspäätökset: Siirrot maihin, joista EU on tehnyt riittävyyspäätöksen.
• Vakiosopimuslausekkeet (SCC): EU:n hyväksymät sopimusehdot, jotka varmistavat vastaavan tietosuojan tason.
• Täydentävät toimenpiteet: Tarvittaessa lisäksi teknisiä ja organisatorisia toimenpiteitä (salaus, pseudonymisointi).

8. Tietosuojan toteuttaminen

GDPR:n 32 artiklan mukaisesti toteutamme asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi:

8.1 Tekniset toimenpiteet

• TLS 1.3 -salaus päästä päähän kaikelle siirrettävälle tiedolle
• AES-256-salaus tallennetuille henkilötiedoille
• Bcrypt-salasanatiivisteet mukautuvalla kustannuskertoimella
• säännöllinen automatisoitu tietoturvaskannaus ja -testaus
• verkon segmentointi ja palomuurisuojaus
• tietokannan käytön lokitus ja valvonta

8.2 Organisatoriset toimenpiteet

• henkilöstön tietosuojakoulutus ja tietoisuusohjelmat
• pääsynhallinta vähimpien oikeuksien periaatteella
• salassapitosopimukset kaikkien työntekijöiden ja alihankkijoiden kanssa
• tietosuojaa koskevat vaikutustenarvioinnit (DPIA) korkean riskin käsittelystä
• käsittelytoimien säännölliset katselmukset ja auditoinnit
• poikkeamien hallintamenettelyt ja eskalointikäytännöt

9. Tietoturvaloukkauksista ilmoittaminen

GDPR:n 33 ja 34 artiklan mukaisesti olemme laatineet menettelyt tietoturvaloukkausten varalle:

• Valvontaviranomaiset: Ilmoitamme toimivaltaiselle valvontaviranomaiselle 72 tunnin kuluessa siitä, kun olemme saaneet tiedon henkilötietojen tietoturvaloukkauksesta, joka todennäköisesti aiheuttaa riskin henkilöiden oikeuksille ja vapauksille. Britanniassa oleville rekisteröidyille tämä on Information Commissioner’s Office (ICO). Euroopan talousalueella oleville rekisteröidyille se on asianomaisen jäsenvaltion toimivaltainen viranomainen — meillä ei ole toimipaikkaa EU:ssa, joten ilmoitusta ei tehdä yhden johtavan viranomaisen kautta.
• Asianosaiset henkilöt: Ilmoitamme loukkauksesta rekisteröidyille ilman aiheetonta viivytystä, kun se todennäköisesti aiheuttaa korkean riskin heidän oikeuksilleen ja vapauksilleen.
• Dokumentointi: Kaikki tietoturvaloukkaukset kirjataan loukkausrekisteriimme vakavuudesta riippumatta, mukaan lukien tapahtumat, vaikutukset ja toteutetut korjaavat toimet.

10. Tietosuojavastaava

Olemme nimittäneet tietosuojavastaavan (DPO), joka valvoo GDPR:n noudattamista organisaatiossamme. Voit ottaa häneen yhteyttä kaikissa tietosuojaa koskevissa kysymyksissä:

11. Valvontaviranomainen ja valitukset

Jos katsot, että henkilötietojesi käsittely rikkoo tietosuojalainsäädäntöä, sinulla on oikeus tehdä valitus valvontaviranomaiselle (77 artikla). Mikä viranomainen on toimivaltainen, riippuu siitä, missä sinä olet — ei siitä, missä me olemme:

11.1 Jos olet Euroopan talousalueella

Voit tehdä valituksen sen jäsenvaltion valvontaviranomaiselle, jossa asut, jossa työskentelet tai jossa väitetty rikkominen tapahtui. Koska toimipaikkamme on Britanniassa eikä unionissa, mikään viranomainen ei toimi kohdallamme johtavana viranomaisena — oman maasi viranomainen on toimivaltainen. Suomessa se on tietosuojavaltuutetun toimisto. Euroopan tietosuojaneuvosto julkaisee kaikkien kansallisten viranomaisten ajantasaiset yhteystiedot:

11.2 Jos olet Britanniassa

Information Commissioner’s Office on Britannian valvontaviranomainen. Alla olevat tiedot ovat ICO:n omat — ne eivät ole meidän yhteystietomme; meidät tavoitat yllä olevasta tietosuojavastaavan kohdasta.

Tämän oikeuden käyttäminen ei maksa sinulle mitään eikä edellytä, että otat ensin yhteyttä meihin — mutta korjaisimme ongelman mieluummin itse kuin näkisimme sinun joutuvan valittamaan. Jos kirjoitat osoitteeseen privacy@printedin.com, vastaamme 30 päivän kuluessa.