GDPR-käytäntö

1. GDPR lyhyesti ja sitoumuksemme

Yleinen tietosuoja-asetus (GDPR) on kattava tietosuojalaki, joka säätelee Euroopan talousalueella (ETA) olevien henkilöiden henkilötietojen keräämistä, käsittelyä ja säilyttämistä.

Printedin on täysin sitoutunut GDPR:n noudattamiseen. Käsittelemme henkilötietoja lainmukaisesti, asianmukaisesti ja läpinäkyvästi. Keräämme tietoja vain määriteltyihin, nimenomaisiin ja laillisiin tarkoituksiin ja varmistamme, että ne ovat asianmukaisia, olennaisia ja rajoitettuja siihen, mikä on tarpeen.

2. Rekisterinpitäjän tiedot

GDPR:n mukaan Printedin toimii käyttäjiensä henkilötietojen rekisterinpitäjänä. Se tarkoittaa, että me määrittelemme henkilötietojen käsittelyn tarkoitukset ja keinot.

3. Käsittelyn oikeusperuste

GDPR:n 6 artiklan nojalla käsittelemme henkilötietoja seuraavilla oikeusperusteilla:

Kun käsittely perustuu suostumukseen, sinulla on oikeus peruuttaa suostumuksesi milloin tahansa. Peruuttaminen ei vaikuta ennen sitä tehdyn käsittelyn lainmukaisuuteen.

4. Henkilötietoryhmät

Käsittelemme seuraavia henkilötietoryhmiä:

5. Rekisteröidyn oikeudet

GDPR:n nojalla sinulla on seuraavat henkilötietojasi koskevat oikeudet. Vastaamme kaikkiin perusteltuihin pyyntöihin 30 päivän kuluessa (monimutkaisissa pyynnöissä määräaikaa voidaan jatkaa 60 päivällä):

5.1 Oikeus saada pääsy tietoihin (15 art.)

Sinulla on oikeus saada vahvistus siitä, käsittelemmekö henkilötietojasi, ja pyytää niistä jäljennös yleisesti käytetyssä sähköisessä muodossa.

5.2 Oikeus tietojen oikaisemiseen (16 art.)

Sinulla on oikeus pyytää virheellisten henkilötietojen oikaisemista tai puutteellisten tietojen täydentämistä. Useimmat tiedot voit päivittää itse profiiliasetuksistasi.

5.3 Oikeus tietojen poistamiseen (17 art.)

Sinulla on oikeus pyytää henkilötietojesi poistamista (”oikeus tulla unohdetuksi”) ottaen huomioon sovellettavat lakisääteiset velvoitteet (esimerkiksi verotiedot, jotka on säilytettävä).

5.4 Oikeus käsittelyn rajoittamiseen (18 art.)

Voit pyytää tietojesi käsittelyn rajoittamista, kun tarkistamme niiden paikkansapitävyyden, arvioimme oikeutettuja etujamme tai kun käsittely on lainvastaista mutta vastustat poistamista.

5.5 Oikeus siirtää tiedot järjestelmästä toiseen (20 art.)

Sinulla on oikeus saada henkilötietosi jäsennellyssä, yleisesti käytetyssä ja koneluettavassa muodossa (JSON tai CSV) ja siirtää ne toiselle rekisterinpitäjälle.

5.6 Vastustamisoikeus (21 art.)

Sinulla on oikeus vastustaa oikeutettuun etuun perustuvaa käsittelyä tai käsittelyä suoramarkkinointia varten. Lopetamme käsittelyn, ellemme voi osoittaa huomattavan tärkeää ja perusteltua syytä, joka syrjäyttää etusi.

5.7 Automatisoituun päätöksentekoon liittyvät oikeudet (22 art.)

Emme käytä automatisoitua päätöksentekoa tai profilointia, jolla on sinua koskevia oikeusvaikutuksia tai vastaavalla tavalla merkittäviä vaikutuksia.

6. Käsittelytoimet

Ylläpidämme selostetta käsittelytoimista (ROPA), kuten GDPR:n 30 artikla edellyttää. Keskeisiä käsittelytoimiamme ovat:

• Käyttäjän rekisteröityminen: Nimen, sähköpostiosoitteen ja salasanan käsittely tilin luomiseksi.
• Tuotteen suunnittelu: Ladattujen kuvien ja tekstien käsittely esikatselujen tuottamiseksi.
• Tilauksen toteutus: Osoite- ja maksutietojen käsittely painamista ja toimitusta varten.
• Asiakaspalvelu: Viestien ja tilitietojen käsittely kyselyiden ratkaisemiseksi.
• Markkinointi: Sähköpostiosoitteiden käsittely muistuttamaan kesken jääneestä suunnitelmasta (suostumukseen perustuen, ilmoitusasetuksistasi).
• Vastaukset kyselyihin: Kirjeenvaihtosi kanssamme ja siihen liittyvän työn tietojen lähettäminen tekoälypalvelun tarjoajalle, joka kirjoittaa vastausluonnoksen meidän tarkistettavaksi (sopimuksen täyttäminen ja oikeutettu etu).
• Analytiikka: Käyttötietojen käsittely palvelujemme parantamiseksi (suostumukseen perustuen).
• Mainonta: Sivukäyntien ja ostojen käsittely mainonnan mittaamiseksi ja kohderyhmien muodostamiseksi (suostumukseen perustuen).

6.1 Alikäsittelijät

Käytämme seuraavia alikäsittelijäryhmiä, kaikkia asianmukaisin tietojenkäsittelysopimuksin (DPA):

7. Kansainväliset tiedonsiirrot

Säilytämme ja käsittelemme henkilötietoja ensisijaisesti Euroopan talousalueella (ETA). Kun siirrot ETA:n ulkopuolelle ovat tarpeen, varmistamme riittävän suojan seuraavin keinoin:

• Riittävyyspäätökset: Siirrot maihin, joista EU on tehnyt riittävyyspäätöksen.
• Vakiosopimuslausekkeet (SCC): EU:n hyväksymät sopimusehdot, jotka varmistavat vastaavan tietosuojan tason.
• Täydentävät toimenpiteet: Tarvittaessa lisäksi teknisiä ja organisatorisia toimenpiteitä (salaus, pseudonymisointi).

8. Tietosuojan toteuttaminen

GDPR:n 32 artiklan mukaisesti toteutamme asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi:

8.1 Tekniset toimenpiteet

• TLS 1.2- tai 1.3 -salaus kaikelle selaimesi ja palvelimiemme väliselle tiedolle
• Palvelimen ulkopuoliset varmuuskopiot salataan AES-256:lla ennen kuin ne lähtevät palvelimelta
• Salasanat tallennetaan vain suolattuina PBKDF2-HMAC-SHA256-tiivisteinä (600 000 iteraatiota)
• automaattiset testit tietoturvatarkistuksineen ennen jokaista uutta versiota
• verkon segmentointi ja palomuurisuojaus
• kirjautumiset sekä tilien ja tilausten muutokset kirjataan auditointilokiin

8.2 Organisatoriset toimenpiteet

• henkilöstön tietosuojakoulutus ja tietoisuusohjelmat
• pääsynhallinta vähimpien oikeuksien periaatteella
• salassapitosopimukset kaikkien työntekijöiden ja alihankkijoiden kanssa
• tietosuojaa koskevat vaikutustenarvioinnit (DPIA) korkean riskin käsittelystä
• käsittelytoimien säännölliset katselmukset ja auditoinnit
• poikkeamien hallintamenettelyt ja eskalointikäytännöt

9. Tietoturvaloukkauksista ilmoittaminen

GDPR:n 33 ja 34 artiklan mukaisesti olemme laatineet menettelyt tietoturvaloukkausten varalle:

• Valvontaviranomaiset: Ilmoitamme toimivaltaiselle valvontaviranomaiselle 72 tunnin kuluessa siitä, kun olemme saaneet tiedon henkilötietojen tietoturvaloukkauksesta, joka todennäköisesti aiheuttaa riskin henkilöiden oikeuksille ja vapauksille. Britanniassa oleville rekisteröidyille tämä on Information Commissioner’s Office (ICO). Euroopan talousalueella oleville rekisteröidyille se on asianomaisen jäsenvaltion toimivaltainen viranomainen — meillä ei ole toimipaikkaa EU:ssa, joten ilmoitusta ei tehdä yhden johtavan viranomaisen kautta.
• Asianosaiset henkilöt: Ilmoitamme loukkauksesta rekisteröidyille ilman aiheetonta viivytystä, kun se todennäköisesti aiheuttaa korkean riskin heidän oikeuksilleen ja vapauksilleen.
• Dokumentointi: Kaikki tietoturvaloukkaukset kirjataan loukkausrekisteriimme vakavuudesta riippumatta, mukaan lukien tapahtumat, vaikutukset ja toteutetut korjaavat toimet.

10. Tietosuoja-asioiden yhteystiedot

Emme ole nimittäneet tietosuojavastaavaa, eikä GDPR sitä meiltä edellytä: 37 artiklan 1 kohta vaatii tietosuojavastaavan vain viranomaisilta ja niiltä rekisterinpitäjiltä, jotka seuraavat ihmisiä laajassa mitassa tai käsittelevät erityisiä tietoryhmiä laajassa mitassa. Tietosuoja kuuluu yrityksen johdolle, joka myös vastaa näihin pyyntöihin. Tavoitat meidät täältä:

11. Valvontaviranomainen ja valitukset

Jos katsot, että henkilötietojesi käsittely rikkoo tietosuojalainsäädäntöä, sinulla on oikeus tehdä valitus valvontaviranomaiselle (77 artikla). Mikä viranomainen on toimivaltainen, riippuu siitä, missä sinä olet — ei siitä, missä me olemme:

11.1 Jos olet Euroopan talousalueella

Voit tehdä valituksen sen jäsenvaltion valvontaviranomaiselle, jossa asut, jossa työskentelet tai jossa väitetty rikkominen tapahtui. Koska toimipaikkamme on Britanniassa eikä unionissa, mikään viranomainen ei toimi kohdallamme johtavana viranomaisena — oman maasi viranomainen on toimivaltainen. Suomessa se on tietosuojavaltuutetun toimisto. Euroopan tietosuojaneuvosto julkaisee kaikkien kansallisten viranomaisten ajantasaiset yhteystiedot:

11.2 Jos olet Britanniassa

Information Commissioner’s Office on Britannian valvontaviranomainen. Alla olevat tiedot ovat ICO:n omat — ne eivät ole meidän yhteystietomme; meidät tavoitat yllä olevista tietosuoja-asioiden yhteystiedoista.

Tämän oikeuden käyttäminen ei maksa sinulle mitään eikä edellytä, että otat ensin yhteyttä meihin — mutta korjaisimme ongelman mieluummin itse kuin näkisimme sinun joutuvan valittamaan. Jos kirjoitat osoitteeseen privacy@printedin.com, vastaamme 30 päivän kuluessa.