Tietojenkäsittelysopimus

Voimassa 15.9.2026 alkaen. LUONNOS — tarkistutettava juristilla ennen ensimmäistä sopimusta.

Tämä asiakirja on osa Tilatutka-palvelun sopimusta (yleiset sopimusehdot, kohta 1) ja täydentää sitä henkilötietojen käsittelyn osalta. Tästä asiakirjasta on aina vain yksi voimassa oleva versio. Muutokset on kirjattu lopun muutoshistoriaan, ja koko tekstin versiohistoria on Tilatutkan versionhallinnassa.

1. Tausta ja tarkoitus

Tilatutka Oy (Y-tunnus 3651333-4, jäljempänä Tilatutka) toimittaa asiakkaalle varmennettuja toimitilatarveliidejä Tilatutka-alustalla. Liidit sisältävät yritysten yhteyshenkilöiden henkilötietoja. Lisäksi asiakas tallentaa Alustalle omia merkintöjään ja Käyttäjiensä tietoja.

Näissä kahdessa tilanteessa osapuolten roolit ovat erilaiset:

• Osa A koskee liidien luovutusta. Tilatutka ja asiakas ovat kumpikin itsenäisiä rekisterinpitäjiä (yleinen tietosuoja-asetus (EU) 2016/679, jäljempänä tietosuoja-asetus, 4 artiklan 7 kohta). Osapuolet eivät ole yhteisrekisterinpitäjiä, koska kumpikin määrittelee itsenäisesti oman käsittelynsä tarkoitukset ja keinot.
• Osa B koskee asiakkaan Alustalle tallentamia tietoja. Niiden osalta asiakas on rekisterinpitäjä ja Tilatutka henkilötietojen käsittelijä (tietosuoja-asetuksen 28 artikla).

Käsitteet (Alusta, Liidi, Käyttäjä) on määritelty yleisissä sopimusehdoissa.

Osa A: Liidien luovutus itsenäisten rekisterinpitäjien välillä

A1. Luovutettavat tiedot

Tilatutka luovuttaa asiakkaalle liidin mukana seuraavat henkilötiedot:

Tiedot koskevat yhteyshenkilöitä työroolissa. Tilatutka ei luovuta erityisiin henkilötietoryhmiin kuuluvia tietoja eikä yksityiselämään liittyviä tietoja.

A2. Tilatutkan velvollisuudet

Tilatutka vastaa siitä, että

1. sillä on laillinen peruste tietojen keräämiseen ja luovuttamiseen: tilanhakijan lomakkeella antama suostumus tai tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdan mukainen oikeutettu etu, josta on tehty kirjallinen tasapainotesti,
2. rekisteröityä on informoitu tietosuoja-asetuksen 13 ja 14 artiklan mukaisesti viimeistään ensimmäisessä yhteydenotossa, ja informoinnissa on kerrottu, että tiedot luovutetaan toimitilatarpeeseen sopiville toimijoille,
3. rekisteröidyn kielto tarkistetaan ennen luovutusta (kieltolista), ja luovutuksen jälkeen saapuva kielto tai poistopyyntö välitetään asiakkaalle Alustan kautta ilman aiheetonta viivytystä,
4. rekisteröidyn Tilatutkalle esittämät tarkastus-, oikaisu- ja poistopyynnöt käsitellään Tilatutkan osalta kuukauden kuluessa, ja asiakasta koskeva osuus välitetään asiakkaalle.

A3. Asiakkaan velvollisuudet

Asiakas vastaa siitä, että

1. se käsittelee luovutettuja henkilötietoja vain yleisten sopimusehtojen kohdassa 6 sallittuun tarkoitukseen eli omaan yhteydenottoonsa liidin yrityksen toimitilatarpeen ratkaisemiseksi,
2. sillä on oma laillinen peruste käsittelylle (pääsääntöisesti oikeutettu etu: yritysasiakkaan hankinta työroolissa olevan yhteyshenkilön kautta) ja se on arvioinut sen,
3. se informoi rekisteröityä omasta käsittelystään tietosuoja-asetuksen 14 artiklan mukaisesti viimeistään ensimmäisessä yhteydenotossa ja kertoo tällöin, että tiedot on saatu Tilatutkalta,
4. se lopettaa yhteydenotot ja poistaa henkilön tiedot, kun Tilatutka ilmoittaa Alustalla rekisteröidyn kiellosta, ellei sillä ole omaa itsenäistä perustetta jatkaa (esimerkiksi rekisteröidyn kanssa alkanut asiakassuhde),
5. se ei luovuta tietoja edelleen eikä siirrä niitä EU:n tai ETA:n ulkopuolelle ilman tietosuoja-asetuksen V luvun mukaista perustetta,
6. se suojaa tiedot asianmukaisin teknisin ja organisatorisin toimenpitein ja poistaa tai anonymisoi ne, kun niitä ei enää tarvita tarkoitukseensa, kuitenkin viimeistään 24 kuukauden kuluttua luovutuksesta, ellei rekisteröidyn kanssa ole syntynyt asiakassuhdetta,
7. se noudattaa sähköisen viestinnän palveluista annetun lain (917/2014) 200 ja 202 §:ää suoramarkkinoinnissa: nimetylle henkilölle vain tämän työtehtäviin liittyen, ja kielto-oikeus mainitaan jokaisessa viestissä.

A4. Yhteistyö ja poikkeamat

Osapuolet avustavat toisiaan kohtuullisessa laajuudessa rekisteröityjen pyyntöjen ja valvontaviranomaisen tiedustelujen käsittelyssä. Jos osapuoli havaitsee luovutettuja tietoja koskevan henkilötietojen tietoturvaloukkauksen, se ilmoittaa siitä toiselle osapuolelle ilman aiheetonta viivytystä ja viimeistään 48 tunnin kuluessa havaitsemisesta, jos loukkaus voi koskea myös toisen osapuolen käsittelyä. Kumpikin osapuoli vastaa omista ilmoituksistaan tietosuojavaltuutetulle (tietosuoja-asetuksen 33 artikla) ja rekisteröidyille (34 artikla).

A5. Vastuu

Kumpikin osapuoli vastaa omasta käsittelystään ja siitä aiheutuvista vaatimuksista, hallinnollisista seuraamusmaksuista ja vahingoista. Jos vaatimus kohdistuu osapuoleen toisen osapuolen käsittelyn vuoksi, toinen osapuoli korvaa aiheutuneen vahingon yleisten sopimusehtojen vastuunrajoituksen puitteissa; rajoitus ei kuitenkaan koske A3 kohdan 1 ja 5 rikkomista.

Osa B: Tilatutka käsittelijänä asiakkaan lukuun

B1. Käsittelyn kohde

Tilatutka käsittelee asiakkaan lukuun seuraavia henkilötietoja (tarkempi kuvaus liitteessä 1):

• asiakkaan Käyttäjien nimet, työsähköpostit, työpuhelinnumerot, kirjautumistunnukset (salasanat vain tiivisteinä) ja kirjautumis- ja käyttölokit,
• asiakkaan Alustalle tallentamat merkinnät, muistiinpanot ja palautteet, jotka voivat sisältää liidin yhteyshenkilöä tai asiakkaan omaa henkilöstöä koskevia tietoja,
• asiakkaan yhteyshenkilön tiedot sopimusasiakirjassa (näiden osalta Tilatutka on kuitenkin itse rekisterinpitäjä sopimuksen hallinnoinnissa).

B2. Ohjeet

Tilatutka käsittelee tietoja vain asiakkaan dokumentoitujen ohjeiden mukaisesti. Ohjeet ovat tämä sopimus, yleiset sopimusehdot ja asiakkaan Alustalla tekemät valinnat. Jos Tilatutka katsoo ohjeen rikkovan tietosuojalainsäädäntöä, se ilmoittaa siitä asiakkaalle. Tilatutka voi poiketa ohjeista vain, jos unionin tai jäsenvaltion laki sitä edellyttää; tällöin Tilatutka ilmoittaa asiasta etukäteen, ellei laki kiellä ilmoittamista.

B3. Salassapito

Tilatutka varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon tai heitä koskee lakisääteinen salassapitovelvollisuus.

B4. Tietoturva

Tilatutka toteuttaa tietosuoja-asetuksen 32 artiklan mukaiset tekniset ja organisatoriset toimenpiteet, jotka on kuvattu liitteessä 2. Tilatutka voi päivittää toimenpiteitä, kunhan suojan taso ei heikkene.

B5. Alikäsittelijät

Asiakas antaa yleisen ennakkoluvan liitteessä 3 lueteltujen alikäsittelijöiden käyttöön. Tilatutka ilmoittaa asiakkaalle uusista alikäsittelijöistä tai niiden vaihtumisesta kirjallisesti vähintään 30 päivää ennen käyttöönottoa. Asiakas voi vastustaa muutosta perustellusta tietosuojasyystä; jos ratkaisua ei löydy, asiakkaalla on oikeus irtisanoa sopimus päättymään muutoksen voimaantulopäivänä. Tilatutka asettaa alikäsittelijöille kirjallisesti vastaavat velvoitteet kuin tässä sopimuksessa ja vastaa alikäsittelijöiden toiminnasta kuin omastaan.

B6. Avustaminen

Tilatutka avustaa asiakasta kohtuullisin toimin ja käsittelyn luonteen huomioon ottaen

• rekisteröityjen oikeuksia koskeviin pyyntöihin vastaamisessa (Alustan tiedot toimitetaan asiakkaalle 10 arkipäivän kuluessa pyynnöstä),
• 32–36 artiklan mukaisten velvoitteiden noudattamisessa (tietoturva, loukkausilmoitukset, vaikutustenarviointi, ennakkokuuleminen).

Jos avustaminen edellyttää olennaisesti tavanomaista suurempaa työtä, Tilatutka voi laskuttaa siitä kohtuullisen korvauksen sovittuaan asiasta ensin asiakkaan kanssa.

B7. Tietoturvaloukkaukset

Tilatutka ilmoittaa asiakkaalle asiakkaan lukuun käsiteltäviä tietoja koskevasta henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 24 tunnin kuluessa siitä, kun loukkaus on tullut Tilatutkan tietoon. Ilmoitus sisältää tietosuoja-asetuksen 33 artiklan 3 kohdan mukaiset tiedot siltä osin kuin ne ovat saatavilla, ja tietoja täydennetään sitä mukaa kuin selvitys etenee. Tilatutkan sisäinen menettely on kuvattu poikkeamien hallintaohjeessa (07_Sopimukset_ja_tietoturva/tietoturva/Poikkeamien_hallinta.md).

B8. Tietojen poistaminen ja palauttaminen

Sopimuksen päättyessä Tilatutka toimittaa asiakkaan pyynnöstä asiakkaan Alustalle tallentamat tiedot yleisessä koneluettavassa muodossa (CSV) ja poistaa ne 30 päivän kuluttua sopimuksen päättymisestä, ellei laki edellytä säilyttämistä. Varmuuskopioista tiedot poistuvat varmuuskopiokierron mukaisesti viimeistään 30 päivän kuluessa poistosta.

B9. Osoitusvelvollisuus ja tarkastukset

Tilatutka antaa asiakkaalle pyynnöstä tiedot, jotka ovat tarpeen 28 artiklan velvoitteiden noudattamisen osoittamiseksi: kuvauksen hallintakeinoista, alikäsittelijäluettelon ja poikkeamalokin yhteenvedon. Asiakas voi kerran vuodessa tai perustellusta syystä (esimerkiksi tietoturvaloukkauksen jälkeen) tehdä tai teettää tarkastuksen kohtuullisella, vähintään 30 päivän ilmoitusajalla, työaikana ja siten, ettei muiden asiakkaiden tietoja paljasteta. Tarkastuksen kustannuksista vastaa asiakas, ellei tarkastus paljasta olennaista puutetta.

B10. Siirrot EU:n ja ETA:n ulkopuolelle

Tilatutka käsittelee asiakkaan tietoja EU:n ja ETA:n alueella. Jos alikäsittelijän toiminta edellyttää siirtoa kolmanteen maahan (esimerkiksi tukipalvelut), siirto perustuu Euroopan komission päätökseen riittävästä tietosuojan tasosta, vakiolausekkeisiin tai EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen, ja siirto on merkitty liitteeseen 3.

B11. Voimassaolo

Tämä tietojenkäsittelysopimus on voimassa niin kauan kuin Tilatutka käsittelee henkilötietoja asiakkaan lukuun, ja B8 kohdan velvoitteet sen jälkeenkin.

Liite 1: Käsittelyn kuvaus (Osa B)

Liite 2: Tekniset ja organisatoriset toimenpiteet

Toimenpiteet on kuvattu asiakirjassa 07_Sopimukset_ja_tietoturva/tietoturva/Tekniset_ja_organisatoriset_toimenpiteet.md, jonka ajantasainen versio toimitetaan asiakkaalle sopimuksen liitteenä. Tiivistelmä:

• pääsynhallinta henkilökohtaisin tunnuksin, salasanat tiivisteinä, asiakkaan Käyttäjät näkevät vain oman sopimuksensa mukaiset tiedot,
• tietoliikenne salattu (HTTPS), tietokanta ja varmuuskopiot EU:n alueella, salattu levy,
• päivittäinen varmuuskopio ja palautuksen testaus,
• tapahtumaloki käyttäjä- ja aikaleimatietoineen, kirjautumislokit,
• poikkeamien hallinta ja ilmoitusmenettely, riskirekisteri, vuosittainen katselmointi,
• hallintakeinot on jäsennetty ISO/IEC 27001:2022 -standardin liitteen A mukaisesti. Tilatutkalla ei ole ISO 27001 -sertifikaattia, eikä se kuulu kyberturvallisuuslain (124/2025) soveltamisalaan; standardia käytetään dokumentaation ja kehittämisen viitekehyksenä.

Liite 3: Alikäsittelijät

Ajantasainen luettelo: 07_Sopimukset_ja_tietoturva/ehdot/Alihankkijat.md. Luettelo 14.9.2026:

Alustan tietoja ei käsitellä Googlen palveluissa.

Muutoshistoria

• 15.9.2026 Luovutettavien tietojen taulukko (A1) yhdeksi sarakkeeksi: toimitustasot poistettiin, joten

asiakas saa liidin mukana aina myös suorat työyhteystiedot ja kartoitusmuistiinpanot.

• 14.9.2026 Ensimmäinen luonnos: osa A itsenäisten rekisterinpitäjien välinen luovutus, osa B Tilatutka

käsittelijänä, liitteet 2 (tekniset ja organisatoriset toimenpiteet) ja 3 (alihankkijat).