Tietojenkäsittelysopimus

1.Tarkoitus ja sopimuksen soveltaminen

1.1  Asiakas käyttää Quiz Maker -palvelun verkossa toimivia tietovisa-, kysely-, arviointi- ja kurssipalveluita (”Palvelut”) Quiz Maker -palvelun käyttöehtojen (”Käyttöehdot”) mukaisesti. Kun ihmiset avaavat Asiakkaan tietovisoja tai vastaavat niihin, Quiz Maker käsittelee heidän henkilötietojaan Asiakkaan puolesta.

1.2  Tässä tietojenkäsittelysopimuksessa (”DPA”) määritellään kyseisen käsittelyn ehdot GDPR:n (EU:n yleinen tietosuoja-asetus) 28 artiklan edellyttämällä tavalla, ja se antaa lainmukaisen perusteen kyseisten henkilötietojen siirtämiselle Euroopan talousalueen ulkopuolelle.

1.3  Tämä DPA on tehty My Plaza Pty Ltd:n (ABN 58 110 054 245), joka toimii aputoiminimellä Quiz Maker (”Quiz Maker”), ja Quiz Maker -tilin haltijan (”Asiakas”) välillä. Se on osa Käyttöehtoja, ja sitä sovelletaan automaattisesti ilman allekirjoitusta aina, kun Quiz Maker käsittelee Asiakkaan henkilötietoja, joihin sovelletaan tietosuojalainsäädäntöä. Asiakas hyväksyy sen hyväksymällä Käyttöehdot.

1.4  Asiakas, joka tarvitsee allekirjoitetun kappaleen, voi pyytää sitä Quiz Maker -palvelun yhteydenottolomakkeella. Allekirjoitettu kappale sisältää samat ehdot kuin tämä DPA.

1.5  Ristiriitatilanteessa sovelletaan seuraavaa järjestystä: ensin vakiosopimuslausekkeet (kun niitä sovelletaan), sitten tämä DPA ja sitten Käyttöehdot. Kaikilta muilta osin Käyttöehtoja sovelletaan edelleen.

2.Määritelmät

Tässä DPA:ssa käytetyillä mutta tässä määrittelemättömillä termeillä (kuten rekisterinpitäjä, henkilötietojen käsittelijä, rekisteröity, henkilötiedot, käsittely ja valvontaviranomainen) on GDPR:ssä annettu merkitys. Lisäksi:

3.Roolit ja soveltamisala

3.1  Asiakas on Asiakkaan henkilötietojen rekisterinpitäjä, ja Quiz Maker on sen henkilötietojen käsittelijä.

3.2  Quiz Maker on Asiakkaan omien tili-, kirjautumis- ja laskutustietojen rekisterinpitäjä ja käsittelee niitä tietosuojaselosteensa mukaisesti. Nämä tiedot eivät ole Asiakkaan henkilötietoja, eikä tätä DPA:ta sovelleta niihin.

3.3  Asiakas vastaa siitä, että sillä on käsittelyperuste Asiakkaan henkilötietojen keräämiselle tietovisojensa kautta, rekisteröidyille antamistaan ilmoituksista ja heiltä hankkimistaan suostumuksista (mukaan lukien suostumukset, joita edellytetään evästeille tai vastaaville tekniikoille sen tietovisoissa ja verkkosivustoilla, joille se upottaa ne), sekä siitä, ettei se kerää henkilötietojen erityisiä ryhmiä tai muita Käyttöehdoissa kiellettyjä tietoja, ellei Quiz Maker ole kirjallisesti suostunut siihen.

4.Käsittely Asiakkaan ohjeiden mukaisesti

4.1  Quiz Maker käsittelee Asiakkaan henkilötietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden mukaisesti, myös siirroissa kolmanteen maahan. Asiakkaan ohjeita ovat tämä DPA, Käyttöehdot sekä se, miten Asiakas käyttää ja määrittää Palveluita (esimerkiksi julkaisee tietovisan, valitsee, mitä siinä kysytään, ottaa käyttöön tulossähköpostit tai tekoälyominaisuudet sekä vie tai poistaa vastauskertoja).

4.2  Quiz Maker saa käsitellä Asiakkaan henkilötietoja muutoin ainoastaan, jos siihen sovellettava unionin oikeus tai jäsenvaltion lainsäädäntö sitä edellyttää. Tällöin Quiz Maker ilmoittaa Asiakkaalle tästä oikeudellisesta vaatimuksesta ennen käsittelyä, paitsi jos laki kieltää ilmoittamisen tärkeää yleistä etua koskevien syiden vuoksi.

4.3  Quiz Maker ilmoittaa Asiakkaalle viipymättä, jos ohje on sen näkemyksen mukaan tietosuojalainsäädännön vastainen.

4.4  Quiz Maker ei myy Asiakkaan henkilötietoja, käytä niitä mainontaan tai tekoälymallien kouluttamiseen eikä muuten käytä niitä omiin tarkoituksiinsa, lukuun ottamatta Käyttöehdoissa kuvattujen koottujen tilastojen laatimista, joista Asiakasta tai rekisteröityä ei voi tunnistaa.

5.Luottamuksellisuus

5.1  Quiz Maker varmistaa, että jokaista, jonka se valtuuttaa käsittelemään Asiakkaan henkilötietoja, sitoo asianmukainen salassapitovelvollisuus ja että pääsy tietoihin on rajattu henkilöstöön, joka tarvitsee sitä Palveluiden tarjoamiseen, suojaamiseen ja tukemiseen.

6.Tietoturva

6.1  Quiz Maker toteuttaa ja ylläpitää liitteessä II kuvattuja teknisiä ja organisatorisia toimenpiteitä Asiakkaan henkilötietojen suojaamiseksi GDPR:n 32 artiklan edellyttämällä tavalla.

6.2  Quiz Maker saa päivittää näitä toimenpiteitä teknologian ja uhkien muuttuessa edellyttäen, ettei suojan kokonaistaso olennaisesti heikkene.

7.Alikäsittelijät

7.1  Asiakas antaa Quiz Maker -yhtiölle yleisen kirjallisen ennakkoluvan käyttää alikäsittelijöitä. Liitteessä III luetellut alikäsittelijät on hyväksytty.

7.2  Quiz Maker julkaisee ajantasaisen alikäsittelijäluettelon tämän DPA:n liitteenä III osoitteessa quiz-maker.com/Data-Processing-Agreement ja päivittää sen vähintään 30 päivää ennen kuin se lisää tai vaihtaa alikäsittelijän. Quiz Maker lähettää ilmoituksen myös sähköpostitse jokaiselle Asiakkaalle, joka on pyytänyt sitä yhteydenottolomakkeella.

7.3  Asiakas voi vastustaa uutta alikäsittelijää perustelluin tietosuojaan liittyvin syin kyseisten 30 päivän kuluessa, ja osapuolet neuvottelevat vastustuksesta hyvässä uskossa. Jos asiaa ei saada ratkaistua, Asiakas voi irtisanoa asianomaiset Palvelut, ja Quiz Maker hyvittää ennakkoon maksetut maksut käyttämättömältä kaudelta.

7.4  Quiz Maker käyttää jokaista alikäsittelijää kirjallisen sopimuksen perusteella, joka asettaa alikäsittelijälle vähintään yhtä suojaavat tietosuojavelvoitteet kuin tässä DPA:ssa, ja vastaa Asiakkaalle täysimääräisesti kunkin alikäsittelijän velvoitteiden täyttämisestä.

8.Rekisteröityjen pyynnöt

8.1  Jos Quiz Maker saa rekisteröidyltä Asiakkaan henkilötietoja koskevan pyynnön, se välittää pyynnön Asiakkaalle ilman aiheetonta viivytystä eikä vastaa siihen muuten kuin ohjaamalla rekisteröidyn Asiakkaan puoleen, ellei Asiakas valtuuta toisin.

8.2  Palveluiden avulla Asiakas voi itse tarkastella, viedä, oikaista ja poistaa Asiakkaan henkilötietoja. Jos Asiakas ei pysty tekemään tätä Palveluiden kautta, Quiz Maker antaa kohtuullista apua käsittelyn luonne huomioon ottaen, jotta Asiakas voi vastata pyyntöihin, jotka koskevat rekisteröidyn oikeuksien käyttämistä.

9.Henkilötietojen tietoturvaloukkaukset

9.1  Quiz Maker ilmoittaa Asiakkaalle ilman aiheetonta viivytystä saatuaan tiedon henkilötietojen tietoturvaloukkauksesta ja mahdollisuuksien mukaan 48 tunnin kuluessa.

9.2  Ilmoituksessa kuvataan siinä vaiheessa tiedossa olevilta osin loukkauksen luonne, asianomaisten rekisteröityjen ja tietueiden ryhmät ja arvioitu lukumäärä, loukkauksen todennäköiset seuraukset sekä toteutetut tai ehdotetut toimenpiteet. Jos kaikkia näitä tietoja ei ole saatavilla kerralla, Quiz Maker toimittaa ne vaiheittain sitä mukaa kuin niitä saadaan.

9.3  Quiz Maker toteuttaa kohtuulliset toimenpiteet loukkauksen rajaamiseksi ja korjaamiseksi ja antaa Asiakkaalle tiedot, joita tämä kohtuudella tarvitsee täyttääkseen omat velvollisuutensa ilmoittaa valvontaviranomaisille ja rekisteröidyille. Loukkauksesta ilmoittaminen ei merkitse syyllisyyden tai vastuun myöntämistä.

10.Apu velvoitteiden noudattamisessa

10.1  Ottaen huomioon käsittelyn luonteen ja käytettävissään olevat tiedot Quiz Maker avustaa Asiakasta kohtuullisesti sen GDPR:n 32–36 artiklan mukaisten velvoitteiden täyttämisessä, mukaan lukien tietosuojaa koskevat vaikutustenarvioinnit ja ennakkokuuleminen valvontaviranomaisen kanssa.

11.Tietojen poistaminen ja palauttaminen

11.1  Niin kauan kuin Asiakas käyttää Palveluita, se voi viedä tai poistaa Asiakkaan henkilötietoja milloin tahansa.

11.2  Kun Palvelut päättyvät, Asiakkaalla on vähintään 30 päivää aikaa viedä tietonsa. Tämän ajan jälkeen Quiz Maker poistaa Asiakkaan henkilötiedot, ellei unionin oikeus tai jäsenvaltion lainsäädäntö edellytä niiden säilyttämistä.

11.3  Salatuissa varmuuskopioissa olevat kopiot korvautuvat tavanomaisessa varmuuskopiokierrossa, ja niitä suojataan tämän DPA:n mukaisesti siihen asti. Quiz Maker vahvistaa pyynnöstä kirjallisesti, että poisto on tehty.

12.Tiedot ja auditoinnit

12.1  Quiz Maker antaa Asiakkaan saataville tiedot, jotka ovat tarpeen GDPR:n 28 artiklan noudattamisen osoittamiseksi, mukaan lukien kirjalliset tiedot tietoturvatoimenpiteistään ja vastaukset kohtuullisiin tietoturvakyselyihin.

12.2  Auditoinnit toteutetaan niin, että Quiz Maker toimittaa nämä tiedot ja vastaa Asiakkaan niitä koskeviin kohtuullisiin kirjallisiin lisäkysymyksiin.

12.3  Quiz Maker -yhtiön tiloihin tai järjestelmiin kohdistuva tarkastus voidaan tehdä vain, jos toimivaltainen valvontaviranomainen sitä edellyttää, tai Asiakkaan henkilötietoihin vaikuttaneen henkilötietojen tietoturvaloukkauksen jälkeen. Tarkastuksen tekee riippumaton, salassapitovelvollinen tarkastaja, joka ei ole Quiz Maker -yhtiön kilpailija, vähintään 30 päivän kirjallisella ennakkoilmoituksella (tai viranomaisen edellyttämällä lyhyemmällä ilmoitusajalla), tavanomaisena työaikana, Asiakkaan kustannuksella, ja se rajoittuu Asiakkaan henkilötietojen käsittelyyn. Se ei sisällä pääsyä muiden asiakkaiden tietoihin tai tietoihin, jotka vaarantaisivat Palveluiden tietoturvan.

12.4  Tässä kohdassa määritellään, miten Asiakas käyttää vakiosopimuslausekkeiden lausekkeen 8.9 mukaisia oikeuksiaan, eikä se rajoita minkään valvontaviranomaisen valtuuksia.

13.Siirrot kolmansiin maihin

13.1  Asiakas on tietoinen siitä, että Quiz Maker on sijoittautunut Australiaan, että Asiakkaan henkilötietoja säilytetään palvelimilla Yhdysvalloissa, että ne kulkevat Cloudflaren maailmanlaajuisen verkon kautta ja että liitteessä III mainitut alikäsittelijät käsittelevät niitä siinä luetelluissa sijainneissa.

13.2  Siltä osin kuin Asiakkaan henkilötietojen siirto Asiakkaalta Quiz Maker -yhtiölle on GDPR:n V luvun mukainen siirto kolmanteen maahan, vakiosopimuslausekkeet sisällytetään tähän DPA:han viittauksella siten, että Asiakas on tietojen siirtäjä ja Quiz Maker tietojen vastaanottaja, ja seuraavin valinnoin:

1. Lauseketta 7 (liittymislauseke) sovelletaan.
2. Lauseke 9 a: sovelletaan vaihtoehtoa 2 (yleinen kirjallinen ennakkolupa), määräaika on 30 päivää, ja ilmoitus annetaan tämän DPA:n kohdassa 7.2 kuvatulla tavalla.
3. Lauseke 11 a: valinnaista sanamuotoa ei sovelleta.
4. Lauseke 13: toimivaltainen valvontaviranomainen on liitteen I osassa C määritelty viranomainen.
5. Lauseke 17: sovelletaan vaihtoehtoa 1, ja sovellettava laki on Irlannin laki.
6. Lauseke 18 b: riidat ratkaistaan Irlannin tuomioistuimissa.
7. Vakiosopimuslausekkeiden liitteet I, II ja III täydennetään tämän DPA:n liitteillä I, II ja III.

13.3  Kun Quiz Maker siirtää Asiakkaan henkilötietoja kolmannessa maassa olevalle alikäsittelijälle, se varmistaa, että siirtoon sovelletaan GDPR:n V luvun mukaisia asianmukaisia suojatoimia, kuten vakiosopimuslausekkeita tai tietosuojan riittävyyttä koskevaa päätöstä (mukaan lukien EU:n ja Yhdysvaltojen välinen tietosuojakehys, EU-U.S. Data Privacy Framework, jos alikäsittelijä on sertifioitu sen mukaisesti).

13.4  Quiz Maker antaa kohtuulliset tiedot, joiden avulla Asiakas voi arvioida siirron vakiosopimuslausekkeiden lausekkeen 14 mukaisesti, ja käsittelee viranomaisten Asiakkaan henkilötietoja koskevat pyynnöt vakiosopimuslausekkeiden lausekkeen 15 mukaisesti.

13.5  Kun sovelletaan UK GDPR:ää, sovelletaan Yhdistyneen kuningaskunnan tietosuojavaltuutetun (UK Information Commissioner) antamaa EU:n komission vakiosopimuslausekkeiden kansainvälisiä tietojensiirtoja koskevaa lisäystä (International Data Transfer Addendum, versio B1.0), jonka taulukot 1–3 täydennetään tämän DPA:n ja sen liitteiden tiedoilla, ja kumpikin osapuoli voi päättää sen taulukon 4 sallimalla tavalla. Kun sovelletaan Swiss Federal Act on Data Protection -lakia (Sveitsin liittovaltion tietosuojalaki), vakiosopimuslausekkeita sovelletaan siten, että toimivaltainen valvontaviranomainen on Sveitsin liittovaltion tietosuoja- ja tiedonsaantivaltuutettu, ja viittauksia GDPR:ään pidetään viittauksina kyseiseen lakiin.

14.Vastuu

14.1  Kummankin osapuolen kokonaisvastuuseen toiselle osapuolelle tästä DPA:sta ja vakiosopimuslausekkeista johtuen tai niihin liittyen, yhdessä kaikkien Käyttöehtojen mukaisten vaatimusten kanssa, sovelletaan Käyttöehtojen vastuunrajoituksia ja -poissulkemisia, mukaan lukien välillisten vahinkojen ja seurannaisvahinkojen poissulkeminen ja vastuun kokonaisenimmäismäärä, siltä osin kuin laki sallii.

14.2  Mikään tässä DPA:ssa ei rajoita kummankaan osapuolen vakiosopimuslausekkeiden mukaista vastuuta rekisteröidyille eikä vastuuta, jota ei voida lain mukaan rajoittaa tai sulkea pois.

15.Voimassaolo, muutokset ja yleistä

15.1  Tämä DPA tulee voimaan 25. elokuuta 2026 tai, jos se on myöhemmin, silloin kun Asiakas hyväksyy Käyttöehdot, ja se on voimassa niin kauan kuin Quiz Maker käsittelee Asiakkaan henkilötietoja. Kohdat, joiden on luonteensa vuoksi tarkoitus jäädä voimaan sopimuksen päättymisen jälkeen, jäävät voimaan.

15.2  Tähän DPA:han sovelletaan samaa lakia kuin Käyttöehtoihin, paitsi että vakiosopimuslausekkeisiin sovelletaan kohdassa 13.2 valittua lakia. Mikään tässä DPA:ssa ei vähennä rekisteröityjen vakiosopimuslausekkeiden mukaisia oikeuksia.

15.3  Quiz Maker saa päivittää tätä DPA:ta samalla tavalla kuin Käyttöehdot sallivat sen päivittää Käyttöehtoja. Päivitys ei olennaisesti heikennä suojaa, jonka tämä DPA antaa Asiakkaan henkilötiedoille, ellei tietosuojalainsäädännön muutos tai Euroopan komission hyväksymät uudet vakiosopimuslausekkeet sitä edellytä.

15.4  Jos jokin tämän DPA:n määräys on pätemätön tai täytäntöönpanokelvoton, muu osa jää voimaan.

15.5  Jos osapuolet allekirjoittavat tämän DPA:n kappaleen, se voidaan allekirjoittaa sähköisesti ja useina kappaleina, joista kukin on alkuperäiskappale.

Liite I: Käsittelyn kuvaus

A. Luettelo osapuolista

B. Siirron kuvaus

C. Toimivaltainen valvontaviranomainen

Jos Asiakas on sijoittautunut Euroopan unioniin, sen jäsenvaltion valvontaviranomainen, johon Asiakas on sijoittautunut (tai sen johtava valvontaviranomainen, jos sillä on useampi toimipaikka). Jos Asiakas ei ole sijoittautunut Euroopan unioniin mutta siihen sovelletaan GDPR:ää, sen jäsenvaltion valvontaviranomainen, johon Asiakkaan GDPR:n 27 artiklan mukainen edustaja on sijoittautunut, tai, jos Asiakkaan ei tarvitse nimetä edustajaa, sen jäsenvaltion valvontaviranomainen, jossa asianomaiset Vastaajat sijaitsevat.

Liite II: Tekniset ja organisatoriset toimenpiteet

Liite III: Hyväksytyt alikäsittelijät

Stripe, Inc. käsittelee Asiakkaan omia laskutustietoja, joiden rekisterinpitäjä on Quiz Maker. Se ei saa Asiakkaan henkilötietoja eikä ole tämän DPA:n mukainen alikäsittelijä.