Tietojenkäsittelysopimus (DPA) — malli

Tämä tietojenkäsittelysopimus (”Sopimus”) täydentää [rekisterinpitäjä]:n (”Rekisterinpitäjä”) ja Koukku Kapital Oy:n (Y-tunnus 3331246-5, PL 3, 20201 Turku; ”Käsittelijä”) välistä palvelusopimusta ja täyttää EU:n yleisen tietosuoja-asetuksen (GDPR) 28 artiklan vaatimukset.

1. Käsittelyn kohde ja luonne

Käsittelijä tarjoaa selainpohjaisen PDF-työkalupalvelun (PDF Taituri). Palvelun ydinarkkitehtuurissa asiakirjojen sisältöä käsitellään yksinomaan Rekisterinpitäjän käyttäjien päätelaitteilla; Käsittelijä ei vastaanota, tallenna eikä siirrä asiakirjojen sisältöä. Tämä Sopimus koskee ainoastaan mahdollisia henkilötietoja, joita Käsittelijä käsittelee palvelun toimittamiseksi (esim. tilaajan yhteys- ja laskutustiedot).

2. Käsittelyn kesto

Henkilötietoja käsitellään palvelusopimuksen voimassaolon ajan.

3. Käsittelyn tarkoitus ja henkilötietoryhmät

• Tarkoitus: lisenssin hallinta, laskutus ja asiakastuki.
• Rekisteröidyt: tilaajaorganisaation yhteyshenkilöt.
• Tietoryhmät: nimi, sähköposti, organisaatio, lisenssitiedot.

4. Käsittelijän velvollisuudet

• Käsittelee henkilötietoja vain Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti.
• Varmistaa käsittelyyn oikeutettujen henkilöiden salassapidon.
• Toteuttaa 32 artiklan mukaiset asianmukaiset tekniset ja organisatoriset turvatoimet.
• Avustaa Rekisterinpitäjää rekisteröityjen oikeuksien toteuttamisessa ja tietoturvaloukkausten ilmoittamisessa.
• Poistaa tai palauttaa henkilötiedot palvelun päättyessä Rekisterinpitäjän valinnan mukaan.
• Antaa Rekisterinpitäjälle tiedot, jotka ovat tarpeen 28 artiklan velvoitteiden noudattamisen osoittamiseksi, ja sallii auditoinnit.

5. Alihankkijat

Käsittelijä käyttää seuraavia alihankkijoita lisenssi- ja yhteystietojen käsittelyyn. Ajantasainen luettelo on tietosuojaselosteessa, ja Käsittelijä ilmoittaa Rekisterinpitäjälle muutoksista etukäteen.

• Google (Firebase Hosting, Cloud Functions, Firestore) — sovelluksen jakelu sekä lomaketietojen vastaanotto ja tallennus. Käytettävä palvelinalue on EU (europe-west1).
• Plausible Analytics — verkkosivuston aggregoitu, evästeetön kävijämittaus EU-alueella. Ei koske lisenssi- eikä asiakirjatietoja eikä työpöytäsovellusta, joka ei lataa analytiikkaa lainkaan. (Korvasi Google Analyticsin 12.8.2026; kävijätiedot eivät enää siirry EU/ETA-alueen ulkopuolelle.)
• Resend — tilaus-, kokeilu- ja lisenssisähköpostien lähetys.
• Paytrail Oyj (Y-tunnus 2122839-7) — verkkokaupan kortti- ja verkkopankkimaksujen välitys. Käsittelee tilausnumeron, summan ja ostajan sähköpostiosoitteen. Maksuvälinetietoja ei välitetä meille eikä meidän kautta. Käsittely EU-alueella (Suomi); Finanssivalvonnan valvoma maksulaitos.
• HubSpot — asiakkuudenhallinta: tarjouspyynnöt, tarjoukset ja asiakasviestintä.

Yksikään alihankkija ei käsittele asiakirjojen sisältöä, koska sisältö ei poistu käyttäjän laitteelta.

6. Tietojen sijainti ja siirrot

Asiakirjojen sisältöä ei siirretä lainkaan, koska se ei poistu käyttäjän laitteelta.

Lisenssi- ja yhteystietojen osalta: sovelluksen jakelu, lomaketietojen tallennus ja kävijämittaus tapahtuvat EU-alueella. Sähköposti- ja asiakkuudenhallintapalvelut (Resend, HubSpot) ovat yhdysvaltalaisia, joten osa yhteystiedoista siirtyy EU/ETA-alueen ulkopuolelle. Kävijämittaus ei siirry: se hoidetaan 12.8.2026 alkaen EU-alueella isännöidyllä, evästeettömällä Plausiblella. Siirtojen perusteena käytetään EU:n komission vakiosopimuslausekkeita (SCC) tai riittävyyspäätöstä (EU–US Data Privacy Framework) sen mukaan, kumpi kunkin palveluntarjoajan kohdalla on voimassa. Selvitys siirtoperusteista toimitetaan pyynnöstä.

Työasemakohtaisia lisenssiavaimia myönnettäessä käsitellään lisäksi työasemien teknisiä tunnuslukuja. Niitä ei viedä markkinointi- tai analytiikkapalveluihin eikä siirretä EU/ETA-alueen ulkopuolelle. Kuvaus: tietosuojaseloste, kohta 3.3.

7. Allekirjoitukset

[paikka ja päiväys]

Rekisterinpitäjä: [nimi, asema]
Käsittelijä: Koukku Kapital Oy, [nimi, asema]