Tietosuojaseloste

1. Keitä me olemme

UAB NVGroup Y-tunnus (oikeushenkilön koodi): 149942553 ALV-tunniste: LT499425515 Kotipaikka: Elektrinės g. 8, 03150 Vilna, Liettua Tietosuoja-asiat: privacy@demurrit.eu

Tätä selostetta sovelletaan palveluihin, joita tarjotaan verkkotunnuksessa demurrit.eu (jäljempänä Palvelu).

2. Roolimme: kaksi erilaista suhdetta

Käsittelemme henkilötietoja kahdella eri perusteella, ja tästä riippuu, kenen puoleen tulee kääntyä omien oikeuksien osalta.

Osassa A me määrittelemme tarkoitukset ja keinot. Tähän osaan sovelletaan lukuja 3–5.

Osassa B tarkoitukset ja keinot määrittelee asiakas – kuljetus-, huolinta- tai rahdinomistajayritys, joka lataa asiakirjat. Toimimme ainoastaan sen ohjeiden mukaisesti ja sen kanssa tehdyn henkilötietojen käsittelysopimuksen perusteella (GDPR 28 art.). Tähän osaan sovelletaan lukuja 6–9.

Jos olette kuljettaja, yhteyshenkilö tai muu henkilö, jonka tiedot sisältyvät asiakkaan lataamaan asiakirjaan, ottakaa oikeuksianne koskevissa asioissa yhteyttä yritykseen, joka työllistää teidät tai jonka kanssa teillä on sopimussuhde. Autamme kyseistä yritystä vastaamaan pyyntöönne, mutta emme voi itsenäisesti päättää näistä tiedoista.

Osa A. Tiedot, joiden rekisterinpitäjä olemme

3. Käsiteltävät tiedot, tarkoitukset ja oikeusperusteet

Oikeutettu etu tarkoittaa tässä yhteydessä Palvelun ja siihen sisältyvien asiakastietojen suojaamista luvattomalta käytöltä sekä kykyä vastata liiketoimintaan liittyviin tiedusteluihin. Olemme arvioineet, ettei tämä etu syrjäytä oikeuksianne, koska käsiteltävä tietomäärä on minimaalinen eikä sitä käytetä profilointiin tai markkinointiin.

4. Säilytysajat (osa A)

5. Oikeutenne (osa A)

Teillä on oikeus saada pääsy tietoihinne, oikaista niitä, poistaa niitä, rajoittaa niiden käsittelyä, siirtää tietoja sekä vastustaa oikeutettuun etuun perustuvaa käsittelyä.

Ottakaa yhteyttä: privacy@demurrit.eu. Vastaamme 30 päivän kuluessa.

Teillä on myös oikeus tehdä valitus Liettuan valtiolliselle tietosuojavirastolle (L. Sapiegos g. 17, Vilna, vdai.lrv.lt).

Osa B. Asiakkaiden lataamat asiakirjat

6. Miten asiakirjoja käsitellään

Palvelu käsittelee kuljetus- ja tulliasiakirjoja – CMR-rahtikirjoja, konossementteja, rahdinkuljettajien laskuja, tulli-ilmoituksia, polttoainekuitteja – ja poimii niistä strukturoituja tietoja: päivämääriä, summia, ajoneuvojen rekisterinumeroita, maita ja reittitietoja. Asiakirjat voivat sisältää kolmansien osapuolten, esimerkiksi kuljettajien tai yhteyshenkilöiden, tietoja.

6.1 Porrastettu käsittely

Asiakirjoja käsitellään portaittain, ja kukin asiakirja käsitellään alimmalla portaalla, joka on riittävä:

• Strukturoidut tiedot (XML, EDIFACT, tulli-ilmoitusten muodot) – käsitellään deterministisesti yksinomaan EU-infrastruktuurissa.
• Asiakirjat, joissa on tekstikerros – tunnistetaan ennalta määriteltyjen rahdinkuljettaja- ja lomakemallien perusteella yksinomaan EU-infrastruktuurissa.
• Asiakirjat, jotka edellyttävät sisällön tulkintaa – skannatut tai epästandardit asiakirjat toimitetaan luvussa 7 mainitulle käsittelijälle.

Tämä arkkitehtuuri tarkoittaa, että valtaosa asiakirjavirrasta käsitellään poistumatta EU:n alueelta. Tätä sovelletaan tietojen minimoinnin toimenpiteenä (GDPR 5 art. 1 kohta c alakohta).

6.2 Automatisoitu päätöksenteko

Automaattinen tietojen poiminta ei tee päätöksiä, joilla on oikeusvaikutuksia tai jotka vaikuttavat teihin vastaavalla tavalla merkittävästi. Kaikki poimitut tiedot tarkastaa ihminen ennen niiden käyttöä vaateessa, ilmoituksessa tai raportissa. GDPR 22 artiklaa ei sovelleta.

7. Henkilötietojen käsittelijät

Jokaisen käsittelijän kanssa on tehty tai ollaan tekemässä henkilötietojen käsittelysopimus GDPR 28 artiklan mukaisesti.

Muutokset. Käsittelijöiden luettelon muutoksista ilmoitamme asiakkaille viimeistään 30 kalenteripäivää etukäteen. Asiakkaalla on oikeus esittää perusteltu vastaväite 15 päivän kuluessa.

8. Tietojen siirto ETA-alueen ulkopuolelle

8.1 Akenes SA (Exoscale)

Varmuuskopioita säilytetään fyysisesti Wienissä, Itävallassa. Toimittaja on Sveitsiin rekisteröity yhtiö, joten teknisen huollon aikana pääsy on mahdollinen Sveitsistä.

Sveitsiin sovelletaan Euroopan komission tietosuojan riittävyyttä koskevaa päätöstä (26.7.2000), jonka jatkumisen komissio vahvisti 15.1.2024 päivätyssä tarkistuskertomuksessaan. Lisäsuojatoimia ei tarvita.

8.2 Anthropic PBC

Luvun 6.1 portaan 3 asiakirjat siirretään Anthropic PBC:lle (Yhdysvallat).

Suojatoimi: Euroopan komission hyväksymät vakiosopimuslausekkeet (GDPR 46 art. 2 kohta c alakohta), jotka on sisällytetty toimittajan henkilötietojen käsittelysopimukseen.

Sopimusvelvoitteet: toimittaja on sopimuksella velvoitettu olemaan käyttämättä siirrettyä sisältöä mallien kouluttamiseen eikä säilyttämään sitä pidempään kuin pyynnön täyttäminen edellyttää.

Lisätoimenpiteet:

• porrastettu käsittely (luku 6.1), jonka ansiosta suurinta osaa asiakirjoista ei koskaan siirretä;
• salaus siirron aikana (TLS) ja tallennuksen aikana;
• siirretään vain asiakirjan sisältö, ilman tili-, laskutus- tai asiakasorganisaatioyhteystietoja.

Vaikutustenarviointi. Siirron vaikutustenarviointi (Transfer Impact Assessment) on tehty Euroopan tietosuojaneuvoston suositusten 01/2020 mukaisesti. Arviointi ja kopio vakiosopimuslausekkeista toimitetaan asiakkaille ja valvontaviranomaiselle perustellusta pyynnöstä.

9. Säilytysajat (osa B)

Ajat määrittää asiakas henkilötietojen käsittelysopimuksessa. Oletusajat, ellei sopimuksessa ole toisin sovittu:

Oikeudellinen säilytysvelvoite. Jos asiakirja liittyy ratkaisemattomaan vaateeseen tai tullimenettelyyn, se merkitään säilytettäväksi eikä sitä poisteta ennen menettelyn päättymistä, vaikka ilmoitettu aika olisi kulunut umpeen tai sopimus olisi päättynyt. Tämä poikkeus on olemassa asiakkaan edun vuoksi – todisteiden poistaminen veisi vaateelta perusteen.

Sopimuksen päättyessä tiedot palautetaan tai tuhotaan asiakkaan ohjeiden mukaisesti, edellä mainittua poikkeusta noudattaen. Varmuuskopioissa tiedot tuhotaan kopioiden kierrätyksen yhteydessä, viimeistään 31 päivän kuluessa.

10. Turvatoimet

• Organisaatioiden erottelu tietokantatasolla (row-level security): yksi organisaatio ei teknisesti pääse käsiksi toisen organisaation tietoihin edes ohjelmistovirheen sattuessa.
• Salaus siirron aikana (TLS) kaikissa yhteyksissä.
• Salaus tallennuksen aikana asiakirjavarastossa ja tietokannassa.
• Varmuuskopiot salataan asiakkaan puolella ennen niiden siirtoa varastoon; varastopalvelun tarjoajalla ei ole salausavaimia.
• Asiakirjojen alkuperäiskappaleet on suojattu ylikirjoitukselta ja tahattomalta poistolta (object lock), säilyttäen kuitenkin mahdollisuuden täyttää rekisteröidyn poistopyyntö.
• Varmuuskopioita säilytetään eri toimittajalla kuin tuotantoinfrastruktuuria, käyttäen tunnuksia, joilla ei ole poisto-oikeutta.
• Järjestelmälokeihin ei tallenneta asiakirjojen sisältöä – vain organisaation, asiakirjan ja toimenpiteen tunnisteet. Nämä tunnisteet ovat pseudonymisoituja henkilötietoja, ja niitä säilytetään 30 päivää.
• Käyttö- ja muutosloki (vain lisäys, append-only) jokaiselle asiakirjalle.

11. Evästeet

Evästeiden käyttö on kuvattu erillisessä evästekäytännössä.

12. Selosteen muutokset

Tätä selostetta päivitetään käsittelijöiden luettelon tai käsittelyn tarkoitusten muuttuessa. Merkittävistä muutoksista ilmoitamme asiakkaille viimeistään 30 päivää etukäteen. Voimassa oleva versio ja sen päivämäärä ilmoitetaan aina tämän asiakirjan alussa.

13. Yhteystiedot

Tietosuoja-asiat: privacy@demurrit.eu Yleiset tiedustelut: info@demurrit.eu