GDPR ja tietosuoja

Sutja on rakennettu tietosuoja edellä. Kaikki henkilötiedot tallennetaan ja käsitellään Suomessa ja EU:ssa. Tällä sivulla kerrotaan, miten Sutja täyttää GDPR:n velvoitteet, keitä alikäsittelijät ovat ja miksi jokainen niistä on eurooppalainen yhtiö.

Sivu on tarkoitettu asiakkaalle eli palvelun tilaavalle työnantajalle, joka on työntekijöidensä tietojen rekisterinpitäjä. Sivu kuvaa Sutjan velvoitteita henkilötietojen käsittelijänä yleistajuisesti; sitovat muotoilut ovat tietojenkäsittelysopimuksessa. Ristiriitatilanteessa sopimus ratkaisee.

Työntekijän omia tietoja koskevat kysymykset kuuluvat hänen työnantajalleen rekisterinpitäjänä, ei Sutjalle. Sutjan omassa rekisterinpitäjän roolissa käsittelemistä tiedoista kerrotaan tietosuojaselosteessa.

Kun asiakas käyttää Sutjaa työntekijöidensä työvuoro- ja HR-tietojen hallintaan, asiakas on rekisterinpitäjä ja Sutja toimii henkilötietojen käsittelijänä asiakkaan lukuun.

Rekisterinpitäjänä asiakas päättää, mitä tietoja palveluun tallennetaan, mihin tarkoitukseen ja millä oikeusperusteella, ja vastaa siitä että työntekijöitä on informoitu asianmukaisesti. Sutja ei tee näitä päätöksiä eikä käytä tietoja omiin tarkoituksiinsa.

Sutja käsittelee tietoja vain asiakkaan dokumentoitujen ohjeiden mukaisesti. Ohjeisiin kuuluvat tietojenkäsittelysopimus ja se, miten asiakas palvelua käyttää. Jos Sutja katsoo ohjeen rikkovan tietosuojalainsäädäntöä, se ilmoittaa siitä asiakkaalle.

Sutja on itse rekisterinpitäjä vain niiden tietojen osalta, jotka syntyvät sen omassa liiketoiminnassa: verkkosivuston kävijät, yhteydenotot ja asiakkaiden yhteyshenkilöt. Niitä koskee tietosuojaseloste.

Asiakas voi myöntää ulkopuoliselle palkanlaskijalle rajatun pääsyn työtilaansa ilman työsuhdetta. Palkanlaskija näkee palkka-aineiston palkkalajeittain, hyväksytyt korvaukset kuluriveineen, palkanlaskennan raportit (tunnit ja liukumat, korttiostot, poissaolot, lomasaldot, työehtosopimuksen poikkeamat sekä viikonloppu- ja pyhätyö) sekä työntekijän perustamiseen tarvittavat henkilö- ja työsuhdetiedot, kuten henkilötunnuksen, tilinumeron, osoitteen ja palkkatiedot. Hän voi korjata henkilönumeroita, kustannuspaikkakoodeja ja palkanlaskennan asetuksia sekä käynnistää palkkaviennin. Saldot hän näkee täsmäytystä varten muttei muuta niitä: saldotapahtuman kirjaaminen on työnantajan tehtävä. Hän ei hyväksy tuntikirjauksia tai korvauksia. Asiakas vastaa pääsyn myöntämisestä ja omasta palkanlaskijastaan; tämä ei ole Sutjan valitsema alikäsittelijä. Henkilötietonäkymän avaaminen kirjataan käyttölokiin ilman henkilötunnusta, tilinumeroa tai muita näytettyjä arvoja. Pääsyn voi perua työtilan asetuksista.

Palvelu, tietokanta, tiedostot ja kirjautuminen pyörivät suomalaisen UpCloudin konesaleissa Suomessa. Sähköpostit lähetetään alankomaalaisen Lettermintin kautta, jonka lähetysinfrastruktuuri on Alankomaissa ja Saksassa. Henkilötietoja ei tallenneta EU:n tai ETA:n ulkopuolelle.

Myös liikenteen reitti on eurooppalainen: nimipalvelun, sisällönjakelun ja palomuurin toimittaa slovenialainen BunnyWay (bunny.net). Liikenne palvellaan EU-solmuista, ja rajaus on kirjattu tietojenkäsittelysopimukseen dokumentoituna ohjeena.

Sutja käyttää rajattua joukkoa huolellisesti valittuja palveluntarjoajia, joiden kanssa on tehty tietosuojavelvoitteet sisältävät sopimukset. Henkilötiedot tallennetaan ja käsitellään Suomessa ja EU:ssa, ja kaikki palveluntarjoajat ovat eurooppalaisia yhtiöitä.

Taulukossa on merkitty kummassa roolissa kukin toimii. Alikäsittelijä käsittelee asiakkaan työtilaan tallentamia tietoja Sutjan lukuun, jolloin sopimusketju kulkee tietojenkäsittelysopimuksen kautta asiakkaalle. Sutjan omaksi rekisteriksi merkitty toimija käsittelee vain tietoja joissa Sutja itse on rekisterinpitäjä, kuten laskutusta ja kirjanpitoa.

Merkintä kertoo laajimman roolin, jossa toimittaja voi toimia, ei vain sitä mitä se tällä hetkellä tekee. Brevoa käytetään esimerkiksi ensisijaisesti asiakkuudenhallintaan, mutta se on myös sähköpostilähetyksen varapolku, joten se on merkitty alikäsittelijäksi.

Sovelluksen käyttäjiä ei siirretä asiakkuudenhallintaan. He ovat asiakkaiden työntekijöitä, eivät Sutjan kontakteja. Brevon asiakkuudenhallintaan viedään vain työtilan laskutusyhteyshenkilö tilausta varten sekä verkkosivun liidit. Markkinointiviestejä lähetetään ainoastaan erikseen annetulla suostumuksella.

Sutja ilmoittaa suunnitelluista alikäsittelijämuutoksista etukäteen, ja asiakkaalla on oikeus vastustaa muutosta perustellusta syystä. Menettely on kirjattu tietojenkäsittelysopimuksen kohtaan 7.

Sutja tukee rekisteröidyn oikeuksia: pääsy, oikaisu, poistaminen, siirrettävyys ja käsittelyn rajoittaminen. Koska työntekijätietojen rekisterinpitäjä on asiakas, tällaiset pyynnöt ohjataan asiakkaalle ja Sutja avustaa niiden täyttämisessä.

Palvelussa on tähän työkalut. Työtilan ylläpitäjä voi viedä työtilan tiedot asetusten Tietosuoja-osiosta; samasta osiosta voi myös ladata allekirjoitetun tietojenkäsittelysopimuksen. Vienti tuottaa pakatun, koneluettavan JSON-tiedoston, joka on ladattavissa 7 vuorokautta ja jonka jokainen lataus kirjataan. Liitetiedostot eivät toistaiseksi sisälly pakettiin, vaan ne ladataan palvelusta erikseen. Poistaminen tapahtuu palvelun omilla toiminnoilla: työntekijän poisto tehdään henkilöstönäkymästä, työtilan poisto työtilan asetuksista ja oman tilin poisto profiilisivulta.

Avustaminen sisältyy palvelumaksuun. Sutja ei veloita erikseen rekisteröidyn pyyntöön vastaamisen tukemisesta eikä vaikutustenarviointiin (DPIA) tarvittavien palvelua koskevien tietojen antamisesta. Poikkeuksellisen laajasta erillistyöstä sovitaan etukäteen, ja ehto on kirjattu tietojenkäsittelysopimuksen kohtaan 9.

Rekisterinpitäjänä asiakas päättää, mitä tietoja työtilaan tallennetaan. Sutja on rakentanut palvelun niin, että vakiotoiminnot pyytävät vain sen, mitä työvuorosuunnittelu, työaikakirjanpito ja palkanmaksun perusteet edellyttävät. Sutja ei kerää työtilasta tietoja omiin tarkoituksiinsa eikä käytä asiakkaan tietoja tekoälymallien koulutukseen.

Osalla tiedoista on oma erityisperusteensa. Henkilötunnus kysytään palkanmaksua ja siihen liittyviä työnantajan lakisääteisiä velvoitteita varten, ja tietosuojalain 29 § sallii sen käsittelyn näissä tehtävissä: ne edellyttävät työntekijän yksiselitteistä yksilöimistä, eikä nimi ole yksilöivä tunniste. Sama koskee korvausten maksamista: kun asiakas on ottanut kirjanpitointegraation käyttöön, tunnus lähetetään asiakkaan valitsemaan taloushallinnon järjestelmään, jotta matkalasku kohdistuu oikealle saajalle eikä samannimiselle. Sovelluksessa tunnus näkyy vain työntekijälle itselleen, hänen esihenkilöketjulleen ja ylläpitäjille, ja se tyhjennetään jäsenyyden päätyttyä säilytystaulukon mukaisesti.

Sutjan omassa raportoinnissa ja tuotekehityksessä käytetään koostettua tai anonymisoitua tietoa, josta yksittäistä henkilöä ei voi tunnistaa.

Kun säilytysaika päättyy, tiedot joko poistetaan tai anonymisoidaan peruuttamattomasti. Tämä tapahtuu automaattisesti eikä edellytä asiakkaalta erillistä pyyntöä.

Tiedot salataan siirrettäessä ja levossa, pääsy on roolipohjainen ja vähimmän oikeuden periaatteen mukainen, ja toimintaa seurataan lokein ja muutoshistorialla.

Yleistajuinen kuvaus on tietoturvasivulla. Sopimustasolla toimenpiteet on yksilöity tietojenkäsittelysopimuksen liitteessä 1, joka kertoo kohta kohdalta miten salaus, avainhallinta, luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus on toteutettu. Liitettä ei julkaista, koska se kuvaa suojausten yksityiskohdat. Sen saa pyynnöstä osoitteesta tietosuoja@sutja.fi.

Sutja käsittelee tietoja vain sopimuksen voimassaolon ajan. Kun käsittely päättyy, asiakkaan tiedot palautetaan tai poistetaan 90 päivän kuluessa, lukuun ottamatta tietoja, jotka laki velvoittaa säilyttämään. Sama määräaika on kirjattu tietojenkäsittelysopimukseen.

Alla on yhtenä taulukkona jokainen säilytysaika, joka koskee asiakkaan työtilaan tallennettuja tietoja. Niiden rekisterinpitäjä on asiakas. Sutjan omassa rekisterinpitäjän roolissa syntyvillä tiedoilla on omat säilytysaikansa, jotka luetellaan tietosuojaselosteessa.

Sama tieto näkyy myös työtilan asetusten Tietosuoja-osiossa, jossa taulukko muodostetaan suoraan järjestelmän omista säännöistä. Tämän sivun taulukko tarkistetaan samoja sääntöjä vasten automaattisella portilla ennen jokaista julkaisua, joten kuvaus ei voi ajautua erilleen siitä, mitä palvelu oikeasti tekee.

Säilytysaika alkaa taulukon oikeanpuoleisesta hetkestä, ei sopimuksen päättymisestä. Porrastus ei ole hitautta vaan lakisääteisiä säilytysvelvoitteita: työaikakirjanpitoa ei saa hävittää ennen kuin työaikalain kanneaika on kulunut umpeen.

Poisto ei ole yksi hetki vaan useampi vaihe. Vaiheet kerrotaan auki, koska ero on rekisterinpitäjälle olennainen:

• Pääsy päättyy heti. Kun työtila tai käyttäjätili poistetaan, kirjautuminen ja pääsy tietoihin katkeavat välittömästi.
• Tiedot tuhotaan armonajan jälkeen. Poistetun työtilan rivit poistetaan tietokannasta ja liitetiedostot tiedostovarastosta 60 päivän kuluttua poistosta.
• Salausavain hävitetään viimeisenä. Kun muu tuhoaminen on tehty, työtilan salausavain hävitetään, jolloin sillä salatut kentät ja tiedostot eivät ole enää palautettavissa millään avaimella.

Työtilan omistajalle lähetetään muistutus 14 ja 2 päivää ennen tuhoamista sekä vahvistusviesti sen jälkeen. Tiedot kannattaa viedä ennen poistoa, sillä poisto katkaisee pääsyn työtilaan välittömästi eikä vienti ole sen jälkeen itsepalveluna käytettävissä. Armonaikana työtilan voi vielä pyytää palautettavaksi ottamalla yhteyttä, minkä jälkeen vienti onnistuu normaalisti.

Sairauslomatodistukset ja sairausperusteiset poissaolon syyt ovat GDPR:n 9 artiklassa tarkoitettuja terveystietoja. Ne hävitetään 60 päivän kuluttua poissaolon päättymisestä riippumatta siitä, jatkuuko työsuhde: terveystieto on hävitettävä, kun sen käsittelyn peruste eli sairausajan palkanmaksu ja sen tarkastus on hoidettu. Käsittelyperusteesta ja siitä, kuka työnantajan palveluksessa saa käsitellä terveystietoa, vastaa asiakas rekisterinpitäjänä; sovellettavat säännökset ovat GDPR:n 9 artiklan 2 kohdassa ja yksityisyyden suojasta työelämässä annetun lain (759/2004) 5 §:ssä.

Käyttäjätilin poisto anonymisoi tilin heti: nimi ja yhteystiedot korvataan, istunnot mitätöidään, profiilikuva poistetaan ja asiakkuudenhallinnan kontakti poistetaan. Sama tehdään automaattisesti tilille, jolla ei ole yhtään voimassa olevaa työtilajäsenyyttä ja joka on ollut käyttämättömänä 90 päivää.

Salausavaimen hävittämisellä on rajansa, ja ne on rehellisempää sanoa ääneen kuin jättää sanomatta. Avaimen tuho tekee lukukelvottomaksi vain sen, mikä on salattu kenttä- tai tiedostokohtaisesti; muu aineisto poistetaan tietokannasta ja tiedostovarastosta rivi ja objekti kerrallaan. Poistoa edeltävissä varmuuskopioissa salaamattomat tiedot säilyvät siihen asti, kunnes kyseiset varmuuskopiot ovat poistuneet kierrosta. Kierto on noin 30 vuorokautta, joten viimeinenkin poistoa edeltävä kopio poistuu tuon jakson kuluessa. Salatut tiedot ovat varmuuskopioissa lukukelvottomia heti avaimen hävittämisen jälkeen.

Yksi asia on syytä hoitaa ennen 24 kuukauden rajaa: Sutja ei ole työnantajan pysyväisarkisto. Työtodistusvelvoite ulottuu 10 vuoteen työsuhteen päättymisestä, joten työsuhdeasiakirjat, kuten työsopimukset ja työtodistuksen pohjatiedot, on siirrettävä organisaation omaan arkistoon ennen kuin 24 kuukauden säilytysaika päättyy. Tietojen vienti kokoaa työtilan tietueet koneluettavaan muotoon, mutta liitetiedostot on toistaiseksi ladattava palvelusta erikseen.

Sutja tarjoaa asiakkaille GDPR:n 28 artiklan mukaisen tietojenkäsittelysopimuksen osana palvelun ehtoja. Sopimus on voimassa ilman erillistä pyyntöä, ja se kattaa käsittelyn kohteen ja tarkoituksen, käsittelyn asiakkaan dokumentoitujen ohjeiden mukaisesti, salassapidon, tietoturvan, alikäsittelijät, rekisteröidyn oikeuksien tukemisen, tietoturvaloukkaukset, auditoinnin ja käsittelyn päättymisen.

Sopimuksen liitteessä 1 on yksilöity, miten kohdan 6 tietoturvavelvoitteet on käytännössä toteutettu. Liitettä ei julkaista verkkosivulla, vaan Sutja toimittaa sen asiakkaalle pyynnöstä ilman eri veloitusta.

Allekirjoitetun kappaleen voi ladata palvelun asetusten Tietosuoja-osiosta. Sen voi myös pyytää osoitteesta tietosuoja@sutja.fi.

Jos henkilötietoihin kohdistuu tietoturvaloukkaus, Sutja ilmoittaa siitä rekisterinpitäjänä toimivalle asiakkaalle ilman aiheetonta viivästystä ja viimeistään 72 tunnin kuluessa siitä, kun loukkaus on tullut Sutjan tietoon.

Ensi-ilmoitus tehdään heti, kun loukkaus on vahvistettu, vaikka kaikkia yksityiskohtia ei vielä olisi selvitetty, ja sitä täydennetään vaiheittain selvityksen edetessä. Asiakkaan oma 72 tunnin määräaika ilmoittaa valvontaviranomaiselle alkaa siitä hetkestä, kun asiakas saa loukkauksen tietoonsa, joten Sutja ei odota täydellistä tilannekuvaa ennen ensi-ilmoitusta.