Integritetspolicy

Den här policyn beskriver hur plops Oy behandlar personuppgifter som personuppgiftsansvarig. Den gäller besökare på vår webbplats, personer som kontaktar oss samt kontaktpersoner hos våra prenumererande kunder.

När vår kund behandlar sina egna anställdas uppgifter i tjänsten (skift, frånvaro och övrig HR) är kunden personuppgiftsansvarig och Sutja agerar personuppgiftsbiträde. Den behandlingen regleras av ett separat personuppgiftsbiträdesavtal som beskrivs på GDPR-sidan.

Personuppgiftsansvarig är plops Oy (organisationsnummer 3596026-3). Postadress: Linnanpellonkatu 52, 70300 Kuopio, Finland.

Vi har inte utsett ett separat dataskyddsombud, men i dataskyddsfrågor kan du kontakta tietosuoja@sutja.fi.

Sutja är personuppgiftsansvarig för de uppgifter som Sutja själv styr över: webbplatsbesökare, förfrågningar och kundernas kontaktpersoner.

För de personuppgifter som en kund matar in om sina egna anställda är kunden personuppgiftsansvarig och Sutja behandlar uppgifterna för kundens räkning. Den här policyn täcker inte sådan behandling; den regleras av personuppgiftsbiträdesavtalet med kunden.

Vi behandlar personuppgifter för följande ändamål:

• Tillhandahålla tjänsten, hantera användarkonton och inloggning
• Kundrelationer, support och kommunikation
• Fakturering och lagstadgade bokföringsskyldigheter
• Utveckling av tjänsten, säkerhet och förebyggande av missbruk
• Marknadsföring och kontakt med affärskontaktpersoner
• Uppfylla lagstadgade skyldigheter

Vi behandlar huvudsakligen följande uppgifter:

• Kontaktuppgifter: namn, arbetsmejl, telefonnummer, organisation och roll
• Kontouppgifter: användaridentifierare och kontoinställningar
• Avtals- och faktureringsuppgifter
• Förfrågningar och supportkorrespondens
• Tekniska uppgifter: loggar, IP-adress och sessionsuppgifter för att säkerställa tjänstens funktion och säkerhet

Vi får uppgifterna huvudsakligen från den registrerade själv eller dennes arbetsgivare (kundorganisationen) när tjänsten tas i bruk eller används. En del uppgifter uppstår vid användning av tjänsten. Företagsuppgifter kan kompletteras från offentliga register såsom handelsregistret.

Behandlingen av personuppgifter grundar sig på följande rättsliga grunder:

• Avtal: att tillhandahålla tjänsten till beställaren och användarna
• Berättigat intresse: skötsel av kundrelationen, utveckling av tjänsten och informationssäkerhet
• Samtycke: elektronisk direktmarknadsföring
• Rättslig förpliktelse: till exempel bokföringslagstiftningen

När behandlingen grundar sig på ett berättigat intresse har vi bedömt vart och ett av de ovan nämnda ändamålen separat och konstaterat att vårt berättigade intresse inte åsidosätts av den registrerades intressen, rättigheter eller friheter. Bedömningarna är dokumenterade och ses över årligen.

Du har rätt att invända mot behandling som grundar sig på ett berättigat intresse av skäl som hänför sig till din specifika situation. Meddela oss på tietosuoja@sutja.fi, så avbryter vi behandlingen om det inte finns tvingande berättigade skäl att fortsätta.

En del uppgifter behövs för att ingå avtalet eller använda tjänsten; utan dem kan vi inte tillhandahålla tjänsten.

Vi säljer inte personuppgifter. Uppgifterna behandlas för vår räkning av omsorgsfullt valda personuppgiftsbiträden som tillhandahåller till exempel datacenter-, e-post- och bokföringstjänster. Alla leverantörer vi använder finns i Finland eller någon annanstans i EU, och ett personuppgiftsbiträdesavtal har ingåtts med var och en av dem.

En aktuell förteckning finns på vår GDPR-sida. Där anges också vilka leverantörer som behandlar de uppgifter som avses i denna beskrivning för vår räkning och vilka som är underbiträden för de uppgifter kunden lagrar i sin arbetsyta. De två rollerna är värda att hålla isär: ett underbiträde är inte mottagare enligt denna beskrivning utan en del av kedjan enligt personuppgiftsbiträdesavtalet med kunden.

Faktureringen av beställningar sköts i Procountor (Accountor Finago Oy). När vi fakturerar en kunds beställning överför vi faktureringsuppgifterna dit: företagets namn, FO-nummer, faktureringsadress, faktureringskontaktpersonens e-postadress samt fakturans uppgifter. Procountor skapar och levererar också fakturan och fungerar som vårt bokföringssystem, varvid fakturauppgifterna sparas under den tid bokföringslagen kräver.

Uppgifter kan lämnas ut till myndigheter om lagen kräver det.

Kunden kan ge en extern löneräknare begränsad åtkomst till arbetsytan utan att skapa en anställning. Löneräknaren ser löneunderlag, enskilda tidrapporter och ersättningar samt de person- och anställningsuppgifter som behövs för att lägga upp anställda i lönesystemet, inklusive personbeteckning, bankkonto, adress och löneuppgifter. Löneräknaren kan rätta personalnummer, kostnadsställekoder och löneinställningar samt starta löneexport, men kan inte godkänna timmar eller ersättningar. Kunden ansvarar för åtkomsten och sin egen löneräknare; denna är inte ett underbiträde som Sutja har valt. När anställningsuppgifterna öppnas registreras det i användningsloggen utan personbeteckning, bankkonto eller andra visade värden. Åtkomsten kan återkallas i arbetsytans inställningar.

Personuppgifter lagras i Finland och lagras inte utanför EU eller EES.

Inte heller tjänstens trafik behandlas utanför EU: DNS, innehållsleverans och brandvägg levereras av det slovenska företaget BunnyWay (bunny.net), och trafiken betjänas från EU-noder enligt en dokumenterad begränsning i personuppgiftsbiträdesavtalet.

Vi sparar personuppgifter endast så länge det är nödvändigt:

• Konto- och kunduppgifter: under kundrelationen och högst 90 dagar efter att den upphört, varefter uppgifterna raderas eller anonymiseras
• Ett användarkonto utan giltigt medlemskap i någon arbetsyta: anonymiseras automatiskt när kontot varit oanvänt i 90 dagar
• Uppgifter som hör till bokföringen: den tid bokföringslagen kräver, i regel 6 år
• Kontakter: högst 12 månader
• Fel- och prestandauppgifter som vi behandlar för felsökning och utveckling av tjänsten: högst 60 dygn
• Trafikloggar från skyddslagret, som behandlas för informationssäkerhet och förhindrande av missbruk: 3 dygn
• Tjänstens användningslogg, som innehåller IP-adress och webbläsaridentifierare: 24 månader. Loggen uppstår i kundens arbetsyta och kunden är personuppgiftsansvarig för den, men Sutja använder samma logg också för att övervaka sin egen informationssäkerhet
• Säkerhetskopior: roteras i cykler om cirka 30 dygn

När en arbetsyta raderas upphör åtkomsten till uppgifterna omedelbart och uppgifterna förstörs permanent efter 60 dagar. Som sista steg i förstöringen förstör vi arbetsytans krypteringsnyckel, varvid dess krypterade uppgifter blir permanent oläsbara. I säkerhetskopior som tagits före raderingen finns okrypterade uppgifter kvar så länge dessa säkerhetskopior roterar.

För de anställdas uppgifter som kunden lagrar i sin arbetsyta gäller egna, stegvisa lagringstider. Personuppgiftsansvarig för dem är kunden, och de omfattas därför inte av denna beskrivning. De är samlade i en tabell på GDPR-sidan.

Du har rätt att:

• Få tillgång till och granska dina uppgifter
• Få felaktiga uppgifter rättade
• Begära radering av dina uppgifter
• Begränsa eller invända mot behandlingen
• Få dina uppgifter i ett portabelt format
• Återkalla ett samtycke du gett

Du kan själv radera ditt användarkonto på din profilsida i tjänsten. Övriga rättigheter utövar du genom att kontakta tietosuoja@sutja.fi. Vi besvarar förfrågningar i regel inom en månad.

Om din begäran gäller uppgifter som din arbetsgivare har sparat i sin arbetsyta är arbetsgivaren personuppgiftsansvarig och vi vidarebefordrar begäran dit. Raderingens steg och lagringstiderna beskrivs på vår GDPR-sida.

Vi utför inte sådant automatiserat beslutsfattande eller profilering som omfattas av denna policy och som har rättsliga eller liknande betydande följder för dig.

Den automatiska schemaläggning som görs i tjänsten gäller kundens anställdas uppgifter, där kunden är personuppgiftsansvarig. Den behandlingen regleras av personuppgiftsbiträdesavtalet.

Vi skyddar personuppgifter med lämpliga tekniska och organisatoriska åtgärder. Uppgifterna krypteras under överföring och i vila, åtkomsten är rollbaserad enligt principen om lägsta behörighet, och användningen övervakas med loggar. Uppgifterna lagras i finländska datacenter och säkerhetskopieras regelbundet.

De känsligaste uppgifterna, som frånvaroorsaker och deras bilagor, bankkonto, adress och innehållet i anställningsavtal, krypteras dessutom fält för fält och fil för fil med arbetsytans egen krypteringsnyckel redan innan de sparas. Huvudnyckeln förvaras inte i databasen, och nycklarna kan bytas. Inom arbetsgivarorganisationen syns dessa uppgifter bara för den anställda själv, den egna chefskedjan och administratörer. När en arbetsytas nyckel förstörs kan de fält och filer som krypterats med den inte längre återställas med någon nyckel.

Om en personuppgiftsincident inträffar underrättar vi tillsynsmyndigheten och, vid behov, dig, så som lagen kräver.

Om du anser att behandlingen av dina personuppgifter inte är laglig kan du lämna ett klagomål till tillsynsmyndigheten. I Finland är detta dataombudsmannens byrå (tietosuoja.fi).

Vår webbplats använder inga spårnings- eller analyscookies och ingen tredjepartsannonsspårning. Typsnitt och andra resurser serveras från vår egen server. Själva tjänsten använder endast nödvändiga cookies för inloggning och sessioner.

Vi kan uppdatera denna policy när tjänsten eller lagstiftningen ändras. Vi publicerar den aktuella versionen på den här sidan och anger uppdateringsdatumet högst upp.