LyhyestiTämä DPA täydentää palvelusopimusta ja täyttää GDPR Art. 28 vaatimukset. Annex A kuvaa käsittelyn, Annex B tekniset suojatoimet, Annex C alihankkijat ja Annex D allekirjoituksen.
Taustaa ja määritelmätArt. 28 GDPR
Tämä tietojenkäsittelysopimus (DPA) täydentää MCR One Oy:n (Voitta on MCR One Oy:n palvelu) ja Asiakkaan välistä palvelusopimusta. Asiakas toimii rekisterinpitäjänä ja MCR One Oy henkilötiedon käsittelijänä GDPR:n Art. 28 mukaisesti.
RekisterinpitäjäAsiakas
KäsittelijäMCR One Oy
DPA-versiov4.2 · 13.08.2026
KieliversioFI (ensisijainen) · EN
Käsittelyn kuvaus (Annex A)
Tarkoitus: palvelun tuottaminen, ylläpito, tuki ja laskutus.
Kesto: palvelusopimuksen voimassaoloaika + 30 päivän poistokausi.
Luonne: automatisoitu henkilötiedon käsittely.
Tekniset ja organisatoriset toimenpiteet (Annex B)Art. 32 GDPR
- Salaus — TLS 1.3 liikenteessä, AES-256 levossa. Radar-asiakasdata suojataan avaimilla, jotka voidaan poistaa (kryptografinen poisto).
- Pääsynhallinta — vähimmän oikeuden periaate, SSO + MFA.
- Audit-loki — 24 kk; pääsy rajattu.
- Varmuuskopiot — päivittäin EU-alueella; palautusharjoitus kvartaaleittain. Poiston jälkeinen palautus ei palauta poistetun avaimen dataa.
- Koulutus — tietoturvakoulutus vuosittain.
- Poikkeamailmoitus — 24 h sisällä havainnosta.
Alihankkijat (Annex C)
| Taho | Tarkoitus | Sijainti |
|---|---|---|
| Hetzner GmbH | Sovellushostaus | Helsinki / Nürnberg · EU |
| Cloudflare | CDN / WAF; R2 EU -alueella: kryptografisen poiston tuhoamisloki ja EU-varmuuskopiot. Asiakasdata salataan per-subjekti-avaimilla, jotka voidaan poistaa. R2-objektit suojataan Bucket Lockilla (ei Compliance-mode WORM). Palautuksessa vanha tietokantakopio ei palauta poistetun avaimen dataa. Cloudflare-tilin ylläpitäjä, joka pystyy poistamaan Bucket Lock -asetuksen, on tämän kontrollin ulkopuolella. | EU edge / R2 EU jurisdiction |
| Stripe | Maksut | EU / US · SCC |
| Postmark | Transaktiosähköposti | EU |
| Anthropic | AI-avusteinen luonti | EU / US · SCC |
| OpenAI | AI-avusteinen luonti | EU / US · SCC |
| Google (Gemini) | AI-avusteinen luonti | EU / US · SCC |
| Sentry | Virheiden seuranta | EU / US · SCC |
| HubSpot | CRM-integraatio (valinnainen) | EU / US · SCC |
| Microsoft | Teams- ja SharePoint-integraatiot | EU / US · SCC |
| Slack | Työtilan ilmoitukset (valinnainen) | US · SCC |
Käsittelijän velvollisuudet
- Käsittelee tietoja vain dokumentoitujen ohjeiden mukaan.
- Varmistaa, että käsittelyyn osallistuvat henkilöt ovat salassapitovelvollisia.
- Avustaa rekisterinpitäjää rekisteröityjen oikeuksien toteuttamisessa.
- Poistaa tai palauttaa tiedot käsittelyn päättyessä.
- Asettaa saataville tiedot velvoitteiden täyttämisestä.
Allekirjoitus (Annex D)
Tämä DPA hyväksytään joko erillisellä sähköisellä allekirjoituksella tai palvelun tilaamisen yhteydessä. Molempia tapauksia käsitellään sitovana sopimuksena.
Annex D · AllekirjoitusE-SIGN
Sopimuksen allekirjoitus: [email protected]. Pyydämme kopion palauttamaan digitaalisesti allekirjoitettuna (Signicat / Dokobit / Adobe Sign).