Tietojenkäsittelysopimus

1. Käsittelyn tiedot

• Kohde ja kesto: Carreh for Businessin tarjoaminen sopimuksen voimassaoloajan ja poistamiseen asti kohdan 10 mukaisesti.
• Luonne ja tarkoitus: matka- ja kulukirjausten isännöinti, järjestäminen, lukeminen (myös AI:n avulla), näyttäminen, vienti ja poistaminen asiakkaan määrittämällä ja ohjaamalla tavalla.
• Rekisteröidyt: Asiakkaan työntekijät, urakoitsijat ja muut käyttäjät sekä henkilöt, jotka on nimetty heidän matka- ja kulutietoihinsa.
• Henkilötiedot: henkilöllisyys- ja yhteystiedot, rooli ja osasto, matkapyynnöt, matkareitit, varaukset ja matka-asiakirjat, kuitit, kulut, korvaukset, hyväksynnät ja kommentit, kirjautumistiedot.
• Special categories: none intended. Travel documents may incidentally contain identity document numbers; the Customer only uploads them where it has a lawful basis.

2. Ohjeet

Carreh käsittelee henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti, jotka ovat Ehdot, tämä DPA sekä Asiakkaan Palvelun käyttö ja määritykset, ellei EU:n tai jäsenvaltion lainsäädäntö edellytä muuta; siinä tapauksessa Carreh ilmoittaa Asiakkaalle ensin, ellei laki kiellä sitä. Carreh kertoo Asiakkaalle, jos se pitää ohjetta lainvastaisena.

3. Luottamuksellisuus

Jokainen Carrehilla henkilötietojen käsittelyyn valtuutettu on salassapitovelvollinen.

4. Tietoturva

Carreh toteuttaa liitteessä 1 kuvatut tekniset ja organisatoriset toimenpiteet ja pitää ne riskiin nähden asianmukaisina. Carreh voi päivittää niitä edellyttäen, että suojan kokonaistaso ei heikkene.

5. Alikäsittelijät

Asiakas valtuuttaa Carrehin käyttämään tässä lueteltuja alikäsittelijöitä. Carreh ilmoittaa työtilan omistajille vähintään 30 päivää etukäteen sähköpostitse uudesta alikäsittelijästä. Asiakas voi vastustaa kohtuullisilla tietosuojasyillä; jos ratkaisua ei löydy, asiakas voi päättää kyseisen palvelun ja saada hyvityksen jäljellä olevalta kaudelta ennakkoon maksetuista maksuista. Carreh asettaa kullekin alikäsittelijälle tähän DPA:han verrattavat tietosuojavelvoitteet ja vastaa niistä.

6. Kansainväliset siirrot

Kun henkilötietoja siirretään Euroopan talousalueen ulkopuolelle maahan, jolla ei ole riittävyyspäätöstä, Carreh tukeutuu Euroopan komission vakiosopimuslausekkeisiin ja tarvittaessa lisätoimenpiteisiin.

7. Tuki

Med hänsyn till behandlingens art hjälper Carreh Kunden att besvara begäranden från registrerade (Tjänsten låter Ägare och Admins hitta, exportera, korrigera och radera poster), samt med säkerhet, anmälningar om intrång, konsekvensbedömningar och samråd med tillsynsmyndigheter.

8. Henkilötietojen tietoturvaloukkaukset

Carreh ilmoittaa asiakkaalle viipymättä ja viimeistään 48 tunnin kuluttua siitä, kun se on tullut tietoiseksi asiakkaan henkilötietoihin vaikuttavasta henkilötietojen tietoturvaloukkauksesta, käytettävissä olevin tiedoin ja päivittää ilmoitusta tutkinnan edetessä.

9. Palautus ja poistaminen

Asiakas voi viedä tietonsa milloin tahansa. Kun sopimus päättyy, asiakkaalla on 30 päivää aikaa viedä tiedot; sen jälkeen Carreh poistaa henkilötiedot 90 päivän kuluessa, paitsi jos EU:n tai jäsenvaltion lainsäädäntö edellyttää niiden säilyttämistä. Varmuuskopiot korvataan normaalilla aikataulullaan.

10. Tarkastukset

Carreh asettaa saataville tiedot, jotka tarvitaan tämän DPA:n noudattamisen osoittamiseen. Asiakas voi suorittaa auditoinnin kerran vuodessa, 30 päivän kirjallisella ilmoituksella, virka-aikana, luottamuksellisuutta noudattaen ja omalla kustannuksellaan, tai tukeutua Carrehin alikäsittelijöiden voimassa oleviin riippumattomiin sertifikaatteihin siltä osin kuin ne kattavat käsittelyn.

11. Vastuu ja ensisijaisuus

Ehtojen vastuunrajoitukset koskevat tätä DPA:ta lain sallimissa rajoissa. Henkilötietojen käsittelyssä tämä DPA menee Ehtojen edelle.

12. Liite 1: tekniset ja organisatoriset toimenpiteet

• Erottelu: Carreh for Businessilla on omat tilit, tietokanta, tallennustila ja avaimet, erillään Carrehin kuluttajasovelluksista. Jokaisen yrityksen tiedot pidetään erillään, ja jokainen pyyntö tarkistetaan käyttäjän yritysjäsenyyden ja roolin perusteella.
• Käytönvalvonta: kertakäyttöiset kirjautumiskoodit lähetetään sähköpostitse; istunnot tallennetaan vain tiivisteinä; Carreh-henkilöstö tarvitsee sähköpostikoodin ja passkey-tunnisteen; valtuutettu henkilöstö avaa työtilan sisältöä vain tukeakseen palvelua, pitääkseen palvelun turvassa, estääkseen petoksia ja täyttääkseen lakisääteiset velvoitteet, ja jokainen avaus kirjataan työtilan toimintalokiin.
• Valvonta: kirjautumiset ja toiminnot tallennetaan verkon ja laitteen kanssa; automaattiset tarkistukset merkitsevät epätavalliset kirjautumiset, päällekkäiset tai muutetut kuitit ja väärinkäytökset sekä estävät väärinkäyttöverkot.
• Salaus: TLS siirron aikana; salaus levossa hosting-palveluntarjoajan toimesta; todennuspalvelimen salaisuudet salattu AES-256-GCM:llä; koodit ja tokenit tiivistetty SHA-256:lla ja salaisella avaimella.
• Lokitus: vain lisättävä, peukaloimaton toimintaloki kirjautumisista ja ylläpitotoimista.
• Palautumiskyky: hallittu tietokanta, jossa ajankohtaan perustuva palautus ja varmuuskopiot; palautusmenettelyt testattu ennen käyttöönottoa.
• Kehitys: koodikatselmointi, automatisoidut testit, mukaan lukien testit, joilla varmistetaan, ettei yksi yritys pääse käsiksi toisen tietoihin; salaisuudet pidetään poissa lähdekoodista.
• Minimointi: ei mainosseurantaa; AI-palveluntarjoajat eivät kouluta asiakkaan tiedoilla.