Tietojenkäsittelysopimus (AVV)

Vakiolausekkeet

Virallinen teksti EUR-Lexin mukaan (CELEX 32021D0915), päätöksen liite. Valitut vaihtoehdot on merkitty merkinnällä [Valinta: …], valitsemattomat on yliviivattu; muutoin teksti on muuttumaton.

II luku: Osapuolten velvollisuudet

Kohta 6: Käsittelyn kuvaus

Käsittelytoimenpiteiden yksityiskohdat, erityisesti henkilötietoryhmät ja tarkoitukset, joihin henkilötietoja käsitellään rekisterinpitäjän toimeksiannosta, on lueteltu liitteessä II.

Kohta 7: Osapuolten velvollisuudet

7.1. Ohjeet

a) Käsittelijä käsittelee henkilötietoja vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, ellei hän ole velvollinen käsittelyyn unionin lainsäädännön tai sen jäsenvaltion lainsäädännön nojalla, jonka alaisuuteen hän kuuluu. Tällaisessa tapauksessa alihankkija ilmoittaa rekisterinpitäjälle näistä oikeudellisista vaatimuksista ennen käsittelyn aloittamista, ellei kyseinen lainsäädäntö kiellä sitä tärkeän yleisen edun vuoksi. Rekisterinpitäjä voi antaa lisäohjeita henkilötietojen käsittelyn koko keston ajan. Nämä ohjeet on aina dokumentoitava.

b) Käsittelijä ilmoittaa rekisterinpitäjälle viipymättä, jos se katsoo, että rekisterinpitäjän antamat ohjeet ovat ristiriidassa asetuksen (EU) 2016/679, asetusta (EU) 2018/1725 tai unionin tai jäsenvaltioiden voimassa olevia tietosuojasäännöksiä.

7.2. Tarkoitusrajoitus

Käsittelijä käsittelee henkilötietoja ainoastaan liitteessä II mainittua (mainittuja) erityistä tarkoitusta (tarkoituksia) varten, ellei hän saa rekisterinpitäjältä muita ohjeita.

7.3. Henkilötietojen käsittelyn kesto

Tietojen käsittely kestää liitteessä II mainitun ajan.

7.4. Käsittelyn turvallisuus

a) Käsittelijä toteuttaa vähintään liitteessä III luetellut tekniset ja organisatoriset toimenpiteet henkilötietojen turvallisuuden varmistamiseksi. Tähän sisältyy tietojen suojaaminen tietoturvaloukkauksilta, jotka - tahattomasti tai laittomasti - johtavat tietojen tuhoutumiseen, katoamiseen, muuttumiseen tai luvattomaan paljastamiseen tai niihin kohdistuvaan luvattomaan pääsyyn (jäljempänä ”henkilötietojen suojan loukkaus”). Arvioidessaan asianmukaista suojan tasoa osapuolet ottavat asianmukaisesti huomioon tekniikan tason, toteutuskustannukset, käsittelyn luonteen, laajuuden, olosuhteet ja tarkoitukset sekä rekisteröityihin kohdistuvat riskit.

b) Käsittelijä myöntää henkilöstölleen pääsyn käsiteltäviin henkilötietoihin vain siinä laajuudessa kuin se on ehdottoman välttämätöntä sopimuksen täytäntöönpanon, hallinnoinnin ja valvonnan kannalta. Käsittelystä vastaava taho varmistaa, että henkilöt, joilla on oikeus käsitellä saatuja henkilötietoja, ovat sitoutuneet salassapitovelvollisuuteen tai ovat asianmukaisen lakisääteisen salassapitovelvollisuuden alaisia.

7.5. Erityisen arkaluonteiset tiedot

Jos käsittely koskee henkilötietoja, joista ilmenee rodullinen tai etninen alkuperä, poliittiset mielipiteet, uskonnolliset tai maailmankatsomukselliset vakaumukset tai ammattiliittoon kuuluminen, tai jotka sisältävät geneettisiä tai biometrisiä tietoja luonnollisen henkilön yksiselitteistä tunnistamista varten, tietoja henkilön terveydestä, sukupuolielämästä tai seksuaalisesta suuntautumisesta tai tietoja rikostuomioista ja rikoksista (jäljempänä ”arkaluonteiset tiedot”), tietojenkäsittelijä soveltaa erityisiä rajoituksia ja/tai lisätaakuita.

7.6. Dokumentointi ja ehtojen noudattaminen

a) Osapuolten on kyettävä osoittamaan näiden ehtojen noudattaminen.

b) Käsittelijän on käsiteltävä rekisterinpitäjän näihin ehtoihin liittyvät tietojen käsittelyä koskevat pyynnöt viipymättä ja asianmukaisella tavalla.

c) Käsittelijä toimittaa rekisterinpitäjälle kaikki tiedot, jotka ovat tarpeen näissä ehdoissa määriteltyjen ja suoraan asetuksesta (EU) 2016/679 ja/tai asetuksesta (EU) 2018/1725:stä suoraan johtuvien velvoitteiden noudattamisen todistamiseen tarvittavat tiedot. Rekisterinpitäjän pyynnöstä tietojenkäsittelyn toimeksisaaja sallii myös näiden ehtojen piiriin kuuluvien käsittelytoimien tarkastamisen kohtuullisin väliajoin tai jos on viitteitä sääntöjen noudattamatta jättämisestä, ja avustaa tällaisessa tarkastuksessa. Päättäessään tarkastuksesta tai arvioinnista rekisterinpitäjä voi ottaa huomioon tietojenkäsittelijän asiaankuuluvat sertifioinnit.

d) Rekisterinpitäjä voi suorittaa tarkastuksen itse tai nimetä riippumattoman tarkastajan. Tarkastukset voivat sisältää myös tarkastuskäyntejä tietojenkäsittelijän tiloissa tai fyysisissä laitoksissa, ja ne suoritetaan tarvittaessa asianmukaisella ennakkoilmoituksella.

e) Osapuolet toimittavat pyynnöstä toimivalle valvontaviranomaiselle tai -viranomaisille tässä lausekkeessa mainitut tiedot, mukaan lukien tarkastusten tulokset.

7.7. Alikäsittelijöiden käyttö

a) VAIHTOEHTO 2: YLEINEN KIRJALLINEN LUPA: Tietojenkäsittelijällä on rekisterinpitäjän yleinen lupa käyttää alihankkijoita, jotka on lueteltu sovitussa luettelossa. Käsittelijä ilmoittaa rekisterinpitäjälle nimenomaisesti kirjallisesti vähintään 30 päivää etukäteen kaikista luetteloon aiotuista muutoksista, jotka koskevat alikäsittelijöiden lisäämistä tai korvaamista, ja antaa näin rekisterinpitäjälle riittävästi aikaa esittää vastalauseita näitä muutoksia vastaan ennen kyseisen alihankkijan tai alihankkijoiden valitsemista. Tietojenkäsittelijä toimittaa rekisterinpitäjälle tarvittavat tiedot, jotta tämä voi käyttää vastustamisoikeuttaan. [Valinta: vaihtoehto 2, määräaika 30 päivää; sovittu luettelo on liitteessä IV]

b) Jos tietojenkäsittelyyritys antaa alihankkijalle toimeksiannon tiettyjen käsittelytoimien suorittamisesta (rekisterinpitäjän puolesta), tämä toimeksianto on tehtävä sopimuksella, joka asettaa alihankkijalle olennaisesti samat tietosuojavelvoitteet kuin ne, jotka koskevat tietojenkäsittelijää näiden lausekkeiden mukaisesti. Tietojenkäsittelijä varmistaa, että alihankkija täyttää velvollisuudet, joita tietojenkäsittelijälle on asetettu näiden ehtojen mukaisesti sekä asetuksen (EU) 2016/679 ja/tai asetuksen (EU) 2018/1725 nojalla.

c) Tietojenkäsittelijä toimittaa rekisterinpitäjälle tämän pyynnöstä kopion tällaisesta alihankintasopimuksesta ja mahdollisista myöhemmistä muutoksista. Siltä osin kuin se on tarpeen liikesalaisuuksien tai muiden luottamuksellisten tietojen, mukaan lukien henkilötiedot, suojaamiseksi, tietojenkäsittelijä voi peittää sopimuksen tekstin ennen kopion toimittamista.

d) Käsittelijä on täysimääräisesti vastuussa rekisterinpitäjälle siitä, että alikäsittelijä täyttää velvollisuutensa käsittelijän kanssa tehdyn sopimuksen mukaisesti. Käsittelijä ilmoittaa asiasta rekisterinpitäjälle, jos alikäsittelijä laiminlyö sopimusvelvoitteitaan.

e) Tietojenkäsittelijä sopii alihankkijan kanssa kolmannen osapuolen edunsaajalausekkeesta, jonka mukaan rekisterinpitäjällä on - siinä tapauksessa, että tietojenkäsittelijä lakkaa olemasta olemassa tosiasiallisesti tai oikeudellisesti tai on maksukyvytön - on oikeutettu irtisanomaan alihankintasopimuksen ja määräämään alihankkijan poistamaan tai palauttamaan henkilötiedot.

7.8. Kansainväliset tietojen siirrot

a) Kaikki tietojen siirrot, jotka tilauskäsittelijä suorittaa kolmanteen maahan tai kansainväliselle järjestölle, tapahtuvat yksinomaan rekisterinpitäjän dokumentoitujen ohjeiden perusteella tai unionin lainsäädännön tai sen jäsenvaltion lainsäädännön, jonka alaisuudessa tilauskäsittelijä toimii, erityissäännöksen noudattamiseksi, ja niiden on oltava asetuksen (EU) 2016/679 tai asetuksen (EU) 2018/1725 V luvun kanssa.

b) Rekisterinpitäjä suostuu siihen, että tapauksissa, joissa tietojenkäsittelijä käyttää alakäsittelijää kohdan 7.7 mukaisesti tiettyjen käsittelytoimien suorittamiseen (rekisterinpitäjän puolesta) ja nämä käsittelytoimet sisältävät henkilötietojen siirron asetuksen (EU) 2016/679 tarkoittamaa henkilötietojen siirtoa, käsittelypalvelujen tarjoaja ja alihankkija voivat varmistaa asetuksen (EU) 2016/679 V luvun noudattamisen käyttämällä standardisopimuslausekkeita, jotka komissio on hyväksynyt asetuksen (EU) 2016/679 46 artiklan 2 kohdan mukaisesti, edellyttäen että näiden standardisopimuslausekkeiden soveltamisen edellytykset täyttyvät.

Ehto 8: Rekisterinpitäjän avustaminen

a) Käsittelijä ilmoittaa rekisterinpitäjälle viipymättä jokaisesta pyynnöstä, jonka se on vastaanottanut rekisteröidyltä. Se ei vastaa pyyntöön itse, ellei rekisterinpitäjä ole siihen valtuuttanut sitä.

b) Käsittelyn luonne huomioon ottaen tietojenkäsittelyn toimeksisaaja avustaa rekisterinpitäjää tämän velvollisuuden täyttämisessä vastata rekisteröityjen pyyntöihin heidän oikeuksiensa käyttämisestä. Täyttäessään a ja b alakohdassa tarkoitettuja velvollisuuksiaan tietojenkäsittelyn toimeksisaaja noudattaa rekisterinpitäjän ohjeita.

c) Sen lisäksi, että tietojenkäsittelyn toimeksiantaja on velvollinen avustamaan rekisterinpitäjää 8 kohdan b alakohdan mukaisesti, tietojenkäsittelyn toimeksiantaja avustaa rekisterinpitäjää myös seuraavien velvollisuuksien noudattamisessa ottaen huomioon tietojenkäsittelyn luonteen ja käytettävissään olevat tiedot:

• 1) velvollisuus suorittaa arviointi suunniteltujen käsittelytoimenpiteiden vaikutuksista henkilötietojen suojaan (jäljempänä ”tietosuojavaikutusten arviointi”), jos jonkinlainen käsittely todennäköisesti aiheuttaa suuren riskin luonnollisten henkilöiden oikeuksille ja vapauksille;
• 2) velvollisuus kuulla toimivaltaista valvontaviranomaista tai -viranomaisia ennen käsittelyn aloittamista, jos tietosuojavaikutusten arvioinnista käy ilmi, että käsittely aiheuttaisi suuren riskin, ellei rekisterinpitäjä toteuta toimenpiteitä riskin hillitsemiseksi;
• 3) Velvollisuus varmistaa, että henkilötiedot ovat asiassa paikkansapitäviä ja ajantasaisia, siten että henkilötietojen käsittelijä ilmoittaa viipymättä rekisterinpitäjälle, jos hän havaitsee, että hänen käsittelemänsä henkilötiedot ovat virheellisiä tai vanhentuneita;
• 4) Asetuksen (EU) 2016/679 32 artiklan mukaiset velvoitteet. [Valinta: vaihtoehto 1]

d) Osapuolet määrittelevät liitteessä III asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla tietojenkäsittelijä tukee rekisterinpitäjää tämän lausekkeen soveltamisessa, sekä tarvittavan tuen soveltamisalan ja laajuuden.

Ehto 9: Henkilötietojen suojan loukkausten ilmoittaminen

Henkilötietojen suojanloukkaustapauksessa alihankkija tekee yhteistyötä rekisterinpitäjän kanssa ja tukee tätä asianmukaisesti, jotta rekisterinpitäjä voi täyttää asetuksen (EU) 2016/679 tai tarvittaessa asetuksen (EU) 2018/1725 34 ja 35 artiklan mukaiset velvoitteensa, ottaen huomioon käsittelyn luonteen ja käytettävissään olevat tiedot.

9.1. Rekisterinpitäjän käsittelemien tietojen suojan loukkaus

Jos rekisterinpitäjän käsittelemien tietojen yhteydessä tapahtuu henkilötietojen suojan loukkaus, tietojenkäsittelijä avustaa rekisterinpitäjää seuraavasti:

a) ilmoittamalla henkilötietojen suojan loukkauksesta viipymättä toimivaltaiselle valvontaviranomaiselle tai -viranomaisille, sen jälkeen, kun rekisterinpitäjä on saanut tietää loukkauksesta, mikäli se on asianmukaista (ellei henkilötietojen suojan loukkaus todennäköisesti aiheuta riskiä luonnollisten henkilöiden henkilökohtaisille oikeuksille ja vapauksille);

b) seuraavien tietojen hankkimisessa, jotka asetuksen (EU) 2016/679 33 artiklan 3 kohdan mukaisesti on mainittava rekisterinpitäjän ilmoituksessa, ja näiden tietojen on sisällettävä vähintään seuraavat seikat: [valinta: vaihtoehto 1]

• 1) henkilötietojen luonne, sikäli kuin se on mahdollista, mainiten asianomaisten henkilöiden ryhmät ja arvioidun lukumäärän sekä kyseessä olevien henkilötietorekisterien ryhmät ja arvioidun lukumäärän;
• 2) henkilötietojen suojan loukkaamisen todennäköiset seuraukset;
• 3) rekisterinpitäjän toteuttamat tai ehdottamat toimenpiteet henkilötietojen suojan loukkaamisen korjaamiseksi sekä tarvittaessa toimenpiteet sen mahdollisten haitallisten vaikutusten lieventämiseksi.

Jos ja siltä osin kuin kaikkia näitä tietoja ei voida toimittaa samanaikaisesti, alkuperäisessä ilmoituksessa on oltava kyseisenä ajankohtana saatavilla olevat tiedot, ja lisätietoja toimitetaan ilman aiheetonta viivytystä heti, kun ne ovat saatavilla;

c) asetuksen (EU) 2016/679 mukaisesta velvollisuudesta ilmoittaa rekisteröidylle viipymättä henkilötietojen suojan loukkauksesta, jos loukkaus todennäköisesti aiheuttaa suuren riskin luonnollisten henkilöiden oikeuksille ja vapauksille. [Valinta: vaihtoehto 1]

9.2. Käsittelijän käsittelemien tietojen suojan loukkaus

Jos henkilötietojen suojan loukkausliittyykäsittelijän käsittelemiin tietoihin, käsittelijä ilmoittaa siitä rekisterinpitäjälle viipymättä sen jälkeen, kun se on saanut tiedon loukkauksesta. Ilmoituksessa on oltava vähintään seuraavat tiedot:

a) kuvaus tietoturvaloukkauksen luonteesta (mahdollisuuksien mukaan mainiten asianomaisten henkilöiden ryhmät ja arvioidun lukumäärän sekä asianomaisten tietueiden arvioidun lukumäärän);

b) yhteystiedot yhteyspisteestä, josta voidaan saada lisätietoja henkilötietojen suojan loukkauksesta;

c) arvioidut seuraukset sekä toteutetut tai ehdotetut toimenpiteet henkilötietojen suojan loukkaamisen korjaamiseksi, mukaan lukien toimenpiteet, joilla lievennetään loukkaamisen mahdollisia haitallisia vaikutuksia.

Jos ja siltä osin kuin kaikkia näitä tietoja ei voida toimittaa samanaikaisesti, alkuperäisessä ilmoituksessa on oltava kyseisenä ajankohtana saatavilla olevat tiedot, ja lisätietoja toimitetaan ilman aiheetonta viivytystä heti, kun ne ovat saatavilla.

Osapuolet määrittelevät liitteessä III kaikki muut tiedot, jotka käsittelystä vastaavan on toimitettava rekisterinpitäjän avustamiseksi tämän täyttäessä asetuksen (EU) 2016/679 33 ja 34 artiklan mukaiset velvollisuutensa. [Valinta: vaihtoehto 1]

Liite I: Osapuolten luettelo

Tietojen käsittelijä

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Sveitsi, UID CHE-220.381.580, edustajana Günter Reichelt, hallituksen puheenjohtaja. Yhteystiedot: privacy@mail.transpareo.com.

Tietosuojavaltuutettu ja edustaja EU:ssa GDPR:n 27 artiklan mukaisesti: DGD Deutsche Gesellschaft für Datenschutz, prof. dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 München, Saksa, info@mail.dg-datenschutz.de.

Transpareon kotipaikka on Sveitsissä, jota koskee komission riittävyyspäätös (2000/518/EY). Tiedot sijaitsevat Saksassa.

Rekisterinpitäjät

Transpareo solmii nämä sopimusehdot erikseen kunkin rekisterinpitäjän kanssa. Rekisterinpitäjä on joko:

1. asiakas, joka käyttää Transpareo-alustaa yleisten sopimusehtojen (AGB) mukaisesti. Nimi, osoite ja yhteyshenkilö ovat tiedot, jotka asiakas antaa alustan kautta sopimusta solmiessaan ja joita hän ylläpitää tilillään; yhteyshenkilö on tilinhaltija. Ehdot katsotaan sovituiksi tämän sopimuksen solmimisen yhteydessä (yleisten sopimusehtojen kohta 14).
2. toimittaja, joka välittää pyynnön omille toimittajilleen toimittajasivun kautta. Rekisterinpitäjä on se yritys, jolle pyyntö välitetään linkin kautta, kuten pyynnössä on määritelty. Yhteyshenkilö on se, joka välittää pyynnön, ja hänet tunnistetaan tällöin ilmoittamansa nimen ja sähköpostiosoitteen perusteella. Toimittaja hyväksyy ehdot hyväksymällä ne yrityksensä puolesta pyynnön välittämisen yhteydessä; Transpareo tallentaa hyväksytyn version ja ajankohdan yhdessä välitetyn linkin kanssa. Hänen osaltaan sovelletaan lisäksi toimittajia koskevia käyttöehtoja.

Transpareo nimittää rekisterinpitäjän tietosuojavastaavan heti, kun tämä nimeää hänet.

Yleiset sopimusehdot tai toimittajien käyttöehdot muodostavat kussakin tapauksessa pääsopimuksen. Ehdot solmitaan sähköisesti (GDPR:n 28 artiklan 9 kohta); liittymispäivä on sopimuksen solmimisen ajankohta.

Liite III: Tekniset ja organisatoriset toimenpiteet

Salaus ja pseudonymisointi

• Kaikki yhteydet on salattu TLS:llä.
• Käyttäjätunnukset ja muut salaiset tiedot (PIN-koodit, kertakäyttöisten koodien avaimet, SMTP-tunnukset, API-avaimet) tallennetaan tietokantaan AES-256-GCM-salauksella, ja jokaisella työtilalla on oma avaimensa.
• Varmuuskopiot ovat salattuja.
• Vierailutilastot tallentavat IP-osoitteet vain salaisella avaimella suojattuina hajautusarvoina. Toimittajasivuston käyntejä ei sisällytetä niihin.

Erottelu

• Jokaisella asiakkaalla on oma tietokantansa.

Fyysinen turvallisuus

• Palvelimet ja objektitallennustilat sijaitsevat Hetzner Online GmbH:n tietokeskuksissa Falkensteinissa, Saksassa, jotka ovat ISO 27001 -sertifioituja.

Tunnistautuminen ja käyttöoikeudet

• Salasanat tallennetaan vain bcrypt-hash-muodossa.
• Kaksivaiheinen kirjautuminen kertakäyttökoodilla tai turva-avaimella on kaikkien käyttäjien käytettävissä; asiakas voi vaatia sitä omalle työtilalleen.
• Istunto päättyy asiakkaan asettaman toimettomuusajan kuluttua (oletusasetus kahdeksan tuntia).
• Työtilassa sovelletaan asiakkaan määrittämiä rooleja ja käyttöoikeuksia.
• Transpareon työntekijät avaavat työtilan vain kirjautumalla sisään asiakkaan nimissä, mikä kirjataan alustan lokiin ja työtilan turvallisuuslokiin.
• Toimittajan sivu: Linkki sisältää satunnaisen 16 merkin (80-bittisen) avaimen; ilman PIN-koodia sivu ei näytä mitään tietueesta. Viiden väärän PIN-koodin jälkeen linkki lukitaan 15 minuutiksi. Sivusto hyväksyy enintään 120 kutsua minuutissa IP-osoitetta kohti. Lukituksen avaamisen yhteydessä istunnolle annetaan uusi tunniste. Sivusto on estetty hakukoneilta, eikä se välitä osoitettaan ulkopuolisille sivustoille.

Lokitiedot

• Tietueisiin tehdyt muutokset ja toimittajasivuston tapahtumat kirjataan lokiin aikamerkinnällä, tekijän nimellä ja IP-osoitteella, ja niitä säilytetään viisi vuotta; kirjautumiset ja muut turvallisuustapahtumat säilytetään yhden vuoden ajan.
• Palvelinlokit poistetaan 14 päivän kuluttua.

Eheys

• Toimittajien kuvat säilytetään ilman metatietoja suojatussa tilassa julkisen tallennustilan ulkopuolella, kunnes ne hyväksytään tarkastuksen jälkeen. Vastaus muuttaa tietuetta vasta tarkastuksen jälkeen.
• Julkaistut Pass-versiot on allekirjoitettu kryptografisesti.

Saatavuus ja palautus

• Joka neljännen tunnin välein jokaisen aktiivisen työtilan tietokanta ja tiedostot varmuuskopioidaan, salataan ja tallennetaan erillään palvelimista objektitallennustilaan Saksassa. Paikalliset kopiot poistetaan neljän päivän kuluttua. Objektitallennustilassa olevia varmuuskopioita säilytetään 90 päivää, minkä jälkeen ne poistetaan lopullisesti 30 päivän kuluessa.
• Palveluita ja palvelimia valvotaan jatkuvasti; tietoturvapäivitykset asennetaan säännöllisesti.
• Transpareo tarkistaa nämä toimenpiteet säännöllisesti ja mukauttaa ne tekniikan kehitykseen.

Rekisterinpitäjän tuki (kohdat 8 ja 9)

• Asiakas voi tarkastella, oikaista ja poistaa työtilansa tietoja alustalla. Toimittaja näkee vastaukset lähettämiinsä pyyntöihin toimittajasivulla ja voi peruuttaa minkä tahansa lähettämänsä linkin.
• Transpareo välittää välittömästi rekisterinpitäjälle kaikki Transpareolle saapuvat rekisteröityjen pyynnöt.
• Kohdissa 7.7 ja 9.2 tarkoitetut ilmoitukset lähetetään sähköpostitse asiakkaan tilinhaltijalle sekä toimittajan jakamisen yhteydessä ilmoittamaan sähköpostiosoitteeseen. Kohdan 9.2 b alakohdassa tarkoitettu yhteyspiste on privacy@mail.transpareo.com.
• Kohdan 9.2 mukaisessa ilmoituksessa mainitaan lisäksi rikkomuksen ajankohta ja sen havaitsemisen ajankohta sekä asianomaiset työalueet tai linkit.

Sveitsiläinen lisäys

Tämä lisäys on 2 kohdan b alakohdan mukainen lisäehto. Siltä osin kuin käsittely kuuluu Sveitsin liittovaltion tietosuojalain (DSG) soveltamisalaan:

1. viittaukset asetukseen (EU) 2016/679 katsotaan samalla viittauksiksi DSG:n vastaaviin säännöksiin, nimittäin GDPR:n 28 artiklaan DSG:n 9 artiklaan, 32 artiklaan 8 artiklaan, 33 ja 34 artiklaa DSG:n 24 artiklaan, 35 ja 36 artiklaa DSG:n 22 ja 23 artiklaan, V luku vastaavat 16-18 artiklaa, rekisteröityjen oikeudet vastaavat DSG:n 25-32 artiklaa ja lausekkeen 7.5 mukaiset arkaluonteiset tiedot vastaavat DSG:n 5 artiklan c alakohdan mukaisia erityisen suojattavia henkilötietoja;
2. toimivaltaisena valvontaviranomaisena toimii Sveitsin liittovaltion tietosuoja- ja julkisuusvaltuutettu (EDÖB); tämä ei vaikuta valvontaviranomaisten toimivaltaan GDPR:n mukaisesti;
3. jäsenvaltion lainsäädäntönä pidetään myös Sveitsin lainsäädäntöä.

Voimassa 8. lokakuuta 2026 alkaen