Tietojenkäsittelyä koskeva liite

• Fabrixa B.V. · Markerkant 13 10, 1314 AN Almere, Alankomaat · KvK 74188445 · Versio 1.0, voimaan 22. lokakuuta 2026

1. Soveltamisala ja osapuolet

1.1 Tämä tietojenkäsittelyliite (“DPA”) on osa Fabrixa-yhtiön käyttöehtoja (“Ehdot”), jotka on sovittu Fabrixa B.V.:n (“Fabrixa”) ja Fabrixa-tilin omistavan yritysasiakkaan (“Asiakas”) välillä. Sitä sovelletaan aina, kun Fabrixa käsittelee henkilötietoja Asiakkaan puolesta Palveluita tarjotessaan.

1.2 Loppuasiakkaan tietojen (vastaanottajien nimet, toimitusosoitteet, yhteystiedot sekä graafisessa materiaalissa tai tilaushuomautuksissa olevat henkilötiedot) osalta Asiakas on rekisterinpitäjä tai omien asiakkaidensa puolesta toimiva henkilötietojen käsittelijä, ja Fabrixa on henkilötietojen käsittelijä tai alikäsittelijä. Silloin kun asiakas itse toimii käsittelijänä, asiakas vakuuttaa, että sen rekisterinpitäjä on hyväksynyt Fabrixa-yhtiön käyttämisen sekä tämän tietosuojasopimuksen ehdot.

1.3 Asiakkaan omien tili-, laskutus-, tuki- ja käyttötietojen osalta Fabrixa toimii itsenäisenä rekisterinpitäjänä; kyseistä tietojenkäsittelyä kuvataan tietosuojakäytännössä, ei tässä DPA:ssa.

1.4 Hyväksyminen. Tämä tietosuojasopimus hyväksytään sähköisesti hyväksymällä käyttöehdot. Pyydettäessä Fabrixa toimittaa asiakkaalle allekirjoitetun kopion arkistointia varten; allekirjoitetun kopion sisältö on sama, eikä se muuta sopimuksen voimaantulopäivää.

2. Käsittelyn yksityiskohdat

2.1 Käsittelyn kohde, kesto, luonne, tarkoitus, tietoryhmät ja rekisteröidyt on esitetty liitteessä 1. Käsittely kestää niin kauan kuin Asiakas käyttää Palveluita, minkä lisäksi siihen lisätään kohdassa 10 mainittu poistamisaika.

3. Asiakkaan ohjeet

3.1 Fabrixa käsittelee henkilötietoja ainoastaan asiakkaan kirjallisten ohjeiden mukaisesti, myös kolmanteen maahan suuntautuvien siirtojen osalta, ellei EU:n tai jäsenvaltion lainsäädäntö sitä vaadi; tällöin Fabrixa ilmoittaa asiakkaalle kyseisestä lakisääteisestä vaatimuksesta ennen käsittelyä, ellei laki kiellä tätä tärkeiden yleisen edun perusteiden vuoksi.

3.2 Asiakkaan ohjeet ovat: Ehdot, tämä tietosuojasopimus, tilaukset, asetukset ja API-pyynnöt, jotka asiakas toimittaa alustan kautta, sekä Fabrixa-yhtiön tukikanavalle lähetetyt kirjalliset ohjeet. Fabrixa voi veloittaa palvelujen ulkopuolelle jäävistä ohjeista.

3.3 Fabrixa ilmoittaa asiakkaalle viipymättä, jos se katsoo, että ohje rikkoo GDPR:ää tai muuta sovellettavaa tietosuojalainsäädäntöä. Fabrixa voi keskeyttää ohjeen noudattamisen, kunnes asiakas vahvistaa tai muuttaa sitä.

3.4 Asiakas on vastuussa toimittamiensa henkilötietojen laillisuudesta, loppuasiakkaille antamistaan tiedoista sekä siitä, ettei hän toimita erityisluokan tietoja (GDPR:n 9 artikla) tai lasten tietoja kuvamateriaaliin tai tilaushuomautuksiin.

4. Luottamuksellisuus

4.1 Fabrixa varmistaa, että jokainen henkilö, jolle se myöntää luvan henkilötietojen käsittelyyn – henkilöstö, alihankkijat ja suunnittelukumppani – on sitoutunut noudattamaan sopimukseen perustuvaa tai lakisääteistä salassapitovelvollisuutta ja käsittelee tietoja vain siinä laajuudessa kuin se on heidän tehtäviensä kannalta tarpeen.

5. Turvallisuus

5.1 Fabrixa toteuttaa ja ylläpitää liitteessä 2 mainittuja teknisiä ja organisatorisia toimenpiteitä ottaen huomioon tekniikan nykytilan, toteutuskustannukset, käsittelyn luonteen, laajuuden, yhteyden ja tarkoitukset sekä rekisteröityihin kohdistuvat riskit (GDPR:n 32 artikla). Fabrixa voi päivittää liitteen 2 edellyttäen, että yleinen suojan taso ei heikkene.

6. Alikäsittelijät

6.1 Yleinen valtuutus. Asiakas antaa Fabrixa-yhtiölle yleisen kirjallisen valtuutuksen käyttää alihankkijoita liitteessä 1 kuvatun tietojenkäsittelyn toteuttamiseen.

6.2 Nykyinen luettelo. Voimaantulopäivänä käytössä olevat alihankkijat on lueteltu osoitteessa https://www.fabrixa.com/sub-processors/ (liite 3 viittaa kyseiseen luetteloon). Luettelossa ilmoitetaan kunkin alihankkijan osalta palvelu, käsittelypaikka ja siirtomekanismi.

6.3 Ilmoitus muutoksista. Fabrixa julkaisee kyseisellä sivulla tiedot alihankkijan lisäämisestä tai vaihtamisesta ja lähettää sähköpostiviestin tilin omistajalle vähintään 30 päivää ennen kuin uusi alihankkija alkaa käsitellä asiakastietoja. Muutokset, jotka tehdään palvelujen suojaamiseksi välittömältä tietoturvariskiltä, voivat tulla voimaan välittömästi, ja niistä ilmoitetaan mahdollisimman pian sen jälkeen.

6.4 Oikeus esittää vastalause. Asiakas voi esittää kirjallisen vastalauseen osoitteeseen privacy@fabrixa.com 30 päivän kuluessa ilmoituksesta perustelluilla ja dokumentoiduilla tietosuojasyillä. Osapuolet keskustelevat vastalauseesta vilpittömässä mielessä. Mikäli Fabrixa ei pysty tarjoamaan kohtuullista vaihtoehtoa 30 päivän kuluessa, asiakas voi irtisanoa kyseiset palvelut ilman sakkomaksuja kirjallisella ilmoituksella; ennakkoon maksetut lompakkosaldot palautetaan suhteutettuna.

6.5 Siirto. Fabrixa velvoittaa jokaisen alihankkijan kirjallisella sopimuksella noudattamaan tietosuojavelvoitteita, jotka takaavat vähintään tämän tietosuojasopimuksen mukaisen suojan tason, ja on edelleen täysin vastuussa asiakkaalle alihankkijan suorituskyvystä.

6.6 Tuotanto- ja logistiikkakumppanit valitaan tilauskohtaisesti, ja ne on lueteltu luokittain ja maittain. Pyynnöstä ja salassapitositoumuksen perusteella Fabrixa ilmoittaa asiakkaalle sen kumppanin nimen, joka on käsitellyt kyseisen tilauksen.

7. Asiakastuki

7.1 Rekisteröidyn pyynnöt. Fabrixa välittää kaikki loppuasiakkaalta saamansa pyynnöt asiakkaalle viiden työpäivän kuluessa eikä vastaa niihin suoraan, ellei asiakas toisin määrää. Fabrixa avustaa asiakasta toteuttamaan asianmukaiset tekniset ja organisatoriset toimenpiteet GDPR:n III luvun mukaisten pyyntöjen käsittelemiseksi.

7.2 Fabrixa avustaa asiakasta – ottaen huomioon käsittelyn luonteen ja Fabrixa-yhtiön käytettävissä olevat tiedot – asiakkaan GDPR:n 32–36 artiklan mukaisissa velvoitteissa (tietoturva, tietoturvaloukkausten ilmoittaminen, tietosuojavaikutusten arvioinnit ja ennakkokuuleminen).

8. Henkilötietojen tietoturvaloukkaus

8.1 Fabrixa ilmoittaa asiakkaalle viipymättä ja joka tapauksessa 48 tunnin kuluessa siitä, kun se on saanut tiedon asiakkaan tietoja koskevasta henkilötietoturvaloukkauksesta. Ilmoituksessa kuvataan loukkauksen luonne, asianomaisten rekisteröityjen ja tietueiden luokat sekä arvioitu lukumäärä, todennäköiset seuraukset, toteutetut tai ehdotetut toimenpiteet sekä yhteyspiste. Tiedot voidaan toimittaa vaiheittain.

8.2 Fabrixa ei ilmoita asiasta loppuasiakkaille tai valvontaviranomaisille asiakkaan puolesta, ellei asiakas anna siihen ohjeita tai laki sitä vaadi.

9. Kansainväliset siirrot

9.1 Fabrixa käsittelee asiakastietoja Euroopan talousalueella. Siirrot kolmanteen maahan tapahtuvat ainoastaan GDPR:n V luvun mukaisilla suojatoimenpiteillä: riittävyyspäätöksellä tai vakiolausekkeilla (komission päätös (EU) 2021/914) sekä tarvittaessa täydentävillä toimenpiteillä. Kunkin alihankkijan siirtomekanismi on ilmoitettu alihankkijaluettelossa.

10. Poistaminen ja palauttaminen

10.1 Palveluiden päättyessä tai asiakkaan kirjallisesta pyynnöstä Fabrixa poistaa asiakastiedot 30 päivän kuluessa, ellei EU:n tai jäsenvaltion lainsäädäntö vaadi niiden säilyttämistä pidempään. Laskut ja verotustarkoituksiin tarvittavat tilausasiakirjat säilytetään Alankomaiden lainsäädännön mukaisesti 7 vuotta; riita- ja korvausvaatimuksia koskevat asiakirjat säilytetään sovellettavan vanhentumisajan ajan. Lakisääteisen säilytysvelvollisuuden alaiset tiedot pysyvät estettyinä muuhun käyttöön.

10.2 Ennen tietojen poistamista asiakas voi viedä tilaustiedot alustan ja API:n kautta. Fabrixa tarjoaa kohtuullista apua muiden vientimuotojen kanssa vakiohinnoittelunsa mukaisesti.

11. Tarkastukset ja tiedot

11.1 Fabrixa toimittaa asiakkaalle kaikki tiedot, jotka ovat tarpeen GDPR:n 28 artiklan noudattamisen osoittamiseksi: tämän tietosuojasopimuksen, alikäsittelijöiden luettelon, liitteen 2 sekä pyynnöstä täytetyn tietoturvakyselylomakkeen ja palveluntarjoajiensa tuoreimmat kolmannen osapuolen raportit tai sertifikaatit.

11.2 Mikäli kyseiset tiedot ovat kohtuullisesti katsottuna riittämättömiä, asiakas tai salassapitovelvollisuuden alainen riippumaton tarkastaja voi tarkastaa Fabrixa-yhtiön kyseiset käsittelytoiminnot kerran 12 kuukauden välein, 30 päivän kirjallisella ennakkoilmoituksella, aukioloaikoina ja toimintaa häiritsemättä, asiakkaan kustannuksella. Valvontaviranomaisen vaatimien tai henkilötietojen tietoturvaloukkauksen seurauksena suoritettavien tarkastusten tiheydelle ei ole asetettu rajoituksia. Tarkastukset eivät ulotu muiden asiakkaiden tietoihin tai tuotantokumppaneiden tiloihin; näiden osalta Fabrixa luottaa sopimusperusteisiin vakuutuksiin ja omiin toimittajatarkastuksiinsa.

12. Yleistä

12.1 Tämän tietosuojasopimuksen mukainen vastuu määräytyy käyttöehtojen 13 kohdan mukaisesti.

12.2 Mikäli tämä tietosuojasopimus on ristiriidassa käyttöehtojen kanssa tietosuoja-asiassa, tämä tietosuojasopimus on ensisijainen. Mikäli siirtoon sovelletaan vakiolausekkeita, ne ovat ensisijaisia tähän tietosuojasopimukseen nähden.

12.3 Fabrixa voi päivittää tämän tietosuojasopimuksen lainsäädännön tai Palveluiden muutosten mukaisesti; olennaisista muutoksista ilmoitetaan samalla tavalla kuin alihankkijoiden muutoksista (kohta 6.3). Palveluiden käytön jatkaminen voimaantulopäivän jälkeen merkitsee sopimuksen hyväksymistä.

12.4 Tämä tietojenkäsittelysopimus solmitaan englannin kielellä. Verkkosivuston käännökset on tarkoitettu vain lukemisen helpottamiseksi; englanninkielinen versio on ratkaiseva. Sovellettava laki ja toimivaltaiset tuomioistuimet määräytyvät käyttöehtojen kohdan 16 mukaisesti (Alankomaat; Amsterdam).

12.5 Tämän tietosuojasopimuksen yhteyshenkilö sekä ilmoitukset ja tietosuojaan liittyvät kysymykset: privacy@fabrixa.com.

Liite 1 — Käsittelyn yksityiskohdat

Liite 2 — Tekniset ja organisatoriset toimenpiteet

Liite 3 — Alikäsittelijät

Nykyinen luettelo on saatavilla osoitteessa https://www.fabrixa.com/sub-processors/, ja se on osa tätä tietosuojasopimusta sen voimaantulopäivänä voimassa olevassa muodossaan; myöhemmät muutokset käsitellään kohdassa 6.