Tietosuojaseloste

1. Rekisterinpitäjät ja yhteystiedot

Rekisterinpitäjä

Nettiteeri Oy (Y-tunnus 3331525-2)

Yhteyshenkilö

Juha-Pekka Teirikangas

Sähköposti

juha-pekka@nettiteeri.fi

Puhelin

044 280 9861

Nettiteeri Oy on rekisterinpitäjä verkkosivuston käyttöä koskeville tiedoille, sille tuleville yhteydenotoille sekä allekirjoituspalvelun käyttäjätileille (yritysten työntekijät, jotka lähettävät allekirjoituspyyntöjä ja hallinnoivat sopimusarkistoa).

Allekirjoituspyynnöt ja sopimusarkisto

Allekirjoituspalvelua ylläpitää Nettiteeri Oy. Palvelua käyttää useampi yritys, ja kullakin on oma sopimusarkistonsa. Sopimuksen ja siihen liittyvän allekirjoituspyynnön henkilötietojen rekisterinpitäjä on se yritys, jonka nimissä allekirjoituspyyntö lähetetään ja jonka arkistoon sopimus tallennetaan. Yrityksen nimi näkyy allekirjoituskutsussa, allekirjoitussivulla ja valmiin sopimuksen todennussivulla.

Kun rekisterinpitäjä on muu yritys kuin Nettiteeri Oy, Nettiteeri Oy käsittelee tietoja kyseisen yrityksen lukuun ja sen ohjeiden mukaan henkilötietojen käsittelijänä (tietosuoja-asetuksen 28 artikla). Sopimusta koskevat pyynnöt kannattaa silloin osoittaa suoraan kyseiselle yritykselle; Nettiteeri Oy välittää sille tulleet pyynnöt oikealle rekisterinpitäjälle.

Palvelua käyttävät yritykset: Nettiteeri Oy (Y-tunnus 3331525-2) ja [AVOIN: muut palvelua käyttävät yritykset – nimi, Y-tunnus ja tietosuoja-asioiden yhteystieto].

2. Allekirjoituspalvelussa käsiteltävät tiedot ja niiden lähteet

Palvelun avulla yritys lähettää sopimuksen sähköisesti allekirjoitettavaksi. Allekirjoittajat allekirjoittavat sen henkilökohtaisen linkin kautta, ja valmis sopimus tallennetaan yrityksen arkistoon ja lähetetään kaikille osapuolille. Arkistoon voidaan tallentaa myös muualla allekirjoitettuja sopimuksia.

Allekirjoittajat

• Nimi, sähköpostiosoite ja asiointikieli.
• Allekirjoituspyynnön tiedot: sopimus, lähettäjä, saateviesti ja pyynnön tila (lähetetty, avattu, allekirjoitettu tai kieltäydytty).
• Allekirjoitus: kirjoitettu tai piirretty nimi, hyväksyntä ja ajankohta, tai tieto kieltäytymisestä.
• Tunnistamis- ja todennustiedot: allekirjoituslinkin ja sähköpostiin lähetetyn kertakoodin käyttö, tapahtumien aikaleimat, IP-osoite, selaimen tunniste (user agent) sekä asiakirjojen tiivisteet (SHA-256).
• Sopimusasiakirjan sisältämät tiedot, kuten osapuolten yhteystiedot ja muut sopimukseen kirjatut tiedot.

Palvelu ei kerää henkilötunnusta. Jos osapuolet ovat kirjanneet sen sopimusasiakirjaan, sitä käsitellään vain osana sopimusta tietosuojalain 29 §:n rajoissa.

Palvelun käyttäjät (yritysten työntekijät)

• Nimi, sähköpostiosoite, käyttäjärooli ja yrityskohtaiset käyttöoikeudet.
• Kirjautumistiedot: salasana tiivisteenä sekä kaksivaiheisen tunnistautumisen (TOTP) salaisuus ja varakoodit salattuina.
• Istuntotiedot: IP-osoite, selaimen tunniste ja viimeisimmän toiminnan aika.
• Palvelussa tehdyt toimenpiteet, kuten lähetetyt allekirjoituspyynnöt ja arkistoon tallennetut sopimukset.

Mistä tiedot saadaan

Allekirjoittajan nimen ja sähköpostiosoitteen sekä sopimusasiakirjan antaa allekirjoituspyynnön lähettävä yritys, joka on yleensä saanut ne allekirjoittajalta itseltään tai tämän edustamalta organisaatiolta sopimusta valmisteltaessa. Tunnistamis- ja todennustiedot syntyvät, kun allekirjoittaja käyttää allekirjoituslinkkiä. Muualla allekirjoitetut sopimukset (esimerkiksi aiemmin SignHero-palvelussa allekirjoitetut) tietoineen tallentaa arkistoon yritys omista aineistoistaan. Käyttäjätilin tiedot saadaan käyttäjältä itseltään ja tilin luovalta ylläpitäjältä. Tietoja ei kerätä julkisista lähteistä.

3. Käsittelyn tarkoitukset, oikeusperusteet ja säilytysajat

Allekirjoituspyyntöjen lähettäminen ja sopimuksen allekirjoittaminen

Tiedot

Allekirjoittajan nimi, sähköpostiosoite ja asiointikieli, allekirjoituspyynnön tiedot ja allekirjoitus.

Oikeusperuste

Sopimuksen tekeminen ja täytäntöönpano, kun allekirjoittaja on itse sopimuksen osapuoli (tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohta). Kun allekirjoittaja edustaa yritystä tai muuta organisaatiota, rekisterinpitäjän oikeutettu etu tehdä sopimus sähköisesti ja todennettavasti (tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta).

Säilytysaika

Allekirjoitettu sopimus säilytetään kuten kohdassa ”Sopimusarkisto” kerrotaan. Kesken jääneen, perutun, vanhentuneen tai kieltäydytyn pyynnön tiedot poistetaan 12 kuukauden kuluttua pyynnön päättymisestä.

Allekirjoittajan tunnistaminen ja allekirjoituksen todentaminen

Tiedot

Allekirjoituslinkin ja kertakoodin käyttö, tapahtumien aikaleimat, IP-osoite, selaimen tunniste ja asiakirjojen tiivisteet.

Oikeusperuste

Rekisterinpitäjän ja sopimusosapuolten oikeutettu etu pystyä osoittamaan, kuka sopimuksen on allekirjoittanut ja milloin ja ettei asiakirjaa ole muutettu, sekä laatia, esittää tai puolustaa oikeudellisia vaatimuksia (tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta).

Säilytysaika

Todennustiedot säilytetään yhdessä sopimuksen kanssa. Kertakoodi on voimassa vain lyhyen ajan eikä sitä voi käyttää uudelleen; säilyviin tietoihin jää vain tieto koodin lähettämisestä ja vahvistamisesta.

Sopimusarkisto

Tiedot

Allekirjoitetut sopimukset todennussivuineen, arkistoon tuodut muualla allekirjoitetut sopimukset sekä niiden osapuolten ja allekirjoitusten tiedot.

Oikeusperuste

Rekisterinpitäjän oikeutettu etu säilyttää tekemänsä sopimukset ja todisteet niistä (tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta) sekä kirjanpitolain (1336/1997) mukainen säilytysvelvollisuus, kun sopimus on kirjanpitoaineistoa (tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohta).

Säilytysaika

Sopimussuhteen ajan ja sen jälkeen niin kauan kuin sopimukseen perustuvia vaatimuksia voidaan esittää (laki velan vanhentumisesta 728/2003), pääsääntöisesti 10 vuotta sopimussuhteen päättymisestä. Kirjanpitoaineistoon kuuluva sopimus säilytetään vähintään kirjanpitolain edellyttämän ajan, eli tositteena kuusi vuotta sen vuoden lopusta, jonka aikana tilikausi päättyi.

Sähköpostien lähettäminen

Allekirjoituskutsut, kertakoodit ja valmiit sopimukset lähetetään sähköpostilla rekisterinpitäjänä toimivan yrityksen nimissä. Lähetyksessä käsitellään vastaanottajan nimeä, sähköpostiosoitetta ja viestin sisältöä, jonka liitteenä voi olla valmis sopimus. Oikeusperuste ja säilytysaika ovat samat kuin sillä käsittelyllä, johon viesti liittyy.

Palvelun käyttäjätilit ja tietoturva

Tiedot

Käyttäjän nimi, sähköpostiosoite, rooli ja käyttöoikeudet, kirjautumis- ja istuntotiedot sekä tekniset lokit.

Oikeusperuste

Nettiteeri Oy:n ja palvelua käyttävien yritysten oikeutettu etu päästää palveluun vain valtuutetut käyttäjät ja suojata sopimustiedot (tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta).

Säilytysaika

Käyttäjätili säilytetään niin kauan kuin käyttäjällä on pääsy palveluun, ja se poistetaan 12 kuukauden kuluttua tilin sulkemisesta. Istuntotiedot poistetaan istunnon vanhennuttua. Käyttäjän nimi voi säilyä sopimuksen todennustiedoissa, esimerkiksi allekirjoituspyynnön lähettäjänä, sopimuksen säilytysajan.

Verkkosivuston käyttö

Tiedot

Palvelimen lokitiedot, kuten IP-osoite, ajankohta, pyydetty osoite ja selaimen tunniste.

Oikeusperuste

Oikeutettu etu ylläpitää sivustoa sekä selvittää häiriöitä ja väärinkäytöksiä (tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta).

Säilytysaika

Enintään 3 kuukautta.

Yhteydenotot

Tiedot

Yhteydenottajan nimi, yhteystiedot ja viestin sisältö.

Oikeusperuste

Oikeutettu etu vastata yhteydenottoihin (tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta) tai yhteydenottajan pyynnöstä tehtävät sopimusta edeltävät toimet (tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohta).

Säilytysaika

Niin kauan kuin asian hoitaminen edellyttää. Jos yhteydenotosta syntyy asiakassuhde, tietoja säilytetään asiakassuhteen ajan ja sen jälkeen kirjanpitolain edellyttämän ajan.

4. Evästeet ja kolmansien osapuolten sisältö

Verkkosivusto ei itse käytä evästeitä eikä analytiikka- tai mainontatyökaluja. Etusivun Spotify-soittimet ladataan Spotifyn palvelimilta vasta, kun napsautat soittimen kohdalla olevaa latauspainiketta. Soittimen latautuessa Spotify voi tallentaa laitteellesi evästeitä ja saa tietoja, kuten IP-osoitteesi ja selaimesi tiedot. Spotify käsittelee niitä omana rekisterinpitäjänään oman tietosuojakäytäntönsä mukaisesti.

Soittimien lataaminen perustuu suostumukseesi (sähköisen viestinnän palveluista annetun lain 917/2014 205 § ja tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohta). Valintaa ei tallenneta: soittimet ladataan vain kyseisellä sivunlatauksella, ja suostumuksen voi perua lataamalla sivun uudelleen. Laitteellesi jo tallentuneet Spotifyn evästeet voit poistaa selaimen asetuksista.

Allekirjoituspalvelu (sign.nettiteeri.fi) käyttää vain palvelun toiminnan kannalta välttämättömiä evästeitä, kuten istunto- ja tietoturvaevästeitä, joihin ei tarvita suostumusta (205 §:n 2 momentti).

5. Tietojen vastaanottajat ja käsittelijät

• Sopimuksen muut osapuolet. Valmis sopimus todennussivuineen lähetetään kaikille sopimuksen osapuolille. Todennussivulla näkyvät kunkin allekirjoittajan nimi, sähköpostiosoite, allekirjoitusaika ja tunnistamistapa sekä asiakirjan tiivisteet. Jos sama sopimus allekirjoitetaan erikseen usean henkilön kanssa (esimerkiksi projektisopimus), jokaisesta tehdään oma kappale, eivätkä allekirjoittajat näe toistensa tietoja.
• Mailgun (Sinch-konserni) lähettää allekirjoituskutsut, kertakoodit ja valmiit sopimukset henkilötietojen käsittelijänä. Kullakin yrityksellä on oma Mailgun-tilinsä, ja se valitsee, käyttääkö se Mailgunin EU- vai Yhdysvaltain-palvelualuetta; EU-alueella viestit tallennetaan EU:ssa. Ks. kohta 6.
• Sähköpostipalvelu järjestelmäviesteille. Palvelun käyttäjille lähetettävät kutsut ja salasanan palautusviestit lähetetään henkilötietojen käsittelijän kautta: [AVOIN: järjestelmäviestien lähetyspalvelu ja sen sijaintimaa].
• Palvelinympäristön tarjoaja ylläpitää verkkosivustoa ja allekirjoituspalvelua henkilötietojen käsittelijänä: [AVOIN: palveluntarjoajan nimi ja palvelinten sijaintimaa].
• Nettiteeri Oy käsittelee muiden yritysten sopimustietoja niiden lukuun palvelun ylläpitäjänä (ks. kohta 1).
• Viranomaiset, kun laki velvoittaa luovuttamaan tietoja.

Tietoja ei myydä eikä luovuteta markkinointiin.

6. Tietojen siirto EU:n ja ETA:n ulkopuolelle

Mailgun on Sinch-konserniin kuuluvan yhdysvaltalaisen Mailgun Technologies, Inc:n palvelu. Jos yritys käyttää Mailgunin Yhdysvaltain-palvelualuetta, viestit ja lähetystiedot tallennetaan Yhdysvalloissa. Myös EU-alueella tietoja voidaan käsitellä konsernin yhdysvaltalaisissa yhtiöissä palvelun tuottamiseksi. Siirrot perustuvat Euroopan komission vakiosopimuslausekkeisiin (täytäntöönpanopäätös (EU) 2021/914), jotka sisältyvät Mailgunin tietojenkäsittelysopimukseen.

Spotify voi siirtää tietoja EU:n ulkopuolelle oman tietosuojakäytäntönsä mukaisesti. Palvelinympäristö: [AVOIN: siirtyvätkö tiedot EU:n/ETA:n ulkopuolelle ja millä perusteella].

7. Sinun oikeutesi

Sinulla on tietosuoja-asetuksen mukaan oikeus

• saada tietää, käsitelläänkö tietojasi, ja saada pääsy niihin (15 artikla)
• vaatia virheellisten tietojen oikaisemista (16 artikla)
• vaatia tietojesi poistamista (17 artikla); oikeus ei koske tietoja, joita tarvitaan lakisääteisen velvoitteen noudattamiseen tai oikeudellisen vaatimuksen laatimiseen, esittämiseen tai puolustamiseen, kuten allekirjoitetun sopimuksen todennustietoja niiden säilytysaikana
• vaatia käsittelyn rajoittamista (18 artikla)
• vastustaa oikeutettuun etuun perustuvaa käsittelyä erityiseen tilanteeseesi liittyvällä perusteella (21 artikla)
• saada antamasi tiedot koneluettavassa muodossa ja siirtää ne toiselle rekisterinpitäjälle, kun käsittely perustuu sopimukseen tai suostumukseen ja tapahtuu automaattisesti (20 artikla)
• peruuttaa suostumuksesi milloin tahansa; peruuttaminen ei vaikuta sitä ennen tehdyn käsittelyn lainmukaisuuteen (7 artiklan 3 kohta).

Lähetä pyyntö rekisterinpitäjälle (kohta 1). Sopimusta koskevat pyynnöt kannattaa osoittaa yritykselle, jonka nimissä allekirjoituspyyntö lähetettiin. Pyyntöön vastataan ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa (12 artikla). Henkilöllisyytesi voidaan joutua varmistamaan ennen tietojen luovuttamista.

Jos katsot, että tietojesi käsittely rikkoo tietosuojalainsäädäntöä, voit tehdä valituksen valvontaviranomaiselle, joka Suomessa on tietosuojavaltuutettu (tietosuoja-asetuksen 77 artikla, tietosuojalain 8 §):

Valvontaviranomainen

Tietosuojavaltuutetun toimisto

Postiosoite

PL 800, 00531 Helsinki

Sähköposti

tietosuoja@om.fi

Verkkosivut

tietosuoja.fi

8. Onko tietojen antaminen pakollista

Tietojen antaminen ei perustu lakiin. Nimi ja sähköpostiosoite ovat kuitenkin välttämättömiä, jotta voit allekirjoittaa sopimuksen palvelussa: ilman niitä allekirjoituskutsua ja kertakoodia ei voida lähettää. Jos et halua allekirjoittaa sähköisesti, voit sopia muusta allekirjoitustavasta pyynnön lähettäneen yrityksen kanssa. Palvelun käyttäjätili edellyttää nimeä, sähköpostiosoitetta ja kaksivaiheista tunnistautumista. Verkkosivuston selaaminen ei edellytä tietojen antamista.

9. Automaattinen päätöksenteko

Tietojasi ei käytetä automaattiseen päätöksentekoon eikä profilointiin, jolla olisi sinua koskevia oikeusvaikutuksia tai muita vastaavia merkittäviä vaikutuksia (22 artikla).

10. Sähköinen allekirjoitus ja todennus

Palvelussa annettava allekirjoitus on EU:n eIDAS-asetuksen ((EU) N:o 910/2014, sellaisena kuin se on muutettuna asetuksella (EU) 2024/1183) 3 artiklan 10 alakohdassa tarkoitettu sähköinen allekirjoitus, niin sanottu yksinkertainen sähköinen allekirjoitus. Se ei ole asetuksessa tarkoitettu kehittynyt tai hyväksytty sähköinen allekirjoitus, eikä se perustu vahvaan sähköiseen tunnistamiseen (esimerkiksi pankkitunnuksiin tai mobiilivarmenteeseen).

Miten allekirjoittaja tunnistetaan

• Jokainen allekirjoittaja saa sähköpostiinsa oman, yksilöllisen allekirjoituslinkin, joka vanhenee.
• Kun linkki avataan, samaan sähköpostiosoitteeseen lähetetään kertakoodi, joka on syötettävä ennen allekirjoittamista.
• Allekirjoittaja tutustuu asiakirjaan, kirjoittaa tai piirtää nimensä ja vahvistaa hyväksyvänsä sopimuksen.

Allekirjoittaja yksilöidään siis sen perusteella, että hänellä on pääsy sähköpostiosoitteeseen, johon allekirjoituspyyntö lähetettiin. Palvelu ei tarkista allekirjoittajan henkilöllisyyttä virallisesta lähteestä.

Mitä tallennetaan

Palvelu tallentaa allekirjoitustapahtumat (linkin avaaminen, kertakoodin lähettäminen ja vahvistaminen, allekirjoittaminen tai kieltäytyminen) aikaleimoineen sekä kunkin tapahtuman IP-osoitteen ja selaimen tunnisteen. Alkuperäisestä asiakirjasta lasketaan SHA-256-tiiviste, jonka avulla voidaan myöhemmin osoittaa, että allekirjoitettu asiakirja on sama kuin allekirjoitettavaksi lähetetty.

Valmis sopimus ja sähköinen leima

Kun kaikki osapuolet ovat allekirjoittaneet, alkuperäisen asiakirjan perään lisätään todennussivu, jolla näkyvät osapuolet, allekirjoitusajat ja tiivisteet. Alkuperäisen asiakirjan sivuja ei muuteta. Koko tiedosto varmennetaan PDF-muotoisella sähköisellä leimalla (PAdES) allekirjoituspyynnön lähettäneen yrityksen varmenteella, ja valmis sopimus lähetetään sähköpostilla kaikille osapuolille.

Leima osoittaa, ettei tiedostoa ole muutettu leimaamisen jälkeen ja että leima on luotu kyseisen varmenteen avaimella. Leima ei todista allekirjoittajien henkilöllisyyttä, eikä se ole eIDAS-asetuksessa tarkoitettu hyväksytty sähköinen leima. Jos yritys käyttää itse luomaansa varmennetta, PDF-lukija voi näyttää leiman myöntäjän tuntemattomana, vaikka tiedoston eheys on tarkistettavissa. Aikaleimat perustuvat palvelun palvelimen kelloon; niissä ei käytetä hyväksyttyä sähköistä aikaleimaa.

Oikeusvaikutukset

eIDAS-asetuksen 25 artiklan 1 kohdan mukaan sähköisen allekirjoituksen oikeusvaikutuksia ja käytettävyyttä todisteena oikeudellisissa menettelyissä ei voida kieltää pelkästään sillä perusteella, että se on sähköisessä muodossa tai ettei se täytä hyväksyttyjen sähköisten allekirjoitusten vaatimuksia. Suomessa useimmat sopimukset ovat vapaamuotoisia. Palvelu ei sovellu oikeustoimiin, joille laki asettaa erityisiä muotovaatimuksia, kuten kiinteistön kauppaan tai testamenttiin. Allekirjoituksen näyttöarvo riippuu tallennetuista todennustiedoista ja tapauksen olosuhteista.

Arkistoon tuodut sopimukset

Muualla, esimerkiksi SignHero-palvelussa, allekirjoitetut sopimukset tallennetaan arkistoon sellaisinaan. Niiden allekirjoitusten todentaminen perustuu alkuperäisen palvelun tietoihin; tämä palvelu ei lisää niihin omaa todennustaan.

11. Selosteen muuttaminen

Selostetta päivitetään, kun palvelu tai lainsäädäntö muuttuu. Voimassa oleva versio on aina tällä sivulla, ja sen päivityspäivä näkyy sivun alussa.