Este documento solo está disponible en finés; la versión finesa es la vinculante.

Versio 0.3.1-pilot-2026-10-08 · SHA-256 73657d7fdcf5fc7b5b750caff06ac41c5f4736f54b0661be34d4fff12cbcb135. Tämä on täsmälleen se teksti, jonka hyväksyt rekisteröityessä.

Henkilötietojen käsittelysopimus (DPA) – Irma-palvelu

LUONNOS – pilottiversio 0.3.1 (8.10.2026). Juristi ei ole vielä hyväksynyt tätä tekstiä.

1. Osapuolet

1.1 Rekisterinpitäjä ("Toimisto"): Irma-palvelun tilannut asianajo- tai lakitoimisto tai muu yritys tai yhteisö, jonka tiedot on annettu rekisteröitymisen tai tilauksen yhteydessä.

1.2 Käsittelijä ("Toimittaja"): Envaire Oy, Y-tunnus 3559524-3, c/o Notatus Oy, Sinimäentie 8b, 02630 Espoo.

1.3 Toimittaja ei ole nimittänyt tietosuojavastaavaa. Tietosuoja-asioissa Toimittajaan saa yhteyden käyttöehdoissa mainituilla yhteystiedoilla.

2. Määritelmät

2.1 Sopimuksessa käytetään yleisen tietosuoja-asetuksen (EU) 2016/679 ("GDPR") 4 artiklan määritelmiä, kuten henkilötieto, käsittely, rekisterinpitäjä, käsittelijä ja henkilötietojen tietoturvaloukkaus.

2.2 Lisäksi:

• Palvelu: Irma-asianhallintapalvelu käyttöehtojen mukaisesti.
• Käyttöehdot: Irma-palvelun käyttöehdot, joiden erottamaton liite tämä sopimus on.
• Asiakastiedot: henkilötiedot, jotka Toimisto, sen käyttäjät tai sen asiakkaat (portaalin kautta) tallentavat Palveluun, tai joita Palvelu käsittelee Toimiston puolesta.
• Alikäsittelijä: Toimittajan käyttämä kolmas osapuoli, joka käsittelee Asiakastietoja.

3. Soveltamisala ja etusija

3.1 Sopimus koskee kaikkea Asiakastietojen käsittelyä, jota Toimittaja tekee Palvelun tuottamiseksi.

3.2 Henkilötietojen käsittelyssä tämä sopimus on ensisijainen käyttöehtoihin nähden. Erikseen allekirjoitettu kirjallinen sopimus on ensisijainen vain siltä osin kuin siinä nimenomaisesti niin sovitaan.

3.3 Käsittelyn kohde, kesto, luonne, tarkoitus, henkilötietoryhmät ja rekisteröityjen ryhmät on kuvattu Liitteessä 1.

3.4 Toimittaja on itse rekisterinpitäjä omien asiakkuus-, käyttäjätili-, laskutus-, tuki- ja tietoturvalokitietojensa osalta tietosuojaselosteensa mukaisesti. Niihin tätä sopimusta ei sovelleta.

4. Toimiston velvollisuudet

Toimisto:

• vastaa käsittelyperusteesta (GDPR 6, 9 ja 10 artikla; tietosuojalaki 1050/2018, 6 ja 7 §) ja rekisteröityjen informoinnista (GDPR 13 ja 14 artikla);
• päättää, mitä tietoja Palveluun tallennetaan, kenellä on pääsy ja millä roolilla (omistaja, admin, juristi, assistentti);
• päättää, otetaanko tekoälytoiminnot käyttöön ja vaaditaanko kaksivaiheinen tunnistautuminen kaikilta käyttäjiltä;
• arvioi itse, sopiiko Palvelun ja Alikäsittelijöiden käyttö sen salassapitovelvollisuuteen ja ammattieettisiin sääntöihin (esim. asianajajista annettu laki 5 c §, Suomen Asianajajaliiton tapaohjeet);
• antaa ohjeensa Palvelun asetuksilla tai kirjallisesti.

5. Toimittajan velvollisuudet (GDPR 28 artiklan 3 kohta)

5.1 Toimittaja:

a) Ohjeet. käsittelee Asiakastietoja vain Toimiston dokumentoitujen ohjeiden mukaan, myös siirroissa EU:n ja ETA:n ulkopuolelle. Ohjeita ovat tämä sopimus, käyttöehdot, Toimiston Palvelussa tekemät valinnat ja asetukset sekä kirjalliset lisäohjeet. Toimisto ohjeistaa, että Asiakastietoja saa siirtää EU:n ja ETA:n ulkopuolelle vain kohdan 10 ja Liitteen 2 mukaisesti. Jos unionin tai jäsenvaltion laki vaatii muuta käsittelyä, Toimittaja ilmoittaa siitä Toimistolle ennen käsittelyä, ellei laki kiellä ilmoitusta. Toimittaja ilmoittaa Toimistolle heti, jos ohje sen mielestä rikkoo tietosuojasäännöksiä;

b) Salassapito. varmistaa, että Asiakastietoja käsittelevät henkilöt ovat sitoutuneet kirjallisesti salassapitoon tai että heitä koskee lakisääteinen salassapitovelvollisuus (kohta 6);

c) Turvallisuus. toteuttaa GDPR 32 artiklan mukaiset tekniset ja organisatoriset toimenpiteet (Liite 3);

d) Alikäsittelijät. noudattaa kohdan 7 ehtoja Alikäsittelijöiden käytössä;

e) Rekisteröityjen oikeudet. avustaa Toimistoa rekisteröityjen oikeuksien toteuttamisessa kohdan 8 mukaisesti;

f) GDPR 32–36 artikla. avustaa Toimistoa turvallisuudessa (Liite 3), tietoturvaloukkausten ilmoittamisessa (kohta 9) sekä vaikutustenarvioinnissa ja ennakkokuulemisessa (kohta 10 A), ottaen huomioon käsittelyn luonteen ja Toimittajan käytössä olevat tiedot;

g) Poisto tai palautus. poistaa tai palauttaa Asiakastiedot Toimiston valinnan mukaan, kun palvelujen tarjoaminen päättyy (kohta 12);

h) Näyttö ja auditoinnit. antaa Toimiston saataville tiedot, joita tarvitaan tämän sopimuksen noudattamisen osoittamiseen, ja sallii auditoinnit (kohta 11).

5.2 Toimittaja ei myy Asiakastietoja, ei käytä niitä omaan markkinointiinsa eikä käytä niitä tekoälymallien kouluttamiseen. Toimittaja voi käyttää yhdistettyä käyttötilastoa, joka ei sisällä Asiakastietojen sisältöä (esim. käyttäjämäärä, tekoälykiintiön käyttö), Palvelun ylläpitoon ja laskutukseen.

5.3 Toimittaja ylläpitää GDPR 30 artiklan 2 kohdan mukaista selostetta käsittelytoimista, jotka se tekee rekisterinpitäjien puolesta, ja antaa sen valvontaviranomaiselle pyynnöstä.

5.4 Toimittaja ohjaa viranomaisen Asiakastietoja koskevan tietopyynnön Toimistolle ja ilmoittaa siitä Toimistolle, ellei laki kiellä ilmoittamista.

6. Henkilöstö ja Toimittajan pääsy tietoihin

6.1 Tuotantopääsy on vain nimetyillä henkilöillä, jotka ovat allekirjoittaneet salassapitositoumuksen. Sitoumus kattaa myös asianajosalaisuuden alaiset tiedot, ja se on voimassa myös pääsyn päättymisen jälkeen. Toimittaja antaa pyynnöstä luettelon rooleista, joilla on tuotantopääsy.

6.2 Toimittajan tuki voi lukea Toimiston tietoja Palvelussa vain, kun

• Toimiston admin on antanut määräaikaisen suostumuksen (1–72 tuntia);
• tukihenkilö on tunnistautunut kaksivaiheisesti;
• käytön syy on kirjattu; ja
• pääsy tallentuu lokiin.

Tukipääsy on vain lukuoikeus. Toimisto voi perua suostumuksen milloin tahansa.

6.3 Pääsy ylläpitotyökalujen kautta on rajattu vianselvitykseen, tietoturvaan ja hätätilanteisiin. Jos Toimiston tietoja on käsitelty hätätilanteessa ilman kohdan 6.2 suostumusta, Toimittaja ilmoittaa siitä Toimistolle ilman aiheetonta viivytystä.

6.4 Vianselvitys tehdään ensisijaisesti metatiedoilla ja lokeilla Asiakastietojen sisältöä katsomatta.

7. Alikäsittelijät (GDPR 28 artiklan 2 ja 4 kohta)

7.1 Toimisto antaa yleisen kirjallisen ennakkoluvan käyttää Liitteen 2 mukaisia Alikäsittelijöitä.

7.2 Toimittaja ilmoittaa uudesta tai vaihtuvasta Alikäsittelijästä vähintään 30 päivää ennen kuin se alkaa käsitellä Asiakastietoja. Ilmoitus lähetetään sähköpostitse Toimiston omistajalle, ja se näkyy Palvelussa. Ilmoitusvelvollisuus koskee myös luettelossa "tulossa"-merkittyjä palveluja.

7.3 Toimisto voi vastustaa muutosta perustellusta tietosuojasyystä ilmoitusajan kuluessa. Jos osapuolet eivät löydä ratkaisua, Toimisto voi irtisanoa sopimuksen päättymään ennen muutoksen voimaantuloa ja saa hyvityksen ennalta maksetusta käyttämättömästä kaudesta.

7.4 Kiireellinen vaihto, esimerkiksi Alikäsittelijän tietoturvaongelman vuoksi, voidaan tehdä lyhyemmällä ilmoituksella. Toimittaja ilmoittaa siitä viipymättä.

7.5 Toimittaja tekee jokaisen Alikäsittelijän kanssa GDPR 28 artiklan 4 kohdan mukaisen sopimuksen, jossa on olennaisesti samat tietosuojavelvoitteet kuin tässä sopimuksessa. Toimittaja vastaa Alikäsittelijöidensä toiminnasta Toimistolle kuin omastaan.

7.6 Valinnaiset toiminnot (tekoäly, verkkolasku, botintorjunta) käsittelevät tietoja vain, kun toiminto on otettu käyttöön. Tekstiviestit ja sähköposti lähetetään Toimiston omilla palvelutileillä. Näiden palvelujen tarjoajat ovat Toimiston omia käsittelijöitä, eivät Toimittajan Alikäsittelijöitä.

8. Rekisteröityjen oikeudet

8.1 Palvelussa on itsepalvelutoiminnot rekisteröityjen oikeuksien toteuttamiseen: tietojen haku ja katselu, oikaisu, yksittäisen asiakkaan ja asian poisto sekä koko Toimiston tietojen vienti ZIP-tiedostona.

8.2 Asiaa tai asiakasta, jolla on asiakasvarakirjauksia tai asiakkaan tuntemisen (KYC) tietoja, ei voi poistaa Palvelussa Toimiston lakisääteisten säilytysvelvoitteiden vuoksi (esim. rahanpesulaki 444/2017, 3 luku 3 §).

8.3 Jos Toimittaja saa rekisteröidyltä suoraan Asiakastietoja koskevan pyynnön, se ohjaa pyynnön Toimistolle eikä vastaa siihen itse, ellei Toimisto toisin ohjeista.

8.4 Toimittaja avustaa itsepalvelun ylittävissä pyynnöissä maksutta kohtuullisessa laajuudessa.

9. Henkilötietojen tietoturvaloukkaukset (GDPR 33 ja 34 artikla)

9.1 Toimittaja ilmoittaa Toimistolle Asiakastietoja koskevasta tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 24 tunnin kuluessa siitä, kun Toimittaja on havainnut loukkauksen. Ilmoitus lähetetään sähköpostitse Toimiston omistajalle ja kiireellisissä tapauksissa myös puhelimitse.

9.2 Ilmoituksessa kerrotaan käytettävissä olevat tiedot: loukkauksen luonne, rekisteröityjen ja tietueiden ryhmät ja arvioidut määrät, todennäköiset seuraukset, tehdyt ja suunnitellut toimenpiteet sekä yhteyshenkilö. Tiedot voidaan toimittaa vaiheittain.

9.3 Toimittaja dokumentoi loukkaukset ja niiden johdosta tehdyt toimenpiteet ja avustaa Toimistoa ilmoittamisessa rekisteröidyille.

9.4 Toimittaja ei ilmoita loukkauksesta valvontaviranomaiselle tai rekisteröidyille Toimiston puolesta ilman Toimiston ohjetta, ellei laki sitä edellytä.

10. Tietojen sijainti ja siirrot

10.1 Asiakastiedot (tietokanta ja tiedostot) tallennetaan EU:ssa: Supabase, AWS eu-north-1 (Tukholma, Ruotsi).

10.2 Osa Alikäsittelijöistä on yhdysvaltalaisia tai voi käsitellä tietoja EU:n ja ETA:n ulkopuolella. Siirrot perustuvat EU–US Data Privacy Framework -sertifiointiin, jos vastaanottaja on sertifioitu, ja muutoin Euroopan komission vakiosopimuslausekkeisiin (2021/914) ja tarvittaviin lisätoimiin. Alikäsittelijäkohtainen peruste on Liitteessä 2.

10.3 Supabasen osalta: Palvelun tietokanta on EU:ssa, mutta lokeja ja tukea voidaan käsitellä Yhdysvalloissa. Supabasen käsittelysopimus (versio 1, 1.8.2026) on voimassa Supabasen käyttöehtojen hyväksynnällä, ja siirrot perustuvat vakiosopimuslausekkeisiin (2021/914, moduulit 2 ja 3) sekä Data Privacy Frameworkiin. Supabase on arvioinut siirtojen vaikutukset julkisessa asiakirjassaan "Transfer Impact Assessment for international data transfers to Supabase, Inc" (14.3.2025). Arvion mukaan mahdolliset jatkosiirtojen kohdemaat ovat Yhdysvallat ja Singapore, ja tiedot salataan siirrossa (TLS 1.2) ja levossa (AES-256).

10.4 Toimittaja ei siirrä Asiakastietoja uudelle EU:n ja ETA:n ulkopuoliselle vastaanottajalle ilman kohdan 7 mukaista ilmoitusta. Toimittaja dokumentoi siirtovaikutusten arvion ennen kuin uusi EU:n ja ETA:n ulkopuolinen Alikäsittelijä alkaa käsitellä Asiakastietoja.

10 A. Vaikutustenarviointi ja ennakkokuuleminen (GDPR 35 ja 36 artikla)

10A.1 Toimittaja antaa Toimistolle tiedot, joita tämä tarvitsee vaikutustenarviointiin: käsittelyn kuvauksen (Liite 1), Alikäsittelijät ja siirrot (Liite 2), turvatoimet (Liite 3) ja tiedossa olevat puutteet turvatoimissa.

10A.2 Toimittaja antaa Toimistolle arviointipohjan, johon Palvelua koskevat tiedot on esitäytetty.

10A.3 Jos Toimisto ennakkokuulee valvontaviranomaista, Toimittaja antaa sille tarvittavat Palvelua koskevat tiedot.

10A.4 Avustaminen on maksutonta, kun se rajoittuu valmiiden aineistojen antamiseen ja kirjallisiin vastauksiin.

11. Näyttö ja auditointi

11.1 Toimittaja toimittaa pyynnöstä tietoturvakuvauksen, Alikäsittelijäluettelon ja vastaukset tietoturvakyselyihin.

11.2 Toimisto tai sen valtuuttama, salassapitoon sitoutunut riippumaton tarkastaja voi auditoida Toimittajan kerran vuodessa, ja useammin, jos loukkaus tai viranomainen sitä edellyttää. Auditoinnista ilmoitetaan 30 päivää etukäteen. Auditointi tehdään ensisijaisesti asiakirjoilla ja kyselyillä, arkipäivinä ja tavalla, joka ei vaaranna muiden asiakkaiden tietoja.

11.3 Kumpikin osapuoli vastaa omista auditointikuluistaan. Jos auditointi osoittaa Toimittajan rikkoneen tätä sopimusta olennaisesti, Toimittaja korvaa Toimiston kohtuulliset auditointikulut.

11.4 Toimittaja ei ole ISO 27001- eikä SOC 2 -sertifioitu. Alikäsittelijöiden omia sertifikaatteja ja raportteja toimitetaan niiden ehtojen sallimissa rajoissa.

12. Kesto, palautus ja poisto

12.1 Sopimus on voimassa niin kauan kuin Toimittaja käsittelee Asiakastietoja Toimiston puolesta.

12.2 Toimisto voi milloin tahansa ladata tietonsa ZIP-vientinä. Liitetiedostot eivät toistaiseksi sisälly ZIP-vientiin, vaan ne ladataan Palvelusta asiakirjoittain. Toimittaja toimittaa pyynnöstä maksutta liitetiedostot ja muut ZIP-viennistä puuttuvat tiedot koneluettavassa muodossa.

12.3 Tilauksen päätyttyä Toimittaja säilyttää Asiakastiedot 30 päivää palautusta varten ja poistaa ne sen jälkeen. Poisto tehdään toistaiseksi käsin, ja Toimittaja vahvistaa sen kirjallisesti.

12.4 Kun Toimisto poistaa toimistonsa Palvelussa, kaikki sen tietokantarivit ja kaikki sen tallennetut tiedostot poistetaan. Tietokanta estää poiston, jos tiedostoja jäisi jäljelle.

12.5 Supabasen päivittäinen tietokantavarmuuskopio säilyy 7 päivää. Lisäksi Asiakastiedoista otetaan salattu varmuuskopio, joka säilytetään Hetznerillä (EU, Helsinki) enintään 30 päivää; tiedot salataan ennen tallennusta. Poistetut tiedot häviävät varmuuskopioista viimeistään 30 päivän kuluessa poistosta.

12.6 Toimisto voi valita Palvelun asetuksissa säilytysajan. Asetus tallentuu, mutta automaattista anonymisointia tai poistoa ei ole vielä toteutettu. Siihen asti Toimisto poistaa vanhat asiat itse. Tarkastuslokilla ei ole vielä automaattista poistoa.

12.7 Toimittaja säilyttää Asiakastietoja pidempään vain, jos unionin tai jäsenvaltion laki sitä edellyttää.

13. Vastuu

13.1 Kumpikin osapuoli vastaa rekisteröidyille GDPR 82 artiklan mukaisesti.

13.2 Toimittajan kokonaisvastuu Toimistolle tämän sopimuksen rikkomisesta on enintään suurempi seuraavista: (a) Toimiston vahinkotapahtumaa edeltäneiden 12 kuukauden aikana maksamat palvelumaksut tai (b) 10 000 euroa. Vastuuraja koskee myös maksutonta kokeilua ja pilottia.

13.3 Vastuuta ei rajoiteta, jos vahinko on aiheutettu tahallisesti tai törkeällä huolimattomuudella, eikä siltä osin kuin vastuuta ei voida pakottavan lain nojalla rajoittaa.

13.4 Kohdan 13.2 vastuuraja on erillinen käyttöehtojen mukaisesta yleisestä vastuurajasta, eikä niitä lasketa yhteen.

14. Sovellettava laki ja riidat

14.1 Sopimukseen sovelletaan Suomen lakia lukuun ottamatta sen lainvalintasääntöjä.

14.2 Riidat pyritään ratkaisemaan neuvottelemalla 30 päivän kuluessa. Muuten riidat ratkaistaan Helsingin käräjäoikeudessa.

15. Muutokset ja hyväksyntä

15.1 Toimittaja voi muuttaa sopimusta lainsäädännön, viranomaisohjeiden tai Palvelun muutosten vuoksi ilmoittamalla siitä vähintään 30 päivää etukäteen. Muutos ei saa heikentää Asiakastietojen suojaa ilman Toimiston suostumusta.

15.2 Sopimus hyväksytään sähköisesti Palvelussa käyttöehtojen hyväksymisen yhteydessä. Hyväksynnästä tallennetaan käyttäjä, toimisto, aika, asiakirjan versio ja tiiviste. Osapuolet voivat myös allekirjoittaa sopimuksen.

Liite 1 – Käsittelyn kuvaus

Liite 2 – Alikäsittelijät

Alikäsittelijät ovat Toimittajan alikäsittelijäluettelon (versio 0.3.1, 8.10.2026) mukaiset, sellaisena kuin luetteloa päivitetään kohdan 7 mukaisesti. Tilanne 8.10.2026:

Toimiston omat viestipalvelut (sähköposti ja tekstiviestit) eivät ole Toimittajan Alikäsittelijöitä.

Liite 3 – Tekniset ja organisatoriset toimenpiteet (GDPR 32 artikla)

Sijainti ja eristys

• Tietokanta ja tiedostot EU:ssa (Tukholma).
• Toimistot on eristetty toisistaan rivitason oikeuksilla (Row Level Security) kaikissa tauluissa. Automaattinen eristystesti ajetaan jokaisen tietokantamuutoksen jälkeen.

Salaus

• TLS kaikessa liikenteessä.
• Tietokanta ja tiedostot salattu levossa (AES-256).
• Tiedostot yksityisessä säilössä; latauslinkit ovat allekirjoitettuja ja lyhytikäisiä.

Pääsynhallinta

• Roolit omistaja, admin, juristi ja assistentti sekä toimistokohtainen käyttöoikeusmatriisi.
• Kaksivaiheinen tunnistautuminen (TOTP) kaikkien käyttäjien käytettävissä; Toimisto voi vaatia sen kaikilta jäseniltä.
• Toimittajan tukipääsy vain kohdan 6.2 mukaisesti.
• Kirjautumattomat toiminnot (portaali, ajanvaraus, allekirjoitus) vain arvaamattomilla tunnisteilla, jotka Toimisto voi sulkea; kirjoittavissa toiminnoissa nopeusrajoitukset.

Lokitus

• Tarkastusloki kirjoituksista ja arkaluonteisista lukutapahtumista.

Viestintä ja tekoäly

• Toimiston asiakkaille ei lähetetä mitään (sähköposti, tekstiviesti) ilman ihmisen hyväksyntää.
• Tekoäly on oletuksena pois päältä, kunnes Toimiston admin ottaa sen käyttöön. Tekstiä ei käytetä mallien koulutukseen.

Saatavuus

• Päivittäinen tietokantavarmuuskopio ja salattu varmuuskopio EU:ssa (kohta 12.5).
• Toimiston oma ZIP-vienti.

Muutoksenhallinta

• Tietokantamuutokset versioituina migraatioina; automaattiset testit ennen julkaisua.
• Testeissä käytetään vain keksittyjä tietoja.

Organisatoriset toimenpiteet

• Kirjallinen salassapitositoumus kaikille, joilla on tuotantopääsy (kohta 6.1).
• Toimittaja kertoo pyynnöstä tiedossa olevat puutteet turvatoimissa ja niiden korjaussuunnitelman.

Toimisto hyväksyy tämän sopimuksen sähköisesti Palvelussa (toimiston omistaja tai ylläpitäjä toimiston puolesta). Hyväksyjä, aika, sopimuksen versio ja tekstin tiiviste tallennetaan.