Alikäsittelijät

Tämä asiakirja on julkaistu useilla kielillä. Jos kieliversioiden välillä on ristiriitaa, puolankielinen versio on sitova.

Versio 1.1 · Päivitetty viimeksi: 22. lokakuuta 2026

Mitkä kolmannet osapuolet saavat tietoja formexposed-palvelussa, mihin tarkoitukseen, missä ja millä perusteella. Tämä luettelo on osa henkilötietojen käsittelysopimusta liitteenä 3. Kyseisessä sopimuksessa tarkoitettuja hyväksyttyjä alikäsittelijöitä ovat vain osiossa 2 luetellut; osiot 3–6 antavat tietoa muista vastaanottajista eivätkä merkitse hyväksyntää.

1. Lyhyt vastaus

Ylläpidämme palvelimet, tietokannan ja laskentatehon, myös kielimallia varten, itse Puolassa. Mitään hosting-, pilvi- tai tekoälypalveluntarjoajaa ei käytetä. GDPR Art. 28(2) ja (4) tarkoittamia alikäsittelijöitä, eli kolmansia osapuolia, jotka käsittelevät Asiakkaidemme tietoja puolestamme, on vain yhtä tehtävää varten: sähköposti.

Lisäksi on vastaanottajia, jotka eivät ole alikäsittelijöitä. Luettelemme ne silti tässä perusteen mukaan eroteltuina, jotta kokonaiskuva on täydellinen:

• vastaanottajat, jotka käsittelevät tietoja itsenäisinä rekisterinpitäjinä (osio 3),
• vastaanottajat, jotka Asiakas valitsee lähettäessään hälytyksiä niille (osio 4),
• kolmansille osapuolille tehtävät kyselyt, jotka eivät sisällä henkilötietoja (osio 5).

2. Alikäsittelijät

Vastaanottaja ja kotipaikka	Tarkoitus	Tiedot	Käsittelypaikka	Siirtoperuste
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Palvelun sähköpostien lähettäminen (vahvistukset, hälytykset, raportit, kuukausiraportit asiakasportaalin tilaajille); toimitustarkistuksen postilaatikko	Vastaanottajien sähköpostiosoitteet, sähköpostien aihe ja sisältö. Toimitustarkistuksen postilaatikossa: kopiot Asiakkaiden verkkosivustojen lomakesähköposteista kaikkine kävijöiden niihin syöttämine tietoineen, kunnes käsittelemme ne	Vielä tarkistettava	Palveluntarjoajan henkilötietojen käsittelysopimus; se, siirtyykö tietoja kolmanteen maahan ja millä perusteella, on vielä tarkistettava, katso osio 7
Namecheap, Inc., Phoenix, Arizona, USA	Verkkotunnusten rekisteröinti, DNS; kunnes postilaatikko palveluntarjoajalla Namecheap, Inc. (Private Email), Phoenix, Arizona, USA on otettu käyttöön, verkkotunnuksemme osoitteisiin tulevien yleisten sähköpostien edelleenlähetys. Toimitustarkistuksen valvontakopiot eivät kulje Namecheapin kautta; ne menevät suoraan postilaatikkoon	Verkkotunnustiedot; edelleenlähetyksessä meille tulevien yleisten sähköpostien sisältö ja otsakkeet, ei kopioita lomakesähköposteista	USA, tarkistettava	Namecheapin Data Processing Addendum; vakiosopimuslausekkeet tai Data Privacy Framework – tarkistettava, katso osio 7

Se, päätyvätkö Asiakkaan käsittelijänä käsittelemämme tiedot lainkaan näille vastaanottajille, riippuu sen asetuksista: ilman toimitustarkistusta lomakesähköposteja ei lähetetä sinne; ilman asiakasportaalia sen tilaajille ei lähetetä sähköposteja. Annamme kunkin alikäsittelijän tietosuojayhteyspisteen tiedot pyynnöstä.

Ei osallisena: Tarkistuksiin, kuvakaappauksiin, kirjautumisen takana tehtävän skannauksen tunnuksiin, selainpolkuihin tai toimintoon ”Fix it for me” ei osallistu kolmatta osapuolta. Kielimalli toimii omalla palvelimellamme. Määritämme IP-osoitteen maan paikallisesta tietokantatiedostosta; mitään osoitetta ei lähetetä paikannuspalveluun. Internetyhteytemme tarjoaja vain välittää liikennettä, enimmäkseen salattuna, eikä ole alikäsittelijä.

3. Itsenäisinä rekisterinpitäjinä toimivat vastaanottajat

Vastaanottaja ja kotipaikka	Tarkoitus	Tiedot	Sijainti	Peruste
Stripe Payments Europe, Ltd., Dublin, Irlanti; siirroissa Yhdysvaltoihin Stripe, Inc.	Asiakastilien maksujen käsittely ja laskut	Sähköpostiosoite, nimi, laskutusosoite, ALV-tunniste, maksutiedot (syötetään vain Stripessä, eivätkä ne koskaan päädy meille); meillä vain asiakas- ja tilaustunnus sekä tila	EU / USA	Maksutietojen osalta Stripe toimii pääosin itsenäisenä rekisterinpitäjänä; tarkka roolijako on tarkistettava. Siirto Yhdysvaltoihin: Data Privacy Framework tai vakiosopimuslausekkeet – tarkistettava
Google Ireland Limited, Dublin, Irlanti; Google LLC, USA	Bottisuojaus (reCAPTCHA) omissa lomakkeissamme: rekisteröityminen, kirjautuminen, salasana, ilmainen tarkistus, otsaketyökalu, opt-out, tuki ja yhteydenotto	IP-osoite, selain- ja laitetiedot, toiminta sivulla, Googlen evästeet. Skripti ladataan vasta lähetettäessä. Se ei toimi Asiakkaiden verkkosivustoilla	EU / USA	Googlen ehdot; Data Privacy Framework tai vakiosopimuslausekkeet – tarkistettava

Nämä vastaanottajat koskevat omaa käsittelyämme, eivät käsittelijänä käsittelemiämme tietoja. Lisätietoja on tietosuojaselosteessa.

4. Asiakkaan valitsemat vastaanottajat

Hälytykset ja koosteet lähetetään sinne, minne Asiakas haluaa: sähköpostitse (osion 2 sähköpostipalvelun tarjoajan kautta), webhook-osoitteeseen tai chat-palveluun. Nykyiset vaihtoehdot ovat:

• Slack, Discord, Microsoft Teams ja Google Chat osoitteen kautta, jonka Asiakas luo kyseisen palvelun tililleen;
• Telegram: Asiakkaan valitsema kohde; lähetämme viestin bottimme kautta sen jälkeen, kun vastaanottaja on itse yhdistänyt chatin bottiin;
• webhookit mihin tahansa julkiseen HTTPS-osoitteeseen vakioportissa, pyynnöstä allekirjoitettuina.

Tiedot: verkkotunnus, tapahtuma, ajankohta ja linkki palveluun, tarkistusta koskevissa hälytyksissä sen raporttiin, jonka voi lukea tämän linkin kautta ilman kirjautumista; webhookeissa samat tiedot koneluettavassa muodossa. Ei lomakesähköpostien sisältöä; toimitustarkistuksen hälytys voi mainita lähettäjän sähköpostiverkkotunnuksen, jos se ei kuulu verkkosivustoon.

Rooli: Slack, Discord, Microsoft Teams, Google Chat ja webhookien vastaanottajat eivät ole alikäsittelijöitämme. Siirto tapahtuu vain siksi, että Asiakas määrittää kohteen; se on Asiakkaan ohje. Slackin, Discordin, Microsoft Teamsin, Google Chatin ja webhookien osalta sopimussuhde kuhunkin palveluntarjoajaan ja mahdollinen kolmanteen maahan siirron edellyttämä peruste ovat Asiakkaan vastuulla. Telegramin osalta lähetämme viestin oman bottimme kautta; myös tässä kohteen valinta on Asiakkaan nimenomainen ohje siirtää hälytykset sinne. Se, onko Telegram tältä osin alikäsittelijämme ja millä perusteella tämä siirto tapahtuu, ei ole vielä lopullisesti selvitetty, ja asia on lakimiehemme arvioitavana. Mikäli Telegram on alikäsittelijä, Asiakkaan tekemä tämän kohteen valinta katsotaan Asiakkaan GDPR Art. 28(2) mukaiseksi erityiseksi luvaksi tätä tarkoitusta varten. Useat näistä palveluntarjoajista käsittelevät tietoja Yhdysvalloissa; Telegramin kotipaikka on EU:n ulkopuolella maassa, jota ei koske tietosuojan riittävyyttä koskeva päätös, eikä perustetta, jonka nojalla siirto Telegramiin tapahtuu GDPR:n V luvun mukaisesti, ole vielä lopullisesti selvitetty. Joka ei halua tätä, valitsee sähköpostin tai muun kohteen.

5. Kyselyt ilman henkilötietoja

Jotkin toiminnot tekevät kyselyjä kolmansille osapuolille. Niille lähtee vain verkkotunnusten nimiä, palvelinosoitteita, tarkistusarvoja tai versionumeroita, ei tietoja Asiakkaista tai kävijöistä. Nämä kolmannet osapuolet eivät siksi ole alikäsittelijöitä.

Vastaanottaja	Tarkoitus	Mitä lähtee
Verkkotunnusrekisterien RDAP-palvelut, jotka löydetään IANA-hakemiston kautta; ilmaisen tarkistuksen verkkotunnuksen iän tarkistamisessa rdap.org-välityspalvelun kautta	Verkkotunnuksen ikä ja vanhenemispäivä	vain verkkotunnuksen nimi
WPVulnerability (wpvulnerability.net)	Tunnetut tietoturvahaavoittuvuudet WordPressissä, WordPress-lisäosissa ja -teemoissa	vain lisäosan tai teeman tunniste tai WordPressin versionumero
Asiakkaiden käyttämien palveluntarjoajien (kuten CAPTCHA- ja sähköpostipalvelujen) tilasivut	Tieto näiden palveluntarjoajien katkoksista	ei mitään muuta kuin itse pyyntö
Aikaleimapalvelut Certum (Asseco Data Systems S.A., Puola), vaihtoehtoisesti DigiCert, Inc. (USA)	Todistelokien aikaleimat	vain lokin tarkistusarvo (SHA-512), ei sen sisältöä
Roskapostin DNS-estolistat: SpamCop, PSBL, Mailspike ja SURBL (Spamhaus vain omalla käyttöoikeudella)	Tarkistus siitä, onko Asiakkaan postipalvelin tai verkkotunnus listattu	palvelinten (postipalvelinten, verkkopalvelinten) verkkotunnukset ja IP-osoitteet, ei kävijöiden henkilötietoja
Google Web Risk, vain jos otettu käyttöön	Asiakkaan etusivun tarkistaminen haittaohjelmiin tai tietojenkalasteluun liittyvien listausten varalta	vain etusivun osoite
Telegram, toiminnalliset ilmoitukset	Signaalit ylläpitäjälle katkosten ja uusien tukipyyntöjen yhteydessä	kiinteät tekstit ilman lähettäjää, sisältöä tai osoitteita
TLS-varmenteiden myöntäjä	Varmenteiden myöntäminen verkkotunnuksillemme	vain omat verkkotunnuksemme

6. Valmisteltu, ei tällä hetkellä käytössä

Palvelu voi vahvistaa selaintarkistukset ja lomakepyynnöt lisäksi toisesta, riippumattomasta sijainnista. Tätä mittauspistettä ei ole tällä hetkellä otettu käyttöön. Jos kolmas osapuoli ylläpitää sitä myöhemmin, kyseinen osapuoli on alikäsittelijä, ja siitä ilmoitetaan etukäteen osion 8 mukaisesti. Se saisi verkkotunnuksen, selainpolun siistityn määrityksen ja työn tunnuksen, mutta ei tunnuksia eikä kävijöiden tietoja.

7. Mikä on vielä avoinna

Tämä luettelo on ennen käyttöönottoa laadittu luonnos. Kerromme avoimesti, mitä ei ole vielä selvitetty:

• Sähköpostipalvelun tarjoaja: suunnitelmissa on Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Se, missä palveluntarjoaja käsittelee tietoja ja millä perusteella ne voivat siirtyä kolmanteen maahan, on vielä tarkistettava. Se, onko palveluntarjoajan henkilötietojen käsittelysopimus hyväksytty tähän käyttöön, missä postilaatikot todellisuudessa sijaitsevat, mitä muita alikäsittelijöitä palveluntarjoaja käyttää ja mitä vakiosopimuslausekkeiden moduulia sovelletaan, on vielä dokumentoitava. Julkisesti saatavilla oleva Data Processing Addendum ei yksinään todista, että sopimus on tehty. Ennen kuin tämä on dokumentoitu, tämän palveluntarjoajan kautta ei lähetetä käsittelijänä käsittelemiämme tietoja; asia on siksi selvitettävä ennen käyttöönottoa.
• Data Privacy Framework: Emme ole tätä versiota varten tarkistaneet, onko Namecheap, Stripe ja Google sertifioitu EU:n ja Yhdysvaltojen välisen tietosuojakehyksen (EU-U.S. Data Privacy Framework) mukaisesti kyseisten palvelujen osalta. Emme siksi väitä niin; jos sertifiointi puuttuu, sovelletaan vakiosopimuslausekkeita.
• Stripen rooli yksittäisten tietojen osalta.
• Telegram-hälytykset: siirron peruste, kun Asiakas valitsee kohteeksi Telegramin ja lähetämme viestin bottimme kautta.

8. Tämän luettelon muutokset

Otamme alikäsittelijöitä käyttöön henkilötietojen käsittelysopimuksessa annetun yleisen luvan perusteella. Ennen kuin uusi alikäsittelijä aloittaa käsittelyn tai olemassa oleva vaihdetaan, ilmoitamme siitä Asiakkaille vähintään 30 päivää etukäteen sähköpostitse tilin haltijan osoitteeseen ja ilmoitamme muutoksesta tällä sivulla ja yleiskatsauksessa Sopimusasiakirjojen muutokset. Ilmoituksessa mainitaan vastaanottaja, kotipaikka, tarkoitus, tiedot, sijainti ja siirtoperuste.

Tämän ajan kuluessa Asiakas voi vastustaa muutosta tekstimuodossa perustellusta tietosuojaan liittyvästä syystä. Kunnes ratkaisu on löydetty, emme käytä uutta alikäsittelijää Asiakkaan puolesta käsiteltäviin tietoihin tai keskeytämme kyseisen toiminnon Asiakkaan osalta. Jos ratkaisua ei löydy, Asiakas voi irtisanoa palvelua tai kyseistä palvelun osaa koskevan sopimuksen; palautamme suhteellisesti etukäteen maksetut maksut irtisanomisen jälkeiseltä ajalta. Yksityiskohdat esitetään henkilötietojen käsittelysopimuksessa. Vastaamme Asiakkaalle alikäsittelijöistä kuten omista toimistamme.

Julkaisemme osioiden 3–5 muutokset, jotka eivät koske alikäsittelijöitä, tässä uudella versionumerolla ilman ennakkoilmoitusta.

9. Tila ja versio

• Versio 1.1 · Päivitetty viimeksi: 22. lokakuuta 2026 · kieliversioiden välisissä ristiriitatilanteissa ensisijainen on Puolan kielinen versio saksankielisen sijaan; ei muita muutoksia.
• Versio 1.0 · Päivitetty viimeksi: 11. lokakuuta 2026 · ensimmäinen versio erillisenä sivuna; aiemmin henkilötietojen käsittelysopimuksen liite 3. Uutta: jako alikäsittelijöihin, itsenäisinä rekisterinpitäjinä toimiviin vastaanottajiin, Asiakkaan valitsemiin kohteisiin ja kyselyihin ilman henkilötietoja; avoimet kohdat mainittu nimenomaisesti.
• Kieliversioiden välisissä ristiriitatilanteissa Puolan kielinen versio on ensisijainen.