Henkilötietojen käsittelysopimus

Versio 6. marraskuuta 2026. Tämä henkilötietojen käsittelysopimus (“käsittelysopimus”) on osa sopimusta, jonka QLFR AI AB, Ruotsin y-tunnus 559389-2978, Drottninggatan 29, 103 59 Tukholma, Ruotsi (“Qualifier”), ja asiakas (“Asiakas”) ovat tehneet Qualifier-palvelusta (“Palvelu”). Käsittelysopimus on osa Qualifierin yleisiä ehtoja (qualifier.ai/fi/ehdot). Sitä sovelletaan uusiin asiakkaisiin siitä päivästä, jona Asiakas hyväksyy yleiset ehdot tai allekirjoittaa niihin viittaavan tarjouksen, ja nykyisiin asiakkaisiin versiopäivästä alkaen. Ruotsinkielinen versio (qualifier.ai/sv/personuppgiftsbitradesavtal) on sisällöltään sama. Jos kieliversiot poikkeavat toisistaan, ruotsinkielinen versio on ensisijainen.

1. Määritelmät

Termeillä henkilötiedot, käsittely, rekisterinpitäjä, henkilötietojen käsittelijä, rekisteröity, henkilötietojen tietoturvaloukkaus ja valvontaviranomainen on asetuksessa (EU) 2016/679 (“GDPR”) annettu merkitys. Vakiosopimuslausekkeilla tarkoitetaan Euroopan komission täytäntöönpanopäätöksellä (EU) 2021/914 hyväksymiä lausekkeita. Asiakkaan yhteysosoitteella tarkoitetaan sähköpostiosoitetta, jonka Asiakas on antanut Qualifierille ilmoituksia varten, tai jos sellaista ei ole, Asiakkaan Palvelussa olevan tilin omistajan sähköpostiosoitetta, tai jos sellaistakaan ei ole, Asiakkaan käyttäjien sähköpostiosoitteita.

2. Roolit

2.1 Asiakas on rekisterinpitäjä, Qualifier on henkilötietojen käsittelijä. Asiakas päättää, keihin otetaan yhteyttä, millä viestillä ja miksi. Niiden henkilötietojen osalta, joita Qualifier käsittelee Asiakkaan puolesta Asiakkaan kampanjoiden toteuttamiseksi (“Asiakastiedot”), Asiakas on rekisterinpitäjä ja Qualifier henkilötietojen käsittelijä. Asiakastiedot kuvataan liitteessä 1.

2.2 Asiakas on lähettäjä. Sähköpostit lähetetään Asiakkaan omalta sähköpostitililtä ja Asiakkaan nimissä tai sähköpostitileiltä, jotka Qualifier perustaa Asiakkaalle, kun osapuolet ovat näin sopineet. Asiakas on jokaisen sähköpostin lähettäjä. Asiakas vastaa siitä, että sillä on oikeusperuste ottaa yhteyttä kuhunkin prospektiin, tiedoista, jotka sen on annettava prospekteille GDPR:n 13 ja 14 artiklan mukaisesti, sekä niiden markkinointisääntöjen noudattamisesta, joita sovelletaan sen valitsemiin vastaanottajiin. Asiakas vastaa myös siitä, että sillä on oikeus liittää kukin sähköpostitili ja CRM Palveluun, ja niiden henkilöiden informoimisesta, joiden sähköpostitilejä liitetään.

2.3 Qualifier on erillinen rekisterinpitäjä omassa tietokannassaan. Qualifier löytää prospekteja ammatillisista verkostoista, verkosta, avoimesta yritysdatasta ja tietojen toimittajilta ja ylläpitää omaa yritysyhteystietojen tietokantaansa. Tämän tietojen hankinnan ja tietokannan osalta sekä oman asiakashallintonsa, laskutuksensa, tietoturvansa ja tuotekehityksensä osalta Qualifier on itsenäinen rekisterinpitäjä, kuten Qualifierin tietosuojaselosteessa kuvataan (qualifier.ai/fi/tietosuoja). Tätä käsittelysopimusta ei sovelleta tähän käsittelyyn. Osapuolet eivät ole yhteisrekisterinpitäjiä.

2.4 Missä raja kulkee. Prospektin yritysyhteystiedot ovat Qualifierin tietokannassa ennen Asiakkaan kampanjaa ja sen jälkeen, ja Qualifier on niiden osalta siellä rekisterinpitäjä. Asiakastietoja ovat tiedot, jotka syntyvät Asiakkaan Palvelun käytöstä: prospektin valinta Asiakkaan kampanjaan, sähköpostit ja vastaukset, tilat, muistiinpanot ja tehtävät, se, mitä Asiakas lataa tai syöttää, sekä se, mitä synkronoidaan Asiakkaan CRM:n kanssa. Kontakteja, jotka Asiakas lataa tai synkronoi, ei tarjota muille asiakkaille.

2.5 Signaalit, jotka Qualifier säilyttää. Jotta yksikään asiakas ei kirjoittaisi osoitteeseen, joka ei toimi, tai henkilölle, joka on kieltäytynyt, Asiakas antaa Qualifierille ohjeen kirjata Asiakkaan kampanjoista Qualifierin tietokantaan, jossa Qualifier on niiden osalta rekisterinpitäjä, seuraavat tiedot: että osoite on palautunut (bounce), että henkilö on pyytänyt, ettei häneen oteta yhteyttä, että automaattinen vastaus osoittaa henkilön lähteneen työnantajan palveluksesta, ja osoittautuiko arvattu osoite oikeaksi. Qualifier voi myös laatia Asiakastiedoista tilastoja, joista ketään henkilöä ei voida tunnistaa, säilyttää ne sopimuksen päättymisen jälkeen ja käyttää niitä Palvelun ylläpitämiseen, parantamiseen ja kuvaamiseen. Tilastot ja esimerkit, joita Qualifier näyttää muille, eivät yksilöi Asiakasta. Qualifier ei myy Asiakastietoja.

3. Ohjeet

3.1 Qualifier käsittelee Asiakastietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden mukaisesti. Sopimus, tämä käsittelysopimus sekä Asiakkaan asetukset ja toimet Palvelussa muodostavat Asiakkaan täydelliset ohjeet. Ohjeet kattavat liitteessä 3 mainitut siirrot. Qualifier ei käytä Asiakastietoja omiin tarkoituksiinsa muuten kuin kohdassa 2.5 todetulla tavalla.

3.2 Qualifier ilmoittaa Asiakkaalle, jos ohje sen näkemyksen mukaan rikkoo GDPR:ää tai muita unionin tai jäsenvaltion tietosuojasäännöksiä. Qualifier voi keskeyttää kyseisen käsittelyn, kunnes Asiakas on vahvistanut tai muuttanut ohjeen.

3.3 Jos unionin oikeus tai jäsenvaltion lainsäädäntö edellyttää, että Qualifier käsittelee Asiakastietoja muulla tavoin, Qualifier ilmoittaa siitä Asiakkaalle ennen käsittelyä, paitsi jos kyseinen laki kieltää sen.

4. Salassapito

Qualifier varmistaa, että jokainen, jolla on oikeus käsitellä Asiakastietoja, on sitoutunut salassapitoon sopimuksella tai lain nojalla ja saa pääsyn vain niihin tietoihin, joita hänen työnsä edellyttää.

5. Tietoturva

Qualifier toteuttaa liitteen 2 tekniset ja organisatoriset toimenpiteet ja ylläpitää riskiä vastaavaa turvallisuustasoa GDPR:n 32 artiklan edellyttämällä tavalla. Qualifier voi muuttaa toimenpiteitä, kunhan suojan taso ei heikkene.

6. Alikäsittelijät

6.1 Asiakas antaa Qualifierille yleisen ennakkoluvan käyttää alikäsittelijöitä. Versiopäivänä käytössä olevat alikäsittelijät luetellaan liitteessä 3.

6.2 Qualifier ilmoittaa Asiakkaalle uudesta tai vaihdetusta alikäsittelijästä vähintään 30 päivää ennen kuin tämä aloittaa Asiakastietojen käsittelyn, sähköpostitse Asiakkaan yhteysosoitteeseen tai ilmoituksella Palvelussa, sekä päivittämällä liitteen 3 osoitteessa qualifier.ai/fi/kasittelysopimus. Qualifier voi ilmoittaa lyhyemmällä varoitusajalla, kun alikäsittelijä on vaihdettava välittömästi Palvelun turvallisuuden tai toiminnan ylläpitämiseksi. Asiakas voi vastustaa muutosta kirjallisesti ilmoitusajan kuluessa kohtuullisin, dokumentoiduin tietosuojaperustein. Qualifier voi tällöin päättää olla käyttämättä alikäsittelijää Asiakkaan tietoihin tai ehdottaa muuta ratkaisua. Jos Qualifier ei tee kumpaakaan 30 päivän kuluessa vastustamisesta, Asiakas voi irtisanoa sen osan Palvelusta, jota ei voida tarjota ilman alikäsittelijää, ja Asiakkaalle palautetaan kyseisestä osasta etukäteen maksetut maksut päättymisen jälkeiseltä ajalta. Tämä on Asiakkaan ainoa oikeussuojakeino vastustamisen johdosta.

6.3 Qualifier sitoo kunkin alikäsittelijän kirjallisella sopimuksella, joka sisältää tämän käsittelysopimuksen velvoitteita vastaavat tietosuojavelvoitteet, ja vastaa alikäsittelijöistään Asiakkaalle.

7. Siirrot EU:n/ETA:n ulkopuolelle

7.1 Palvelun palvelimet, tietokanta ja varmuuskopiot sijaitsevat EU:ssa. Jotkin alikäsittelijät, muun muassa tekoälykielimallien tarjoajat, käsittelevät tietoja EU:n/ETA:n ulkopuolella.

7.2 Qualifier siirtää Asiakastietoja EU:n/ETA:n ulkopuolelle ainoastaan GDPR:n V luvun mukaisesti: maahan, josta Euroopan komissio on tehnyt tietosuojan riittävyyttä koskevan päätöksen, Yhdysvalloissa olevalle vastaanottajalle, joka on sertifioitu EU:n ja Yhdysvaltojen välisen tietosuojakehyksen (EU-US Data Privacy Framework) mukaisesti, tai vakiosopimuslausekkeiden nojalla. Liitteessä 3 todetaan, missä kukin alikäsittelijä käsittelee tietoja ja mihin siirto perustuu.

8. Avustaminen

8.1 Rekisteröidyt. Jos rekisteröity ottaa yhteyttä Qualifieriin Asiakastietoja koskevassa asiassa, Qualifier välittää pyynnön Asiakkaalle ilman aiheetonta viivytystä eikä vastaa siihen itse, ellei Asiakas ole pyytänyt sitä tekemään niin. Käsittelyn luonne huomioon ottaen Qualifier auttaa Asiakasta vastaamaan GDPR:n III luvun mukaisiin pyyntöihin Palvelun toiminnoilla ja, jos ne eivät riitä, kohtuullisella avulla.

8.2 Viestinnän peruutukset. Kun vastaanottaja pyytää, ettei häneen oteta yhteyttä, Qualifier lopettaa Palvelun kautta lähetettävät uudet sähköpostit kyseiselle vastaanottajalle. Asiakas hyväksyy, että Qualifier erillisenä rekisterinpitäjänä säilyttää estotiedon, jotta pyyntöä noudatetaan.

8.3 Vaikutustenarvioinnit ja valvontaviranomainen. Qualifier antaa Asiakkaalle tiedot, jotka ovat kohtuudella tarpeen Asiakkaan GDPR:n 32–36 artiklan mukaisten velvoitteiden täyttämiseksi, mukaan lukien tietosuojaa koskevat vaikutustenarvioinnit ja ennakkokuulemiset, siltä osin kuin ne koskevat Palvelua.

8.4 Kustannukset. Kohtien 8.1, 8.3 ja 10 mukaisesta avusta, joka ei kuulu Palvelun toimintoihin tai Qualifierin vakiodokumentaatioon, veloitetaan Qualifierin voimassa olevan tuntihinnan mukaan sen jälkeen, kun Qualifier on ilmoittanut Asiakkaalle arvioidun kustannuksen. Qualifier ei veloita avusta, joka on tarpeen sen oman käsittelysopimuksen rikkomisen vuoksi.

9. Henkilötietojen tietoturvaloukkaus

Qualifier ilmoittaa Asiakkaalle tämän yhteysosoitteeseen ilman aiheetonta viivytystä ja viimeistään 72 tunnin kuluessa siitä, kun se on saanut tiedon Asiakastietoihin kohdistuvasta henkilötietojen tietoturvaloukkauksesta. Ilmoituksessa kuvataan, siltä osin kuin ne ovat tiedossa, loukkauksen luonne, asianomaisten rekisteröityjen ja tietueiden ryhmät ja arvioitu lukumäärä, todennäköiset seuraukset sekä toteutetut tai ehdotetut toimenpiteet. Qualifier täydentää tietoja sitä mukaa kuin niitä on saatavilla. Ilmoitus ei ole virheen tai vastuun myöntämistä.

10. Auditoinnit

10.1 Qualifier antaa Asiakkaan saataville tiedot, jotka tarvitaan GDPR:n 28 artiklan noudattamisen osoittamiseksi.

10.2 Asiakas käyttää ensisijaisesti kohdan 10.1 mukaisia tietoja ja Qualifierin kirjallisia vastauksia. Jos ne eivät riitä vaatimustenmukaisuuden osoittamiseen, Asiakas voi auditoida Qualifierin suorittaman Asiakastietojen käsittelyn itse tai salassapitovelvollisen riippumattoman tarkastajan välityksellä, joka ei ole Qualifierin kilpailija, enintään kerran vuodessa ja vähintään 30 päivän kirjallisella ennakkoilmoituksella, ellei valvontaviranomainen edellytä muuta tai ellei henkilötietojen tietoturvaloukkausta ole tapahtunut. Auditoinnit tehdään virka-aikana, ne eivät saa häiritä Palvelua eivätkä paljastaa muiden asiakkaiden tietoja, ja niistä aiheutuvista kustannuksista vastaa Asiakas. Asiakas jakaa auditointiraportin Qualifierin kanssa ja pitää sen luottamuksellisena.

11. Voimassaolo, palauttaminen ja poistaminen

11.1 Tätä käsittelysopimusta sovelletaan niin kauan kuin Qualifier käsittelee Asiakastietoja. Jos Asiakkaalla ei ole käynnissä olevaa maksettua jaksoa, sopimus päättyy, kun Asiakas pyytää Qualifieria sulkemaan tilin tai kun yksikään Asiakkaan käyttäjä ei ole kirjautunut sisään 24 kuukauteen.

11.2 Sopimuksen päättyessä Asiakas valitsee, poistetaanko Asiakastiedot vai luovutetaanko ne ensin yleisessä tiedostomuodossa, kirjoittamalla osoitteeseen support@qualifier.ai. Qualifier toteuttaa valinnan 30 päivän kuluessa pyynnöstä. Jos Asiakas ei ole tehnyt valintaa, Qualifier poistaa Asiakastiedot viimeistään 90 päivän kuluttua sopimuksen päättymisestä. Varmuuskopioissa olevat kopiot poistuvat automaattisesti varmuuskopion vanhentuessa, viimeistään 22 päivän kuluttua varmuuskopion ottamisesta. Jos varmuuskopio palautetaan, Qualifier poistaa tiedot uudelleen ennen kuin Palvelua käytetään. Asiakkaan liittämien tilien käyttöoikeustunnukset ja tunnistetiedot poistetaan sopimuksen päättyessä. Teknisiin lokeihin jääneet jäljet poistuvat liitteen 2 mukaisen automaattisen säilytysajan perusteella. Poistamista ei sovelleta, jos unionin oikeus tai jäsenvaltion lainsäädäntö edellyttää tietojen säilyttämistä.

11.3 Kohtaa 11.2 ei sovelleta tietoihin, joita Qualifier pitää hallussaan erillisenä rekisterinpitäjänä kohdan 2.3 mukaisesti: Qualifierin oman tietokannan yritysyhteystietoihin, estotietoihin, kohdan 2.5 mukaisiin signaaleihin ja tilastoihin, Asiakkaan yhteyshenkilöihin eikä tietoihin, jotka Qualifierin on säilytettävä Ruotsin kirjanpitolain (bokföringslagen) nojalla.

12. Vastuu

12.1 Kumpikin osapuoli vastaa sille määrätyistä hallinnollisista sakoista.

12.2 Osapuoli, joka on maksanut rekisteröidylle korvausta vahingosta, josta toinen osapuoli on vastuussa, voi periä tämän osuuden toiselta osapuolelta GDPR:n 82 artiklan 5 kohdan mukaisesti.

12.3 Asiakas vapauttaa Qualifierin vastuusta rekisteröityjen, vastaanottajien ja viranomaisten vaatimuksissa, jotka johtuvat Asiakkaan ohjeista, sen vastaanottajavalinnoista, sen sähköpostien sisällöstä tai puuttuvasta oikeusperusteesta tai rekisteröidyille antamatta jääneistä tiedoista.

12.4 Yleisten ehtojen vastuunrajoitusta sovelletaan Qualifierin kaikkeen tämän käsittelysopimuksen mukaiseen vastuuseen, myös kohdan 12.2 mukaiseen vastuuseen ja yleisten ehtojen mahdollisten vastuusta vapauttamista koskevien sitoumusten mukaiseen vastuuseen. Sitä ei sovelleta tahallisuuteen eikä törkeään huolimattomuuteen.

12.5 Mikään tässä käsittelysopimuksessa ei rajoita rekisteröidyn oikeuksia eikä osapuolen GDPR:n mukaista vastuuta valvontaviranomaiseen nähden.

13. Muutokset, etusijajärjestys, sovellettava laki ja riidat

13.1 Qualifier voi muuttaa tätä käsittelysopimusta samalla tavalla kuin yleisiä ehtoja. Muutos ei saa heikentää Asiakastietojen suojaa.

13.2 Jos tämä käsittelysopimus ja sopimuksen muut osat ovat ristiriidassa henkilötietojen käsittelyn osalta, tämä käsittelysopimus on ensisijainen. Kohtaa 6.2 sovelletaan siitä huolimatta, mitä yleisissä ehdoissa sanotaan maksujen palauttamisesta. Sovellettava laki ja riitojen ratkaiseminen määräytyvät yleisten ehtojen mukaan.

Liite 1. Kuvaus käsittelystä

Liite 2. Tekniset ja organisatoriset toimenpiteet

Luettelossa ovat vain versiopäivänä käytössä olevat toimenpiteet.

• Salatut yhteydet (TLS) Palveluun. Sovelluksen ja tietokannan välinen liikenne on salattu.
• Tietokantaan pääsee vain Qualifierin omilta palvelimilta palomuurin takaa. Vianmääritykseen liittyvissä lukuoperaatioissa käytetään tietokantaroolia, jolla on vain lukuoikeus.
• Liitettyjen sähköpostitilien käyttöoikeustunnukset salataan avaimella, jota säilytetään Google Cloud Key Management Service -palvelussa alueella europe-west4 (Alankomaat).
• Tietokanta varmuuskopioidaan joka yö. Kopio salataan ennen kuin se lähtee tietokantapalvelimelta, eikä sen lukemiseen tarvittavaa avainta säilytetä palvelimilla. Palautuksia testataan neljännesvuosittain.
• Kirjautuminen Palveluun asiakkaan käyttäjänä edellyttää Qualifierin ylläpitäjätiliä, ja jokainen aloitus ja lopetus kirjataan lokiin. Tuotantoympäristön salaisuudet voidaan purkaa vain avaimella, joka on yhden nimetyn Qualifierin henkilön hallussa, ja koontijärjestelmän avaimella.
• Kunkin asiakkaan tiedot on eroteltu Palvelussa loogisesti. Käyttäjät pääsevät vain oman yrityksensä tietoihin.
• Kirjautuminen tapahtuu käyttäjän sähköpostiosoitteeseen lähetettävällä kertakäyttöisellä linkillä tai käyttäjän Google- tai Microsoft-tilillä. Istuntoevästeet on salattu.
• Asiakastietoja sisältävät vientitiedostot tallennetaan yksityisesti, ja niitä annetaan vain sisäänkirjautuneille käyttäjille, joilla on käyttöoikeus.
• Palvelun automaattisesti soveltamat säilytysajat: kävijöiden raa’at IP-osoitteet 30 päivää, prospekteja koskevat tapahtumalokit 90 päivää, virheraportit 14 päivää, tekniset suorituskykymittaukset 30–60 päivää, tietueiden muutoshistoria 12 kuukautta, käyttäjien kirjautumisten IP-historia 12 kuukautta ja varmuuskopiot 22 päivää. Palvelimien sovelluslokit ylikirjoitetaan jatkuvasti, kun ne saavuttavat kiinteän koon.
• Lähetys keskeytyy automaattisesti, kun palautuvien viestien osuus (bounce-prosentti) nousee. Qualifierin löytämät osoitteet sekä ladatut osoitteet, ellei Asiakas merkitse niitä luotetuiksi, varmennetaan ennen ensimmäistä sähköpostia; osoitteita, jotka Asiakas syöttää tai merkitsee luotetuiksi, käytetään sellaisinaan.
• Viestinnän peruutuspyyntö lopettaa uudet sähköpostit vastaanottajalle.