Tietosuojaseloste

Tämän selosteen mukaisten henkilötietojen rekisterinpitäjä on:

Tietosuojaa koskevat kysymykset, tarkastus- ja poistopyynnöt sekä valitukset ohjataan ensisijaisesti yllä olevaan sähköpostiin. Vastaamme yhteydenottoihin viimeistään 30 vuorokauden kuluessa.

Tämä tietosuojaseloste kattaa kaksi rekisteriä:

• Tarjouspyyntörekisteri — verkkosivujen lomakkeella tai sähköpostitse lähetetyt tarjouspyynnöt ja yhteydenotot, joiden tarkoitus on vastata yhteydenottoon ja laatia tarjous.
• Asiakas- ja palveluntuotantorekisteri — palvelusopimuksen perusteella käsiteltävät tiedot, jotka liittyvät asiakaspalvelun sekä kirjanpito- ja taloushallintopalvelun tuottamiseen.

Tarjouspyyntörekisteri

• Nimi ja sähköpostiosoite
• Vapaaehtoisesti annetut tarjouspyynnön tiedot: yritysmuoto, laskujen määrä kuukaudessa, palkansaajien määrä sekä nykyinen tilitoimisto tai ohjelmisto
• Tekninen tieto: User-Agent ja Referer-otsake roskaposti- ja automaatiosuojausta varten
• Lähetyspäivämäärä

Asiakas- ja palveluntuotantorekisteri

• Asiakasyhtiön perustiedot: nimi, Y-tunnus, kotipaikka, yhtiöjärjestys
• Hallituksen jäsenten ja yhteyshenkilöiden nimet, sähköpostit, puhelinnumerot ja roolit
• Taloyhtiöasiakkailla osakeluettelo ja osakkaiden henkilötiedot (nimi, osoite, osakenumerot, lainaosuus)
• Palkanlaskennassa asiakkaan palkansaajien tiedot (nimi, henkilötunnus, osoite, tilinumero, palkka- ja verotiedot)
• Taloushallinnon aineisto: pankkitiliotteet, osto- ja myyntilaskut, vastikelaskut, tilinpäätökset, toimintakertomukset sekä portaalin tai kuittisähköpostin kautta toimitetut kuitit
• Yhtiökokouspöytäkirjat ja hallituksen kokouspöytäkirjat
• Sähköisten allekirjoitusten lokitiedot
• Asiakasyhteydenpidon tiedot (sähköpostit, tukipyynnöt, tikettihistoria)
• Laskutus- ja maksutiedot (Holdarri Oy:n kirjanpitoa varten)

Käsittelemme henkilötietoja seuraaviin tarkoituksiin:

• Sopimuksen täyttäminen ja sopimusta edeltävät toimenpiteet (GDPR 6 art. 1 b) — tarjouspyyntöihin vastaaminen, palvelusopimuksen mukaisten asiakirjojen tuottaminen, asiakaspalvelu ja laskutus.
• Lakisääteinen velvoite (GDPR 6 art. 1 c) — kirjanpitolain ja muun lainsäädännön edellyttämä asiakirjojen säilyttäminen ja viranomaisilmoitukset.
• Suostumus (GDPR 6 art. 1 a) — markkinointiviestintä, jonka voit peruuttaa milloin tahansa.
• Oikeutettu etu (GDPR 6 art. 1 f) — palvelun tietoturvan, väärinkäytön estämisen ja palvelun kehittämisen edellyttämä käsittely. Oikeutetun edun tasapainotesti tehty huolellisesti.

Henkilötiedot saadaan ensisijaisesti:

• Rekisteröidyltä itseltään (lomake, sähköposti, puhelin)
• Asiakkaalta tai sen edelliseltä tilitoimistolta palvelun käynnistyksen yhteydessä — esimerkiksi edellisen vuoden tilinpäätös ja taloyhtiöillä osakeluettelo
• Julkisista lähteistä, kuten PRH:n kaupparekisteristä ja Verohallinnon avoimista palveluista

Emme myy emmekä vuokraa henkilötietoja. Tietoja luovutetaan kolmansille osapuolille seuraavissa tilanteissa:

• Viranomaiset — Verohallinto, tulorekisteri, PRH ja Maanmittauslaitos osana lakisääteisiä ilmoituksia ja rekisteröintejä, asiakkaan toimeksiannosta.
• Toiminnantarkastaja tai tilintarkastaja — tilinpäätösaineisto välitetään asiakkaan valitsemalle tarkastajalle.
• Pankki — yhtiölainasaldojen tarkistamiseksi asiakkaan valtuutuksella.
• Alikäsittelijät — palvelun toteuttamiseen käytettävät palveluntarjoajat (ks. § 07).

Käytämme seuraavia alikäsittelijöitä palvelun toteuttamiseen. Kunkin kanssa on solmittu GDPR 28 artiklan mukainen tietojenkäsittelysopimus.

Asiakkaan oma kirjanpitojärjestelmä (Procountor tai Fennoa) ja pankki ovat asiakkaan omia sopimuskumppaneita, joista Kamreeri lukee ja joihin se kirjaa tietoa asiakkaan antamin valtuuksin; ne eivät ole Kamreerin alikäsittelijöitä. Päivitämme luetteloa palvelun kehittyessä. Uusista alikäsittelijöistä ilmoitamme asiakkaille vähintään 30 vuorokautta ennen käyttöönottoa.

Osa alikäsittelijöistä toimii EU:n / ETA:n ulkopuolella (erityisesti Yhdysvalloissa). Näille siirroille on käytössä jokin seuraavista suojakeinoista:

• EU-komission vakiosopimuslausekkeet (Standard Contractual Clauses, SCC)
• EU–Yhdysvallat-tietosuojakehys (Data Privacy Framework, DPF) soveltuvilta osin

Pyrimme käyttämään EU/ETA-alueella sijaitsevia alikäsittelijöitä aina kun se on teknisesti ja toiminnallisesti perusteltua.

• Tarjouspyyntöjen tiedot: säilytetään enintään 24 kuukautta. Mikäli rekisteröity ryhtyy asiakkaaksi, tiedot siirretään asiakasrekisteriin.
• Asiakassopimuksen aikana: tietoja säilytetään palvelun tuottamiseksi.
• Sopimuksen päättymisen jälkeen: kirjanpitolain ja muun lainsäädännön edellyttämät tiedot säilytetään vähintään 6–10 vuotta. Muut tiedot poistetaan tai anonymisoidaan 12 kuukauden kuluessa sopimuksen päättymisestä.
• Markkinointiyhteystiedot: säilytetään, kunnes suostumus peruutetaan.

EU:n tietosuoja-asetus antaa rekisteröidylle seuraavat oikeudet:

• Oikeus saada pääsy tietoihinsa (GDPR 15 art.)
• Oikeus tietojen oikaisuun (GDPR 16 art.)
• Oikeus tietojen poistamiseen (GDPR 17 art.)
• Oikeus käsittelyn rajoittamiseen (GDPR 18 art.)
• Oikeus siirtää tiedot järjestelmästä toiseen (GDPR 20 art.)
• Oikeus vastustaa käsittelyä (GDPR 21 art.)
• Oikeus peruuttaa annettu suostumus milloin tahansa (GDPR 7 art.)
• Oikeus tehdä valitus valvontaviranomaiselle (Tietosuojavaltuutetun toimisto, tietosuoja.fi)

Pyynnöt osoitetaan hei@kamreeri.fi-osoitteeseen. Saatamme pyytää rekisteröityä tunnistautumaan ennen pyynnön käsittelyä, mikäli se on tarpeen tietojen oikeudettomalta luovutukselta suojaamiseksi.

Henkilötiedot on suojattu kohtuullisin teknisin ja organisatorisin keinoin:

• Salatut yhteydet (TLS 1.2 tai uudempi) kaikessa tiedonsiirrossa
• Tietojen salaus levossa palvelimella ja varmuuskopioissa
• Palvelin ja varmuuskopiot vain EU:ssa; ylläpitäjien pääsy palvelimeen ainoastaan tunnistautuneena (ei julkista SSH:ta) ja kahden tekijän tunnistautumisella
• Käyttäjät kirjautuvat henkilökohtaisella kertakäyttöisellä sähköpostilinkillä; asiakkaan käyttäjä näkee vain oman yhtiönsä tiedot, ja kirjanpitäjän ja asiakkaan näkymät on erotettu palvelinpuolella
• Päivittäiset varmuuskopiot versioituun tallennustilaan EU:ssa (30 päivän poistosuoja); palautus testattu
• Tekoälylle lähetetään vain kirjanpitotapahtuman ja kuitin tiedot; sen tuotos on aina ehdotus, jonka kirjanpitäjä tarkistaa
• Tietoturvan jatkuva arviointi ja päivitys osana palvelun kehitystä

Tietoturvapoikkeamasta, joka todennäköisesti aiheuttaa henkilötietojen vaarantumista, ilmoitamme valvontaviranomaiselle 72 tunnin kuluessa ja rekisteröidyille ilman aiheetonta viivytystä, jos riski on korkea.

Mikäli koet, että emme käsittele henkilötietojasi GDPR:n edellyttämällä tavalla, sinulla on oikeus tehdä valitus tietosuojavaltuutetulle.

Päivitämme tätä selostetta palvelun ja lainsäädännön kehityksen mukaisesti. Olennaisista muutoksista ilmoitamme asiakkaille sähköpostitse vähintään 14 vuorokautta ennen voimaantuloa.

Selosteen tämänhetkinen versio on aina luettavissa osoitteessa kamreeri.fi/tietosuoja.