Tietosuojaseloste

Teemu Neittamo / FinlandHosting Yksityinen elinkeinonharjoittaja Y-tunnus: 3547928-5

Miilumäki 7b 02740 Espoo Suomi

Sähköposti: [email protected] Puhelin: +358 40 151 7757

FinlandHosting on rekisterinpitäjän palveluissa käyttämä nimi ja brändi.

Tietosuoja-asioiden yhteyshenkilö: Teemu Neittamo [email protected]

FinlandHosting voi käsitellä seuraavia henkilötietoja:

• nimi
• sähköpostiosoite
• puhelinnumero
• osoite
• yrityksen nimi ja Y-tunnus
• laskutus- ja maksutiedot
• ostohistoria
• IP-osoite ja lokitiedot
• kirjautumis- ja käyttöajat
• asiakaspalveluviestit ja tukipyynnöt
• palveluiden käyttöön liittyvät tekniset tiedot.

KYC-tunnistautuminen

FinlandHosting voi edellyttää asiakkaan henkilöllisyyden varmentamista ennen palvelun avaamista, palvelun käytön jatkamista tai tietyissä petos-, väärinkäytös-, tietoturva- tai muissa riskitilanteissa.

Henkilöllisyyden varmennuksessa käytetään Didit Identity Spain, S.L.:n (Didit) palvelua.

Varmennuksessa voidaan käsitellä esimerkiksi:

• henkilöllisyystodistuksen kuvaa ja tietoja
• nimeä
• syntymäaikaa
• asiakirjan numeroa
• asiakirjan voimassaoloaikaa
• selfie-kuvaa
• liveness- eli elävyystarkistukseen liittyviä tietoja
• kasvovertailussa muodostettavia biometrisiä tietoja
• kasvokuvasta muodostettavaa kuvatonta biometristä mallia
• tunnistautumisen tulosta
• mahdollisia petos- ja riskisignaaleja
• laite- ja IP-tietoja.

Biometrinen malli on henkilön kasvonpiirteistä teknisesti muodostettu tunniste, jota voidaan käyttää saman henkilön aikaisempien tunnistautumisten tunnistamiseen. Vaikka malli ei sisällä alkuperäistä selfie-kuvaa, henkilöllisyysasiakirjan kuvaa tai videota, se on edelleen biometrinen henkilötieto.

KYC-tietoja voidaan käyttää:

• henkilöllisyyden varmistamiseen
• petosten ehkäisemiseen
• väärinkäytösten ehkäisemiseen
• useiden tai toistuvasti luotujen asiakastilien havaitsemiseen
• aikaisempiin tunnistautumisiin liittyvien osumien tunnistamiseen
• maksuihin ja palveluiden väärinkäyttöön liittyvien riskien arviointiin
• FinlandHostingin palveluiden ja infrastruktuurin tietoturvan ylläpitämiseen.

Aikaisempaan tunnistautumiseen tai samaan henkilöön liittyvä tekninen osuma ei yksin tarkoita, että asiakas olisi syyllistynyt petokseen tai väärinkäytökseen. Tällainen osuma toimii riskisignaalina, jonka perusteella tapaus voidaan tarvittaessa arvioida tarkemmin.

FinlandHosting käsittelee henkilötietoja seuraaviin tarkoituksiin ja oikeusperusteisiin perustuen:

• Asiakastilin luominen, palvelun tilaaminen ja palvelun toimittaminen: sopimuksen tekeminen ja täytäntöönpano.
• Laskutus ja maksujen käsittely: sopimuksen täytäntöönpano ja lakisääteiset velvoitteet.
• Kirjanpito: lakisääteinen velvoite.
• Asiakaspalvelu ja tukipyynnöt: sopimuksen täytäntöönpano ja FinlandHostingin oikeutettu etu.
• Lokitus, tekninen valvonta ja tietoturva: FinlandHostingin oikeutettu etu.
• Petosten, väärinkäytösten ja toistuvien asiakastilien ehkäisy: FinlandHostingin oikeutettu etu.
• Henkilöllisyyden riskiperusteinen varmistaminen: FinlandHostingin oikeutettu etu.
• Biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista sekä saman henkilön aikaisempien tunnistautumisten tunnistamista varten: asiakkaan nimenomainen suostumus.

FinlandHostingin oikeutettuun etuun perustuvassa käsittelyssä arvioidaan käsittelyn tarpeellisuutta sekä FinlandHostingin ja rekisteröidyn oikeuksien ja etujen välistä tasapainoa.

Biometrinen kasvovertailu

Biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista sekä saman henkilön aikaisempien tunnistautumisten tunnistamista varten perustuu asiakkaan nimenomaiseen suostumukseen.

Suostumus kattaa tunnistautumisen yhteydessä tehtävän biometrisen kasvovertailun sekä FinlandHostingin käyttöön muodostettavan biometrisen mallin käytön petosten, väärinkäytösten ja useiden asiakastilien havaitsemiseen tämän tietosuojaselosteen mukaisen säilytysajan ajan.

Suostumuksen antaminen biometriseen käsittelyyn on vapaaehtoista, ja sen voi peruuttaa milloin tahansa. Suostumuksen peruuttaminen ei vaikuta ennen peruuttamista suoritetun käsittelyn lainmukaisuuteen.

Jos suostumus peruutetaan ja biometrisen mallin säilyttämiselle ei ole muuta sovellettavan tietosuojalainsäädännön mukaista käsittelyperustetta, biometrinen malli poistetaan.

Jos asiakas ei halua käyttää biometristä kasvovertailua, FinlandHosting voi tarvittaessa tarjota vaihtoehtoisen tavan henkilöllisyyden varmistamiseen.

Henkilöllisyyden luotettava varmistaminen itsessään voi kuitenkin olla palvelun avaamisen tai käytön jatkamisen edellytys esimerkiksi petos-, väärinkäytös- tai tietoturvariskin vuoksi.

Palvelun tilaamisen yhteydessä pyydettävät perustiedot, kuten nimi, yhteystiedot ja tarvittavat laskutustiedot, ovat yleensä välttämättömiä sopimuksen tekemiseksi ja palvelun toimittamiseksi.

FinlandHosting voi tietyissä petos-, väärinkäytös-, tietoturva- tai muissa riskitilanteissa edellyttää asiakkaan henkilöllisyyden varmistamista ennen palvelun avaamista tai palvelun käytön jatkamista.

Jos tarvittavia tietoja ei toimiteta tai henkilöllisyyttä ei voida muutoin luotettavasti varmistaa, FinlandHosting ei välttämättä voi avata tai jatkaa kyseistä palvelua.

Biometriseen käsittelyyn osallistuminen ei kuitenkaan itsessään ole pakollista silloin, kun asiakkaalle voidaan kohtuudella tarjota muu luotettava henkilöllisyyden varmistamistapa.

Henkilötietoja säilytetään vain niin kauan kuin niiden käsittely on tarpeellista tai laki edellyttää.

Yleiset tiedot

• Asiakastiedot: asiakassuhteen ajan ja tarvittaessa sen jälkeen oikeudellisten vaatimusten, sopimusvelvoitteiden tai muiden perusteltujen syiden vuoksi.
• Kirjanpitoon liittyvät tiedot: lainsäädännön edellyttämän ajan.
• Lokitiedot: yleensä 6–12 kuukautta, ellei pidempi säilytysaika ole tarpeen esimerkiksi tietoturva- tai väärinkäytöstilanteen selvittämiseksi.

KYC-tunnistautumistiedot

Diditin palvelussa olevia varsinaisia KYC-tunnistautumistietoja, kuten henkilöllisyysasiakirjojen kuvia, selfie-kuvia, liveness-aineistoa, asiakirjoista poimittuja tietoja ja muuta tunnistautumissessioon kuuluvaa aineistoa säilytetään pääsääntöisesti enintään yhden (1) kuukauden ajan tunnistautumisesta.

FinlandHosting käyttää lisäksi Diditin mahdollisuutta säilyttää varsinaisen tunnistautumissession poistamisen jälkeen kuvasta erillinen biometrinen kasvotunniste eli biometrinen malli.

Biometrinen malli ei sisällä alkuperäistä henkilöllisyysasiakirjan kuvaa, selfie-kuvaa tai liveness-videota.

Biometristä mallia käytetään ainoastaan FinlandHostingin omassa Didit-ympäristössä saman henkilön aikaisempien tunnistautumisten, toistuvien rekisteröitymisten, useiden asiakastilien sekä petos- ja väärinkäytöstilanteiden havaitsemiseen ja selvittämiseen.

Biometristä mallia säilytetään enintään 180 päivää tunnistautumisesta.

Biometrinen malli poistetaan tämän jälkeen automaattisesti tai aikaisemmin, jos:

• sen säilyttämisen tarkoitus päättyy
• sovellettava lainsäädäntö edellyttää aikaisempaa poistamista
• rekisteröidyn poistopyyntö on lain perusteella toteutettava
• FinlandHosting tai Didit suorittaa nimenomaisen poistamisen.

Hyväksytyn tai hylätyn tunnistautumisen tulosta, tunnistautumisen ajankohtaa, palveluntarjoajan tapahtumatunnistetta sekä muita tarpeellisia hallinnollisia tunnistautumistietoja voidaan säilyttää enintään 3 vuotta asiakassuhteen päättymisestä, jos säilyttäminen on tarpeen esimerkiksi väärinkäytösten, petosten, maksuriitojen tai oikeudellisten vaatimusten selvittämiseksi.

Tämä pidempi säilytysaika ei tarkoita henkilöllisyysasiakirjojen kuvien, selfie-kuvien, liveness-aineiston tai biometrisen mallin säilyttämistä kyseisen ajan.

Tietoja voidaan säilyttää pidempään vain silloin, kun laki, oikeudellisen vaatimuksen selvittäminen tai muu sovellettava oikeusperuste sitä edellyttää.

Henkilötietoja voidaan käsitellä FinlandHostingin palveluntarjoajien toimesta palveluiden toteuttamiseksi.

Näitä voivat olla esimerkiksi:

• Didit Identity Spain, S.L. – henkilöllisyyden varmennus
• maksupalveluntarjoajat
• kirjanpitopalvelut
• palvelin- ja datakeskuspalveluntarjoajat
• sähköposti- ja muut IT-palveluntarjoajat.

Didit Identity Spain, S.L. toimii FinlandHostingin käyttämässä KYC-tunnistautumisessa pääsääntöisesti henkilötietojen käsittelijänä ja käsittelee tunnistautumistietoja FinlandHostingin ohjeiden mukaisesti.

Didit voi käsitellä tiettyjä tietoja myös omiin lakisääteisiin, tietoturva-, petostentorjunta- tai muihin sen tietosuojakäytännöissä kuvattuihin tarkoituksiin siinä laajuudessa kuin sovellettava lainsäädäntö sekä FinlandHostingin ja Diditin välinen sopimus tämän sallivat.

FinlandHosting on poistanut käytöstä Diditin asetukset, joiden perusteella FinlandHostingin tunnistautumistietoja voitaisiin käyttää Diditin mallien kehittämiseen tai kouluttamiseen.

FinlandHostingin käyttämät KYC-tiedot käsitellään tunnistautumisen, petosten ja väärinkäytösten ehkäisyn sekä tietoturvan tarkoituksiin tämän tietosuojaselosteen mukaisesti.

Diditin ilmoituksen mukaan FinlandHostingin käyttämän tunnistautumispalvelun tiedot käsitellään ja säilytetään oletusarvoisesti Euroopan unionin alueella.

Jos henkilötietoja siirretään Euroopan talousalueen ulkopuolelle, siirrossa käytetään sovellettavan tietosuojalainsäädännön mukaista siirtoperustetta ja asianmukaisia suojatoimia, kuten Euroopan komission hyväksymiä vakiolausekkeita silloin, kun niitä tarvitaan.

Henkilötietoja ei myydä kolmansille osapuolille.

Tietoja voidaan luovuttaa viranomaisille, jos laki sitä edellyttää.

Lisätietoja Diditin henkilötietojen käsittelystä on saatavilla Diditin omasta tietosuojaselosteesta ja tunnistautumispalvelun tietosuojailmoituksesta.

Henkilötietoja suojataan asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä.

Näitä voivat olla esimerkiksi:

• salatut yhteydet
• käyttöoikeuksien rajoittaminen
• käyttäjien ja ylläpitäjien tunnistaminen
• palomuurit
• lokitus
• valvonta
• palvelinten ja järjestelmien suojaaminen
• varmuuskopiointi
• käyttöoikeuksien rajaaminen vain niille henkilöille, jotka tarvitsevat tietoja tehtäviensä hoitamiseen.

KYC-tietojen käsittelyssä hyödynnetään lisäksi Diditin tarjoamia teknisiä ja organisatorisia tietoturvatoimenpiteitä.

Rekisteröidyllä on sovellettavan tietosuojalainsäädännön mukaisesti oikeus:

• saada tieto henkilötietojensa käsittelystä
• tarkastaa itseään koskevat henkilötiedot
• pyytää virheellisten tai puutteellisten tietojen korjaamista
• pyytää henkilötietojen poistamista
• pyytää henkilötietojen käsittelyn rajoittamista
• vastustaa henkilötietojen käsittelyä silloin, kun käsittely perustuu FinlandHostingin oikeutettuun etuun
• siirtää tiedot järjestelmästä toiseen sovellettavissa tilanteissa
• peruuttaa antamansa suostumus milloin tahansa
• tehdä valitus toimivaltaiselle tietosuojaviranomaiselle.

Suostumuksen peruuttaminen ei vaikuta ennen peruuttamista tapahtuneen käsittelyn lainmukaisuuteen.

Oikeus tietojen poistamiseen ei ole ehdoton. Tietoja voidaan joutua säilyttämään esimerkiksi silloin, kun FinlandHostingilla on lakisääteinen velvollisuus säilyttää niitä tai kun säilyttäminen on tarpeen oikeudellisen vaatimuksen laatimiseksi, esittämiseksi tai puolustamiseksi.

Tietopyynnöt voi lähettää osoitteeseen:

[email protected]

KYC-tunnistautumiseen liittyvissä pyynnöissä FinlandHosting toimii rekisterinpitäjänä ja vastaa pyynnön käsittelystä siltä osin kuin kyse on FinlandHostingin vastuulla olevasta henkilötietojen käsittelystä.

KYC-tunnistautumisessa voidaan käyttää automaattisia tarkistuksia esimerkiksi:

• henkilöllisyysasiakirjan aitouden arvioinnissa
• liveness-tarkistuksessa
• kasvovertailussa
• aikaisempien tunnistautumisten tunnistamisessa
• saman henkilön useiden tunnistautumisten havaitsemisessa
• muiden petos- ja väärinkäytösriskien arvioinnissa.

Automaattisessa tarkistuksessa syntyvä riskisignaali, kuten mahdollinen aikaisempaan tunnistautumiseen liittyvä kasvo-osuma, asiakirjaan liittyvä poikkeama tai epäonnistunut liveness-tarkistus, ei välttämättä yksin johda palvelun epäämiseen.

Tapaus voidaan tarvittaessa arvioida manuaalisesti.

Jos henkilöä koskeva päätös perustuu yksinomaan automaattiseen henkilötietojen käsittelyyn ja sillä on GDPR:n tarkoittamia oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia, rekisteröidyllä on sovellettavan lainsäädännön mukaisesti oikeus:

• vaatia ihmisen osallistumista asian käsittelyyn
• esittää oma näkemyksensä
• riitauttaa päätös.

Jos henkilötietojen tietoturvaloukkaus tapahtuu, FinlandHosting arvioi tilanteen ja toimii GDPR:n ja muun sovellettavan tietosuojalainsäädännön edellyttämällä tavalla.

Tarvittaessa tietoturvaloukkauksesta ilmoitetaan toimivaltaiselle tietosuojaviranomaiselle ja niille henkilöille, joita loukkaus koskee.

Rekisteröidyllä on oikeus tehdä valitus toimivaltaiselle tietosuojaviranomaiselle.

Suomessa tietosuojan valvontaviranomainen on:

Tietosuojavaltuutetun toimisto PL 800 00531 Helsinki Suomi

https://tietosuoja.fi

FinlandHosting voi päivittää tätä tietosuojaselostetta palveluiden, henkilötietojen käsittelyn, palveluntarjoajien, teknisten järjestelmien tai lainsäädännön muuttuessa.

Ajantasainen versio julkaistaan FinlandHostingin verkkosivustolla.