Tietojenkäsittelysopimus (Data Processing Agreement)

Voimassa alkaen: 25.8.2026

Grindzero Oy (Y-tunnus 3411998-2), Mukulakuja 4 A9, 04300 Tuusula, Suomi ("Grindzero")

Tämä on Grindzeron vakiomuotoinen tietojenkäsittelysopimus. Se tulee voimaan ilman erillistä allekirjoitusta, kun Yrityskäyttäjä käyttää Palvelua. Jos tarvitaan asiakaskohtaisia ehtoja, osapuolet voivat allekirjoittaa erillisen käsittelysopimuksen, joka syrjäyttää tämän asiakirjan.

Voimaantulo ja soveltaminen

Tämä sopimus liitetään viittauksella Grindzeron Palvelun käyttöehtoihin ja tulee osaksi asiakkaan ("Rekisterinpitäjä") ja Grindzeron välistä sopimusta, kun Rekisterinpitäjä hyväksyy käyttöehdot, luo organisaatiotilin tai ottaa käyttöön Grindzeron julkisen API:n. Erillistä vastapuolen allekirjoitusta ei tarvita. Ajantasainen versio on osoitteessa https://www.grindzero.app/legal/dpa. Aiemmat versiot merkitään muutoslokiin.

Jos Rekisterinpitäjän ja Grindzeron välillä on erikseen allekirjoitettu, tätä sopimusta korvaava tai täydentävä käsittelysopimus, sovelletaan ensisijaisesti sitä.

Osapuolet ja roolit

Käsittelijä: Grindzero Oy (edellä).

Rekisterinpitäjä: Palvelun käyttöehdot hyväksynyt Yrityskäyttäjä, sellaisena kuin se on tunnistettu Grindzeron organisaatiotilillä.

Roolien rajaus: Grindzero on käsittelijä Rekisterinpitäjän omien loppukäyttäjien (esim. kuljettajat, työnjohtajat ja muut valtuutetut käyttäjät) henkilötietojen osalta, kun näitä käsitellään Palvelun kautta. Grindzero on itse rekisterinpitäjä omien asiakastilien, laskutuksen ja markkinoinnin osalta (esim. Rekisterinpitäjän omat yhteyshenkilöt myynti- tai laskutustarkoituksessa). Tätä sopimusta ei sovelleta siihen käsittelyyn; se kuuluu Grindzeron tietosuojaselosteen piiriin.

1. Kohde ja kesto

Tämä sopimus koskee henkilötietojen käsittelyä, joka tapahtuu Grindzero-palvelun (mobiilisovellus, hallintasovellus, julkinen API) käytön yhteydessä. Sopimus on voimassa niin kauan kuin Rekisterinpitäjän ja Grindzeron välinen palvelusuhde on voimassa, ja sen jälkeen siltä osin kuin kohdan 8 velvoitteet sitä edellyttävät.

2. Käsittelyn luonne ja tarkoitus

Grindzero käsittelee henkilötietoja Rekisterinpitäjän puolesta seuraaviin tarkoituksiin:

• käyttäjien tunnistaminen ja kirjautuminen (SMS-vahvistuskoodi, sähköposti/salasana, Google-kirjautuminen, monivaiheinen tunnistautuminen)
• työmaiden, kuljetusten ja ylijäämäbetonin logistiikan koordinointi
• Rekisterinpitäjän oman datan tarjoaminen julkisen API:n kautta (raportointi, integraatiot)
• palvelun tietoturvan ja toimivuuden varmistaminen

Käsittely on automatisoitua ja manuaalista, ja jatkuu palvelusuhteen voimassaoloajan. Tarkempi laajuus on Liitteessä A.

3. Käsiteltävät tietoryhmät ja rekisteröityjen ryhmät

Käsiteltävät tietoryhmät (ks. myös Tietosuojaseloste):

Rekisteröityjen ryhmät: Rekisterinpitäjän valtuuttamat käyttäjät (esim. työntekijät, kuljettajat, työnjohtajat), jotka käyttävät Palvelua Rekisterinpitäjän puolesta.

Erityiset tietoryhmät (GDPR 9 art.): Palvelu ei ole suunniteltu keräämään erityisiin tietoryhmiin kuuluvia tietoja. Rahtikirjat ja vastaanottopisteiden kuvat voivat satunnaisesti sisältää tunnistettavia henkilöitä. Tämä käsitellään tavallisena henkilötietona, ei 9 artiklan erityisenä tietoryhmänä, koska kuvaamisen tarkoitus ei ole paljastaa terveyttä, alkuperää tai muuta erityistä tietoa.

4. Käsittelyn oikeusperuste

Rekisterinpitäjä vastaa siitä, että sillä on GDPR 6 artiklan mukainen oikeusperuste henkilötietojen käsittelylle omien käyttäjiensä osalta (tyypillisesti sopimus tai oikeutettu etu — ks. Palvelun käyttöehdot). Grindzero käsittelee tietoja yksinomaan Rekisterinpitäjän dokumentoitujen ohjeiden ja tämän sopimuksen mukaisesti.

5. Käsittelijän velvollisuudet

Grindzero sitoutuu:

5.1. käsittelemään henkilötietoja vain Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti (Palvelun käyttöehdot + tämä sopimus), ellei EU- tai kansallinen lainsäädäntö muuta edellytä — tällöin Grindzero ilmoittaa tästä Rekisterinpitäjälle ennen käsittelyä, mikäli laki ei kiellä ilmoittamista;

5.2. varmistamaan, että henkilöt, joilla on oikeus käsitellä tietoja, ovat sitoutuneet salassapitoon;

5.3. toteuttamaan GDPR 32 artiklan mukaiset tekniset ja organisatoriset toimenpiteet (kohta 7);

5.4. noudattamaan alihankkijoiden käytölle asetettuja ehtoja (kohta 6, Liite B);

5.5. avustamaan Rekisterinpitäjää kohtuullisin toimenpitein rekisteröityjen oikeuksien toteuttamisessa (GDPR III luku). Tilin poisto ja tietojen tarkastus on itsepalveluna Palvelussa (ks. Tietosuojaseloste). Muihin pyyntöihin Grindzero vastaa 10 arkipäivän kuluessa;

5.6. avustamaan Rekisterinpitäjää GDPR 32–36 artiklan velvoitteiden täyttämisessä siltä osin kuin se on kohtuudella mahdollista käsittelyn luonne ja Grindzerolle saatavilla oleva tieto huomioiden;

5.7. poistamaan tai palauttamaan henkilötiedot palvelusuhteen päättymisen jälkeen kohdan 8 mukaisesti;

5.8. asettamaan Rekisterinpitäjän saataville tämän sopimuksen noudattamisen osoittamiseksi tarvittavat tiedot ja sallimaan auditoinnit kohdan 9 mukaisesti.

6. Alihankkijat

Rekisterinpitäjä hyväksyy Grindzeron alihankkijoiden käytön Liitteen B mukaisesti.

Grindzero ilmoittaa uudesta alihankkijasta tai vaihdosta vähintään 30 päivää ennen kuin uusi alihankkija aloittaa Rekisterinpitäjän henkilötietojen käsittelyn, sähköpostitse tai Palvelussa. Rekisterinpitäjä voi vastustaa muutosta perustellusti tietosuojaan liittyvin syin 15 päivän kuluessa ilmoituksesta.

Alustan alihankkijat (Supabase, Vercel, Cloudflare, Upstash) ovat välttämättömiä Palvelun tuottamiseksi. Niitä koskeva perusteltu vastustus tarkoittaa, että Rekisterinpitäjä voi irtisanoa palvelusuhteen. Grindzero ei voi jatkaa Palvelun tuottamista siirtämättä tietoja näille alihankkijoille.

Muut alihankkijat (esim. Sentry, Resend, SMS-toimittajat, valinnainen Google-kirjautuminen): jos osapuolet eivät löydä ratkaisua 30 päivän kuluessa vastustuksesta, Rekisterinpitäjä voi irtisanoa palvelusuhteen siltä osin kuin se koskee kyseisen alihankkijan käsittelemää dataa. Kunnes asia on ratkaistu, Grindzero ei siirrä Rekisterinpitäjän dataa vastustetulle uudelle alihankkijalle.

Grindzero vastaa siitä, että kunkin Art. 28 -alihankkijan kanssa on voimassa vähintään tämän sopimuksen tasoiset tietosuojavelvoitteet. Google Maps Platform ja Google-kirjautuminen on listattu Liitteessä B läpinäkyvyyden vuoksi; ne voivat toimia osin itsenäisinä rekisterinpitäjinä (ks. Liite B).

7. Tietoturva (GDPR 32 art.)

Grindzero toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet käsittelyn riskiä vastaavalla tasolla, mukaan lukien:

• pääsynhallinta roolipohjaisesti (Row Level Security, Supabase Auth) — käyttäjä näkee vain oman organisaationsa datan
• salaus siirrossa (TLS) ja levossa (Supabase/AWS-standarditoteutus)
• kirjautumis- ja muutoslokit kriittisistä toiminnoista
• monivaiheinen tunnistautuminen pakollinen admin-rooleille tuotannossa
• pääsy rajattu henkilöille, jotka tarvitsevat sitä työtehtävissään
• automaattinen päivittäinen varmuuskopiointi (Supabase Pro). Point-in-time-palautus on saatavilla lisäominaisuutena, ei oletuksena

8. Tietojen poistaminen tai palautus sopimuksen päättyessä

Palvelusuhteen päätyttyä Grindzero:

8.1. asettaa Rekisterinpitäjän saataville tämän oman datansa koneluettavassa muodossa (API-vastaukset / CSV-eräajo) 30 päivän kuluessa palvelusuhteen päättymisestä;

8.2. poistaa tai anonymisoi henkilötiedot Rekisterinpitäjän valinnan mukaan, ellei lainsäädäntö edellytä säilyttämistä (esim. kirjanpitolaki) — samaa mallia kuin tilin poisto (oletus 30 pv, organisaatio voi pidentää enintään 365 pv, ks. Tietosuojaseloste).

9. Auditoinnit ja tiedonsaanti

Grindzero antaa Rekisterinpitäjälle pyynnöstä kohtuulliset tiedot tämän sopimuksen noudattamisen osoittamiseksi (esim. alihankkijalista, tietoturvakuvaus, Liite B). Auditointi kerran vuodessa, ensisijaisesti etänä (dokumentaatio ja kyselyt). Paikan päällä tehtävä auditointi sovitaan erikseen. Rekisterinpitäjä vastaa auditoinnin kustannuksista, elleivät havainnot osoita olennaista poikkeamaa tästä sopimuksesta, jolloin Grindzero vastaa kustannuksista.

10. Tietoturvapoikkeamat

Grindzero ilmoittaa Rekisterinpitäjälle ilman aiheetonta viivytystä havaitusta henkilötietojen tietoturvaloukkauksesta, joka koskee Rekisterinpitäjän dataa, pyrkien ilmoittamaan 72 tunnin kuluessa havaitsemisesta. Ilmoitus sisältää saatavilla olevat tiedot loukkauksen luonteesta, todennäköisistä seurauksista ja toteutetuista tai suunnitelluista korjaavista toimenpiteistä. Ilmoituskanava: Palvelussa ilmoitettu tekninen yhteyshenkilö sekä info@grindzero.io.

GDPR 33 artiklan 72 tunnin määräaika koskee ilmoitusta valvontaviranomaiselle, ei tämän kohdan asiakasilmoitusta.

11. Kansainväliset siirrot

Osa alihankkijoista käsittelee tietoja Euroopan talousalueen ulkopuolella. Kukin tällainen siirto on katettu EU:n vakiosopimuslausekkeilla ja/tai EU–U.S. Data Privacy Framework -sertifioinnilla, alihankkijasta riippuen — mekanismit on eritelty Liitteessä B. Osa alihankkijoista (Supabase, Sentry EU-region, GatewayAPI EU-tili, Tavoittaja.fi) käsittelee tiedot EU/ETA-alueella.

12. Vastuu

Tämän sopimuksen mukaiseen henkilötietojen käsittelyyn sovelletaan seuraavaa, ja se syrjäyttää Palvelun käyttöehtojen yleisen vastuunrajoituksen siltä osin kuin kyse on tämän sopimuksen rikkomisesta:

Grindzeron kokonaisvastuu tämän sopimuksen perusteella aiheutuneista vahingoista on rajattu määrään, joka vastaa Rekisterinpitäjän edeltävän kahdentoista (12) kuukauden aikana Grindzerolle maksamia maksuja. Rajoitusta ei sovelleta vahinkoihin, jotka aiheutuvat tahallisuudesta, törkeästä huolimattomuudesta, salassapitovelvollisuuden rikkomisesta, tai valvontaviranomaisen Rekisterinpitäjälle määräämästä hallinnollisesta sakosta siltä osin kuin sakko perustuu todistettavasti Grindzeron tämän sopimuksen vastaiseen menettelyyn.

Muuhun Palvelun käyttöön sovelletaan käyttöehtojen kohtaa 12.

13. Voimassaolo ja sovellettava laki

Tätä sopimusta tulkitaan Suomen lain mukaisesti. Erimielisyydet pyritään ensisijaisesti ratkaisemaan neuvotteluteitse; toissijaisesti ne ratkaistaan Grindzeron kotipaikan (Suomi) toimivaltaisessa käräjäoikeudessa.

Asiakaskohtainen, allekirjoitettu käsittelysopimus on saatavilla ottamalla yhteyttä osoitteeseen info@grindzero.io.

Liite A — Käsittelyn laajuus

Tämä vakiomuoto kattaa Rekisterinpitäjän käytön Grindzero-palvelusta (mobiilisovellus, hallintasovellus ja julkinen API) Rekisterinpitäjän omaan organisaatioon rajoitettuna.

Julkinen API on osoitteessa https://api.grindzero.app/api/v1 ja kuvattu osoitteessa https://api.grindzero.app/docs. Käsittely rajoittuu dataan, johon Rekisterinpitäjän API-avaimelle on myönnetty oikeus (esim. read:orgs, write:orgs:self, read:data, write:data tai *). Voimassa olevat scopet näkyvät hallintasovelluksessa API-avaimen asetuksissa.

Mobiilisovelluksen GPS-seuranta kuuluu tämän sopimuksen piiriin Rekisterinpitäjän omien käyttäjien osalta, kun sijainnin jakaminen on käytössä. Julkinen API ei paljasta live-GPS:ää, ellei dokumentoitua rajapintaa ole olemassa.

Tämä liite ei kata: (a) muiden organisaatioiden dataa; (b) integraatiota, jolle on sovittu erillinen allekirjoitettu käsittelysopimus.

Kun julkiseen API:in lisätään dokumentoituja reittejä tai scopeja, ne kuuluvat tämän liitteen piiriin siltä osin kuin Rekisterinpitäjä ottaa ne käyttöön. Muutoksista tiedotetaan API:n dokumentaatiossa.

Liite B — Alihankkijat ja siirrot (GDPR V luku)

Muutosloki

• 2026-08-25: Ensimmäinen julkaistu vakiomuoto. Voimaan viittauksella käyttöehtoihin. GatewayAPI EU-DPA vahvistettu tilille hyväksytyksi (app.gatewayapi.eu, 24.4.2026).