Käyttöehdot Mollie Invoicing

Nämä palveluehdot (”Laskutuspalvelun ehdot”) muodostavat laillisen sopimuksen sinun ja edustamasi organisaation tai yhteisön (josta käytetään jäljempänä nimitystä ”Yhteisö”, ”sinä” tai ”sinun”) sekä Mollie B.V.:n ja sen lisenssinantajien (jäljempänä ”Mollie”, ”me” tai ”meidän”) välillä Laskutuspalvelun käytöstä.

Laskutuspalvelun ehdoissa määritellään ehdot, joiden mukaisesti sinulla on oikeus käyttää Laskutuspalvelua. Käyttäjäsopimus, jota sovelletaan sinuun kokonaisuudessaan, on edelleen voimassa ja sitä täydennetään näillä Laskutuspalvelun ehdoilla. siltä osin kuin Käyttäjäsopimus on ristiriidassa näiden Laskutuspalvelun ehtojen kanssa, nämä Laskutuspalvelun ehdot syrjäyttävät sen, mutta vain Laskutuspalvelun ja sen käytön osalta.

Seuraavia määritelmiä sovelletaan Käyttäjäsopimuksessa tai muussa Mollien ja Yhteisön välisessä sopimuksessa olevien määritelmien lisäksi:

Käyttämällä Laskutuspalvelua sitoudut  seuraaviin ehtoihin:

1. Palvelun kuvaus

1.1 Mollien laskutuspalvelu on digitaalinen laskutusratkaisu, joka on suunniteltu auttamaan alustoja tai kauppiaita luomaan, mukauttamaan, lähettämään ja hallinnoimaan laskuja tehokkaasti Mollie Dashboard -käyttöliittymän tai Invoice API:n kautta mahdollistamalla nopea laskun luominen, arvonlisäveron soveltaminen, automaattiset maksumuistutukset ja -seurannat sekä useita maksuvaihtoehtoja asiakkaille (”Laskutuspalvelu”).

2. Hinnoittelu

2.1 Laskutuspalvelu hinnoitellaan seuraavan sivun mukaisesti: www.mollie.com/pricing tai muuten kirjallisesti osapuolten välillä sovitulla tavalla. 

3. Henkilötiedot ja tietojen käsittely 

3.1 Laskutuspalvelun käyttö voi edellyttää, että annat asiakkaidesi ja käyttäjiesi henkilötietoja Mollielle. Mollie voi käsitellä näitä henkilötietoja Laskutuspalvelun toiminnan mahdollistamiseksi. Annat Mollielle luvan ja suostumuksen käyttää henkilötietojasi tai asiakkaidesi tietoja ja/tai saattaa sinua tai asiakkaitasi koskevia henkilötietoja kolmansien osapuolten saataville siltä osin kuin tämä on tarpeen Laskutuspalvelun mahdollistamiseksi tai tarjoamiseksi. Sinua pidetään kaikkien laskujen luomiseen käytettyjen henkilötietojen ”rekisterinpitäjänä”, ja me käsittelemme henkilötietoja ”henkilötietojen käsittelijänä” liitteen 1 (MOLLIE-LASKUTUSPALVELUN TIETOJENKÄSITTELY-SOPIMUS) ja Mollien tietosuojaselosteen mukaisesti, joka on saatavilla osoitteessa www.mollie.com/legal/privacy.

3.2 Siitä huolimatta, mitä on sovittu toisin, Laskutuspalvelua käyttäessäsi takaat noudattavasi ja jatkossakin noudattavasi kaikkia tietosuojavaatimuksia, mukaan lukien rajoituksetta yleistä tietosuoja-asetusta (”GDPR”) tai muuta vastaavaa liiketoimintaasi sovellettavaa tietosuoja-asetusta tai -lakia.

4. Velvollisuutesi ja vastuusi

4.1 Et saa käyttää Laskutuspalvelua tai antaa käyttää sitä laittomalla tai sopimattomalla tavalla.

4.2 Sinun on noudatettava voimassa olevia ja tulevia lakeja ja säännöksiä, jotka koskevat lasku- ja/tai verovaatimuksia. Vastuu laskun paikkansapitävyydestä ja oikeellisuudesta, mukaan lukien sovelletut ALV-kannat, on yksinomaan sinulla. Jos Laskutuspalvelu ei tue laskuusi sovellettavaa ALV-kantaa (esimerkiksi jonkin maan sovellettavissa ALV-kannoissa tapahtuneiden muutosten vuoksi), sinun on ilmoitettava siitä meille kirjallisesti ilman aiheetonta viivästystä, ja me arvioimme ja tarvittaessa säädämme Laskutuspalvelun määriteltävyyttä uuden ALV-kannan tukemiseksi.

4.3 Olet vastuussa asianmukaisten varotoimenpiteiden toteuttamisesta (säännöllisesti ja riskeihin suhteutettuna) Laskutuspalvelun käytön yhteydessä syötettyjen, ladattujen ja tallennettujen tietojen ja sisällön turvaamiseksi sekä omien varmuuskopioiden luomisesta tietojen ja tietojen palauttamisen varmistamiseksi mahdollisessa katoamistilanteessa. Sinun on parhaan kykysi mukaan estettävä kolmansien osapuolten luvaton pääsy Laskutuspalveluun.

4.4 Sinulla ei ole oikeutta (ellei kirjallisesti ole toisin erikseen sovittu):

• saattaa Laskutuspalvelua missään muodossa muiden kolmansien osapuolten kuin työntekijöidesi, edustajiesi, alihankkijoidesi ja muiden siihen liittyvien käyttäjien saataville tai

• jäljentää, muuttaa, tehdä käänteismallinnusta, purkaa, takaisinkääntää tai kääntää Laskutuspalvelun osia.

4.5 Olet ottanut huomioon ja hyväksyt liitteessä 1 asetetut velvollisuutesi.

5. Lisenssi ja immateriaalioikeudet 

5.1 Sinulle myönnetään ei-yksinomainen, ei-siirrettävissä oleva, ei-alilisensoitava, maailmanlaajuinen, peruutettavissa oleva ja tilapäinen oikeus käyttää Laskutuspalvelua. Laskutuspalvelu saatetaan käyttöösi ainoastaan ei-yksinomaisesti. Molliella ei ole velvollisuutta tarjota muita palveluja kuin Laskutuspalvelua. Laskutuspalveluun liittyen ei myönnetä muita käyttöoikeuksia.

5.2 Olet yksin vastuussa käyttäjäoikeuksien hallinnasta, ja sinun on varmistettava, että kaikki käyttäjät noudattavat Mollien Käyttäjäsopimuksen ja näiden käyttöehtojen rajoituksia Laskutuspalvelua käyttäessään.

5.3 Kaikki Laskutuspalveluun liittyvät immateriaali- ja käyttöoikeudet (muut kuin täten myönnetty lisenssi), mukaan lukien lähdekoodi, tietokannat, toiminnallisuus, ohjelmistot, verkkosivustojen suunnittelu, ääni, video, teksti, valokuvat ja grafiikka (”IP-oikeudet”), säilyvät kokonaisuudessaan Molliella.

5.4 Siltä osin kuin sinulle toimitetaan ohjelmistokehityspaketteja (”SDK-paketit”), mukaan lukien niiden päivitykset tai tekninen tuki, sovelletaan seuraavia erityissäännöksiä SDK-paketteihin:

• Sinulle myönnetään ei-yksinomainen, ei-siirrettävissä oleva, peruutettavissa oleva, rojaltiton lisenssi (i) asentaa ja käyttää SDK-pakettia vain objektikoodimuodossa kehittääksesi ohjelmia, jotka koostuvat käyttäen SDK-pakettia tai sen osaa luodusta käännetystä koodista ja jotka on suunniteltu toimimaan Tuotteen kanssa; (ii) tehdä rajoitettu määrä kopioita SDK-dokumentaatiosta ainoastaan työntekijöidesi tai konsulttiesi kehitystarkoituksiin eikä yleisiin liiketoimintatarkoituksiin tai jakeluun ja (iii) jakaa SDK-pakettia vain objektikoodimuodossa Tuotteen osana;

• Molliella on oikeus, mutta ei velvollisuutta, tarjota teknistä tai muuta tukea SDK-paketeille;

• SDK-paketit sisältävät koodia, joka lähettää automaattisia virheilmoituksia puolestasi, ja hyväksyt, että Molliella on jatkuva, peruuttamaton ja rajoittamaton oikeus käyttää tällaisia tietoja liiketoimintatarkoituksiinsa, mukaan lukien rajoituksetta tuotetukeen ja -kehitykseen;

• jos käytät SDK-paketteja sinun tai kolmannen osapuolen kehittämien sovellusten suorittamiseen tai kolmannen osapuolen tarjoamien tietojen, sisällön tai resurssien käyttämiseen, hyväksyt, että Mollie ei ole vastuussa kyseisistä sovelluksista, tiedoista, sisällöstä tai resursseista;

• SDK-paketit lisensoidaan sellaisenaan (”as is”). Kannat riskin niiden käytöstä; Mollie kiistää kaikki takuut ja takuuehdot (olivatpa ne lakisääteisiä, nimenomaisia tai hiljaisia) eikä anna mitään takuita tai sitoumuksia koskien SDK-pakettien käyttöäsi.

  
  

6. Vastuuvelvollisuus ja vahingonkorvaus

6.1 Mollie ei ole vastuussa virheistä, teoista, laiminlyönneistä tai rikkomuksista, jotka johtuvat tiedoistasi, asetuksistasi tai Laskutuspalvelun käytöstäsi. Olet yksin ja viime kädessä vastuussa siitä, että kaikki laskujen luomiseen tai lähettämiseen käytettävät tiedot, mukaan lukien sovellettavat ALV-kannat, ovat käyttömaan sovellettavien (vero)lakien mukaisia. Molliella ei ole velvollisuutta tarkistaa sinun Laskutuspalvelun kautta määrittämiesi, toimittamiesi tai käyttämiesi tietojen tai (ALV-)asetusten oikeellisuutta, täydellisyyttä tai paikkansapitävyyttä. Vapautat Mollien vastuusta ja suojaat sitä kaikilta kolmansien osapuolten vaatimuksilta, vastuilta, vahingoilta, tappioilta, kustannuksilta ja kuluilta (mukaan lukien kohtuulliset asianajokulut), jotka johtuvat Laskutuspalvelun käytöstäsi tai liittyvät siihen, mukaan lukien ALV-määritykset. 

6.2 Selvyyden vuoksi todetaan, että siltä osin kuin Mollie on vastuussa vahingoista, vastuumme on rajoitettu Käyttäjäsopimuksen mukaisesti.

Liite 1: TIETOJENKÄSITTELYSOPIMUS

Tässä TIETOJENKÄSITTELYSOPIMUKSESSA (jäljempänä ”DPA”), mukaan lukien sen liitteet, kuvataan osapuolten velvollisuudet, myös sovellettavan tietosuojalainsäädännön mukaisesti, koskien henkilötietojen (määritelty jäljempänä) käsittelyä. DPA on osa Käyttäjäsopimusta.

Tämä DPA on tehty Yhteisön (jäljempänä ”Rekisterinpitäjä”)

ja 

Mollie B.V.:n, osakeyhtiön (besloten vennootschap), jonka rekisteröity kotipaikka on Amsterdamissa osoitteessa Keizersgracht 126, 1015 CW Amsterdam, Alankomaat, ja joka on rekisteröity Alankomaiden kauppakamariin numerolla 30204462, (jäljempänä ”Mollie” tai ”Henkilötietojen käsittelijä”)

ja 

Mollie UK Ltd.:n, osakeyhtiön, jonka rekisteröity kotipaikka on Lontoossa osoitteessa 7 Pancras Square, London N1C 4AG, Yhdistynyt kuningaskunta, ja joka on rekisteröity Companies Houseen numerolla 14013554, (jäljempänä ”Mollie” tai ”Henkilötietojen käsittelijä”),

välillä, kukin erikseen ”Osapuoli” ja yhdessä ”Osapuolet”. 

Määritelmät 

Tässä DPA-sopimuksessa seuraavilla termeillä on jäljempänä määritelty merkitys. Tässä sopimuksessa käytetyillä isolla alkukirjaimella kirjoitetuilla termeillä, joita ei ole tässä määritelty, on Sopimuksessa määritelty merkitys.

Sopimus
Rekisterinpitäjän ja Henkilötietojen käsittelijän välinen sopimus palvelujen tarjoamisesta (”Käyttäjäsopimus”).

Yritystä koskevat sitovat säännöt (Binding Corporate Rules)
henkilötietojen suojaperiaatteet, joita jäsenvaltion alueelle sijoittautunut rekisterinpitäjä tai henkilötietojen käsittelijä noudattaa siirtäessään tai siirtosarjassa henkilötietoja kolmannessa maassa olevalle rekisterinpitäjälle tai henkilötietojen käsittelijälle saman konsernin tai saman yhteistä taloudellista toimintaa harjoittavan yritysryhmän sisällä.

Rekisterinpitäjä
luonnollinen henkilö tai oikeushenkilö, julkinen viranomainen, virasto tai muu elin, joka yksin tai yhdessä muiden kanssa määrittele henkilötietojen käsittelyn tarkoitukset ja keinot.

Asiakas
Yhteisön asiakkaat, jotka haluavat maksaa Yhteisön tarjoamista tuotteista ja/tai palveluista Mollien maksunhallintamoduulin avulla.

Tietoturvaloukkaus
tietoturvaloukkaus, joka johtaa siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuvaan tai laittomaan tuhoamiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai niihin pääsyyn. 

Tietojenkäsittelysopimus (DPA)
tämä sopimus liitteineen.

Valvontaviranomainen
riippumaton valtion elin, joka vastaa henkilötietojen käsittelyyn sovellettavan lainsäädännön noudattamisen valvonnasta. Alankomaissa tämä on Autoriteit Persoonsgegevens.

Tietosuojaa koskeva vaikutustenarviointi
arviointi suunniteltujen käsittelytoimien vaikutuksesta henkilötietojen suojaan. 

Tietosuojalait
kaikki sovellettavat tietosuojaa ja yksityisyyden suojaa koskevat lait, mukaan lukien rajoituksetta EU:n yleinen tietosuoja-asetus, kaikki paikalliset lait ja asetukset, joilla muutetaan tai korvataan jokin niistä, sekä mahdolliset kansalliset täytäntöönpanolait Euroopan talousalueen (ETA) jäsenvaltioissa, siltä osin kuin niitä sovelletaan, missä tahansa muussa maassa, sellaisina kuin ne ovat ajoittain muutettuina, kumottuina, konsolidoituina tai korvattuina. 

Rekisteröity
luonnollinen henkilö, johon henkilötiedot liittyvät (esim. Asiakkaat).

GDPR
Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuutta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta. 

Henkilötiedot
kaikki tiedot, jotka liittyvät tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetiedon tai yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurisen tai sosiaalisen tekijän perusteella. 

Käsittely
mikä tahansa toiminto tai toiminnot, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, jäsentäminen, säilyttäminen, muokkaaminen tai muuttaminen, haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla ne muutoin saataville, yhteensovittaminen tai yhdistäminen, rajoittaminen, poistaminen tai tuhoaminen. Luettelo ei ole tyhjentävä. Termejä ”käsitellä”, ”käsittelyt” ja ”käsitelty” tulkitaan vastaavasti. 

Henkilötietojen käsittelijä
luonnollinen henkilö tai oikeushenkilö, julkinen viranomainen, virasto tai muu elin, joka käsittelee (henkilö)tietoja rekisterinpitäjän lukuun.

Yhteisö
organisaatio, joka käyttää Mollien maksunhallintamoduulia tarkoituksiin, joihin kuuluu muun muassa tuotteiden ja/tai palvelujen myynti Asiakkaille.

Vakiolausekkeet
Euroopan komission vakiolausekkeet henkilötietojen käsittelijöille (2010/87/EU) tai komission täytäntöönpanopäätös (EU) 2021/914, annettu 4 päivänä kesäkuuta 2021, vakiolausekkeista henkilötietojen siirtoa varten kolmansiin maihin Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 mukaisesti (C/2021/3972).

Alihankkija
kolmas henkilö, yhteisö tai yritys, jonka Henkilötietojen käsittelijä on ottanut käsittelemään henkilötietoja Sopimuksen mukaisten palvelujen tarjoamisessa. 

OSA A TARKOITUS 

Artikla A.1 Laajuus

Henkilötietojen käsittelijä on sitoutunut tarjoamaan palveluja Rekisterinpitäjälle Käyttäjäsopimuksen ehtojen mukaisesti. Palveluja tarjotessaan Henkilötietojen käsittelijä käsittelee henkilötietoja Rekisterinpitäjän lukuun tässä DPA-sopimuksessa määritellyllä tavalla. Henkilötietojen käsittelijä, rahoituslaitoksena, käsittelee henkilötietoja myös toimien itse rekisterinpitäjänä. 

Osapuolet tiedostavat ja hyväksyvät, että siltä osin kuin Mollie käsittelee maksutapahtumiin liittyviä henkilötietoja: i) täyttääkseen Rekisterinpitäjän kanssa tehdyn Käyttäjäsopimuksen; ii) valvoakseen, estääkseen ja havaitakseen petollisia maksutapahtumia; iii) noudattaakseen lakisääteisiä tai viranomaisvelvoitteitaan, joita sovelletaan maksutietojen käsittelyyn ja säilyttämiseen ja joiden alainen Mollie on, mukaan lukien sovellettava rahanpesun vastainen seulonta ja asiakkaan tuntemisvelvollisuuden (know-your-customer) noudattaminen; ja iv) parantaakseen Mollien tuotteita ja palveluja, Mollie toimii rekisterinpitäjänä ja sillä on yksinomainen valta määrittää Rekisterinpitäjältä tai sen kautta (palveluja tarjoamalla) saamiensa henkilötietojen käsittelyn tarkoitukset ja keinot.

Käsittelytoimet, henkilötiedot ja rekisteröityjen ryhmät, joiden henkilötietoja Henkilötietojen käsittelijä käsittelee Rekisterinpitäjän lukuun, on määritelty liitteessä A. 

OSA B VELVOLLISUUDET 

Artikla B.1 Rekisterinpitäjän velvollisuudet 

Rekisterinpitäjä vastaa henkilötiedoista, joita Henkilötietojen käsittelijä käsittelee, ja sen on varmistettava kaikkien tietosuojalakien noudattaminen, mukaan lukien tämän DPA:n ja Käyttäjäsopimuksen mukaiseen henkilötietojen siirtoon liittyvät vaatimukset. Rekisterinpitäjä takaa, että sillä on oikeus käsitellä henkilötietoja ja oikeus nimittää Henkilötietojen käsittelijä käsittelemään tietoja Rekisterinpitäjän lukuun.

Rekisterinpitäjä hyväksyy, että rajoittamatta Henkilötietojen käsittelijän tähän DPA-sopimukseen perustuvia velvollisuuksia, Rekisterinpitäjä on yksin vastuussa palvelujen käytöstään, mukaan lukien (a) palvelujen asianmukainen käyttö henkilötietoihin kohdistuvaan riskiin nähden tarkoituksenmukaisen turvaustason varmistamiseksi; (b) palveluihin pääsyyn käytettävien tilin kirjautumistietojen, järjestelmien ja laitteiden suojaaminen; (c) Rekisterinpitäjän palvelujen kanssa käyttämien järjestelmien ja laitteiden suojaaminen ja (d) omien henkilötietojen varmuuskopioiden ylläpitäminen.

Artikla B.2 Henkilötietojen käsittelijän velvollisuudet 

Henkilötietojen käsittelijä sitoutuu: 

1. käsittelemään henkilötietoja ainoastaan Rekisterinpitäjän antamien dokumentoitujen ohjeiden mukaisesti ja ryhtymään tarvittaviin toimenpiteisiin varmistaakseen, että kukaan sen alaisuudessa toimiva luonnollinen henkilö, jolla on pääsy henkilötietoihin, ei käsittele henkilötietoja muutoin kuin Rekisterinpitäjän ohjeiden mukaisesti;

2. ilmoittamaan viipymättä Rekisterinpitäjälle, jos jokin Rekisterinpitäjän antama henkilötietojen käsittelyä koskeva ohje rikkoo sovellettavaa tietosuojalainsäädäntöä tai tämän DPA:n määräyksiä;

3. toteuttamaan asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi ottaen huomioon tekniikan tason, toteutuskustannukset sekä käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit; ja

4. ilmoittamaan ilman aiheetonta viivästystä Rekisterinpitäjälle, jos se vastaanottaa valituksen tai pyynnön, joka liittyy kummankaan osapuolen tämän DPA-sopimuksen kannalta merkityksellisiin tietosuojalainsäädännön mukaisiin velvollisuuksiin, mukaan lukien rekisteröidyn korvausvaatimus tai valvontaviranomaisen antama ilmoitus, tutkimus tai muu toimenpide, ja toimittamaan Rekisterinpitäjälle täydelliset tiedot kyseisestä tutkimuksesta, valituksesta tai pyynnöstä, ellei laki tai valvontaviranomaisen pyyntö sitä kiellä.
   
   

OSA C SIIRROT JA ALIHANKKIJAT

Artikla C.1 Henkilötietojen siirto 

Kun EU:n alueella olevaan rekisteröityyn liittyviä henkilötietoja siirretään ETA-alueen ulkopuolelle, niitä käsittelee taho: (i) joka sijaitsee kolmannessa maassa tai alueella, jonka EU:n komissio on tunnustanut varmistavan riittävän tietosuojan tason; tai (ii) johon sovelletaan EU:n vakiolausekkeita ja/tai UK International Data Transfer Agreement -sopimusta tai UK SCC -lisäystä; tai (iii) jolla on käytössään muita laillisesti tunnustettuja asianmukaisia suojatoimia, kuten sitovat yrityssäännöt, jotka takaavat saman tasoisen suojan ja suojatoimet kuin tämä DPA. 

Artikla C.2 Alihankkijat 

Rekisterinpitäjä suostuu täten siihen, että Henkilötietojen käsittelijä käyttää liitteessä B määriteltyjä alihankkijoita. Henkilötietojen käsittelijä voi päivittää tätä luetteloa ajoittain tämän DPA-sopimuksen mukaisesti.

Ennen uuden alihankkijan ottamista liitteessä A mainittuihin palveluihin Henkilötietojen käsittelijän on ilmoitettava asiasta kyseistä palvelua käyttävälle Rekisterinpitäjälle ja annettava Rekisterinpitäjälle vähintään kymmenen (10) kalenteripäivää aikaa vastustaa sitä, paitsi jos Henkilötietojen käsittelijä perustellusti uskoo uuden alihankkijan ottamisen nopeutetussa aikataulussa olevan tarpeen henkilötietojen luottamuksellisuuden, eheyden tai saatavuuden suojaamiseksi tai tarjottavien palvelujen merkittävän keskeytymisen välttämiseksi. Tällaisessa tapauksessa Henkilötietojen käsittelijä ilmoittaa asiasta niin pian kuin se on kohtuudella mahdollista. Jos Rekisterinpitäjä viiden (5) kalenteripäivän kuluessa tällaisesta ilmoituksesta ilmoittaa Henkilötietojen käsittelijälle kirjallisesti vastustavansa Henkilötietojen käsittelijän uuden alihankkijan nimeämistä perusteltujen tietosuojaan liittyvien huolenaiheiden vuoksi, osapuolet keskustelevat näistä huolenaiheista vilpittömässä mielessä ja siitä, voidaanko ne ratkaista. Vastustukset uusille alihankkijoille on lähetettävä osoitteeseen privacy@mollie.com. 

Rekisterinpitäjä tiedostaa, että alihankkijat ovat välttämättömiä palvelujen tarjoamiseksi ja että alihankkijan käytön vastustaminen voi estää Henkilötietojen käsittelijää tarjoamasta palveluja Rekisterinpitäjälle. Jos osapuolet eivät pääse yhteisymmärrykseen tällaisten huolenaiheiden ratkaisemisesta, Rekisterinpitäjä voi ainoana ja yksinomaisena keinonaan irtisanoa tämän DPA-sopimuksen.

Kaikkien alihankkijoiden, jotka käsittelevät henkilötietoja palvelujen tarjoamiseksi Rekisterinpitäjälle, on noudatettava tässä DPA-sopimuksessa asetettuja velvollisuuksia. Henkilötietojen käsittelijän on ennen henkilötietojen luovuttamista alihankkijalle suoritettava riittävä huolellisuusarviointi (due diligence) varmistaakseen, että alihankkija kykenee tarjoamaan Rekisterinpitäjän vaatiman tasoisen suojan

tässä DPA-sopimuksessa vaadituille henkilötiedoille, ja tehtävä kyseisen alihankkijan kanssa sopimus, jossa alihankkija sitoutuu noudattamaan tässä DPA-sopimuksessa asetettuja vastaavia velvollisuuksia. 

OSA D TURVALLISUUS 

Artikla D.1 Turvatoimenpiteet

Henkilötietojen käsittelijän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi, mukaan lukien tarvittaessa muun muassa:

1. henkilötietojen pseudonymisointi ja salaus; 

2. kyky varmistaa käsittelyjärjestelmien ja -palvelujen jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus; 

3. kyky palauttaa henkilötietojen saatavuus ja pääsy tietoihin oikea-aikaisesti fyysisen tai teknisen häiriön sattuessa; ja 

4. menettely, jolla testataan, arvioidaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta käsittelyn turvallisuuden varmistamiseksi. Soveltuvaa turvaustasoa

arvioitaessa on otettava erityisesti huomioon riskeistä, joita käsittelyyn liittyy, erityisesti siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuvasta tai laittomasta tuhoamisesta, häviämisestä, muuttamisesta, luvattomasta luovuttamisesta tai niihin pääsystä.

Artikla D.2 Tietoturvaloukkauksesta ilmoittaminen

Henkilötietojen käsittelijän on ilmoitettava Rekisterinpitäjälle ilman aiheetonta viivästystä havaitsemastaan henkilötietojen vahingossa tapahtuvasta tai laittomasta tuhoamisesta, häviämisestä, muuttamisesta tai luvattomasta luovuttamisesta tai niihin pääsystä siltä osin kuin tietoturvaloukkaus liittyy ainoastaan henkilötietojen käsittelyyn, jota Henkilötietojen käsittelijä tekee käsittelijän ominaisuudessa. Jos tietoturvaloukkaus koskee henkilötietoja, joiden rekisterinpitäjänä pidetään Henkilötietojen käsittelijää siten kuin se on kuvattu Henkilötietojen käsittelijän tietosuojaselosteessa, Henkilötietojen käsittelijä pidättää oikeuden käsitellä tietoturvaloukkausta rekisterinpitäjänä. 

Lainvalvontaviranomaisten pyytämästä ja/tai Henkilötietojen käsittelijän oikeutetuista tarpeista tutkia tai korjata asia ennen ilmoituksen tekemistä johtuva viivästys tietoturvaloukkausilmoituksen antamisessa ei muodosta aiheetonta viivästystä. Tällaisissa ilmoituksissa kuvataan mahdollisuuksien mukaan tietoturvaloukkauksen yksityiskohdat, mukaan lukien toimenpiteet, joihin on ryhdytty mahdollisten riskien lieventämiseksi. Rajoittamatta Henkilötietojen käsittelijän tämän D-osion 1 kohdan mukaisia velvollisuuksia, Rekisterinpitäjä on yksin vastuussa Rekisterinpitäjään sovellettavien tietoturvaloukkauksia koskevien ilmoituslakien noudattamisesta ja kolmansille osapuolille tehtävien tietoturvaloukkauksiin liittyvien ilmoitusvelvollisuuksien täyttämisestä. Henkilötietojen käsittelijän tämän D-osion 1 kohdan mukaisesti tekemää ilmoitusta tai vastausta tietoturvaloukkausilmoitukseen ei tulkita siten, että Henkilötietojen käsittelijä myöntäisi virheen tai vastuun tietoturvaloukkauksesta.

Tietoturvaloukkauksen selvittämisestä ja sellaisten toimenpiteiden toteuttamisesta, jotka ovat tarpeen vastaavan tietoturvaloukkauksen estämiseksi jatkossa, aiheutuneista kustannuksista vastaa se Osapuoli, jolle kustannukset aiheutuvat. 

OSA E AUDITOINTI

Artikla E.1 Auditointioikeus 

Rekisterinpitäjällä on oikeus pyytää kohtuullisella varoitusajalla Henkilötietojen käsittelijältä auditointiraportteja, jotka liittyvät henkilötietojen käsittelyyn tämän DPA:n mukaisten palvelujen puitteissa.

Tässä kohdassa tarkoitetut auditointiraportit sisältävät muun muassa raportteja, jotka liittyvät Henkilötietojen käsittelijän henkilötietojen käsittelyn yhteydessä toteuttamiin turvallisuus-, luottamuksellisuus- ja tietosuojatoimenpiteisiin. Nämä raportit voivat kattaa myös asiaankuuluvan tietosuojalainsäädännön noudattamisen.

Auditointiraportteja koskevat pyynnöt on tehtävä kirjallisesti ja lähetettävä osoitteeseen privacy@mollie.com täsmentäen pyynnön laajuus ja tarkoitus. Henkilötietojen käsittelijän on vahvistettava tällaisten pyyntöjen vastaanottaminen ajoissa.

Auditointiraporttien vastaanottamiseen sovelletaan ammatillista salassapitovelvollisuutta. Rekisterinpitäjä saa käyttää auditointiraportteja ainoastaan täyttääkseen Rekisterinpitäjän lakisääteiset auditointivaatimukset ja varmistaakseen, että Henkilötietojen käsittelijän tekemä henkilötietojen käsittely on tämän DPA-sopimuksen mukaista. Auditointiraportteja ei saa jakaa ulkopuolisille.

OSA F TIETOSUOJAA KOSKEVAT VAIKUTUSTENARVIOINNIT JA ENNAKKOKUULEMISET

Artikla F.1 Avustaminen

Henkilötietojen käsittelijä avustaa Rekisterinpitäjää henkilötietojen käsittelyn vaikutusten arvioinnissa (GDPR-asetuksen 35 artikla) ja mahdollisissa ennakkokuulemisissa valvontaviranomaisen kanssa (GDPR-asetuksen 36 artikla), jos ja siltä osin kuin arviointi tai kuuleminen on suoritettava tietosuojalainsäädännön mukaisesti ja kun Henkilötietojen käsittelijän sallitaan ja/tai vaaditaan tekevän yhteistyötä.

OSA G REKISTERÖIDYN OIKEUDET

Artikla G.1 Avustaminen

Jos Henkilötietojen käsittelijä saa rekisteröidyltä pyynnön koskien Rekisterinpitäjän henkilötietoja, Henkilötietojen käsittelijä neuvoo rekisteröityä toimittamaan pyyntönsä Rekisterinpitäjälle ja/tai välittää pyynnön Rekisterinpitäjälle, ja Rekisterinpitäjä vastaa tällaiseen pyyntöön vastaamisesta.

Rekisterinpitäjän pyynnöstä ja Rekisterinpitäjän kustannuksella Henkilötietojen käsittelijä tarjoaa Rekisterinpitäjälle sellaista apua, jota se voi kohtuudella vaatia noudattaakseen tietosuojalainsäädännön mukaisia velvollisuuksiaan vastata rekisteröityjen pyyntöihin käyttää tietosuojalainsäädännön mukaisia oikeuksiaan (esim. oikeus tietojen saantiin, oikaisuun, poistamiseen, rajoittamiseen, siirrettävyyteen ja vastustamiseen) tapauksissa, joissa Rekisterinpitäjä ei voi kohtuudella täyttää tällaisia pyyntöjä itsenäisesti Henkilötietojen käsittelijän tuotteiden ja palvelujen kautta.

OSA H MUUT EHDOT 

Artikla H.1 Luottamuksellisuus 

Henkilötietojen käsittelijän on pidettävä luottamuksellisina kaikki henkilötiedot ja varmistettava, että kaikki työntekijät, edustajat, toimihenkilöt ja alihankkijat, joilla on pääsy henkilötietoihin tai jotka osallistuvat niiden käsittelyyn, ovat tietoisia henkilötietojen luottamuksellisesta luonteesta, ovat sopimusoikeudellisesti sitoutuneet pitämään henkilötiedot luottamuksellisina ja ovat saaneet tietoa tämän DPA-sopimuksen velvoitteista ja noudattavat niitä.

Artikla H.2 Vastuuvelvollisuus

Kaikkia tästä DPA-sopimuksesta johtuvia vastuita säännellään Käyttäjäsopimuksen asiaankuuluvilla määräyksillä, mukaan lukien vastuunrajoitukset. 

Käyttäjäsopimuksen määräyksistä huolimatta kumpikin Osapuoli on vastuussa toiselle Osapuolelle vain niistä vahingoista, joita se aiheuttaa toiselle Osapuolelle rikkomalla tätä DPA-sopimusta. Nämä vahingot on osoitettava selvästi. Henkilötietojen käsittelijä on vastuussa käsittelystä aiheutuneesta vahingosta vain silloin, kun se ei ole noudattanut erityisesti henkilötietojen käsittelijöille suunnattuja tietosuojalainsäädännön velvoitteita tai kun se on toiminut Rekisterinpitäjän lainmukaisten ohjeiden ulkopuolella tai niiden vastaisesti tässä DPA-sopimuksessa kuvatulla tavalla. Tässä yhteydessä Henkilötietojen käsittelijä on vastuussa vain, jos Rekisterinpitäjä osoittaa, että Henkilötietojen käsittelijä on vastuussa vahingon aiheuttaneesta tapahtumasta.

Rekisterinpitäjä on yksin vastuussa rekisteröidylle, ja rekisteröidyllä on oikeus saada korvaus kaikista aineellisista tai aineettomista vahingoista, joita Rekisterinpitäjä tai Henkilötietojen käsittelijä (tai sen alihankkija(t)) aiheuttaa rekisteröidylle rikkomalla tätä DPA-sopimusta.

Artikla H.3 Kausi ja irtisanominen 

Tämän DPA-sopimuksen voimassaoloaika alkaa samaan aikaan kuin Käyttäjäsopimus alkaa ja/tai liitteessä A mainitun tietyn tuotteen tai palvelun käyttö alkaa.

Tämä DPA päättyy automaattisesti yhdessä Käyttäjäsopimuksen ja/tai liitteessä A mainitun tietyn tuotteen tai palvelun käytön päättymisen kanssa, riippuen siitä, kumpi päättyy ensin.

Tämän DPA-sopimuksen päättyessä Henkilötietojen käsittelijän on Rekisterinpitäjän pyynnöstä palautettava henkilötiedot Rekisterinpitäjälle tai Rekisterinpitäjän nimeämälle Henkilötietojen käsittelijälle tai poistettava henkilötiedot, ellei Henkilötietojen käsittelijää vaadita säilyttämään kopsia Euroopan unionin lainsäädännön tai jonkin Euroopan unionin jäsenvaltion lainsäädännön mukaisesti.

OSA I LOPPUMÄÄRÄYKSET 

Artikla I.1 Koko sopimus 

Tämä DPA muodostaa osan Käyttäjäsopimusta. Kaikki Käyttäjäsopimuksesta johtuvat oikeudet ja velvollisuudet koskevat myös tätä DPA-sopimusta. Liite A muodostaa olennaisen osan tätä DPA-sopimusta.

Artikla I.2 Muuttaminen vain yhteisellä sopimuksella 

Tämän DPA-sopimuksen muutokset ovat päteviä vain, jos ne on tehty kirjallisesti ja kunkin Osapuolen valtuutettujen edustajien allekirjoittamina. 

Artikla I.3 Sopimusehtojen erillisyys 

Tämän DPA-sopimuksen kukin määräys on erillinen ja itsenäinen, ja jos jokin tuomioistuin, sääntelyviranomainen tai muu toimivaltainen viranomainen toteaa jonkin määräyksen tai sen osan täytäntöönpanokelvottomaksi, laittomaksi tai pätemättömäksi kokonaan tai osittain, sen ei katsota olevan osa tätä DPA-sopimusta siinä laajuudessa, ja tämän DPA-sopimuksen muiden osien täytäntöönpanokelpoisuuteen, laillisuuteen ja pätevyyteen se ei vaikuta. Osapuolet sitoutuvat pyrkimään korvaamaan mitättömän tai täytäntöönpanokelvottoman määräyksen pätevällä tai täytäntöönpanokelpoisella määräyksellä, jolla saavutetaan mahdollisimman pitkälle sama vaikutus kuin

olisi saavutettu mitättömällä tai täytäntöönpanokelvottomalla määräyksellä. Lukuun ottamatta tällä DPA-sopimuksella toteutettuja muutoksia, Käyttäjäsopimus säilyy muuttumattomana ja täysin voimassa.

Artikla I.4 Siirto-oikeus 

Osapuolet voivat siirtää tämän DPA-sopimuksen vain Käyttäjäsopimuksen (kohta 8.9) mukaisesti. 

Artikla I.5 Sovellettava laki 

Tähän DPA-sopimukseen sovelletaan Alankomaiden lainsäädäntöä ja sitä tulkitaan sen mukaisesti. Kumpikin Osapuoli suostuu siihen, että Amsterdamin tuomioistuimilla on yksinomainen toimivalta ratkaista kaikki tästä DPA-sopimuksesta johtuvat riidat. Mikäli tuomioistuin tai toimivaltainen hallintoelin toteaa jonkin tämän DPA-sopimuksen määräyksen pätemättömäksi, täytäntöönpanokelvottomaksi tai laittomaksi, tämän DPA-sopimuksen muut määräykset säilyvät täysin voimassa. 

LIITE A – HENKILÖTIETOJEN KÄSITTELYN ERITTELY 

1. KÄSITTELYN TARKOITUS

Henkilötietojen käsittely liittyy suoraan Käyttäjäsopimuksen mukaisten palvelujen tarjoamiseen.

Käsittelyn tarkoitukset ovat:

• Kiistat

  • Helpottaa Rekisterinpitäjän ja sen Asiakkaiden välisten kiistojen hallintaa ja ratkaisemista Mollien tuotteiden ja palvelujen kautta.

  • Tarjota Rekisterinpitäjälle tarvittavat työkalut ja tiedot kiistavaatimuksiin vastaamiseksi, kuten takaisinperintöihin (chargeback) tai maksukyselyihin.

• Laskutus

  •  Helpottaa laskujen lähettämistä Rekisterinpitäjän Asiakkaille Mollien tuotteiden ja palvelujen kautta 

2. REKISTERÖITYJEN RYHMÄT 

Henkilötietojen käsittelijä käsittelee seuraavien rekisteröityjen ryhmien henkilötietoja Rekisterinpitäjän lukuun:

• Rekisterinpitäjän asiakkaat: Maksajat (kuluttajat tai yritysasiakkaat), jotka tekevät maksun, kyselyn tai kiistan.

Kiistat

• Kolmannen osapuolen vastaanottajat: Toimituskirjoissa tai maksutapahtumaa koskevissa todisteissa eritellyt henkilöt, jotka eivät ehkä ole maksaja itse (esim. lahjan vastaanottaja toimitusosoitteessa).

• Valtuutetut edustajat / Rekisterinpitäjän henkilöstö: Kauppiaan henkilökunta, joiden nimet, yhteystiedot tai allekirjoitukset voivat näkyä kiistaa koskevissa todisteissa, viestintälokeissa tai tukipyynnöissä.

• Kolmannen osapuolen palveluntarjoajat: Henkilöt, joiden tietoja voi sisältyä alihankkijoiden tai kumppaneiden toimittamiin todisteisiin (esim. toimituskuljettajan nimi toimituksen vastaanottamista koskevassa allekirjoituksessa).

Laskutus

• Laskun tiedot (sellaisena kuin ne on lisätty Rekisterinpitäjän toimesta)

3. HENKILÖTIETOTYYPIT 

Henkilötietojen käsittelijä käsittelee seuraavan tyyppisiä henkilötietoja Rekisterinpitäjän lukuun:

• Henkilöllisyys- ja yhteystiedot: Maksajan koko nimi, sähköpostiosoite, puhelinnumero ja laskutusosoite.

• Maksutapahtuman metatiedot: Tapahtumatunnus, tilausnumero, summa, valuutta, päivämäärä/aika ja käytetty erityinen maksutapa (esim. luottokortti, Klarna, iDEAL).

• Toimitus- ja logistiikkatiedot: 

  • Toimitustiedot: Toimitusosoite (katu, talon numero, postinumero, postitoimipaikka, maa).

  • Seurantatiedot: Kuljetusliikkeen nimi, seurantanumerot ja reaaliaikaiset kuljetus-/toimitustilalokit.

  • Toimitustodiste: Digitaaliset allekirjoitukset, toimituksen aikaleimat ja valokuvatodisteet toimituksesta (esim. paketti ovella).

• Kiistaa koskevat todisteet (rakennekuvailemattomat tiedot): 

  • Ladatut tiedostot: Kaikki henkilötiedot, jotka sisältyvät Rekisterinpitäjän manuaalisesti lataamiin asiakirjoihin (esim. PDF-laskut, asiakastuen keskustelulokit, WhatsApp-kuvakaappaukset tai sähköpostiviestit).

• Tekniset tunnisteet: IP-osoitteet, laitteen sormenjäljet ja selaimen metatiedot, jotka on kerätty maksutapahtuman yhteydessä (käytetään asiakkaan sijainnin ja henkilöllisyyden todentamiseen petosten torjumiseksi).

Edellä luetellut henkilötietoryhmät kuvaavat tämän Sopimuksen mukaisen käsittelyn suunniteltua laajuutta. Mikäli näiden ryhmien ulkopuolisia henkilötietoja jaetaan satunnaisesti tai ne sisältyvät rakennekuvailemattomaan tietoon tai ladattuihin asiakirjoihin, Henkilötietojen käsittelijän on käsiteltävä tällaisia tietoja asianmukaista huolellisuutta noudattaen sekä sovellettava sopivia teknisiä ja organisatorisia toimenpiteitä.

4. TURVATOIMENPITEET 

Tausta 

Rahoituslaitoksena Mollien sovelluksilleen, järjestelmilleen ja IT-prosesseilleen luomat turvavalvonnat ja toimintamenetelmät ovat Alankomaiden keskuspankin (DNB) tarkastettavina, joka puolestaan käyttää Euroopan pankkiviranomaisen (EBA) ohjeita teknisistä standardeista, joita lisenssinhaltijoiden tulee noudatella. 

Lisäksi, koska Mollie toimii (myös) henkilötietojen rekisterinpitäjänä, Mollieta sääntelee myös muu lainsäädäntö, joka asettaa standardeja turvallisuudelle ja tietosuojalle ja jota valvovat muut viranomaiset – erityisesti GDPR ja sen sääntelyviranomainen Alankomaissa (Autoriteit Persoonsgegevens). 

Lisäksi erityisesti korttitietoja käsittelevät järjestelmät ovat tason 1 PCI DSS -yhteensopivia järjestelmiä, mikä tarkoittaa, että tähän erityiseen sovellukseen sekä sen kehittämistä ja ylläpitoa koskeviin menettelyihin sovelletaan PCI Councilin määrittelemiä tietosuojatoimenpiteitä, joiden noudattamista ulkopuolinen taho arvioi vuosittain. 

Yleiset toimenpiteet

Kaikki niihin liittyvät sovellukset, järjestelmät ja menettelyt ovat Mollien tietoturvakäytännön alaisia. Tästä ja muista käytännöistä poimittuja kohokohtia, jotka ovat merkityksellisiä tarjottujen palvelujen laajuuden kannalta, ovat:

• Työntekijöiden taustaselvitykset

• Kehittäjien turvakoulutusohjelma

• Tietoturvatioisuusohjelma

• Tehtävien eriyttäminen

• Muutosten hallinta

• Haavoittuvuuksien hallinta

• Häiriöiden hallinta

• Sietokyvyn ja varmuuskopioinnin hallinta

• Vahvan pääsynhallinnan valvonta (IAM ja IGA)

• Käyttöoikeuksien tarkistukset

• Järjestelmien luokitusstandardit

• Tietojen luokitusstandardit ja tietokäytäntö

• Alan parhaisiin käytäntöihin perustuvat turvalliset kokoonpanostandardit, käytäntöjen valvonta (koventaminen)

• Fyysisen ja loogisen verkkoympäristön eriyttäminen

• Turvalliset salausstandardit

• Salausavainten hallinta

• Salaus (siirron aikana, tallennettuna jaetun infrastruktuurin ympäristöissä, kuten pilvipalvelussa)

• Kolmansien osapuolten riskienhallinta

• Käytettävyyden ja virheiden seuranta

• Turvallisen kehityksen elinkaari

  • Uhkien mallinnus merkittäville muutoksille ja uusille ominaisuuksille

  • Riippuvuuksien hallinta ja tunnettujen haavoittuvuuksien skannaus

  • Staattinen kooditurvallisuuden analyysi

  • Sisäinen ja ulkoinen haavoittuvuuksien skannaus

• Koordinoitu haavoittuvuuksien paljastaminen (CVD) ja bugipalkkio-ohjelma

• Uhkatieto-ohjelma (esim. osallistuminen Alankomaiden PI-ISAC:iin, maksuinstituuttien tiedonjako- ja analyysikeskukseen, pimeän verkon valvonta)

• Yhteistyö hallitun turvallisuuspalvelun tarjoajan (MSSP) kanssa turvallisuusoperaatioita, analyysejä ja oikeuslääketieteellisiä tutkimuksia varten

• Tietoturvatietojen ja -tapahtumien hallinta (SIEM)

• Henkilökunnan päätelaitteiden tietoturva

• Sähköpostin tietoturva

Mollie-alusta

Edellä esitettyjen yleisten turvatoimenpiteiden lisäksi Mollie-alustasovellus on seuraavien turvatoimenpiteiden piirissä – joko yleisten turvallisuuskäytäntöjemme täytäntöönpanon tuloksena tai lieventävänä toimenpiteenä sovelluskohtaisessa riskinarvioinnissa tunnistetun riskin hallitsemiseksi:

• Kaksivaiheinen pääsynvalvonta

• Kolmannen osapuolen penetraatiotestit

• Tietoturvahäiriöiden ja -tapahtumien hallinta

• DDoS-lievennys

• Tietoturvahäiriöihin vastaaminen

• Käytettävyyden seuranta

• Kirjautumistietojen turvallinen säilytys

• Redundantti infrastruktuuri

• Katastrofipalautuksen vikasietoisuus

• Määränrajoitus ja lukitseminen

• Tiukka Content-Security-Policy (sisällön turvallisuuskäytäntö)

• Captcha

• Web-sovelluspalomuuri
  
  

LIITE B – YLEISKATSAUS ALIHANKKIJOISTA

Sovelletaan Kiistat (Disputes) -tuotteen käyttäjiin

Sovelletaan Laskutus (Invoicing) -tuotteen käyttäjiin