Mediaflown Henkilö­tieto­avustaja­sopimus (PUBA)

Mediaflow tarjoaa julkisesti suositellun vakiomuotoisen PUBA:n, joka on räätälöity palvelua varten ja joka on nykyisen tietosuojalainsäädännön ja yleisen tietosuoja-asetuksen mukainen. Koska palvelujen, palvelujen ehtojen ja PUBA:n välillä on läheinen yhteys, on tärkeää, että näitä ehtoja ja PUBA:a sovelletaan nimenomaan Mediaflow'n palveluihin.

Tilaajaorganisaation vakiomuotoinen PUBA kattaa vain harvoin Mediaflow'n palvelut, eikä siinä säännellä riittävästi palveluista johtuvaa henkilötietojen käsittelyä.

Siksi Mediaflow pyytää, että meiltä saatu PUBA-sopimus koskee Mediaflow'n tarjoamia palveluja ja niistä johtuvaa henkilötietojen käsittelyä ja että Mediaflow'lle ei lähetetä mitään muuta PUBA-sopimusta. Mediaflow'n vastaanottamia PUBA-sopimuksia, jotka eivät kata Mediaflow'n palveluja, ei voida hyväksyä.

Olemme tarkistaneet prosessejamme, ja PUBA täyttää tarvittavat mukautukset. PUBA:a päivitetään jatkuvasti voimassa olevan tietosuojalainsäädännön mukaisesti.

Mediaflow'lla on nykyisten turvallisuusvaatimusten mukainen pääsynvalvonta. Asiakas valvoo pääsynvalvontaa järjestelmässä, ja Mediaflow huolehtii siitä, että organisatoriset ja tekniset turvatoimenpiteet on toteutettu.

Mediaflow Europe AB käyttää alihankkijoita tiettyjä lisäpalveluja varten. Siltä osin kuin näillä alihankkijoilla on pääsy henkilötietoihin, Mediaflow on tehnyt niiden kanssa PUBA-sopimukset GDPR:n vaatimusten mukaisesti. Luettelo alihankkijoistamme pidetään ajan tasalla PUBA:ssa.

Mediaflow Europe AB:n tytäryhtiöiden osalta (jos sinulla asiakkaana on sopimus jonkin Mediaflow Europe AB:n tytäryhtiön kanssa), Mediaflow Europe AB on PUBA:n sopimuspuoli.

Mediaflow Europe AB:n tytäryhtiöt Pohjoismaissa ovat:

Mediaflow Norge AS
Nydalsveien 33
N-0484 Oslo
Vaihde: 22 15 55 00
Org.nro: 928 123 693

Mediaflow Suomi Oy
Läntinen Pitkäkatu 21-23 E
20100 Turku
+358 400149614
Y-tunnus: 3352464-4

Ei, tietoja käsitellään EU/ETA-alueella Mediaflow-palvelussa. Mediaflow Europe AB käsittelee ja tallentaa kaikki tiedot Ruotsissa sijaitsevilla palvelimilla.

Huhtikuusta 2021 alkaen käytämme Interxionin kanssa sisäistä yhteissijoitusta Tukholmassa sijaitsevissa MSB-III-luokitelluissa palvelinhalleissa, joiden SLA on 99,99 %. Se tarjoaa meille myös redundantin internet- ja sähkönsyötön, mahdollisuuden hajautettuun CDN:ään ja vaatimustenmukaisen toimintaympäristön. Interxion on sertifioitu ISO 27001- ja ISO 22301 -standardien mukaisesti. Mediaflow on aloittanut prosessin ISO 27001 -sertifioinnin saamiseksi.

Alihankkijat EU:ssa/ETA:ssa
Järjestelmä ei siirrä tiedostoja, tietoja tai henkilötietoja alihankkijoille Ruotsissa tai sen ulkopuolella. Jos asiakas haluaa käyttää toimintoa, joka luo automaattisesti tekstityksiä videolle Video Manager-moduulin avulla, käytämme Lingsoftia (Suomi) vakioalihankkijana tämän palvelun tarjoamiseen. Lingsoftilla puolestaan ei ole alihankkijoita, ja se hallinnoi kaikkia tietoja Suomessa sijaitsevissa tietokeskuksissaan.

Osana lisäpalvelua tarjoamme myös erityistoiminnot tekstitystä/tekstitystä varten, jonka suorittaa Amberscript (Alankomaat) alihankkijana. Mediaflow Europe AB:n alihankkijat ovat allekirjoittaneet Mediaflow Europe AB:n kanssa erityisen kumppanuussopimuksen sekä GDPR:n mukaisen alihankkijasopimuksen (PUBA/DPA), jossa todetaan nimenomaisesti, että henkilötietoja ei saa siirtää EU:n/ETA:n ulkopuolisiin kolmansiin maihin. Lisäksi Mediaflow Europe AB on toteuttanut useita turvatoimia ja riskianalyysejä varmistaakseen, että käsittely on jatkuvasti GDPR:n ajantasaistettujen vaatimusten mukaista.

Nykyiset alihankkijat takaavat, että henkilötietojen käsittely tapahtuu EU:n/ETA:n alueella.
Kun käyttäjät lataavat palveluun kuvia, elokuvia, äänileikkeitä, asiakirjoja tai muita tiedostoja, ne voivat sisältää erityyppisiä henkilötietoja. Rekisterinpitäjänä voit määrittää valtuutuksia palvelussa ja luoda ryhmiä, joilla on erilaiset oikeudet.

Mediaflow on ottanut käyttöön henkilötietojen tietoturvaloukkauksista ilmoittamista koskevat menettelyt, jotka täyttävät PUBA:n vaatimukset. Näillä ilmoitusmenettelyillä varmistetaan, että kaikki GDPR:n vaatimukset täyttyvät. PUBA:ssa kuvataan GDPR:n mukaiset ilmoitusmääräajat ja yhteyspolut.

PUBA-sopimustamme päivitetään jatkuvasti yleisen tietosuoja-asetuksen (GDPR) mukaisesti. Asiakkaan on hyväksyttävä päivitetty sopimus ennen määräysten voimaantuloa. Käytännössä useimpien asiakkaiden kohdalla päivitettyjen ehtojen hyväksyminen tapahtuu asiakkaan yhteyshenkilön kautta, joka vastaanottaa tiedotuskirjeen, jolla on tarvittavat valtuudet, hyväksyy tilattua palvelua koskevan PUBA-sopimuksen ja varmistaa, että PUBA-sopimus allekirjoitetaan.

Vastaus tähän kysymykseen riippuu ensisijaisesti siitä, minkä Mediaflow-tuotteen/-palvelun asiakas on tilannut Mediaflow'lta. Mediaflow PUBA:n eri palveluliitteissä on lueteltu eri palvelutoimituksissa käsiteltävät henkilötiedot.

Mediaflow ei voi järjestelmiemme yhteydessä tietojen käsittelijänä vaikuttaa siihen, tiedotetaanko rekisteröidyille tosiasiallisesti tietojen keräämisestä/rekisteröinnistä asiakkaillemme tarjoamissamme palveluissa. Mediaflow'n asiakkaan (rekisterinpitäjänä) vastuulla on tiedottaa rekisteröidyille järjestelmiin syötettyjen tai rekisteröityjen tietojen keräämisestä/rekisteröinnistä.

Rekisteröityjen tiedot ovat asiakkaan (rekisterinpitäjän) eikä Mediaflow'n (henkilötietojen käsittelijän) valvonnassa.

Neuvonantajana toimimme asiakkaaltamme (rekisterinpitäjänä) saamiemme ohjeiden tai hänen kanssaan tekemiemme sopimusten mukaisesti, myös silloin, kun tiedot poistetaan.

Kyllä, Mediaflow'lla on oma tietosuojavastaava (DPO), joka on rekisteröity tietosuojaviranomaisen (IMY) rekisteriin, sekä tietosuojaryhmä, joka koostuu viidestä henkilöstä, jotka kokoontuvat säännöllisesti ja joilla on jatkuva keskusteluyhteys asiantuntijalakimiesten kanssa näissä asioissa.

Tietosuojaan kohdistuvien vaikutusten arvioinnit (DPIA) sekä riski- ja haavoittuvuusanalyysit uuden tietosuojalainsäädännön ja GDPR:ää koskevien päivitettyjen asetusten mukaisesti ovat keskeinen osa työtä, jonka Mediaflow on aloittanut GDPR:ään mukautumiseksi. Kaikista uusista käsittelytoimista, uusista toiminnoista tai uusista palveluista tehdään riski- ja haavoittuvuusanalyysi, ja tarvittaessa tehdään tietosuojaa koskeva vaikutustenarviointi (DPIA) asetuksen ja 29 artiklan mukaisen tietosuojatyöryhmän kuvauksen mukaisesti.