Henkilötietojen käsittelysopimus (DPA-malli)
Yleisen tietosuoja-asetuksen 28 artiklan mukaan rekisterinpitäjän ja henkilötietojen käsittelijän välillä on oltava kirjallinen sopimus aina, kun käsittelijä käsittelee henkilötietoja rekisterinpitäjän lukuun. Artikla luettelee ehdot, joiden on oltava sopimuksessa — ilman niitä sopimus ei täytä vaatimusta.
Tämä malli kattaa 28 artiklan kohdat: käsittelyn kohteen ja keston, ohjeidenmukaisuuden, salassapidon, turvallisuustoimet, alikäsittelijät, avustamisvelvollisuuden, tietojen palauttamisen ja auditointioikeuden.
Täytä ja allekirjoita pankkitunnuksilla
Täytä kentät alla, lisää allekirjoittajat ja maksa. Kaikki tapahtuu tässä — mitään ei tarvitse ladata koneelle.
PNG tai JPG, enintään 1,5 Mt. Näkyy asiakirjan ylälaidassa esigner-logon sijaan.
Vaihe 1 / 4
1. Osapuolet
Rekisterinpitäjä
Henkilötietojen käsittelijä
Ilmainen · ei tiliä · ei tallenneta ennen kuin lataat sen
Näin asiakirjasta tulee
Henkilötietojen käsittelysopimus
Tietosuoja-asetuksen (EU) 2016/679 28 artiklan mukainen sopimus
1. Osapuolet
Rekisterinpitäjä
Toiminimi
Y-tunnus
Osoite
Yhteyshenkilö
Henkilötietojen käsittelijä
Toiminimi
Y-tunnus
Osoite
Yhteyshenkilö
2. Käsittelyn kuvaus
Käsittelyn kohde
Käsittelyn kesto
Käsittelyn luonne ja tarkoitus
Rekisteröityjen ryhmät ja käsiteltävät tietotyypit:
3. Käsittelijän velvollisuudet
Käsittelijä käsittelee henkilötietoja vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, varmistaa käsittelyyn oikeutettujen henkilöiden salassapitositoumuksen ja toteuttaa asianmukaiset tekniset ja organisatoriset turvallisuustoimet.
Sovitut turvallisuustoimet
4. Alikäsittelijät
[ ] Yleinen ennakkohyväksyntä alikäsittelijöiden käytölle
[ ] Alikäsittelijä edellyttää erillisen kirjallisen hyväksynnän
Hyväksytyt alikäsittelijät
Ilmoitusaika muutoksista
5. Avustamisvelvollisuus
Käsittelijä avustaa rekisterinpitäjää rekisteröityjen pyyntöihin vastaamisessa sekä tietoturvaloukkausten, vaikutustenarviointien ja ennakkokuulemisten hoitamisessa.
Määräaika tietoturvaloukkauksesta ilmoittamiselle
6. Tietojen siirto EU:n ulkopuolelle
Siirtoperuste ja kohdemaat
7. Käsittelyn päättyminen
[ ] Tiedot palautetaan rekisterinpitäjälle
[ ] Tiedot poistetaan
Määräaika palauttamiselle tai poistamiselle
8. Auditointi
Käsittelijä saattaa rekisterinpitäjän saataville kaikki tiedot, jotka ovat tarpeen velvollisuuksien noudattamisen osoittamiseksi, ja sallii auditoinnit.
9. Allekirjoitukset
Paikka ja päiväys
Rekisterinpitäjä (allekirjoitus)
Paikka ja päiväys
Henkilötietojen käsittelijä (allekirjoitus)
Täytätkö mieluummin käsin?
Lataa malli ilmaiseksi
PDF tulostamista varten · muokattava Word (.docx)
Mitä malli sisältää
- Rekisterinpitäjän ja käsittelijän tiedot
- Käsittelyn kohde, kesto, luonne ja tarkoitus
- Rekisteröityjen ryhmät ja tietotyypit
- Salassapito, turvallisuustoimet ja tietoturvaloukkauksista ilmoittaminen
- Alikäsittelijöiden käyttö ja hyväksyntä
- Tietojen palauttaminen tai poistaminen sekä auditointioikeus
Näin allekirjoitat sen pankkitunnuksilla
- 1
Lataa malli. Lataa henkilötietojen käsittelysopimus PDF- tai Word-muodossa.
- 2
Täytä. Täytä tiedot asiakirjaan omalla koneellasi.
- 3
Lataa ja allekirjoita. Lataa täytetty PDF palveluun esigner.fi, lisää sähköpostiosoitteet ja allekirjoita pankkitunnuksilla.
Lähde ja oikeudellinen perusta
Käsittelysopimuksen sisältövaatimukset tulevat tietosuoja-asetuksen 28 artiklasta.
Tietosuojalaki (1050/2018) (avautuu uuteen välilehteen)Usein kysytyt kysymykset
- Milloin DPA tarvitaan?
- Aina kun ulkopuolinen taho käsittelee henkilötietoja teidän lukuunne — esimerkiksi pilvipalvelu, palkanlaskija, markkinointitoimisto tai IT-tuki. Sopimus on tehtävä ennen käsittelyn aloittamista.
- Saako käsittelijä käyttää alikäsittelijöitä?
- Vain rekisterinpitäjän ennakkoluvalla, joka voi olla erityinen tai yleinen. Yleisen luvan tapauksessa käsittelijän on ilmoitettava muutoksista etukäteen, jotta rekisterinpitäjä voi vastustaa niitä. Kirjatkaa valittu malli ja ilmoitusaika.
- Kuinka nopeasti tietoturvaloukkauksesta on ilmoitettava?
- Käsittelijän on ilmoitettava rekisterinpitäjälle ilman aiheetonta viivytystä. Rekisterinpitäjän oma ilmoitus valvontaviranomaiselle on tehtävä 72 tunnin kuluessa, joten sopimukseen kannattaa kirjata käsittelijälle selvästi tiukempi määräaika.
Mietitkö, pitääkö sähköinen allekirjoitus juridisesti? Lue sähköisestä allekirjoituksesta →
Muita malleja
Katso kaikki mallitTämä malli on yleinen lähtökohta eikä sitä ole tarkoitettu oikeudelliseksi neuvonnaksi. Tarkista, että sisältö sopii omaan tilanteeseesi, ja käänny epäselvissä tapauksissa lakimiehen puoleen.