Senaatti-konsernin materiaalipankin tietosuojaseloste
1. Rekisterinpitäjät ja yhteystiedot
Senaatti-kiinteistöt, Puolustuskiinteistöt ja Senaatin asema-alueet Oy
Senaatti-kiinteistöt ja Senaatin asema-alueet Oy: Lintulahdenkatu 5 A, PL 237, 00531 Helsinki
Sähköposti: kirjaamo(at)senaatti.fi
Puolustuskiinteistöt: Isoympyräkatu 10, PL 1, 49401 Hamina
Sähköposti: kirjaamo(at)puolustuskiinteistot.fi
Puhelin: 029 483 0000
Tietosuojavastaava Petri Konttinen, etunimi.sukunimi(at)senaatti.fi
2. Henkilötietojen käsittelyn tarkoitus ja käsittelyn oikeusperuste
Rekisterinpitäjät (Senaatti-kiinteistöt, Puolustuskiinteistöt ja Senaatin asema-alueet Oy) käyttävät materiaalipankkia rekisterinpitäjien graafisen aineiston (brändi-aineisto kuten logot, graafiset mallit, valokuvat ym.) hallinnointiin ja jakeluun omalle henkilökunnalle sekä sidosryhmille (lehdistö, painotalot ym.).
Rekisterinpitäjät toimivat GDPR:n mukaisina yhteisrekisterinpitäjinä (GDPR artikla 26). Henkilötietojen käsittely tapahtuu pääsääntöisesti rekisterinpitäjien yleistä etua koskevien tehtävien suorittamiseksi (GDPR artikla 6.1e). Työntekijöiden henkilökuvien julkaisemiseen materiaalipankin ulkopuolelle tarvitaan henkilö suostumus (GDPR artikla 6.1a).
3. Käsiteltävät henkilötiedot ja rekisteröityjen ryhmät
Materiaalipankissa on konsernin työntekijöiden käyttäjätiedot, jotka sisältävät seuraavat henkilötiedot: etunimi, sukunimi, sähköposti. Järjestelmässä on tietojen ylläpitäjien tunnukset, sekä niiden työntekijöiden tunnukset, jotka ovat kirjautuneet järjestelmään.
Materiaalipankki sisältää myös henkilöiden valokuvia, kuten konsernin johdon henkilökuvat, sekä muita työntekijöiden henkilökuvia. Konsernin johdon kuviin on liitetty myös henkilön nimi ja tehtävä. Valokuvissa on myös kuvaajan nimi tekijänoikeussyistä.
4. Säännönmukaiset tietolähteet
Työntekijöiden tunnukset luodaan järjestelmään automaattisesti henkilön kirjautuessa järjestelmään. Tiedot tunnukseen saadaan konsernin käyttäjähallinnasta. Ylläpitokäyttäjien tunnukset luo palveluntuottaja/pääkäyttäjä.
5. Henkilötietojen vastaanottajat tai vastaanottajaryhmät
Pääsy tietoihin on rekisterinpitäjien lisäksi alikäsittelijöillä (palveluntuottajat).
Tietoja luovutetaan sidosryhmille materiaalipankin julkisessa osiossa, jossa kuka tahansa voi päästä tietoihin ilman tunnistautumista.
6. Tietojen siirto EU:n tai ETA:n ulkopuolelle
Palvelussa henkilötietoja säilytetään Euroopan unionin (EU) / Euroopan talousalueen (ETA) sisällä. Palvelun ylläpidon toteuttamiseksi palvelun tarjoaja käyttää kolmannen osapuolen palveluna tiketöintijärjestelmää, jonka osalta noudatetaan EU:n ja Yhdysvaltojen välistä tietosuojakehystä (EU-U.S. DPF).
7. Henkilötietojen suojaus
Senaatti-konserni toteuttaa tietojen turvallisen käsittelyn varmistamalla tekniset ja hallinnolliset vaatimukset auditointien, tarkastusten ja riskienhallinnan keinoin. Vaatimuksia arvioidaan kaikkiin rekisterinpitäjän tietojärjestelmiin, sekä myös niiden palveluntuottajiin tarvittavalla riskienhallinnan tasolla. Tietoja salataan vahvoilla salausmenetelmillä, tai pseudonymisoidaan siten, että tarpeettomat henkilötiedot, joista henkilö voidaan tunnistaa, jätetään pois. Tietojärjestelmien ja palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus varmistetaan varmuuskopioinnilla ja säännöllisillä tietoturvatarkastuksilla sekä ajantasaisilla ohjelmisto- ja tietoturvapäivityksillä. Menettelyt, joilla testataan, tutkitaan ja arvioidaan säännöllisesti tietojärjestelmien ja palveluiden turvallisuutta, ovat osa Senaatti-konsernin jatkuvaa kehittämisprosessia.
Konsernin työntekijöillä on pääsyoikeus sisäiseen käyttöön tarkoitetulle aineistolle. Julkiseen osioon on pääsyoikeus sidosryhmillä ja kenellä tahansa. Julkinen osio ei sisällä käyttäjätietoja eikä henkilövalokuvia (pl. johdon henkilövalokuvat).
8. Tietojen säilytysaika ja sen määräytymisperiaatteet
Tiketit säilytetään kahden vuoden ajan. Tunnukset poistetaan (pääkäyttäjä) kun tieto henkilön poistumisesta työnantajan palveluksesta saadaan konsernin IAM-käyttövaltuushallintajärjestelmästä.
Valokuvia ylläpidetään niiden ajankohtaisuuden mukaisesti, joka tarkistetaan kerran vuodessa (pääkäyttäjä).
9. Rekisteröityjen oikeudet
Rekisteröity henkilö voi käyttää tietosuoja-asetuksen mukaisia oikeuksiaan seuraaviin asioihin:
- Oikeus saada pääsy henkilötietoihin (saada tieto itseään koskevasta käsittelystä)
- Oikeus perua suostumus henkilötietojen käsittelyyn
- Oikeus omien henkilötietojensa oikaisemiseen
- Oikeus omien henkilötietojensa poistamiseen
- Oikeus omien henkilötietojensa käsittelyn rajoittamiseen
- Oikeus vastustaa omien henkilötietojensa käsittelyä
- Oikeus olla joutumatta tietämättään automaattisen päätöksenteon kohteeksi.
Rekisterinpitäjän on toimitettava rekisteröidylle tiedot toimenpiteistä, joihin on ryhdytty GDPR:n artikla 15–22 nojalla tehdyn pyynnön johdosta ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella ottaen huomioon pyyntöjen monimutkaisuus ja määrä. Rekisterinpitäjän on ilmoitettava rekisteröidylle tällaisesta mahdollisesta jatkamisesta kuukauden kuluessa pyynnön vastaanottamisesta sekä viivästymisen syyt. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava sähköisesti mahdollisuuksien mukaan, paitsi jos rekisteröity toisin pyytää (GDPR artikla 12.3).
Rekisteröidyllä on myös oikeus tehdä valitus valvontaviranomaisena toimivalle tietosuojavaltuutetulle.