Selvion Oy (Y-tunnus 3630045-1) · Versio 2026-09-01-r2
Tämä tietojenkäsittelysopimus on osa Selvion Oy:n ja asiakkaan välistä palvelusopimusta silloin, kun Selvion Oy käsittelee henkilötietoja asiakkaan lukuun. Sopimus on laadittu EU:n yleisen tietosuoja-asetuksen 28 artiklan mukaisesti.
| Rooli | Osapuoli ja merkitys |
|---|---|
| Rekisterinpitäjä | Asiakasyritys tai muu taho, joka määrittää omaan liiketoiminta-aineistoonsa sisältyvien henkilötietojen käsittelyn tarkoitukset ja keinot. Jos tilitoimisto käyttää Selviota päämiehensä puolesta, päämies on tyypillisesti rekisterinpitäjä. |
| Käsittelijä tai alikäsittelijä | Selvion Oy toimii käsittelijänä, kun asiakas on rekisterinpitäjä, tai alikäsittelijänä, kun asiakas käsittelee aineistoa oman rekisterinpitäjäasiakkaansa puolesta. Molemmissa tilanteissa Selvion Oy käsittelee tietoja asiakkaan dokumentoitujen ohjeiden ja tämän DPA:n mukaisesti. |
| Selvion Oy:n oma rekisterinpitäjärooli | Selvion Oy käsittelee omana rekisterinpitäjänään esimerkiksi käyttäjätili-, sopimus-, laskutus-, tietoturva- ja omaan kirjanpitoonsa liittyviä tietoja. Niitä ei käsitellä tämän DPA:n perusteella, vaan tietosuojaselosteen mukaisesti. |
Selvion Oy käsittelee henkilötietoja vain Selvio-palvelun toimittamiseksi, ylläpitämiseksi, suojaamiseksi ja asiakkaan antamien dokumentoitujen ohjeiden toteuttamiseksi. Palvelun käyttöehdot, asiakkaan valitsemat asetukset, käyttöoikeudet, integraatiovalinnat ja tämän DPA:n liitteessä kuvattu käsittely muodostavat asiakkaan dokumentoidut ohjeet.
Käsittely alkaa palvelusopimuksen alkaessa ja jatkuu sen voimassaolon ajan sekä sen jälkeen vain siltä osin kuin tietojen palautus, poistaminen, tekninen varmuuskopiointi tai lakisääteinen säilyttäminen sitä edellyttää. Selvion Oy ilmoittaa asiakkaalle, jos se katsoo asiakkaan ohjeen rikkovan sovellettavaa tietosuojalainsäädäntöä.
| Kohta | Kuvaus |
|---|---|
| Tarkoitus ja luonne | Kirjanpidon, laskutuksen, pankkitapahtumien, kuittien, raportoinnin, palkanlaskennan, tukitoimien, tietoturvan ja asiakkaan valitsemien integraatioiden tekninen toteutus. |
| Rekisteröidyt | Asiakkaan työntekijät, edustajat, asiakkaat, toimittajat, laskujen ja maksujen yhteyshenkilöt sekä muut henkilöt, joiden tietoja asiakas tuo palveluun. |
| Tietoryhmät | Nimet, yhteystiedot, roolit, yritys- ja laskutustiedot, lasku- ja kuittitiedot, pankkitapahtumien tiedot, palkka- ja verotiedot sekä liitteisiin sisältyvät tiedot. Henkilötunnuksia tai erityisiä henkilötietoryhmiä käsitellään vain, jos asiakas ottaa käyttöön toiminnon, johon niiden käsittely on tarpeen, tai toimittaa niitä palveluun. |
| Toiminnot | Tallennus, järjestäminen, haku, katselu, laskenta, kohdistus, raportointi, siirto asiakkaan valitsemaan integraatioon, varmuuskopiointi, palautus ja poisto asiakkaan ohjeiden mukaisesti. |
Selvion Oy varmistaa, että henkilötietoja käsittelevät henkilöt ovat sitoutuneet salassapitoon tai heitä sitoo asianmukainen lakisääteinen salassapitovelvollisuus. Selvion Oy toteuttaa käsittelyn riskeihin nähden asianmukaiset tekniset ja organisatoriset suojatoimet.
Asiakas antaa Selvion Oy:lle yleisen kirjallisen luvan käyttää alla lueteltuja alikäsittelijöitä sekä näitä korvaavia tai täydentäviä alikäsittelijöitä tämän kohdan mukaisesti. Selvion Oy solmii alikäsittelijän kanssa kirjallisen sopimuksen, jolla asetetaan olennaisilta osin tämän DPA:n tietosuojavelvoitteita vastaavat velvoitteet.
| Alikäsittelijä | Käyttötarkoitus | Milloin käytetään |
|---|---|---|
| Railway | Sovelluksen suoritus- ja hosting-ympäristö | Palvelun perusinfrastruktuuri |
| Neon | Tietokantapalvelu | Palvelun perusinfrastruktuuri |
| Cloudflare R2 | Tositteiden, liitteiden ja muiden tiedostojen tallennus | Kun tiedostotallennus on käytössä |
| Resend | Palvelu-, lasku- ja ilmoitussähköpostien välitys | Kun sähköpostitoiminto on käytössä |
| Enable Banking | Pankkiyhteyden tekninen toteutus | Kun asiakas yhdistää pankkitilin |
| Google ja Microsoft | Sähköposti-integraatiot | Kun asiakas yhdistää Gmail- tai Microsoft-sähköpostin |
| OpenAI | AI-avusteiset teksti-, talousapuri-, OCR- ja laskumuistutustoiminnot | Kun asiakas käyttää AI-toimintoa tai AI-avusteinen työnkulku muodostaa ehdotuksen |
| Maventa tai muu asiakkaan valitsema verkkolaskuoperaattori | Verkkolaskujen välitys ja vastaanotto | Kun integraatio otetaan käyttöön |
Selvion Oy ilmoittaa asiakkaalle suunnitellusta uuden alikäsittelijän lisäämisestä tai alikäsittelijän vaihtamisesta vähintään 30 päivää etukäteen ensisijaiseen palveluyhteyssähköpostiin tai palvelussa. Asiakas voi esittää perustellun tietosuojavastustuksen määräajassa. Jos osapuolet eivät löydä kohtuullista ratkaisua, asiakas voi irtisanoa muutoksen kohteena olevan palvelun ennen muutoksen voimaantuloa.
Selvion Oy siirtää henkilötietoja EU- tai ETA-alueen ulkopuolelle vain asiakkaan dokumentoitujen ohjeiden mukaisesti ja silloin, kun siirrolle on soveltuva tietosuojalainsäädännön mukainen suojakeino, kuten Euroopan komission riittävyyspäätös tai vakiolausekkeet. Selvion Oy antaa asiakkaalle pyynnöstä tiedon käytetystä siirtoperusteesta siltä osin kuin se on mahdollista alikäsittelijäsopimusten ja turvallisuusvaatimusten puitteissa.
Selvion Oy avustaa asiakasta käsittelyn luonne huomioon ottaen kohtuullisilla teknisillä ja organisatorisilla toimenpiteillä rekisteröityjen oikeuksien toteuttamisessa. Selvion Oy avustaa kohtuullisesti myös tietosuojavaikutusten arvioinneissa, ennakkokuulemisissa ja viranomaiskyselyissä siltä osin kuin ne liittyvät Selvio-palvelun käsittelyyn. Laaja tai poikkeuksellinen asiantuntijatyö voidaan veloittaa erikseen, jos siitä sovitaan etukäteen.
Selvion Oy ilmoittaa asiakkaalle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä saatuaan siitä tiedon. Ilmoitus sisältää Selvion Oy:n käytettävissä olevat tiedot loukkauksen luonteesta, mahdollisista vaikutuksista sekä toteutetuista tai suunnitelluista korjaavista toimenpiteistä. Rekisterinpitäjä vastaa mahdollisista viranomais- ja rekisteröityilmoituksista. Jos asiakas toimii käsittelijänä, asiakas välittää Selvion Oy:n ilmoituksen omalle rekisterinpitäjäasiakkaalleen ja hoitaa siihen liittyvät velvoitteensa, ellei osapuolten välillä ole sovittu toisin.
AI-toiminto käsittelee asiakkaan aineistoa vain, kun asiakas tai asiakkaan valtuuttama käyttäjä käyttää toimintoa tai on ottanut sen käyttöön ja yritys on hyväksynyt kulloinkin voimassa olevan DPA:n. Selvion Oy ei ota käyttöön OpenAI API -aineiston jakamista mallien kehittämiseen eikä käytä asiakkaan aineistoa omien, jaettujen tai julkisten AI-mallien kouluttamiseen tai markkinointiin. OpenAI Responses API -pyynnöissä Selvion Oy käyttää store: false -asetusta, joten vastausta ei säilytetä Selvion Oy:n pyynnöstä haettavana Responses-objektina. Tämä ei yksin tarkoita nollasäilytystä: OpenAI voi käsitellä aineistoa turvallisuus- ja väärinkäytönestotallenteissa omien soveltuvien data controls -ehtojensa mukaisesti. Selvion Oy käsittelee asiakasyrityksen aineistoa OpenAI:n kautta vasta, kun Selvion Oy:n OpenAI API -organisaatiolle soveltuva OpenAI DPA tai vastaavat palveluehdot ovat voimassa. AI-palveluntarjoaja toimii alikäsittelijänä vain pyynnön toteuttamiseen tarvittavassa laajuudessa. AI:n tuottamat tiedot ovat tarkistettavia ehdotuksia, eivätkä ne yksin muodosta asiakkaan puolesta sitovaa kirjanpito-, maksu-, vero-, palkka- tai muuta oikeudellisesti merkittävää päätöstä.
Palvelusopimuksen päättyessä asiakas valitsee, palautetaanko asiakkaan henkilötiedot asiakkaalle vai poistetaanko ne. Asiakkaan on pyydettävä palautusta tai poistoa kirjallisesti. Selvion Oy toteuttaa valinnan ilman aiheetonta viivytystä, ellei sovellettava laki edellytä tietojen säilyttämistä. Tekniset varmuuskopiot poistuvat normaalin varmuuskopioiden kierron mukaisesti, eikä niitä käytetä palvelun normaaliin toimintaan palautustilannetta lukuun ottamatta.
Kirjanpitoaineistoon kohdistuvista lakisääteisistä säilytysajoista ja aineiston säilytysvastuusta sovitaan tarvittaessa erikseen toimeksiantosopimuksessa. Selvion Oy rajoittaa säilytettävän aineiston käytön pelkästään säilytysvelvoitteen edellyttämään tarkoitukseen.
Selvion Oy antaa asiakkaalle pyynnöstä kohtuullisesti tietoja tämän DPA:n noudattamisen osoittamiseksi ja mahdollistaa asiakkaan tai asiakkaan valtuuttaman riippumattoman tarkastajan tarkastuksen. Tarkastus sovitaan etukäteen, toteutetaan ensisijaisesti kirjallisen aineiston ja etätarkastuksen avulla, eikä se saa vaarantaa muiden asiakkaiden tietoja, palvelun tietoturvaa tai liikesalaisuuksia. Paikan päällä tehtävästä tai poikkeuksellisesta tarkastuksesta voidaan sopia erikseen.
Tämä DPA tulee voimaan, kun asiakkaan valtuutettu edustaja hyväksyy sen palvelussa, hyväksyy palvelutilauksen tai allekirjoittaa toimeksianto- tai muun palvelusopimuksen, jossa tähän DPA:han viitataan. Paperista allekirjoitusta ei tarvita, ellei osapuoli tai soveltuva hankintamenettely sitä erikseen vaadi.
Jos tämän DPA:n ja palvelusopimuksen välillä on ristiriita henkilötietojen käsittelyä koskevassa asiassa, tätä DPA:ta sovelletaan ensisijaisesti. Muissa asioissa sovelletaan käyttöehtoja tai erillistä toimeksiantosopimusta.
Selvion Oy · Y-tunnus 3630045-1
Kotipaikka: Rovaniemi, Suomi
Tietosuoja- ja DPA-asiat: privacy@selvio.fi