Tietojenkäsittelysopimus

Päiväkodin ja 4V3D OÜ:n välillä, Minute Missionin ryhmäpalvelua varten. Versio 1.0, 23. syyskuuta 2026.

Tämä on sopimuksen suomenkielinen käännös. Sopimus on julkaistu myös englanniksi ja viroksi, ja nämä kaksi tekstiä ovat ne, jotka sitovat osapuolia. Jos käännös ja englanninkielinen teksti poikkeavat toisistaan, englanninkielinen teksti ratkaisee.

Näin sopimus hyväksytään

Kaksi tapaa, joilla on sama vaikutus.

Tilauksen yhteydessä. Rastittakaa ruutu, jossa hyväksytte tämän sopimuksen version 1.0. Versio ja päivämäärä kirjataan tilillenne, hyväksymästänne tekstistä lähetetään teille sähköpostitse tarkka kopio, ja se säilyy saatavillanne tilillänne.
Paperilla, jos organisaationne tarvitsee allekirjoituksen. Pyytäkää sitä meiltä osoitteesta info@4v3d.ee, niin lähetämme saman tekstin asiakirjana, jossa on taulukko tietojanne varten. Allekirjoittakaa se sähköisesti (eIDAS-asetuksen mukainen hyväksytty allekirjoitus, DocuSign, Adobe Sign tai oman maanne kansallinen ratkaisu) ja lähettäkää se takaisin. 4V3D OÜ allekirjoittaa saman tiedoston ja palauttaa sen. Sopimus tulee voimaan myöhemmän allekirjoituksen päivämääränä.

Henkilötietojen käsittelijä: 4V3D OÜ, rekisterinumero 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Viro. Edustaja: Oskar Viil, hallituksen jäsen. Yhteydenotot: info@4v3d.ee.

1. Mitä tämä sopimus kattaa

Päiväkoti (rekisterinpitäjä) käyttää Minute Missionia, 4V3D OÜ:n (henkilötietojen käsittelijä) ylläpitämää verkkosovellusta, jossa opettaja pitää yllä ryhmän tehtävien ja palkintojen taulua. Tätä varten 4V3D OÜ käsittelee liitteessä II kuvattuja henkilötietoja päiväkodin puolesta ja sen ohjeiden mukaisesti.

Tämä sopimus kattaa kaiken sen, mitä tietosuoja-asetuksen ja UK GDPR:n 28 artiklan 3 kohta edellyttää sovittavaksi kirjallisesti rekisterinpitäjän ja henkilötietojen käsittelijän välillä. Sitä sovelletaan riippumatta siitä, onko päiväkoti sijoittautunut ETA-alueelle tai Yhdistyneeseen kuningaskuntaan.

2. Mitä lakia teihin sovelletaan

ETA-alueelle sijoittautunut päiväkoti. Sovelletaan tietosuoja-asetusta. Myös kohtaa 3 sovelletaan.
Yhdistyneeseen kuningaskuntaan sijoittautunut päiväkoti. Sovelletaan UK GDPR:ää ja lakia Data Protection Act 2018. Jäljempänä olevat viittaukset tietosuoja-asetukseen luetaan viittauksiksi UK GDPR:ään, viittaukset valvontaviranomaiseen luetaan viittauksiksi tietosuojavaltuutettuun (Information Commissioner), eikä kohtaa 3 sovelleta.
Muualle sijoittautunut päiväkoti. Teihin sovelletaan oman maanne tietosuojalainsäädäntöä, ja nämä ehdot sitovat 4V3D OÜ:tä sopimuksena. 4V3D OÜ on sijoittautunut Euroopan unioniin, joten tietosuoja-asetus sitoo sitä tämän käsittelyn osalta joka tapauksessa. Mikään tässä sopimuksessa ei kavenna oikeutta, jonka oma lakinne teille antaa.

3. Euroopan komission vakiolausekkeet

Jos päiväkoti on sijoittautunut ETA-alueelle, osapuolet soveltavat rekisterinpitäjien ja henkilötietojen käsittelijöiden välisiä vakiolausekkeita, jotka ovat komission täytäntöönpanopäätöksen (EU) 2021/915 liitteessä, niiden virallisessa englanninkielisessä sanamuodossa. Nämä lausekkeet ovat osa tätä sopimusta, ja jäljempänä olevat liitteet ovat niiden liitteitä. Lauseketta 5 (liittymislauseke) ei sovelleta. Lausekkeessa 7.7 sovelletaan vaihtoehtoa 2: alikäsittelijöille annetaan yleinen kirjallinen hyväksyntä, ja muutoksista ilmoitetaan 30 päivää etukäteen. Jos lausekkeet ja tämä sopimus ovat ristiriidassa, lausekkeet ovat etusijalla.

4. Mihin kumpikin osapuoli sitoutuu

4V3D OÜ sitoutuu:

Käsittelemään henkilötietoja vain palvelun tuottamiseksi ja vain päiväkodin dokumentoitujen ohjeiden mukaisesti, myös kolmansiin maihin siirtämisen osalta. Nämä ohjeet muodostuvat tästä sopimuksesta ja siitä, miten päiväkoti palvelua käyttää. Jos EU:n tai jäsenvaltion lainsäädäntö vaatii 4V3D OÜ:tä käsittelemään tietoja toisin, se kertoo siitä päiväkodille etukäteen, ellei kyseinen laki sitä kiellä.
Olemaan käyttämättä tietoja omiin tarkoituksiinsa, olemaan myymättä niitä, olemaan käyttämättä niitä minkään kouluttamiseen ja olemaan näyttämättä niitä kenellekään muulle kuin liitteessä IV nimetyille alikäsittelijöille.
Varmistamaan, että jokaista tietoihin pääsevää sitoo salassapitovelvollisuus.
Pitämään voimassa liitteen III turvatoimet eikä heikentämään niitä.
Käyttämään vain liitteen IV alikäsittelijöitä. 4V3D OÜ voi lisätä alikäsittelijän tai vaihtaa sen ja ilmoittaa siitä päiväkodin yhteyshenkilölle kirjallisesti 30 päivää etukäteen. Päiväkoti voi vastustaa muutosta näiden 30 päivän kuluessa; jos vastustusta ei saada ratkaistua, päiväkoti voi päättää palvelun, ja sille palautetaan kuukauden käyttämättä jääneen osan maksu.
Auttamaan päiväkotia vastaamaan vanhemman tai henkilökuntaan kuuluvan pyyntöön. Opettajat ja johtaja voivat jo itse katsoa, korjata, viedä ulos ja poistaa näitä tietoja palvelussa. Jos pyyntö saapuu sen sijaan 4V3D OÜ:lle, se välitetään päiväkodin yhteyshenkilölle viiden työpäivän kuluessa eikä siihen vastata suoraan.
Auttamaan päiväkotia sen velvollisuuksissa, jotka perustuvat artikloihin 32-36 (turvallisuus, tietoturvaloukkauksesta ilmoittaminen, vaikutustenarvioinnit, ennakkokuuleminen), ottaen huomioon sen, mitä 4V3D OÜ tosiasiassa tietää.
Kertomaan päiväkodin yhteyshenkilölle henkilötietojen tietoturvaloukkauksesta 24 tunnin kuluessa siitä, kun se on saanut loukkauksen tietoonsa, kertoen mitä sillä hetkellä tiedetään ja loput sitä mukaa kun asiat selviävät.
Palvelun päättyessä poistamaan tiedot 30 päivän kuluessa tai palauttamaan ne sitä ennen, jos päiväkoti sitä pyytää. Salatuista varmuuskopioista ne häviävät 90 päivän kuluessa. 4V3D OÜ vahvistaa kirjallisesti, kun tiedot ovat poissa.
Antamaan käyttöön tiedot, jotka tarvitaan näiden velvollisuuksien täyttämisen osoittamiseen, ja sallimaan auditoinnin. Käytännössä tämä tarkoittaa kirjallisia vastauksia ja dokumentaatiota pyynnöstä. Paikan päällä tehtävästä tai kolmannen osapuolen auditoinnista voidaan sopia 30 päivän varoitusajalla päiväkodin kustannuksella, enintään kerran vuodessa, ellei tietoturvaloukkausta ole tapahtunut.
Kertomaan päiväkodille heti, jos jokin ohje näyttää rikkovan tietosuojalainsäädäntöä.

Päiväkoti sitoutuu:

Varmistamaan, että sillä on käsittelylle lainmukainen peruste ja että vanhemmille on kerrottu asiasta. 4V3D OÜ ei ole yhteydessä vanhempiin eikä voi hoitaa tätä puolestanne.
Pitämään palveluun tallennetut tiedot siinä, mitä liite II kuvaa. Erityisesti: älkää kirjoittako vapaisiin tekstikenttiin lapsen sukunimeä, terveystietoja, lasta koskevaa arviota tai mitään perheen olosuhteista.
Pitämään omat tilitietonsa ajan tasalla ja kertomaan 4V3D OÜ:lle, kun yhteyshenkilö vaihtuu.
Hallinnoimaan omia henkilökunnan tunnuksiaan: poistamaan opettajan tunnukset, kun opettaja lähtee.

5. Kaksi asiaa, jotka eivät ole käsittelyä teidän puolestanne

Sanottu tässä selvästi, jottei kenenkään tarvitse myöhemmin arvailla.

Henkilökunnan käyttäjätilit. Opettajan tai johtajan nimi, sähköpostiosoite ja salasana ovat välttämättömiä palvelun toiminnalle, ja 4V3D OÜ päättää, miten palvelua ylläpidetään. Tässä rajatussa tarkoituksessa 4V3D OÜ on rekisterinpitäjä eikä henkilötietojen käsittelijä, ja siihen sovelletaan sen omaa tietosuojaselostetta. Kaikki lapsia koskeva on käsittelyä päiväkodin puolesta ja kuuluu tämän sopimuksen piiriin.
Palvelun maksaminen. Jos päiväkoti maksaa kortilla, maksun hoitaa Stripe Payments Europe Ltd. Stripe saa päiväkodin laskutusnimen, osoitteen, alv-numeron, sähköpostiosoitteen ja korttitiedot, eikä mitään lasta koskevia tietoja. 4V3D OÜ on näiden laskutustietojen rekisterinpitäjä. Stripe ei siis ole tässä sopimuksessa tarkoitettu alikäsittelijä, eikä se ole liitteessä IV.

6. Voimassaolo, sovellettava laki ja vastuu

Tämä sopimus on voimassa niin kauan kuin 4V3D OÜ käsittelee päiväkodin tietoja, ja se jää voimaan palvelun päättymisen jälkeenkin siihen asti, kunnes tiedot on poistettu.

Sovelletaan Viron lakia, ja toimivaltainen tuomioistuin on Harjumaan maakohus, paitsi jos päiväkoti on julkisyhteisö, jonka omat säännöt edellyttävät sen kansallisen lain ja tuomioistuinten soveltamista; siinä tapauksessa osapuolet sopivat asiasta toisin ennen allekirjoittamista.

Vastuusta on määrätty Minute Missionin käyttöehdoissa, joita tämä sopimus täydentää eikä korvaa.

Liite I. Osapuolet

Rekisterinpitäjä: päiväkoti, joka yksilöidään niillä tiedoilla, jotka se antaa tilauksen yhteydessä tai täyttää allekirjoitettavaan kappaleeseen. Rooli: ryhmätaululla pidettävien lasten tietojen rekisterinpitäjä.

Henkilötietojen käsittelijä: 4V3D OÜ, rekisterinumero 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Viro. Yhteyshenkilö: Oskar Viil, hallituksen jäsen, info@4v3d.ee. Tietosuojavastaavaa ei ole nimitetty, koska tietosuoja-asetus ei sitä tässä edellytä.

Kumpikin osapuoli voi vaihtaa yhteyshenkilönsä ilmoittamalla siitä toiselle kirjallisesti.

Liite II. Käsittelyn kuvaus

Kenen tietoja	Ryhmän lapset sekä palvelua käyttävät opettajat ja johtaja.
Lasten tiedot	Etunimi tai kutsumanimi, valittu kuva (ei koskaan valokuva), pisteet, suoritetut tehtävät, saadut palkinnot, viikon palkinnot kiinteästä listasta, lisätähdet, joiden perusteluna on joko kiinteän listan vaihtoehto tai opettajan oma enintään 60 merkin muistiinpano, sekä merkintä siitä, että lapsi on tänään poissa, ilman syytä.
Henkilökunnan tiedot	Nimi, sähköpostiosoite, salasana vain tiivisteenä tallennettuna sekä kirjautumistiedot: kuka opettaja merkitsi mitäkin, istunnon selaintunniste ja kirjautumisyritysten IP-osoitteet, joita säilytetään vain salasanojen arvaamisen estämiseksi.
Ei kerätä	Sukunimiä, henkilötunnuksia, syntymäaikoja, valokuvia, terveystietoja, osoitteita, vanhempien yhteystietoja. Valokuvia ei voi lainkaan ladata ryhmätilille.
Erityiset henkilötietoryhmät	Ei mitään. Palvelua ei ole rakennettu säilyttämään niitä, ja edellä mainittu vapaan tekstin rajoitus on olemassa juuri siksi, että näin pysyy.
Käyttötarkoitus	Ryhmän tehtävien ja palkintojen taulu opetuksen ja hoidon tukena.
Käsittelyn luonne	Tallentaminen, näyttäminen, korjaaminen, vienti ja poistaminen, kaikki päiväkodin oman henkilökunnan palvelussa aloittamina. Ei profilointia, ei automaattista päätöksentekoa, ei analytiikkaa, ei mainontaa.
Toistuvuus	Jatkuvaa niin kauan kuin palvelua käytetään.
Kesto	Niin kauan kuin palvelua käytetään, tai sovitun kokeilujakson ajan. Poistaminen kohdan 4 mukaisesti.

Liite III. Turvatoimet

Tiedot ovat Euroopan unionissa. Sovellus ja sen varmuuskopiot toimivat Hetzner Online GmbH:n konesalissa Helsingissä, Suomessa (ISO/IEC 27001 -sertifioitu). Palvelun sähköpostit lähetetään Scaleway SAS:n kautta Ranskasta. Kolmansiin maihin ei siirretä mitään.
Kaikki siirrettävä tieto on salattua (HTTPS, ja Content Security Policy on käytössä). Salasanoja ei tallenneta koskaan, vain niiden tiiviste, ja istuntotunnisteet tallennetaan niin ikään tiivisteinä, joten tietokannan kopio ei ole nippu toimivia avaimia.
Jokainen ryhmä on oma tilinsä. Opettaja näkee vain oman ryhmänsä lapset. Johtajalla on yksi tunnus omiin ryhmiinsä eikä pääsyä kenenkään muun tietoihin.
Valokuvia ei voi ladata ryhmätilille, push-ilmoitukset ovat pois päältä, ja lasten kuvat on rajattu valmiiseen piirroskokoelmaan.
Päivittäiset salatut varmuuskopiot, joita säilytetään 14 päivää palvelimella ja 90 päivää sen ulkopuolella. Ne on salattu julkisella avaimella, jota palvelimella itsellään ei ole, joten palvelin ei pysty lukemaan omia varmuuskopioitaan. Varmuuskopiosta palauttaminen on testattu.
Palvelimelle pääsee vain 4V3D OÜ:n hallituksen jäsen. Yhdelläkään työntekijällä, alihankkijalla tai tukihenkilöllä ei ole pääsyä.
Ei analytiikkaa, ei mainostyökaluja eikä minkäänlaista seurantaa. Ainoa säännöllinen raportointi on päivittäinen laskenta rekisteröitymisistä, aktiivisista tileistä ja virheistä, eikä siinä ole nimiä.
Kirjautumisen ja rekisteröitymisen käyttörajoitukset sekä 30 päivän raja sille, kuinka kauas taaksepäin tehtävän voi merkitä tehdyksi, jottei virhe tai väärinkäyttö voi kirjoittaa kuukausien historiaa uusiksi.
Koko lähdekoodin kirjallinen tietoturva-arviointi on teetetty ulkopuolisella mallilla kahdesti, viimeksi 20. syyskuuta 2026, ja sen havainnot on korjattu.

Liite IV. Alikäsittelijät

Hetzner Online GmbH (Saksa)	Palvelinten ylläpito ja varmuuskopiot.	Helsinki, Suomi (EU)
Scaleway SAS (Ranska)	Palvelun sähköpostien lähettäminen henkilökunnalle, esimerkiksi salasanan palautus. Yhdessäkään sähköpostissa ei ole lasten tietoja.	Ranska (EU)

Molemmat ovat Euroopan unionissa. EU:n ulkopuolella ei ole yhtään alikäsittelijää, eikä arvioitavia kansainvälisiä siirtoja ole.

Tämä on käännös, joka on julkaistu, jotta voitte lukea sopimuksen omalla kielellänne. Englannin- ja vironkielinen teksti ovat ne, joita sovelletaan, ja Viron lakia sovelletaan sopimukseen joka tapauksessa. Jos jokin kohta on tässä epäselvä tai poikkeaa englanninkielisestä tekstistä, ratkaiseva on englanninkielinen teksti. Kysykää meiltä siitä mitä tahansa, niin vastaamme kirjallisesti.