Devella One™ -Tietojenkäsittelysopimus (DPA)

Versio 2026-09-14 — voimassa hyväksymispäivästä alkaen

Tämä DPA on laadittu alun perin suomeksi. Jos suomenkielisen ja englanninkielisen version välillä on ristiriita, suomenkielinen versio on ratkaiseva.

1. Osapuolet ja soveltamisala

Tämä henkilötietojen käsittelysopimus (jäljempänä DPA) tehdään Devella Oy:n (Y-tunnus 3288286-1, Kokkola; jäljempänä Käsittelijä) ja Devella One™ -palvelua käyttävän asiakkaan (jäljempänä Asiakas) välillä.

Asiakas voi olla joko Devella Onen loppuasiakas, joka käyttää palvelua omalla sivustollaan kerättävien kävijätietojen käsittelyyn, tai kumppanitoimisto (jäljempänä Agency), joka hallinnoi Devella Onen kautta useiden omien loppuasiakkaidensa sivustoja. Jos Asiakas on Agency, sen osalta sovelletaan tämän DPA:n lisäksi erikseen kohtaa 4.2 sekä siihen liittyviä ehtoja. Muilta osin tätä DPA:ta sovelletaan yhtäläisesti kumpaankin Asiakastyyppiin.

DPA koskee kaikkea henkilötietojen käsittelyä, jota Käsittelijä suorittaa Asiakkaan lukuun tuottaessaan Devella One -palvelua ja siihen liittyvää ylläpitoa.

2. Suhde muihin sopimuksiin

Tämä DPA on osa Devella Oy:n ja Asiakkaan välistä palvelusopimusta ja täydentää sitä henkilötietojen käsittelyä koskevilta osin GDPR 28 artiklan mukaisesti.

Jos Devella Oy:n ja Asiakkaan välillä on erillinen kirjallinen palvelusopimus, tämä DPA on sen liite. Henkilötietojen käsittelyä koskevissa asioissa tämän DPA:n ehdot menevät ristiriitatilanteessa palvelusopimuksen muiden ehtojen edelle.
Jos Devella Oy:n ja Asiakkaan välillä ei ole erillistä kirjallista palvelusopimusta, tämä DPA yhdessä palvelun tilausvahvistuksen ja palvelun ylläpidon käyttöehtojen kanssa muodostaa Osapuolten välisen henkilötietojen käsittelyä koskevan sopimuksen.

Devella Onen ylläpidossa käyttäjältä kirjautumisen yhteydessä pyydettävä käyttöehtojen hyväksyntä on käyttäjäkohtainen hyväksyntä eikä korvaa tässä kohdassa tarkoitettua organisaatiotason sopimusta tai sen hyväksymistä. Organisaatiotason hyväksyntä toteutetaan Ylläpidossa tehtävänä sähköisenä hyväksyntänä kohdan 18 mukaisesti.

3. Määritelmät

Tässä DPA:ssa käytetään yleisen tietosuoja-asetuksen (EU) 2016/679 (GDPR) mukaisia määritelmiä henkilötiedosta, käsittelystä, rekisterinpitäjästä, henkilötietojen käsittelijästä, alikäsittelijästä, rekisteröidystä ja tietoturvaloukkauksesta. Lisäksi tässä DPA:ssa tarkoitetaan:

Palvelu: Devella One™ -verkkosivusto- ja sisällönhallintapalvelu ylläpitoineen.
Sivusto: Asiakkaan Palvelun avulla julkaisema ja ylläpitämä verkkosivusto.
Ylläpito: Palvelun hallintaliittymä, jolla Sivustoa hallinnoidaan ja josta Sivuston tuottamia tietoja tarkastellaan.
Agency (kumppanitoimisto): Asiakas, joka hallinnoi Palvelussa useiden omien Loppuasiakkaidensa Sivustoja.
Loppuasiakas: Agencyn oma asiakas, jonka Sivustoa Agency hallinnoi Palvelussa.
Alikäsittelijä: taho, jonka Käsittelijä käyttää apunaan henkilötietojen käsittelyssä Asiakkaan lukuun.

4. Osapuolten roolit

4.1 Asiakas rekisterinpitäjänä, Devella käsittelijänä (perustilanne)

Kun Asiakas kerää Sivustollaan kävijöiden tai muiden rekisteröityjen henkilötietoja esimerkiksi lomakkeella, ajanvarauksessa tai maksamisen yhteydessä, Asiakas toimii rekisterinpitäjänä ja määrittää käsittelyn tarkoitukset ja keinot. Käsittelijä käsittelee näitä tietoja Asiakkaan dokumentoitujen ohjeiden mukaisesti GDPR 28 artiklassa tarkoitettuna henkilötietojen käsittelijänä.

4.2 Asiakas Agencynä

Devella Onessa on tekninen valmius Agency-malliin, jossa kumppanitoimisto hallinnoi useiden Loppuasiakkaidensa Sivustoja yhden Agency-tilin alla. Tätä kohtaa sovelletaan vain, jos Asiakas on tehnyt Käsittelijän kanssa Agency-järjestelyä koskevan sopimuksen.

Kun Asiakas toimii Agencynä, Agency on rekisterinpitäjän valtuuttama henkilötietojen käsittelijä suhteessa omiin Loppuasiakkaisiinsa, ja Devella Oy toimii Agencyn alikäsittelijänä. Tässä järjestelyssä:

Agency vakuuttaa Käsittelijälle, että sillä on kunkin Loppuasiakkaansa (rekisterinpitäjän) antama riittävä valtuutus antaa Käsittelijälle henkilötietojen käsittelyä koskevia ohjeita ja hyväksyä Käsittelijän käyttö alikäsittelijänä.
Agencylla on oma, erillinen henkilötietojen käsittelysopimuksensa kunkin Loppuasiakkaansa kanssa. Tämä DPA ei korvaa kyseistä sopimusta eikä ole osapuolena siinä.
Agencyn jäsenillä on Palvelun käyttöoikeusmallin mukaisesti pääsy kaikkien hallinnoimiensa Sivustojen tietoihin, mukaan lukien lomakelähetykset, varaukset, AI-keskustelut ja media, ellei yksittäiselle Sivustolle tai Loppuasiakkaalle ole erikseen tallennettu rajaavaa suoraa käyttöoikeutta. Agency vastaa siitä, että sen omat jäsenet käsittelevät Loppuasiakkaiden tietoja vain valtuutuksensa mukaisesti.
Agency-tason pääsy ei anna oikeutta lisätä Sivustolle luotettuina käsiteltävää sisältöä (kuten skriptejä tai iframe-upotuksia); tämä oikeus on varattu Käsittelijän kehittäjätileille.
Agency-tason rajapintatunnisteella (API-token) voidaan käyttää Agencyn hallinnoimia Sivustoja. Tunnistetta ei sidota yhteen Sivustoon, vaan kohde valitaan pyyntökohtaisesti erillisellä otsakkeella, ja palvelin hyväksyy vain Sivustot, joiden Loppuasiakas kuuluu kyseiseen Agencyyn. Jokaisessa pyynnössä tarkistetaan tunnisteen luojan tilin voimassaolo, Agencyn aktiivisuus, luojan jäsenyys Agencyssa sekä Sivuston kulloinenkin Agency. Tunniste vanhenee viimeistään vuoden kuluessa, ja se voidaan mitätöidä. Agency vastaa tunnisteidensa huolellisesta säilyttämisestä, koska sama tunniste kattaa kaikki Agencyn Sivustot.
Agencyn oma pohjakirjasto on Agencyn sisällä jaettu resurssi. Pohjaan tallennettu sisältö voi siten olla käytettävissä Agencyn muidenkin Loppuasiakkaiden Sivustoilla. Agency vastaa siitä, ettei pohjiin tallenneta henkilötietoja.
Loppuasiakkaan siirtäminen Agencylta toiselle tai pois Agencyn hallinnasta tulee voimaan välittömästi: aiemman Agencyn pääsy Sivuston tietoihin päättyy ja uuden alkaa samalla hetkellä. Siirrosta sovitaan rekisterinpitäjän kanssa etukäteen, ja se merkitään Palvelun maksajahistoriaan.
Agency vastaa siitä, että se välittää Käsittelijältä saamansa kohdan 8 mukaiset alikäsittelijämuutosilmoitukset ja kohdan 11 mukaiset tietoturvaloukkausilmoitukset omille Loppuasiakkailleen ilman aiheetonta viivytystä ja omien sopimustensa edellyttämissä määräajoissa. Agency vastaa siitä, että sen sopimukset Loppuasiakkaidensa kanssa ovat yhteensopivia kohdan 8 mukaisen ilmoitusajan kanssa.
Loppuasiakkaan kohdan 12 mukainen tarkastusoikeus toteutetaan Agencyn kautta: Loppuasiakas esittää tarkastuspyyntönsä Agencylle, joka käyttää tämän DPA:n mukaista tarkastusoikeutta Loppuasiakkaan lukuun. Käsittelijällä ei ole suoraa sopimussuhdetta Loppuasiakkaaseen.

Jos Loppuasiakas on itse Devella Oy:n sopimusasiakas ja Agency ainoastaan hallinnoi Sivustoa Loppuasiakkaan puolesta, sovelletaan kohtaa 4.1: Loppuasiakas on rekisterinpitäjä ja Käsittelijä sen henkilötietojen käsittelijä. Agencyn käyttäjät toimivat tällöin Asiakkaan valtuuttamina käyttäjinä. Asiakas vastaa siitä, että Agencylle myönnetty pääsy vastaa Asiakkaan ja Agencyn välistä sopimusta ja että Asiakkaan ja Agencyn välillä on tarvittaessa oma henkilötietojen käsittelysopimuksensa.

4.3 Devella rekisterinpitäjänä omiin tarkoituksiinsa

Devella Oy toimii itsenäisenä rekisterinpitäjänä käsitellessään Asiakkaan ja Palvelun käyttäjien tietoja omiin tarkoituksiinsa, kuten käyttäjätilien ja kirjautumisen hallintaan, laskutukseen, asiakaspalveluun, palvelun tietoturvaan ja palvelun kehittämiseen. Tätä käsittelyä koskevat tarkoitukset, oikeusperusteet ja rekisteröityjen oikeudet on kuvattu Devella Onen tietosuojaselosteessa (devella.fi/devella-one-tietosuoja). Tämä DPA ei koske tätä Devella Oy:n omaa rekisterinpitäjän roolissa tapahtuvaa käsittelyä.

Palvelun auditointiloki sisältää sekä tapahtumatietoja (tekijä, ajankohta, toiminto, kohde ja suojattu IP-tiiviste) että kuhunkin tapahtumaan liittyviä muutostietoja. Devella Oy on rekisterinpitäjä auditointilokin tapahtumatietojen osalta palvelun tietoturvan ja jäljitettävyyden vuoksi. Muutostiedot voivat kuitenkin sisältää Asiakkaan Sivustolle kerättyjen rekisteröityjen henkilötietoja (esimerkiksi lomakelähetyksen muokkaajan syöttämää sisältöä), ja niiden osalta Devella Oy toimii Asiakkaan henkilötietojen käsittelijänä, ei rekisterinpitäjänä. Muutostiedot poistetaan Sivuston kohdan 13 mukaisen fyysisen poiston yhteydessä, vaikka tapahtumarivi itsessään säilyy jäljitettävyyden vuoksi kohdassa 13 kuvatun auditointilokin säilytysajan loppuun.

5. Käsittely vain dokumentoitujen ohjeiden mukaan

Käsittelijä käsittelee henkilötietoja ainoastaan Asiakkaan (tai kohdan 4.2 mukaisessa järjestelyssä Agencyn) dokumentoitujen ohjeiden mukaisesti, ellei Käsittelijään sovellettava unionin oikeus tai jäsenvaltion lainsäädäntö muuta edellytä. Tällaisessa tapauksessa Käsittelijä ilmoittaa Asiakkaalle kyseisestä oikeudellisesta vaatimuksesta ennen käsittelyä, jollei ilmoittaminen ole kyseisen lainsäädännön mukaan kiellettyä yleistä etua koskevista tärkeistä syistä. Dokumentoiduiksi ohjeiksi katsotaan:

Osapuolten välinen palvelusopimus ja tämä DPA;
Asiakkaan Ylläpidossa itse tekemät asetukset, jotka ohjaavat käsittelyä, kuten lomakkeen säilytysaika, kalenteri-integraation asetukset tai käyttöoikeuksien myöntäminen; ja
Asiakkaan Käsittelijälle osoittamat kirjalliset tukipyynnöt.

Jos Käsittelijä katsoo, että sille annettu ohje rikkoo sovellettavaa tietosuojalainsäädäntöä, Käsittelijä ilmoittaa tästä viipymättä Asiakkaalle ennen ohjeen toteuttamista.

AI-avustajaan ei saa syöttää GDPR 9 artiklan mukaisia erityisiin henkilötietoryhmiin kuuluvia tietoja eikä muita arkaluontoisia tietoja (kuten henkilötunnuksia, maksuvälinetietoja, terveystietoja tai luottamuksellisia työsuhde- ja taloustietoja, esimerkiksi palkka-, luotto- tai arviointitietoja). Asiakas vastaa tämän rajoituksen noudattamisesta omien käyttäjiensä ja Loppuasiakkaidensa osalta.

6. Luottamuksellisuus ja henkilöstö

Käsittelijä varmistaa, että henkilöt, joilla on pääsy henkilötietoihin, ovat sitoutuneet salassapitoon joko sopimuksella tai lakisääteisen salassapitovelvollisuuden nojalla. Pääsy henkilötietoihin myönnetään vain siinä laajuudessa kuin työtehtävä edellyttää. Käsittelijän kehittäjätileiltä, joilla on pääsy kaikkien Asiakkaiden Sivustoihin, edellytetään pakollisesti monivaiheista tunnistautumista (MFA).

7. Tietoturva

Käsittelijä toteuttaa GDPR 32 artiklan mukaiset asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi. Näiden toimenpiteiden kuvaus on tämän DPA:n Liitteessä 2.

8. Alikäsittelijät

Asiakas antaa Käsittelijälle yleisen kirjallisen valtuutuksen käyttää alikäsittelijöitä henkilötietojen käsittelyssä. Käytössä olevat alikäsittelijät on lueteltu tämän DPA:n Liitteessä 3.

Käsittelijä ilmoittaa Asiakkaalle vähintään 30 päivää ennen kuin se ottaa käyttöön uuden alikäsittelijän, joka käsittelee Asiakkaan henkilötietoja. Asiakkaalla on oikeus vastustaa uuden alikäsittelijän käyttöönottoa perustellusta tietosuojasyystä ilmoittamalla siitä Käsittelijälle ilmoitusajan kuluessa. Jos Osapuolet eivät pääse asiasta yhteisymmärrykseen, kumpikin Osapuoli voi tämän vastustuksen johdosta irtisanoa palvelusopimuksen tai, jos erillistä palvelusopimusta ei ole, Palvelun tilauksen siltä osin kuin kyseinen alikäsittelijä on käytössä.

Käsittelijä vastaa alikäsittelijöidensä toiminnasta samassa laajuudessa kuin omastaan ja sopii alikäsittelijän kanssa tätä DPA:ta vastaavista henkilötietojen käsittelyä koskevista velvoitteista.

Selvyyden vuoksi todetaan, että AI-toiminnossa käytettävä kielimalli voi vaihtua OpenRouterin kautta ilman erillistä edellä kuvattua muutosilmoitusta, kunhan pyyntö reititetään Liitteessä 3 luetellulle inferenssipalveluntarjoajalle: alikäsittelijäketju ei tällöin muutu. Uuden, Liitteessä 3 luettelemattoman tarjoajan lisääminen reititysrajaukseen on sen sijaan tässä kohdassa 8 tarkoitettu uusi alikäsittelijä ja edellyttää edellä kuvatun 30 päivän muutosilmoituksen.

Asiakkaan itse valitsemat ja Sivustolle liittämät palvelut — kuten Asiakkaan oma SMTP-palvelin, Asiakkaan käyttöön ottamat analytiikkapalvelut, CAPTCHA-palvelut, upotukset tai Sivustolle injektoitu JavaScript — eivät ole Käsittelijän alikäsittelijöitä. Ne ovat Asiakkaan omia palveluntarjoajia, joiden valinnasta, käytöstä ja lainmukaisuudesta Asiakas vastaa itse.

9. Rekisteröityjen oikeudet

Käsittelijä avustaa Asiakasta rekisteröityjen oikeuksien toteuttamisessa ottaen huomioon käsittelyn luonteen. Palvelussa on tätä varten muun muassa seuraavat työkalut Asiakkaan omaan käyttöön:

Sivuston sisällön ja mediatiedostojen vienti- ja hallintatoiminnot;
lomakelähetysten, varausten ja muun kerätyn datan tarkastelu ja muokkaus Ylläpidossa; ja
lomakekohtaisesti valittava lomakelähetysten säilytysaika, jolla Asiakas voi rajata tietojen säilytystä myös rekisteröidyn pyynnön johdosta.

Koska Sivuston kävijät, lomakkeen täyttäjät, varaajat ja maksajat esittävät oikeuksiaan koskevat pyynnöt tyypillisesti tuntematta Käsittelijän roolia, pyynnöt tulee ensisijaisesti osoittaa Asiakkaalle rekisterinpitäjänä. Jos rekisteröity osoittaa pyynnön suoraan Käsittelijälle, Käsittelijä ilmoittaa pyynnöstä Asiakkaalle ilman aiheetonta viivytystä ja ohjaa rekisteröidyn Asiakkaan puoleen.

10. Avustaminen GDPR 32–36 artiklan mukaisissa velvoitteissa

Käsittelijä avustaa Asiakasta kohtuullisessa laajuudessa, ottaen huomioon käsittelyn luonteen ja Käsittelijän saatavilla olevat tiedot, seuraavien Asiakkaan velvoitteiden täyttämisessä:

tietoturvan varmistaminen (GDPR 32 artikla);
tietoturvaloukkauksesta ilmoittaminen valvontaviranomaiselle ja rekisteröidyille (GDPR 33–34 artikla);
tietosuojaa koskevan vaikutustenarvioinnin (DPIA) laatiminen (GDPR 35 artikla); ja
ennakkokuuleminen valvontaviranomaisen kanssa (GDPR 36 artikla).

Avustaminen toteutetaan pääsääntöisesti antamalla Asiakkaalle tämän DPA:n liitteissä kuvatut tiedot käsittelystä ja suojatoimista sekä vastaamalla Asiakkaan kirjallisiin lisäkysymyksiin. Avustamisvelvollisuus ei laajenna Käsittelijän vastuuta Asiakkaan omista rekisterinpitäjän velvoitteista eikä edellytä Palvelun toiminnallisuuksien laajentamista tämän DPA:n allekirjoitushetkeen nähden.

11. Tietoturvaloukkauksista ilmoittaminen

Käsittelijä ilmoittaa Asiakkaalle tietoturvaloukkauksesta ilman aiheetonta viivytystä. Käsittelijän omissa järjestelmissä havaitun loukkauksen osalta tavoitteena on ilmoittaa 48 tunnin kuluessa ja kaikissa tapauksissa viimeistään 72 tunnin kuluessa siitä, kun Käsittelijä on saanut loukkauksesta tiedon.

Ilmoitus sisältää Käsittelijän kulloinkin tiedossa olevat:

kuvauksen tietoturvaloukkauksen luonteesta;
arvion loukkauksen kohteena olevien rekisteröityjen ryhmistä ja likimääräisestä lukumäärästä sekä henkilötietotyyppien ja tietueiden lukumäärästä;
arvion loukkauksen todennäköisistä seurauksista; ja
kuvauksen jo toteutetuista ja suunnitelluista toimenpiteistä loukkauksen käsittelemiseksi ja sen haittavaikutusten lieventämiseksi.

Ilmoitus ja siihen liittyvä yhteydenpito tapahtuu kohdassa 18 yksilöidyille yhteyshenkilöille tai Osapuolen muutoin kirjallisesti ilmoittamalle yhteyshenkilölle.

12. Auditointi

Käsittelijä osoittaa tämän DPA:n mukaisten velvoitteiden noudattamisen ensisijaisesti toimittamalla Asiakkaalle tätä koskevaa dokumentaatiota ja vastaamalla kirjallisesti Asiakkaan esittämiin kysymyksiin.

Jos Käsittelijällä on kyseisenä ajankohtana voimassa oleva riippumattoman kolmannen osapuolen tekemä auditointiraportti tai tietoturvasertifiointi, Käsittelijä voi täyttää Asiakkaan tässä kohdassa tarkoitetun pyynnön toimittamalla kyseisen raportin tai sertifioinnin.

Asiakkaalla on lisäksi oikeus teettää tai suorittaa paikan päällä tehtävä tarkastus enintään kerran kalenterivuodessa. Tarkastuksesta on ilmoitettava Käsittelijälle kirjallisesti vähintään 30 päivää etukäteen, ja tarkastus toteutetaan tavalla, joka ei kohtuuttomasti häiritse Käsittelijän muiden asiakkaiden Palvelua. Tarkastuksen kustannuksista vastaa Asiakas.

Tarkastukseen sovelletaan lisäksi seuraavia ehtoja:

Asiakkaan valtuuttama ulkopuolinen tarkastaja ei saa olla Käsittelijän kilpailija. Tarkastukseen osallistuvat sitoutuvat kirjallisesti salassapitoon ennen tarkastuksen aloittamista.
Tarkastus kohdistuu siihen, noudattaako Käsittelijä tämän DPA:n mukaisia velvoitteitaan Asiakkaan henkilötietojen osalta. Tarkastus ei anna pääsyä Käsittelijän muiden asiakkaiden henkilötietoihin, tuotantojärjestelmien sisältöön eikä Palvelun lähdekoodiin siltä osin kuin pääsy vaarantaisi Palvelun tietoturvan tai muiden asiakkaiden tietojen luottamuksellisuuden. Käsittelijä osoittaa nämä seikat tällöin muulla tavoin, esimerkiksi dokumentaatiolla tai valvotulla näytöllä.
Jos tarkastuksessa havaitaan tämän DPA:n vastainen puute, Käsittelijä korjaa sen ilman aiheetonta viivytystä omalla kustannuksellaan.

Käsittelijän mahdollisuus ulottaa Asiakkaan tarkastusoikeus alikäsittelijöihinsä rajautuu siihen, mitä Käsittelijän ja kyseisen alikäsittelijän välinen sopimus sallii.

13. Käsittelyn kesto, palautus ja poisto

Käsittelijä käsittelee henkilötietoja niin kauan kuin palvelusopimus tai Palvelun tilaus on voimassa, ja sen jälkeen tässä kohdassa kuvatun poistoprosessin ajan.

Asiakas voi ennen sopimuksen päättymistä viedä Sivuston sisällön ja mediatiedostot itselleen Käsittelijän tarjoaman vientitoiminnon (kuten Devella CLI) avulla.

Lomakelähetykset poistuvat kannasta pysyvästi (kova poisto) kunkin lomakkeen voimassa olevan säilytysajan päätyttyä osana Palvelun tavanomaista ajastettua siivousta, riippumatta siitä onko sopimus voimassa. Jos lomakkeen säilytysajaksi on asetettu 0, automaattista määräaikaispoistoa ei tehdä lainkaan. Asiakkaan pyynnöstä Käsittelijä poistaa lomakelähetykset ennen säilytysajan päättymistä joko säilytysasetusta muuttamalla tai erillisenä poistotoimenpiteenä.

Mediakirjastosta poistetuksi merkitty tiedosto poistetaan lopullisesti sekä tietokannasta että tallennuspalvelusta 30 vuorokauden kuluttua poistomerkinnästä, mukaan lukien tallennuspalvelun tiedostosta mahdollisesti tallennetut aiemmat versiot. 30 vuorokauden aikana poisto on Asiakkaan pyynnöstä peruutettavissa, jos lopullista poistoa ei ole vielä suoritettu.

AI-avustajan keskustelu poistetaan pysyvästi 90 vuorokauden kuluttua keskustelun viimeisimmästä viestistä, osana Palvelun tavanomaista ajastettua siivousta.

Sopimuksen päättyessä Sivusto ja Asiakkuus merkitään poistetuiksi välittömästi. Merkintäpoisto estää Sivuston käytön ja jatkokäsittelyn, mutta ei tarkoita tietojen välitöntä fyysistä poistamista tietokannasta tai tallennuspalvelusta.

Fyysinen poisto tapahtuu 60 vuorokauden kuluessa merkintäpoistosta. Fyysisessä poistossa häviävät pysyvästi:

Sivuston sisältö, mediatiedostot ja versiohistoria, mukaan lukien tallennuspalvelun (objektivarasto) tiedostot;
lomakelähetykset liitteineen;
varaukset;
AI-avustajan keskustelut; ja
muut Sivustokohtaiset tiedot.

Fyysinen poisto ei koske seuraavia, jotka Käsittelijä säilyttää poiston jälkeenkin:

auditointilokin tapahtumatiedot, jotka Käsittelijä säilyttää enintään 12 kuukautta tapahtuman kirjaamisesta jäljitettävyyden vuoksi (Devella Oy toimii näiden tapahtumatietojen rekisterinpitäjänä kohdan 4.3 mukaisesti); tapahtumaan liittyvät muutostiedot poistetaan kuitenkin heti Sivuston fyysisen poiston yhteydessä, koska niiden osalta Devella Oy toimii Asiakkaan käsittelijänä (ks. kohta 4.3);
kirjanpitolain edellyttämät laskutustiedot; ja
tämän DPA:n hyväksyntätiedot (hyväksytty sopimusteksti, hyväksyjän käyttäjätili, ilmoitettu nimi ja asema, valtuutusvakuutus ja aikaleima), jotka Käsittelijä säilyttää osoitusvelvollisuutensa täyttämiseksi todisteena sopimuksen syntymisestä.

Aiemmin poistetusta tai merkintäpoistetusta datasta mahdollisesti jääneet kopiot poistuvat varmuuskopioista viimeistään 90 vuorokauden kuluessa niiden normaalin kierron (rotaation) myötä, ei erillisellä toimenpiteellä. Varmuuskopiot on salattu levossa palveluntarjoajan (Google Cloud) oletussalauksella.

60 vuorokauden aikana Käsittelijä voi Asiakkaan pyynnöstä peruuttaa poiston ja palauttaa Sivuston käyttöön, jos fyysistä poistoa ei ole vielä suoritettu.

Edellä kuvattu kuvaa Palvelun teknistä toteutusta tämän DPA:n voimaantulohetkellä. Käsittelijä ei säilytä henkilötietoja pidempään kuin edellä kuvattu prosessi tai sovellettava laki edellyttää.

14. Siirrot kolmansiin maihin

Henkilötietojen siirtoja Euroopan unionin ja Euroopan talousalueen ulkopuolelle sekä niihin sovellettavia siirtoperusteita on kuvattu tämän DPA:n Liitteessä 4.

15. Vastuu ja vahingonkorvaus

Kummankin Osapuolen vastuu tämän DPA:n rikkomisesta määräytyy ensisijaisesti Osapuolten välisen palvelusopimuksen vastuuta ja vastuunrajoituksia koskevien ehtojen mukaan, jos Devella Oy:n ja Asiakkaan välillä on kohdassa 2 tarkoitettu erillinen kirjallinen palvelusopimus.

Jos Devella Oy:n ja Asiakkaan välillä ei ole tällaista erillistä palvelusopimusta, Käsittelijän kokonaisvastuu tämän DPA:n perusteella rajoittuu määrään, joka vastaa Asiakkaan Palvelusta maksamia palvelumaksuja vastuuperusteen syntymistä edeltäneiden kahdentoista (12) kuukauden ajalta.

Edellä kuvattu vastuunrajoitus ei koske: rekisteröidyn GDPR 82 artiklan mukaista oikeutta korvaukseen; valvontaviranomaisen määräämiä hallinnollisia seuraamusmaksuja siltä osin kuin ne johtuvat Osapuolen omasta laiminlyönnistä; eikä vahinkoa, joka on aiheutettu tahallisesti tai törkeällä huolimattomuudella. Kumpikaan Osapuoli ei vastaa toiselle Osapuolelle aiheutuneista välillisistä vahingoista, ellei pakottavasta lainsäädännöstä muuta johdu.

Kun Asiakas toimii kohdassa 4.2 tarkoitettuna Agencynä, Agency vastaa Käsittelijälle vaatimuksista, joita Loppuasiakkaat tai näiden rekisteröidyt esittävät Käsittelijää kohtaan ja jotka johtuvat Agencyn omasta laiminlyönnistä tai siitä, ettei Agencylla ollut kohdassa 4.2 edellytettyä Loppuasiakkaan valtuutusta.

16. Voimassaolo ja muutokset

Tämä DPA on voimassa niin kauan kuin Käsittelijä käsittelee henkilötietoja Asiakkaan lukuun, riippumatta palvelusopimuksen muusta voimassaolosta.

Käsittelijä voi päivittää tätä DPA:ta esimerkiksi lainsäädännön muutosten, valvontaviranomaisen ohjeistuksen tai Palvelun kehittymisen johdosta. Muutokset käsitellään seuraavasti:

Olennainen muutos — esimerkiksi Osapuolten oikeuksien tai velvollisuuksien, vastuunjaon tai käsittelyn tarkoituksen muutos — edellyttää Asiakkaan uutta, kohdan 18 mukaista hyväksyntää Ylläpidossa. Kunnes Asiakas on hyväksynyt uuden version, Osapuolten välillä sovelletaan sitä DPA:n versiota, jonka Asiakas on viimeksi hyväksynyt ja jonka teksti tiivisteineen on tallennettu kohdan 18 mukaisesti.
Muu kuin olennainen muutos, kuten tekninen tarkennus tai kohdassa 8 tarkoitetun alikäsittelijälistan päivitys, tulee voimaan 30 päivän kuluttua siitä, kun Käsittelijä on ilmoittanut muutoksesta Asiakkaalle, ellei Asiakas tätä ennen vastusta muutosta perustellusta tietosuojasyystä. Jos Asiakas vastustaa, sovelletaan kohdan 8 mukaista menettelyä soveltuvin osin, mukaan lukien siinä kuvattu Osapuolten irtisanomisoikeus.
Käsittelijän lakisääteisestä velvoitteesta suoraan johtuva muutos tulee voimaan kyseisen lainsäädännön edellyttämässä aikataulussa riippumatta edellä kuvatusta.

Kukin versio yksilöidään version numerolla ja voimaantulopäivällä tämän asiakirjan alussa.

17. Sovellettava laki ja riidanratkaisu

Tähän DPA:han sovelletaan Suomen lakia. Tästä DPA:sta aiheutuvat erimielisyydet pyritään ensisijaisesti ratkaisemaan Osapuolten välisin neuvotteluin. Jos neuvotteluin ei päästä ratkaisuun, erimielisyys ratkaistaan Keski-Pohjanmaan käräjäoikeudessa ensimmäisenä oikeusasteena.

18. Osapuolet ja hyväksyntä

Tämä DPA hyväksytään Ylläpidossa tehtävällä organisaatiotason sähköisellä hyväksynnällä. Hyväksyntä on organisaatiotason hyväksyntä eikä sitä korvaa kohdassa 2 tarkoitettu Ylläpidon käyttäjäkohtainen käyttöehtojen hyväksyntä, eikä käyttöehtojen hyväksyntä korvaa tätä.

Hyväksynnän voi tehdä henkilö, joka vakuuttaa Palvelulle, että hänellä on nimenkirjoitusoikeus tai siihen rinnastettava valtuutus sitoa edustamansa organisaatio (Asiakas) tähän DPA:han. Palvelu tallentaa hyväksynnän todisteeksi ainakin seuraavat tiedot: hyväksyjän käyttäjätilin, hyväksyjän ilmoittaman nimen ja aseman, hänen antamansa valtuutusvakuutuksen, hyväksymisen aikaleiman, hyväksytyn DPA:n version, hyväksymishetken sopimustekstin sellaisenaan sekä sen SHA-256-tarkistetiivisteen.

Tämä DPA tulee Asiakkaan osalta voimaan hyväksymispäivänä.

Tieto	Käsittelijä
Nimi	Devella Oy
Y-tunnus	3288286-1
Yhteyshenkilö	Panu Haaraniemi
Sähköposti	panu.haaraniemi@devella.fi

Liite 1 — Käsittelyn kuvaus

Tämä liite kuvaa käsittelyn GDPR 28 artiklan 3 kohdan mukaisesti.

Käsittelyn kohde ja kesto

Käsittelyn kohteena on Devella One -palvelun tuottaminen Asiakkaalle, mukaan lukien Sivuston ylläpito, lomakkeet, ajanvaraus, maksaminen, AI-avustaja ja kalenteri-integraatiot. Käsittely kestää palvelusopimuksen voimassaolon ajan sekä kohdassa 13 kuvatun poistoprosessin ajan sen päättymisen jälkeen.

Käsittelyn luonne ja tarkoitus

Käsittelyn tarkoituksena on mahdollistaa Sivuston toiminta ja Asiakkaan Sivustolle keräämien tietojen tallentaminen, näyttäminen, muokkaaminen ja hallinnointi Ylläpidossa Asiakkaan valitsemien ominaisuuksien mukaisesti.

Rekisteröityjen ryhmät

Sivuston kävijät, lomakkeen täyttäjät, varaajat ja maksajat;
Asiakkaan ja tarvittaessa Agencyn Ylläpitoa käyttävät henkilöt; ja
kalenteri-integraation Palveluun yhdistävät henkilöt.

Henkilötietoryhmät

käyttäjä- ja tilitiedot (esimerkiksi nimi, sähköposti, rooli, kirjautumis- ja tunnistautumistiedot);
Sivuston sisältö ja mediatiedot;
lomakelähetykset;
varaukset;
maksutapahtumat (ei maksuvälineen salaisia tunnistetietoja);
tekniset ja turvallisuustiedot (esimerkiksi suojatut IP-tiivisteet, istunto- ja lokitiedot);
AI-avustajan tiedot (Ylläpidon käyttäjien keskustelut ja niihin liittyvä sisältö);
kalenteri-integraation tiedot; ja
Agency-jäsenyydet ja niihin liittyvät laskutustiedot, silloin kun kohtaa 4.2 sovelletaan.

Erityiset henkilötietoryhmät

Palvelua ei ole suunniteltu eikä tarkoitettu GDPR 9 artiklassa tarkoitettujen erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyyn. Jos Asiakas kerää tällaisia tietoja omilla lomakkeillaan tai muulla sisällöllään, Asiakas vastaa siitä, että käsittelylle on asianmukainen oikeusperuste ja että käsittely on muutoin lainmukaista. AI-avustajan osalta tällaisten ja muiden arkaluontoisten tietojen syöttäminen on kokonaan kielletty kohdassa 5 kuvatulla tavalla.

Käsittelytoimet

Käsittelyyn kuuluu henkilötietojen tallentaminen, säilyttäminen, muokkaaminen, näyttäminen Ylläpidossa ja Sivustolla, välittäminen Liitteessä 3 kuvatuille alikäsittelijöille sekä poistaminen.

Säilytysajat

Tietoryhmä	Säilytysaika
Lomakelähetykset	oletus 365 vrk, Asiakkaan lomakekohtaisesti valittavissa 0–3650 vrk
Sähköpostien toimitusloki (email_log)	180 vrk
Ylläpidon istunto	30 vrk liukuva, enintään 90 vrk absoluuttinen
Sisällön autosave-revisiot	7 vrk
Julkisen sivuston evästesuostumus (dv:consent)	180 vrk, tallennetaan kävijän omaan selaimeen
Sivuston sisältö ja versiohistoria	asiakassuhteen ajan; fyysinen poisto 60 vrk kuluessa sopimuksen päättymisen merkintäpoistosta (ks. kohta 13)
Mediatiedostot	asiakassuhteen ajan; mediakirjastosta poistettu tiedosto poistetaan tietokannasta ja tallennuspalvelusta, mukaan lukien aiemmat versiot, 30 vrk kuluttua poistomerkinnästä (ks. kohta 13)
AI-avustajan keskustelut	90 vrk keskustelun viimeisimmästä viestistä (ks. kohta 13)
Auditointiloki	tapahtumatiedot enintään 12 kk tapahtumasta; muutostiedot poistetaan Sivuston fyysisen poiston yhteydessä (ks. kohta 4.3 ja kohta 13)
Agency-jäsenyydet ja agency-tason rajapintatunnisteet	jäsenyyden tai tunnisteen voimassaolon ajan; tunniste enintään 365 vrk

Liite 2 — Tekniset ja organisatoriset toimet

Tämä liite kuvaa GDPR 32 artiklan mukaiset toimenpiteet, jotka Käsittelijä on toteuttanut Palvelun toteutuksessa.

Pääsynhallinta ja tunnistautuminen

Salasanat tallennetaan Argon2id-tiivisteinä, ja kirjautumisen vertailu tehdään vakioaikaisesti myös silloin, kun tiliä ei ole olemassa, jotta tilin olemassaolo ei paljastu.
Ylläpidon istunto on opaakki tunniste, joka tallennetaan kantaan yksisuuntaisena tiivisteenä. Istuntoeväste on HttpOnly, Secure ja SameSite=Lax, ja tuotannossa käytetään __Host--etuliitettä. Erillinen CSRF-tarkistuseväste on tarkoituksella luettavissa ylläpidon käyttöliittymästä, koska sen arvo lähetetään pyynnön otsakkeessa; se ei sisällä henkilötietoja eikä yksinään anna pääsyä Palveluun.
Sivustopyyntöjen väärentämistä (CSRF) torjutaan Origin/Referer-tarkistuksella ja erillisellä tarkistustunnisteella jokaisessa muutosta tekevässä pyynnössä.
Monivaiheinen tunnistautuminen (TOTP) on tarjolla ja se on pakollinen Käsittelijän kehittäjätileille.
Arkaluontoiset toimet edellyttävät vasta äskettäin (alle 15 minuuttia sitten) tehtyä uudelleentunnistautumista.
API-tunnisteet tallennetaan kannassa vain yksisuuntaisena tiivisteenä; koko tunniste näytetään käyttäjälle vain kerran luontihetkellä.
Kirjautumisyrityksiä rajoitetaan sekä sähköpostiosoitteen että lähde-IP:n perusteella, ja toistuvat epäonnistuneet yritykset johtavat tilikohtaiseen määräaikaiseen lukitukseen.

Salaus

Tiedonsiirto suojataan TLS:llä.
Arkaluontoiset salaisuudet (kuten Asiakkaan SMTP-salasanat, kalenteri-integraation OAuth-tunnukset ja maksuintegraatioiden tunnisteet) salataan levossa vahvalla, versioidulla avainten hallinnalla, jossa salattu arvo on sidottu kohteensa tunnisteeseen eikä sitä voi kopioida toiselle riville.
Lomakelähettäjän IP-osoitetta ei tallenneta raakamuodossa: siitä muodostetaan suojattu tiiviste (HMAC).

Vuokraajaeristys

Sivustokohtainen tietojen eristys (moniasiakasympäristö) on toteutettu kolmella toisiaan täydentävällä kerroksella:

tietokantatason apurutiinit edellyttävät aina voimassa olevaa sivustotunnistetta eivätkä voi muodostaa hakuehtoa ilman sitä;
koodikatselmointia ja -laatua tukeva automaattinen sääntö kieltää suorat tietokantakyselyt vuokraajakohtaisiin tauluihin sovelluksen muualla kuin tähän tarkoitukseen varatuissa apurutiineissa; ja
automatisoitu testisarja ajaa Ylläpidon rajapinnat läpi väärässä sivustokontekstissa ja varmistaa, ettei tietoja palaudu.

Syötteen puhdistus ja sisällön turvallisuus

Sivuston sisällölle tehdään tallennusvaiheessa HTML-puhdistus, joka poistaa oletuksena skriptit, iframet ja muut mahdollisesti haitalliset elementit; laajemmat oikeudet on rajattu Käsittelijän kehittäjätileille.
Ladatut SVG-tiedostot puhdistetaan aina erikseen ennen tallennusta.
Sivuston sisällön mahdollinen mallipohjakieli (Liquid) suoritetaan aikarajoitetussa hiekkalaatikossa.
Ladattavat mediatiedostot tarkistetaan sallittujen tiedostotyyppien listaa vasten, tiedostokoolle on yläraja, ja rasterikuvien EXIF-metatiedot (mukaan lukien sijaintitiedot) poistetaan aina uudelleenkoodauksen yhteydessä.

Lokitus ja jäljitettävyys

Ylläpidon toimista pidetään auditointilokia, joka sisältää tekijän, mahdollisen impersoinnin tekijän, toiminnon, kohteen ja muutostiedot sekä suojatun IP-tiivisteen.
Ennen tallennusta lokimerkinnöistä poistetaan (redaktoidaan) kentät, jotka vaikuttavat sisältävän salasanoja, salaisuuksia tai muita tunnistetietoja niiden nimen perusteella.
Käsittelijän henkilöstön suorittama impersonointi (kirjautuminen Asiakkaan käyttäjänä tukitilanteessa) edellyttää perustelun kirjaamista auditointilokiin ja äskettäistä uudelleentunnistautumista, ja se näkyy lokissa erikseen todellisen toimijan tunnisteella.

Saatavuus ja palautuminen

Palvelun ja asiakasdomainien tilaa seurataan ajastetulla teknisellä tarkistuksella, ja julkaisuprosessi odottaa terveystarkistuksen läpäisyä ennen muutosten voimaan saattamista.
Tietokannasta otetaan säännöllinen varmuuskopio (mysqldump), joka siirretään erilliseen tallennustilaan. Mediatiedostojen tallennustilassa on käytössä objektiversiointi, ja välimuistipalvelun tila varmuuskopioidaan omalla mekanismillaan. Varmuuskopioita säilytetään enintään 90 vuorokautta, minkä jälkeen ne poistuvat niiden normaalin kierron (rotaation) myötä; aiemmin poistetun tai merkintäpoistetun datan kopiot häviävät siten varmuuskopioista viimeistään 90 vuorokauden kuluessa. Varmuuskopiot on salattu levossa palveluntarjoajan (Google Cloud) oletussalauksella. Palautusharjoitusten tiheydestä ei anneta tässä DPA:ssa erillistä sitoumusta.

Kehitys- ja julkaisukäytännöt

Palvelulle ylläpidetään automatisoitua testisarjaa sekä koodin tyyli- ja tyyppitarkistuksia, jotka ajetaan kehitysprosessin aikana ennen muutosten julkaisua.
Kehitys-, testaus- ja tuotantoympäristöt on eriytetty toisistaan.

Alikäsittelijöiden hallinta

Käsittelijä pitää yllä listaa käyttämistään alikäsittelijöistä (Liite 3) ja arvioi niiden käyttöä osana Palvelun kehittämistä. AI-toimintoon liittyville taustapalveluntarjoajille välitettävän datan käsittelyä rajoitetaan pakottamalla jokaiseen pyyntöön asetus, jolla kielletään tietojen käyttö mallien kouluttamiseen. Lisäksi OpenRouter on sitoutunut Zero Data Retention -käytäntöön, jonka mukaan API-kuormia ei säilytetä pysyvästi pyynnön ja vastauksen valmistuttua, lukuun ottamatta hetkellistä muistinvaraista käsittelyä, lyhytaikaista puskurointia ja lain edellyttämien tietojen säilyttämistä. OpenRouter toteaa itse, ettei inferenssipalveluntarjoajan merkitseminen Zero Data Retention -kelpoiseksi ole OpenRouterin takuu kyseisen inferenssipalveluntarjoajan vaatimustenmukaisuudesta; Käsittelijä ei siten takaa yksittäisen inferenssipalveluntarjoajan käytäntöjä, vaan asettaa vaatimuksen ja reitittää sen mukaisesti.

Liite 3 — Alikäsittelijät

Tässä liitteessä luetellut alikäsittelijät osallistuvat henkilötietojen käsittelyyn siltä osin kuin niiden edustama toiminnallisuus on käytössä. Lista on päivätty, ja sen ajantasainen versio julkaistaan tällä sivulla. Lista päivitetty 14.9.2026.

Sijaintisarake kuvaa palveluntarjoajan pääasiallisen käsittelysijainnin, ja Siirtoperuste-sarake kertoo, millä perusteella käsittely Euroopan talousalueen ulkopuolella tapahtuu; ks. tarkemmin Liite 4. Kunkin palveluntarjoajan sopimusosapuoli, käsittelysijainnit ja siirtoperusteet on varmistettava kyseisen palveluntarjoajan voimassa olevasta tietojenkäsittelysopimuksesta. OpenRouterin voimassa oleva alikäsittelijälista julkaistaan osoitteessa trust.openrouter.ai, ja Käsittelijä seuraa sitä. OpenRouterin oman tietojenkäsittelysopimuksen mukainen 30 päivän ennakkoilmoitus uusista alikäsittelijöistä ei koske inferenssipalveluntarjoajia; niiden osalta sovelletaan alla kuvattua reititysrajausta ja kohdan 8 mukaista Käsittelijän omaa, tätä tiukempaa sitoumusta.

Alikäsittelijä	Palvelu / käyttötarkoitus	Käsiteltävät tiedot	Sijainti	Siirtoperuste	Pakollinen vai valinnainen
Google Cloud	Palvelininfrastruktuuri (virtuaalikone) sekä mediatiedostojen ja varmuuskopioiden tallennus	kaikki Palvelun kautta käsiteltävät tiedot palvelininfrastruktuurin osalta; mediatiedostot ja tietokannan varmuuskopiot	europe-north1 (Suomi, EU/ETA)	Ei siirtoa ETA:n ulkopuolelle	Pakollinen
Mailgun (EU-alue)	Järjestelmä- ja lomakesähköpostien välitys, jos Asiakas ei ole ottanut käyttöön omaa SMTP-palvelinta	viestin vastaanottaja (suojattuna tunnisteena), lähettäjä, aihe, toimitustila	EU	Ei siirtoa ETA:n ulkopuolelle	Oletus (korvautuu Asiakkaan omalla SMTP-palvelimella, jos sellainen otetaan käyttöön — ks. Asiakkaan omat palveluntarjoajat)
OpenRouter	AI-avustajan pyyntöjen välitys valitulle inferenssipalveluntarjoajalle; jokaisessa pyynnössä pakotetaan `data_collection: 'deny'`	AI-avustajan keskustelusisältö ja siihen liittyvä Ylläpidon käyttäjän syöttämä tai valitsema sisältö	Yhdysvallat	Vakiosopimuslausekkeiden moduuli 2 (ks. Liite 4)	Valinnainen kokonaisuutena (AI-toiminto), pakollinen välittäjä AI-toiminnon ollessa käytössä
Stripe	Verkkomaksujen käsittely, jos Asiakas ottaa käyttöön	maksun summa, valuutta, tapahtuma- ja viitetunnisteet, maksun tila; ei maksukortin numeroa	Irlanti ja Yhdysvallat	Riittävyyspäätös (EU–US Data Privacy Framework) tai vakiosopimuslausekkeet kyseisen palveluntarjoajan tietojenkäsittelysopimuksen mukaisesti	Valinnainen
Paytrail	Verkkomaksujen käsittely, jos Asiakas ottaa käyttöön	maksun summa, valuutta, tapahtuma- ja viitetunnisteet, maksun tila; ei maksukortin numeroa	Suomi	Ei siirtoa ETA:n ulkopuolelle	Valinnainen
Google (Google Calendar)	Kalenteri-integraatio, jos Ylläpidon käyttäjä yhdistää oman tilinsä	yhdistetyn tilin sähköposti, kalenteriluettelo, vapaa–varattu-tiedot, Palvelun luomat kalenteritapahtumat, OAuth-tunnukset salattuina	EU ja Yhdysvallat	Riittävyyspäätös (EU–US Data Privacy Framework) tai vakiosopimuslausekkeet kyseisen palveluntarjoajan tietojenkäsittelysopimuksen mukaisesti	Valinnainen
Microsoft (Microsoft Entra ID / Graph)	Kalenteri-integraatio, jos Ylläpidon käyttäjä yhdistää oman tilinsä	yhdistetyn tilin sähköposti, kalenteriluettelo, vapaa–varattu-tiedot, Palvelun luomat kalenteritapahtumat, OAuth-tunnukset salattuina	EU ja Yhdysvallat	Riittävyyspäätös (EU–US Data Privacy Framework) tai vakiosopimuslausekkeet kyseisen palveluntarjoajan tietojenkäsittelysopimuksen mukaisesti	Valinnainen
Cloudflare (Turnstile)	Lomakkeiden väärinkäytösten torjunta, jos Asiakas ottaa käyttöön	lomakkeen lähettäjän varmennuspyyntöön liittyvät tekniset tiedot	Yhdysvallat	Riittävyyspäätös (EU–US Data Privacy Framework) tai vakiosopimuslausekkeet kyseisen palveluntarjoajan tietojenkäsittelysopimuksen mukaisesti	Valinnainen
hCaptcha	Lomakkeiden väärinkäytösten torjunta, jos Asiakas ottaa käyttöön	lomakkeen lähettäjän varmennuspyyntöön liittyvät tekniset tiedot	Yhdysvallat	Riittävyyspäätös (EU–US Data Privacy Framework) tai vakiosopimuslausekkeet kyseisen palveluntarjoajan tietojenkäsittelysopimuksen mukaisesti	Valinnainen

OpenRouterin inferenssipalveluntarjoajat

Seuraavat inferenssipalveluntarjoajat ajavat AI-avustajan käyttämiä kielimalleja OpenRouterin reitittäminä. Ne ovat OpenRouterin alikäsittelijöitä, joiden kanssa OpenRouter on solminut kirjallisen tietojenkäsittelysopimuksen ja joiden toiminnasta OpenRouter vastaa Käsittelijälle omassa tietojenkäsittelysopimuksessaan. Käsittelijä on rajannut OpenRouter-tilinsä reitityksen näihin tarjoajiin ja pakottaa jokaiseen pyyntöön Zero Data Retention -vaatimuksen, jolloin OpenRouter reitittää pyynnön vain tarjoajalle, joka on OpenRouterin rekisterissä ZDR-kelpoinen. Useita tarjoajia käytetään palvelun saatavuuden varmistamiseksi. Kaikki luetellut tarjoajat sijaitsevat Yhdysvalloissa eivätkä käytä aineistoa mallien kouluttamiseen. Mallien julkaisijat (esimerkiksi DeepSeek tai Qwen) eivät ole alikäsittelijöitä, eikä pyyntöjä reititetä niiden omiin rajapintoihin; avoimien painojen mallit ajetaan yksinomaan tässä luetelluilla tarjoajilla. Uuden tarjoajan lisääminen reititysrajaukseen on kohdan 8 mukainen uusi alikäsittelijä.

Tarjoaja	Sijainti	ZDR-kelpoinen	Siirtoperuste
Anthropic	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)
Baseten	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)
Crusoe	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)
DeepInfra	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)
Fireworks	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)
Google AI Studio	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)
Google Vertex	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)
Makora	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)
Modal	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)
NovitaAI	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)
OpenAI	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)
SpaceXAI	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)
Venice	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)
Wafer	Yhdysvallat	Kyllä	OpenRouterin alikäsittelijäsopimus (ks. Liite 4)

Asiakkaan omat palveluntarjoajat

Seuraavat palvelut eivät ole Käsittelijän alikäsittelijöitä, vaan Asiakkaan itsensä valitsemia ja hallinnoimia palveluntarjoajia, joista Asiakas vastaa itse:

Asiakkaan oma SMTP-palvelin, jos Asiakas on ottanut sen käyttöön Mailgunin sijaan;
Asiakkaan käyttöön ottamat analytiikka- ja markkinointipalvelut, kuten Google Analytics (GA4), Google Tag Manager, Meta Pixel, LinkedIn Insight, Matomo, Hotjar ja Microsoft Clarity;
Google Fonts tai muut Asiakkaan valitsemat ulkoiset fonttipalvelut;
Asiakkaan Sivustolle injektoima JavaScript ja Asiakkaan lisäämät kolmannen osapuolen upotukset.
Ylläpidon käyttäjän itse myöntämät etäyhteydet, kuten ChatGPT- tai Claude-mobiilisovelluksen yhteys Palveluun. Tällöin käyttäjä antaa suostumuksellaan kyseisen sovelluksen tarjoajalle pääsyn valitsemansa Sivuston sisältöön oman roolinsa rajoissa. Yhteydet näkyvät Ylläpidossa ja ne voidaan peruuttaa.

Liite 4 — Siirrot Euroopan unionin ja Euroopan talousalueen ulkopuolelle

Palvelun ensisijainen tuotantoinfrastruktuuri sijaitsee EU-alueella, ja Käsittelijä (Devella Oy) on sijoittautunut Suomeen. Asiakkaan ja Käsittelijän välillä ei tässä tarkoitettua siirtoa kolmanteen maahan tapahdu silloin, kun myös Asiakas on sijoittautunut Euroopan talousalueelle. Vakiosopimuslausekkeiden moduuli 2 (rekisterinpitäjä siirtäjänä, käsittelijä vastaanottajana) tulee Asiakkaan ja Käsittelijän väliseen suhteeseen sovellettavaksi vain siinä tilanteessa, että Asiakas itse on sijoittautunut Euroopan talousalueen ulkopuolelle.

Siirrot Euroopan talousalueen ulkopuolelle tapahtuvat sen sijaan Käsittelijän ja sen Liitteessä 3 lueteltujen alikäsittelijöiden välillä — erityisesti AI-mallipalveluiden sekä osan maksu- ja CAPTCHA-palveluiden osalta. Tällaisten siirtojen osalta Käsittelijä nojaa kunkin alikäsittelijän kanssa johonkin seuraavista perusteista:

Euroopan komission riittävyyspäätös, esimerkiksi EU:n ja Yhdysvaltojen tietosuojakehys (EU–US Data Privacy Framework), kun kyseinen alikäsittelijä on sertifioitu sen piiriin;
OpenRouterin osalta OpenRouterin ja sen asiakkaiden (mukaan lukien Käsittelijän) väliseen tietojenkäsittelysopimukseen viittauksella sisällytetty Euroopan komission vakiosopimuslausekkeiden moduuli 2 (rekisterinpitäjältä käsittelijälle): tässä järjestelyssä Käsittelijä on tietojen viejä ja OpenRouter tietojen tuoja, sovellettava laki on Irlanti ja toimivaltainen tuomioistuin Dublin, ja lausekkeiden Annex I ja Annex II ovat OpenRouterin omat Schedule 1- ja Schedule 2 -liitteet; tai
muiden alikäsittelijöiden osalta kyseisen alikäsittelijän tietojenkäsittelysopimuksessa määritetty siirtoperuste: Euroopan komission riittävyyspäätös (EU–US Data Privacy Framework) tai vakiosopimuslausekkeet siinä moduulissa, jonka kyseinen sopimus määrittää, tarvittaessa lisäsuojatoimin. Siirtoperuste on merkitty kunkin alikäsittelijän kohdalle Liitteeseen 3.

OpenRouterin inferenssipalveluntarjoajien osalta siirtoperuste muodostuu Käsittelijän ja OpenRouterin välisistä vakiosopimuslausekkeista sekä OpenRouterin ja kunkin tarjoajan välisestä alikäsittelijäsopimuksesta, josta OpenRouter vastaa Käsittelijälle.

Selvyyden vuoksi todetaan, että Käsittelijä toimii omiin Asiakkaisiinsa nähden henkilötietojen käsittelijänä. OpenRouterin oma sopimusrakenne kuitenkin määrittää OpenRouterin ja sen asiakkaiden — mukaan lukien Käsittelijän — välillä sovellettavaksi moduulin 2. Käsittelijä on osana siirtovaikutusten arviointiaan katsonut tämän riittäväksi suojatoimeksi kyseisen siirron osalta.

Käsittelijä on tehnyt siirtovaikutusten arvioinnin OpenRouterin ja sen kautta käytettävien yhdysvaltalaisten inferenssipalveluntarjoajien osalta sekä erikseen muiden Liitteessä 3 lueteltujen ETA:n ulkopuolisten alikäsittelijöiden osalta. OpenRouterin osalta lausekkeiden Annex I ja Annex II ovat OpenRouterin oman tietojenkäsittelysopimuksen mukaiset Schedule 1- ja Schedule 2 -liitteet, ei tämän DPA:n liitteet.