1. Osapuolet, soveltamisala ja roolit
Tämä tietojenkäsittelysopimus (”DPA”) on osa käyttöehtoja Tatic ApS:n (CVR 42532940), Mejsevej 2, Hadbjerg, 8370 Hadsten, Tanska, joka harjoittaa open-banking.io-toimintaa aputoiminimellä OpenBanking IO ApS (”Käsittelijä”, ”me”), ja palvelua käyttävän yritysasiakkaan (”Rekisterinpitäjä”, ”sinä”) välillä.
Sitä sovelletaan yleisen tietosuoja-asetuksen (GDPR) 28 artiklan mukaisesti aina, kun yhdistät pankkitilejä, joiden tiliotteet tai tapahtumat sisältävät henkilötietoja (kuten vastapuolten nimiä, IBAN-tilinumeroita, palkkoja tai maksuviitteitä). Kysymykset: privacy@open-banking.io.
2. Käsittelyn luonne, tarkoitus ja kesto
Käsittelemme henkilötietoja yksinomaan open-banking.io-palvelun tarjoamiseksi: tili- ja tapahtumatietojen noutamiseksi PSD2-rajapintojen kautta synkronointien aikana, arkaluonteisten pankkitietojen salaamiseksi rekisteröidyllä julkisella avaimellasi, syntyvien tietueiden ja rakenteellisten synkronointimetatietojen tallentamiseksi sekä niiden toimittamiseksi sinulle verkkosovelluksen ja API:n kautta.
Käsittely jatkuu niin kauan kuin tilisi on aktiivinen ja päättyy, kun poistat yksittäisen pankkitilin tai poistat käyttäjätilisi.
3. Rekisteröityjen ryhmät ja henkilötietoryhmät
- Rekisteröidyt: tilinhaltijat, vastapuolet, asiakkaat, toimittajat ja työntekijät, joiden tiedot esiintyvät yhdistetyillä pankkitileilläsi ja tiliotteissasi, sekä tilisi valtuutetut käyttäjät.
- Henkilötiedot: tilitunnisteet (IBAN, BBAN, tilinumerot), tilinhaltijoiden ja vastapuolten nimet, tapahtumasummat, viestit ja maksuviitteet (sinetöityinä julkisella avaimellasi sen rekisteröinnin jälkeen) sekä synkronointiin, duplikaattien estoon ja PSD2-vaatimustenmukaisuuteen tarvittavat rakenteelliset metatiedot (pankkitunniste, valuutta, kirjaus-/arvopäivät, salatut istunto-/tili-UID:t, käyttäjän IP-osoite ja User-Agent käyttäjän käynnistämissä synkronoinneissa sekä 90 päivän API- ja synkronointilokit).
Emme koskaan kerää, näe tai tallenna pankkitunnuksiasi.
4. Dokumentoidut ohjeet ja asiakaspuolen salaus
Käsittelemme henkilötietoja vain dokumentoitujen ohjeidesi mukaisesti — eli palvelun ja API:n asetustesi ja käyttösi perusteella — ellei EU:n tai Tanskan lainsäädäntö toisin vaadi.
Kun olet rekisteröinyt julkisen ECDH P-256 -avaimen, Enable Bankingin kautta noudetut arkaluonteiset pankkitiedot (tilinhaltijoiden ja vastapuolten nimet, IBAN/BBAN, tapahtumasummat, viestit ja raaka pankki-JSON) sinetöidään julkisella avaimellasi (väliaikainen ECDH P-256 + HKDF-SHA256 + AES-256-GCM), jolloin emme voi purkaa niiden salausta levossa, ellet nimenomaisesti ota käyttöön tilapäistä tukivianmääritystä rajatuksi ajaksi.
5. Luottamuksellisuus ja turvatoimet (GDPR 32 artikla)
Kaikkia henkilöitä, joilla on valtuuksemme käyttää infrastruktuuria, sitoo tiukka salassapitovelvollisuus.
Toteutamme riskiin nähden asianmukaiset tekniset ja organisatoriset toimenpiteet:
- Päästä päähän -kirjekuorisalaus avaimilla, jotka luodaan ja säilytetään omilla laitteillasi tai järjestelmissäsi
- TLS 1.2/1.3 -salaus kaikelle siirrettävälle tiedolle
- Palvelinkäyttö ISO/IEC 27001:2022 -sertifioiduissa EU-datakeskuksissa tiukoilla Kubernetes-verkkokäytännöillä ja vähimpien oikeuksien periaatteella
- Eurooppalainen DDoS-suojaus, verkkosovelluspalomuuri (WAF) ja nopeudenrajoitus verkon reunalla
6. Valtuutetut alikäsittelijät
Annat yleisen kirjallisen ennakkoluvan seuraaville eurooppalaisille alikäsittelijöille:
- Enable Banking Oy (Espoo, Suomi) — PSD2-tilitietopalvelun tarjoaja (AISP), jota valvoo Suomen Finanssivalvonta (FIN-FSA).
- Hetzner (Hetzner Online GmbH / Hetzner Finland Oy, Saksa ja Suomi) — ISO/IEC 27001:2022 -sertifioitu datakeskuspalvelu ja tallennus.
- Bunny.net (BunnyWay d.o.o., Ljubljana, Slovenia) — DDoS-suojaus, WAF, DNS ja reunaverkko eurooppalaisella infrastruktuurilla.
- Stripe (Stripe Payments Europe, Ltd., Irlanti) — maksujen käsittely ja laskutus.
Sitoutamme jokaisen alikäsittelijän tietosuojavelvoitteisiin, jotka ovat vähintään yhtä suojaavia kuin tämä DPA, ja vastaamme niiden suorituksesta. Ilmoitamme sinulle sähköpostitse ennen alikäsittelijän lisäämistä tai vaihtamista, jotta voit vastustaa muutosta sulkemalla tilisi ennen sen voimaantuloa.
7. Tietojen sijainti EU:ssa ja kansainväliset siirrot
Kaikki pankki- ja tilitiedot tallennetaan ja käsitellään yksinomaan Euroopan unionin ja ETA:n alueella (Saksassa, Suomessa ja eurooppalaisessa reunainfrastruktuurissa). Emme siirrä pankkitietojasi EU/ETA-alueen ulkopuolelle.
8. Avustaminen, tietoturvaloukkauksista ilmoittaminen ja auditoinnit
Koska pankkitietosi ovat suoraan käytettävissäsi sovelluksen ja API:n kautta, voit viedä tai poistaa tietueita milloin tahansa. Käsittelyn luonne huomioon ottaen avustamme sinua osoitteeseen privacy@open-banking.io lähetetystä pyynnöstä rekisteröityjen pyynnöissä, tietoturva-arvioinneissa ja DPIA-kyselyissä.
Ilmoitamme sinulle ilman aiheetonta viivytystä — ja viimeistään 48 tunnin kuluessa asiasta tiedon saatuamme — kaikista tiliisi vaikuttavista henkilötietojen tietoturvaloukkauksista GDPR:n 33 artiklan edellyttämillä tiedoilla.
Toimitamme kaikki kohtuudella tarvittavat tiedot GDPR:n 28 artiklan noudattamisen osoittamiseksi ja sallimme auditoinnit tai tarkastukset kohtuullisen kirjallisen ennakkoilmoituksen perusteella.
9. Tietojen poistaminen sopimuksen päättyessä ja sovellettava laki
Pankkiyhteyden katkaiseminen peruuttaa PSD2-istunnon ja lopettaa uudet synkronoinnit, mutta säilyttää tuodun tapahtumahistoriasi, kunnes poistat tilin. Kun poistat yksittäisen pankkitilin tai poistat käyttäjätilisi, tili- ja tapahtumatietueet poistetaan pysyvästi aktiivisista tietokannoista ja ne poistuvat tietokantavarmuuskopioista 30 päivän kuluessa (vain lakisääteiset laskutus- ja kirjanpitotiedot säilytetään Tanskan kirjanpitolain mukaisesti sekä lyhytaikaiset toimintalokit, jotka vanhenevat 90 päivässä).
Tähän tietojenkäsittelysopimukseen sovelletaan Tanskan lakia, ja riidat ratkaistaan Tanskan tuomioistuimissa. Yhteydenotot tietosuoja-asioissa: privacy@open-banking.io.