Senaatti-konsernin asiakkuudenhallintajärjestelmän (CRM) tietosuojaseloste

1. Rekisterinpitäjät ja yhteystiedot

Senaatti-kiinteistöt, Puolustuskiinteistöt ja Senaatin asema-alueet Oy

Senaatti-kiinteistöt ja Senaatin asema-alueet Oy: Lintulahdenkatu 5 A, PL 237, 00531 Helsinki
Sähköposti: kirjaamo(at)senaatti.fi

Puolustuskiinteistöt: Isoympyräkatu 10, PL 1, 49401 Hamina
Sähköposti: kirjaamo(at)puolustuskiinteistot.fi

Puhelin: 029 483 0000

Tietosuojavastaava Petri Konttinen, etunimi.sukunimi(at)senaatti.fi

2. Henkilötietojen käsittelyn tarkoitus ja käsittelyn oikeusperuste

Henkilötietojen käsittelyn tarkoitus on rekisterinpitäjien asiakkaiden ja yhteistyökumppaneiden tietojen käsittely liiketoimintaa ja lakisääteisiä tehtäviä varten. Tietoja käsitellään mm. asiakassuhteen ja palveluntuottajatietojen hoitamiseen palveluissa, vuokrauksessa, projekteissa, myynnissä, markkinoinnissa ja viestinnässä. Tietoja hallinnoidaan pääsääntöisesti konsernin asiakasrekisterissä (CRM), ja niitä käytetään esim. erilaisissa viestintä- ja kyselyjärjestelmissä.

Henkilötietojen käsittely perustuu pääosin rekisterinpitäjien yleistä etua koskevan tehtävän suorittamiseksi (GDPR artikla 6.1e). Käsittely voi perustua myös sopimussuhteeseen rekisteröidyn henkilön ollessa sopimusosapuoli (GDPR artikla 6.1b), tai rekisteröidyn antamaan suostumukseen (GDPR artikla 6.1a) esim. suoramarkkinoinnissa (uutiskirjeet ja tiedotteet yms.). Asiakasrekisteriin voidaan tallentaa myös julkisia tietoja henkilöistä, jotka toimivat elinkeinoelämässä organisaationsa edustajina. Tietosuojalaki 1050/2018 4§ 1.mom. k. 1 mahdollistaa että ”Henkilötietoja saa käsitellä tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan mukaisesti, jos kysymys on henkilön asemaa, tehtäviä sekä niiden hoitoa julkisyhteisössä, elinkeinoelämässä, järjestötoiminnassa tai muussa vastaavassa toiminnassa kuvaavista tiedoista siltä osin kuin käsittelyn tavoite on yleisen edun mukainen ja käsittely on oikeasuhtaista sillä tavoiteltuun oikeutettuun päämäärään nähden.”

Rekisterinpitäjien tehtävät, on säädetty laissa Senaatti-kiinteistöistä ja Puolustuskiinteistöistä (L1018/2020 2§ 1 ja 2 mom): ”Senaatti-konsernin liikelaitosten tehtävänä on toimia kiinteistö- ja toimitilaliiketoiminnan toimialalla tuottaen valtion tarpeisiin kiinteistö- ja tilapalveluja, tilajohtamisen ja -hallinnon palveluja, tilojen hankintaan, hallinnointiin ja luovuttamiseen liittyviä palveluja ja näihin välittömästi liittyviä muita palveluja palvelusopimusten perusteella liikelaitoslain 2 §:ssä tarkoitetuille asiakkaille. Lisäksi liikelaitosten tehtävänä on huolehtia hallinnassaan olevasta valtion kiinteistövarallisuudesta, sen hoidosta ja hallinnosta sekä tarvittaessa valtion kiinteistövarallisuuden ja siihen liittyvän muun omaisuuden luovuttamisesta, hankinnasta, hoidosta ja hallinnosta. Senaatti-konsernin liikelaitokset voivat tuottaa palveluja vähäisessä määrin myös muille asiakkaille.

Puolustuskiinteistöt tuottaa Puolustusvoimien ja Puolustusvoimien määrittelemien kumppanien tarvitsemat 1 momentin palvelut. Puolustuskiinteistöjen tehtävänä on myös huolehtia hallinnassaan olevasta valtion kiinteistövarallisuudesta 1 momentin mukaisesti.”

Senaatin asema-alueet Oy on Senaatin tytärliikelaitos.

Senaatti-kiinteistöt, Puolustuskiinteistöt ja Senaatin asema-alueet Oy toimivat EU:n tietosuoja-asetuksen mukaisina yhteisrekisterinpitäjinä (GDPR artikla 26).

3. Käsiteltävät henkilötiedot ja rekisteröityjen ryhmät

Rekisterinpitäjät käsittelevät seuraavia henkilötietoryhmiä:

sopimuskumppanien (asiakasorganisaatiot ja osin palveluntuottajaorganisaatiot) yhteyshenkilöt ja muut nimetyt työntekijät
oman henkilöstön asiakasyhteyshenkilöt
yksityishenkilöt, joilla on sopimussuhde rekisterinpitäjän kanssa
potentiaalisten asiakkaiden ja muiden sidosryhmien yhteyshenkilöt (julkiset tiedot yritysten ja elinkeinoelämän sekä viranomaisten yhteyshenkilöistä)
rekisterinpitäjien markkinointiviestinnästä kiinnostuneet henkilöt.

Henkilötietoryhmistä käsiteltävät henkilötiedot ovat:

sopimuskumppanien (asiakasorganisaatiot ja palveluntuottajaorganisaatiot) yhteyshenkilöt ja muut nimetyt työntekijät: etunimi, sukunimi, sähköposti, puhelin, organisaatio, tehtävä organisaatiossa, postiosoite
oman henkilöstön asiakasyhteyshenkilöt: etunimi, sukunimi, sähköposti, puhelin, organisaatio, tehtävä organisaatiossa
yksityishenkilöt, joilla on sopimussuhde rekisterinpitäjän kanssa: etunimi, sukunimi, sähköposti, puhelin, osoite, henkilötunnus
potentiaalisten asiakkaiden ja muiden sidosryhmien yhteyshenkilöt (julkiset tiedot yritysten ja elinkeinoelämän sekä viranomaisten yhteyshenkilöistä): etunimi, sukunimi, sähköposti, puhelin, yritys, tehtävä yrityksessä, postiosoite
rekisterinpitäjien markkinointiviestinnästä kiinnostuneet henkilöt: etunimi, sukunimi, sähköposti, puhelin, yritys, tehtävä yrityksessä, postiosoite.

4. Säännönmukaiset tietolähteet

Sopimuskumppanien yhteyshenkilöiden ja muiden nimettyjen työntekijöiden tiedot saadaan rekisterinpitäjän ja organisaation välisen vuokra-/palvelusopimuksen perusteella organisaatiolta.

Rekisterinpitäjien oman henkilöstön yhteyshenkilöiden tiedot saadaan rekisterinpitäjien henkilöstöjärjestelmistä työsuhteen perusteella.

Yksityishenkilön tiedot saadaan henkilöltä itseltään sopimussuhteen syntyessä.

Potentiaalisten sopimuskumppaneiden yhteyshenkilöt (julkiset tiedot yritysten ja elinkeinoelämän yhteyshenkilöistä) voidaan kerätä myös julkista henkilörekistereistä tai muutoin, kun se perustuu Tietosuojalain 1050/2018 4§ 1.mom. k. 1.

Rekisterinpitäjien markkinointiviestinnästä kiinnostuneiden henkilöiden tiedot, jotka ovat potentiaalisten palveluntuottajien työntekijöitä, tai muutoin markkinointiviestinnästä kiinnostuneita, saadaan rekisteröidyiltä henkilöltä itseltään suostumukseen perustuen. Tietoja voidaan kerätä henkilöiltä verkkosivun lomakkeella, erilaisilla kyselyjärjestelmillä (esim. Webropol tai Questback) tai muutoin.

5. Henkilötietojen vastaanottajat tai vastaanottajaryhmät

Rekisteröityjen tietoja käsitellään rekisterinpitäjien liiketoiminnan tarpeisiin sekä markkinoinnissa ja viestinnässä Tiedot ovat näihin tarkoituksiin Senaatti-konsernin käytössä. Tietoihin on pääsy myös Senaatti-konsernin määrätyillä ICT-palveluntuottajilla, jotka tekevät rekisterinpitäjien henkilötietojen käsittelijöinä huolto- ja ylläpitotehtäviä rekisterinpitäjien toimeksiannosta.

6. Tietojen siirto EU:n tai ETA:n ulkopuolelle

Tietoja ei siirretä EU:n tai ETA:n ulkopuolelle.

7. Henkilötietojen suojaus

Senaatti-konserni on toteuttanut tarvittavat tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi asiattomalta pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä.

Järjestelmien tiedot on suojattu palomuurilla ja muilla teknisillä keinoilla. Järjestelmien käyttö edellyttää tunnistautumista.

Senaatti-konsernin henkilöstöllä, sekä alihankkijoiden huolto- ja ylläpitotehtäviä suorittavilla henkilöillä on pääsy henkilötietoihin käsittelytehtäviensä hoitamiseksi. Pääsy potentiaalisten palveluntuottajien rekisteriin, jonka tietoja käytetään ainoastaan heille kohdistettuihin kyselyihin ja suoramarkkinointiin, on ainoastaan erikseen määrätyillä rajatuilla henkilöillä kyseisen tehtävän hoitamiseksi.

8. Tietojen säilytysaika ja sen määräytymisperiaatteet

Tiedot poistetaan sopimussuhteisten henkilöiden osalta sopimuksen ja muiden velvoitteiden lakattua olemasta voimassa. Suostumuksen antaneiden henkilöiden tiedot poistetaan henkilön peruessa suostumuksensa. Muiden henkilöiden osalta tiedot poistetaan 10 vuoden kuluttua siitä, kun tietoa ei ole käytetty.

9. Rekisteröityjen oikeudet

Rekisteröity henkilö voi käyttää tietosuoja-asetuksen mukaisia oikeuksiaan seuraaviin asioihin:

Oikeus saada pääsy henkilötietoihin (saada tieto itseään koskevasta käsittelystä)
Oikeus perua suostumus henkilötietojen käsittelyyn kokonaisuudessaan, jos suostumus on annettu ainoastaan suoramarkkinoinnin tarkoituksiin
Oikeus omien henkilötietojensa oikaisemiseen
Oikeus omien henkilötietojensa poistamiseen
Oikeus omien henkilötietojensa käsittelyn rajoittamiseen
Oikeus vastustaa omien henkilötietojensa käsittelyä ja oikeus vastustaa markkinointiviestintää
Oikeus olla joutumatta tietämättään automaattisen päätöksenteon kohteeksi.

Rekisterinpitäjän on toimitettava rekisteröidylle tiedot toimenpiteistä, joihin on ryhdytty GDPR:n artikla 15–22 nojalla tehdyn pyynnön johdosta ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella ottaen huomioon pyyntöjen monimutkaisuus ja määrä. Rekisterinpitäjän on ilmoitettava rekisteröidylle tällaisesta mahdollisesta jatkamisesta kuukauden kuluessa pyynnön vastaanottamisesta sekä viivästymisen syyt. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava sähköisesti mahdollisuuksien mukaan, paitsi jos rekisteröity toisin pyytää (GDPR artikla 12.3).

Rekisteröidyllä on myös oikeus tehdä valitus valvontaviranomaisena toimivalle tietosuojavaltuutetulle.