Senaatti-konsernin Kirave-järjestelmän tietosuojaseloste
1. Rekisterinpitäjät ja yhteystiedot
Senaatti-kiinteistöt ja Puolustuskiinteistöt (Senaatti-konserni)
Senaatti-kiinteistöt: Lintulahdenkatu 5 A, PL 237, 00531 Helsinki
Sähköposti: kirjaamo(at)senaatti.fi
Puolustuskiinteistöt: Isoympyräkatu 10, PL 1, 49401 Hamina
Sähköposti: kirjaamo(at)puolustuskiinteistot.fi
Puhelin: 029 483 0000
Tietosuojavastaava Petri Konttinen, etunimi.sukunimi(at)senaatti.fi
2. Henkilötietojen käsittelyn tarkoitus ja käsittelyn oikeusperuste
Kirave on Senaatti-konsernin paikkatietopohjainen kiinteistönpitojärjestelmä. Järjestelmään on tallennettu rekisterinpitäjien hallinnoimien kohteiden, sekä Puolustusvoimien ja Puolustusvoimien kumppanien käytössä olevien kohteiden perustietoja (mm. rakennus- rakenne- ja verkostotietoja). Järjestelmällä hoidetaan vähäisissä määrin rakennushankkeiden seurantaa. Kohdetietoja voidaan käyttää rekisterinpitäjien tekemien erilaisten sopimusten pohjatietona. Verkosto- ja karttatietoja hyödynnetään rakennuttamisessa, kunnossapidossa, ympäristöasioissa ja kiinteistönhoidossa. Lisäksi järjestelmällä hallitaan mm. ympäristön tarkkailu-, melualue-, jätehuoltotietoja sekä ympäristölupia.
Tietojärjestelmää käyttävät seuraavat organisaatiot: Puolustuskiinteistöt, Puolustusvoimat, Puolustusministeriö, Senaatti-kiinteistöt ja Erillisverkot Oy.
Lain Senaatti-kiinteistöistä ja Puolustuskiinteistöistä mukaisesti ”Senaatti-konsernin liikelaitosten tehtävänä on toimia kiinteistö- ja toimitilaliiketoiminnan toimialalla tuottaen valtion tarpeisiin kiinteistö- ja tilapalveluita, tilajohtamisen ja -hallinnon palveluita, tilojen hankintaan, hallinnointiin ja luovuttamiseen liittyviä palveluita ja näihin välittömästi liittyviä muita palveluja palvelusopimusten perusteella liikelaitoslain 2 §:ssä tarkoitetuille asiakkaille. Lisäksi liikelaitosten tehtävänä on huolehtia hallinnassaan olevasta valtion kiinteistövarallisuudesta, sen hoidosta ja hallinnosta sekä tarvittaessa valtion kiinteistövarallisuuden ja siihen liittyvän muun omaisuuden luovuttamisesta, hankinnasta, hoidosta ja hallinnosta. Senaatti-konsernin liikelaitokset voivat tuottaa palveluita vähäisessä määrin myös muille asiakkaille.
Puolustuskiinteistöt tuottaa Puolustusvoimien ja Puolustusvoimien määrittelemien kumppanien tarvitsemat 1 momentin palvelut. Puolustuskiinteistöjen tehtävänä on myös huolehtia hallinnassaan olevasta valtion kiinteistövarallisuudesta 1 momentin mukaisesti.” (L1018/2020 2§ 1 ja 2 mom.).
Henkilötietojen käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen toteuttamiseksi (GDPR artikla 6.1c). Senaatti-kiinteistöt ja Puolustuskiinteistöt toimivat tietosuoja-asetuksen mukaisina yhteisrekisterinpitäjinä (GDPR artikla 26).
3. Käsiteltävät henkilötiedot ja rekisteröityjen ryhmät
Järjestelmä sisältää käyttäjäorganisaatioiden henkilöiden tunnukset ja tiedot, sekä palveluntuottajien ja asiakkaiden henkilöiden (viranomaisten työntekijät ja huoneistojen ja autopaikkojen vuokralaiset) tiedot.
Käyttäjätunnusten tiedot (rekisterinpitäjät ja asiakkaat):
Etunimi, sukunimi, sähköpostiosoite, nimike, käyttäjäryhmä.
Muut henkilötiedot:
Oma henkilöstö: Etunimi, sukunimi, syntymäaika, veronumero, henkilönumero, työsuhteen laatu, työsuhde päättynyt.
Urakoitsijat ja muut palveluntuottajat: Etunimi, sukunimi, syntymäaika, työsuhteen laatu, työsuhde päättynyt, veronumero, Y-tunnus, yhteyshenkilön etunimi ja sukunimi ja puhelinnumero.
Huoneistojen ja autopaikkojen vuokralaiset: Etunimi, sukunimi, henkilötunnus, lähiosoite, laskutusosoite, puhelinnumero.
4. Säännönmukaiset tietolähteet
Rekisterinpitäjän työntekijä voi itse tilata tunnuksen ja oikeuden järjestelmään, jotka esimies hyväksyy, ja pääkäyttäjät tallentava henkilötiedot järjestelmään.
Asiakasorganisaation tai palveluntuottajan esihenkilö voi tilata tunnukset ja käyttöoikeudet järjestelmään, jolloin hän luovuttaa rekisteröityjen henkilötiedot rekisterinpitäjälle.
5. Henkilötietojen vastaanottajat tai vastaanottajaryhmät
Henkilötietoihin on pääsy järjestelmän palveluntuottajilla ylläpito- ja tukitehtävien suorittamiseksi. Tietoja voidaan luovuttaa asiakkaille sopimussuhteen perusteella, sekä viranomaisille lakisääteisen velvoitteen toteuttamiseksi.
6. Tietojen siirto EU:n tai ETA:n ulkopuolelle
Tietoja ei siirretä EU:n tai Euroopan talousalueen ulkopuolelle. Tietoja käsitellään ainoastaan Suomessa.
7. Henkilötietojen suojaus
Järjestelmän tiedot on suojattu palomuurilla ja muilla teknisillä keinoilla. Järjestelmän käyttö edellyttää henkilökohtaista käyttäjätunnusta ja salasanaa. Henkilötietoihin on pääsy ainoastaan niillä henkilöillä, joilla on siihen sovittujen työtehtävien kannalta perusteltu tarve.
Pääsy- ja käsittelyoikeus tietoihin myönnetään työtehtävien perusteella. Pääsy järjestelmään perustuu henkilökohtaisiin käyttäjätunnuksiin.
8. Tietojen säilytysaika ja sen määräytymisperiaatteet
Käyttäjätunnukset passivoidaan pyynnöstä. Käyttäjästä kerätyt tiedot säilyvät tietokannassa toistaiseksi, kunnes järjestelmästä luovutaan ja tiedot poistetaan. Vuokrasopimukset poistetaan järjestelmästä.
9. Rekisteröityjen oikeudet
Rekisteröity henkilö voi käyttää tietosuoja-asetuksen mukaisia oikeuksiaan seuraaviin asioihin:
- Oikeus saada pääsy henkilötietoihin (saada tieto itseään koskevasta käsittelystä)
- Oikeus omien henkilötietojensa oikaisemiseen
- Oikeus omien henkilötietojensa poistamiseen
- Oikeus omien henkilötietojensa käsittelyn rajoittamiseen
- Oikeus olla joutumatta tietämättään automaattisen päätöksenteon kohteeksi.
Rekisterinpitäjän on toimitettava rekisteröidylle tiedot toimenpiteistä, joihin on ryhdytty GDPR:n artikla 15–22 nojalla tehdyn pyynnön johdosta ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella ottaen huomioon pyyntöjen monimutkaisuus ja määrä. Rekisterinpitäjän on ilmoitettava rekisteröidylle tällaisesta mahdollisesta jatkamisesta kuukauden kuluessa pyynnön vastaanottamisesta sekä viivästymisen syyt. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava sähköisesti mahdollisuuksien mukaan, paitsi jos rekisteröity toisin pyytää (GDPR artikla 12.3).
Rekisteröidyllä on myös oikeus tehdä valitus valvontaviranomaisena toimivalle tietosuojavaltuutetulle.