Henkilötietojen käsittelysopimus ulkomaisille seurakunnille

Korean tasavallan ulkopuolella palvelua käyttävä seurakunta (”Seurakunta”) ja Wesleysoft (”Yritys”) sopivat seuraavaa niiden henkilötietojen käsittelystä, jotka Seurakunta syöttää Wesley Gyojeok (웨슬리 교적), Wesley Jaejeong (웨슬리 재정) ja Wesley Simbang Plus (웨슬리 심방플러스) -palveluihin (”Palvelu”) ja joita Yritys käsittelee Seurakunnan lukuun. Tätä sopimusta sovelletaan yhdessä Yrityksen käyttöehtojen, sen tietosuojaselosteen ja asiakirjan ”Tietosuojaselosteen lisäys ulkomaisille seurakunnille” (”Lisäys”) kanssa. Jos niiden välillä on eroja henkilötietojen käsittelyn osalta, tätä sopimusta sovelletaan ensisijaisesti.

1 artikla (Roolit)

1. Seurakunnan Palveluun syöttämien henkilötietojen osalta Seurakunta määrittelee käsittelyn tarkoitukset ja keinot (rekisterinpitäjä), ja Yritys käsittelee tietoja Seurakunnan lukuun (henkilötietojen käsittelijä).
2. Seurakunta vastaa siitä, että henkilötietojen kerääminen ja niiden syöttäminen Palveluun ovat Seurakunnan sijaintimaan lainsäädännön mukaisia, ja informoi jäseniä käsittelystä sekä hankkii heidän suostumuksensa silloin, kun sitä edellytetään.

2 artikla (Käsittelyn yksityiskohdat)

Käsittelyn kohde ja kesto, luonne ja tarkoitus, henkilötietotyypit ja rekisteröityjen ryhmät esitetään liitteessä 1.

3 artikla (Käsittely Seurakunnan ohjeiden mukaisesti)

1. Yritys käsittelee henkilötietoja ainoastaan Seurakunnan dokumentoitujen ohjeiden mukaisesti. Kun Seurakunta käyttää toimintoja ja valitsee asetuksia Palvelun näkymissä, tätä pidetään Seurakunnan ohjeina.
2. Yritys ei käsittele henkilötietoja muuhun tarkoitukseen kuin Palvelun tarjoamiseen, ellei laki sitä edellytä. Jos laki edellyttää käsittelyä, Yritys ilmoittaa siitä Seurakunnalle ennen käsittelyä, ellei laki kiellä sitä.
3. Jos Yritys katsoo, että Seurakunnan ohje rikkoo tietosuojalainsäädäntöä, se ilmoittaa siitä Seurakunnalle viipymättä.

4 artikla (Luottamuksellisuus)

Yritys rajaa henkilötietoja käsittelemään oikeutetut henkilöt välttämättömään vähimmäismäärään ja varmistaa, että heitä sitoo salassapitovelvollisuus. Tämä velvollisuus jatkuu myös heidän tehtäviensä päätyttyä.

5 artikla (Turvatoimet)

Yritys toteuttaa henkilötietoihin kohdistuviin riskeihin nähden asianmukaiset tekniset ja organisatoriset toimenpiteet, jotka esitetään liitteessä 2. Yritys voi muuttaa näitä toimenpiteitä teknisen kehityksen mukaan, mutta se ei alenna suojan tasoa.

6 artikla (Erottelu seurakunnittain)

Yritys pitää Seurakunnan tiedot erillään muiden seurakuntien tiedoista ja varmistaa, etteivät muiden seurakuntien käyttäjät näe Seurakunnan tietoja.

7 artikla (Alikäsittely)

1. Seurakunta antaa Yritykselle luvan käyttää liitteessä 3 lueteltuja alikäsittelijöitä.
2. Jos Yritys aikoo ottaa käyttöön uuden alikäsittelijän tai vaihtaa alikäsittelijän, se ilmoittaa siitä Seurakunnalle vähintään 30 päivää etukäteen, ja Seurakunta voi tämän ajan kuluessa vastustaa muutosta perustellusta syystä. Jos Yritys ei hyväksy vastustusta, Seurakunta voi irtisanoa palvelusopimuksen ilman sopimussakkoa.
3. Yritys asettaa sopimuksella kullekin alikäsittelijälle tietosuojavelvoitteet, jotka ovat samantasoiset kuin tässä sopimuksessa, ja vastaa edelleen Seurakuntaa kohtaan, jos alikäsittelijä ei täytä näitä velvoitteita.

8 artikla (Avustaminen rekisteröityjen oikeuksien osalta)

1. Kun jäsenet tai muut rekisteröidyt käyttävät oikeuksiaan, kuten oikeutta saada pääsy tietoihin, oikeutta tietojen oikaisemiseen tai poistamiseen, oikeutta käsittelyn rajoittamiseen tai oikeutta siirtää tiedot järjestelmästä toiseen, Yritys tarjoaa Palvelun toiminnot ja yhteistyön, joita Seurakunta tarvitsee pyyntöön vastaamiseksi.
2. Jos rekisteröity esittää pyynnön suoraan Yritykselle, Yritys välittää sen ilman aiheetonta viivytystä Seurakunnalle eikä vastaa siihen suoraan ilman Seurakunnan ohjetta.

9 artikla (Henkilötietojen tietoturvaloukkaukset)

1. Jos Yritys saa tietää tapahtumasta, jossa Seurakunnan henkilötietoja on vuotanut tai on voinut vuotaa, se ilmoittaa siitä Seurakunnalle ilman aiheetonta viivytystä ja joka tapauksessa 48 tunnin kuluessa siitä, kun se on saanut tiedon tapahtumasta.
2. Ilmoituksessa kuvataan tapahtuman luonne ja olosuhteet, asianomaisten rekisteröityjen ja henkilötietotietueiden ryhmät ja arvioidut lukumäärät, todennäköiset seuraukset, toimenpiteet, jotka Yritys on toteuttanut tai aikoo toteuttaa, sekä yhteyshenkilö. Tiedot, joita ei voida antaa kerralla, annetaan vaiheittain sitä mukaa kuin ne tulevat tietoon.
3. Yritys antaa tiedot ja apua, joita Seurakunta tarvitsee ilmoittaakseen valvontaviranomaiselle ja rekisteröidyille sijaintimaansa lainsäädännön mukaisesti.

10 artikla (Muu avustaminen)

Ottaen huomioon käsittelyn luonteen ja Yrityksen saatavilla olevat tiedot Yritys antaa Seurakunnalle tiedot, joita se tarvitsee täyttääkseen sijaintimaansa lainsäädännön mukaiset velvoitteensa, kuten turvallisuuden varmistaminen, tietosuojaa koskevien vaikutustenarviointien tekeminen ja valvontaviranomaisen ennakkokuuleminen.

11 artikla (Tietojen säilytyspaikka ja kansainväliset siirrot)

1. Yritys säilyttää Seurakunnan tietoja Korean tasavallassa sijaitsevilla palvelimilla eikä siirrä niitä Korean tasavallan ulkopuolelle, lukuun ottamatta Lisäyksen 6 artiklassa kuvattua tapausta (reittiopastus).
2. Siirrot Seurakunnan sijaintimaasta Korean tasavaltaan tapahtuvat Lisäyksen 4 artiklan mukaisesti. Jos kyseisen maan lainsäädäntö edellyttää erillistä mekanismia, kuten vakiosopimuslausekkeita, Seurakunta ja Yritys ottavat sen käyttöön tämän sopimuksen ohella.

12 artikla (Tietojen palauttaminen ja hävittäminen palvelusopimuksen päätyttyä)

1. Seurakunta voi ladata tietonsa Palvelun vientitoiminnolla ennen palvelusopimuksen päättymistä ja 90 päivän ajan sen päättymisen jälkeen.
2. Tämän ajan jälkeen Yritys hävittää Seurakunnan tiedot niin, ettei niitä voida palauttaa. Jos Seurakunta pyytää välitöntä hävittämistä, Yritys hävittää tiedot ilman aiheetonta viivytystä. Tiedot, joiden säilyttämistä laki edellyttää, säilytetään vaaditun ajan.
3. Varmuuskopioihin jääneet tiedot hävitetään Yrityksen palvelimilla olevien varmuuskopioiden osalta 90 päivän kuluttua ja Yrityksen hallinnoimalla erillisellä tallennuslaitteella olevien varmuuskopioiden osalta 1 vuoden kuluttua. Siihen asti niitä ei käytetä muuhun tarkoitukseen kuin palauttamiseen.
4. Seurakunnan pyynnöstä Yritys vahvistaa hävittämisen kirjallisesti.

13 artikla (Tiedot ja auditoinnit)

1. Yritys antaa Seurakunnalle tiedot, jotka ovat tarpeen tämän sopimuksen velvoitteiden noudattamisen osoittamiseksi.
2. Seurakunta voi esittää kirjallisia kysymyksiä kerran vuodessa, ja Yritys vastaa niihin maksutta. Jos Seurakunta tai sen nimeämä auditoija haluaa suorittaa auditoinnin paikan päällä, pyyntö on esitettävä 30 päivää etukäteen, ja kustannuksista vastaa Seurakunta. Auditoijaa sitoo salassapitovelvollisuus.

14 artikla (Vastuu)

Seurakunta ja Yritys vastaavat kumpikin vahingosta, jonka ne ovat aiheuttaneet toiselle osapuolelle rikkomalla tätä sopimusta tai lakia. Yrityksen vastuu rajoittuu niiden maksujen kokonaismäärään, jotka Seurakunta on maksanut vahingon syntymispäivää edeltäneiden 12 kuukauden aikana. Tätä rajoitusta ei sovelleta vahinkoon, joka on aiheutunut Yrityksen tahallisuudesta tai törkeästä huolimattomuudesta, eikä silloin, kun laki ei salli vastuun rajoittamista.

15 artikla (Voimassaolo)

Tämä sopimus on voimassa siitä päivästä, jona Seurakunta Yrityksen hyväksynnän saatuaan tekee palvelusopimuksen, siihen asti, kunnes 12 artiklan mukaiset velvoitteet on täytetty palvelusopimuksen päätyttyä.

16 artikla (Sovellettava laki ja oikeuspaikka)

Tähän sopimukseen sovelletaan Korean tasavallan lakia. Seurakunnan sijaintimaan tietosuojalainsäädännön säännöksiä, joista ei voida poiketa sopimuksella, ja kyseisen maan valvontaviranomaisen toimivaltuuksia sovelletaan kuitenkin edelleen. Tätä sopimusta koskevat riidat ratkaisee tuomioistuin, jolla on toimivalta Yrityksen osoitteen perusteella.

17 artikla (Kieli ja sopimuksen tekeminen)

1. Tämän sopimuksen korealainen versio on määräävä alkuperäisteksti. Jos käännös poikkeaa siitä, korealainen alkuperäisteksti on ratkaiseva, jollei Seurakunnan sijaintimaan lainsäädännössä toisin säädetä.
2. Tämä sopimus syntyy, kun Seurakunta valitsee näkymässä tämän sopimuksen kohdalla ”Hyväksyn” (동의). Yritys säilyttää tästä merkinnän ja antaa Seurakunnan pyynnöstä allekirjoitetun kappaleen.

Liite 1 — Käsittelyn yksityiskohdat

Kohde	Jäsentiedot ja taloustiedot, jotka Seurakunta syöttää Palveluun
Rekisteröityjen ryhmät	Jäsenet ja heidän perheensä, uudet tulijat ja vierailijat, lahjoittajat, seurakunnan työntekijät ja Palvelun käyttäjät
Henkilötietotyypit	Tietosuojaselosteen 2 artiklassa ja Lisäyksen 3 artiklassa mainitut tiedot — nimi (suku- ja etunimi latinalaisin kirjaimin), sukupuoli, syntymäaika (vapaaehtoinen), yhteystiedot, osoite, valokuva, seurakunnallinen virka, piiri (seurakunnan alajaotus) ja luokkakokous, jäsenryhmä, kaste- ja konfirmaatiotiedot, palvelutehtävät ja ammatti, perhesuhteet, läsnäolo, käyntimerkinnät ja rukousaiheet, huolenpitoa koskevat merkinnät, kolehti- ja lahjoitustiedot, henkilötietoja koskevat suostumusmerkinnät sekä kyseisen maan lahjoituskuitteja varten tarvittavat lahjoittajatiedot
Erityiset henkilötietoryhmät	Tieto seurakunnan jäsenyydestä ja uskonnollista elämää koskevat merkinnät (uskonnollisen vakaumuksen paljastavat tiedot); terveystiedot, jotka Seurakunta syöttää huolenpitoa koskeviin merkintöihin
Luonne ja tarkoitus	Palvelun tarjoaminen — tallentaminen, tarkastelu, muokkaaminen, tulostaminen, vienti, varmuuskopiointi, sähköpostien lähettäminen ja käyntitekstien luonnostelu (jäsenen tunnistamisen mahdollistavia tietoja ei lähetetä)
Kesto	Palvelusopimuksen voimassaoloaika ja 90 päivää sen päättymisen jälkeen (varmuuskopiot: 12 artiklan 3 kohta — palvelimilla 90 päivää, erillisellä tallennuslaitteella 1 vuosi)

Liite 2 — Turvatoimet

• Tiedonsiirron salaus (HTTPS)
• Salasanat tallennetaan ainoastaan palautumattomalla menetelmällä
• Tietojen erottelu seurakunnittain — tietokannassa on kullekin seurakunnalle oma suojaraja, jotta muiden seurakuntien tietoja ei voida lukea
• Roolipohjaiset käyttöoikeudet ja käyttölokien säilyttäminen
• Palomuuri — vain verkkoyhteyksiin ja ylläpitoyhteyksiin tarvittavat portit ovat auki; tietokantaan ei pääse palvelimen ulkopuolelta
• Haittaohjelmien torjuntaohjelmisto — tunnisteiden automaattinen päivitys ja päivittäiset tarkistukset
• Säännöllinen varmuuskopiointi — päivittäin palvelimella, kopioidaan Yrityksen hallinnoimalle erilliselle tallennuslaitteelle (palvelimet 90 päivää, erillinen tallennuslaite 1 vuosi)

Liite 3 — Alikäsittelijät (kaikki ovat sijoittautuneet Korean tasavaltaan ja käsittelevät tietoja Korean tasavallassa)

Alikäsittelijä	Tehtävä
YourIT Co., Ltd.	Palvelinten ja tallennustilan tarjoaminen; tietojen säilyttäminen
NHN Cloud Corp.	Sähköpostien lähettäminen (Korean ulkopuolisiin matkapuhelinnumeroihin ei lähetetä tekstiviestejä)
Upstage Co., Ltd.	Saarnatekstien luonnosten laatiminen Wesley Simbang Plus -palvelussa (jäsenen tunnistamisen mahdollistavia tietoja ei lähetetä)
Toss Payments Co., Ltd.	Käyttömaksujen käsittely (Ulkomaiset seurakunnat maksavat tällä hetkellä tilisiirrolla)