Tietokäsittelyliite (DPA) — MultiLipi

1) Määritelmät

Isolla kirjaimilla merkityillä termeillä, joita tässä ei ole määritelty, on sopimuksen merkitys. " Tietosuojalait " tarkoittaa kaikkia henkilötietojen käsittelyyn sovellettavia lakeja ja säädöksiä, mukaan lukien GDPR (EU) 2016/679 ja Yhdistyneen kuningaskunnan GDPR, sekä mahdolliset paikalliset toimeenpanolait." Henkilötiedot ", " Ohjain ", " Processor", " Tietohenkilö ", " Käsittely ", ja " Valvontaviranomainen " tarkoittaa GDPR:n merkityksiä.

"Arkaluonteiset tiedot" tarkoittaa tietoja, jotka vaativat lisäsuojaa tai ovat erityissääntöjen alaisia (esimerkiksi: GDPR:n artiklan 9 mukaiset erityiskategorian tiedot, kuten terveys-/biometriset/geneettiset tiedot; alle 16-vuotiaiden lasten henkilötietoja; valtion myöntämiä tunnisteita; taloudellisia tili- tai maksutietoja; tarkkaa sijaintia; tai tunnistetiedot/salasanat/API-avaimet/salaisuudet). Palvelut eivät ole suunniteltu käsittelemään arkaluonteista dataa.

2) Laajuus ja roolit

1. Asiakas on Ohjain , and MultiLipi is a Processor in relation to the Personal Data described in Liite I .
2. Kun asiakas toimii kolmannen osapuolen controllerin prosessorina, MultiLipi toimii asiakkaan Aliprosessori . Asiakas takaa, että sillä on controllerin valtuutus nimittää MultiLipi.
3. MultiLipi käsittelee henkilötietoja yksinomaan: (a) palveluiden tarjoamiseksi; (b) kuten Asiakas on dokumentoinut sopimuksessa ja tässä DPA:ssa; ja (c) lain edellyttämällä tavalla.

3) Asiakasohjeet

1. Asiakas ohjeistaa MultiLipiä käsittelemään henkilötietoja palveluiden tarjoamiseksi ja parantamiseksi (yksityisyyttä säilyttäen tavoin), mukaan lukien käännös, reititys kielen mukaan, sanasto/TM, median käännös, analytiikka ja SEO-ominaisuudet, jotka asiakas mahdollistaa.
2. Asiakas ei toimita tai aiheuta palveluiden käsittelyä Arkaluonteiset tiedot . Jos asiakas kuitenkin lähettää arkaluonteisia tietoja, asiakas on yksin vastuussa kaikkien tarvittavien suostumusten ja turvatoimien hankkimisesta; MultiLipilla ei ole velvollisuutta valvoa arkaluonteisia tietoja.
3. MultiLipi ilmoittaa asiakkaalle, jos se ei voi noudattaa ohjeita laillisen vaatimuksen vuoksi, ellei se ole kiellettyä.
4. MultiLipi ei myy henkilötietoja eikä käytä niitä yleisten tekoälymallien rakentamiseen tai kouluttamiseen ilman asiakkaan nimenomaista suostumusta.

4) Luottamuksellisuus

MultiLipi ensures persons authorized to Process Personal Data are bound by confidentiality obligations and receive appropriate data protection training.

5) Turvatoimet

MultiLipi toteuttaa ja ylläpitää asianmukaisia teknisiä ja organisatorisia toimenpiteitä (" Toms ") henkilötietojen suojaamiseksi, kuten kuvataan Liite II , ottaen huomioon nykytilanteen, toteutuskustannukset sekä käsittelyn luonteen, laajuuden, kontekstin ja tarkoitukset sekä riskit luonnollisten henkilöiden oikeuksille ja vapauksille.

6) Aliprosessorit

1. Asiakas antaa MultiLipille yleisen valtuutuksen käyttää aliprosessoreita palveluiden tarjoamiseen. Nykyiset aliprosessorit on listattu osoitteessa /legal/aliprosessorit .
2. MultiLipi asettaa aliprosessoreille tietosuojavelvoitteita, jotka vastaavat tätä DPA:ta, ja pysyy vastuullisena niiden suorituskyvystä.
3. Jos alikäsittelijöitä ei ole tyytyväinen, Asiakkaan on otettava yhteyttä MultiLipiin ja annettava mahdollisuus vastustaa perustelluilla perusteilla tietosuojaan liittyen. Jos asiaa ei ratkaista hyvässä uskossa, asiakas voi keskeyttää tai lopettaa vaikutuksen alaisena olevat palvelut (suhteellinen palautus ennakkomaksuista).

7) Assistance, DPIAs & Prior Consultations

Taking into account the nature of Processing and information available to MultiLipi, we will assist Customer in ensuring compliance with obligations under Articles 32–36 GDPR (security, breach notifications, DPIAs and prior consultations), including by providing relevant documentation about our TOMs and subprocessors.

8) Personal Data Breach Notification

1. MultiLipi ilmoittaa asiasta asiakkaalle Ilman kohtuutonta viivyttelyä saatuaan tietää henkilötietojen tietomurrosta, joka vaikuttaa asiakastietoihin. Ilmoitus sisältää MultiLipi:n käytettävissä olevat tiedot sillä hetkellä, mukaan lukien: tietomurron luonteen, kategoriat ja arvioitu määrä Data Subjecteista ja tietueista, todennäköiset seuraukset sekä toimenpiteet, jotka on tehty tai ehdotettu tietomurron korjaamiseksi.
2. MultiLipi will promptly take steps to mitigate adverse effects and cooperate with Customer's reasonable requests to meet any breach notification obligations.

9) Tietopyynnöt

Laillisesti sallituissa määrin MultiLipi ilmoittaa asiakkaalle välittömästi, jos saamme pyynnön Tietosuojalakien mukaisia oikeuksia käyttävältä Henkilöltä, joka käyttää oikeuksia tietosuojalakien mukaisesti liittyen asiakastietoihin. MultiLipi ei vastaa muuhun kuin asiakkaan dokumentoituihin ohjeisiin ja tarjoaa kohtuullista apua asiakkaalle tällaisiin pyyntöihin.

10) Tietojen palautus ja poistaminen

1. Asiakkaan dokumentoidusta pyynnöstä MultiLipi poistaa tai palauttaa kaikki henkilökohtaiset tiedot (ja poistaa olemassa olevat kopiot) kaupallisesti kohtuullisessa ajassa, ellei lain mukaan vaadita säilyttämistä.
2. Varmuuskopiot ylikirjoitetaan aikataulutetuilla sykleillä; varmuuskopioista poisto tapahtuu tavallisella tavalla.

11) International Data Transfers (SCCs/UK Addendum)

1. ETA-siirrot. Kun käsittely tarkoittaa henkilötietojen siirtoa GDPR:n alaisena kolmanteen maahan ilman riittävyyspäätöstä, osapuolet sopivat, että Vakiosopimuslausekkeet approved by the European Commission in Decision (EU) 2021/914 (the "Sccs ") on sisällytetty viitteenä ja ne ovat osa tätä DPA:ta alla esitetyn mukaisesti:
   • Moduuli 2 (Ohjaimesta prosessorille) ja/tai Moduuli 3 (Prosessorilta aliprosessorille), tarpeen mukaan.
   • Pykälä 7 (Telakointiehto): applies.
   • Pykälä 11 (Korvaus): Ei käyttää.
   • Pykälä 17 (Sovellettava laki): Ireland.
   • Pykälä 18 (Foorumi ja toimivalta): tuomioistuimet Ireland.
   • SCC-liitteet I–III täydentävät tiedoilla Liite I , Liite II ja Liite III tästä DPA:sta.
2. Iso-Britannian siirrot. Yhdistyneen kuningaskunnan GDPR:n alaisissa siirroissa osapuolet sopivat ICO:n kansainvälisen tiedonsiirtoliitteen (IDTA) liitteestä B EU:n SCC-sopimuksiin, jotka on sisällytetty viitteenä. Ristiriitojen sattuessa UK Addendum on voimassa Yhdistyneen kuningaskunnan siirtojen osalta.
3. Swiss Transfers. Sveitsin FADP:n alaisia siirtoja varten viittaukset GDPR:ään SCC:issä luetaan viittauksina FADP:hen; viittaukset EU:n jäsenvaltioihin muuttuvat Sveitsiksi; ja toimivaltainen viranomainen on FDPIC.

13) Vastuu ja korvaus

Vastuu tämän DPA:n nojalla on sopimuksen rajoitusten ja poissulkujen alainen, paitsi siinä määrin kuin sovellettava laki kieltää. Kumpikin osapuoli on vastuussa omista teoistaan ja laiminlyönneistään tietosuojalakien mukaisesti.

14) Sekalaisia

1. Jos DPA ja sopimus ovat ristiriidassa, tämä DPA valvoo ristiriidan laajuutta tietosuojaan liittyen.
2. Jos jokin tämän DPA:n määräys todetaan pätemättömäksi, jäljelle jäävä osa pysyy voimassa.
3. MultiLipi voi päivittää tätä DPA:ta vastaamaan muutoksia laissa tai palveluissamme.

Liite I — Käsittelyn kuvaus

V. Puolueet

B. Details of Processing

C. Pätevä valvontaviranomainen

SCC:iden osalta pätevä viranomainen määritellään SCC:n kohdan 13 mukaisesti (esim. asiakkaan pääasiallisen EU-toimipaikan jäsenvaltion tai tietokohteiden toimivalta).

Liite II — Tekniset ja organisatoriset toimenpiteet (TOM)

1. Tietoturvaohjelma. Kirjalliset politiikat, jotka kattavat käyttöoikeuksien hallinnan, datan käsittelyn, häiriötilanteisiin reagoimisen, muutosten hallinnan, toimittajariskin ja turvallisen kehityksen.
2. Pääsynvalvonta. Roolipohjainen pääsy, vähiten etuoikeus, vahva tunnistautuminen, MFA ylläpitäjille, istuntojen hallinta, säännölliset käyttöoikeustarkastukset, välitön peruutus roolimuutoksen tai lopettamisen yhteydessä.
3. Salaus. TLS siirrettävälle datalle; tallennettujen salaisuuksien ja avainten salaus; avainten kierto ja rajoitettu pääsy avainmateriaaliin.
4. Verkko- ja sovellusturvallisuus. Segmentoidut verkot; palomuuri/WAF; DDoS-suojaukset (tarvittaessa CDN/edgen kautta); perusviivojen kovettaminen; Turvallinen SDLC, mukaan lukien koodin tarkistus ja riippuvuuksien skannaus.
5. Lokitus ja seuranta. Keskitetty tietoturvaan liittyvien tapahtumien kirjaaminen; varoittaen poikkeavuuksista; aikasynkronointi; Manipulointia kestävä tukin säilytys.
6. Haavoittuvuvuuksia ja korjausten hallintaa. Regular vulnerability scanning; timely remediation; third‑party testing as appropriate.
7. Liiketoiminnan jatkuvuus ja katastrofipalautus. Redundantti infrastruktuuri kriittisille komponenteille; testattuja varmuuskopioita; dokumentoidut RTO/RPO-tavoitteet.
8. Tietojen erottelu. Looginen erottelu asiakasympäristöjen ja datan välillä.
9. Personnel Security & Training.Lain sallimat taustatarkistukset; perehdytys/vuosittainen turvallisuus- ja yksityisyyskoulutus; luottamuksellisuusvelvoitteet.
10. Incident Response.Dokumentoitu suunnitelma, jossa on määritellyt roolit, triage, rajoitus, hävittäminen, palautus, opitut opit ja asiakasilmoitustyönkulut.
11. Toimittajan ja aliprosessorin hallinta. Riskiperusteinen arviointi, sopimukselliset turvallisuus- ja yksityisyysvelvoitteet, jatkuva seuranta.
12. Fyysinen turvallisuus. Datakeskuksia, joita ylläpitävät tarkastettuja palveluntarjoajia, joissa on alan standardin mukaiset kontrollit (merkinnät, valvontakamerat, kävijälokit).
13. Datan minimointi. Kerää vain tarpeellinen; pysyvyysrajoitukset; anonymisointi/pseudonymisointi sopivasti.
14. Asiakaskontrollit. Ylläpitotyökalut käyttöoikeuksien hallintaan; tarkastusjäljet kojelaudassa (jos saatavilla); API-avainten hallinta; MFA-tuki.

Liite III — Aliprosessorit

Nykyinen hyväksyttyjen aliprosessorien lista ylläpidetään osoitteessa https://multilipi.com/legal/subprocessors. For each Subprocessor, MultiLipi will disclose: name, purpose, location(s) of processing, and transfer mechanism (e.g., SCCs).

Signatures

Asiakas	MultiLipi Technologies Yksityinen Osakeyhtiö
Nimi:___________________________ Nimike:___________________________ Päivämäärä:___________________________ Allekirjoitus:______________________	Nimi: Kunal Singh Shekhawat Title: Co-Founder @MultiLipi Date: 10/09/2025 Allekirjoitus:

Allekirjoittamalla osapuolet sopivat, että EU:n SCC:t (Päätös (EU) 2021/914) ja tarvittaessa UK International Data Transfer Addendum sisällytetään viitteenä ja täytetään tämän DPA:n mukaisesti.