Henkilötietojen jatkosiirrot

Jotta voimme tarjota sinulle palveluitamme tehokkaasti, ne henkilötiedot, jotka annat sille Shopify-yksikölle, jonka kanssa sinulla on sopimus, siirretään seuraaville vastaanottajille:

• tietyille muille Shopify-yksiköille ja
• huolellisesti valituille ja luotettaville alikäsittelijöille

Tässä osiossa kerrotaan, miten jatkosiirtoja säännellään.

Henkilötietojen jatkosiirrot Euroopan talousalueelta (ETA) ja Yhdistyneestä kuningaskunnasta

Irlantiin rekisteröity Shopify International Limited on Shopifyn ensisijainen sopimuskumppani EMEA-alueen (Eurooppa, Lähi-itä ja Afrikka) ja LATAM-alueen (Latinalainen Amerikka) kauppiaiden kanssa. International Limited toimii myös Shopifyn päätoimipaikkana yleisen tietosuoja-asetuksen (GDPR) soveltamisessa.

GDPR ja sen Yhdistyneen kuningaskunnan vastine edellyttävät, että kun henkilötietoja jaetaan ETA:n ja Yhdistyneen kuningaskunnan ulkopuolella olevalle taholle, kohdemaassa on oltava olennaisesti vastaava suojan taso. Tästä syystä tällaiset kansainväliset siirrot on suojattava vahvoilla oikeudellisilla mekanismeilla.

Miten Shopify täyttää GDPR:n kansainvälisiä tiedonsiirtoja koskevat vaatimukset

Tämän vaatimuksen täyttämiseksi Shopify tukeutuu Euroopan komission Kanadan osalta tekemään vastaavuuspäätökseen, kun Shopify International Limited siirtää henkilötietoja Kanadaan rekisteröidylle emoyhtiölleen Shopify Inc:lle. Lue lisää vastaavuuspäätöksistä.

Tämän lisäksi Shopify käyttää myös kattavia tiedonsiirto- ja käsittelysopimuksia (DPA), jotka sisältävät Euroopan komission hyväksymien vakiosopimusehtojen (SCC) uusimman version, säännelläkseen seuraavia asioita:

• kaikkia Shopify-konsernin sisäisiä siirtoja ja
• jatkosiirtoja alikäsittelijöillemme

Arvioimme alikäsittelijämme huolellisesti varmistaaksemme, että heillä on asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi ja että he tekevät asianmukaiset siirtojen vaikutustenarvioinnit. Lue lisää vakiosopimusehdoista.

ETA:n ja Yhdistyneen kuningaskunnan tietosuojaviranomaiset pitävät sekä vastaavuuspäätöstä että vakiosopimusehtoja (SCC) oikeudellisesti pätevinä ja riittävinä siirtomekanismeina.

Täydentävänä toimenpiteenä Shopify on myös hakenut yritystä koskevia sitovia sääntöjä (BCR) säännelläkseen edelleen Shopify-konsernin sisäisiä siirtoja. Hakemus on tehty Shopifyn johtavalle valvontaviranomaiselle GDPR-asioissa, Irlannin tietosuojavaltuutetun toimistolle. Nämä säännöt ovat ylimääräinen oikeudellinen siirtomekanismi, jolla turvataan siirrot yritysryhmämme sisällä. Olemme hakemuksen viimeistelyvaiheessa ja odotamme sen tulevan hyväksytyksi pian.

Henkilötietojen jatkosiirrot kaikilta muilta alueilta

Tietyt tietosuojalait myös muilla lainkäyttöalueilla kuin ETA:ssa ja Yhdistyneessä kuningaskunnassa edellyttävät erityisiä suojatoimia kansainvälisissä henkilötietojen siirroissa. Näiden vaatimusten täyttämiseksi Shopifyn DPA:t, jotka sääntelevät siirtoja Shopify-konsernin sisällä, sekä DPA:t, jotka sääntelevät jatkosiirtoja alikäsittelijöillemme, sisältävät soveltuvin osin asianmukaiset suojatoimet Kanadan, Yhdysvaltojen (US) ja Singaporen tietosuojalakien noudattamisen varmistamiseksi. Päivitämme ja ylläpidämme näitä DPA-sopimuksia myös tarpeen mukaan.

Tietojen säilytyspaikat

Shopify tasapainottaa dynaamisesti tallennustilaa useiden Google Cloud Platform -alueiden välillä varmistaakseen, että voimme tarjota luotettavan ja skaalautuvan infrastruktuurin, joka pystyy käsittelemään ennakoimattomia määriä koko kauppiastietokannassamme. Meidän on pystyttävä siirtämään tietoja maantieteellisesti palveluidemme operoimiseksi, ja meillä on käytössä mekanismit, joilla tämä tehdään sovellettavien lakien ja määräysten, mukaan lukien GDPR:n, mukaisesti.

Shopify säilyttää nyt tiettyjä kauppiaiden ja asiakkaiden henkilötietoja Euroopassa (eli ETA:ssa, Yhdistyneessä kuningaskunnassa ja/tai Sveitsissä) seuraavasti:

• Uudet kauppiaat Euroopassa hyödyntävät automaattisesti tätä uutta infrastruktuuria, ja heidän kauppansa tiedot, tilaustiedot ja asiakkaiden henkilötiedot säilytetään nyt oletusarvoisesti levossa Euroopassa.
• Kaikki olemassa olevat Shopifyn ominaisuudet toimivat edelleen.
• Silloinkin kun kauppiaan asiakkaiden henkilötietoja säilytetään Euroopassa, turvaudumme kansainvälisiin tiedonsiirtoihin näiden henkilötietojen käsittelyssä.

Miten Shopify valitsee alikäsittelijänsä

Yleisen tietosuoja-asetuksen (GDPR) ja muiden sovellettavien tietosuojalakien mukaisesti Shopify noudattaa useita parhaita käytäntöjä alikäsittelijöitä valitessaan:

• Valitsemme huolellisesti yritykset, joiden kanssa työskentelemme.
• Käytämme vain rajallista määrää kolmannen osapuolen palveluntarjoajia.
• Vaadimme, että alikäsittelijät allekirjoittavat kattavan DPA-sopimuksen, joka sisältää vakiosopimusehtojen (SCC) lisäksi asianmukaiset suojatoimet Kanadan, Yhdysvaltojen ja Singaporen tietosuojalakien noudattamisen varmistamiseksi.
• Rajoitamme alikäsittelijöidemme käytön teknisiin palveluihin: pilvipalvelut, virhelokien kirjaaminen, kuormituksen tasaus, sisällönjakelu, kartoituspalvelut, data-analyysi ja sisäinen lokikirjanpito (lokitiedostot).
• Siirto tapahtuu jatkuvasti ja turvallisesti.
• Arkaluonteisia tai erityisiin ryhmiin kuuluvia henkilötietoja ei käsitellä tahallisesti, ellei rekisterinpitäjä niin ohjeista.
• Tarkastamme huolellisesti alikäsittelijöidemme tietosuoja- ja turvallisuusohjelmat.

Lue lisää Shopifyn keskeisistä alikäsittelijöistä.