Laki.ai:n tietojenkäsittelyliite (DPA)

Versio 1 – 3.8.2026

1.Soveltamisala ja roolit

  1. 1.1.
    Tämä tietojenkäsittelyliite (DPA) on viittauksella osa Sopimusta, kun sovellettavat käyttöehdot (Laki.ai PRO-palvelun käyttöehdot tai Laki.ai:n organisaatioasiakkaiden käyttöehdot, jäljempänä Ehdot) niin toteavat, tai kun osapuolet ovat kirjallisesti sopineet tämän DPA:n soveltamisesta. Isolla alkukirjaimella kirjoitetut termit ovat sovellettavien Ehtojen mukaisessa merkityksessä, ellei tässä DPA:ssa toisin määritellä.
  2. 1.2.
    DPA:ta sovelletaan vain siltä osin kuin Palveluntarjoaja käsittelee Asiakkaan lukuun henkilötietoja, jotka sisältyvät Palvelun tutkimustoiminnossa käsiteltäviin syötteisiin, mukaan lukien Käyttäjän Palvelulle antama aineisto ja tekoälymallin itsenäisesti muodostamat työkalukutsut, tai Palvelun niistä tuottamiin tuotoksiin (yhdessä Tutkimusaineisto). Tältä osin Asiakas on yleisessä tietosuoja-asetuksessa (EU) 2016/679 tarkoitettu rekisterinpitäjä ja Palveluntarjoaja henkilötietojen käsittelijä. Jos Asiakas käsittelee henkilötietoja toisen rekisterinpitäjän lukuun, Asiakas toimii tältä osin henkilötietojen käsittelijänä ja Palveluntarjoaja yleisen tietosuoja-asetuksen 28 artiklan 2 ja 4 kohdassa tarkoitettuna toisena käsittelijänä. Tällöin tämän DPA:n viittauksia rekisterinpitäjänä toimivaan Asiakkaaseen sovelletaan Asiakkaaseen käsittelijänä, ja Asiakas vastaa siitä, että sillä on kyseisen rekisterinpitäjän yleisen tietosuoja-asetuksen 28 artiklan 2 kohdan mukainen ennakkolupa käyttää Palveluntarjoajaa toisena käsittelijänä.
  3. 1.3.
    Palveluntarjoaja on itse rekisterinpitäjä tili-, laskutus-, turvallisuus- ja palveluhallinnossaan. Tällainen käsittely kuvataan tietosuojaselosteessa eikä kuulu tämän DPA:n piiriin.
  4. 1.4.
    Henkilötietojen käsittelyä koskevassa ristiriidassa tämä DPA syrjäyttää Sopimuksen, sovellettavat Ehdot ja Laki.ai:n yleiset käyttöehdot siltä osin kuin niitä sovelletaan Asiakkaan ja Palveluntarjoajan välillä. Muissa kysymyksissä sovelletaan Sopimuksen mukaista etusijajärjestystä.

2.Käsittelyn kuvaus

  1. 2.1.
    Käsittelyn kohde ja luonne ovat Tutkimusaineiston vastaanottaminen, tilapäinen käsittely, haku-, luku- ja arviointitoiminnot sekä tuotosten tuottaminen Palvelussa. Käsittelyn tarkoitus on Palvelun tuottaminen Sopimuksen mukaisesti. Käsittelyn kesto on Sopimuksen voimassaoloaika.
  2. 2.2.
    Rekisteröityjä voivat olla Asiakkaan asiakkaat, päämiehet ja työntekijät, tutkittavan asian vastapuolet ja todistajat, viranomaisten edustajat sekä muut tutkittavaan asiaan liittyvät henkilöt.
  3. 2.3.
    Henkilötietoryhmiä ovat tavalliset henkilötiedot, 9 artiklassa tarkoitetut erityiset henkilötietoryhmät sekä 10 artiklassa tarkoitetut rikostuomioita ja rikkomuksia koskevat henkilötiedot siltä osin kuin Asiakas antaa niitä käsiteltäväksi Ehtojen mukaisesti.
  4. 2.4.
    Asiakkaan rekisterinpitäjän velvollisuudet ja oikeudet määräytyvät sovellettavan tietosuojalainsäädännön, Sopimuksen ja tämän DPA:n mukaan, mukaan lukien tämän DPA:n mukaiset ohjeidenanto-, tiedonsaanti-, vastustamis- ja auditointioikeudet. Asiakas vastaa siitä, että henkilötietojen käsittelylle on oikeusperuste ja mahdollinen 9 tai 10 artiklan mukainen lisäedellytys, että Tutkimusaineisto on minimoitu tutkimustehtävän kannalta tarpeelliseen ja että Asiakkaan dokumentoidut ohjeet ovat lainmukaisia.

3.Ohjeet

  1. 3.1.
    Palveluntarjoaja käsittelee Tutkimusaineiston henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti, myös siirrettäessä henkilötietoja kolmanteen maahan tai kansainväliselle järjestölle, ellei Palveluntarjoajaan sovellettava unionin oikeus tai jäsenvaltion lainsäädäntö muuta edellytä. Tällöin Palveluntarjoaja ilmoittaa vaatimuksesta Asiakkaalle ennen käsittelyä, jollei ilmoittamista ole kyseisessä laissa kielletty yleistä etua koskevien tärkeiden syiden vuoksi. Dokumentoituja ohjeita ovat Sopimus, tämä DPA sekä Käyttäjien Palvelussa tekemät toiminnot ja valinnat, mukaan lukien niiden käynnistämä Palvelun tavanomainen automaattinen käsittely, kuten tekoälymallin itsenäisesti muodostamien työkalukutsujen vastaanottaminen ja käsittely.
  2. 3.2.
    Palveluntarjoaja ilmoittaa Asiakkaalle välittömästi, jos ohje Palveluntarjoajan käsityksen mukaan rikkoo yleistä tietosuoja-asetusta tai muita unionin tai jäsenvaltion tietosuojasäännöksiä.

4.Salassapito ja tietoturva

  1. 4.1.
    Palveluntarjoaja varmistaa, että henkilötietoja käsittelemään valtuutetut henkilöt ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.
  2. 4.2.
    Palveluntarjoaja toteuttaa riskiä vastaavan turvallisuustason varmistamiseksi yleisen tietosuoja-asetuksen 32 artiklassa edellytetyt asianmukaiset tekniset ja organisatoriset toimenpiteet ottaen huomioon uusin tekniikka ja toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat riskit.

5.Alikäsittelijät

  1. 5.1.
    Asiakas antaa yleisen kirjallisen ennakkoluvan sille, että Palveluntarjoaja käyttää tämän DPA:n alikäsittelijälistassa nimettyjä alikäsittelijöitä, mukaan lukien listalla ennakkoon ilmoitetut mahdolliset alikäsittelijät. Kulloinkin voimassa oleva lista julkaistaan osoitteessa laki.ai/fi/data-processing.
  2. 5.2.
    Palveluntarjoaja ilmoittaa Asiakkaalle etukäteen kohtuullisessa ajassa sähköpostilla tai Palvelussa kaikista suunnitelluista muutoksista, jotka koskevat alikäsittelijöiden lisäämistä tai vaihtamista; myös ennakkoon ilmoitetun mahdollisen alikäsittelijän käyttöönotto on tällainen muutos. Asiakas voi vastustaa muutosta perustellusta tietosuojaan liittyvästä syystä ennen muutoksen voimaantuloa, jolloin osapuolet pyrkivät löytämään kohtuullisen ratkaisun. Jos ratkaisua ei löydetä, Asiakas voi päättää Sopimuksen ilmoittamalla siitä Palveluntarjoajalle kirjallisesti ennen muutoksen voimaantuloa.
  3. 5.3.
    Palveluntarjoaja asettaa alikäsittelijöilleen kirjallisesti samat tietosuojavelvoitteet kuin tässä DPA:ssa on vahvistettu ja vastaa Asiakkaalle alikäsittelijöidensä suorituksesta kuin omastaan.

6.Avustaminen ja tietoturvaloukkaukset

  1. 6.1.
    Palveluntarjoaja auttaa Asiakasta käsittelyn luonne huomioon ottaen ja mahdollisuuksien mukaan asianmukaisin teknisin ja organisatorisin toimenpitein vastaamaan rekisteröityjen oikeuksia koskeviin pyyntöihin.
  2. 6.2.
    Palveluntarjoaja auttaa Asiakasta 32–36 artiklassa säädettyjen velvollisuuksien noudattamisessa käsittelyn luonne ja Palveluntarjoajan saatavilla olevat tiedot huomioon ottaen, mukaan lukien tietosuojaa koskeva vaikutustenarviointi ja ennakkokuuleminen.
  3. 6.3.
    Palveluntarjoaja ilmoittaa Asiakkaalle henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä saatuaan sen tietoonsa.

7.Kansainväliset siirrot

  1. 7.1.
    Henkilötietoja voidaan käsitellä Euroopan talousalueen ulkopuolella tai siirtää kansainväliselle järjestölle vain lainmukaisen siirtoperusteen nojalla. Tällaisia perusteita ovat Euroopan komission tietosuojan riittävyyttä koskeva päätös, komission vakiosopimuslausekkeet tarvittavine täydentävine suojatoimineen tai muu yleisen tietosuoja-asetuksen sallima siirtomekanismi.

8.Poistaminen ja palauttaminen

  1. 8.1.
    Palvelun tarjoamisen päätyttyä Palveluntarjoaja Asiakkaan valinnan mukaan poistaa kaikki Asiakkaan lukuun käsitellyt henkilötiedot tai palauttaa ne ja poistaa olemassa olevat jäljennökset, ellei unionin oikeudessa tai jäsenvaltion lainsäädännössä edellytetä henkilötietojen säilyttämistä.

9.Tietojenanto ja auditoinnit

  1. 9.1.
    Palveluntarjoaja antaa Asiakkaan saataville kaikki tiedot, jotka ovat tarpeen 28 artiklassa säädettyjen velvollisuuksien noudattamisen osoittamiseksi, sekä sallii Asiakkaan tai Asiakkaan valtuuttaman auditoijan tekemät auditoinnit, mukaan lukien tarkastukset, ja osallistuu niihin. Auditoinnin ajankohdasta, laajuudesta, kestosta ja luottamuksellisuudesta sovitaan etukäteen kohtuullisin järjestelyin; nämä järjestelyt eivät rajoita ensimmäisessä virkkeessä tarkoitettua velvollisuutta antaa tiedot Asiakkaan saataville.

10.Versio ja muutokset

  1. 10.1.
    Tämä DPA on versioitu, ja kulloinkin voimassa oleva versio julkaistaan osoitteessa laki.ai/fi/data-processing. Alikäsittelijälistan muutoksiin sovelletaan kohtaa 5. Muihin tämän DPA:n muutoksiin sovelletaan sovellettavien Ehtojen muuttamista koskevia määräyksiä.

Alikäsittelijälista

Päivitetty 4.8.2026. Tämä lista on päivätty erikseen, ja sitä muutetaan DPA:n kohdan 5 mukaisesti.

Käytössä olevat alikäsittelijät (voivat vastaanottaa Tutkimusaineistoa Palvelun tuotantokäytössä):

Google – Google Cloud ja Vertex AI: infrastruktuuri-, tietokanta-, haku-, vektori- ja mallikäsittely. Tutkimusaineistoa sisältävät malli- ja embedding-pyynnöt käsitellään Vertex AI:n EU-alueella.

Ennakkoon ilmoitetut mahdolliset alikäsittelijät (eivät ole käytössä; käyttöönotto on DPA:n kohdassa 5.2 tarkoitettu muutos, josta ilmoitetaan etukäteen):

OpenAI

Anthropic

AWS, mukaan lukien Amazon Bedrock

Microsoft Azure, mukaan lukien Azure OpenAI