Data Processing Addendum

GDPR Article 28 terms for WorkLume business customers · linked to terms 2026-08-19-b2b-v1

Data Processing Addendum (DPA)

Effective 19 August 2026. Applies with WorkLume business subscription terms version 2026-08-19-b2b-v1. This DPA forms part of the WorkLume business subscription agreement when the customer acts as controller and Oivanto acts as processor of personal data submitted to WorkLume on the customer's behalf.

Processor: Oivanto Oy
Business ID: 3636905-3
Address: c/o Tilitoimisto Pesa Oy, Tanhurinne 2 G 48, 01450 Vantaa, Finland
Privacy contact: hello@oivanto.fi
Primary infrastructure processor: Hetzner Online GmbH
Primary processing region: Finland (EU/EEA)

1. Subject matter, duration and instructions

Oivanto processes customer personal data only to provide, secure, synchronize, support and maintain WorkLume and to perform documented customer instructions consistent with the subscription agreement. Processing continues for the subscription/service period and any limited retention or deletion period required to return/delete data or comply with law. If an instruction appears to infringe applicable data-protection law, Oivanto will inform the customer unless prohibited by law.

2. Nature, purpose, data and data subjects

Processing consists of receiving, storing, synchronizing, retrieving, transmitting, securing, backing up where applicable, and deleting service data. Purposes are time/work management, reporting, approved collaboration, cross-device continuity, support and security. Data may include names/contact identifiers, workspace roles, client/project/task references, descriptions, time entries, timestamps, billing-related work fields, poll/approval data and device/notification identifiers. Data subjects may include the customer's employees, contractors, users, customer contacts or other persons whose data the customer lawfully submits.

3. Confidentiality and security

Oivanto ensures that persons authorized to process customer personal data are subject to confidentiality obligations and limits access according to operational need. WorkLume uses authenticated workspace/user authorization, server-authoritative synchronization controls, idempotent mutation/reconciliation mechanisms, protected native credential storage where implemented, notification privacy controls and operational safeguards described in the service documentation. Security measures are reviewed as the service evolves.

4. Sub-processors

The customer gives general authorization for Oivanto to use sub-processors needed to operate WorkLume, provided Oivanto remains responsible for imposing data-protection obligations appropriate to the processing. The primary infrastructure processor and processing region are listed above and must be configured before paid B2B sales are enabled. Conditional service providers can include Stripe for billing, Google and Apple for enabled push delivery, Google/Microsoft for enabled social authentication, and Google advertising/consent services on ad-supported surfaces. Oivanto will make material sub-processor information available and provide reasonable advance notice of material changes so the customer can raise substantiated data-protection objections.

5. Data-subject requests

Taking into account the nature of processing, Oivanto will provide reasonable assistance to the customer in responding to requests to exercise data-subject rights where the relevant data is processed by WorkLume and the customer cannot reasonably fulfil the request through available service functions. Oivanto will not independently respond as controller for customer-controlled data except where legally required.

6. Security incidents, DPIAs and authorities

Oivanto will notify the customer without undue delay after becoming aware of a personal-data breach affecting customer-controlled personal data and provide available information reasonably needed for the customer's obligations. Oivanto will provide reasonable assistance concerning security, breach assessment, DPIAs and supervisory-authority consultation, taking account of the nature of processing and information available to Oivanto.

7. Return and deletion

At the end of the service, the customer should export required data using available product functions. Subject to applicable legal retention duties and data needed to establish/exercise/defend legal claims, Oivanto will delete customer personal data when the applicable workspace/account is deleted or after the service relationship ends in accordance with the documented deletion process. Backups, if used by the production infrastructure, may age out according to the provider's controlled retention cycle rather than being individually rewritten.

8. Compliance information and audit

Oivanto will make information reasonably necessary to demonstrate compliance with processor obligations available to the customer. Audit requests must be proportionate, protect other customers and security-sensitive information, and should first use available documentation, attestations and written responses. On-site or additional audit arrangements may be agreed where those materials are insufficient and GDPR requires further verification.

9. International transfers

Oivanto will process transfers of customer-controlled personal data outside the EEA only where a lawful transfer mechanism applies and will require relevant sub-processors to provide applicable safeguards. The customer authorizes transfers inherent in the approved sub-processors subject to those safeguards and the customer's right to object to material sub-processor changes.

10. Controller obligations and priority

The customer is responsible for lawful collection, transparency, legal basis, data minimization, user authorization and documented instructions for customer-controlled data. If this DPA conflicts with general subscription terms on processor obligations, this DPA controls for that subject. Mandatory data-protection law prevails over both.

Henkilötietojen käsittelyliite (DPA)

Voimassa 19.8.2026 alkaen. Sovelletaan WorkLumen yritystilauksen ehtojen version 2026-08-19-b2b-v1 kanssa. Tämä DPA on osa WorkLumen yritystilaussopimusta, kun asiakas toimii rekisterinpitäjänä ja Oivanto käsittelee asiakkaan WorkLumeen toimittamia henkilötietoja käsittelijänä asiakkaan lukuun.

Processor: Oivanto Oy
Business ID: 3636905-3
Address: c/o Tilitoimisto Pesa Oy, Tanhurinne 2 G 48, 01450 Vantaa, Finland
Privacy contact: hello@oivanto.fi
Primary infrastructure processor: Hetzner Online GmbH
Primary processing region: Finland (EU/EEA)

1. Kohde, kesto ja ohjeet

Oivanto käsittelee asiakkaan henkilötietoja vain WorkLumen tarjoamiseksi, suojaamiseksi, synkronoimiseksi, tukemiseksi ja ylläpitämiseksi sekä asiakkaan dokumentoitujen, sopimuksen mukaisten ohjeiden toteuttamiseksi. Käsittely jatkuu palvelusuhteen ajan ja tarpeellisen palautus-/poisto- tai lakisääteisen säilytysajan. Lainvastaiselta vaikuttavasta ohjeesta ilmoitetaan asiakkaalle, ellei laki kiellä ilmoittamista.

2. Käsittelyn luonne ja tiedot

Käsittely sisältää palvelutietojen vastaanottamista, tallentamista, synkronointia, hakua, siirtämistä, suojaamista, soveltuvia varmistuksia ja poistamista. Tietoja voivat olla nimet/yhteystunnisteet, roolit, asiakas-/projekti-/tehtäväviitteet, kuvaukset, aikakirjaukset, aikaleimat, työhön liittyvät laskutuskentät, kysely-/hyväksyntätiedot ja laite-/ilmoitustunnisteet. Rekisteröityjä voivat olla asiakkaan työntekijät, toimeksisaajat, käyttäjät, asiakkaiden yhteyshenkilöt tai muut henkilöt, joiden tiedot asiakas toimittaa lainmukaisesti.

3. Luottamuksellisuus ja turvallisuus

Henkilötietoihin oikeutetut henkilöt ovat luottamuksellisuusvelvoitteen piirissä ja pääsy rajataan operatiiviseen tarpeeseen. WorkLume käyttää tunnistettua workspace-/käyttäjäkohtaista valtuutusta, palvelinlähtöisiä synkronointikontrolleja, idempotentteja sovitusmekanismeja, toteutuksen mukaisia natiivien tunnistetietojen suojauksia ja ilmoitusten yksityisyysasetuksia.

4. Alikäsittelijät

Asiakas antaa yleisen luvan WorkLumen tarvitsemille alikäsittelijöille. Ensisijainen infrastruktuuritoimittaja ja käsittelyalue on ilmoitettava yllä ennen maksullisen B2B-myynnin avaamista. Ehdollisia toimittajia voivat olla Stripe laskutuksessa, Google/Apple pushissa, Google/Microsoft sosiaalisessa kirjautumisessa ja Google mainos-/suostumuspalveluissa. Olennaisista alikäsittelijämuutoksista annetaan kohtuullinen ennakkoilmoitus ja asiakas voi esittää perustellun tietosuojavastustuksen.

5. Rekisteröidyn oikeudet

Oivanto avustaa kohtuullisesti rekisteröidyn oikeuksiin vastaamisessa siltä osin kuin tiedot ovat WorkLumen käsiteltävänä eikä asiakas pysty kohtuudella toteuttamaan pyyntöä palvelun omilla toiminnoilla.

6. Tietoturvaloukkaukset ja vaikutustenarviointi

Oivanto ilmoittaa asiakkaalle ilman aiheetonta viivytystä saatuaan tiedon asiakkaan hallitseviin henkilötietoihin kohdistuvasta tietoturvaloukkauksesta ja antaa käytettävissä olevat, kohtuudella tarvittavat tiedot. Oivanto avustaa käsittelyn luonteen ja hallussaan olevien tietojen mukaan turvallisuus-, DPIA- ja viranomaisvelvoitteissa.

7. Palautus ja poisto

Asiakkaan tulee viedä tarvittavat tiedot käytettävissä olevilla vientitoiminnoilla ennen palvelun päättymistä. Lakisääteisiä säilytysvelvoitteita ja oikeusvaateita lukuun ottamatta asiakastiedot poistetaan työtilan/tilin poiston tai palvelusuhteen päättymisen dokumentoidun prosessin mukaisesti. Tuotantoinfrastruktuurin mahdolliset varmuuskopiot voivat poistua hallitun säilytysjakson kautta eikä yksittäistä backupia välttämättä kirjoiteta uudelleen välittömästi.

8. Vaatimustenmukaisuus ja auditointi

Oivanto antaa kohtuudella tarvittavat tiedot käsittelijävelvoitteiden osoittamiseksi. Auditointien tulee olla oikeasuhtaisia ja suojata muiden asiakkaiden sekä turvallisuuden luottamukselliset tiedot; ensisijaisesti hyödynnetään dokumentaatiota, todistuksia ja kirjallisia vastauksia.

9. Kansainväliset siirrot

ETA:n ulkopuolisia siirtoja tehdään vain soveltuvan lainmukaisen siirtomekanismin perusteella ja alikäsittelijöiltä edellytetään asianmukaisia suojatoimia.

10. Rekisterinpitäjän velvollisuudet

Asiakas vastaa asiakkaan hallitsevien tietojen lainmukaisesta keruusta, informoinnista, käsittelyperusteesta, minimoinnista, käyttäjäoikeuksista ja dokumentoiduista ohjeista. DPA on käsittelijävelvoitteissa ensisijainen yleisiin tilausehtoihin nähden ja pakottava tietosuojalaki molempiin nähden.

Personuppgiftsbiträdesavtal (DPA)

Gäller från 19 augusti 2026. Tillämpas tillsammans med WorkLumes företagsvillkor version 2026-08-19-b2b-v1. Detta DPA ingår i WorkLumes företagsavtal när kunden är personuppgiftsansvarig och Oivanto behandlar personuppgifter som kunden lämnar till WorkLume som biträde för kundens räkning.

Processor: Oivanto Oy
Business ID: 3636905-3
Address: c/o Tilitoimisto Pesa Oy, Tanhurinne 2 G 48, 01450 Vantaa, Finland
Privacy contact: hello@oivanto.fi
Primary infrastructure processor: Hetzner Online GmbH
Primary processing region: Finland (EU/EEA)

1. Föremål, varaktighet och instruktioner

Oivanto behandlar kunddata endast för att tillhandahålla, skydda, synkronisera, stödja och underhålla WorkLume och följa dokumenterade instruktioner som är förenliga med avtalet. Behandlingen pågår under tjänsteperioden och nödvändig retur-/raderings- eller lagstadgad lagringstid.

2. Behandling och datakategorier

Behandlingen omfattar mottagning, lagring, synkronisering, hämtning, överföring, skydd, tillämplig backup och radering. Uppgifter kan omfatta namn/kontaktidentifierare, roller, kund-/projekt-/uppgiftsreferenser, beskrivningar, tidsregistreringar, tidsstämplar, arbetsrelaterade faktureringsfält, omröstnings-/godkännandedata och enhets-/notifieringsidentifierare.

3. Sekretess och säkerhet

Behöriga personer omfattas av sekretess och åtkomst begränsas efter operativt behov. WorkLume använder autentiserad arbetsyte-/användarbehörighet, serverstyrda synkroniseringskontroller, idempotent avstämning, implementerat lokalt skydd för känsliga uppgifter och integritetskontroller för notifieringar.

4. Underbiträden

Kunden ger allmänt tillstånd för nödvändiga underbiträden. Primär infrastrukturleverantör och behandlingsregion måste anges ovan innan betald B2B-försäljning aktiveras. Villkorliga leverantörer kan omfatta Stripe, Google/Apple för push, Google/Microsoft för social inloggning och Google för annons-/samtyckestjänster. Väsentliga förändringar meddelas rimligen i förväg så att kunden kan framföra motiverade dataskyddsinvändningar.

5. Registrerades rättigheter

Oivanto bistår skäligen kunden med registrerades rättigheter när relevant data behandlas av WorkLume och kunden inte rimligen kan hantera begäran med tillgängliga tjänstefunktioner.

6. Incidenter och DPIA

Oivanto meddelar kunden utan onödigt dröjsmål efter kännedom om personuppgiftsincident som påverkar kundstyrda personuppgifter och lämnar rimligt tillgänglig information samt bistår med säkerhet, DPIA och myndighetssamråd enligt behandlingens natur.

7. Retur och radering

Kunden bör exportera nödvändiga data före tjänstens slut. Med undantag för rättslig lagring och rättsliga anspråk raderas kunddata enligt dokumenterad konto-/arbetsyteradering. Backupdata kan löpa ut enligt infrastrukturens kontrollerade lagringscykel.

8. Efterlevnad och revision

Oivanto gör rimligen nödvändig information tillgänglig för att visa efterlevnad. Revision ska vara proportionerlig och skydda andra kunder och säkerhetskänslig information; dokumentation och skriftliga svar används först.

9. Internationella överföringar

Överföringar utanför EES sker endast med tillämplig laglig överföringsmekanism och relevanta skyddsåtgärder.

10. Kundens ansvar

Kunden ansvarar för laglig insamling, information, rättslig grund, dataminimering, behörigheter och dokumenterade instruktioner. DPA har företräde framför allmänna villkor för biträdesfrågor och tvingande dataskyddslag har företräde framför båda.