Integritetspolicy för Senatkoncernens beställningar och inköpsfakturor

1. Personuppgiftsansvariga och kontaktuppgifter

Senatfastigheter, Försvarsfastigheter och Senatstationfastigheter Ab

Senatfastigheter och Senatstationfastigheter Ab: Fågelviksgatan 5 A, PB 237, 00531 Helsingfors

E-post: kirjaamo(at)senaatti.fi

Försvarsfastigheter: Isoympyräkatu 10, PB 1, 49401 Fredrikshamn
E-post: kirjaamo(at)puolustuskiinteistot.fi

Telefon: +358 294 830 000

Dataskyddsombud Petri Konttinen, fornamn.efternamn(at)senaatti.fi

2. Syftet med behandlingen av personuppgifter och rättslig grund för behandlingen

Systemets användningsändamål är behandling av beställningar och inköpsfakturor från Senatfastigheter (”Senaten”), Försvarsfastigheter och Senatstationsfastigheter Ab (”SAA Oy”).

Senatfastigheter, Försvarsfastigheter och Senatstationsfastigheter Ab är i fråga om den behandling av personuppgifter som beskrivs i denna beskrivning gemensamt personuppgiftsansvariga enligt artikel 26 i EU:s allmänna dataskyddsförordning (GDPR). Behandlingen av personuppgifter är nödvändig för att utföra en uppgift av allmänt intresse (artikel 6.1 e i GDPR).

3. Behandlade personuppgifter och grupper av registrerade

I systemet behandlas personuppgifter om de personuppgiftsansvarigas anställda och tjänsteproducenterna.

Följande uppgifter behandlas om de registeransvarigas anställda och externa revisorer: namn, användar-ID, e-post, telefonnummer, företag, systemroll.

Följande uppgifter om tjänsteproducenterna behandlas: namn, telefonnummer, arbetsgivare, e-post, bankkonto, leverantörsnummer.

4. Regelmässiga uppgiftskällor

Tjänsteproducenternas personuppgifter fås ur bokföringssystemet för ekonomin. Entreprenörer som ansluter sig till skyldigheten att lämna uppgifter om byggande lämnar ut behövliga personuppgifter till de personuppgiftsansvariga. Via fakturorna fås också tjänsteproducenternas personuppgifter.

Personuppgifterna om de personuppgiftsansvarigas personer och externa revisorer fås från de personuppgiftsansvarigas behörighetshanteringssystem samt från systemet för hantering av byggprojekt och systemet för hantering av underhållsprojekt. Via fakturorna fås också kontaktpersonernas personuppgifter.

En del tjänsteproducenter har möjlighet att själva skapa användar-ID och lösenord i leverantörsportalen.

5. Mottagare eller mottagargrupper av personuppgifter

Uppgifterna lämnas ut till skattemyndigheten på basis av skyldigheten att lämna uppgifter om byggande och överförs till utomstående fakturagranskare och beställare av köp för ovannämnda ändamål. Utöver de personuppgiftsansvariga har personuppgifter överförts till systemleverantörer som agerar för de personuppgiftsansvarigas räkning för att utföra behandlingsuppgifterna.

6. Överföring av uppgifter utanför EU eller EES

Uppgifterna överförs inte till länder utanför EU eller EES.

7. Personuppgifternas skydd

Uppgifterna i systemet är skyddade med hjälp av en brandvägg och andra tekniska medel. För att kunna använda systemet krävs ett personligt användar-ID och lösenord. Personuppgifterna är tillgängliga endast för personer som har ett motiverat behov med tanke på de överenskomna arbetsuppgifterna.

8. Uppgifternas lagringstid och principer för hur denna fastställs

Fakturor och beställningar förvaras i 10 år, varefter de raderas. Personlistor kan raderas när fakturor och beställningar har raderats. Användar-ID inaktiveras när personen har lämnat tjänsten.

9. De registrerades rättigheter

En registrerad person kan utöva sina rättigheter enligt dataskyddsförordningen i följande ärenden:

Rätt till tillgång till personuppgifter (information om behandlingen av egna personuppgifter)
Rätt att återkalla samtycke till behandling av personuppgifter i sin helhet, om samtycket har givits enbart för direktmarknadsföringsändamål
Rätt att få sina personuppgifter korrigerade
Rätt att få sina personuppgifter raderade
Rätt att begränsa behandlingen av sina personuppgifter
Rätt att motsätta sig behandlingen av sina personuppgifter och rätt att motsätta sig marknadskommunikation
Rätt att inte bli föremål för automatiserat beslutsfattande utan att veta om det.

Den personuppgiftsansvarige ska på begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artiklarna 15–22 i GDPR. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden. Den personuppgiftsansvarige ska underrätta den registrerade om en sådan förlängning inom en månad från det att begäran mottagits samt ange orsakerna till förseningen. Om den registrerade lämnar begäran i elektronisk form, ska informationen om möjligt tillhandahållas i elektronisk form, om den registrerade inte begär något annat (artikel 12.3 i GDPR).

Den registrerade har också rätt att göra anmälan till dataombudsmannen.