Integritetspolicy för Senatkoncernens uppgifter om tjänsteproducenter (SRM) ) och kontaktpersoner för marknadsföringskommunikation

1. Personuppgiftsansvariga och kontaktuppgifter

Senatfastigheter, Försvarsfastigheter och Senatstationfastigheter Ab

Senatfastigheter och Senatstationfastigheter Ab: Fågelviksgatan 5 A, PB 237, 00531 Helsingfors

E-post: kirjaamo(at)senaatti.fi

Försvarsfastigheter: Isoympyräkatu 10, PB 1, 49401 Fredrikshamn
E-post: kirjaamo(at)puolustuskiinteistot.fi

Telefon: +358 294 830 000

Dataskyddsombud Petri Konttinen, fornamn.efternamn(at)senaatti.fi

2. Syftet med behandlingen av personuppgifter och rättslig grund för behandlingen

Senatkoncernen (Senatfastigheter, Försvarsfastigheter och Senatstationsfastigheter Ab) är en offentlig upphandlingsenhet som konkurrensutsätter och upphandlar tjänster, produkter och varor för eget och kundorganisationernas (ämbetsverk och inrättningar inom statsförvaltningen) behov. För detta ändamål behandlar Senatkoncernen personuppgifter om tjänsteproducenter och potentiella tjänsteproducenter som förvaltas i koncernens register över tjänsteproducenter (SRM) och delvis också i kundhanteringssystemet (CRM). Behandlingen av personuppgifter grundar sig på att de personuppgiftsansvariga utför en uppgift av allmänt intresse (GDPR artikel 6.1 e). Behandlingen av uppgifter om de personuppgiftsansvarigas egen personal grundar sig på ett arbetsavtal mellan arbetsgivaren och arbetstagaren (GDPR 6.1 b).

De personuppgiftsansvariga får i SRM-registret föra in uppgifter om personer som är avtalsparter och som hänför sig till den verksamhet som omfattas av avtalet. I SRM-registret kan också föras in offentliga uppgifter om personer som företräder sin organisation i näringslivet. Dataskyddslagen 1050/2018 4 § 1 mom. 1 möjliggör att ”Personuppgifter får behandlas i enlighet med artikel 6.1 e i dataskyddsförordningen, om det är fråga om uppgifter som beskriver en persons ställning samt uppdrag och skötseln av detta inom ett offentligt samfund, näringslivet, organisationsverksamhet eller någon annan motsvarande verksamhet, i den mån som syftet med behandlingen är förenligt med allmänt intresse och behandlingen står i proportion till det legitima mål som eftersträvas.”

Senatkoncernen förmedlar marknadsföringskommunikation till avtalsparterna och potentiella tjänsteproducenter om koncernens kommande projekt, upphandlingar och evenemang. Marknadsföringskommunikationen grundar sig på att de personuppgiftsansvariga utför en uppgift av allmänt intresse (GDPR artikel 6.1 e). Behandlingen av personuppgifter om potentiella tjänsteproducenter (till vilka de personuppgiftsansvariga inte har något avtalsförhållande) grundar sig på samtycke av personer (artikel 6.1 a i GDPR) för direktmarknadsföring. Senatkoncernen gör också nöjdhets- och responsenkäter bland de aktörer som bekantat sig med konkurrensutsättningar och bland de nuvarande avtalsparterna. Uppgifterna i enkäterna används för att utveckla verksamheten.

Senatfastigheter, Försvarsfastigheter och Senatstationsfastigheter Ab är gemensamt personuppgiftsansvariga enligt EU:s dataskyddsförordning (GDPR artikel 26).

3. Behandlade personuppgifter och grupper av registrerade

De personuppgiftsansvariga behandlar följande grupper av personuppgifter:

avtalsparternas kontaktpersoner och andra utsedda arbetstagare
kontaktpersoner för potentiella tjänsteproducenter (offentliga uppgifter om kontaktpersoner för företag och näringsliv)
kontaktpersoner för de personuppgiftsansvarigas egen personal
andra personer som är intresserade av de personuppgiftsansvarigas marknadsföringskommunikation.

Personuppgifter som behandlas i grupper av personuppgifter är:

avtalsparternas kontaktpersoner och andra utsedda arbetstagare: förnamn, efternamn, e-post, telefon, företag, uppgift i företaget, postadress
kontaktpersoner för potentiella avtalsparter (offentliga uppgifter om kontaktpersoner för företag och näringsliv): förnamn, efternamn, e-post, telefon, företag, uppgift i företag, postadress
personer som är intresserade av de personuppgiftsansvarigas marknadsföringskommunikation: förnamn, efternamn, e-post, telefon, företag, uppgift i företaget, postadress.

4. Regelmässiga uppgiftskällor

Uppgifterna om avtalsparternas kontaktpersoner och andra utsedda arbetstagare fås av företaget på basis av ett serviceavtal mellan den personuppgiftsansvarige och företaget.

Uppgifterna om kontaktpersonerna för de personuppgiftsansvarigas egen personal fås ur de personuppgiftsansvarigas personalsystem på basis av anställningsförhållandet.

Kontaktpersonerna för potentiella avtalsparter (offentliga uppgifter om företags och näringslivets kontaktpersoner) kan också samlas in ur offentliga personregister eller på något annat sätt, om det baserar sig på 4 § 1 mom. 1 kap. i dataskyddslagen 1050/2018.

Uppgifter om personer som är intresserade av marknadsföringskommunikation hos personuppgiftsansvariga och som är anställda hos potentiella tjänsteproducenter eller annars intresserade av marknadsföringskommunikation fås av de registrerade personerna själva på basis av deras samtycke. Uppgifter kan samlas in från personer med hjälp av ett webbplatsformulär, olika enkätsystem (t.ex. Webropol eller Questback) eller på något annat sätt.

5. Mottagare eller mottagargrupper av personuppgifter

Uppgifterna om de registrerade behandlas vid marknadsföringen av de personuppgiftsansvarigas upphandlingar, avtalshantering, beställningar och fakturor samt upphandlingsverksamhet. Uppgifterna står till Senatkoncernens förfogande för dessa ändamål. Uppgifterna är också tillgängliga för vissa IKT-tjänsteproducenter inom Senatkoncernen som i egenskap av personuppgiftsbiträden för personuppgiftsansvariga utför underhålls- och serviceuppgifter på uppdrag av personuppgiftsansvariga.

6. Överföring av uppgifter utanför EU eller EES

Uppgifterna överförs inte till länder utanför EU eller EES.

7. Personuppgifternas skydd

Senatkoncernen har vidtagit de tekniska och organisatoriska åtgärder som behövs för att skydda personuppgifter mot obehörig åtkomst och mot oavsiktlig eller olaglig radering, ändring, utlämnande, överföring eller annan olaglig behandling av uppgifter.

Uppgifterna i systemen är skyddade med brandväggar och andra tekniska medel. Användningen av systemen förutsätter identifiering.

Senatkoncernens personal samt de personer som utför underleverantörers underhålls- och serviceuppgifter har tillgång till personuppgifter för skötseln av sina behandlingsuppgifter. Åtkomst till registret över potentiella tjänsteproducenter, vars uppgifter endast används för förfrågningar och direktmarknadsföring som riktar sig till dem, har endast särskilt bestämda avgränsade personer för skötseln av uppgiften i fråga.

8. Uppgifternas lagringstid och principer för hur denna fastställs

Personuppgifter förvaras i SRM-registret i regel så länge personen har en roll som ansvarig för avtalet eller i någon annan roll. Personuppgifterna kan raderas ur systemet efter det att avtalet upphör att gälla eller så meddelar avtalsparten (organisationen) att personen raderas. I annat fall bevaras personuppgifterna i SRM-registret i högst 10 år.

Datainsamlingsformulären (webbformuläret, Webropol, Questback) förvaras tills uppgifterna har överförts till de potentiella tjänsteproducenternas kontaktregister, dock högst 1 år.

Uppgifter om potentiella tjänsteproducenters personer som de registrerade har lämnat endast för marknadsföringskommunikation raderas när personen återkallar sitt samtycke för marknadsföringskommunikation. Uppgifterna raderas dock 10 år efter det att samtycket gavs, om samtycket inte återkallas före det.

9. De registrerades rättigheter

En registrerad person kan utöva sina rättigheter enligt dataskyddsförordningen i följande ärenden:

Rätt till tillgång till personuppgifter (information om behandlingen av egna personuppgifter)
Rätt att återkalla samtycke till behandling av personuppgifter i sin helhet, om samtycket har givits enbart för direktmarknadsföringsändamål
Rätt att få sina personuppgifter korrigerade
Rätt att få sina personuppgifter raderade
Rätt att begränsa behandlingen av sina personuppgifter
Rätt att motsätta sig behandlingen av sina personuppgifter och rätt att motsätta sig marknadskommunikation
Rätt att inte bli föremål för automatiserat beslutsfattande utan att veta om det.

Den personuppgiftsansvarige ska på begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artiklarna 15–22 i GDPR. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden. Den personuppgiftsansvarige ska underrätta den registrerade om en sådan förlängning inom en månad från det att begäran mottagits samt ange orsakerna till förseningen. Om den registrerade lämnar begäran i elektronisk form, ska informationen om möjligt tillhandahållas i elektronisk form, om den registrerade inte begär något annat (artikel 12.3 i GDPR).

Den registrerade har också rätt att göra anmälan till dataombudsmannen.