Soveltamisala ja määritelmät

Tietosuojakäytäntö tarkoittaa tässä asiakirjassa Gambiva casino -palvelussa sovellettavaa henkilötietojen käsittelyä koskevaa kuvausta, joka täsmentää rekisteröityjen asemaa ja rekisterinpitäjän velvoitteita. Asiakirja koskee kaikkia tilanteita, joissa tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja käsitellään verkkosivustolla gambiva-casino-online.com ja siihen liittyvissä toiminnoissa. Soveltamisala kattaa sekä asiakassuhteen hallinnan että lakisääteisten velvoitteiden täyttämisen, mukaan lukien rahanpesun ja terrorismin rahoittamisen estämiseen liittyvät tarkastukset. Tämä asiakirja ei kuvaa kolmansien osapuolten omia tietosuojakäytäntöjä, vaikka palvelussa voi olla linkkejä tai integroitua teknologiaa, jonka osalta sovelletaan erillisiä ehtoja.

Rekisterinpitäjä, roolit ja yhteydenpidon periaatteet

Käsittelyn järjestämisessä noudatetaan Suomessa sovellettavaa yleistä tietosuoja asetusta (EU) 2016/679 sekä kansallista tietosuojalainsäädäntöä, ja tulkinnassa huomioidaan valvontaviranomaisen ohjeistus. Rekisterinpitäjänä toimii palvelun ylläpidosta vastaava taho, joka määrittää käsittelyn tarkoitukset ja keinot, ja joka voi käyttää henkilötietojen käsittelijöitä sopimuksin. casino Gambiva -palvelussa roolijako voi sisältää erillisiä toimittajia esimerkiksi maksamisen, tunnistamisen tai tietoturvan osalta, jolloin näiden toimijoiden asema määräytyy sopimusjärjestelyjen perusteella. Yhteydenpito toteutetaan ensisijaisesti kirjallisesti, ja tietopyyntöihin vastataan hallitusti siten, että henkilöllisyys varmistetaan asianmukaisesti ja tarpeettomat tiedot minimoidaan.

Henkilötietoryhmät ja tietosisällöt

Tietosuojakäytäntö kattaa useita henkilötietoryhmiä, joita käsitellään palvelun tarjoamista ja lainmukaisuutta varten. Tunnistetiedot voivat sisältää nimen, syntymäajan, kansalaisuuden sekä asiakastilin yksilöivät tiedot, ja yhteystiedot voivat sisältää sähköpostiosoitteen, puhelinnumeron sekä asuinosoitteen. Taloudelliset tiedot voivat käsittää maksutapahtumiin liittyviä viitteitä, talletus ja kotiutuspyyntöjen metatietoja sekä petosriskin arvioinnin kannalta välttämättömiä tietoja, kuitenkin siten, ettei maksukorttien täydellisiä tietoja säilytetä rekisterinpitäjän omissa järjestelmissä. Tekniset ja lokitiedot voivat sisältää IP osoitteen, laitetunnisteita, kirjautumisajankohtia, 2 vaiheisen todennuksen lokimerkintöjä sekä virhetilanteiden diagnostiikkaan liittyviä tapahtumatietoja.

Tietojen keräämisen lähteet ja muodostamistavat

Tietoja kerätään ensisijaisesti silloin, kun rekisteröity luo käyttäjätilin, käyttää palvelua, ottaa yhteyttä tai suorittaa maksutapahtumia, jolloin tiedot annetaan suoraan rekisterinpitäjälle tai käsittelijälle. casino Gambiva -ympäristössä tietoja syntyy myös automaattisesti palvelun käytön yhteydessä, kuten istunnon hallinnassa, tietoturvalokeissa ja käyttöoikeuksien valvonnassa, ja näitä tietoja hyödynnetään ensisijaisesti järjestelmän toimivuuden ja väärinkäytösten ehkäisyn varmistamiseksi. Lisäksi tietoja voidaan saada luotettavista ulkoisista lähteistä, kuten henkilöllisyyden todentamisen tarjoajilta, maksunvälittäjiltä sekä viranomaisilta silloin, kun laki edellyttää tietojen toimittamista tai tarkastamista. Tietojen yhdistelyä rajoitetaan tarkoitussidonnaisuuden periaatteella, ja rekisterinpitäjä pyrkii käyttämään vain niitä lähteitä, joiden tietojen laatu voidaan kohtuudella varmistaa.

Käsittelyn oikeusperusteet ja lakisääteinen velvoittavuus

Henkilötietojen käsittely perustuu sopimuksen täytäntöönpanoon silloin, kun käsittely on tarpeen käyttäjätilin hallinnoimiseksi, talletusten ja kotiutusten toteuttamiseksi tai palvelun tekniseksi tuottamiseksi. Lakisääteinen velvoite muodostaa erillisen oikeusperusteen esimerkiksi rahanpesun estämiseen liittyville tarkistuksille, asiakirjojen säilyttämiselle ja raportointivelvollisuuksille, joita voidaan soveltaa vähintään 5 vuoden ajan soveltuvan sääntelyn mukaisesti. Oikeutettu etu voi olla peruste tietoturvan varmistamiselle, petosten torjunnalle sekä palvelun toiminnan kehittämiselle, kun arvioinnissa huomioidaan rekisteröidyn oikeudet ja odotukset. Suostumukseen perustuva käsittely rajoittuu tyypillisesti evästeisiin ja vastaaviin teknologioihin sekä valinnaisiin asetuksiin, ja suostumus voidaan peruuttaa milloin tahansa vaikuttamatta ennen peruutusta tehdyn käsittelyn lainmukaisuuteen.

Käsittelyn tarkoitukset ja käyttökontekstit

Tietosuojakäytäntö määrittelee, että henkilötietoja käsitellään palvelun tarjoamiseksi, käyttäjätilin ylläpitämiseksi ja tapahtumien kirjaamiseksi, mukaan lukien asiakastuen käsittely, jossa viestejä voidaan säilyttää asianmukaisen selvityksen varmistamiseksi. Käsittely voi olla tarpeen myös vastuullisuuteen liittyvien rajoitusten soveltamiseksi, kuten käyttörajojen hallinnaksi, itse asetettujen estojen toimeenpanoksi sekä väärinkäytösepäilyjen tutkinnaksi, jolloin käsittely perustuu sopimukseen, lakisääteiseen velvoitteeseen tai oikeutettuun etuun. casino Gambiva -palvelussa henkilötietoja voidaan käyttää myös palvelun laadun varmentamiseen, kuten järjestelmätestaukseen, lokien tarkasteluun ja häiriöiden analysointiin, missä tietojen minimointi ja pääsynhallinta ovat keskeisiä. Rekisterinpitäjä ei lähtökohtaisesti tee yksinomaan automaattiseen päätöksentekoon perustuvia ratkaisuja, joilla olisi rekisteröityyn merkittäviä oikeusvaikutuksia, ja mahdollisissa riskinarvioinneissa säilytetään mahdollisuus manuaaliseen tarkasteluun.

Säilytysajat, poistaminen ja arkistointiperiaatteet

Säilytysaikojen määrittelyssä sovelletaan tarpeellisuusperiaatetta, ja tietoja säilytetään vain niin kauan kuin käsittelyn tarkoitus ja oikeusperuste edellyttävät, minkä jälkeen tiedot poistetaan tai anonymisoidaan. Käyttäjätilin perustiedot säilytetään tyypillisesti asiakassuhteen ajan ja sen päättymisen jälkeen enintään 24 kuukauden ajan, ellei pidempi säilytys ole tarpeen oikeusvaateiden laatimiseksi, esittämiseksi tai puolustamiseksi. Tunnistamiseen ja lakisääteiseen vaatimustenmukaisuuteen liittyvät asiakirjat voidaan säilyttää 5 vuotta asiakassuhteen päättymisestä, ja säilytysaika voi pidentyä, jos viranomaismenettely tai riitaprosessi sitä edellyttää. Tekniset lokitiedot säilytetään pääsääntöisesti 90 päivän ajan tietoturvan valvontaa varten, ja pidempi säilytys edellyttää tapauskohtaista perustetta, dokumentoitua päätöstä ja käyttöoikeuksien rajaamista.

Evästeet ja vastaavat seurantateknologiat

Tietosuojakäytäntö soveltaa evästeisiin ja vastaaviin tunnisteisiin läpinäkyvyyden periaatetta, jossa olennaiset toiminnot erotetaan valinnaisista teknologioista. Välttämättömiä evästeitä voidaan käyttää esimerkiksi istunnon ylläpitämiseen, turvalliseen kirjautumiseen ja väärinkäytösten torjuntaan, koska ilman niitä palvelu ei toimi luotettavasti tai turvallisesti. Valinnaiset evästeet, kuten analytiikkaan liittyvät tunnisteet, edellyttävät lähtökohtaisesti suostumusta, ja suostumuksen hallinta toteutetaan asetusten kautta siten, että valinta voidaan muuttaa myöhemmin. Seurantaan liittyvien tietojen säilytysajat vaihtelevat teknologian mukaan, ja analytiikkatunnisteita voidaan säilyttää esimerkiksi 12 kuukauden ajan, ellei suostumusta peruuteta tai poistamista pyydetä soveltuvin rajoituksin.

Tietojen luovutukset, vastaanottajaryhmät ja salassapito

Tietoja voidaan luovuttaa sopimussuhteessa toimiville käsittelijöille, jotka tuottavat palvelun kannalta välttämättömiä osia, kuten maksujen välittämistä, henkilöllisyyden todentamista, asiakastukea, tietoturvapalveluja ja infrastruktuuripalveluja. casino Gambiva -toiminnassa vastaanottajaryhmät voivat vaihdella valitun maksutavan ja maantieteellisen sijainnin perusteella, mutta luovutukset rajoitetaan aina siihen, mikä on tarpeellista sovitun palvelun toteuttamiseksi. Tietoja voidaan luovuttaa viranomaisille, tuomioistuimille tai muille toimivaltaisille tahoille, jos luovutus perustuu lakiin, määräykseen tai sitovaan pyyntöön, ja tällöin rekisterinpitäjä arvioi pyynnön laillisuuden ennen tietojen toimittamista. Rekisterinpitäjä ei myy henkilötietoja, eikä luovuta niitä kolmansille osapuolille niiden omiin markkinointitarkoituksiin ilman asianmukaista oikeusperustetta.

Kansainväliset siirrot ja siirtomekanismit

Tietosuojakäytäntö huomioi, että palvelun tekninen toteutus voi edellyttää henkilötietojen käsittelyä tai saatavuutta Suomen tai Euroopan talousalueen ulkopuolella, esimerkiksi pilvipalvelujen ylläpidossa. Mikäli tietoja siirretään kolmansiin maihin, siirrot toteutetaan vain, jos siirrolle on yleisen tietosuoja asetuksen mukainen peruste, kuten komission antama riittävyyspäätös tai vakiolausekkeisiin perustuva suojatoimi. Siirtoihin liitetään tarvittaessa lisätoimenpiteitä, kuten salaus, pseudonymisointi ja tiukennettu pääsynhallinta, jotta riskitaso pysyy hyväksyttävänä myös 1 tai useamman alihankintaketjun kautta. Rekisteröidylle pyritään antamaan pyynnöstä yleiskuva sovellettavista siirtomekanismeista, siltä osin kuin tietojen antamista ei rajoita liikesalaisuuksia tai turvallisuutta koskevat perusteet.

Tietoturva, riskienhallinta ja vastuuvelvollisuus

Rekisterinpitäjä toteuttaa organisatorisia ja teknisiä toimenpiteitä henkilötietojen suojaamiseksi luvattomalta käsittelyltä, katoamiselta, muuttamiselta ja paljastumiselta, ja toimenpiteitä arvioidaan säännöllisesti riskiperusteisesti. Käytännön suojatoimet voivat sisältää salauksen siirrossa, pääsynhallinnan vähimmän oikeuden periaatteella, lokituksen, eriytetyt ympäristöt sekä henkilöstön luottamuksellisuusvelvoitteet, ja kriittiset käyttöoikeudet tarkastetaan esimerkiksi 6 kuukauden välein. Toimintavarmuutta ylläpidetään varmuuskopioinnilla ja palautusmenettelyillä, ja rekisterinpitäjä voi asettaa tavoitetason, jossa keskeisten järjestelmien palautettavuus on vähintään 99,5 prosenttia määritellyllä aikavälillä, mikäli tämä on toimintaympäristön kannalta perusteltua. Tietoturvaloukkauksissa noudatetaan ilmoitusvelvollisuuksia, ja tarvittaessa valvontaviranomaiselle ilmoitetaan ilman aiheetonta viivytystä sekä rekisteröidyille silloin, kun loukkaus todennäköisesti aiheuttaa korkean riskin heidän oikeuksilleen.

Rekisteröidyn oikeudet ja niiden käyttäminen

Rekisteröidyllä on oikeus saada pääsy häntä koskeviin tietoihin, oikeus oikaista virheelliset tiedot sekä oikeus tietyissä tilanteissa pyytää tietojen poistamista tai käsittelyn rajoittamista sovellettavan lainsäädännön edellytysten mukaisesti. Lisäksi rekisteröidyllä voi olla oikeus vastustaa käsittelyä, joka perustuu oikeutettuun etuun, ja oikeus siirtää tietyt itse toimittamansa tiedot järjestelmästä toiseen, jos käsittely perustuu suostumukseen tai sopimukseen ja tapahtuu automaattisesti. Tietosuojakäytäntö edellyttää, että pyyntöjen käsittelyssä varmistetaan henkilöllisyys ja pyyntö kohdennetaan oikeaan tietokokonaisuuteen, jotta tietoja ei paljasteta sivullisille. Pyyntöihin pyritään vastaamaan 30 päivän kuluessa, ja jos pyyntö on erityisen monimutkainen tai pyyntöjä on useita, määräaikaa voidaan pidentää enintään 60 päivällä, jolloin viivästyksen peruste ilmoitetaan.

Oikeus tehdä valitus valvontaviranomaiselle

Rekisteröidyllä on oikeus saattaa henkilötietojen käsittelyä koskeva asia toimivaltaisen valvontaviranomaisen tutkittavaksi, jos katsotaan, ettei käsittely ole lainmukaista. Suomessa toimivaltainen viranomainen on tietosuojavaltuutetun toimisto, ja valituksen voi tehdä riippumatta siitä, onko asiasta ensin oltu yhteydessä rekisterinpitäjään. Rekisterinpitäjä pyrkii kuitenkin ensisijaisesti ratkaisemaan epäselvyydet tehokkaasti ja dokumentoidusti, jotta käsittely saadaan viipymättä vastaamaan vaatimuksia. Valituksen tekeminen ei rajoita muita hallinnollisia tai oikeudellisia oikeussuojakeinoja.

Oikeuksien rajoitukset ja poikkeukset

Rekisteröidyn oikeuksien toteuttamista voidaan rajoittaa siltä osin kuin rajoitus perustuu lakiin ja on välttämätön esimerkiksi rahanpesun estämiseen, petosten torjuntaan tai oikeusvaateiden käsittelyyn liittyvien velvoitteiden täyttämiseksi. Poistopyyntö ei välttämättä johda tietojen poistamiseen, jos säilyttämiselle on lakisääteinen velvoite tai jos tiedot ovat tarpeen oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Pääsyoikeuden toteuttamisessa voidaan suojata muiden henkilöiden oikeuksia ja vapauksia, mukaan lukien liikesalaisuudet ja tietoturvaan liittyvät yksityiskohdat, jotka eivät ole luovutettavissa. Mahdollisista rajoituksista annetaan perusteltu vastaus, ellei sen antaminen ole laissa nimenomaisesti kielletty.

Yhteydenotot, tietopyynnöt ja asiakirjahallinta

casino Gambiva -palvelussa tietopyynnöt käsitellään keskitetysti, jotta varmistetaan yhdenmukainen arviointi, määräaikojen noudattaminen ja tietoturvallinen tiedonluovutus. Pyyntö voidaan toimittaa kirjallisesti, ja rekisterinpitäjä voi pyytää lisätietoja pyynnön yksilöimiseksi tai henkilöllisyyden varmistamiseksi, mikäli se on perustellusti tarpeen. Toimitettavat tiedot annetaan pääsääntöisesti sähköisessä muodossa, ellei toisin sovita tai ellei tietoturva edellytä vaihtoehtoista menettelyä, ja luovutuksissa huomioidaan luottamuksellisuus sekä minimoinnin periaate. Asiakirjahallinnassa ylläpidetään lokia pyyntöjen käsittelystä, jotta vastuuvelvollisuus voidaan osoittaa ja jotta sisäiset kontrollit voidaan todentaa esimerkiksi auditoinneissa.

Tietosuojakäytännön muutokset ja vaatimustenmukaisuuden sitoumus

Tietosuojakäytäntö päivitetään, kun käsittelytoimissa tapahtuu olennaisia muutoksia, kun sovellettava lainsäädäntö tai viranomaisohjeistus tarkentuu tai kun riskienhallinnassa tunnistetaan tarve kuvauksen täsmentämiselle. Päivitykset dokumentoidaan, ja olennaisista muutoksista tiedotetaan kohtuullisessa ajassa ennen niiden voimaantuloa palvelun sisäisten ilmoitusten tai verkkosivustolla julkaistavan tiedotteen kautta, kuitenkin siten, ettei ilmoittaminen vaaranna tietoturvaa tai estä lakisääteisten velvoitteiden täyttämistä. Rekisteröityjen pyyntöihin ja selvityksiin liittyvät menettelyt pidetään linjassa yleisen tietosuoja asetuksen kanssa, ja rekisterinpitäjä sitoutuu osoittamaan noudattavansa lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden periaatteita. Tietosuojakäytäntö muodostaa osan palvelun sisäistä hallintajärjestelmää, ja sen noudattamista tuetaan koulutuksella, toimittajahallinnalla ja valvonnalla siten, että henkilötietojen käsittely pysyy tarkoitussidonnaisena, tietojen minimointiin perustuvana ja suojattuna koko elinkaaren ajan. Mikäli muutokset vaikuttavat olennaisesti rekisteröidyn oikeuksiin tai käsittelyn luonteeseen, rekisterinpitäjä arvioi erikseen myös vaikutustenarvioinnin tarpeen ja toteuttaa tarvittavat lisätoimet ennen uuden käsittelyn käynnistämistä.