Palvelun tietosuojaseloste tarjoajille

1. Roolit ja yhteystiedot

BIDI (jäljempänä Palvelu) on The Better One Oy:n julkisten hankintojen kilpailutusalusta. Tarjoajien henkilötietoja käsitellään Palvelussa eri rooleissa, ja niihin sovelletaan eri sääntöjä.

• Palvelun käyttäjätilien, kirjautumisen, tietoturvan ja Palvelun käytöstä syntyvien lokitietojen osalta The Better One Oy on rekisterinpitäjä. Tämä seloste kuvaa ensisijaisesti tätä käsittelyä.
• Yritysprofiiliin ja tarjoajan muuhun omaan aineistoon, kuten keskeneräisiin tarjouksiin ja tuoterekisteriin, sisältyviä henkilötietoja käsittelemme tarjoajan organisaation antamina Palvelun tuottamiseksi sille.
• Jätetty tarjous on osa sen saaneen hankintayksikön hankinta-aineistoa. Siihen sisältyvien henkilötietojen rekisterinpitäjä on hankintayksikkö, ja The Better One Oy käsittelee niitä hankintayksikön lukuun.

The Better One Oy, Y-tunnus 3597598-3, Itätuulenkuja 10 A, LT 1, 02100 Espoo, Suomi. Tietosuoja-asiat: tietosuoja@bidi.fi. Muut yhteydenotot: myynti@bidi.fi.

2. Mitä tämä seloste kattaa

Seloste koskee Palvelun käyttäjiä tarjoajan puolella: tarjoajien edustajia, joilla on käyttäjätili, sekä henkilöitä, joiden tietoja tarjoaja tuo Palveluun, kuten tarjouksen yhteyshenkilöitä.

Hankintayksiköiden käyttäjien henkilötietojen käsittely kuvataan erikseen hankintayksiköiden palvelun tietosuojaselosteessa. Verkkosivuston www.bidi.fi käyttö, yhteydenotot ja markkinointiviestintä kuvataan sivuston tietosuojaselosteessa.

3. Mitä henkilötietoja käsittelemme ja mistä ne saadaan

Käyttäjätili

Nimi, sähköpostiosoite, organisaatio ja rooli siinä, Palvelun käyttöoikeudet, kielivalinta sekä käyttöehtojen hyväksymisen ajankohta ja versio. Nimi ja sähköpostiosoite saadaan kirjautumispalvelusta, organisaatio ja rooli käyttäjältä itseltään, organisaation pääkäyttäjältä tai kutsusta.

Kirjautuminen

Palveluun kirjaudutaan Microsoftin työ- tai koulutilillä, Google-tilillä tai sähköpostiosoitteella ja salasanalla. Kirjautumispalvelu välittää Palvelulle nimen, sähköpostiosoitteen ja tunnisteen. Salasanaa Palvelu ei näe eikä tallenna: sähköpostikirjautumisen salasanoja hallinnoi Microsoft Entra External ID.

Yritysprofiili

Yrityksen perustiedot, jotka voidaan hakea Patentti- ja rekisterihallituksen avoimista tiedoista (YTJ), sekä tiedot, jotka käyttäjä lisää profiiliin itse.

Palvelun käyttö

• Tekniset lokitiedot: käyttäjätunniste, sähköpostiosoite kirjautumisen ja uloskirjautumisen yhteydessä, organisaatio, pyydetty osoite ja aikaleima.
• Liitetiedostojen käsittelyloki: kuka latasi, avasi tai poisti tiedoston ja milloin, IP-osoite ja selaimen tunnistetiedot.
• Lisäkysymykset: kysymys, sen esittäjä ja ajankohta.
• Palvelun sisäiset ilmoitukset ja sähköposti-ilmoitusten toimitustiedot, sekä tieto siitä, mitä kilpailutuksia tarjoaja on avannut.

Tarjoukset

Tarjouksen yhteyshenkilön nimi, sähköpostiosoite ja puhelinnumero. Tarjouksissa on lisäksi tyypillisesti tarjoajan tiimin jäsenten ja referenssien yhteyshenkilöiden tietoja. Tiedot antaa tarjouksen laatinut käyttäjä.

Emme pyydä arkaluonteisia henkilötietoja. Palvelun käyttäjä vastaa siitä, ettei tuo niitä Palveluun tarpeettomasti.

4. Käsittelyn tarkoitukset ja oikeusperusteet

Kun olemme rekisterinpitäjä, käsittelemme henkilötietoja seuraaviin tarkoituksiin EU:n yleisen tietosuoja-asetuksen (2016/679) mukaisilla perusteilla.

Jätettyyn tarjoukseen sisältyvien henkilötietojen käsittelyn tarkoituksen ja perusteen määrittää hankintayksikkö rekisterinpitäjänä.

5. Tekoäly

Palvelun tarjoajille tarkoitetuissa toiminnoissa ei ole tekoälytoimintoja.

Hankintayksikkö voi käyttää Palvelun tekoälytoimintoja sille jätettyjen tarjousten arvioinnin tukena. Silloin tekoälylle voidaan välittää tarjouksen sisältöä, ja siinä voi olla henkilötietoja. Käsittely on hankintayksikön käsittelyä, ja siitä kerrotaan hankintayksiköiden palvelun tietosuojaselosteessa. Tekoäly ei tee hankintapäätöksiä. Tarjousten arvioinnista ja hankintapäätöksestä päättää ja vastaa hankintayksikkö.

6. Vastaanottajat ja alihankkijat

Emme myy emmekä vuokraa henkilötietoja. Palvelun sisällä tiedot näkyvät niille, joille Palvelun käyttötarkoitus ne ohjaa: tarjouksen yhteyshenkilön nimi, sähköpostiosoite ja puhelinnumero näkyvät tarjouksen saaneelle hankintayksikölle ja tulostuvat tarjouksesta muodostettavaan PDF-tiedostoon, lisäkysymys välitetään kilpailutuksen hankintayksikölle ja markkinakartoitukseen annettu vastaus sen järjestäneelle hankintayksikölle. Tarjous avautuu hankintayksikölle vasta tarjousajan päätyttyä.

Palvelun toteutuksessa käytämme seuraavia palveluntarjoajia. Kunkin kanssa on tietojenkäsittelysopimus.

• Microsoft Ireland Operations Ltd: Palvelun alusta Azure-pilvessä. Sovellukset, tietokanta, tiedostojen tallennus, viestijono, lokit, avainten säilytys, verkkoliikenteen suojaus, tiedostojen haittaohjelmatarkistus, sähköpostien lähetys (Azure Communication Services), kirjautuminen (Microsoft Entra ID ja Entra External ID) sekä tekoäly (Azure OpenAI), jota hankintayksikkö voi käyttää kohdan 5 mukaisesti.
• Google Ireland Limited: kirjautuminen, jos käyttäjä valitsee kirjautua Google-tilillä.

Kun hankintayksikkö julkaisee jälki-ilmoituksen Hilmaan (hankintailmoitukset.fi), ilmoituksessa on voittaneen tarjoajan nimi ja Y-tunnus. Julkaisusta päättää hankintayksikkö.

Palvelu hakee yritysten perustietoja Patentti- ja rekisterihallituksen avoimesta rajapinnasta ja julkisia hankintailmoituksia EU:n TED-palvelusta. Näihin hakuihin ei liitetä henkilötietoja.

Lisäksi voimme luovuttaa tietoja viranomaiselle, kun laki siihen velvoittaa.

7. Tietojen sijainti ja siirrot EU:n ja ETA-alueen ulkopuolelle

Palvelun sovellukset, tietokanta, tiedostot ja lokit sijaitsevat Microsoftin Azure-pilvessä Ruotsissa (Sweden Central). Kirjautumispalvelun ja sähköpostipalvelun tiedot sijaitsevat Euroopassa.

EU:n ja ETA-alueen ulkopuolelle tietoja voi siirtyä kahdessa tilanteessa: kun hankintayksikkö käyttää tekoälytoimintoja kohdan 5 mukaisesti, koska Azure OpenAI -palvelun käyttöönottotapa on maailmanlaajuinen ja Microsoft voi käsitellä yksittäisen pyynnön myös EU:n ja ETA-alueen ulkopuolella, sekä Microsoftin ja Googlen tukitoiminnoissa niiden omien ehtojen mukaisesti. Molemmat yhtiöt ovat sitoutuneet EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen (EU-U.S. Data Privacy Framework), ja siirrot perustuvat lisäksi Euroopan komission hyväksymiin vakiosopimuslausekkeisiin.

8. Säilytysajat

9. Tietoturva

Suojaamme henkilötiedot teknisin ja organisatorisin toimenpitein.

• Kaikki liikenne Palveluun on salattu (TLS 1.2 tai uudempi), ja tiedot ovat salattuina myös tallennettuina.
• Liikenne kulkee verkkosovelluspalomuurin kautta, eivätkä Palvelun taustapalvelut ole suoraan internetin saavutettavissa.
• Kirjautumisistunto on salattu ja päättyy viimeistään kahdeksan tunnin kuluttua, ja käyttöoikeudet tarkistetaan tietokannasta muutaman minuutin välein.
• Käyttöoikeudet perustuvat rooleihin ja organisaatioon, ja tarjoukset avautuvat hankintayksikölle vasta tarjousajan päätyttyä.
• Tiedostojen lataus- ja avauslinkit ovat voimassa vain muutaman minuutin, ja ladatut tiedostot tarkistetaan haittaohjelmien varalta.
• Salaisuudet ja avaimet säilytetään Azure Key Vaultissa, eikä niitä tallenneta sovelluskoodiin.

Jos henkilötietojen tietoturvaloukkaus tapahtuu, ilmoitamme siitä tietosuojavaltuutetun toimistolle 72 tunnin kuluessa ja sinulle, jos loukkaus todennäköisesti aiheuttaa korkean riskin oikeuksillesi. Jätettyjä tarjouksia koskevasta loukkauksesta ilmoitamme hankintayksikölle ilman aiheetonta viivytystä.

10. Evästeet ja selaimen tallennustila

Palvelu käyttää vain toiminnan kannalta välttämättömiä evästeitä: salattua kirjautumisistuntoa (enintään kahdeksan tuntia), kirjautumisen aikaista tarkistusevästettä (kymmenen minuuttia) ja kielivalintaa (vuosi). Käyttöliittymän asetukset tallentuvat selaimen omaan tallennustilaan. Palvelu ei käytä analytiikka- eikä markkinointievästeitä.

11. Sinun oikeutesi

Sinulla on tietosuoja-asetuksen mukaiset oikeudet omiin henkilötietoihisi: oikeus saada tietää, käsittelemmekö tietojasi, ja saada niistä jäljennös, oikeus pyytää virheellisen tiedon oikaisua, tietojen poistamista ja käsittelyn rajoittamista, oikeus siirtää antamasi tiedot toiselle rekisterinpitäjälle sekä oikeus vastustaa oikeutettuun etuun perustuvaa käsittelyä.

Kun olemme rekisterinpitäjä, pyynnön voi tehdä sähköpostitse osoitteeseen tietosuoja@bidi.fi. Voimme pyytää tarkentamaan pyyntöä tai varmistaa henkilöllisyytesi ennen kuin toimimme. Vastaamme kuukauden kuluessa. Jos pyyntö on poikkeuksellisen laaja, voimme jatkaa määräaikaa enintään kahdella kuukaudella ja kerromme siitä sinulle.

Jätettyyn tarjoukseen sisältyviä tietoja koskeva pyyntö on osoitettava tarjouksen saaneelle hankintayksikölle, joka on niiden rekisterinpitäjä. Jos pyyntö tulee meille, ohjaamme sen hankintayksikölle ja autamme sitä vastaamaan siihen. Yritysprofiilia ja tarjoajan muuta omaa aineistoa koskevan pyynnön voi tehdä meille samaan osoitteeseen.

Jos katsot, että käsittelemme tietojasi lainvastaisesti, voit tehdä valituksen tietosuojavaltuutetun toimistolle: PL 800, 00531 Helsinki, puhelin 029 566 6700, tietosuoja@om.fi. Toivomme kuitenkin, että olet ensin yhteydessä meihin.

12. Muutokset tähän selosteeseen

Päivitämme selostetta, kun Palvelu, käsittely tai käytettävät palveluntarjoajat muuttuvat. Ajantasainen versio on aina tällä sivulla, ja päivityspäivä näkyy sivun alussa. Olennaisista muutoksista kerromme Palvelussa, ja Palvelu pyytää sinua tutustumaan päivitettyyn selosteeseen seuraavan kirjautumisen yhteydessä.