Facebook

(katso arkistoitu versio täältä)

Kun ihmiset käyttävät Facebook-tuotteita, kuten sivuja, Facebook (myös ”me”) kerää tietoja Facebookin tietokäytännön kohdassa ”Millaisia tietoja keräämme?” kuvatulla tavalla (tietoja tavoista, joilla käytämme evästeitä ja vastaavia teknologioita, löydät evästekäytännöstämme).

Näihin kuuluvat tiedot siitä, miten ihmiset käyttävät Facebook-tuotteita, esimerkiksi millaisen sisällön kanssa he toimivat, millaista sisältöä he katsovat tai miten he muutoin toimivat (katso Facebookin tietokäytännön kohta ”Asiat, joita sinä ja muut teette ja tarjoatte”) sekä heidän käyttämiensä laitteiden tiedot (esim. IP-osoitteet, käyttöjärjestelmä, selaintyyppi, kieliasetukset ja evästetiedot; katso Facebookin tietokäytännön kohta ”Laitetta koskevat tiedot”). Facebookin keräämät tiedot riippuvat siitä, käyttävätkö ihmiset Facebook-tuotteita ja miten he niitä käyttävät.

Kuten Facebookin tietokäytännön kohdassa ”Miten käytämme näitä tietoja?” kerrotaan, Facebook kerää ja käyttää tietoja myös tarjotakseen sivujen ylläpitäjille analytiikkapalveluita, joita kutsutaan nimellä sivun kävijätiedot, auttaaksemme heitä ymmärtämään, miten ihmiset vuorovaikuttavat heidän sivujensa ja niihin liittyvän sisällön kanssa. Henkilökohtaisten tietojen käsittelyä sivun kävijätietoja varten saattaa koskea alla oleva yhteistä rekisterinpitoa koskeva järjestely (sivun kävijätietojen hallinnoija -lisäys).

Tietojen käsittely sivun kävijätietoja varten

Sivun kävijätiedot ovat koottuja tilastoja, jotka luodaan tietyistä tapahtumista, jotka Facebook-palvelimet kirjaavat lokiin, kun ihmiset ovat vuorovaikutuksessa sivujen ja niihin liittyvän sisällön kanssa.

Tällaiset tapahtumat koostuvat seuraavien esimerkkien kaltaisista erilaisista kyseessä olevasta tapahtumasta riippuvista tietopisteistä:

• Toiminta. Tähän kuuluvat seuraavanlaiset toiminnat (voit nähdä sivullasi saatavilla olevat toiminnat sivun kävijätiedot -osiossasi):
  • Sivun, julkaisun, videon, tarinan tai muun sivuun liittyvän sisällön katsominen
  • Vuorovaikutus tarinan kanssa
  • Sivun seuraaminen tai seuraamisen lopettaminen
  • Sivusta tai julkaisusta tykkääminen tai tykkäämisen peruminen
  • Sivun suositteleminen julkaisussa tai kommentissa
  • Sivun julkaisuun kommentoiminen, reagoiminen (myös reaktion tyyppi) tai julkaisun jakaminen
  • Sivun julkaisun piilottaminen tai sen ilmoittaminen roskapostiksi
  • Hiiren osoittimen pitäminen sivulle vievän linkin, sivun nimen tai profiilikuvan päällä sivun sisällön esikatselun näyttämiseksi
  • Verkkosivusto-, puhelinnumero- tai hae ohjeita -painikkeen tai muun painikkeen painaminen sivulla
  • Sivun tapahtuman pitäminen näytöllä, tapahtumaan vastaaminen (myös reaktion tyyppi) ja tapahtuman lipunmyyntiin johtavan linkin painaminen
  • Messenger-viestinnän aloittaminen sivun kanssa
  • Sivun kaupan kohteiden katseleminen tai niiden painaminen
• Tiedot toiminnasta, toimintaan ryhtyneestä henkilöstä ja siihen käytetystä selaimesta/sovelluksesta, kuten esimerkiksi seuraavat:
  • Toiminnan päivämäärä ja aika
  • Maa/kaupunki (arvioidaan IP-osoitteen perusteella tai tuodaan sisään kirjautuneen käyttäjän käyttäjäprofiilista)
  • Kielikoodi (selaimen http-otsikosta ja/tai kieliasetuksesta)
  • Ikä-/sukupuoliryhmä (käyttäjäprofiilista vain sisään kirjautuneiden käyttäjien kohdalla)
  • Verkkosivusto, jolla aiemmin vierailtiin (selaimen http-otsikosta)
  • Suoritettiinko toiminta tietokoneelta vai mobiililaitteelta (selaimen käyttäjäagentista tai sovelluksen ominaisuuksista)
  • Facebook-käyttäjätunnus (vain sisään kirjautuneiden käyttäjien kohdalla)

Määrittelemme evästeiden kautta ja evästekäytäntömme mukaisesti ovatko ihmiset sisään kirjautuneita Facebook-käyttäjiä. Facebookiin kirjautumattomat ihmiset voivat laukaista vain muutaman tapahtuman. Näihin kuuluu sivulla vierailu tai julkaisussa olevan kuvan tai videon painaminen sen katselemiseksi.

Sivun ylläpitäjillä ei ole pääsyä henkilökohtaisiin tietoihin, joita käsitellään tapahtumien osana. Heillä on pääsy vain koottuihin sivun kävijätietoihin. Sivun kävijätietojen luomiseen käytetyt tapahtumat eivät säilytä IP-osoitteita, evästetunnuksia tai mitään muita ihmisiin tai heidän laitteisiinsa liittyviä tunnisteita, paitsi Facebookiin kirjautuneiden henkilöiden Facebook-käyttäjätunnuksen.

Vain Facebook voi määrittää tapahtumat, jotka Facebook kirjaa lokiin sivun kävijätietojen luomiseksi, eivätkä sivujen ylläpitäjät voi asettaa tai muuttaa niitä tai muutoin vaikuttaa niihin.

Kun ihmisten vuorovaikutus sivusi ja siihen liittyvän sisällön kanssa laukaisee sellaisen sivujen kävijätietoja varten tarkoitetun tapahtuman luomisen, johon sisältyy henkilökohtaisia tietoja, joiden käsittelykeinot ja -tarkoitukset sinä (ja/tai kuka tahansa kolmas osapuoli, jonka puolesta luot sivun tai hallinnoit sitä) päätät yhdessä Facebook Ireland Limitedin kanssa, tiedostat ja hyväksyt omasta puolestasi (ja kaikkien tällaisten kolmansien osapuolten edustajana), että tämä sivun kävijätietojen hallinnoija -lisäys (”Sivun kävijätietojen lisäys”) on voimassa:

• Sinä ja Facebook Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2 Irlanti (”Facebook Ireland” tai ”me”; yhdessä ”Osapuolet”), tiedostatte ja suostutte toimimaan rekisterinpitäjinä yhdessä yleisen tietosuoja-asetuksen (GDPR) tällaisten henkilökohtaisten tietojen käsittelyä tapahtumissa sivun kävijätietoja (”Kävijätiedot”) varten koskevan artiklan 26 mukaisesti. Yhteinen rekisterinpito kattaa näiden tapahtumien luomisen ja niiden kokoamisen sivun kävijätiedoiksi, jotka annetaan sivujen ylläpitäjille. Osapuolet hyväksyvät, että yhteispäätökseen perustuvat käsittelytavat ja -tarkoitukset eivät koske mitään muuta sivuun ja/tai sen sisältöön liittyvien henkilökohtaisten tietojen käsittelyä. Näissä tapauksissa Facebook Ireland ja sinä (tilanteen mukaan) pysytte erillisinä ja itsenäisinä rekisterinpitäjinä.
• Tämän sivun kävijätietojen lisäyksen säännökset koskevat kävijätietojen käsittelyä. Ne koskevat kaikkia toimia, joiden aikana Facebook Ireland, sen työntekijä(t) tai sen käsittelijä(t) käsittelevät kävijätietoja.
• Facebook Irelandin ja sinun vastuut noudattaa yleisen tietosuoja-asetuksen (GDPR) kävijätietojen käsittelyä koskevia velvoitteita määritellään seuraavasti:
  • Facebook Ireland: Facebook Ireland takaa, että sillä on kävijätietojen käsittelyyn laillinen peruste, joka kuvataan Facebook Irelandin tietokäytännössä (katso kohta ”Mikä on laillinen perusteemme tietojen käsittelylle?”). Ellei tässä sivun kävijätietojen lisäyksessä toisin määritetä, sinun ja Facebook Irelandin välillä Facebook Ireland ottaa vastuun sovellettavien yleisen tietosuoja-asetuksen (GDPR) kävijätietojen käsittelyä koskevien velvoitteiden noudattamisesta (mukaan lukien, näihin rajoittumatta, GDPR:n artiklat 12 ja 13, 15 - 21 ja 33 sekä 34). Facebook Ireland ottaa käyttöön asianmukaiset tekniset ja organisaatiota koskevat keinot varmistaakseen käsittelyn turvallisuuden GDPR:n artiklan 32 mukaisesti. Näihin kuuluu alla olevassa liitteessä luetellut keinot (joita päivitetään ajoittain, esimerkiksi teknologisen kehityksen myötä). Kaikkia kävijätietojen käsittelyyn osallistuvia Facebook Irelandin työntekijöitä sitoo asianmukaiset velvoitteet säilyttää kävijätietojen luottamuksellisuus.
  • Sivujen ylläpitäjät: Sinun tulee varmistaa, että sinulla on myös laillinen peruste kävijätietojen käsittelyyn. Facebook Irelandin Tietoja sivun kävijätiedoista -kohdan kautta rekisteröidyille henkilöille toimittamien tietojen lisäksi sinun pitää osoittaa oma laillinen perusteesi sekä lainmukaiset pyrkimyksesi ja, mikäli sovellettavissa, omalla puolellasi toimivat vastuussa olevat rekisterinpitäjät, heidän yhteystietonsa sekä tietosuojavastaavan tai -vastaavien yhteystiedot (GDPR:n artikla 13(1)(a-d)), mikäli sellainen löytyy.
• Facebook Ireland tuo tämän sivun kävijätietojen lisäyksen ydinsisällön kaikkien rekisteröityjen henkilöiden nähtäville (GDPR:n artikla 26(2)). Tämä tehdään tällä hetkellä Tietoja sivun kävijätiedoista -tiedoilla, joihin pääsee kaikilta sivuilta.
• Facebook Ireland päättää oman harkintansa perusteella, kuinka se noudattaa tämän sivun kävijätietojen lisäyksen mukaisia velvoitteitaan. Tiedostat ja hyväksyt, että vain Facebook Irelandilla on valta ja toimeenpanna kävijätietojen käsittelyä koskevia päätöksiä. Tiedostat ja hyväksyt myös, että yhteisen rekisterinpidon johtava valvova viranomainen on Irlannin tietosuojakomissio (sovellettavuuden mukaan GDPR:n artiklasta 55(2) huolimatta).
• Tämä sivun kävijätietojen lisäys ei anna sinulle minkäänlaista oikeutta pyytää paljastamaan Facebookin käyttäjien henkilökohtaisia tietoja, joita käsitellään Facebook-tuotteiden yhteydessä, esimerkiksi sinulle tarjoamiamme sivun kävijätietoja varten.
• Osapuolet nimittävät rekisteröityjen henkilöiden yhteyspisteiksi viestintäkanavat, joihin viitataan kohdassa Tietoja sivun kävijätiedoista tai missä tahansa muussa myöhemmässä asiakirjassa.
• Mikäli rekisteröidyt henkilöt käyttävät GDPR:n mukaisia kävijätietojen käsittelyä koskevia oikeuksiaan sinua vastaan (GDPR:n artikla 26(3)) tai valvova viranomainen ottaa sinuun yhteyttä kävijätietojen käsittelyä koskien (kukin näistä on ”Pyyntö”), lähetät kaikki oleelliset tällaisia pyyntöjä koskevat tiedot meille nopeasti, vähintään 7 kalenteripäivän kuluessa. Tätä tarkoitusta varten voit lähettää tämän kaavakkeen. Facebook Ireland suostuu vastaamaan rekisteröityjen henkilöiden pyyntöihin noudattaen tämän sivun kävijätietojen lisäyksen mukaisia velvoitteitamme. Suostut tekemään kohtuuden rajoissa ja nopeasti kaiken mahdollisen toimiaksesi kanssamme yhteistyössä tällaisiin pyyntöihin vastattaessa. Sinulla ei ole valtuuksia toimia tai vastata Facebook Irelandin puolesta.
• Jos käytät sivua, hyväksyt, että mikä tahansa haaste, kanne tai kiista, jonka nostat tai panet vireille meitä vastaan tai joka on seurausta tästä sivun kävijätietojen lisäyksestä tai liittyy siihen täytyy ratkaista yksinomaan Irlannin tuomioistuimissa. Myönnyt myös peruuttamattomasti irlantilaisten tuomioistuimien toimivaltaan tällaisten haasteiden tai kanteiden käräjöinneissä ja hyväksyt, että Irlannin lait hallinnoivat tätä sivun kävijätietojen lisäystä lainvalintasäännöistä huolimatta. Jos olet Euroopan unionin jäsenvaltiossa asuva kuluttaja, vain käyttöehtojemme osa 4.4 on voimassa.
• Voimme joutua päivittämään tätä sivun kävijätietojen lisäystä ajoittain. Jos jatkat sivujen käyttöä saatuasi ilmoituksen tähän sivun kävijätietojen lisäykseen tehdystä päivityksestä, annat suostumuksesi niiden sitovuuteen. Jos et hyväksy päivitettyä sivun kävijätietojen lisäystä, lopeta sivujen käyttäminen. Jos olet Euroopan unionin jäsenvaltiossa asuva kuluttaja, vain käyttöehtojemme osa 4.1 on voimassa.
• Jos jokin tämän sivun kävijätietojen lisäyksen kohta todetaan pätemättömäksi, sen muut kohdat pysyvät edelleen voimassa täysimääräisinä. Jos jokin tämän sivun kävijätietojen lisäyksen kohta jätetään täytäntöön panematta, tätä ei katsota kyseisestä kohdasta luopumiseksi. Kaikkien pyytämiesi näihin käyttöehtoihin liittyvien muutosten ja luopumisten on oltava kirjallisia ja meidän allekirjoittamiamme.
• Tämä sivun kävijätietojen lisäys koskee vain asetuksen (EU) 2016/679 (”GDPR”) kattamaa henkilökohtaisten tietojen käsittelyä. Tässä sivun kävijätietojen lisäyksessä käytetyt termit ”henkilökohtaiset tiedot”, ”käsittely”, ”rekisterinpitäjä”, ”käsittelijä”, ”valvova viranomainen” ja ”rekisteröity henkilö” noudattavat niille yleisessä tietosuoja-asetuksessa (GDPR) annettuja merkityksiä.

Liite: Turvallisuus

Facebook-sivut ja sivun kävijätiedot kuuluvat ”Sovellettaviin tuotteisiin”.

1. Tietoturvallisuuden järjestäminen
   Facebook on nimittänyt turvallisuusvastaavan, jolla on kattava vastuu organisaation turvallisuudesta. Facebookilla on henkilöstöä, joka vastaa sovellettavien tuotteiden turvallisuuden valvomisesta.
2. Fyysinen ja ympäristön turvallisuus
   Facebookin turvakeinoihin kuuluu hallintakeinoja, jotka on suunniteltu takaamaan kohtuuden rajoissa, että fyysinen pääsy tietojenkäsittelylaitoksiin on rajoitettu vain valtuutetuille henkilöille ja että käytössä on ympäristön hallintakeinoja, joiden avulla voidaan havaita, ehkäistä ja hallita ympäristöriskien aiheuttamia tuhoja. Näihin hallintakeinoihin kuuluvat:
1. Tietojenkäsittelylaitoksen työntekijöiden ja alihankkijoiden fyysisten kulku- ja pääsytietojen kirjaaminen ja tarkastaminen,
2. Kameravalvontajärjestelmät tietojenkäsittelylaitoksissa,
3. Järjestelmät, jotka valvovat ja hallinnoivat tietokonelaitteiston ja tietojenkäsittelylaitoksen lämpötilaa ja kosteustasoa,
4. Virtalähde ja varageneraattorit tietojenkäsittelylaitoksissa,
5. Toimenpiteet tietojen turvalliseen poistamiseen ja hävittämiseen, sovellettavien tuotteiden käyttöehtojen mukaisesti ja
6. Menettelytavat, jotka edellyttävät kaikilta sovellettavien tuotteiden parissa työskenteleviltä henkilöstön jäseniltä henkilökortin kaikkiin Facebook-laitoksiin ja -tiloihin pääsemiseksi.

3. Henkilöstö
1. Koulutus. Facebook varmistaa, että kaikki kävijätietoihin pääsevät henkilökunnan jäsenet saavat turvallisuuskoulutuksen.
2. Seulonta ja taustatarkistukset. Facebookilla on prosessi, jonka avulla voidaan:
   1. varmistaa kävijätietoihin pääsevien henkilöstön jäsenten henkilöllisyys ja
   2. suorittaa lain sallimissa tilanteissa taustatarkistuksia henkilöstölle, joka työskentelee sovellettavien tuotteiden parissa tai tukee niihin liittyviä osa-alueita, Facebookin standardin mukaisesti.

3. Henkilöstön tietoturvaloukkaukset. Facebook ryhtyy kurinpitotoimiin, mikäli Facebookin henkilöstö käyttää kävijätietoja luvatta. Kurinpidollisiin keinoihin kuuluu lain sallimissa tilanteissa erilaiset rangaistukset ja jopa irtisanominen.

4. Turvallisuuden testaaminen
   Facebook suorittaa säännöllisin väliajoin turvallisuutta ja mahdollisia tietoturva-aukkoja analysoivia testejä arvioidakseen käytetäänkö keskeisiä hallintakeinoja oikein ja tehokkaasti.
5. Pääsyn hallinta
1. Salasanojen hallinnoiminen. Facebookilla on käytössään henkilöstönsä salasanojen hallinnoimisprosessi, joka on suunniteltu varmistamaan, että salasanat ovat jokaiselle yksilölle henkilökohtaisia ja valtuuttamattomien henkilöiden pääsyn ulottumattomissa. Vähimmillään tähän kuuluu:
   1. salasanan varaaminen, mukaan lukien menettelytavat, jotka on suunniteltu käyttäjän henkilöllisyyden varmistamiseen ennen uutta, korvaavaa tai tilapäistä salasanaa,
   2. kaikkien salasanojen suojaaminen salakirjoituksella kun ne säilötään tietokonejärjestelmissä tai kun niitä siirretään verkon välityksellä,
   3. alihankkijoilta ja myyjiltä saatujen oletussalasanojen muuttaminen,
   4. vahvat salasanat suhteessa käyttötarkoitukseensa ja
   5. hyviä salasanakäytäntöjä koskeva koulutus.

2. Pääsyn hallinnoiminen. Facebook myös hallinnoi ja valvoo henkilöstönsä pääsyä sen järjestelmiin seuraavilla keinoilla:
1. vakiintuneet menettelytavat, joiden avulla pääsyoikeuksia ja käyttäjätunnuksia voidaan vaihtaa tai kumota ilman viiveitä,
2. vakiintuneet menettelytavat, joilla vaarantuneista pääsy- ja kirjautumistiedoista (salasanat, tunnukset, jne.) voidaan tehdä ilmoituksia ja niitä voidaan kumota,
3. asianmukaisten turvallisuuslokien ylläpitäminen, sovellettavuuden mukaan myös käyttäjätunnusten ja aikaleimojen kanssa,
4. kellojen synkronoiminen NTP:n kanssa ja
5. seuraavien käyttäjän pääsyn hallinnoimisen minimitapahtumien kirjaaminen lokiin:
• Valtuutuksen muutokset,
• Epäonnistuneet ja onnistuneet todennukset ja pääsy-yritykset ja
• Luku- ja kirjoitusoperaatiot.
6. Viestinnän turvallisuus
1. Verkon turvallisuus
1. Facebook käyttää alan standardien mukaista teknologiaa verkkojen erotteluun.
2. Verkon etäyhteys Facebook-järjestelmiin edellyttää salakirjoitettua viestintää turvattujen protokollien kautta sekä monivaiheista todentamista.

2. Siirrettävän tiedon turvaaminen. Facebook valvoo ja varmistaa, että käytössä on asianmukaiset protokollat, jotka on suunniteltu turvaamaan julkisten verkkojen välityksellä siirrettävien tietojen luottamuksellisuus.

7. Tietoturva-aukkojen ja -heikkouksien hallinta
   Facebook perustaa sovellettavat tuotteet kattavan tietoturva-aukkojen hallintaohjelman ja ylläpitää sitä. Ohjelmaan kuuluu tietoturva-aukkojen ja -heikkouksien valvonnan roolien ja vastuualueiden määrittäminen, tietoturva-aukkojen ja -heikkouksien riskiarviot sekä päivitysten julkaiseminen.
8. Tietoturvahäiriöiden hallinnoiminen
1. Facebook ylläpitää toimintasuunnitelmaa jonka tehtävä on valvoa, havaita ja hoitaa kävijätietoihin vaikuttavat mahdolliset turvallisuusvaarat. Tietoturvahäiriöiden toimintasuunnitelma sisältää vähimmillään roolien ja vastuualueiden määrittämisen, viestinnän ja post mortem -tarkistukset, joihin kuuluu ongelman aiheuttaneen syyn analysointi ja korjaussuunnitelmat.
2. Facebook valvoo kävijätietoihin vaikuttavien tietoturvaloukkausten ja haitallisen toiminnan varalta.