Cloudpoint Oy Trust Center

1. Övergripande styrningsmodell för dubbla tjänsteportföljer

Cloudpoint Oy (FO-nummer 2325703-6, Malmbågen 17-19B, 00700 Helsingfors, Finland) verkar som officiell Google Cloud Premier Partner och leverantör av förvaltningstjänster för kommuner, utbildningsanordnare och företag i Finland och Norden. För att ge dataskyddsombud (DPO), informationssäkerhetsansvariga (CISO) och upphandlingsenheter full insyn beskrivs här arkitekturen och datagränserna för våra två tjänsteportföljer:

• Portfölj A — Förvaltningstjänster, Säkerhetsrevision & DPIA-experttjänster (MSP): Administrativ förvaltning, lärarstöd, livscykelhantering av enheter och säkerhetsrevisioner som utförs direkt i eller för Kundens egen molnmiljö.
• Portfölj B — Molnbaserade SaaS- & Identitetsintegrationsplattformar: Dedikerade molntjänster som utvecklas och drivs av Cloudpoint och dess bolag (Edudata.io och Nomen).

2. Portfölj A: Förvaltningstjänster & Molnsäkerhet (MSP)

I förvaltningsuppdrag lagras kundens data i Kundens egen Google Workspace- eller Microsoft 365-miljö. Cloudpoints specialister lagrar aldrig massdata om elever eller personal på lokala datorer; allt administrativt arbete utförs via krypterade TLS 1.3-anslutningar med hårdvarubaserad MFA och tidsbegränsad Just-In-Time (JIT)-åtkomst.

3. Anpassning till rättspraxis: Högsta förvaltningsdomstolen KHO:2025:29 (236353745124)

4. Portfölj B: SaaS- & Identitetsintegrationsarkitektur

Utöver förvaltningstjänster utvecklar och driver Cloudpoint specialiserade molnlösningar i Google Cloud Platform (`europe-north1`, Fredrikshamn, Finland):

5. Datalagring inom EU/EES & Logisk isolering

• Primärt datacenter: Google Cloud Platform europe-north1 (Fredrikshamn, Finland), certifierat enligt ISO/IEC 27001, 27017, 27018 och SOC 1/2/3.
• Strikt kundisolering: Varje kommun- och företagskunds miljö är logiskt isolerad på databas-, IAM- och krypteringsnyckelnivå.
• Ingen sekundär användning: Personuppgifter i Managed Support, Nomen eller Edudata.io säljs aldrig och används aldrig för reklam eller träning av publika AI-modeller.

Ikraftträdandedatum: 1 april 2026 | Leverantör: Cloudpoint Oy (FO-nummer 2325703-6, Momsnr FI23257036), Malmbågen 17-19B, 00700 Helsingfors, Finland

1. Tillämpningsområde och avtalsparter

Dessa allmänna användar- och tjänstevillkor ("Villkor") tillämpas på förvaltningstjänster (Managed Support / MSP), konsultation, säkerhetsrevisioner, DPIA-konsekvensbedömningar, utbildning, licensförmedling samt SaaS- och integrationstjänster som tillhandahålls av Cloudpoint Oy ("Leverantören" eller "Cloudpoint", FO-nummer 2325703-6) och dess produktbolag (inklusive Edudata.io 3460068-8 och Nomen Finland Oy 2851575-1) till företag, kommuner och offentliga upphandlande enheter ("Kunden").

2. Avtalsramverk (IT2022 & JIT 2015)

Om inte annat skriftligen avtalats i ett kundavtal eller upphandlingskontrakt tillämpas följande etablerade finländska avtalsvillkor som komplement:

• Kommuner och offentlig sektor: Allmänna villkor för offentlig IT-upphandling (JIT 2015 — Allmänna villkor samt tillämpliga specialvillkor för tjänster via datanät och konsulttjänster).
• Företag och privat sektor: IT2022 Allmänna avtalsvillkor (IT2022 YSE) samt specialvillkor för konsult- och underhållstjänster (IT2022 ETP) och molntjänster (IT2022 EKP).
• Behandling av personuppgifter: Cloudpoint Oy:s bindande Personuppgiftsbiträdesavtal (DPA) enligt GDPR Art. 28 utgör en integrerad del av varje förvaltnings-, Nomen- och Edudata.io-avtal.

3. Tjänstekategorier och Servicenivåer (SLA)

4. Kundens ansvar och behörighetsstyrning

• Administrativa rättigheter: För förvaltnings- och revisionstjänster beviljar Kunden Cloudpoints specialister nödvändiga lägsta behörigheter eller tidsbegränsad Just-In-Time (JIT)-åtkomst.
• Licensperioder: Årsbundna molnlicenser (såsom Google Workspace for Education Plus eller ChromeOS-licenser) följer huvudleverantörens avtalsperiod och hanteras i Delling Cloud.

5. Särskilda villkor för SaaS-tjänster (Edudata.io & Nomen)

Kunden erhåller en icke-exklusiv, icke-överlåtbar nyttjanderätt till Edudata.io och Nomen under avtalsperioden för egen intern verksamhet. Reverse engineering, automatiserad kopiering, benchmarking eller användning i konkurrerande syfte är strikt förbjudet och medför omedelbar avstängning samt avtalsvite (€250 000 vid obehörigt konkurrensutnyttjande av Edudata.io:s kuraterade databas).

6. Priser, fakturering och nätfakturauppgifter

Samtliga priser anges exklusive mervärdesskatt (moms 25,5 % eller gällande skattesats). Om inte annat avtalats är betalningsvillkoret 14 dagar netto från fakturadatum (eller 21–30 dagar netto enligt kommunalt upphandlingsavtal). Dröjsmålsränta utgår enligt finska räntelagen (Korkolaki 633/1982).

7. Immateriella rättigheter och sekretess

Vardera parten behåller samtliga immateriella rättigheter till sitt eget material, sina programvaror och sina metoder. Kunden erhåller efter full betalning en permanent intern nyttjanderätt till kundspecifika revisions- och DPIA-rapporter. Parterna förbinder sig till strikt sekretess gällande konfidentiell information under avtalstiden och i fem (5) år därefter (samt obegränsad tid för lagstadgade sekretessbelagda uppgifter).

8. Ansvarsbegränsning

Ingendera parten ansvarar för indirekta skador eller följdskador, förutom vid uppsåt, grov vårdslöshet eller brott mot sekretess- och konkurrensbegränsningar. Cloudpoint Oy:s sammanlagda skadeståndsansvar är begränsat till det belopp som Kunden betalat för den berörda tjänsten (exklusive tredjepartslicenser) under de tolv (12) månader som föregick skadefallet, i enlighet med IT2022 YSE / JIT 2015.

9. Tillämplig lag och tvistelösning

På dessa Villkor och samtliga avtal tillämpas finsk lag. Eventuella tvister som inte kan lösas genom förhandlingar ska i första instans avgöras av Helsingfors tingsrätt (Helsingin käräjäoikeus).

Ursprunglig utgåva: 4.2.2025 | Senast uppdaterad: April 2026 (Trust Center 2.0) | Ramverk: EU GDPR (2016/679) & Dataskyddslagen (1050/2018)

Detta är Cloudpoint Oy:s (hädanefter "Cloudpoint" eller "Personuppgiftsansvarig") integritetspolicy enligt artiklarna 13 och 14 i EU:s allmänna dataskyddsförordning (GDPR, (EU) 2016/679). Policyn beskriver hur Cloudpoint Oy samlar in, behandlar, lagrar och skyddar personuppgifter om kunder, potentiella kunder, deltagare i utbildningar och webbinarier, kontaktpersoner i kundsupporten samt besökare på våra webbplatser. Cloudpoint Oy är en del av den nordiska koncernen Delling Cloud och är en officiell Google Cloud Premier Partner.

§ 1 Personuppgiftsansvarig och dataskyddsombud (DPO)

§ 2 Kategorier av registrerade och registrets struktur

Registrets namn: Cloudpoint Oy:s kund-, avtals-, utbildnings-, support- och marknadsföringsregister.

Registret omfattar behandling av personuppgifter för följande kategorier av registrerade:

• Nuvarande företags- och offentliga kunder: Beslutsfattare, IT-administratörer, avtalskontaktpersoner och ekonomiansvariga hos kommuner, samkommuner, utbildningsanordnare och företag.
• Potentiella kunder (prospekt): Företrädare för organisationer vars yrkesroll är kopplad till molntjänster, digitala lärmiljöer, informationssäkerhet eller IT-upphandling.
• Deltagare i utbildningar, webbinarier och evenemang: Personer som anmält sig till Cloudpoints utbildningar, workshops eller seminarier inom Google Workspace, Google Cloud, AI och informationssäkerhet.
• Prenumeranter på nyhetsbrev och nedladdare av guider: Personer som prenumererar på nyhetsbrev eller laddar ned expertmaterial på www.cloudpoint.fi och blogi.cloudpoint.fi.
• Kontaktpersoner i kundsupporten (tuki@cloudpoint.fi): Utpekade representanter hos kundorganisationer som skickar in supportärenden, servicebegäranden eller felanmälningar.

§ 3 Ändamål och rättslig grund för behandlingen (GDPR Art. 6)

Cloudpoint Oy behandlar personuppgifter enbart för förutbestämda, uttryckliga och berättigade ändamål med stöd av artikel 6 i GDPR:

• Fullgörande av avtal och åtgärder före avtalsslut (GDPR Art. 6(1)(b)): Etablering av kundrelationer, leverans av licenser och molntjänster (Google Workspace, Google Cloud Platform, Chrome Enterprise / Education, Nomen, Edudata.io), tillhandahållande av administratörstjänster och teknisk support (tuki@cloudpoint.fi), genomförande av utbildningar samt fakturering.
• Personuppgiftsansvarigs berättigade intresse (GDPR Art. 6(1)(f)): Hantering och utveckling av kundrelationer, kundkommunikation och kvalitetsuppföljning, B2B-direktmarknadsföring till yrkesverksamma beslutsfattare, inbjudningar till yrkesevenemang samt upprätthållande av informationssäkerhet enligt ISO/IEC 27001:2022. En intresseavvägning har genomförts och den registrerade har alltid rätt att invända mot direktmarknadsföring.
• Samtycke från den registrerade (GDPR Art. 6(1)(a)): Prenumeration på elektroniska nyhetsbrev, samtyckesbaserad marknadsföring samt lagring av icke-nödvändiga funktionella, analytiska och marknadsföringskakor via webbplatsens samtyckesbanner. Samtycket kan återkallas när som helst.
• Rättslig förpliktelse (GDPR Art. 6(1)(c)): Lagring av verifikationer och bokföringsmaterial enligt finska bokföringslagen (Kirjanpitolaki 1336/1997), mervärdesskattelagen samt lagstadgade krav kring dataskydd och informationssäkerhet.

Automatiserat beslutsfattande (GDPR Art. 22): Cloudpoint Oy utför inget automatiserat beslutsfattande eller profilering med rättsliga eller liknande betydande konsekvenser för den registrerade.

§ 4 Kategorier av personuppgifter och ordinarie informationskällor

Endast uppgifter som är nödvändiga för respektive ändamål behandlas (principen om uppgiftsminimering):

• Grund- och kontaktuppgifter: Förnamn, efternamn, arbetse-postadress, arbetstelefonnummer och arbetsplatsens adress.
• Organisations- och rolluppgifter: Organisationens namn, FO-nummer/organisationsnummer, yrkestitel, ansvarsområde och behörighetsuppgifter (t.ex. firmateckningsrätt eller administratörsbehörighet).
• Avtals-, beställnings- och faktureringsuppgifter: Uppgifter om beställda tjänster, Google-licenser, avtalsperioder, faktureringsadresser och betalningshistorik.
• Support- och evenemangsuppgifter: Innehåll och tidsstämplar i supportärenden (tuki@cloudpoint.fi), anmälningar och deltagande i utbildningar och webbinarier samt kundrespons.
• Kommunikations- och samtyckesuppgifter: Prenumerationer på nyhetsbrev, marknadsföringstillstånd och spärruppgifter samt val för kakor (cookies).
• Tekniska webbplatsdata: IP-adress, webbläsartyp, operativsystem, sessionslängd, besökta sidor och cookie-ID (se Dokument B).

Ordinarie informationskällor: Uppgifterna samlas i första hand in direkt från den registrerade vid offertförfrågningar, avtalsförhandlingar, supportärenden, webbformulär, e-post och evenemangsanmälningar. Uppgifter kan även samlas in från kundorganisationens utsedda kontaktperson samt från offentliga företags- och myndighetsregister (t.ex. FODS/YTJ, offentliga webbplatser och LinkedIn).

§ 5 Lagringstider för personuppgifter

Cloudpoint Oy sparar personuppgifter endast så länge som krävs för ändamålen i § 3 eller för att fullgöra lagstadgade skyldigheter:

• Aktiva kund- och avtalsrelationer: Avtals- och kontaktpersonuppgifter lagras under avtalsperioden samt under högst tre (3) år efter avtalets upphörande för att hantera eventuella rättsliga anspråk.
• Inaktiva marknadsföringskontakter och prospekt: Personuppgifter om potentiella kunder i marknadsföringsregistret sparas i högst 24 månader från den senaste aktiva interaktionen (t.ex. deltagande i webbinarium eller formulärinlämning), varefter de raderas eller anonymiseras om inget nytt samtycke lämnats.
• Bokförings- och faktureringsmaterial: Enligt finska bokföringslagen (Kirjanpitolaki 1336/1997, 2 kap. 10 §) lagras verifikationer, fakturor och affärskorrespondens i minst sex (6) år från utgången av det kalenderår under vilket räkenskapsperioden avslutades.
• Supportärenden (tuki@cloudpoint.fi): Sparas under den aktiva kundrelationen för att säkerställa servicekvalitet, spårbarhet och informationssäkerhet och raderas eller anonymiseras senast 24 månader efter att kundavtalet upphört.

§ 6 Godkända underbiträden (Personuppgiftsansvarigs underleverantörer)

När Cloudpoint Oy agerar som personuppgiftsansvarig anlitas endast granskade tjänsteleverantörer som är bundna av skriftliga personuppgiftsbiträdesavtal (GDPR Art. 28). Nedan redovisas samtliga åtta (8) verifierade underbiträden och koncernpartners:

§ 7 Internationella överföringar av personuppgifter utanför EU/EES

Cloudpoint Oy lagrar och behandlar primärt personuppgifter i datacenter belägna inom Europeiska unionen (EU) och Europeiska ekonomiska samarbetsområdet (EES) (särskilt i Finland europe-north1 i Fredrikshamn samt i övriga EU-datacenter). Personuppgifter överförs inte rutinmässigt utanför EU/EES.

I den mån någon av de globala teknikleverantörerna i § 6 (såsom Google, HubSpot, Atlassian eller Harvest) behandlar begränsad metadata eller tekniska supportuppgifter utanför EU/EES (t.ex. i USA), säkerställer Cloudpoint Oy en adekvat skyddsnivå enligt kapitel V i GDPR genom följande skyddsåtgärder:

• EU–U.S. Data Privacy Framework (DPF): Europeiska kommissionens beslut om adekvat skyddsnivå av den 10 juli 2023 (GDPR Art. 45) för amerikanska organisationer som är certifierade under DPF-ramverket.
• Europeiska kommissionens standardavtalsklausuler (SCC): Standardavtalsklausuler enligt kommissionens genomförandebeslut (EU) 2021/914 (GDPR Art. 46(2)(c)) kompletterade med konsekvensbedömningar för överföring (TIA) samt stark kryptering (TLS 1.3 under överföring och AES-256 vid vila).

§ 8 Den registrerades rättigheter (GDPR Art. 15–22) och tillsynsmyndighet

Varje registrerad har följande rättigheter enligt EU:s allmänna dataskyddsförordning:

• Rätt till tillgång (Art. 15): Rätt att få bekräftelse på huruvida personuppgifter som rör dig behandlas av Cloudpoint Oy och i så fall få en kopia av uppgifterna.
• Rätt till rättelse (Art. 16): Rätt att utan onödigt dröjsmål få felaktiga eller ofullständiga personuppgifter rättade eller kompletterade.
• Rätt till radering ("rätten att bli bortglömd", Art. 17): Rätt att begära radering av personuppgifter om de inte längre är nödvändiga för ändamålen eller om behandlingen grundar sig på samtycke som återkallats, förutsatt att ingen lagstadgad lagringsskyldighet (såsom bokföringslagen) föreligger.
• Rätt till begränsning av behandling (Art. 18): Rätt att kräva att behandlingen begränsas, exempelvis medan uppgifternas korrekthet kontrolleras.
• Rätt till dataportabilitet (Art. 20): Rätt att få ut de personuppgifter som du själv tillhandahållit i ett strukturerat, allmänt använt och maskinläsbart format när behandlingen grundar sig på samtycke eller avtal.
• Rätt att göra invändningar (Art. 21): Rätt att invända mot behandling som stöder sig på berättigat intresse samt ovillkorlig rätt att när som helst invända mot behandling för direktmarknadsföring.
• Rätt att återkalla samtycke (Art. 7(3)): Om behandlingen grundar sig på samtycke har du rätt att när som helst återkalla ditt samtycke via avregistreringslänken i nyhetsbrev eller via cookieinställningarna.

Utövande av rättigheter: Begäran skickas skriftligen till dataskyddsombudet: Lauri Kaski, lauri@cloudpoint.fi (eller info@cloudpoint.fi). Vi besvarar alla begäranden utan onödigt dröjsmål och senast inom en (1) månad (GDPR Art. 12(3)).

Ursprunglig utgåva: 2.7.2024 | Senast uppdaterad: April 2026 | Tillämpningsområde: www.cloudpoint.fi & blogi.cloudpoint.fi

Denna cookiepolicy beskriver hur Cloudpoint Oy (2325703-6) använder kakor (cookies) och liknande tekniker på webbplatserna www.cloudpoint.fi och blogi.cloudpoint.fi i enlighet med lagen om tjänster inom elektronisk kommunikation (917/2014, 205 §), GDPR samt Transport- och kommunikationsverket Traficoms riktlinjer.

1. Vad är kakor (cookies) och vilken är den rättsliga grunden?

Kakor är små textfiler som lagras på din enhet (dator, telefon eller surfplatta) när du besöker en webbplats. De används för att säkerställa webbplatsens tekniska funktion, komma ihåg språkval och samtyckesinställningar samt analysera hur webbplatsen används.

• Nödvändiga kakor: Lagras med stöd av 205 § i lagen om tjänster inom elektronisk kommunikation utan föregående samtycke, eftersom de är tekniskt nödvändiga för webbplatsens säkerhet, formulärfunktioner och lagring av dina cookieval.
• Funktionella, analytiska och marknadsföringskakor: Placeras endast efter användarens uttryckliga förhandssamtycke (Opt-In, GDPR Art. 6(1)(a)) via webbplatsens HubSpot-samtyckesbanner.

2. Kategorier av kakor på www.cloudpoint.fi och blogi.cloudpoint.fi

3. Hur du hanterar, återkallar samtycke eller blockerar kakor

• Cookieinställningar på webbplatsen: Du kan när som helst återkalla eller ändra ditt samtycke genom att klicka på "Cookieinställningar" (Evästeasetukset / Cookie Settings) i sidfoten på webbplatsen.
• Webbläsarinställningar: Du kan även blockera eller radera lagrade kakor via säkerhets- och integritetsinställningarna i din webbläsare (Chrome, Firefox, Safari, Edge). Observera att blockering av nödvändiga kakor kan påverka webbplatsens funktionalitet.

Vid frågor om kakor eller dataskydd, kontakta vårt dataskyddsombud Lauri Kaski (lauri@cloudpoint.fi).

Version: 2026.2 | Giltigt från: April 2026 | Efterlevnad: EU GDPR Art. 28, JIT 2015, IT2022 & HFD:2025:29 (KHO:2025:29)

§ 1 Definitioner

I detta personuppgiftsbiträdesavtal ("DPA") tillämpas definitionerna i Europaparlamentets och rådets förordning (EU) 2016/679 ("GDPR") samt den finska dataskyddslagen (1050/2018):

• Personuppgiftsansvarig (GDPR Art. 4(7)): Kunden, som ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.
• Personuppgiftsbiträde (GDPR Art. 4(8)): Cloudpoint Oy, som behandlar personuppgifter för den Personuppgiftsansvariges räkning enligt Huvudavtalet och detta DPA.
• Personuppgifter (GDPR Art. 4(1)): Varje upplysning som avser en identifierad eller identifierbar fysisk person ("Registrerad") och som behandlas av Biträdet på uppdrag av den Personuppgiftsansvarige enligt Bilaga 1.
• Personuppgiftsincident (GDPR Art. 4(12)): En säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.
• Underbiträde: En i Bilaga 3 angiven underleverantör som anlitas av Biträdet för att behandla personuppgifter för den Personuppgiftsansvariges räkning.

§ 2 Tillämpningsområde, syfte och avtalshierarki

Detta DPA utgör en integrerad del av det tjänste-, ram- eller beställningsavtal ("Huvudavtalet") genom vilket Cloudpoint Oy levererar administratörstjänster, teknisk support, migrering, revision, DPIA-rådgivning eller integrationstjänster för Google Workspace, Google Cloud Platform (GCP), Chrome Enterprise / Education (Chromebook), Nomen (2851575-1) och Edudata.io (3460068-8) ("Tjänsten").

För kunder inom offentlig sektor kompletterar detta DPA de allmänna upphandlingsvillkoren JIT 2015 (Särskilda villkor om behandling av personuppgifter) och för företagskunder IT2022 ETP. Vid motstridigheter mellan Huvudavtalet och detta DPA avseende dataskydd äger detta DPA och tvingande dataskyddslagstiftning företräde, såvida inte striktare kundspecifika villkor skriftligen avtalats.

§ 3 Parternas skyldigheter (GDPR Art. 28(3))

• Personuppgiftsansvarigs ansvar: Den Personuppgiftsansvarige ansvarar för att det finns en laglig grund för behandlingen enligt GDPR och nationell lagstiftning (t.ex. lagen om grundläggande utbildning 628/1998 och offentlighetslagen 621/1999), för att informera de registrerade samt för att lämna dokumenterade, lagenliga instruktioner till Biträdet.
• Biträdets skyldigheter: Biträdet behandlar personuppgifter uteslutande i enlighet med dokumenterade instruktioner från den Personuppgiftsansvarige och endast för de ändamål som anges i Bilaga 1. Biträdet använder aldrig den Personuppgiftsansvariges personuppgifter för egna ändamål, profilering eller kommersiell marknadsföring.
• Skyldighet att underrätta om lagstridig instruktion: Om Biträdet anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddslagstiftning inom unionen eller i Finland ska Biträdet omedelbart informera den Personuppgiftsansvarige om detta (GDPR Art. 28(3) sista stycket).
• Kontaktuppgifter till dataskyddsombud: Den Personuppgiftsansvarige ska meddela Biträdet aktuella kontaktuppgifter till sitt dataskyddsombud (DPO) för incidentrapportering och dataskyddssamverkan.

§ 4 Zero Standing Privilege och behovsbaserad åtkomst (JIT Admin Access)

Cloudpoint Oy tillämpar strikt Zero Standing Privilege (ZSP) och Just-In-Time (JIT)-åtkomstkontroll i sina administratörs- och supporttjänster:

• Cloudpoints specialister har ingen kontinuerlig, oövervakad åtkomst till Kundens konfidentiella innehållsdata (såsom användares e-postmeddelanden eller filer i Google Drive).
• Alla administrativa åtgärder i Kundens Google Workspace-, GCP- eller Chromebook-administrationskonsol utförs endast efter auktorisering av Kundens utsedda administratör eller baserat på ett specifikt supportärende (tuki@cloudpoint.fi).
• Varje administrativ inloggning kräver en fysisk U2F/FIDO2-säkerhetsnyckel (YubiKey MFA) och loggas oföränderligt i Kundens egen Google Admin Audit Log.

§ 5 Sekretess och lagstadgad tystnadsplikt

Biträdet säkerställer att all personal och godkända konsulter med behörighet att behandla den Personuppgiftsansvariges personuppgifter har undertecknat ett sekretessavtal (NDA) eller omfattas av lagstadgad tystnadsplikt (GDPR Art. 28(3)(b)), inklusive tystnadsplikt enligt offentlighetslagen (621/1999) vid uppdrag för kommuner och skolor. Tystnadsplikten gäller utan tidsbegränsning även efter att Huvudavtalet och detta DPA har upphört.

§ 6 Tekniska och organisatoriska säkerhetsåtgärder (GDPR Art. 32)

Biträdet genomför och upprätthåller tekniska och organisatoriska säkerhetsåtgärder i enlighet med artikel 32 i GDPR och ledningssystemet för informationssäkerhet ISO/IEC 27001:2022 (ISMS). Efterlevnaden övervakas kontinuerligt i realtid via plattformen Vanta. Detaljerade kontroller (inklusive VPM-38, VPM-3 och AST-4..AST-9) beskrivs i Bilaga 2.

§ 7 Underbiträden (GDPR Art. 28(2) & 28(4))

Den Personuppgiftsansvarige ger Biträdet ett allmänt skriftligt förhandstillstånd att anlita de godkända underbiträden som anges i Bilaga 3.

• Vidareföring av skyldigheter: Biträdet ingår skriftliga personuppgiftsbiträdesavtal med varje underbiträde som ålägger dem minst likvärdiga dataskydds- och säkerhetsförpliktelser som detta DPA. Biträdet ansvarar fullt ut gentemot den Personuppgiftsansvarige för underbiträdenas fullgörande av sina skyldigheter (GDPR Art. 28(4)).
• Förhandsmeddelande och rätt till invändning: Biträdet ska skriftligen informera den Personuppgiftsansvarige minst 30 dagar i förväg om planerade tillägg eller byten av underbiträden. Den Personuppgiftsansvarige har rätt att på sakliga dataskyddsgrunder invända mot ändringen inom 14 dagar.

§ 8 Internationella dataöverföringar och EU/EES-datalagring

Biträdet behandlar och lagrar primärt den Personuppgiftsansvariges personuppgifter inom Europeiska unionen (EU) och Europeiska ekonomiska samarbetsområdet (EES) (Finland europe-north1 och Belgien europe-west1). Personuppgifter överförs inte utanför EU/EES utan den Personuppgiftsansvariges dokumenterade instruktion eller godkännande.

Om Kundens valda molnkonfiguration kräver begränsad global supportåtkomst från tredje land, sker överföringen strikt enligt kapitel V i GDPR med stöd av EU–U.S. Data Privacy Framework (Art. 45), Europeiska kommissionens standardavtalsklausuler (SCC (EU) 2021/914, Art. 46), konsekvensbedömning för överföring (TIA) samt Google Cloud Data Regions-begränsningar.

§ 9 Bistånd vid utövande av de registrerades rättigheter

Biträdet ska genom lämpliga tekniska och organisatoriska åtgärder bistå den Personuppgiftsansvarige så att denne kan fullgöra sin skyldighet att svara på begäran om utövande av den registrerades rättigheter enligt kapitel III i GDPR (Art. 15–22). Om en registrerad riktar en begäran direkt till Biträdet ska Biträdet utan dröjsmål vidarebefordra den till den Personuppgiftsansvarige.

§ 10 Anmälan om personuppgiftsincident (48–72 timmar)

Biträdet ska skriftligen underrätta den Personuppgiftsansvarige utan onödigt dröjsmål och senast inom 48–72 timmar efter att ha fått kännedom om en personuppgiftsincident som berör den Personuppgiftsansvariges personuppgifter (kontroll VPM-38, GDPR Art. 33(2)).

Anmälan ska innehålla åtminstone information enligt artikel 33(3) i GDPR:

• Beskrivning av personuppgiftsincidentens art, kategorier av och ungefärligt antal berörda registrerade samt personuppgiftsposter;
• Namn och kontaktuppgifter till Biträdets dataskyddsombud (Lauri Kaski, lauri@cloudpoint.fi, +358 9 4257 9280);
• Beskrivning av de sannolika konsekvenserna av personuppgiftsincidenten;
• Beskrivning av de åtgärder som Biträdet har vidtagit eller föreslår för att åtgärda incidenten och mildra dess potentiella negativa effekter.

§ 11 Konsekvensbedömning (DPIA) och revisionsrätt (HFD:2025:29 / KHO:2025:29)

Biträdet bistår den Personuppgiftsansvarige vid genomförande av konsekvensbedömningar avseende dataskydd (DPIA, GDPR Art. 35) och förhandssamråd med tillsynsmyndigheten (Art. 36). För kommuner och utbildningsanordnare är Cloudpoint Oy:s tekniska konfigurationer och dokumentation utformade i linje med Högsta förvaltningsdomstolens prejudikat HFD:2025:29 (KHO:2025:29) samt beslut 236353745124 gällande skydd för elevers personuppgifter, loggminimering och teknisk blockering av tilläggstjänster i Google Workspace for Education- och Chromebook-miljöer.

Revisionsrätt (GDPR Art. 28(3)(h)): Den Personuppgiftsansvarige eller en oberoende revisor bunden av sekretessavtal har rätt att granska Biträdets efterlevnad av detta DPA. Biträdet tillhandahåller på begäran aktuella ISO/IEC 27001:2022 / Vanta-efterlevnadsrapporter och sammanfattningar av penetrationstester. Revision på plats kan genomföras högst en gång per 12 månader efter minst 30 dagars skriftlig förhandsanmälan, såvida inte en specifik personuppgiftsincident eller tillsynsmyndighet kräver omedelbar granskning.

§ 12 Återlämnande och radering av personuppgifter (30–90 dagar)

När Huvudavtalet upphör att gälla ska Biträdet, enligt den Personuppgiftsansvariges val, antingen återlämna eller permanent radera alla personuppgifter som Biträdet har i sin besittning samt återkalla samtliga support- och administratörsbehörigheter inom 30–90 dagar efter avtalets upphörande, såvida inte unionsrätten eller finsk lag kräver lagring (GDPR Art. 28(3)(g)).

Databaser i Kundens egna Google Workspace-, Google Cloud- och Nomen/Edudata.io-projekt ägs direkt av Kunden och förblir under Kundens kontroll när Biträdets åtkomst omedelbart avslutas.

§ 13 Ansvar och ansvarsbegränsning

Parternas skadeståndsansvar gentemot registrerade regleras av artikel 82 i GDPR. Parternas inbördes avtalsansvar regleras av Huvudavtalet (inklusive JIT 2015 eller IT2022). Om inget annat följer av Huvudavtalet eller tvingande lag är Biträdets sammanlagda ansvar begränsat till 100 % av de avgifter som Kunden betalat för Tjänsten under de föregående 12 månaderna.

§ 14 Avtalets giltighetstid

Detta DPA träder i kraft vid undertecknandet eller beställningen av Huvudavtalet och gäller så länge Biträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning, inklusive raderingsperioden på 30–90 dagar enligt § 12.

§ 15 Tillämplig lag och tvistlösning

På detta DPA tillämpas finsk lag (med undantag för dess lagvalsregler). Tvister med anledning av detta avtal ska i första hand lösas genom förhandlingar mellan Parterna och i sista hand avgöras av Helsingfors tingsrätt.

---

---

---

Version: 2.0 | Giltig från: April 2026 | Ramverk: EU AI Act ((EU) 2024/1689), GDPR & ISO/IEC 27001:2022

Denna styrningsmodell och dataskyddspolicy för artificiell intelligens (AI) fastställer de principer, tekniska skyddsåtgärder och rättsliga ramar som Cloudpoint Oy (2325703-6, en del av Delling Cloud-koncernen och officiell Google Cloud Premier Partner) tillämpar vid design, leverans och förvaltning av generativa AI-lösningar för kommuner, utbildningsanordnare och företagskunder.

1. Google Workspace with Gemini & NotebookLM — Dataskyddsarkitektur

När en kundorganisation aktiverar Google Workspace with Gemini eller NotebookLM Enterprise / Education via Cloudpoint Oy omfattas tjänsterna av Googles bindande dataskyddsvillkor för företag och skolor (Google Workspace Cloud Data Processing Addendum):

• Ingen träning av publika modeller: Kunddata (e-post, Google Docs/Slides/Sheets-dokument, Meet-inspelningar eller Gemini-konversationer) används aldrig för att träna eller finjustera publika Gemini-modeller.
• Ingen mänsklig granskning: Ingen extern granskare läser kundens AI-prompter eller genererade svar.
• Behörighetsarv (RBAC & Zero Trust): Gemini har endast åtkomst till dokument som den inloggade användaren redan har läsbehörighet till i Google Workspace.
• Organisationsenhets- (OU) och åldersgränser inom utbildning: Cloudpoint konfigurerar granulära OU-begränsningar i Google Admin Console så att AI-funktioner styrs kontrollerat till lärare, administration och elever som uppfyller fastställda ålderskrav.

2. Vertex AI och EU-datalagring (europe-north1 Finland & europe-west1 Belgien)

För skräddarsydda AI-applikationer, kunskapssökning (RAG / Enterprise Search) och arbetsflödesautomation använder Cloudpoint Oy Google Cloud Platforms (GCP) Vertex AI:

• Garanti för EU-datalagring (EU Data Residency): All modellinferens, vektordatabaser och datalagring låses till Europeiska unionen — primärt Finlands datacenter i Fredrikshamn (europe-north1) eller Belgien (europe-west1).
• Kundens eget Google Cloud-projekt: Lösningarna driftsätts i ett logiskt isolerat GCP-projekt som ägs och kontrolleras av kunden, med full kontroll över krypteringsnycklar (CMEK), IAM-behörigheter och VPC Service Controls.
• Kryptering under överföring och vid vila: Alla API-anrop till Vertex AI krypteras med TLS 1.3 och lagrad data krypteras vid vila med AES-256.

3. EU:s AI-förordning ((EU) 2024/1689, EU AI Act) och skyddsåtgärder för utbildning med hög risk

EU:s AI-förordning ((EU) 2024/1689) klassificerar vissa AI-system som används inom utbildning och yrkesutbildning (Bilaga III, punkt 3) som högrisksystem (High-Risk). Cloudpoint Oy säkerställer att levererade och konfigurerade lösningar uppfyller AI-förordningens krav:

• Förbud mot oacceptabel risk (EU AI Act Art. 5): AI-lösningar från Cloudpoint används aldrig för känsloigenkänning (emotion recognition) i skolor eller på arbetsplatser, social poängsättning (social scoring) eller dold beteendemanipulation.
• Mänsklig tillsyn — Human-in-the-Loop (EU AI Act Art. 14 & GDPR Art. 22): AI fungerar alltid som ett assisterande verktyg (Co-Pilot) för lärare, tjänsteinnehavare och specialister. AI fattar aldrig autonoma, bindande beslut om antagning, betygssättning eller disciplinära åtgärder.
• Transparenskrav (EU AI Act Art. 50): Användare informeras alltid tydligt när de interagerar med ett AI-system och när innehåll har genererats med AI-stöd.
• Stöd för AI-kunnighet (EU AI Act Art. 4): Cloudpoint utbildar personal i kommuner, skolor och företag i säker, kritisk och dataskyddskompatibel AI-användning.

4. Kommunal och pedagogisk AI-DPIA samt efterlevnad av HFD:2025:29 (KHO:2025:29)

Innan generativ AI tas i bruk i en kommun eller skola ska den personuppgiftsansvarige genomföra en konsekvensbedömning avseende dataskydd (DPIA, GDPR Art. 35) samt vid behov en konsekvensbedömning avseende grundläggande rättigheter (FRIA, EU AI Act Art. 27).

Cloudpoint Oy och vårt koncernbolag Edudata.io (3460068-8) stöder kommuner och utbildningsanordnare enligt följande:

5. Kontaktuppgifter för AI- och dataskyddsfrågor

För frågor om AI-styrning, Gemini-säkerhet och konsekvensbedömningar (DPIA), kontakta vårt dataskyddsombud: Lauri Kaski, CEO & DPO, Cloudpoint Oy, lauri@cloudpoint.fi, tfn +358 9 4257 9280.

Organisation: Cloudpoint Oy (2325703-6, en del av Delling Cloud-koncernen) | Version: 2.0 (April 2026) | Ramverk: ISO/IEC 27001:2022 & Vanta

1. Sammanfattning (Executive Summary)

Cloudpoint Oy (FO-nummer 2325703-6, Momsnr FI23257036, officiell Google Cloud Premier Partner) är en kritisk molnpartner för kommuner, utbildningsanordnare och företag. Eftersom våra specialister administrerar och stöder miljöer inom Google Workspace, Google Cloud Platform (GCP) och Chromebook samt integrationer för Nomen och Edudata.io utgör informationssäkerhet grunden för hela vår verksamhet.

Detta Whitepaper beskriver Cloudpoint Oy:s tekniska och organisatoriska säkerhetsarkitektur baserad på ISO/IEC 27001:2022, Zero Trust och Privacy by Design.

2. ISMS-styrning och kontinuerlig övervakning via Vanta

Cloudpoint Oy:s ledningssystem för informationssäkerhet (ISMS) är uppbyggt enligt kraven i ISO/IEC 27001:2022 och övervakas kontinuerligt i realtid med hjälp av plattformen Vanta:

• Risk- och sårbarhetshantering (Kontroll VPM-3): Vanta och Google Cloud Security Command Center övervakar kontinuerligt tekniska sårbarheter, mjukvaruberoenden och molnkonfigurationer. Avvikelser prioriteras och åtgärdas proaktivt.
• Nätverkshärdning och incidenthantering (Kontroll VPM-38): Produktions- och administrationsmiljöer uppdateras och härdas enligt schemalagda underhållsprotokoll, och säkerhetsincidenter hanteras enligt en formaliserad fyrgradig incidenthanteringsplan.
• Livscykelhantering för tillgångar och enheter (Kontrollerna AST-4..AST-9): Alla informations- och hårdvarutillgångar registreras i central enhetshantering (MDM / Vanta Agent). Kontrollerna AST-4 till AST-9 säkerställer full spårbarhet från inköp och driftsättning till säker radering och återlämning vid avslutat uppdrag.
• Säkerhetsutbildning och sekretess för personal: Varje anställd och konsult undertecknar ett sekretessavtal (NDA), genomgår regelbunden dataskydds- och säkerhetsutbildning samt innehar officiella Google Cloud-certifieringar.

3. Åtkomstkontroll och säkerhet i administratörstjänsten (YubiKey MFA & JIT)

Cloudpoint Oy tillämpar strikt Zero Trust och minsta möjliga behörighet (Least Privilege / RBAC) i alla interna system och i kundsupporten (tuki@cloudpoint.fi):

• Fysiska U2F/FIDO2-säkerhetsnycklar (YubiKey MFA): All åtkomst till produktionssystem, kodförråd och kundernas administrationskonsoler kräver nätfiskeresistent multifaktorautentisering med fysiska YubiKey (U2F / FIDO2 / WebAuthn)-hårdvarunycklar.
• Zero Standing Privilege & Just-In-Time (JIT) administratörsåtkomst: Cloudpoints specialister har ingen stående, oövervakad åtkomst till kunders slutanvändarinnehåll. Administrativa åtgärder utförs endast vid behov (Just-In-Time) på uppdrag av kundens utsedda administratör eller ett dokumenterat supportärende.
• Full transparens via Admin Audit Log: Varje konfigurationsändring som utförs av en Cloudpoint-specialist loggas oföränderligt i kundens egen Google Admin Audit Log.

4. Klient-, nätverks- och krypteringssäkerhet

• Fullständig hårddiskkryptering (Full Disk Encryption, FDE): Alla arbetsstationer som används av Cloudpoints personal är skyddade med tvingande fullständig hårddiskkryptering (FDE — FileVault / BitLocker / LUKS), automatisk skärmlåsning samt fjärrhantering via MDM och Vanta.
• Kryptering vid vila (Encryption at Rest — AES-256): Alla molndatabaser, lagringsvolymer, loggarkiv och säkerhetskopior krypteras vid vila med AES-256.
• Kryptering under överföring (Encryption in Transit — TLS 1.2 / TLS 1.3): All nätverkstrafik mellan klienter, API:er och mikrotjänster krypteras med TLS 1.2 eller TLS 1.3 (med tvingande HSTS).
• E-post- och domänsäkerhet (SPF / DKIM / DMARC): Cloudpoint övervakar och upprätthåller strikta SPF-, DKIM- och DMARC (p=reject/quarantine)-policyer för såväl egna domäner som administrerade kundmiljöer.

5. Trestegs dataklassificering (3-Tier Data Classification)

Cloudpoint Oy:s datahanteringspolicy (Data Management Policy) delar in all information i tre skyddsnivåer:

6. Fysisk säkerhet (Malminkaari 17-19B, 00700 Helsingfors)

Cloudpoint Oy:s huvudkontor ligger på Malminkaari 17-19B, 00700 Helsingfors. Den fysiska säkerheten för kontorslokaler och datacenter är uppbyggd i flera lager:

• Passerkontroll och 24/7 övervakning: Kontoret har elektronisk passerkontroll med personliga nyckelbrickor, inbrottslarm, väktarbevakning samt 24/7 kameraövervakning vid fastighetens entréer.
• Besöksloggar och Clean Desk-policy: Externa besökare registreras i besöksloggen och eskorteras alltid av personal. Kontoret tillämpar strikt Clean Desk- och låst skärm-policy.
• Inga lokala servrar & krypterade säkerhetskopior i EU: Ingen kunddata lagras på lokala kontorsservrar eller flyttbara USB-minnen. Alla produktionssystem och krypterade säkerhetskopior finns i ISO/IEC 27001-certifierade Google Cloud EU-datacenter (primärt europe-north1 Fredrikshamn, Finland).

7. Incidenthanteringsplan (VPM-38) och årlig extern penetrationstestning

Cloudpoint Oy upprätthåller en dokumenterad incidenthanteringsplan (Incident Response Plan, kontroll VPM-38) under ledning av VD och dataskyddsombud Lauri Kaski (lauri@cloudpoint.fi):

• Isolering och rotkärnsanalys (Post-Mortem / Root-Cause Analysis): Vid varje incident isoleras hotet omedelbart, följt av en fullständig rotkärnsanalys och uppdatering av säkerhetsrutiner.
• Årlig extern penetrationstestning: Cloudpoints och dess koncernbolags (Nomen / Edudata.io) applikations- och molnmiljöer genomgår årligen oberoende säkerhetsrevisioner och penetrationstester utförda av certifierade cybersäkerhetsföretag.

Uppdaterad: April 2026 | Standard: WCAG 2.2 nivå AA & EN 301 549 | Lagstiftning: Lag om tillhandahållande av digitala tjänster (306/2019) & Direktiv (EU) 2016/2102

1. Status för tillgänglighet och tillämpningsområde

Denna tillgänglighetsredogörelse gäller Cloudpoint Oy:s webbplats (https://www.cloudpoint.fi) och dess integrerade Trust Center 2.0-portal. Eftersom Cloudpoint Oy betjänar kommuner, skolor och myndigheter i Finland och Norden följer vi kraven i lagen om tillhandahållande av digitala tjänster (306/2019), EU:s tillgänglighetsdirektiv (EU) 2016/2102 samt riktlinjerna i WCAG 2.2 nivå AA.

Baserat på vår tekniska granskning under Q2 2026 uppfyller portalen www.cloudpoint.fi/sv/trust-center helt kraven i WCAG 2.2 nivå AA, och den övriga webbplatsen www.cloudpoint.fi uppfyller kraven till största delen.

2. Verifierade tekniska tillgänglighetsåtgärder (WCAG 2.2 AA)

3. Respons och kontaktuppgifter för tillgänglighet

Har du upptäckt brister i tillgängligheten på www.cloudpoint.fi eller behöver du något av våra juridiska dokument i ett alternativt tillgängligt format? Kontakta oss:

• E-post: tietosuoja@cloudpoint.fi eller info@cloudpoint.fi
• Telefon: +358 9 4257 9280
• Ansvarig person: Lauri Kaski, VD / Dataskyddsansvarig (lauri@cloudpoint.fi)
• Svarstid: Vi besvarar all tillgänglighetsrespons inom 14 dagar i enlighet med lagen om digitala tjänster (306/2019).

4. Tillsynsmyndighet (Traficom)

Om du upptäcker problem med tillgängligheten på webbplatsen, ge först respons till oss. Om du inte är nöjd med det svar du får eller om du inte får något svar alls inom 14 dagar kan du göra en anmälan till tillsynsmyndigheten i Finland: