1. Data Controller

 Nimi: Metropolia  Ammattikorkeakoulu Oy

 Business ID: 2094551-1

 Postal Address: PL 4000, 00079 Metropolia

 Visiting Address: Myllypurontie 1, 00920 Helsinki

 Phone (switchboard): + 358 9 7424 5000

 Data Protection Officer: Suvi Väänänen

 Email: tietosuojavastaava@metropolia.fi

 2. Purpose of Processing Personal Data

 AI skaalaajat -hankkeen henkilötietojen käsittelyn tarkoituksena on mahdollistaa yritysten   tekoälykyvykkyyksien kehittäminen ja skaalaaminen käytännön kehitysprojektien kautta sekä   näihin liittyvä raportointi, koordinointi, viestintä ja tulosten levittäminen.

 3. Legal Basis of Processing Personal Data

 Henkilörekisterissä  olevien henkilötietojen  käsittely perustuu EU:n  yleisen tietosuoja-     asetuksen (GDPR) artiklaan 6(1)(e): 

• Performance of a task carried out in the public interest (related to the university of applied sciences’ statutory RDI mission). 

 Lisäksi viestintään ja julkaisuun liittyvissä tilanteissa voidaan käyttää artiklaa 6(1)(a):   suostumusta.

 4. Collected Personal Data and Categories of Personal Data

 Henkilöstörekisterin rekisteröityjä ovat hankkeeseen osallistuvat yritysten työntekijät,   opiskelijat, asiantuntijat ja muut sidosryhmien edustajat.

 The data subjects of the personnel register include company representatives, project experts, students, and stakeholders participating in the project.

• Name
• Contact information (email, phone number)
• Organization and role in the project
• Participation data (e.g. events, training, co-creation workshops)
• Photos, videos, or audio recordings (with consent)

 5. Data Sources

 Henkilötiedot saadaan pääsääntöisesti rekisteröidyltä itseltään sekä osallistuvilta   organisaatioilta.

 6. Recipients of Data and Regular Disclosures

 Personal data from the personal data register is disclosed to the following recipient groups:

• Main project partner Haaga-Helia University of Applied Sciences
• EU funding authorities (e.g. EURA2021, Uusimaa Regional Council)
• ICT and development platform providers (e.g. MetroCloud, AIoT Garage)
• Event and publication partners (only with consent)

 Henkilöstörekisterin tietoja käsitellään eri tietojärjestelmissä ja ohjelmistoissa ja rekisterin   sisältämiin henkilötietoihin annetaan tarpeen vaatiessa pääsy esim. teknisen käyttöliittymän   avulla huoltotehtävien suorittamistilanteessa tai vikatilanteen korjaamistilanteessa. Näiden   työvälineiden takana olevat ulkopuoliset järjestelmäntoimittajat ja palveluntarjoajat ovat   tulkittavissa henkilötietojen vastaanottajiksi ja säännönmukaisen luovutuksen saajaksi.

 7. Transfer of Data Outside the EU or EEA or to International Organizations

 Lähtökohtaisesti Metropolia Ammattikorkeakoulun henkilörekistereihin tallennettuja   henkilötietoja ei siirretä Euroopan unionin (EU) tai Euroopan talousalueen (ETA) ulkopuolelle,   eikä kansainvälisille järjestöille.

 Henkilötietoja voidaan kuitenkin siirtää EU:n tai ETA:n ulkopuolelle, mikäli se on tarpeen   työskentelyyn tai opintoihin liittyvien IT-palveluiden toteuttamiseksi. Tällaiset siirrot arvioidaan   aina tapauskohtaisesti. Yleisin kohdemaa näissä tilanteissa on Yhdysvallat. Lisäksi   henkilötietoja saatetaan siirtää esimerkiksi Intiaan, erityisesti silloin kun globaalit ICT-   palveluntarjoajat hyödyntävät ulkoistettua Helpdesk-toimintaa tai teknistä käyttäjätukea.

 Kaikki Metropolian henkilörekistereistä tapahtuvat kansainväliset tietosiirrot turvataan EU:n   yleisen tietosuoja-asetuksen (GDPR) luvun V mukaisilla suojatoimilla. Näitä ovat esimerkiksi:

• An adequacy decision by the European Commission (Article 45), or
• The use of Standard Contractual Clauses (SCCs) approved by the Commission (Article 46).

 Vakiolausekkeet sisällytetään osaksi palveluntarjoajien kanssa tehtäviä henkilötietojen   käsittelysopimuksia tai muita vastaavia sopimuksia. Siirretään vain ne henkilötiedot, jotka ovat   välttämättömiä kyseisen palvelun toteuttamiseksi. Kaikki siirrot toteutetaan   tietosuojalainsäädännön mukaisesti, ja siirron turvallisuudesta sekä tietosuojasta sovitaan   erikseen sopimuksin.

 Mikäli henkilötietoja siirretään EU:n tai ETA:n ulkopuolelle, siirto on Metropolian   rekisterinpitäjänä hyväksymä ja sitä edeltää dokumentoitu TIA-arviointi (Transfer Impact   Assessment). Lisäksi sopimukseen sisällytetään EU-komission hyväksymät vakiolausekkeet.   Rekisterinpitäjä seuraa ja arvioi jatkuvasti kohdemaan tietosuojan tasoa. Tietojen siirto voidaan   tarvittaessa toteuttaa myös muulla rekisterinpitäjän kirjallisesti hyväksymällä menettelyllä.

 8. Retention Period

 Henkilötietoja säilytetään viisi vuotta hankkeen päättymisestä eli 31.5.2029 saakka. Säilytysaika   perustuu EU:n rakennerahastorahoituksen raportointivelvoitteisiin, ammattikorkeakoululakiin ja   tietosuojalakiin.

 9. Data Subject’s Rights

 Rekisteröity voi tehdä tietopyynnön toimittamalla Metropolian julkisilta verkkosivuilta ja/tai   Metropolian intranetistä löytyvän huolellisesti täytetyn, tulostetun ja henkilökohtaisesti   allekirjoitetun rekisteröidyn tietopyyntölomakkeen Metropolialle joko sähköisesti osoitteeseen   tietosuojavastaava@metropolia.fi tai toimittamalla sen henkilökohtaisesti Metropolian   toimipisteeseen Myllypurossa. Jos tulostaminen ei ole mahdollista, toimita vastaavat tiedot   kuin lomakkeessa pyydetään osoitteeseen tietosuojavastaava@metropolia.fi. Sinua voidaan   pyytää tunnistautumaan, jotta voimme vastata tietopyyntöön turvallisesti.

Metropolia's Myllypuro Campus

Myllypurontie 1, 00920 Helsinki

The response to a data subject request will be provided by Metropolia's Data Protection Officer. For additional information about the processing progress or the content of the response, the Data Protection Officer may be contacted.

According to the GDPR, the data controller must respond to a data subject's request to exercise their rights within one month of receiving the request.

Data subjects can submit requests regarding the following topics:

Right to Access Personal Data

The data subject has the right to obtain confirmation from the data controller on whether their personal data is being processed. They are also entitled to inspect the personal data stored about them in the register and receive copies of the data.

Right to Rectification and Restriction of Processing

The data subject has the right to request the controller to restrict processing in any of the following situations:

• The data subject disputes the accuracy of their personal data (right to rectification), in which case processing is restricted for the period needed to verify the accuracy of the data.
• The processing is unlawful, and the data subject opposes the deletion of their personal data and instead requests the restriction of its use.
• The data controller no longer needs the personal data for processing purposes, but the data subject requires it for establishing, exercising, or defending legal claims.

Right to Erasure

The data subject has the right to have their personal data erased from Metropolia's register without undue delay, provided one of the following applies:

The personal data is no longer necessary for the purposes for which it was collected or otherwise processed.

The data subject withdraws consent on which the processing is based, and there is no other legal basis for processing.

The personal data has been unlawfully processed.

The personal data must be erased to comply with a legal obligation under EU law or national legislation.

Right to Data Portability

Not applicable.

Right Not to Be Subject to a Personal Data Security Breach

The data subject has the right not to be subjected to a personal data breach, as defined in GDPR Article 33, due to negligence by the data controller or the processor handling personal data on behalf of the controller. The data subject has the right to be informed without undue delay if a personal data breach is likely to result in a high risk to their rights and freedoms.

F. Right to lodge a complaint with a supervisory authority

The data subject has the right to lodge a complaint with the supervisory authority if the data subject considers that the processing of personal data concerning him or her violates applicable data protection regulations.

Office of the Data Protection Ombudsman

Visiting address: Lintulahdenkuja 4, 00530 Helsinki

Postal address: P.O. Box 800, 00531 Helsinki

Phone: +358 29 56 66700

Fax: +358 9 56 66735

Email: tietosuoja@om.fi