Tietosuojaseloste Musti Group Oyj:n sidosryhmille

Soveltamisala ja rekisteröityjen ryhmät

Tämä tietosuojaseloste koskee Musti Groupin osakkeenomistajien, hallituksen jäsenten sekä Musti
Groupin hallintoon tai sijoitustoimintaan liittyvien henkilöiden henkilötietojen käsittelyä. Musti Group Oyj
käsittelee henkilötietoja vain siinä laajuudessa kuin on välttämätöntä lakisääteisten velvoitteiden täyttämiseksi, kuten yhtiön hallinnon, osakasrekisterin ja hallituksen hallinnan osalta.

Musti Group koostuu Musti Group Oyj:n tytäryhtiöistä ja sen brändeistä: Musti ja Mirri, Arken Zoo, Djurmagazinet, Vetzoo, Peten Koiratarvike ja Animail. Musti Group Oyj kuuluu SONAE SGPS -konserniin. Tässä selosteessa Musti Group ja sen tytäryhtiöt viitataan yksittäin tai yhdessä termeillä ”Musti”, ”me” tai ”meitä”.

Rekisterinpitäjä

Musti Group Oyj
Mäkitorpantie 3
00620 Helsinki, Suomi
Tietojen käsittelyä hallinnoi puolestamme tytäryhtiömme Musti Group Nordic Oy, joka toimii ohjeidemme mukaisesti. Musti Group Nordic Oy käsittelee puolestamme myös tietosuojaan liittyviä kysymyksiä ja
rekisteröidyn oikeuksia. Voit ottaa yhteyttä tietosuojavastaavaan tai esittää mitä tahansa tietosuojaan
liittyviä kysymyksiä sähköpostitse osoitteeseen: privacy@mustigroup.com

Rekisterin nimi

Sidosryhmärekisteri

1. Milloin keräämme henkilötietoja?

Keräämme henkilötietoja vain tilanteissa, joissa se on tarpeen Musti Groupin lakisääteisten ja hallinnollisten velvoitteiden täyttämiseksi, kuten:

• Kun sinut nimitetään hallituksen tai johtoryhmän jäseneksi
• Kun olet osakkeenomistaja tai sijoittaja
• Kun olet mukana sijoittajaviestinnässä tai IR-materiaaleissa
• Kun osallistut Musti Groupin päätöksentekoon tai sijoitustoimintaan
• Kun olet työntekijä, neuvonantaja tai muu henkilö, jolla on pääsy sisäpiiritietoon

2. Mitä henkilötietoja käsittelemme?

Käsittelemme seuraavia tietoja:

• Tunnistetiedot, kuten esimerkiksi nimi ja henkilötunnus.
• Yhteystiedot, kuten esimerkiksi osoitetiedot ja sähköpostiosoite.
• Työsuhdetiedot, kuten esimerkiksi rooli ja kokemus.
• Sopimustiedot, kuten esimerkiksi sopimusten tiedot, kuten allekirjoituspäivä ja osapuolet.
• Markkinointitiedot, kuten esimerkiksi suostumukset ja kiellot.
• Tapahtumatiedot, kuten esimerkiksi osallistumistiedot.
• Sisäpiiritiedot, kuten esimeriksi tieto siitä, miksi henkilö on merkitty sisäpiirilistalle.
• Transaktiotiedot, kuten esimerkiksi kauppojen ajankohta, määrä ja hinta.

Tiedot, joita kerätään kolmansilta osapuolilta:

• Käsittelemme tietoja, joita saadaan viranomaislähteistä, kuten kaupparekisteristä.

3. Mistä hankimme tiedot?

Hankimme sidosryhmätietoja pääasiassa kolmesta lähteestä: suoraan rekisteröidyiltä itseltään, rekisteröidyn valtuuttamilta tahoilta sekä viranomaisen ylläpitämistä virallisista rekistereistä, kuten kaupparekisteristä. Lisäksi tietoja voidaan kerätä sopimuksiin, hallintoon ja sääntelyvelvoitteisiin liittyvistä asiakirjoista ja viestinnästä sekä lain edellyttämistä pakollisista ilmoituksista ja konsernitason raportointijärjestelmistä silloin, kun yksilötason tiedot ovat tarpeen.

4. Käsittelyn tarkoitukset ja oikeusperusteet

Käsittelyn tarkoitus	Tieto kategoriat	Oikeusperuste	Kuvaus
Sijoittajaviestintä ja IRmateriaalit, esimerkiksi tilanteissa, joissa tiedot koskevat johtoa tai hallitusta	Työsuhdetiedot	Oikeutettu etu	Meillä on oikeutettu etu viestiä osakkeenomistajiemme ja muiden asiaankuuluvien tahojen kanssa konsernin hallintoon ja päätöksentekoon liittyvistä asioista.
Osakasrekisterin hallinta, kokouskutsut ja pöytäkirjat	Tunnistetiedot Yhteystiedot Tapahtumatiedot	Lakisääteinen velvoite	Osakeyhtiölaki (624/2006) velvoittaa meitä ylläpitämään osakkeenomistajatiedot ja järjestämään yhtiökokoukset lain mukaisia menettelyjä noudattaen.
Hallinnon järjestäminen ja hallituksen jäsenten sekä johdon tietojen ylläpitäminen (esim. sopimukset, edut ja palkkiot)	Tunnistetiedot Yhteystiedot Sopimustiedot	Lakisääteinen velvoite Oikeutettu etu Sopimus	Käsittelemme näitä tietoja täyttääksemme lakisääteiset velvoitteet Osakeyhtiölain (624/2006) mukaisesti, joka edellyttää yhtiöitä järjestämään hallinnon ja ylläpitämään hallituksen jäsenten sekä johdon tietoja. Lisäksi Musti Groupilla on oikeutettu etu varmistaa tehokas yhtiön hallinto ja täyttää vastuunsa osakkeenomistajia ja muita sidosryhmiä kohtaan. Tietojen käsittely on myös tarpeen sopimusten täyttämiseksi, kuten johtoryhmän työsopimusten tai hallituksen jäsenten roolit ja vastuut määrittelevien sopimusten osalta.
Konsernitason HR-raportointi silloin, kun raportointi perustuu yksilötason tietoihin tai sisältää henkilötietoja	Tunnistetiedot Yhteystiedot Työsuhdetiedot	Oikeutettu etu Lakisääteinen velvoite	Käsittely perustuu oikeutettuun etuumme varmistaa läpinäkyvyys ja tehokas viestintä. Lisäksi tietyt lakisääteiset velvoitteet edellyttävät henkilötietojen käsittelyä. Esimerkiksi EU:n säädökset, kuten yritysten kestävyysraportointia koskeva direktiivi 2464/2022, velvoittavat keräämään ja julkistamaan tietoja, jotka liittyvät työvoimaan, monimuotoisuuspolitiikkoihin, johtamiskäytäntöihin ja vastuullisuustoimiin.
Sisäpiirikauppojen estäminen, viranomaistutkintojen tukeminen sekä lakisääteisten tietojen säilytys- ja raportointivelvoitteiden noudattaminen markkinoiden eheyden varmistamiseksi.	Sisäpiiritiedot Transaktiotiedot	Lakisääteinen velvoite	EU:n markkinoiden väärinkäyttöasetuksen (MAR) 596/2014 artiklat 18 ja 19 velvoittavat yrityksiä käsittelemään tiettyjä henkilötietoja lakisääteisten velvoitteiden täyttämiseksi. Tämä sisältää sisäpiirilistojen ylläpitämisen sekä johtotehtävissä toimivien henkilöiden ja heidän lähipiirinsä liiketoimien seurannan ja raportoinnin. Käsittelyn oikeusperusteena on MAR-asetuksen mukainen lakisääteinen velvoite.

5. Siirrot EU/ETA-alueen ulkopuolelle

Koska emme voi hoitaa kaikkea itse, monet kolmannet osapuolet avustavat meitä liiketoiminnassamme. Tämän vuoksi tietyissä tilanteissa henkilötietojasi siirretään Euroopan unionin tai Euroopan talousalueen ulkopuoliseen maahan (”kolmannet maat”). Esimerkiksi osa henkilötietojen tallentamiseen käyttämistämme tietojärjestelmistä sijaitsee kolmansissa maissa. Lisäksi joillakin liikekumppaneidemme alihankkijoilla voi olla rajoitettu pääsy henkilötietoihin.

Kun henkilötietojasi siirretään kolmanteen maahan, suojauksen taso saattaa laskea siitä tasosta, jonka EU:n yleinen tietosuoja-asetus takaa. Siksi pyrimme ennen jokaista siirtoa toteuttamaan tarvittavat toimenpiteet varmistaaksemme henkilötietojesi korkeatasoisen suojan EU:n yleisen tietosuojaasetuksen vaatimusten mukaisesti. Joitakin toteuttamiamme toimenpiteitä ovat esimerkiksi sen varmistaminen, että henkilötietojen vastaanottaja on sertifioitunut EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen (EU-US Data Privacy Framework) sekä Euroopan komission hyväksymien ja julkaisemien ns. vakiosopimuslausekkeiden käyttö osana sopimuksia niiden tahojen kanssa, joille siirrämme henkilötietoja kolmansiin maihin. Saat lisätietoja EU:n ja Yhdysvaltojen välisestä
tietosuojakehyksestä täältä.

Palvelutarjoajat:

Vastaanottaja	Palvelu	Maa	Lisätiedot
Microsoft Corporation	Sähköposti ja toimistosovellukset	EU	Sertifioitu EU-US Data Privacy Frameworkin mukaisesti
Google Analytics	Verkkosivuanalytiikka	EU/USA	Sertifioitu EU-US Data Privacy Frameworkin mukaisesti
Cloudflare, Inc	Sisällönjakelu ja kyberturva	EU/USA	Sertifioitu EU-US Data Privacy Frameworkin mukaisesti
IDX/Investis	Sijoittajasuhteet	UK	Euroopan komissio on tehnyt Yhdistynyttä kuningaskuntaa koskevan riittävyyspäätöksen, joka mahdollistaa henkilötietojen siirron EU:sta Yhdistyneeseen kuningaskuntaan ilman lisäsuojatoimia

6. Rekisteröidyn oikeudet

Tietosuojalainsäädäntö, erityisesti EU:n yleinen tietosuoja-asetus, takaa sinulle tiettyjä oikeuksia hallita sitä, miten henkilötietojasi kerätään ja käytetään. Nämä oikeudet eivät kuitenkaan ole ehdottomia, ja niihin sovelletaan tiettyjä rajoituksia. Emme esimerkiksi voi poistaa henkilötietojasi, jos meillä on lakisääteinen velvollisuus säilyttää ne. Huomaa, että olemme velvollisia pitämään henkilötietosi
luottamuksellisina, joten varaudu todentamaan henkilöllisyytesi, kun käytät oikeuksiasi. Jos haluat
käyttää alla lueteltuja oikeuksia, ota meihin yhteyttä lähettämällä sähköpostia osoitteeseen privacy@mustigroup.com.

Oikeus saada läpinäkyvää tietoa
Sinulla on oikeus läpinäkyvään tietoon henkilötietojesi käsittelystä. Olemme pyrkineet kertomaan
tietojenkäsittelystä tässä tietosuojailmoituksessa mahdollisimman avoimesti, mutta voit myös aina
pyytää lisätietoja ottamalla yhteyttä edellä mainittuun sähköpostiosoitteeseen.

Oikeus tutustua henkilötietoihin
Sinulla on oikeus tietää, käsittelemmekö henkilötietojasi. Lisäksi sinulla on oikeus tietää, mitä henkilötietoja meillä on sinusta; niiden käsittelyn tarkoitukset; vastaanottajat, joille henkilötietojasi on luovutettu tai luovutetaan; säilytysajat; tieto siitä, mistä lähteistä henkilötietosi on saatu sekä tiedot henkilötietojesi siirroista kolmansiin maihin. Halutessasi toimitamme sinulle myös kopion kaikista käsiteltävistä henkilötiedoistasi.

Oikeus tietojen oikaisemiseen
Jos huomaat, että henkilötietosi ovat virheellisiä, puutteellisia tai vanhentuneita, sinulla on oikeus vaatia
tietojen oikaisua tai täydentämistä.

Oikeus tietojen poistamiseen
Tietyissä tilanteissa sinulla on oikeus pyytää henkilötietojesi poistamista. Tätä oikeutta kuitenkin
rajoitetaan, kun peruutat suostumuksesi, eikä tietojen säilyttämiselle ole esimerkiksi muuta oikeusperustaa. Emme voi poistaa henkilötietoja, jotka on säilytettävä lakisääteisten velvoitteiden, kuten kirjanpitolakien, noudattamiseksi.

Oikeus käsittelyn rajoittamiseen
Tietyissä tilanteissa sinulla on oikeus vaatia käsittelyn rajoittamista. Jos esimerkiksi kiistät henkilötietojesi oikeellisuuden, emmekä voi tarkistaa niitä, tai tarvitset poistettavaksi merkittyjä tietoja oikeudellisten vaatimusten laatimista tai puolustamista varten, rajoitamme tällaisten tietojen käsittelyä.

Oikeus siirtää tiedot
Sinulla on oikeus saada henkilötietosi jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa ja siirtää nuo tiedot toiselle rekisterinpitäjälle (jos se on teknisesti mahdollista). Huomaa, että tätä oikeutta sovelletaan vain henkilötietoihin, joita käsitellään automatisoidusti perustuen suostumukseesi tai sopimukseen.

Oikeus vastustaa käsittelyä
Sinulla on oikeus vastustaa henkilötietojesi käsittelyä, joka perustuu oikeutettuihin etuihimme. Lisäksi sinulla on ehdoton oikeus vastustaa henkilötietojesi käsittelyä suoramarkkinointitarkoituksiin.

Oikeus peruuttaa suostumus
Sinulla on oikeus peruuttaa suostumuksesi milloin tahansa, jos olet antanut suostumuksesi henkilötietojesi käsittelyyn tiettyjä tarkoituksia varten.

Oikeus tehdä valitus
Jos epäilet, että henkilötietojasi on käsitelty lainvastaisesti tai et ole tyytyväinen tietosuojakäytäntöihimme, sinulla on oikeus tehdä valitus paikalliselle tietosuojaviranomaiselle.

Valvontaviranomaisten yhteystiedot Suomessa: Ilmoitus tietosuojavaltuutetulle

 7. Säilytysajat

Säilytämme henkilötietoja vain niin kauan kuin on tarpeen tässä tietosuojailmoituksessa kuvattujen tarkoitusten toteuttamiseksi tai lakisääteisten vaatimusten noudattamiseksi. Säilytysajat vaihtelevat tietoluokan ja sovellettavien lakisääteisten velvoitteiden mukaan, esimerkiksi:

Tietoryhmä	Säilytysaika	Lisätiedot
Hallituksen ja johdon tiedot	Pöytäkirjat pysyvästi, tilinpäätökset 10 vuotta	Osakeyhtiölaki 5 luvun 23 §, 6 luvun 2 §; Kirjanpitolaki 2 luvun 10 §
Osakasrekisteri	Pysyvästi*	Osakeyhtiölaki 3 luvun 15–17 §; Kirjanpitolaki 2 luvun 10 §
Sisäpiiritiedot ja transaktiotiedot	5 vuotta	EU:n markkinoiden väärinkäyttöasetuksen (MAR) 596/2014 18 artiklan 5 kohta

’pysyvä’ tarkoittaa, että asiakirjaa säilytetään koko organisaation elinkaaren ajan.

8.Tietojen luovutus

Käsittelemme henkilötietojasi pääasiassa Musti Groupin sisällä. Lisäksi teemme yhteistyötä kolmansien osapuolten kanssa. Alla on lueteltu vastaanottajaryhmät, joille henkilötietojasi voidaan luovuttaa:

Musti Groupin sisäiset tietojen siirrot
Sidosryhmiä ja heidän päätöksiään koskevat tiedot ovat olennaisia konsernin tytäryhtiöiden ja ylimmän johdon toiminnalle. Tämän vuoksi suuri osa tietojen siirroista tapahtuu Musti Groupin sisällä.
Luovutamme henkilötietoja tytäryhtiöille tai emoyhtiölle esimerkiksi seuraavissa tilanteissa:

• HR-asioihin liittyvä viestintä, mukaan lukien henkilöstöä ja resursseja koskevat päätökset

Kumppanit ja kolmannet osapuolet
Teemme yhteistyötä valittujen kumppaneiden ja palveluntarjoajien kanssa, jotka tukevat toimintaamme
ja tarjoavat palveluja, joita emme voi tuottaa sisäisesti. Näitä ovat esimerkiksi:

• Yritykset, jotka tarjoavat IT-järjestelmiä, infrastruktuuria ja teknistä tukea
• Palveluntarjoajat, jotka tarjoavat tietojen säilytys- ja pilvipalveluratkaisuja
• Markkinointi- ja viestintäkumppanit

Viranomaiset
Tietyissä tapauksissa, lain niin edellyttäessä, tietoja luovutetaan viranomaisille, kuten Patentti- ja
rekisterihallitukselle (PRH) ja Finanssivalvonnalle. Nämä luovutukset liittyvät pakollisiin
sääntelyvelvoitteisiin, esimerkiksi:

• Sisäpiirilistojen toimittaminen tai johtotehtävissä toimivien henkilöiden ja heidän lähipiirinsä
• liiketoimien raportointi markkinoiden väärinkäyttöasetuksen (MAR) mukaisesti
• Omistajien ilmoittaminen PRH:lle

9.Tietoturva

Henkilötietojesi turvallinen käsittely ja säilyttäminen on meille tärkeää. Suojaamme henkilötietojasi asianmukaisesti teknisin ja organisatorisin toimenpitein, jotta ne voidaan suojata luvattomalta ja laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai
vahingoittumiselta.

Henkilötietosi suojataan fyysisin, organisatorisin ja teknisin keinoin. Tiedot säilytetään turvallisesti sijoitetuilla palvelimilla palomuurien takana. Kun käytämme kumppaneita henkilötietojen käsittelyyn,
edellytämme heidän noudattavan samoja sääntöjä kuin me. Vain valtuutetuilla henkilöillä on pääsy tietoihin, ja käytämme erilaisia teknisiä ratkaisuja tietojen suojaamiseksi ja pääsyn hallitsemiseksi.

10. Muutokset tietosuojaselosteeseen

Saatamme päivittää tätä tietosuojaselostetta aika ajoin esimerkiksi lainsäädännön, viranomaisohjeiden
tai liiketoimintamme muutosten vuoksi, joten suosittelemme, että perehdyt sen sisältöön säännöllisesti.