Tietosuojalausunto - Suomi

Päivitetty viimeksi: 1 syyskuuta 2026

1. Rekisterinpitäjä ja tämän tietosuojalausunnon soveltamisala

Tämän verkkosivuston, https://www.grunenthalhealth.fi/ ("verkkosivusto"), tarjoaa Grünenthal GmbH, Zieglerstraße 6, 52078 Aachen, Saksa ("Grünenthal", "me" tai "meidän"). Ellei henkilötietojen keräämisen yhteydessä ilmoiteta toisin, Grünenthal GmbH on tässä tietosuojalausunnossa kuvatun käsittelyn rekisterinpitäjä.
Grünenthal Finland Oy, c/o Tilitoimisto Hörhammer Oy, Henry Fordin katu 5, 00150 Helsinki, Suomi, toimii paikallisena yhteystahonamme Suomessa. Jos Grünenthal Finland Oy toimii tietyn paikallisen toiminnan osalta  rekisterinpitäjänä tai yhteisrekisterinpitäjänä, tästä ilmoitetaan henkilötietojen keräämisen yhteydessä tai erillisessä tietosuojailmoituksessa. Jos kyseessä on yhteisrekisterinpitäjyys, kyseisessä ilmoituksessa kuvataan osapuolten keskeiset vastuut ja asetetaan saataville GDPR:n 26 artiklan mukaisen järjestelyn keskeinen sisältö.
Voit ottaa yhteyttä tietosuojatiimiimme sähköpostitse osoitteessa dataprivacy.de@grunenthal.com tai fi-info@grunenthal.com. Grünenthalin tietosuojavastaavan (DPO) tavoitat osoitteesta UKINORdataprotectionofficer@grunenthal.com.
Tämä tietosuojalausunto koskee verkkosivuston käyttöä. Tiettyihin toimintoihin, kuten terveydenhuollon ammattilaisen rekisteröitymiseen, haittavaikutusten ilmoittamiseen tai webinaariin osallistumiseen, voi liittyä täydentävä tietosuojailmoitus. Tällainen tarkempi ilmoitus on ensisijainen kyseisen toiminnon osalta.
Tämän tietosuojalausunnon suomenkielinen versio on ensisijainen  Suomen verkkosivustolla. Englanninkielinen rinnakkaisversio on jäljempänä.

2. Käsittelyn yleiset periaatteet ja sovellettava lainsäädäntö

Käsittelemme henkilötietoja vain yksilöityihin tarkoituksiin ja asianmukaisen oikeusperusteen nojalla. Alla kuvataan keskeiset tarkoitukset ja käsittelyperusteet. Rajoitamme tietojen keräämisen vain tarpeellisiin henkilötietoihin ja suojaamme niitä asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä.
Käsittelyssä noudatetaan yleistä tietosuoja-asetusta (EU) 2016/679 ("GDPR"), Suomen tietosuojalakia (1050/2018) sekä tilanteen mukaan muuta sovellettavaa Suomen ja EU:n lainsäädäntöä.
Kun henkilötietojen käsittely perustuu suostumukseesi, voit peruuttaa suostumuksesi milloin tahansa tulevin vaikutuksin. Peruuttaminen ei vaikuta ennen peruuttamista suoritetun käsittelyn lainmukaisuuteen.

3. Kun käytät verkkosivustoa

Kun avaat verkkosivuston, selaimesi lähettää teknisiä tietoja verkkopalvelimellemme. Voimme käsitellä seuraavia tietoja:

• IP-osoite ja siitä johdettu likimääräinen sijainti;
• käytön päivämäärä, kellonaika ja aikavyöhyke;
• pyydetty sivu tai tiedosto, viittaava sivu, HTTP-tilakoodi ja siirretyn tiedon määrä;
• selain, kieliasetukset, käyttöjärjestelmä, laitetyyppi ja näyttötiedot; sekä
• turvallisuus-, virhe- ja lokitiedot, jotka ovat tarpeen verkkosivuston ylläpitämiseksi ja suojaamiseksi.

Käsittelyn tarkoituksena on toimittaa pyytämäsi sisältö, varmistaa tekninen toimintavarmuus, ehkäistä väärinkäytöksiä sekä selvittää toteutuneita tai yritettyjä oikeudettomia käyttöjä. Käsittely perustuu oikeutettuihin etuihimme ylläpitää turvallista ja toimivaa verkkosivustoa (GDPR 6 artiklan 1 kohdan f alakohta) ja tarvittaessa pyytämäsi palvelun toteuttamiseen (6 artiklan 1 kohdan b alakohta).
Hosting-, tietoturva- ja IT-palveluntarjoajat voivat käsitellä tietoja henkilötietojen käsittelijöinä ohjeidemme mukaisesti. Tietoja säilytetään tavanomaisen tietoturva- ja vianmääritysjakson ajan ja pidempään vain, jos se on tarpeen tietoturvatapahtuman selvittämiseksi, lakisääteisen velvoitteen täyttämiseksi tai oikeusvaateen käsittelemiseksi. 

4. Evästeet ja vastaavat teknologiat

4.1 Mitä evästeet ovat?

Evästeet ja vastaavat teknologiat ovat pieniä tiedostoja tai tunnisteita, joita voidaan tallentaa laitteellesi tai lukea sieltä. Niillä voidaan esimerkiksi muistaa kielivalintasi, ylläpitää turvallista istuntoa tai mitata verkkosivuston käyttöä.

4.2 Välttämättömät ja valinnaiset teknologiat

Käytämme teknisesti välttämättömiä evästeitä ja vastaavia teknologioita, kun niiden ainoana tarkoituksena on välittää viestintää tai kun ne ovat välttämättömiä nimenomaisesti pyytämäsi palvelun tarjoamiseksi. Näihin sovelletaan sähköisen viestinnän palveluista annetun lain (917/2014) 205 §:n poikkeusta. Niihin liittyvä henkilötietojen käsittely perustuu tarkoituksesta riippuen GDPR:n 6 artiklan 1 kohdan b ja/tai f alakohtaan.
Analytiikka-, markkinointi-, personointi- ja muut valinnaiset teknologiat aktivoidaan vasta, kun olet antanut vapaaehtoisen, yksilöidyn, tietoisen ja yksiselitteisen suostumuksen evästeasetuksissa. Käsittelyperuste on GDPR:n 6 artiklan 1 kohdan a alakohta ja päätelaitetietojen tallentamiseen tai lukemiseen sovelletaan sähköisen viestinnän palveluista annetun lain 205 §:ää. Valinnaisia teknologioita tai kolmannen osapuolen sisältöjä ei ladata ennen asianmukaista suostumusta.
Evästeasetuksissa näet ajantasaisen luettelon teknologioista ja palveluntarjoajista, niiden käyttötarkoitukset, kategoriat, mahdollisen kolmansien osapuolten pääsyn sekä säilytys- tai voimassaoloajat. Voit hyväksyä tai hylätä valintoja käyttötarkoituksittain. Ei-välttämättömien evästeiden hylkäämisen on oltava yhtä helppoa kuin niiden hyväksymisen, eikä valinnaisia valintoja aseteta valmiiksi päälle.
Voit milloin tahansa muuttaa valintojasi tai peruuttaa suostumuksesi yhtä helposti kuin annoit sen. Peruutuksen on myös käytännössä estettävä valinnaisten teknologioiden tuleva käyttö ja poistettava tai korvattava aiemmin tallennetut valintatiedot siltä osin kuin se on teknisesti mahdollista. Hylkääminen ei estä verkkosivuston perustoimintojen käyttöä, mutta jotkin valinnaiset toiminnot eivät ehkä ole käytettävissä.
Säilytämme tiedon suostumuksestasi tai kieltäytymisestäsi vain niin kauan kuin se on tarpeen valintasi kunnioittamiseksi ja suostumusvaatimusten noudattamisen osoittamiseksi.

5. Analytiikka ja tunnisteiden hallinta

5.1 Sitecore

Suostumuksesi perusteella käytämme Sitecore Experience Analytics -palvelua ymmärtääksemme verkkosivuston käyttöä ja parantaaksemme sen sisältöä ja käytettävyyttä. Sitecore voi asettaa analytiikkaevästeitä ja käsitellä verkkotunnisteita ja käyttötietoja. Tiedot isännöidään suojatussa EU:ssa sijaitsevassa Microsoft Azure -ympäristössä Dublinissa. Käsittelyperuste on GDPR:n 6 artiklan 1 kohdan a alakohta. Käytössä olevat evästeet, niiden tarkoitukset ja säilytysajat ilmoitetaan evästeasetuksissa, joissa voit myös peruuttaa suostumuksesi milloin tahansa.

5.2 Matomo

Suostumuksesi perusteella käytämme Matomoa (entinen PIWIK), jonka tarjoaa InnoCraft Ltd, 150 Willis Street, Wellington 6011, Uusi-Seelanti, verkkosivuston käytön analysointiin. Matomo voi käsitellä lyhennettyä tai anonymisoitua IP-osoitetta, viittaavaa sivua, katsottuja sivuja, käynnin kestoa ja tiheyttä, laite- ja selaintietoja sekä muita vuorovaikutustietoja.
Matomo on määritetty vähentämään tunnistettavuutta muun muassa anonymisoimalla IP-osoitteet, eikä sitä käytetä eri laitteet yhdistävän käyttäjätunnuksen luomiseen, ellei tästä ilmoiteta erikseen ja käsittelylle ole asianmukaista oikeusperustetta. InnoCraft käsittelee tietoja puolestamme henkilötietojen käsittelysopimuksen perusteella. Tietoja käsitellään Matomo Cloud -palvelussa, emmekä luovuta niitä kolmansien osapuolten itsenäisiin tarkoituksiin.
Käsittelyperuste on suostumuksesi (GDPR:n 6 artiklan 1 kohdan a alakohta). Ajantasaiset evästeiden voimassaoloajat ja analytiikkatietojen säilytysaika ilmoitetaan evästeasetuksissa. Voit peruuttaa suostumuksesi siellä milloin tahansa. Lisätietoja: https://matomo.org/privacy/

5.3 Matomo Tag Manager

Käytämme Matomo Tag Manageria JavaScript- ja HTML-tunnisteiden hallintaan. Se on määritetty siten, etteivät analytiikka-, markkinointi- tai muut valinnaiset tunnisteet aktivoidu ennen vastaavaa suostumusta. Siltä osin kuin tekninen käsittely on ehdottoman tarpeen tunnisteiden hallinnan ja suostumusvalintojen toteuttamiseksi, henkilötietojen käsittely perustuu oikeutettuun etuumme ylläpitää toimivaa ja vaatimustenmukaista verkkosivustoa (GDPR:n 6 artiklan 1 kohdan f alakohta). Valinnaisten tunnisteiden käyttö perustuu suostumukseen (6 artiklan 1 kohdan a alakohta), ja päätelaitetietojen tallentamiseen tai lukemiseen sovelletaan sähköisen viestinnän palveluista annetun lain 205 §:ää. Ajantasaiset tiedot annetaan evästeasetuksissa.

6. Yhteydenottolomakkeet ja sähköinen markkinointi

Kun otat meihin yhteyttä, käsittelemme lomakkeeseen syöttämiäsi tai muuten lähettämiäsi tietoja, kuten nimeä, titteliä, yhteystietoja, organisaatiota, maata, aihetta ja viestiä sekä lomakkeen lähettämiseen ja suojaamiseen tarvittavia teknisiä tietoja. Pakolliset kentät merkitään. Ilman niitä emme ehkä pysty käsittelemään tai vastaamaan yhteydenottoosi.
Käsittelemme tietoja yhteydenottosi käsittelemiseksi. Jos yhteydenotto liittyy sopimuksen tekemiseen tai täyttämiseen, käsittelyperuste on GDPR:n 6 artiklan 1 kohdan b alakohta. Muissa tapauksissa perusteena on oikeutettu etumme vastata yhteydenottoihin ja hoitaa liikesuhteita (6 artiklan 1 kohdan f alakohta). Haittavaikutuksia tai tuotelaatua koskevat ilmoitukset käsitellään kohdassa 10 kuvatulla tavalla.
Jos lähetämme luonnolliselle henkilölle sähköistä suoramarkkinointia, hankimme pääsääntöisesti ennakkosuostumuksen sähköisen viestinnän palveluista annetun lain 200 §:n ja GDPR:n 6 artiklan 1 kohdan a alakohdan mukaisesti. Tämä koskee myös tunnistettavan henkilön työ- tai HCP-sähköpostiosoitteeseen lähetettyä markkinointia. Olemassa olevaa asiakassuhdetta koskevaa poikkeusta voidaan käyttää vain, jos yhteystieto on saatu tuotteen tai palvelun myynnin yhteydessä, markkinointi koskee omia saman tuoteryhmän tuotteita tai muita vastaavia tuotteita tai palveluja ja vastaanottajalle on annettu helppo ja maksuton kielto-oikeus sekä tietoa kerättäessä että jokaisessa viestissä. Tosiasiallisesti yhteisölle osoitettua sähköistä suoramarkkinointia voidaan lähettää lain 202 §:n mukaisesti, jollei yhteisö ole sitä nimenomaisesti kieltänyt; viestiin liittyvälle henkilötietojen käsittelylle on silti oltava erillinen oikeusperuste, tavallisesti oikeutettu etu GDPR:n 6 artiklan 1 kohdan f alakohdan mukaisesti.
Jos lähetämme suoramarkkinointia, viesti on tunnistettavissa selkeästi ja yksiselitteisesti markkinoinniksi, lähettäjän henkilöllisyys ilmoitetaan eikä sitä salata, viestissä annetaan voimassa oleva osoite viestien lopettamista koskeville pyynnöille sekä helppo ja maksuton tapa kieltää uudet viestit tai peruuttaa suostumus sähköisen viestinnän palveluista annetun lain 203 §:n mukaisesti. Voimme säilyttää rajatun estotiedon varmistaaksemme, että valintaasi noudatetaan.

7. Ulkoinen sisältö ja videopalvelut

Voimme upottaa sivustolle kolmansien osapuolten sisältöä, kuten YouTube- ja Vimeo-videoita. Sisältö, joka tallentaa tai lukee tietoja laitteeltasi, luovuttaa verkkotunnisteita tai siirtää tietoja kolmanteen maahan, estetään lähtökohtaisesti, kunnes valitset sisällön aktiivisen lataamisen tai annat suostumuksen evästeasetuksissa.
Kun annat suostumuksen, palveluntarjoaja voi saada IP-osoitteesi, laite- ja selaintietoja, tiedon vierailemastasi sivusta ja ajankohdasta sekä vuorovaikutustasi koskevia tietoja. Jos olet kirjautunut palveluntarjoajan palveluun, vierailu voidaan yhdistää tiliisi. Käsittelyperuste verkkosisällön aktivoinnille on suostumuksesi (GDPR 6 artiklan 1 kohdan a alakohta).

• YouTuben tarjoavat Google Ireland Limited ja YouTube LLC. Tietosuojakäytäntö: https://policies.google.com/privacy.
• Vimeon tarjoaa Vimeo.com, Inc. Tietosuojakäytäntö: https://vimeo.com/privacy.

Palveluntarjoajat voivat toimia oman jatkokäsittelynsä osalta itsenäisinä rekisterinpitäjinä. Tietoja voidaan siirtää Yhdysvaltoihin kohdassa 13 kuvatulla tavalla. Voit peruuttaa suostumuksesi evästeasetuksissa, jolloin valinnaista sisältöä ei enää ladata tulevilla käynneillä. 

8. Suljetut käyttäjäryhmät ja terveydenhuollon ammattilaisten profilointi

Osa lääketietoja koskevasta sisällöstä voidaan lainsäädännön vuoksi antaa vain terveydenhuollon ammattilaisille. Rekisteröitymisen yhteydessä voimme käsitellä nimeä, yhteystietoja, maata, organisaatiota, tehtävää tai erikoisalaa, ammattioikeus- tai muita ammatillisia tunnisteita, kirjautumis- ja tilitietoja sekä suljetun sivuston käyttötietoja.
Tiedot kerätään sinulta ja niitä voidaan täydentää IQVIA OneKey -palvelusta, asianmukaisista ammattirekistereistä tai muista luotettavista lähteistä ammattiasemasi varmistamiseksi. IQVIA Commercial GmbH & Co. OHG ja sen asiaankuuluvat konserniyhtiöt voivat tarjota tunnistus- tai varmennuspalveluja.
Tarkoituksena on luoda ja suojata tilisi, valvoa pääsyä säänneltyyn sisältöön, dokumentoida oikeutettu käyttö ja mukauttaa sisältöä tai viestintää ammatilliseen rooliisi. Tilin perustamiseen ja pääsyn hallintaan liittyvä käsittely perustuu GDPR:n 6 artiklan 1 kohdan b alakohtaan ja/tai oikeutettuun etuumme varmistaa lainmukainen ja turvallinen käyttö (f alakohta). Sähköiseen markkinointiin sovelletaan kohdassa 6 kuvattuja vaatimuksia.
Jos muodostamme HCP-profiilin, profiili voi perustua ammatillisiin tietoihin, sisältövalintoihin, tapahtumaosallistumiseen, suostumus- ja viestintäasetuksiin sekä vuorovaikutukseen verkkosivuston tai viestien kanssa. Tarkoituksena voi olla sisällön relevanssin parantaminen, asiakkuuden hallinta, palvelun turvallisuus ja viestinnän suunnittelu. Asiakkuuden hallinta ja palvelun turvallisuus voivat perustua oikeutettuun etuumme GDPR:n 6 artiklan 1 kohdan f alakohdan mukaisesti; valinnaiseen seurantaan tai markkinointiin sovelletaan suostumusta sekä kohdassa 6 kuvattuja vaatimuksia. Ilmoitamme tietojen keräämisen yhteydessä sovellettavan käsittelyperusteen, tietolähteet ja olennaiset seuraukset.
Emme käytä tässä kuvattua HCP-profiilia pelkästään automaattiseen käsittelyyn perustuviin päätöksiin, joilla olisi sinuun oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia. Voit vastustaa oikeutettuun etuun perustuvaa profilointia ja sähköiseen suoramarkkinointiin liittyvää profilointia milloin tahansa.
Tili- ja varmennustietoja säilytetään tilin aktiivisuuden ajan ja sen jälkeen vain niin kauan kuin se on tarpeen turvallisuutta, lainmukaisen pääsyn osoittamista, lakisääteisiä velvoitteita tai oikeusvaateita varten. Terveydenhuollon ammattilaisia koskeva täydentävä tietosuojailmoitus on saatavilla osoitteessa https://www.grunenthal.com/other-privacy-statements.

9. Webinaarit ja verkkotapahtumat

Kun ilmoittaudut webinaariin tai verkkotapahtumaan, voimme käsitellä nimeä, yhteystietoja, organisaatiota, tehtävää, kirjautumis- ja laitetietoja, IP-osoitetta, osallistumistietoja, kysymyksiä, vastauksia, kyselyvastauksia sekä viestintä- ja teknisiä lokitietoja. Mikrofoni- ja kameratietoja käsitellään vain, jos otat kyseiset toiminnot käyttöön.
Käsittely perustuu GDPR:n 6 artiklan 1 kohdan b alakohtaan, jos tapahtuma liittyy sopimukseen tai pyytämääsi palveluun. Muissa tapauksissa käsittely perustuu oikeutettuun etuumme järjestää ja seurata ammatillisia tapahtumia (f alakohta). Sähköiseen markkinointiin käytettävät tiedot käsitellään kohdan 6 mukaisesti.
Jos tapahtuma tallennetaan, ilmoitamme tallennuksesta ennen sen alkamista, kerromme tallenteen tarkoituksen, vastaanottajat ja säilytysajan sekä pyydämme suostumuksen, jos tallennus ei ole välttämätöntä sopimuksen tai muun pätevän käsittelyperusteen nojalla. Voit pitää kameran ja mikrofonin pois päältä, jos tapahtuman toteutus ei edellytä niitä.
Voimme käyttää GoTo Webinar -palvelua tai muuta vastaavaa sopimuskumppania. Palveluntarjoaja ja sen alikäsittelijät voivat käsitellä tietoja puolestamme henkilötietojen käsittelijöinä, ja joissakin rajatuissa tilanteissa palveluntarjoaja voi toimia itsenäisenä rekisterinpitäjänä omien lakisääteisten tarkoitustensa osalta. Ajantasaiset palveluntarjoajat ja kansainväliset siirrot kuvataan ilmoittautumisen yhteydessä tai täydentävässä ilmoituksessa.
Palveluntarjoajan tapahtumaraportteja säilytetään tavallisesti enintään yhden kuukauden ajan. Sisäisiä osallistumistietoja ja tallenteita säilytetään tapahtuman yhteydessä ilmoitetun ajan tai niin kauan kuin se on tarpeen seurannan, lakisääteisen velvoitteen tai oikeusvaateen vuoksi.

10. Haittavaikutukset, lääketurvatoiminta ja tuotevalitukset

Verkkosivuston yleisiä yhteydenottotoimintoja ei ole tarkoitettu haittavaikutusilmoituksiin tai tuotevalituksiin. Käytä ensisijaisesti ilmoitusportaalia osoitteessa https://www.grunenthal.com/footer-links/drug-safety-reporting tai lähetä sähköpostia osoitteeseen drugsafety@grunenthal.com. Voit myös ottaa yhteyttä terveydenhuollon ammattilaiseen tai Lääkealan turvallisuus- ja kehittämiskeskus Fimeaan.
Jos vastaanotamme lääketurvallisuutta tai tuotteen laatua koskevia tietoja, meidän on käsiteltävä ne. Tiedot voivat sisältää ilmoittajan ja potilaan tunniste- ja yhteystietoja, lääkevalmistetta koskevia tietoja, haittatapahtuman tai valituksen kuvauksen, terveystietoja, hoitohistorian ja muita asiaan liittyviä taustatietoja.
Käsittelemme tietoja lääketurvallisuuden ja tuotelaadun arviointia, seurantaa ja raportointia varten sekä sovellettavan EU:n ja Suomen lääkelainsäädännön noudattamiseksi, mukaan lukien soveltuvin osin asetus (EY) N:o 726/2004, direktiivi 2001/83/EY sellaisena kuin se on pantu täytäntöön Suomen lääkelailla (395/1987) sekä komission täytäntöönpanoasetus (EU) N:o 520/2012. Käsittelyperuste on GDPR:n 6 artiklan 1 kohdan c alakohta ja terveystietojen osalta 9 artiklan 2 kohdan i alakohta. Oikeusvaateiden yhteydessä voidaan soveltaa myös 9 artiklan 2 kohdan f alakohtaa.
Tietoja voidaan luovuttaa Fimealle, muille toimivaltaisille terveys- ja lääkeviranomaisille, Grünenthal-konsernin yhtiöille, myyntiluvan haltijoille tai yhteistyökumppaneille sekä palveluntarjoajille, joilla on lääketurva- tai raportointivelvoite. Tiedot pseudonymisoidaan mahdollisuuksien mukaan, mutta viranomainen tai muu vastaanottaja voi tietyissä tilanteissa tarvita tunnistetietoja.
Jos ilmoitat toista henkilöä koskevia tietoja, saamme tiedot sinulta. Annamme kyseiselle henkilölle GDPR:n 14 artiklan mukaiset tiedot, ellei lainmukaista poikkeusta ole sovellettavissa.
Myyntiluvan alaiseen lääkevalmisteeseen liittyviä lääketurvatietoja ja -asiakirjoja säilytetään myyntiluvan voimassaolon ajan ja vähintään kymmenen vuotta sen jälkeen, kun myyntilupa on lakannut olemasta, tai pidempään, jos sovellettava lainsäädäntö tai viranomaisvaatimus sitä edellyttää. Tuotelaatuvalituksia koskevia tietoja säilytetään sovellettavien laatu- ja GMP-vaatimusten sekä hyväksytyn asiakirjojen säilytysaikataulun mukaisesti. Rekisteröidyn oikeuksia voidaan rajoittaa siltä osin kuin käsittely ja säilytys ovat tarpeen lakisääteisen velvoitteen täyttämiseksi tai kansanterveyden suojaamiseksi.

11. Käyttäjäkyselyt

Käyttäjäkyselyihin osallistuminen on vapaaehtoista. Voimme käsitellä antamiasi vastauksia ja kyselyn toteuttamiseen tarvittavia teknisiä tietoja. Vastaukset pidetään mahdollisuuksien mukaan erillään suorista tunnisteista ja analysoidaan koottuina tai anonymisoituina.
Käsittely perustuu oikeutettuun etuumme kehittää verkkosivustoa ja tietosisältöä (GDPR 6 artiklan 1 kohdan f alakohta) tai suostumukseesi, jos kysely tai käytetty teknologia sitä edellyttää. Valinnaiset kyselyteknologiat eivät käynnisty ennen suostumusta. Vastaukset poistetaan tai anonymisoidaan, kun analyysi ja tarpeellinen laadunvarmistus on tehty.

12. Henkilötietojen vastaanottajat ja käsittelijät

Henkilötietoja voidaan kuvattujen tarkoitusten edellyttämässä laajuudessa jakaa seuraaville tahoille:

• Grünenthal-konsernin yhtiöt ja valtuutetut työntekijät;
• hosting-, tietoturva-, analytiikka-, viestintä-, tunnistus-, webinaari- ja muut IT-palveluntarjoajat;
• neuvonantajat, tilintarkastajat ja muut salassapitovelvolliset ammatilliset palveluntarjoajat;
• ulkoisen sisällön itsenäiset palveluntarjoajat, kun päätät aktivoida niiden palvelun; sekä
• tuomioistuimet, tietosuoja-, lääke-, terveys- ja muut viranomaiset, kun luovutus on pakollinen tai muutoin lainmukainen.

Henkilötietojen käsittelijät saavat käsitellä tietoja vain dokumentoitujen ohjeidemme mukaisesti ja GDPR:n 28 artiklan vaatimukset täyttävän sopimuksen perusteella. Itsenäiset rekisterinpitäjät käsittelevät tietoja omien tietosuojailmoitustensa ja lakisääteisten velvoitteidensa mukaisesti. 

13. Henkilötietojen siirrot EU:n/ETA:n ulkopuolelle

Jotkin vastaanottajat tai niiden alikäsittelijät voivat sijaita EU:n/ETA:n ulkopuolella tai saada sieltä pääsyn henkilötietoihin, mukaan lukien Yhdysvallat, Yhdistynyt kuningaskunta ja Uusi-Seelanti. Tämä voi koskea esimerkiksi Matomoa/InnoCraftia, Googlea/YouTubea, Vimeota, GoToa, IQVIAa, tiettyjä Grünenthal-konsernin yhtiöitä ja niiden alikäsittelijöitä.
Käytämme GDPR:n V luvun mukaista pätevää siirtoperustetta. Tämän lausunnon päivämääränä Yhdistyneeseen kuningaskuntaan ja Uuteen-Seelantiin tehtävät siirrot voivat perustua Euroopan komission voimassa oleviin tietosuojan riittävyyttä koskeviin päätöksiin. Yhdysvaltalaisen vastaanottajan osalta voimme käyttää EU-U.S. Data Privacy Framework -järjestelyä vain, jos vastaanottajalla on voimassa oleva sertifiointi; muussa tapauksessa käytämme tavallisesti Euroopan komission mallisopimuslausekkeiden asianmukaista moduulia tai moduuleja yhdessä siirtoarvioinnin ja täydentävien teknisten ja organisatoristen suojatoimien kanssa. Nimenomaista suostumusta käytetään vain poikkeuksellisesti GDPR:n 49 artiklan edellytysten täyttyessä, ei yleisenä korvikkeena asianmukaisille suojatoimille.
Voit pyytää tietosuojatiimiltä lisätietoja sovellettavasta siirtoperusteesta ja mahdollisuuksien mukaan jäljennöksen tai kuvauksen käytetyistä suojatoimista.

14. Henkilötietojen säilytysajat

Emme säilytä henkilötietoja pidempään kuin käsittelyn tarkoitus edellyttää, ellei pidempi aika ole lain mukaan pakollinen tai tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Keskeiset säilytyskriteerit ovat:

• palvelin- ja tietoturvalokit: tavanomainen tietoturva- ja vianmääritysjakso; pidempään tietyn tapahtuman, lakisääteisen velvoitteen tai oikeusvaateen vuoksi;
• evästeet, suostumukset ja analytiikka: evästeasetuksissa ilmoitetut ajat sekä aika, joka tarvitaan valintasi dokumentoimiseksi ja kunnioittamiseksi;
• yhteydenotto- ja sopimustiedot: kunnes pyyntö tai suhde on päättynyt, minkä jälkeen sovellettavan lakisääteisen säilytys- tai vanhentumisajan;
• markkinointi: kunnes peruutat suostumuksen tai vastustat käsittelyä; rajattua estotietoa voidaan säilyttää pidempään;
• HCP-tili ja pääsyn varmentaminen: tilin aktiivisuuden ajan ja sen jälkeen turvallisuuden, lainmukaisen pääsyn osoittamisen ja oikeusvaateiden edellyttämän ajan;
• webinaarit: palveluntarjoajan raportit tavallisesti enintään yhden kuukauden; tallenteet ja sisäiset osallistumistiedot tapahtuman yhteydessä ilmoitetun tai seurannan ja oikeusvaateiden edellyttämän ajan;
• käyttäjäkyselyt: analyysin ja laadunvarmistuksen valmistumiseen asti, minkä jälkeen tiedot poistetaan tai anonymisoidaan; sekä
• lääketurvatoiminta: myyntiluvan voimassaolon ajan ja vähintään kymmenen vuotta sen lakkaamisen jälkeen tai pidempään lain niin edellyttäessä; tuotevalitukset: sovellettavien laatu- ja GMP-vaatimusten sekä hyväksytyn asiakirjojen säilytysaikataulun mukaisesti.
   

15. Rekisteröidyn oikeudet

Tilanteesta riippuen sinulla on oikeus:

• saada pääsy henkilötietoihisi ja käsittelyä koskeviin tietoihin;
• oikaista virheelliset tai puutteelliset tiedot;
• pyytää tietojen poistamista;
• rajoittaa käsittelyä;
• saada itse antamasi tiedot siirrettyä järjestelmästä toiseen, kun käsittely perustuu suostumukseen tai sopimukseen ja se tehdään automaattisesti;
• vastustaa GDPR:n 6 artiklan 1 kohdan e tai f alakohtaan perustuvaa käsittelyä, mukaan lukien profilointia, sekä vastustaa sähköistä suoramarkkinointia ehdottomasti;
• peruuttaa suostumus tulevaisuuteen vaikuttavin seurauksin; sekä
• olla joutumatta pelkästään automaattiseen käsittelyyn perustuvan päätöksen kohteeksi, jos päätöksellä on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia, jollei GDPR:n 22 artiklan poikkeus ja suojatoimet sovellu.

Oikeudet eivät ole ehdottomia ja niitä voidaan rajoittaa laissa, esimerkiksi kun tietoja on säilytettävä lääketurvatoiminnan tai oikeusvaateen vuoksi. Vastaamme pyyntöön pääsääntöisesti kuukauden kuluessa. Voimme pyytää henkilöllisyytesi varmistamiseen tarvittavia tietoja. Pyynnöt ovat yleensä maksuttomia, mutta GDPR mahdollistaa kohtuullisen maksun tai pyynnöstä kieltäytymisen, jos pyyntö on ilmeisen perusteeton tai kohtuuton.
Voit käyttää oikeuksiasi ottamalla yhteyttä osoitteeseen dataprivacy.de@grunenthal.com, fi-info@grunenthal.com tai Suomen tietosuojavastaavaan osoitteessa UKINORdataprotectionofficer@grunenthal.com. 

16. Valitus tietosuojaviranomaiselle

Sinulla on oikeus tehdä valitus toimivaltaiselle tietosuojaviranomaiselle erityisesti siinä maassa, jossa asut tai työskentelet tai jossa väitetty rikkomus tapahtui. Suomessa voit ottaa yhteyttä:
Tietosuojavaltuutetun toimisto, PL 800, 00531 Helsinki, puhelin 029 566 6700, sähköposti tietosuoja@om.fi, www.tietosuoja.fi.
Toivomme, että otat ensin yhteyttä meihin, jotta voimme käsitellä huolenaiheesi, mutta tämä ei rajoita oikeuttasi tehdä valitus. 

17. Muutokset ja täydentävät tietosuojailmoitukset

Voimme päivittää tätä tietosuojalausuntoa, kun käsittelytapamme, teknologiamme tai oikeudelliset velvoitteemme muuttuvat. Ajantasainen versio julkaistaan verkkosivustolla viimeisimmän päivityspäivän kanssa. Olennaisista muutoksista annetaan tarvittaessa lisäilmoitus.
Täydentävät tietosuojailmoitukset, mukaan lukien terveydenhuollon ammattilaisia ja kolmansia osapuolia koskevat ilmoitukset, ovat saatavilla osoitteessa https://www.grunenthal.com/other-privacy-statements.

M-ALL-FI-03-26-0006

Data Privacy Statement - Finland

Last updated: 01 September 2026

1. Who is the controller and what does this statement cover?

This website, https://www.grunenthalhealth.fi/ (the "website"), is provided by Grünenthal GmbH, Zieglerstraße 6, 52078 Aachen, Germany ("Grünenthal", "we", "us" or "our"). Unless you are told otherwise when personal data are collected, Grünenthal GmbH is the controller for the processing described in this statement.
Grünenthal Finland Oy, c/o Tilitoimisto Hörhammer Oy, Henry Fordin katu 5, 00150 Helsinki, Finland, is our local contact in Finland. Where Grünenthal Finland Oy is the controller or a joint controller for a specific local activity, this will be stated at the point of collection or in a separate privacy notice. Where joint controllership applies, that notice will describe the parties' principal responsibilities and make the essence of the Article 26 GDPR arrangement available.
You can contact our Data Protection Team at dataprivacy.de@grunenthal.com or fi-info@grunenthal.com. You can contact the Data Protection Officer (DPO) for Finland at UKINORdataprotectionofficer@grunenthal.com.
This statement applies to use of the website. Specific activities, such as HCP registration, adverse-event reporting or webinar participation, may be covered by additional privacy information. The more specific information takes precedence for that activity.
The Finnish version of this statement is intended to be the primary version for the Finland website. This English version is provided in parallel.

2. Core principles and applicable law

We process personal data only for specified purposes and on a valid legal basis. The relevant purposes and legal bases are described below. We limit collection to what is necessary and protect personal data using appropriate technical and organisational measures.
Processing is carried out in accordance with Regulation (EU) 2016/679 (the "GDPR"), the Finnish Data Protection Act (1050/2018) and, where relevant, other applicable Finnish and EU law.
Where processing is based on your consent, you may withdraw that consent at any time with effect for the future. Withdrawal does not affect the lawfulness of processing carried out before the withdrawal.

3. When you visit the website

When you access the website, your browser sends technical information to our web server. We may process:

• your IP address and the approximate location derived from it;
• the date and time of access and time-zone information;
• the requested page or file, referring page, HTTP status code and data volume;
• browser, language settings, operating system, device type and screen information; and
• security, error and log information needed to operate and protect the website.

The purposes are to deliver the content you request, maintain technical stability, prevent misuse and investigate actual or attempted unauthorised access. Processing is based on our legitimate interests in operating a secure and functional website under Article 6(1)(f) GDPR and, where necessary to provide a service you specifically requested, Article 6(1)(b).
Hosting, security and IT providers may process the data as processors on our instructions. Data are retained for the normal security and troubleshooting cycle and longer only where needed to investigate an incident, comply with a legal obligation or handle a legal claim.

4. Cookies and similar technologies

4.1 What are cookies?

Cookies and similar technologies are small files or identifiers that can be stored on or read from your device. They may, for example, remember your language choice, maintain a secure session or measure use of the website.

4.2 Essential and optional technologies

We use technically essential cookies and similar technologies where their sole purpose is to transmit communications or where they are necessary to provide a service that you specifically requested. These fall within the exemption in section 205 of the Finnish Act on Electronic Communications Services (917/2014). Related personal-data processing is based on Article 6(1)(b) and/or (f) GDPR, depending on the purpose.
Analytics, marketing, personalisation and other optional technologies are activated only after you have freely given, specific, informed and unambiguous consent in the cookie settings. The legal basis is Article 6(1)(a) GDPR, and section 205 of the Finnish Act on Electronic Communications Services applies to storing or accessing terminal-equipment data. Optional technologies and third-party content must not load before the relevant consent.
The cookie settings provide a current list of technologies and providers, their purposes, categories, any third-party access, and retention or expiry periods. You may accept or reject by purpose. Rejecting non-essential cookies must be as easy as accepting them, and optional choices must not be switched on in advance.
You may change your choices or withdraw consent at any time as easily as you gave it. Withdrawal must also have practical effect by preventing future use of optional technologies and, where technically possible, removing or overwriting previously stored preference data. Rejection does not prevent access to core website functions, although some optional functions may be unavailable.
We retain a record of your consent or refusal only for as long as necessary to respect your choice and demonstrate compliance with consent requirements. 

5. Analytics and tag management

5.1 Sitecore

With your consent, we use Sitecore Experience Analytics to understand how the website is used and improve its content and usability. Sitecore may place analytics cookies and process online identifiers and usage data. The information is hosted on secured EU-based Microsoft Azure infrastructure in Dublin. The legal basis is Article 6(1)(a) GDPR. The current cookies, purposes and retention periods are listed in the cookie settings, where you can withdraw consent at any time.

5.2 Matomo

With your consent, we use Matomo (formerly PIWIK), provided by InnoCraft Ltd, 150 Willis Street, Wellington 6011, New Zealand, to analyse use of the website. Matomo may process a truncated or anonymised IP address, the referring page, pages viewed, visit duration and frequency, device and browser data, and other interaction data.
Matomo is configured to reduce identifiability, including by anonymising IP addresses, and is not used to create a cross-device user ID unless this is separately disclosed and supported by an appropriate legal basis. InnoCraft processes data on our behalf under a data processing agreement. Data are processed in the Matomo Cloud and are not disclosed by us for independent third-party purposes.
The legal basis is your consent under Article 6(1)(a) GDPR. Current cookie expiries and the analytics-data retention period are stated in the cookie settings. You can withdraw consent there at any time. Further information: https://matomo.org/privacy/

5.3 Matomo Tag Manager

We use Matomo Tag Manager to manage JavaScript and HTML tags. It is configured so that analytics, marketing or other optional tags do not activate before the corresponding consent. To the extent technical processing is strictly necessary to operate tag controls and implement consent choices, related personal-data processing is based on our legitimate interest in maintaining a functional and compliant website under Article 6(1)(f) GDPR. Use of optional tags is based on consent under Article 6(1)(a), and section 205 of the Finnish Act on Electronic Communications Services applies to storing or accessing terminal-equipment data. Current details are provided in the cookie settings.

6. Contact forms and electronic marketing

When you contact us, we process information you enter in a form or otherwise send to us, such as your name, title, contact details, organisation, country, subject and message, together with technical data needed to transmit and protect the form. Mandatory fields are marked. Without them, we may be unable to handle or answer your request.
We process the information to handle your particular request. Where the request concerns entering into or performing a contract, the legal basis is Article 6(1)(b) GDPR. Otherwise, the basis is our legitimate interest in responding to enquiries and managing business relationships under Article 6(1)(f). Adverse-event and product-quality reports are handled as described in section 10.
If we send electronic direct marketing to a natural person, we will generally obtain prior consent under section 200 of the Finnish Act on Electronic Communications Services and Article 6(1)(a) GDPR. This includes marketing sent to an identifiable individual's work or HCP email address. The existing-customer exception may be used only where the contact details were obtained in connection with a sale, the marketing concerns our own products in the same product group or other similar products or services, and an easy, free opt-out was offered both when the details were collected and in every message. Electronic direct marketing genuinely addressed to a legal person may be sent under section 202 unless the legal person has expressly prohibited it; any associated processing of personal data must still have a separate lawful basis, normally legitimate interests under Article 6(1)(f) GDPR.
If we send direct marketing, the message will be clearly and unambiguously recognisable as marketing, will identify and not conceal the sender, will include a valid address for requests to end the communications, and will provide an easy and free method to prohibit further messages or withdraw consent, in accordance with section 203 of the Finnish Act on Electronic Communications Services. We may retain a limited suppression record to ensure that your choice is respected. 

7. External content and video services

We may embed third-party content, including YouTube and Vimeo videos. Content that stores or reads data on your device, discloses online identifiers or transfers data to a third country is blocked by default until you actively choose to load it or give consent in the cookie settings.
When you consent, the provider may receive your IP address, device and browser information, the page visited, time of access and information about your interaction with the content. If you are logged in to the provider, the visit may be associated with your account. Our legal basis for activating the content is your consent under Article 6(1)(a) GDPR.

• YouTube is provided by Google Ireland Limited and YouTube LLC. Privacy policy: https://policies.google.com/privacy.
• Vimeo is provided by Vimeo.com, Inc. Privacy policy: https://vimeo.com/privacy.

The providers may act as independent controllers for their own further processing. Data may be transferred to the United States as described in section 13. You can withdraw consent in the cookie settings, which prevents future loading of the optional content. 

8. Closed user groups and HCP profiling

Certain medicinal-product information may be made available only to healthcare professionals. During registration, we may process your name, contact details, country, organisation, role or speciality, licence or other professional identifiers, login and account data, and information about your use of the restricted website.
Data are collected from you and may be supplemented with information from IQVIA OneKey, relevant professional registers or other reliable sources to verify your professional status. IQVIA Commercial GmbH & Co. OHG and relevant group companies may provide authentication or verification services.
The purposes are to create and secure your account, control access to regulated content, document authorised access and tailor content or communications to your professional role. Account creation and access control are based on Article 6(1)(b) GDPR and/or our legitimate interests in lawful and secure access under Article 6(1)(f). Electronic marketing is governed by the requirements in section 6.
Where we create an HCP profile, it may use professional information, content selections, event attendance, consent and communication preferences, and interactions with the website or messages. Purposes may include improving content relevance, relationship management, service security and communications planning. Relationship management and service security may be based on our legitimate interests under Article 6(1)(f) GDPR; optional tracking or marketing is subject to consent and the requirements in section 6. At the point of collection, we state the applicable legal basis, data sources and material consequences.
We do not use the HCP profile described here to make decisions based solely on automated processing that produce legal effects or similarly significant effects. You may object to profiling based on legitimate interests and may object to profiling for direct marketing at any time.
Account and verification data are retained while the account is active and afterwards only for as long as needed for security, evidence of lawful access, legal obligations or legal claims. Additional privacy information for healthcare professionals is available at https://www.grunenthal.com/other-privacy-statements.

9. Webinars and online events

When you register for a webinar or online event, we may process your name, contact details, organisation, role, login and device information, IP address, attendance data, questions, answers, survey responses, and communication and technical logs. Microphone and camera data are processed only if you activate those functions.
Processing is based on Article 6(1)(b) GDPR where the event relates to a contract or service you requested. Otherwise, it is based on our legitimate interest in organising and following up professional events under Article 6(1)(f). Data used for electronic marketing are handled under section 6.
If an event is recorded, we inform you before recording starts, explain the purpose, recipients and retention period, and obtain consent where recording is not necessary under a contract or another valid legal basis. You may keep your camera and microphone off where they are not required for the event.
We may use GoTo Webinar or another comparable contracted provider. The provider and its subprocessors may process data as processors on our behalf; in limited situations, the provider may act as an independent controller for its own legal purposes. Current providers and international transfers are described at registration or in supplementary privacy information.
Provider event reports are normally retained for up to one month. Internal attendance data and recordings are retained for the period notified for the event or as long as required for follow-up, a legal obligation or legal claims.

10. Adverse events, pharmacovigilance and product-quality complaints

The website's general contact functions are not intended for adverse-event reports or product-quality complaints. Please use the reporting portal at https://www.grunenthal.com/footer-links/drug-safety-reporting or email drugsafety@grunenthal.com. You may also contact a healthcare professional or the Finnish Medicines Agency Fimea.
If we receive safety or product-quality information, we are required to process it. The data may include identity and contact details about the reporter and patient, medicinal-product details, the event or complaint, health data, treatment history and other relevant background information.
We process the data to assess, follow up and report medicinal-product safety and product quality and to comply with applicable EU and Finnish medicines law, including, where applicable, Regulation (EC) No 726/2004, Directive 2001/83/EC as implemented in Finland by the Medicines Act (395/1987), and Commission Implementing Regulation (EU) No 520/2012. The legal basis is Article 6(1)(c) GDPR and, for health data, Article 9(2)(i). Article 9(2)(f) may also apply where processing is necessary for legal claims.
Data may be shared with Fimea, other competent health and medicines authorities, Grünenthal group companies, marketing-authorisation holders or cooperation partners, and service providers with safety or reporting obligations. Data are pseudonymised where possible, but an authority or other recipient may require identifying information in particular cases.
If you report information about another person, we receive that information from you. We provide that person with the information required by Article 14 GDPR unless a lawful exception applies.
Pharmacovigilance data and documents relating to an authorised medicinal product are retained while the marketing authorisation is in force and for at least ten years after the marketing authorisation has ceased to exist, or longer where applicable law or a regulatory requirement requires. Product-quality complaint records are retained for the period required by applicable quality and GMP requirements and the approved records-retention schedule. Data-subject rights may be restricted to the extent processing and retention are necessary to comply with legal obligations or protect public health.

11. User surveys

Participation in user surveys is voluntary. We may process the answers you submit and technical information needed to run the survey. Where possible, answers are kept separate from direct identifiers and analysed in aggregated or anonymised form.
Processing is based on our legitimate interest in improving the website and its information under Article 6(1)(f) GDPR, or on your consent where the survey or technology requires it. Optional survey technologies do not activate before consent. Answers are deleted or anonymised when analysis and necessary quality assurance are complete.

12. Recipients and processors

To the extent necessary for the purposes described, personal data may be shared with:

• Grünenthal group companies and authorised personnel;
• hosting, security, analytics, communications, authentication, webinar and other IT providers;
• advisers, auditors and other professional providers subject to confidentiality;
• independent providers of external content when you choose to activate their services; and
• courts, data-protection, medicines, health and other public authorities where disclosure is required or lawful.

Processors may act only on our documented instructions and under an agreement meeting Article 28 GDPR. Independent controllers process data under their own privacy information and legal obligations.

13. Transfers outside the EU/EEA

Some recipients or their subprocessors may be located in, or access personal data from, countries outside the EU/EEA, including the United States, the United Kingdom and New Zealand. This may include Matomo/InnoCraft, Google/YouTube, Vimeo, GoTo, IQVIA, certain Grünenthal group companies and their subprocessors.
We use a valid transfer mechanism under Chapter V GDPR. At the date of this statement, transfers to the United Kingdom and New Zealand may rely on current European Commission adequacy decisions. For a U.S. recipient, we may use the EU-U.S. Data Privacy Framework only where the recipient holds a valid certification; otherwise, we normally use the appropriate module or modules of the European Commission Standard Contractual Clauses together with a transfer assessment and supplementary technical and organisational measures. Explicit consent is used only exceptionally where the conditions in Article 49 GDPR are met, and not as a general substitute for appropriate safeguards.
You may contact the Data Protection Team for further information about the relevant transfer mechanism and, where available, a copy or description of the safeguards used.

14. Retention periods

We do not retain personal data longer than necessary for the purpose, unless a longer period is required by law or is needed to establish, exercise or defend legal claims. The main criteria are:

• server and security logs: the normal security and troubleshooting cycle; longer for a specific incident, legal obligation or claim;
• cookies, consent and analytics: the periods shown in the cookie settings and the period needed to document and respect your choice;
• contact and contract data: until the request or relationship is complete and then for the relevant statutory retention or limitation period;
• marketing: until you withdraw consent or object; a limited suppression record may be retained for longer;
• HCP account and access verification: while the account is active and then for the period needed for security, evidence of lawful access and legal claims;
• webinars: provider reports normally for up to one month; recordings and internal attendance data for the period notified for the event or needed for follow-up and legal claims;
• user surveys: until analysis and quality assurance are complete, after which data are deleted or anonymised; and
• pharmacovigilance: while the marketing authorisation is in force and for at least ten years after it has ceased to exist, or longer where law requires; product-quality complaints: in accordance with applicable quality and GMP requirements and the approved records-retention schedule. 

15. Your rights

Depending on the circumstances, you have the right to:

• access your personal data and information about the processing;

• rectify inaccurate or incomplete data;

• erase data;

• restrict processing;

• data portability for data you provided where processing is based on consent or contract and carried out by automated means;

• object to processing based on Article 6(1)(e) or (f) GDPR, including profiling, and an unconditional right to object to electronic direct marketing;

• withdraw consent with effect for the future; and

• not be subject to a decision based solely on automated processing that produces legal effects or similarly significant effects, subject to the exceptions and safeguards in Article 22 GDPR.

These rights are not absolute and may be restricted by law, for example where we must retain data for pharmacovigilance or legal claims. We normally respond within one month. We may ask for information needed to verify your identity. Requests are normally free, although GDPR permits a reasonable fee or refusal for manifestly unfounded or excessive requests.

You can exercise your rights by contacting dataprivacy.de@grunenthal.com, fi-info@grunenthal.com or the DPO for Finland at UKINORdataprotectionofficer@grunenthal.com.

16. Complaints to a supervisory authority

You have the right to complain to a competent data-protection authority, particularly in the country where you live or work or where the alleged infringement occurred. In Finland, you can contact:
Office of the Data Protection Ombudsman, P.O. Box 800, FI-00531 Helsinki, telephone +358 29 566 6700, email tietosuoja@om.fi, www.tietosuoja.fi/en/.
We encourage you to contact us first so that we have an opportunity to address your concern, but this does not limit your right to complain.

17. Changes and additional privacy notices

We may update this statement when our processing, technologies or legal obligations change. The current version will be published on the website with its last-updated date. Where appropriate, we will provide additional notice of material changes.
Additional privacy statements, including those for healthcare professionals and third parties, are available at https://www.grunenthal.com/other-privacy-statements.

M-ALL-FI-03-26-0006