eksote Liite 4 tarjouspyyntö isotooppitutkimusten ja -hoitojen oikeutusarvioinneista ja lausunnoista TU RVALLISU USSOPI MUS 1 (13) Sopimus

Transkriptio

1 1 (13) TU RVALLISU USSOPI MUS Liite 4 tarjouspyyntö isotooppitutkimusten ja -hoitojen oikeutusarvioinneista ja lausunnoista Kirjoita tekstiä napsauttamalla tätä.

2 2 (13) Sisällys TURVALLISUUSSOPIMUS 1 Määritelmät 2 Tietosuoja Tietosuoja yleistä Henkilötietojen käsittelyn tavoite, tarkoitus, kohde ja kesto Tietosuojan mukaiset velvollisuudet ja vastuut 3 Salassapito ja vaitiolovelvollisuus 4 Tietosuoja- ja tietoturvavastaava, raportointi ja yhteistyö 5 Hallinnollinen ja fyysinen tietoturvallisuus Yleiset vaatimukset Tilaajan aineiston sijainti Tilaajan toimitilojen turvallisuus Palveluntuottajan toimitilojen turvallisuus Tietojärjestelmien hallinnan vaatimukset Ohjelmistoturvallisuus Jatkuvuuden varmistaminen 6 Turvallisuusselvitykset 7 Tarkastaminen

3 3 (13) Tietosuoja ja tietoturvallisuus sekä salassapito- ja vaitiolovelvollisuus 1 Määritelmät Tämä turvallisuussopimus kuuluu pääsopimukseen Palvelusopimus lsotooppitutkimusten ja - hoitojen oikeutusarvioinneista ja lausunnoista. Tämä turvallisuussopimus on pääsopimuksen liitteenä Alihankkija tarkoittaa palvelun tuottamiseen osallistuvaa kolmatta osapuolta, jonka toiminnasta Palveluntuottaja vastaa kuin omastaan. Tässä tarkoitetuksi alihankkijaksi katsotaan myös Palveluntuottajan käyttämät ICT-laitteiston huolto- ja korjaustehtäviä suorittavat alihankkijat, ellei toisin sovita. Asiakastieto tarkoittaa mitä tahansa tietoa, joka: (i) viittaa tunnettuun tai tunnistettavaan luonnolliseen tai oikeushenkilöön; (ii) katsotaan muutoin soveltuvan lain mukaan henkilötiedoksi. Henkilötieto tarkoittaa kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella. Käsittely (tietojen käsittely) tarkoittaa toimintoja, joita kohdistetaan henkilötietoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti. Tietojen käsittelyä on mm: haku, järjestäminen, jäsentäminen, kerääminen, kopiointi, kysely, käyttö, levitys, luovutus, lukeminen, muokkaus, muuttaminen, poisto, rajoittaminen, siirtäminen, suojaaminen, säilyttäminen, tallentaminen, tuhoaminen, yhdistäminen sekä muut tietoihin kohdistuvat toimenpiteet. 1.5 Palvelu tarkoittaa sitä palvelua, josta Tilaaja ja Palveluntuottaja ovat sopineet pääsopimuksessa. 1.6 Poikkeama (tietoturvapoikkeama, tietosuojapoikkeama) tarkoittaa esimerkiksi tahallista tai tahatonta haitallista tapahtumaa tai olotilaa, jonka seurauksena pääsopimuksen ja tämän sopimuksen perusteella tuotettavien palvelujen ja Tilaajan vastuulla olevien tietojen eheys, luottamuksellisuus tai tarkoituksenmukainen käytettävyystaso tai henkilöiden yksityisyyden suoja on tai saattaa olla vaarantunut. 1.7 Pääsopimus tarkoittaa sopimusta Palvelusopimus lsotooppitutkimusten ja -hoitojen oikeutusarvioinneista ja lausunnoista. 1.8 Salassa pidettävä tieto tarkoittaa kaikkea sellaista asiakirjamuotoista tai muuta tietoa, joka on määritelty salassa pidettäväksi laissa viranomaisten toiminnan julkisuudesta (621/1999,

4 4 (13) julkisuuslaki) tai muussa lainsäädännössä, ja jonka Tilaaja on tällaiseksi tiedoksi ilmoittanut tai jonka Palveluntuottaja tiesi tai olisi pitänyt tietää kuuluvan tällaisiin tietoihin. Salassa pidettävää tietoa voivat olla esimerkiksi Tilaajan henkilöstöön, asiakkaisiin, potilaisiin, alihankkijoihin, prosesseihin, palveluihin, tiloihin, tietojärjestelmiin, tietokantoihin, ohjelmistoihin, rekistereihin, turvallisuus- ja varautumisjärjestelyihin sekä liikesalaisuuksiin liittyvät tiedot samoin kuin näiden tietojen muotoiluun, rakenteeseen ja metatietoon liittyvät tiedot. Kaikki Tilaajan Palveluntuottajalle luovuttamat henkilötiedot ovat salassa pidettäviä tietoja, ellei Tilaaja toisin kirjallisesti ilmoita. Salassa pidettävää ei ole tieto, joka on ollut yleisesti tiedossa tai tulee myöhemmin yleiseen tietoon muutoin kuin vastaanottajan vastuulla olevasta syystä tai on ollut todistettavasti vastaanottajan hallussa ilman sitä koskevaa salassapitovelvollisuutta ennen tiedon vastaanottamista luovuttajalta ja jota vastaanottaja ei ole välittömästi tai välillisesti hankkinut kolmannelta tai jonka vastaanottaja on saanut haltuunsa kolmansilta ilman salassapitovelvollisuutta ja jonka ilmaisemiseen tai luovuttamiseen näillä kolmansilla on ollut oikeus salassapitovelvoitteen estämättä. Salassa pidettävää tietoa ei ole tieto, jonka luovuttamisen ja käyttämisen luovuttaja on nimenomaan hyväksynyt ja/tai joka pakottavan lain, säädöksen tai tuomioistuimen päätöksen tai tuomioistuimen antaman sitovan määräyksen mukaisesti on luovutettavissa olevaa. 1.9 Tekninen tukijärjestelmä tarkoittaa pääosin Palveluntuottajan omaan käyttöön tarkoitettua tietojärjestelmää, joka ei sisälly palvelun toimitukseen, mutta jota Palveluntuottaja käyttää palvelun tuottamisessa tai jossa käsitellään Tilaajan aineistoa kuten esimerkiksi sähköposti tai vastaava järjestelmä Tietojärjestelmä tarkoittaa tiettyä käyttötarkoitusta varten kerätyistä tiedoista muodostettua automaattisen tietojenkäsittelyn avulla yllä pidettyä tiedostoa tai tietovarantoa, jonka avulla käyttäjä voi tuottaa palveluja tai suorittaa muita tehtäviä järjestelmän käyttötarkoituksen ja tietojen käsittelyä koskevien vaatimusten mukaisesti Tietotekninen laitetila (IT-laitetila) tarkoittaa erityisesti konesalia, pilvipalvelua, tietoverkon valvomo- ja hallintatilaa tai muuta erillistä teknistä tilaa Tilaajan aineisto tarkoittaa pääsopimuksen ja tämän turvallisuussopimuksen mukaisen palvelun yhteydessä käytettävää tai niihin sisältyvää Tilaajan asiakirjaa, kirjallista tietoa, tietokantaa ja ohjelmistoja sekä muuta aineistoa, jonka Tilaaja on luovuttanut Toimittajalle palvelun tuottamista varten sekä lisäksi palvelua käytettäessä syntynyttä Tilaajan tietoaineistoa, tämän muotoilua, rakennetta ja metatietoa. Tietoaineiston rakenteella ei tarkoiteta tietosisällön tallennusteknistä rakennetta, vaan sen käsitteellistä muotoilua ja jäsennystä Tilaajan tarkoitusta varten. Tietoaineisto voi olla tallennusteknisesti tiedostoissa, tietokannoissa tai muissa tallennusmuodoissa. Tässä määritelmässä tietosisällöllä ja tiedolla tarkoitetaan sekä raakatietoa että jalostettua tietoa.

5 5 (13) 1.13 Toimitila tarkoittaa joko yksittäistä huonetta tai niistä muodostuvaa kokonaisuutta sekä tietoteknisiä laitetiloja, joissa suoritetaan pääsopimuksessa sovittuja tai siihen liittyviä tehtäviä. 2 Tietosuoja Tietosuoja yleistä 2.1 Tietosuoja-asetuksen (EU 2016/679) periaatteiden (art. 5) mukaan henkilötietojen käsittely on tapahduttava lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Käsittelyssä on toteutettava käyttötarkoitussidonnaisuutta ja -laajuutta. Henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä. Tietoja käsitellään ja suojataan siten, että tietojen eheys ja luottamuksellisuus säilyvät ja niiden säilyttämisessä noudatetaan säilyttämisen rajoittaminen -periaatetta. 2.2 Sopijapuolet sitoutuvat noudattamaan toiminnassaan soveltuvaa voimassaolevaa henkilötietojen käsittelyyn ja tietosuojaan liittyvää lainsäädäntöä, ja lisäksi Sopijapuolet sitoutuvat saattamaan henkilötietojen käsittelyn ja tietosuojan EU:n yleisen tietosuojaasetuksen (EU)2016/679 mukaiselle vaatimustasolle mennessä, jolloin tietosuojaasetuksen soveltaminen alkaa. 2.3 Henkilötietojen käsittelyssä Sopijapuolet vastaavat omista voimassa oleviin henkilötietojen käsittelyä koskeviin säännöksiin perustuvista velvoitteistaan joko rekisterinpitäjänä tai tietojen käsittelijänä. Kun Palveluntuottaja käsittelee henkilötietoja Tilaajan toimeksiannosta, toimii Palveluntuottaja henkilötietojen käsittelijänä ja noudattaa kulloinkin voimassa olevaa henkilötietolainsäädännön edellyttämiä velvoitteita. Tilaaja on rekisterinpitäjä. Palveluntuottaja ei saa käyttää toisen henkilötietojen käsittelijän palveluja (alihankkija) henkilötietojen käsittelijöinä ilman Tilaajan etukäteen antamaa kirjallista lupaa (art. 28). 2.4 Tilaajalla rekisterinpitäjänä on osoitusvelvollisuus ja vastuu, että tietosuoja-asetuksen periaatteita noudatetaan ja henkilötietoja käsitellään tietosuoja-asetuksen mukaisesti (art. 5, 24). Palveluntuottajan tulee sitoutua ja noudattaa tietosuoja-asetusta EU 2016/679, voimassa olevaa henkilötietolakia (523/1999), muuta lainsäädäntöä sekä Tilaajan antamia ohjeita tuottaessaan palvelua pääsopimuksen ja tämän sopimuksen mukaisesti ottaen erityisesti huomioon tietojärjestelmien oletusarvoisen ja sisäänrakennetun tietosuojan. Palveluntuottaja vastaa siitä, että henkilö- ja asiakastietoja käsittelevät ja niihin pääsevät vain henkilöt, joiden työtehtävien kannalta se on välttämätöntä ja noudattavat annettuja ohjeita. Henkilötietojen käsittelyn tavoite, tarkoitus, kohde ja kesto 2.4 Tavoite ja tarkoitus Tavoitteena on varmistaa henkilötietojen elinkaaren kattava tietoturvallisuus, Palveluntuottajan toiminnan vaatimustenmukaisuus ja palvelun jatkuvuus häiriötilanteissa. Lisäksi tavoitteena on varmistaa Tilaajan aineiston luottamuksellisuus, eheys ja saatavuus. 2.5 Kohde ja kesto

6 6 (13) Pääsopimuksen ja tämän sopimuksen mukaisessa palvelussa tietosuoja-asetuksen mukaisena henkilötietojen käsittelykohteena on henkilötietolain (523/1999) 11 kohdan 4 mukaisia henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettuja hoitotoimenpiteitä tai niihin verrattavia toimia sekä kohdan 6 mukaisesti henkilön sosiaalihuollon tarvetta tai hänen saamiaan palveluja, tukitoimia ja sosiaalihuollon etuuksia koskevia arkaluonteisia tietoja. Henkilötietojen käsittely tapahtuu pääsopimuksen ja tämän sopimuksen mukaisen palvelun tuottamiseksi ja vain siinä laajuudessa kuin palvelun tuottamisen kannalta on tarpeen pääsopimuksen kohdassa 3 kuvatulle kohteelle. 2.6 Palveluntuottajalla on oikeus käsitellä henkilötietoja niin kauan kuin se tuottaa palvelua pääsopimuksen ja tämän sopimuksen perusteella. Oikeus henkilötietojen käsittelyyn päättyy, kun sopimuksen voimassaolo päättyy. Palveluntuottajan on myös viipymättä lopetettava henkilötietojen käsittely, jos näitä tietoja ei enää tarvita palvelun tuottamiseen, vaikka sopimus olisi vielä voimassa. Tietoja säilytetään lainsäädännön mukaisesti. Henkilötiedot ovat salassa pidettäviä ja ne luokitellaan suojaustasolle: ST 111 (luottamuksellinen), jos asiakirjaan sisältyvän salassa pidettävän tiedon oikeudeton paljastuminen tai oikeudeton käyttö voi aiheuttaa vahinkoa salassapitosäännöksessä tarkoitetulle yleiselle tai yksityiselle edulle Tietosuojan mukaiset velvollisuudet ja vastuut 2.7 Rekisterinpitäjän velvollisuudet ja vastuut on määritelty tietosuoja-asetuksen artiklassa 24, joita ovat mm: tarvittavien teknisten ja organisatoristen toimenpiteiden toteuttaminen, tietosuojaa koskevien toimintaperiaatteiden täytäntöönpano ja tarvittavien suojaustoimien toteuttaminen, tarpeellisten henkilötietojen käsittelyn varmistaminen, osoitusvelvollisuus lain periaatteiden ja säädösten noudattamisesta. 2.8 Henkilötietojen käsittelijän velvollisuudet ja vastuut on määritelty tietosuoja-asetuksen artiklassa 28: Palveluntuottaja vastaa siitä, että se toteuttaa omalta osaltaan tekniset ja organisatoriset toimenpiteet asiakas- ja henkilötietojen suojaamiseksi luvattomalta tietoihin pääsyitä sekä tietojen tuhoutumiselta tai muuttumiselta tai muulta luvattomalta toimelta (tietoturvallisuustoimenpiteet art. 32). Palveluntuottajalla on velvollisuus ilmoittaa kirjallisesti tietoturvaloukkaukset tietosuoja-asetuksen artiklassa 33 määritellyin tiedoin viivytyksettä (viimeistään 24 h kuluessa) saatuaan niistä tiedon ja aloittaa välittömästi korjaustoimenpiteet, jotka kuuluvat palvelun hintaan, ellei toisin ole sovittu. Ilmoituksessa on kuvattava vähintään tapahtunut tietoturvaloukkaus, ajankohta, seuraukset, riskit ja vaikutukset rekisteröidyille, suunnitellut ja tehdyt korjaustoimenpiteet sekä niiden valmistuminen ja yhteystiedot lisätietojen saamiseksi. Mikäli loukkaus koskee henkilötietojen käsittelyä tai vaarantaa tietosuojan, tulee ilmoittaa rekisteröityjen ja

7 7 (13) henkilötietotyyppien ryhmät ja määrät. Mikäli Palveluntuottaja huomaa organisaatiossaan tapahtuneen tietojen väärinkäytöksiä, on Palveluntuottaja velvollinen ilmoittamaan siitä Tilaajalle välittömästi. Palveluntuottajalla on velvollisuus ilmoittaa kaikista suunnitelluista henkilötietojen käsittelijämuutoksista eikä käsittelijää saa vaihtaa ja käyttää ilman Tilaajan etukäteen antamaa kirjallista lupaa. Sopimuksen päätyttyä Tilaajan aineiston palauttaminen Tilaajan haltuun tai aineiston hävittäminen tulee tapahtua aina Tilaajan antaman ohjeistuksen mukaisesti tietoturvallisesti. Tilaaja ohjeistaa asian ennen kuin toimenpiteisiin voidaan ryhtyä. raportointi 3 Salassapito ja vaitiolovelvollisuus Tällä sopimuksella ei poiketa lainsäädännön asettamista pakottavista velvoitteista. Palveluntuottaja sitoutuu noudattamaan palvelutuotannossaan Suomen lainsäädäntöä huomioiden erityisesti seuraavat lait ja asetukset: henkilötietolaki (523/1999), laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä (159/2007), laki potilaan asemasta ja oikeuksista (785/1992), laki sosiaalihuollon asiakkaan asemasta ja oikeuksista (812/2000), laki viranomaisten toiminnan julkisuudesta (621/1999), laki sähköisestä asioinnista viranomaistoiminnassa (13/2003), laki vahvasta sähköisestä tunnistamisesta ja sähköisistä allekirjoituksista (617 /2009), laki väestötietojärjestelmästä ja Väestörekisterikeskuksen varmennepalveluista (661/2009) ja arkistolaki (831/1994), laki sosiaalihuollon asiakasasiakirjoista (254/2015) sekä sosiaali- ja terveysministeriön asetus potilasasiakirjoista (asetus potilasasiakirjoista 298/2009), sosiaali- ja terveysministeriön asetus valtakunnallisista tietojärjestelmäpalveluista (1257/2015) ja EU:n tietosuoja-asetuksesta (EU 2016/679). Asiakasja henkilötietoja saa käsitellä voimassa olevan EU-lainsäädännön mukaisesti. Jos terveydenhuollon asiakas- ja potilastietoja käsittelevä tietojärjestelmä on terveydenhuollon laitteista ja tarvikkeista annetussa laissa (629/2010) tarkoitettu terveydenhuollon laite, tietojärjestelmään sovelletaan myös mainittua lakia ja sen mukaisia vaatimuksia ( /250). Palveluntuottaja vastaa siitä, että sen palveluksessa olevat henkilöt ovat tietoisia salassapitoja vaitiolovelvollisuudesta. He eivät saa käyttää hyväksi tuottaessaan pääsopimuksen ja tämän sopimuksen mukaista palvelua saamiaan salassa pidettäviä tietoja eivätkä saa niitä ilmaista sivullisille. Salassapito- ja vaitiolovelvollisuus jatkuvat pääsopimuksen ja tämän sopimuksen päättymisen jälkeenkin. 3.4 Palveluntuottaja sitoutuu pitämään salassa pidettävän tiedon salassa ja käsittelemään sitä lainsäädännön, pääsopimuksen ja tämän sopimuksen ja Tilaajan antamien ohjeiden mukaisesti. Palveluntuottaja ei käytä tai hyödynnä Tilaajan aineistoa muuhun kuin sopimuksen mukaisen palvelun tuottamiseen siinä laajuudessa kuin se kulloinkin on tarpeen.

8 8 (13) Palveluntuottaja saa luovuttaa Tilaajan aineistoa vain niille henkilöille, jotka tarvitsevat tietoa palvelun tuottamiseen ja joilla on pääsopimuksen ja tämän sopimuksen mukainen salassa pidettävien tietojen käsittelyoikeus. Tilaajan aineistoa ei saa oikeudetta näyttää eikä luovuttaa sivulliselle eikä antaa sitä oikeudetta teknisen käyttöyhteyden avulla tai muulla tavalla sivullisen nähtäväksi tai käytettäväksi. Ellei toisin sovita ja ellei Palveluntuottajan henkilöllä ole lakisääteistä salassapitovelvollisuutta, Palveluntuottajan henkilön tai alihankkijan on täytettävä seuraavat edellytykset saadakseen oikeuden käsitellä salassa pidettävää tietoa, joka on tietoturvallisuusasetuksen nojalla suojaustaso- tai turvallisuusluokiteltu tasolle IV tai korkeampi: Palveluntuottaja on hyväksyttänyt henkilön Tilaajalla etukäteen; henkilöstä on tehty tarvittaessa henkilöturvallisuusselvitys, jonka tulos on hyväksyttävissä oleva; henkilö on tehnyt salassapitositoumuksen tämän sopimuksen liitteenä olevalla lomakkeella ja henkilö on tietoinen tämän sopimuksen mukaisista velvoitteista Palveluntuottaja tiedostaa, että salassa pidettävän tiedon luvaton paljastaminen tai oikeudeton käsittely saattaa olla rikoslain mukaan rangaistava teko. Tilaaja valvoo lainsäädännön sallimin keinoin salassapitovelvoitteiden noudattamista. Sopijapuolten vahingonkorvaukset ja vastuunrajoitukset salassapitoa koskeviin rikkomuksiin liittyen on kuvattu pääsopimuksen kohdassa 12 Vahingonkorvaus. Yllä olevan lisäksi noudatetaan JYSE 2014 Palvelut kohtaa Tietosuoja- ja tietoturvavastaava, raportointi ja yhteistyö Palveluntuottajalla tulee olla nimetty tietosuoja- ja tietoturvavastaavat, joiden tehtävien hoidosta Palveluntuottaja on velvollinen raportoimaan Tilaajalle vähintään kerran vuodessa. Sama henkilö voi toimia tietosuoja- ja tietoturvavastaavana, mikäli hänellä on siihen osaaminen. Tietosuoja- ja tietoturvavastaavan tehtävänä on mm. tietoturvallisuuden hallinnointi ja koordinointi, raportoida tietoturvapoikkeamista, mahdollisten tarkastusten toteuttaminen ja sovittujen korjaustoimenpiteiden toteuttamisen seuranta sekä huolehtia, että palvelua tuottavilla henkilöillä on riittävä tietoturva- ja tietosuojaosaaminen. Ellei toisin sovita, Palveluntuottaja ei veloita erikseen tietosuoja- ja tietoturvavastaavan toiminnasta. Palveluntuottaja laatii vuosittain raportin, josta tulee ilmetä, kuinka lainsäädäntöä ja tietosuojaperiaatteita on noudatettu. Raportissa tulee olla vähintään seuraavat tiedot: tietoturvallisuustoimenpiteet (artiklan 32 mukaisesti), ohjelmistoturvallisuus (kts. kohta ohjelmistoturvallisuus) ja jatkuvuuden varmistaminen (kts. kohta jatkuvuuden varmistaminen), tietoturvapoikkeamat (lukumäärä, aiheet/syyt ja tehdyt korjaustoimenpiteet sekä tieto, onko

9 9 (13) toimenpiteet loppuun suoritettu ja mitkä ovat keskeneräisiä ja näiden valmistumisajankohta). Raportti toimitetaan maaliskuun loppuun mennessä edellisen vuoden osalta. Raportin laatiminen kuuluu palvelun hintaan. 4.3 Raportti ja muita palvelun tuottamiseen liittyviä asioita käsitellään tarvittaessa vähintään kerran vuodessa pidettävässä seurantakokouksessa. Kokous voidaan pitää Tilaajan toimitiloissa tai hyödyntäen etäkokouslaitteita. 4.4 Jokaisen rekisterinpitäjän on ylläpidettävä selostetta, josta ilmenee tietosuoja-asetuksen artiklassa 30 kohdissa 1 a-g mainitut tiedot. Jokaisen henkilötietojen käsittelijän on ylläpidettävä selostetta, josta ilmenee tietosuoja-asetuksen artiklassa 30 kohdassa 2 a-d mainitut tiedot. Palveluntuottaja laatii ja yllä pitää selostetta kaikista Tilaajan lukuun suoritettavista henkilötietojen käsittelytoimista artiklan 30 kohdan 2 mukaisesti. Ellei toisin sovita, selosteen tulee olla tilaajakohtainen (Tilaajan eri yksiköt). Selosteen laatiminen ja ylläpitäminen sisältyvät palvelun hintaan. Seloste tulee toimittaa Tilaajalle maaliskuun loppuun mennessä edellisen vuoden osalta. Tilaajalla on oikeus pyytää toimittamaan seloste aina, kun Tilaaja katsoo siihen olevan tarvetta. 4.5 Kaikki tiedot, raportit ja selosteet ja muut pääsopimuksen ja tämän sopimuksen mukaiset palvelut tulee toimittaa Tilaajalle tietoturvallisesti esimerkiksi käyttämällä suojattua sähköpostia tai muuta yhteisesti sovittua kanavaa, joka täyttää vaatimukset tietoturvallisesta tietojen toimittamisesta. Toimittamistapa sovitaan erikseen, kun palvelun tuottaminen on aloitettu. 5 Hallinnollinen ja fyysinen tietoturvallisuus Yleiset vaatimukset Palveluntuottaja sitoutuu noudattamaan Tilaajan tietoturvapolitiikkaa (kts. liite 3 Eksoten tietoturvapolitiikka) ja tätä politiikkaa täydentäviä erillisiä ohjeistuksia. Palveluntuottaja sitoutuu allekirjoittamaan työntekijätasolla Tilaajan toimittaman tietosuojasitoumuksen (kts. liite 4 Eksoten tietosuojasitoumus 2016). Mikäli Palveluntuottajan henkilökuntaan kuuluva työntekijä ei suostu allekirjoittamaan Tilaajan tietosuojasitoumusta, kyseistä työntekijää ei voida käyttää palveluiden tuottamiseen Tilaajalle. Palveluntuottaja vastaa omalla kustannuksellaan oman henkilökuntansa ja käyttämiensä alihankkijoiden riittävästä kouluttamisesta tietosuojaan ja tietoturvaan liittyvissä asioissa. Tilaaja tekee seurantaa Palveluntuottajan lokitietojen käytöstä tietosuojapolitiikkansa ja lainsäädännön sallimien keinojen mukaisesti. Tilaajan aineiston sijainti 5.5 Tilaajan aineistoa tulee käsitellä EU-lainsäädännön mukaisesti. Aineiston siirtäminen Euroopan talousalueen ulkopuolelle vaatii aina Tilaajan etukäteen antaman kirjallisen luvan. Tällöin

10 10 (13) Palveluntuottaja on velvollinen selvittämään aineistoon siirtämisen liittyvät edellytykset, lainsäädännön, tarvittavat erilliset sopimukset ja muuta mahdolliset toimenpiteet sekä vastaa kaikista siirtämiseen liittyvistä kustannuksista. Henkilötietojen siirron osalta hyödynnetään EU:n komission mallisopimuslausekkeita, ellei Sopijapuolet sovi vaihtoehtoisesta mallista tietojen lain mukaisesta siirtämisestä. Tilaajalla on oikeus rajoittaa Tilaajan aineiston ja sen käsittelyn maantieteellistä sijaintipaikkaa tai tuotantoaluetta. Palveluntuottajalla on velvollisuus ilmoittaa Tilaajalle kaikki ne toimipisteet ja valtiot, joissa se tuottaa palvelua tai käsittelee Tilaajan aineistoa, jos Tilaajaa pyytää tätä tietoa. Palveluntuottaja tiedostaa, että aineiston sijaintia koskevat vaatimukset koskevat myös erilaisia teknisiä tukijärjestelmiä, joita Palveluntuottaja saattaa hyödyntää palvelun tuotannossa. Tilaajan toimitilojen turvallisuus 5.6 Palveluntuottaja vastaa siitä, ettei Tilaajan toimitilojen tai toiminnan turvallisuus vaarannu Palveluntuottajan henkilöstön huolimattomuuden, virheellisten työtapojen tai muun tämän sopimuksen vastaisen toiminnan johdosta. 5.7 Ellei toisin sovita, pääsyoikeus muihin kuin Tilaajan julkisiin tiloihin annetaan vain niille Palveluntuottajan henkilöille, jotka Palveluntuottaja on hyväksyttänyt Tilaajalla etukäteen, joista on tarvittaessa tehty henkilöturvallisuusselvitys ja tulos on hyväksyttävissä oleva, jotka ovat tietoisia pääsopimuksen ja tämän sopimuksen velvoitteista ja liikkumisohjeista tiloissa. Ellei toisin sovita, Palveluntuottajan henkilöstöllä on oltava näkyvillä tunniste, kuten Palveluntuottajan tai Tilaajan myöntämä henkilö- tai vierailijakortti, kun he tuottavat palvelua ja työskentelevät Tilaajan tiloissa. Palveluntuottajan toimitilojen turvallisuus 5.8 Palveluntuottaja vastaa siitä, että sen fyysiset tilat ovat asianmukaisesti suojattu lukituksella ja muilla tarpeellisilla toimenpiteillä luvattoman pääsyn estämiseksi toimitiloihin ja siellä olevaan salassa pidettävään tietoon tietosuojaluokituksen vaatimalla tasolla Ellei toisin sovita, kulunvalvonta IT-laitetiloihin, joissa käsitellään salassa pidettävää tietoa, on järjestettävä siten, ettei kukaan pääse saapumaan tai poistumaan tulematta rekisteröidyksi (sähköinen, kirjallinen loki tai vastaava). Palveluntuottajan tulee Tilaajan pyynnöstä hyväksyttää Tilaajalla kaikki henkilöt, joille on tarpeen myöntää pääsyoikeus yksinomaan Tilaajan palvelujen tuottamiseen varattuun Palveluntuottajan tilaan, jossa käsitellään salassa pidettävää tietoa ja joka on sovitulla tavalla eriytetty Palveluntuottajan muusta toiminnasta. Tässä kohdassa tarkoitetuista henkilöistä on Tilaajan niin vaatiessa ja lainsäädännön edellytysten täyttyessä teetettävä hen kilötu rva 11 isuusselvitys.

11 11 (13) Tietojärjestelmien hallinnan vaatimukset 5.11 Ellei toisin sovita, Palveluntuottajan tulee huolehtia sen vastuulla olevien palveluympäristöjen osalta siitä, että henkilöstön oikeudet ja valtuudet palvelun tuottamisessa käytettävissä tietojärjestelmissä rajataan vain työtehtävien edellyttämään laajuuteen. Pääsyoikeuksien myöntämisen, muuttamisen ja poistamisen osalta noudatetaan prosessia, joka kattaa toimitilat, tietojärjestelmät ja palvelut. Pääsyoikeudet tietojärjestelmiin, joissa käsitellään Tilaajan aineistoa, ovat henkilökohtaisia. Palveluntuottajan henkilöille myönnetyt Tilaajan avaimet, henkilökortit ja kulkuluvat palautetaan Tilaajalle sekä käyttäjätunnukset ja pääsyoikeudet poistetaan viivytyksettä, kun henkilö ei enää osallistu palvelun tuottamiseen. Tämän sopimuksen päätyttyä Palveluntuottaja palauttaa viivytyksettä Tilaajalle avaimet, henkilökortit, kulkuluvat ja -koodit, salausavaimet, lisenssit, käyttäjätunnukset, salasanat ja muut tunnistautumisvälineet ja Tilaajan luovuttaman omaisuuden sekä sulkee tämän sopimuksen nojalla avatut tietoliikenne-, tietojärjestelmä-, tiedonsiirto- ja etäkäyttöyhteydet. Ohjelmistoturvallisuus 5.12 Palveluntuottaja vastaa siitä, että sen tietojärjestelmäpalveluihin, ohjelmistokomponentteihin ja medioihin ei sisälly haittaohjelmia tai muuta tahallista haitallista toiminnallisuutta sekä siitä, että edellä mainitut palvelut ovat aina ajan tasalla tietoturvapäivitysten osalta. Palveluntuottaja seuraa palvelun tuottamiseen liittyviin ohjelmistoihin, kolmannen osapuolen komponentteihin ja valmisohjelmistoihin liittyviä tietoturvallisuustiedotteita, julkaistuja tietoturvapäivityksiä ja haavoittuvuuksia. Palveluntuottajan on viivytyksettä ilmoitettava vastuullaan olevien Tilaajan ohjelmistojen tietoturvahaavoittuvuuksista sekä tietoturvapäivityksistä Tilaajalle. Näillä toimilla varmistetaan Tilaajan aineiston luottamuksellisuus, eheys ja saatavuus sekä palvelun jatkuvuus. Jatkuvuuden varmistaminen 5.13 Palveluntuottaja vastaa siitä, että sillä on asianmukaiset voimassa olevat suunnitelmat, järjestelyt ja vakuutukset toiminnan jatkuvuuden varmistamiseksi ja suojautumiseen keskeytyksiltä ja jotka on otettu käyttöön. Henkilöstö on harjoitettu ja koulutettu jatkuvuuden varmistamiseen. Palvelun saatavuus, häiriöistä ja vikatilanteista toipumisen prosessit ja niiden tekniset toteutukset on suunniteltu siten, että toiminta pystytään palauttamaan sopimuksen mukaiseksi. 6 Turvallisuusselvitykset 6.1 Tämän sopimuksen tarkoittamalla turvallisuusselvityksellä tarkoitetaan turvallisuusselvityslain (726/2014) mukaista henkilöturvallisuusselvitystä taikka Suomen turvallisuusviranomaisen kautta hankittua ja ulkomaan turvallisuusviranomaisen myöntämää hen kilötu rva 11 isuustodistusta. 6.2 Tilaajalla on oikeus hakea turvallisuusselvityslaissa tarkoitettu henkilöturvallisuusselvitys Palveluntuottajan henkilöistä turvallisuuslain mukaisessa laajuudessa. Palveluntuottaja vastaa

12 12 (13) turvallisuusselvityksen kohteena olevan henkilön suostumuksen hankkimisesta ja toimittaa henkilön täyttämän ja allekirjoittaman lomakkeen Tilaajalle henkilöturvallisuusselvityksen hakemista varten. 6.3 Jos henkilöturvallisuusselvitystä tai henkilöturvallisuustodistusta ei ole saatavissa ja turvallisuusselvityslain mukaiset edellytykset henkilön luotettavuuden ja nuhteettomuuden arvioimiseksi ovat olemassa, Palveluntuottaja toimittaa pyynnöstä kyseisen henkilön rikosrekisteriotteen, liiketoimintakieltorekisteriotteen ja sakkorekisteriotteen tai vastaavat toisen valtion viranomaisen rekistereihin perustuvat otteet Tilaajalle. Tiedot on toimitettava siinä laajuudessa kuin Palveluntuottaja on voimassa olevan lainsäädännön mukaan oikeutettu niitä käsittelemään. Palveluntuottaja on velvollinen hankkimaan selvityksen kohteena olevan henkilön suostumus. 6.4 Tilaaja vastaa henkilöturvallisuusselvityksen kustannuksista. Mikäli ko. selvitys tulee uudelleen tehtäväksi sen vuoksi, että Palveluntuottajan henkilöstössä tapahtuu vaihdos tai Tilaajasta riippumaton lisäys, Palveluntuottaja vastaa kustannuksista. 6.5 Tilaajalla on henkilöturvallisuusselvityksestä tai vastaavasta selvityksestä tai todistuksesta ilmenneestä syystä oikeus olla hyväksymättä Palveluntuottajan ehdottamaa henkilöä tämän sopimuksen mukaisen palvelun tuottamiseen. Tällöin Palveluntuottajan on viivytyksettä ja veloituksetta vaihdettava henkilö. Korvaavalla henkilöllä on oltava vastaava pätevyys ja ammattitaito sekä Tilaajan hyväksyntä. Tilaaja ei saa evätä hyväksyntää ilman pätevää syytä. Palveluntuottajalla ei ole oikeutta laskuttaa kustannuksia, jotka johtuvat uuden henkilön perehdytyksestä palvelun tuottamiseen. Tilaajaan sovelletaan vaitiolovelvollisuutta ja hyväksikäyttökieltoa viranomaisten toiminnan julkisuudesta annetun lain :iä. 7 Tarkastaminen 7.1 Tilaajalla tai Tilaajalta toimeksi saaneella riippumattomalla kolmannella taholla on oikeus tarkastaa etukäteen ilmoitettuna ajankohtana Palveluntuottajan turvallisuusjärjestelyt, jotka koskevat palvelun tuottamista pääsopimuksella ja tällä sopimuksella. Ellei toisin ole sovittu, Tilaajan on ilmoitettava tarkastustahdosta 14 päivää ennen ehdotettua tarkastuspäivää. Haavoittuvuusskannauksia voidaan kuitenkin tehdä edellä mainitusta määräajasta riippumatta erikseen sovittuna ajankohtana. Jos tarkastusvaatimuksen esittää Tilaajalle sellainen kolmas osapuoli, jolla on lainsäädäntöön perustuva oikeus tarkistaa Tilaajan toimintaa ja tietojärjestelmiä, Palveluntuottajan on järjestettävä tarkastusmahdollisuus kolmantena työpäivänä Tilaajan kirjallisesta ilmoituksesta (ilmoituspäivää ei lasketa mukaan kolmea työpäivää laskettaessa). Tarkastus voidaan suorittaa myös viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista annetun lain (1406/2011 auditointilaki) mukaisena arviointina. Tämän toteuttamisesta päättää yksin Tilaaja. Tarkastusoikeus koskee myös Palveluntuottajan alihankkijan turvallisuusjärjestelyjä tämä

13 13 (13) sopimuksen mukaisen palvelun osalta. Palveluntuottajalla on velvollisuus olla läsnä tarkastuksessa Sopijapuolet pyrkivät myötävaikuttamaan tarkastuksen toteuttamista siten, ettei siitä aiheudu kohtuutonta haittaa Palveluntuottajan toiminnalle ja tämän sopimuksen mukaisen palvelun palvelutasolle eivätkä perusteettomasti vaarannan tietoturvallisuutta ja Palveluntuottajan salassapitovelvollisuuksia muita asiakkaita kohtaan kuin mikä on välttämätöntä tarkastuksen toteuttamiseksi tämän sopimuksen vaatimustenmukaisuuden selvittämiseksi. Ellei muuta ole sovittu, Tilaaja vastaa tarkastuskustannuksista kuten tarkastajan työkustannuksista. Selvyyden vuoksi todetaan, että Palveluntuottaja vastaa kaikista niistä kustannuksista, joita sille tai sen alihankkijalle aiheutuu tarkastukseen käytetystä työajasta, havaittujen puutteiden korjaamisesta ja kustannuksista, jotka aiheutuvat palvelun saattamisesta sovittujen vaatimusten mukaiseksi. Jos tarkastuksessa havaitaan puutteita eikä palvelu täytä sovittuja vaatimuksia, Palveluntuottaja laatii viipymättä suunnitelman tilanteen korjaamiseksi aikataulutuksineen ilman veloitusta. Puutteet ja virheet on korjattava viivytyksettä. Sellaiset olennaiset puutteet, jotka muodostavat ilmeisen uhan tietoturvallisuudelle, on korjattava heti tai Tilaajan asettamassa aikataulussa. Tilaaja ei vastaa puutteiden ja vikojen korjaamisesta aiheutuvista kustannuksista. Tilaaja voi vaatia uusintatarkatusta korjaustoimenpiteiden jälkeen. Uusintatarkastuksesta aiheutuvat kustannukset Palveluntuottaja on velvollinen korvaamaan Tilaajalle. Tilaajalla on oikeus luovuttaa muille viranomaisille tieto tarkastuksen suorittamisesta ja siitä, ovatko Palveluntuottajan turvallisuusjärjestelyt todettu vaatimusten mukaisiksi. Tilaajalle ei ole ilman Palveluntuottajan lupaa luovuttaa tietoja tarkastuksen yksityiskohtaisista havainnoista, ellei pakottavasta lainsäädännöstä muuta johdu.