SOPIMUS SAARIJÄRVEN-VIITASAAREN SEUDUN KUNNAT / POHJOISEN KESKI-SUOMEN VERKKOPALVELUT
Sisällysluettelo 1. Sopimuksen tausta ja tavoitteet... 3 2. Sopijaosapuolet... 3 3. Määrittelyjä... 4 4. Sopimuksen kohde... 5 5. Seutuverkon ylläpidon järjestäminen ja laitehankinnat... 5 6. Kaapelinäytöt... 6 7. Kapasiteetin vuokraaminen yritysliittymiksi... 6 8. Kuntien työpanos ylläpidon järjestämiseen... 6 9. PKSV Oy:n datacenter... 7 10. Verkkolaitteet (kuntien laitetiloissa)... 7 11. Tietoturvallisuus ja tietosuoja... 7 12. Salassapito... 7 13. Päiväykset ja allekirjoitukset... 8
1. Sopimuksen tausta ja tavoitteet Pohjoisen Keski-Suomen kuntien (Kannonkoski, Karstula, Kinnula, Kivijärvi, Kyyjärvi, Pihtipudas, Pylkönmäki, Saarijärvi ja Viitasaari) välille on rakennettu valokuituverkko vuonna 1999. Pylkönmäen kunta liittyi 1.1.2009 kuntaliitoksella osaksi Saarijärven kaupunkia. Verkon hallinnointia ja ylläpitoa varten on perustettu vuonna 2000 yllä mainittujen kuntien 100 % omistama osakeyhtiö (myöhemmin PKSV Oy). Rakennettu valokuituverkko koostuu PKSV Oy:n omistamasta kuntien välisestä runkoverkosta sekä siihen liitetystä kuntien toimipaikat verkkoon yhdistävästä taajamaverkosta. Tämän sopimuksen tavoitteena on sopia seutuverkon ylläpidosta, laitehankinnoista, kustannusten jakamisesta sekä ylläpitoon käytettävästä työpanoksesta. 2. Sopijaosapuolet Yritys: Y-tunnus: 1608786-8 PL 13, Tuula Hakkarainen Kannonkosken kunta Y-tunnus: 0175798-8 Järvitie 1, 43300 Kannonkoski Karstulan kunta Y-tunnus: 9094917-1 Virastotie 4, 43500 Karstula Kinnulan kunta Y-tunnus: 0242816-6 Keskustie 45, 43900 Kinnula Kivijärven kunta Y-tunnus: 0176150-6 Virastotie 5 A, 43800 Kivijärvi
Kyyjärven kunta Y-tunnus: 0176410-9 Honkalehdontie 8, 43700 Kyyjärvi Pihtiputaan kunta Y-tunnus: 0243027-4 Keskustie 9, 44800 Pihtipudas Saarijärven kaupunki Y-tunnus: 0176975-1, 43101 Saarijärvi Viitasaaren kaupunki Y-tunnus: 0208573-0 Keskitie 10, 44500 Viitasaari Sopijapuolten on viivytyksettä ilmoitettava kirjallisesti yhteyshenkilön vaihtumisesta toisen sopijapuolen yhteyshenkilölle. 3. Määrittelyjä Runkoverkko Runkoverkko on PKSV Oy:n omistama kuntien välinen tietoliikenneverkko aktiivilaitteineen. Taajamaverkko Taajamaverkko on PKSV Oy:n kunkin omistajakunnan alueella sijaitseva ja kunnan omistama tietoliikenneverkko aktiivilaitteineen, joka on kytketty seutuverkkoon yhdestä tai useammasta kohdastaan. PKSV Oy:n omistajakuntien taajamaverkoista käytetään tässä sopimuksessa yhdessä nimitystä taajamaverkot. Kinnulan kunta omistaa kunnan alueella liityntäverkon, jolla tarjotaan liittymiä yksityisille ja yrityksille. Tämä verkko ei kuulu taajamaverkkojen piiriin. Seutuverkko
Seutuverkolla tarkoitetaan runkoverkon ja taajamaverkkojen muodostamaa kokonaisuutta. Seutuverkon ylläpito Seutuverkon ylläpitoon sisältyy tässä asiakirjassa runkoverkon laitteet ja niiden ylläpito sekä tietoliikenneyhteyksien tarjoamiseen tarvittavat muut laitteet (esim. palomuurit ja wlan controllerit) ja niiden ylläpito. Seutu-it ryhmä Seutu-it ryhmä on PKSV Oy:n omistajakuntien it-henkilöstöstä koostuva ryhmä, joka hallinnoi yhdessä PKSV Oy:n kanssa seudullisia palveluita. Ryhmällä ei ole päätösvaltaa käsittelemiinsä asioihin, sen rooli on tekninen asiantuntija. Kaapelinnäytöt Urakoitsijan on ennen maanrakennustyöhön, metsätyöhön, vesirakennustyöhön taikka muuhun telekaapeleita mahdollisesti vaarantavaan työhön ryhtymistä selvitettävä, että sijaitseeko työalueella telekaapeleita. Teleyrityksen on annettava maksutta tietoja kaapeleiden sijainnista. Kaapelinnäyttöihin kuuluu kaapelien sijaintitietojen seulonta, karttalähetykset sekä fyysisten näyttöjen järjestäminen. 4. Sopimuksen kohde Tämä sopimus koskee seutuverkon ylläpidon järjestämistä ja laitehankintoja, kaapelinäytöistä sopimista, taajamaverkon kapasiteetin vuokraamista yritysliittymiksi, kuntien työpanosta ylläpidon järjestämiseksi Kannonkosken datacenterin ylläpitoa sekä verkkolaitteita kuntien laitetiloissa 5. Seutuverkon ylläpidon järjestäminen ja laitehankinnat Seutuverkon hallinnointi ja ylläpito järjestetään yhtenä kokonaisuutena. Ylläpidon järjestämisestä vastaa PKSV Oy, mutta se järjestetään yhteistyössä kuntien it-henkilöstöstä koostuvan Seutu-it ryhmän kanssa. Runkoverkon ja taajamaverkkojen ylläpito toteutetaan yhtenä kokonaisuutena verkon yhtenäisyyden säilyttämiseksi. Runkoverkon ylläpito sisältyy kuntien maksamaan verkkomaksuun. PKSV Oy:n hallitus vahvistaa verkkomaksun suuruuden vuosittain.
PKSV Oy vastaa runkoverkon laitehankinnoista, niiden kustannusten jakamisesta päätetään tapauskohtaisesti. Kunnat vastaavat itse taajamaverkon laitehankinnoista ja niiden kustannuksista seudullisesti sovittujen periaatteiden mukaisesti. Kunnat noudattavat laitehankinnoissa verkon yhtenäisyyden varmistamiseksi tehtyjä päätöksiä. Seutuverkon ylläpitoa voidaan toteuttaa omana työnä tai käyttää alihankkijaa. Seutuverkon ja palveluiden kehittämisestä ja kehittämisen kustannuksista sovitaan aina erikseen. 6. Kaapelinäytöt vastaa sijaintitietojen ja kaapelinäyttöjen järjestämisestä seutuverkossa ja ne laskutetaan PKSV Oy:ltä. Runkoverkon sijaintitietojen ja kaapelinäyttöjen kustannukset maksaa PKSV Oy ja se laskuttaa kunnilta niiden taajamaverkkojen osuuden sijaintitiedoista ja kaapelinnäytöistä. Runkoverkkojen kaapelinäytöt sisältyvät kuntien verkkomaksuun. Yrityksellä on käytössään verkkotietojärjestelmä, jonka avulla telekaapeleiden sijainti voidaan saattaa digitaaliseen muotoon. vastaa runkoverkon tiedoista ja kunnat taajamaverkkojen tiedoista järjestelmässä. 7. Kapasiteetin vuokraaminen yritysliittymiksi voi vuokrata seutuverkon kapasiteettia muille operaattoreille yritysliittymien tarjoamista varten. Kapasiteetin vuokraus koskee niitä yritysten toimipaikkoja, joihin on olemassa oleva seutuverkon kuitu. voi vuokrata seutuverkon kapasiteettia maakuntaja soteuudistuksen jälkeen toimipaikkojen tietoliikenneyhteyksien toteuttamiseksi. Kapasiteetin vuokraus koskee niitä toimipaikkoja, joihin on olemassa oleva seutuverkon kuitu. laskuttaa operaattoreita kapasiteetista hinnastonsa mukaisesti. Saaduilla tuloilla vähennetään kuntien verkkopalvelumaksuja. 8. Kuntien työpanos ylläpidon järjestämiseen Seutuverkon ylläpitotyö on järjestetty niin, että osan ns. perusylläpidosta hoitaa Seutu-it ryhmän jäsenet. Perusylläpitoon kuuluu olemassa olevien järjestelmien ja verkon ylläpitotoimia. Niistä ja niiden jakautumisesta on sovittu Seutu-it ryhmän kanssa. Ryhmä vastaa siitä, että työt jakautuvat tasaisesti eri kuntien kesken. Kunnat sitoutuvat antamaan kuntien it-henkilöstön työpanosta Seutu-it ryhmän toimintaan sekä olemassa olevien järjestelmien ja verkon ylläpitotoimiin sovitulla tavalla. Lisäksi kunnat velvoittavat kuntien it-henkilöstön suorittamaan sovitut toimet.
Mikäli seudullisiin kehittämisprojekteihin tarvitaan Seutu-it ryhmän työpanosta, sovitaan työpanoksesta ja sen korvauksista aina erikseen. Korvauksen maksaminen edellyttää aina etukäteen Seutu-it ryhmän päätöstä projektista/kehittämisestä sekä korvauksesta sopimisesta PKSV Oy:n kanssa etukäteen. Mikäli kuntien it-henkilöstö osallistuu ennakoimattomien vikatilanteiden korjaamiseen työajan ulkopuolella, korvataan se kunnille sovitun mukaisesti. 9. PKSV Oy:n datacenter PKSV Oy hallinnoi ja omistaa Kannonkosken kunnan omistamassa kiinteistössä datacenterin. Datacenter on perustettu PKSV Oy:n omistajakuntien käyttöön. Verkkopalvelut Oy omistaa konesalin laitteet sekä niissä tarvittavat lisenssit. Datacenterin todelliset käyttökustannukset laskutetaan kunnilta sekä Perusturvaliikelaitos Saarikalta vuosittain vahvistettavan jakoperusteen mukaisesti. Muista kehitys- laite ja lisenssihankinnoista ja niiden kustannusten jakamisesta sovitaan tapauskohtaisesti. Hankintaesityksistä vastaa Seutu-it ryhmä ja hankinnoista päättää PKSV Oy:n hallitus. 10. Verkkolaitteet (kuntien laitetiloissa) PKSV Oy voi sijoittaa kuntien omistamiin laitetiloihin verkkoyhteyksien tai seudullisten palveluiden tuottamiseen liittyviä laitteita. Kunta vastaa omistamansa laitetilan vaatimustenmukaisuudesta sekä fyysisestä turvallisuudesta ja pääsynhallinnasta. 11. Tietoturvallisuus ja tietosuoja Yhtiö noudattaa tietoturva- ja tietosuojatyössään yleisesti tunnustettuja viitekehyksiä ja hyviä käytäntöjä. Kulloinkin voimassa olevat viitekehykset ja tavoitteet on kuvattu yhtiön tietoturvapolitiikassa. Tässä sopimuksessa kuvattujen toimintojen suorittamiseksi PKSV Oy toimii henkilötietojen käsittelijänä (rekisterinpitäjän lukuun). Rekisterinpitäjä edellyttää, että PKSV Oy sekä sen alihankkijat noudattavat rekisterinpitäjän laatimaa henkilötietojen käsittelyohjetta. PKSV Oy sitoutuu henkilötietojen noudattamaan henkilötietojen käsittelyssä liitteen 1 ehtoja. 12. Salassapito Sopijapuolet pitävät toisiltaan saamansa salassa pidettäväksi merkityn tai muuten luottamukselliseksi tai liikesalaisuudeksi katsottavan aineiston salassa eivätkä käytä tietoja muihin kuin sopimuksenmukaisiin tarkoituksiin. Liikesalaisuudeksi katsotaan mm. seutuverkon sijaintitiedot, tiedot laitteista ja niiden sijainnista sekä tiedot konesalista.
Sopijapuolet vastaavat, että kaikki heidän palveluksessaan olevat samoin kuin alihankkijat noudattavat tätä määräystä. Tämä määräys on voimassa myös sopimuksen päättymisen jälkeen. 13. Päiväykset ja allekirjoitukset Tämä sopimus on tehty 9 kappaleena, yksi (1) kullekin sopijaosapuolella. Kannonkosken kunta Karstulan kunta Kinnulan kunta
Kivijärven kunta Kyyjärven kunta Pihtiputaan kunta Saarijärven kaupunki
Viitasaaren kaupunki
JUHTA - Julkisen hallinnon tietohallinnon neuvottelukunta Sopimuksen päiväys: Liite nro: 1 Mukaellen dokumenttia: Erityisehtoja henkilötietojen käsittelystä Sisällys 1 Soveltaminen... 1 2 Määritelmät... 1 3 Sopijapuolten roolit henkilötietojen käsittelyssä... 2 4 Toimittajan yleiset velvollisuudet... 2 5 Tilaajan ohjeet... 3 6 Palveluhenkilöstö... 3 7 Alihankkijat, jotka käsittelevät henkilötietoja... 3 8 Palvelun paikka... 4 9 Tietoturvaloukkaukset... 4 10 Henkilötietojen käsittelyn päättyminen... 4 1 Soveltaminen Näitä erityisehtoja noudatetaan julkisen hallinnon hankintayksikköjen ostaessa palvelua, jonka yhteydessä toimittaja toimii henkilötietojen käsittelijänä, jos näihin erityisehtoihin on viitattu sopimuksessa eikä näistä ole joiltakin osin sovittu kirjallisesti toisin. 2 Määritelmät käsittelijä tietosuojalainsäädännössä tarkoitettu henkilötietoja käsittelevä taho, joka käsittelee henkilötietoja rekisterinpitäjän lukuun rekisterinpitäjä tietosuojalainsäädännössä tarkoitettu taho, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot tietosuojalainsäädäntö Euroopan unionin yleinen tietosuoja-asetus (EU) 679/2016 ja muut tietosuojasäädökset sekä tietosuojaviranomaisten määräykset henkilötietojen tietoturvaloukkaus 1/4
JUHTA - Julkisen hallinnon tietohallinnon neuvottelukunta tietoturvaloukkaus, jonka seurauksena on siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin tilaajan henkilötieto henkilötieto, josta tilaaja vastaa rekisterinpitäjänä 3 Sopijapuolten roolit henkilötietojen käsittelyssä (1) Tilaaja toimii rekisterinpitäjänä ja toimittaja henkilötietojen käsittelijänä, ellei sopimuksesta tai henkilötietojen käsittelyn tarkoituksesta muuta johdu. Sopimuksessa sovitaan sopijapuolten tarkemmat tehtävät ja vastuut henkilötietojen käsittelyn osalta. (2) Henkilötietojen käsittelyn kohde ja kesto, luonne ja tarkoitus sekä henkilötietojen tyypit ja rekisteröityjen ryhmät, soveltuvat tietoturvatoimenpiteet, sekä toimittajan ja tilaajan yksityiskohtaisemmat velvollisuudet ja oikeudet kuvataan tarkemmin sopimuksessa, sen liitteissä tai tilaajan ohjeissa. Toimittaja noudattaa sopimuksessa, sen liitteissä ja ohjeissa olevia ehtoja. 4 Toimittajan yleiset velvollisuudet (1) Toimittaja noudattaa voimassa olevaa tietosuojalainsäädännön edellyttämiä menettelytapoja ja henkilötietojen käsittelyä ja suojaamista koskevia säännöksiä. Toimittaja vastaa siitä, että palvelu on kulloinkin voimassa olevan tietosuojalainsäädännön ja sopimuksen vaatimusten mukainen, ottaen erityisesti huomioon, mitä sisäänrakennetusta ja oletusarvoisesta tietosuojasta on säädetty. (2) Toimittaja toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla se varmistaa, että tilaajan henkilötietojen käsittely tapahtuu sopimuksen vaatimusten ja sovittujen käytäntöjen mukaisesti. Toimenpiteiden tarkoituksena on varmistaa henkilötietojen lainmukainen käsittely sekä henkilötietojen käsittelyyn käytettävien järjestelmien ja palveluiden luottamuksellisuus, eheys, saatavuus ja vikasietoisuus. (3) Toimittaja ei käsittele eikä muulla tavoin hyödynnä sopimuksen perusteella käsittelemiään henkilötietoja muutoin kuin sopimuksen täyttämisen mukaisessa tarkoituksessa ja laajuudessa. (4) Toimittaja nimeää tietosuojavastaavan tai tietosuojasta vastaavan yhteyshenkilön tilaajan henkilötietoihin liittyviä yhteydenottoja varten. Toimittaja ilmoittaa kirjallisesti tietosuojavastaavan tai yhteyshenkilön yhteystiedot tilaajalle. (5) Toimittaja saattaa tilaajan saataville tämän pyynnöstä kaikki tiedot, jotka tilaaja tarvitsee rekisterinpitäjälle ja käsittelijälle säädettyjen velvollisuuksien noudattamisen osoittamista varten, ja osallistuu pyydettäessä sovitulla tavalla tilaajan vastuulla olevien kuvausten ja muiden dokumenttien, kuten vaikutustenarvioinnin, laatimiseen ja ylläpitämiseen sekä tietosuoja-asetuksen mukaisen ennakkokuulemisen suorittamiseen. Toimittaja tekee nämä tehtävät sopimuksen mukaisilla hinnoilla, ellei toisin sovita. (6) Toimittaja ilmoittaa tilaajalle viipymättä kaikista rekisteröityjen pyynnöistä, jotka koskevat rekisteröidyn oikeuksien käyttämistä. Toimittaja ei itse vastaa näihin pyyntöihin. Toimittaja avustaa tilaajaa, jotta tilaaja pystyy täyttämään velvollisuutensa vastata näihin pyyntöihin. Pyynnöt voivat edellyttää toimittajalta esimerkiksi avustamista rekisteröidylle tiedottamisessa ja viestinnässä, rekisteröidyn pääsyoikeuden toteuttamisessa, henkilötietojen oikaisemisessa tai poistamisessa, käsittelyn rajoittamisen toteuttamisessa tai rekisteröidyn omien henkilötietojen siirtämisessä järjestelmästä toiseen. Ellei toisin ole sovittu, toimittajalla on oikeus laskuttaa tilaajaa sopimuksessa sovituilla hinnoilla, jos avustaminen aiheuttaa lisäkuluja 2/4
JUHTA - Julkisen hallinnon tietohallinnon neuvottelukunta toimittajalle. Toimittaja on velvollinen ennakolta ilmoittamaan tilaajalle mahdollisesti aiheutuvista lisäkuluista. (7) Toimittaja sallii tilaajan tai sen valtuuttaman auditoijan suorittamat tarkastukset sekä osallistuu niihin. Tarkastusmenettelyä koskevat tarkemmat ehdot ovat julkisen hallinnon IT-hankintojen yleisissä sopimusehdoissa (JIT 2015 Yleiset ehdot) ja sopimuksessa. 5 Tilaajan ohjeet (1) Toimittaja noudattaa tilaajan henkilötietojen käsittelyssä sopimuksessa ja näissä erityisehdoissa sovittuja ehtoja sekä tilaajan kirjallisia ohjeita. Tilaaja vastaa ohjeiden ylläpidosta ja saatavuudesta. Toimittaja ilmoittaa ilman aiheetonta viivytystä tilaajalle, jos tilaajan antamat ohjeet ovat puutteellisia tai jos toimittaja epäilee niitä lainvastaisiksi. (2) Tilaajalla on oikeus muuttaa, täydentää ja päivittää toimittajalle antamiaan henkilötietojen käsittelyä ja tietosuojaa koskevia ohjeita. Jos ohjeiden muutoksista aiheutuu sopimuksen mukaisiin palveluihin liittyviä muita kuin vähäisiä muutoksia, niiden vaikutuksesta sovitaan sopimuksen mukaisessa muutoshallintamenettelyssä. 6 Palveluhenkilöstö (1) Toimittaja varmistaa, että kaikki sen alaisuudessa toimivat henkilöt, joilla on oikeus käsitellä tilaajan henkilötietoja, ovat sitoutuneet noudattamaan sopimuksessa sovittuja salassapitoehtoja tai heitä koskee lakisääteinen salassapitovelvollisuus. (2) Toimittaja varmistaa, että jokainen sen alaisuudessa toimiva henkilö, jolla on pääsy tilaajan henkilötietoihin, on tietoinen henkilötietojen käsittelyyn liittyvistä velvoitteistaan ja käsittelee niitä ainoastaan sopimuksen, näiden erityisehtojen ja tilaajan ohjeiden mukaisesti. 7 Alihankkijat, jotka käsittelevät henkilötietoja (1) Jos toimittajan alihankkija käsittelee tilaajan henkilötietoja, alihankkijan käyttäminen edellyttää tilaajan ennakkoon kirjallisesti antamaa lupaa. (2) Toimittaja tekee alihankkijan kanssa kirjallisen sopimuksen, jossa se sitouttaa käyttämänsä alihankkijat noudattamaan omalta osaltaan sopimuksessa toimittajalle asetettuja velvoitteita sekä tilaajan antamia kulloinkin voimassa olevia henkilötietojen käsittelyyn liittyviä ohjeita. Toimittaja varmistaa, että sopimuksen mukainen tilaajan tarkastusoikeus voidaan ulottaa alihankkijaan. (3) Toimittaja vastaa käyttämänsä alihankkijan osuudesta kuin omastaan. Toimittaja vastaa siitä, että alihankkija noudattaa omalta osaltaan henkilötietojen käsittelijälle asetettuja velvoitteita. (4) Henkilötietojen käsittelyyn osallistuvan alihankkijan vaihtamisesta on ilmoitettava tilaajalle etukäteen. Ilmoituksessa tulee kuvata, miten alihankkija käsittelee tilaajan henkilötietoja tietosuojalainsäädännön mukaisesti. Tilaajalla on oikeus perustellusta syystä vastustaa ehdotettua alihankkijaa. 3/4
JUHTA - Julkisen hallinnon tietohallinnon neuvottelukunta 8 Palvelun paikka (1) Ellei palvelun tuottamispaikasta ole toisin sovittu, toimittajalla on oikeus käsitellä tilaajan henkilötietoja ainoastaan Euroopan talousalueella. Mitä sopimuksessa ja näissä erityisehdoissa sovitaan henkilötietojen käsittelystä, koskee myös pääsyn mahdollistamista tilaajan henkilötietoihin esimerkiksi hallinta- ja valvontayhteyden välityksellä. (2) Jos sopijapuolet sopivat, että toimittajaa saa siirtää tilaajan henkilötietoja Euroopan talousalueen ulkopuolelle, sopijapuolet huolehtivat siitä, että henkilötietojen siirto toteutetaan lainsäädännön mukaisesti. 9 Tietoturvaloukkaukset (1) Toimittaja ilmoittaa kirjallisesti tilaajalle tietoonsa tulleesta tilaajan henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä sovitusta palveluajasta riippumatta. Lisäksi toimittaja ilmoittaa tilaajalle ilman aiheetonta viivytystä muista palvelun olennaisista häiriö- tai ongelmatilanteista, joilla voi olla vaikutuksia rekisteröityjen asemaan ja oikeuksiin. (2) Toimittaja ilmoittaa kirjallisesti tilaajalle vähintään seuraavat tiedot tietoturvaloukkauksesta: i. tapahtuneen tietoturvaloukkauksen kuvaus, mukaan lukien asianomaisten rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja arvioidut lukumäärät sillä tarkkuudella kuin nämä ovat tiedossa; ii. tietosuojavastaavan tai muun yhteyshenkilön nimi ja yhteystiedot, jolta voi saada asiassa lisätietoja; iii. kuvaus tietoturvaloukkauksen todennäköisistä seurauksista; ja iv. kuvaus toimenpiteistä, joita toimittaja ehdottaa tai joita se on jo toteuttanut tietoturvaloukkauksen johdosta, ja tarvittaessa toimenpiteet mahdollisten haittavaikutusten lieventämiseksi. (3) Henkilötietojen tietoturvaloukkauksen havaittuaan toimittaja ryhtyy viipymättä sopimuksessa sovittuihin toimenpiteisiin tietoturvaloukkauksen poistamiseksi ja sen vaikutusten rajoittamiseksi ja korjaamiseksi. 10 Henkilötietojen käsittelyn päättyminen (1) Sopimuksen voimassaoloaikana toimittaja ei saa poistaa tilaajan lukuun käsittelemiään henkilötietoja ilman tilaajan nimenomaista pyyntöä. (2) Sopimuksen päättyessä tai purkautuessa toimittaja palauttaa tilaajalle kaikki tilaajan puolesta käsitellyt henkilötiedot sekä kustannuksellaan hävittää omilta taltioiltaan mahdolliset kopiot henkilötiedoista, ellei toisin ole sovittu. Tietoja ei saa poistaa, jos lainsäädännössä tai viranomaisen määräyksellä on edellytetty, että toimittaja säilyttää henkilötiedot. Tilaajan henkilötietojen palauttamisesta tämän kappaleen mukaisesti ei toimittajalla ole oikeutta erillisveloitukseen, ellei toisin ole sovittu. 4/4