Liite 1 Henkilötietojen käsittelyn ehdot 1. Yleistä 1.1. Tässä sopimusliitteessä määritellään Sopimuksessa olevien sopimusehtojen lisäksi Rekisterinpitäjää ja Käsittelijää sitovasti ne henkilötietojen käsittelyä ja tietosuojaa koskevat sopimusehdot, joiden mukaisesti Käsittelijä Rekisterinpitäjän toimeksiannosta käsittelee henkilötietoja Rekisterinpitäjän puolesta ja lukuun. 1.2. Rekisterinpitäjän henkilötiedoilla tarkoitetaan näissä ehdoissa henkilötietoja, joista Rekisterinpitäjä vastaa. 1.3. Sopimuksella tarkoitetaan näissä ehdoissa Rekisterinpitäjän ja Käsittelijän välillä tehtyä sopimusta, jonka perusteella henkilötietoja käsitellään. 1.4. Osapuolet noudattavat toiminnassaan kulloinkin voimassaolevaa henkilötietojen käsittelyyn ja tietosuojaan liittyvää lainsäädäntöä sekä lainsäädännön nojalla annettuja viranomaismääräyksiä. Sopimuksella ei poiketa lainsäädännön Osapuolille asettamista pakottavista velvoitteista. 1.5. Osapuoli ilmoittaa välittömästi toiselle Osapuolelle, jos se epäilee, että Sopimus tai henkilötietojen käsittelyä koskeva ohje tai käytäntö rikkoo tietosuojaa koskevaa lainsäädäntöä. 1.6. Osapuolet tarkistavat Sopimusta tarvittaessa, jos lainsäädäntöön tai sen tulkintaa koskeviin suosituksiin, ohjeistuksiin tai määräyksiin tulee muutoksia. 2. Osapuolten roolit henkilötietojen käsittelyssä 2.1. Rekisterinpitäjä toimii henkilötietojen käsittelyä ja tietosuojaa koskevan lainsäädännön tarkoittamana rekisterinpitäjänä silloin, kun se määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. 2.2. Henkilötietojen käsittelyn kohde, luonne ja tarkoitus sekä henkilötietojen tyypit ja rekisteröityjen ryhmät sekä Rekisterinpitäjän ja Käsittelijän velvollisuudet ja oikeudet kuvataan Sopimuksen liitteenä olevassa käsittelytoimien kuvauksessa ja/tai muussa kirjallisessa ohjeistuksessa. Jos käsittelytoimien kuvausta ja/tai muuta kirjallista ohjeistusta ei ole tehty tai se on puutteellinen, Osapuolet laativat tai täydentävät käsittelytoimien kuvausta. Osapuolten on ilmoitettava toisilleen, jos käsittelytoimien kuvaus tai muu ohjeistus on puutteellinen tai, jos Osapuoli epäilee sitä lainvastaiseksi. 3. Henkilötietojen käsittely 3.1. Rekisterinpitäjä vastaa siitä, että sillä on lainsäädäntöön perustuva oikeus luovuttaa henkilötiedot Käsittelijälle.
3.2. Käsittelijän Sopimuksen mukaisessa toiminnassa syntyvät asiakkuutta koskevat asiakirjat ovat Rekisterinpitäjän asiakirjoja. 3.3. Käsittelijä saa käyttää henkilötietoja vain Sopimuksessa tai lainsäädännössä mainitulla perusteella tai Rekisterinpitäjän etukäteen antamalla kirjallisella luvalla. Käsittelijä saa käsitellä henkilötietoja ainoastaan Sopimuksen tarkoituksen edellyttämässä laajuudessa ja vain sinä aikana kuin se on Sopimuksen kohteen tai lainsäädännössä mainitun velvoitteen täyttämiseksi välttämätöntä. 3.4. Käsittelijä noudattaa henkilötietoja käsitellessään tietosuojaa koskevaa lainsäädäntöä ja Rekisterinpitäjän antamia kohtuullisia ohjeita. Osapuolten tulee arvioida henkilötietojen käsittelyyn liittyvät riskit ja toteuttaa riittävät tekniset ja organisatoriset toimet sen varmistamiseksi, että henkilötietojen käsittely täyttää tietosuojaa koskevan lainsäädännön vaatimukset ja suojaa rekisteröityjen oikeuksia. Riittäviä toimenpiteitä arvioitaessa otetaan huomioon uusin tekniikka ja toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit. 3.5. Osapuolet pyrkivät käytettävissään olevin kohtuullisin keinoin myötävaikuttamaan Sopimuksen kohteen toteuttamisessa korkeaan tietoturvallisuuden tasoon ja toisen Osapuolen mahdollisuuteen omalta osaltaan ylläpitää sitä. 3.6. Käsittelijä huolehtii Sopimuksen perusteella käsittelemiensä henkilötietojen asianmukaisesta suojaamisesta omien käytäntöjensä, Sopimuksen vaatimusten ja käsittelytoimien kuvauksen ja/tai kirjallisen ohjeistuksen mukaisesti varmistaakseen henkilötietojen luottamuksellisuuden, eheyden ja saatavuuden. 3.7. Osapuolet saattavat toistensa saataville pyynnöstä kaikki tiedot, jotka Osapuolet tarvitsevat rekisterinpitäjälle ja käsittelijälle säädettyjen velvollisuuksien noudattamisen osoittamista varten. Käsittelijä auttaa Rekisterinpitäjää varmistamaan, että vaikutusten arvioinnista ja ennakkokuulemisesta säädettyjä velvollisuuksia noudatetaan ottaen huomioon käsittelyn luonteen ja Käsittelijän saatavilla olevat tiedot. 3.8. Osapuolet korjaavat viipymättä havaitut henkilötietojen käsittelyä koskevat virheet tai puutteet. Tietosuojavastaava 3.9. Jos Osapuolella ei ole tietosuojavastaavaa, Osapuoli on velvollinen nimeämään tietosuojasta vastaavan yhteyshenkilön henkilötietojen käsittelyä varten. Osapuoli ilmoittaa kirjallisesti tässä kohdassa tarkoitetun yhteyshenkilön tai tietosuojavastaa-
van yhteystiedot ja niiden muutokset toiselle Osapuolelle. Espoon kaupungin tietosuojavastaava on Juho Nurmi, tietosuoja@espoo.fi. Kirkkonummen kunnan tietosuojavastaava on Kasperi Launis, tietosuojavastaava@kirkkonummi.fi Käsittelijän henkilöstö 3.10. Käsittelijä huolehtii siitä, että henkilötietoja käsittelevät vain ne Käsittelijän lukuun työskentelevät henkilöt, joiden työtehtäviin Rekisterinpitäjän aineiston käsittely kuuluu. Käsittelijän on varmistettava, että jokainen Käsittelijän alaisuudessa toimiva henkilö, jolla on pääsy Rekisterinpitäjän henkilötietoihin, on tietoinen henkilötietojen käsittelyyn liittyvistä velvoitteistaan ja käsittelee niitä ainoastaan Sopimuksen ja Osapuolten ohjeiden mukaisesti. 3.11. Käsittelijä varmistaa, että kaikki sen alaisuudessa toimivat henkilöt, joilla on oikeus käsitellä henkilötietoja, ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee lakisääteinen salassapitovelvollisuus. Käsittelijän tulee ohjeistaa henkilöstönsä salassapitoa koskevista säännöksistä ja menettelyistä. Auditoinnit 3.12. Käsittelijä sallii tietosuojaan liittyvien menettelyiden tarkastamiseksi Rekisterinpitäjän tai sen valtuuttaman auditoijan suorittamat auditoinnit sekä osallistuu niihin ja myötävaikuttaa auditointioikeuden toteutumiseen. 3.13. Auditoinnit eivät saa vaarantaa Käsittelijän tai kolmansien Osapuolten tietosuojaa tai tietoturvaa. 3.14. Rekisterinpitäjän on ilmoitettava Käsittelijälle kirjallisesti auditoinnista kaksi viikkoa ennen auditoinnin toteuttamista ja Käsittelijällä on oikeus valmistautua auditointiin. Käsittelijällä on oikeus perustellusta syystä siirtää auditoinnin ajankohtaa. 3.15. Käsittelijällä on oikeus vaatia auditointia suorittavaa tahoa allekirjoittamaan auditointia koskeva salassapitosopimus. Salassapitosopimus ei saa estää tarkastusta koskevien tulosten raportointia Rekisterinpitäjälle. 3.16. Auditoinnin tulokset ovat luottamuksellisia, mutta tämä ei estä Osapuolta saamasta koko auditointiraporttia sekä sen löydösten korjaussuunnitelmaa käyttöönsä. 3.17. Kumpikin Osapuoli vastaa omista auditoinnista aiheutuvista kustannuksistaan. Kaikki kustannukset sovitaan etukäteen ennen auditointioikeuden toteuttamista. Rekisteröityjen pyynnöt 3.18. Käsittelijä ilmoittaa Rekisterinpitäjälle rekisteröityjen pyynnöistä, jotka koskevat rekisteröidyn voimassa olevan lainsäädännön mukaisten oikeuksien käyttämistä. Käsittelijä ohjaa kolmansien Osapuolten tekemät Rekisterinpitäjän aineistoa koskevat tietopyynnöt Rekisterinpitäjälle siltä osin, kuin Käsittelijällä ei ole lainsäädäntöön perustuvaa velvollisuutta vastata tietopyyntöihin.
3.19. Käsittelijä avustaa Rekisterinpitäjää, jotta Rekisterinpitäjä pystyy täyttämään velvollisuutensa vastata näihin pyyntöihin. Dokumentaation laatiminen 3.20. Rekisterinpitäjä vastaa tarvittavien tietosuojaselosteiden, vaikutusten arviointien, tietojärjestelmäselosteiden ja Rekisterinpitäjän käsittelytoimia koskevien selosteiden laatimisesta. Käsittelijä antaa Rekisterinpitäjälle kohtuulliset tiedot niiden laatimiseksi ja toteuttamiseksi. 4. Alihankkijat, jotka käsittelevät henkilötietoja 4.1. Siltä osin kuin Käsittelijä käyttää toiminnassaan alihankkijoita, jotka käsittelevät henkilötietoja, alihankintaan sovelletaan Sopimuksessa kuvattuja ehtoja. Käsittelijä vastaa käyttämiensä alihankkijoiden osuudesta kuin omastaan. 4.2. Käsittelijä käyttää alihankkijoita siltä osin kuin se on tarpeellista etsivän nuorisotyön tuottamiseksi, esimerkiksi etsivän nuorisotyön järjestelmien tekniset palveluntuottajat. 4.3. Käsittelijän on ilmoitettava Rekisterinpitäjälle muutoksista, jotka koskevat henkilötietojen käsittelijöinä toimivien alihankkijoiden lisäämistä tai vaihtamista, ja annettava Rekisterinpitäjälle mahdollisuus vastustaa ehdotettuja muutoksia. 4.4. Käsittelijällä on velvollisuus kirjallisilla sopimuksilla sitouttaa käyttämänsä alihankkijat noudattamaan samoja tietosuojavelvoitteita kuin Rekisterinpitäjän ja Käsittelijän välisessä Sopimuksessa. 5. Palvelun sijainti 5.1. Käsittelijällä on oikeus käsitellä Rekisterinpitäjän henkilötietoja Euroopan talousalueen ulkopuolella edellyttäen, että Osapuolet huolehtivat siitä, että henkilötietojen siirto toteutetaan lainsäädännön mukaisesti asianmukaisella siirtosopimuksella noudattaen EU-komission kulloinkin voimassa olevia mallilausekkeita ja/tai muita tuolloin voimassa olevia henkilötietojen siirtoa koskevia vaatimuksia. Henkilötietojen käsittelyllä tarkoitetaan myös pääsyn mahdollistamista Rekisterinpitäjän henkilötietoihin, esimerkiksi hallinta- ja valvontayhteyden välityksellä. 6. Tietoturvaloukkaukset 6.1. Osapuolilla tulee olla kirjallinen ohjeistus tietoturvaloukkaustilanteissa toimimiseen. 6.2. Osapuoli ilmoittaa toiselle Osapuolelle viipymättä Osapuolen tietoon tulleista merkittävistä seikoista, jotka voivat vaikuttaa Sopimuksen kohteen toteuttamiseen liittyvän tietoturvallisuuteen. Osapuolen on ilmoitettava toiselle Osapuolelle niiden aiheuttamista toimenpiteistä ja mahdollisista seurauksista.
6.3. Osapuolen on ilmoitettava välittömästi toiselle Osapuolelle tietoonsa tulleesta henkilötietojen tietoturvaloukkauksesta tai vastattava välittömästi Osapuolen tietoturvaloukkausta koskevaan yhteydenottoon. 6.4. Käsittelijän on annettava Rekisterinpitäjälle vähintään seuraavat tiedot tietoturvaloukkauksesta: 1) kuvattava tapahtunut henkilötietojen tietoturvaloukkaus, mukaan lukien asianomaisten rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja arvioidut lukumäärät, sillä tarkkuudella, kuin nämä ovat tiedossa; 2) ilmoitettava tietosuojavastaavan tai muun vastuuhenkilön nimi ja yhteystiedot, jolta voi saada asiassa lisätietoja; 3) kuvattava henkilötietojen tietoturvaloukkauksen todennäköiset seuraukset; sekä 4) kuvattava toimenpiteet, joita Käsittelijä ehdottaa tai joita se on toteuttanut henkilötietojen tietoturvaloukkauksen johdosta ja tarvittaessa myös toimenpiteet mahdollisten haittavaikutusten lieventämiseksi. 6.5. Henkilötietojen tietoturvaloukkauksen havaittuaan Osapuolet ryhtyvät viipymättä toimenpiteisiin tietoturvaloukkauksen vaikutusten rajoittamiseksi ja korjaamiseksi. 6.6. Osapuolet auttavat toisiaan tietoturvaloukkauksiin liittyvien vahinkojen minimoinnissa ja asian selvittämisessä viranomaisten kanssa. 7. Henkilötietojen käsittelyn päättyminen 7.1. Sopimuksen voimassaoloaikana Käsittelijä ei poista Rekisterinpitäjän lukuun käsittelemiään henkilötietoja ilman Rekisterinpitäjän nimenomaista pyyntöä tai sopimuksen ehtoa. 7.2. Palveluiden toimittamisen tai asiakkaan asiakkuuden päätyttyä Käsittelijä sitoutuu palauttamaan tietoturvallisesti kaikki Rekisterinpitäjän henkilötiedot Rekisterinpitäjälle sekä poistamaan mahdolliset olemassa olevat kopiot. Käsittelijä sitoutuu palauttamisen sijasta poistamaan Rekisterinpitäjän henkilötiedot, jos Rekisterinpitäjä sitä nimenomaisesti pyytää. Henkilötietoja ei saa poistaa, jos lainsäädännössä tai viranomaismääräyksissä edellytetään, että Käsittelijä säilyttää henkilötiedot.
Liite 2 Käsittelytoimien kuvaus 1. Dokumentin tarkoitus Rekisterinpitäjä on tehnyt Käsittelijän kanssa sopimuksen, joka koskee sellaista palvelua, jossa Käsittelijä toimii Rekisterinpitäjän ylläpitämään henkilörekisteriin kuuluvien henkilötietojen käsittelijänä. Tässä dokumentissa kuvataan käsittelytoimet, joita Käsittelijä henkilötietojen käsittelijänä tekee Rekisterinpitäjän puolesta, henkilötietojen tyypit sekä käsiteltävät henkilötiedot. Henkilötietojen käsittelyssä on noudatettava Käsittelijän ja Rekisterinpitäjän välistä sopimusta sekä Rekisterinpitäjän ohjeita. 2. Henkilötietojen tyypit ja rekisteröityjen ryhmät [Käsittelijä täyttää ja Rekisterinpitäjä hyväksyy] Osapuolet ovat sopineet, että Käsittelijä käsittelee Rekisterinpitäjän puolesta Sopimuksessa sovitun palvelun tuottamiseksi seuraavia Rekisterinpitäjän henkilörekisteriin kuuluvia henkilötietoja. Käsittelijä käsittelee etsivän nuorisotyön kirkkonummelaiset asiakkaat Rekisteriin kerätään vähimmillään etu- ja sukunimi, syntymäaika ja postitoimipaikka. Rekisteriin voidaan kerätä asiakassuhteen hoitamisenkannalta myös tarpeelliset muut tiedot. Perustiedot: etunimi, sukunimi, syntymäaika, sähköpostiosoite, puhelinnumero, lähiosoite, postinumero, postitoimipaikka Taustatiedot: koulutus, työkokemus, tavoite, perhe ja muut taustatiedot Tilannetiedot: pääasiallinen toiminta, toimeentulo ja asumismuoto Asiakkuustiedot: mitä kautta saapunut, aloituspäivä, asiakkuuden päättymispäivä, toimenpiteet asiakkuuden aikana, sijoittuminen toimenpiteisiin Muistiotietoja: asiakkaan hyväksymät muut asiakkuuteen vaikuttavat asiat 3. Käsittelyn luonne ja tarkoitus Osapuolet ovat sopineet, että etsivän nuorisotyön henkilörekisteriä Käsittelijä käyttää tuen tarjoamiseksi nuorille. Lisäksi rekisteriä käytetään mahdollistamaan nuorten tukeminen viranomaisten ja muiden toimijoiden yhteistyönä. Etsivässä nuorisotyössä rekisteriä käytetään asiakassuhteen hoitamiseen, hallintaan ja kehittämiseen, analysointiin sekä tilastointiin. Tietoja kerätään etsivän nuorisotyön asiakkuuden aikana. 4. Henkilötietojen käsittelyn kesto Käsittelijä käsittelee tässä liitteessä yksilöityjä henkilötietoja sopimuskauden alusta siihen kunnes Käsittelijä on palauttanut tai tuhonnut henkilötiedot Sopimuksen tai Rekisterinpitäjän muun ohjeistuksen mukaisesti. Yksittäisiä asiakastietoja säilytetään niin kauan kuin on oletettavaa, että tietoja tarvitaan asiakassuhteen hoitamiseksi. Tietoja voidaan säilyttää sen kalenterivuoden ajan, jolloin asiakassuhde on päättynyt tai n. 3 kk asiakkuuden päättymisen jälkeen. Tiedot poistetaan luvan antaneen nuoren tai huoltajan vaatimuksesta tai asiakassuhteen loppumisen vuoksi.