Tietoturvallisuusliite [Yhteistyökumppanin nimi] STATUS Laatinut: Tarkastanut ja hyväksynyt: Versio no: Tiedoston nimi: Tallennushakemisto: Pvm
SISÄLLYSLUETTELO Sisällysluettelo... 2 1 Määritelmät... 3 2 tausta ja tarkoitus... 3 3 Luottamuksellisuus ja salassapito... 4 4 Pääsy tiloihin... 4 5 Pääsy järjestelmiin ja tietoihin... 5 6 Tietoturva... 5 7 Alihankkijat... 6 8 Valvonta ja raportointi... 6 9 Muut ehdot... 6 10 Voimassaolo... 7
1 MÄÄRITELMÄT Palvelu tarkoittaa sitä palvelua, josta Toimittaja (jäljempänä Yhteistyökumppani) ja Medbit Oy ovat sopineet Sopimuksessa. Sopimus tarkoittaa Yhteistyökumppanin ja Medbit Oy:n välistä [pp.kk.vvvv] allekirjoitettua sopimusta, jolla sopijapuolet ovat sopineet Yhteistyökumppanin Medbit Oy:lle tuottamista palveluista. Salassa pidettävä tieto tarkoittaa kaikkea sellaista Medbit Oy:n tai sen loppuasiakkaan Yhteistyökumppanille luovuttamaa tai tällä olevaa Medbit Oy:n tai sen loppuasiakkaan tietoa, joka on määritelty lainsäädännössä salassa pidettäväksi tai jonka Medbit Oy tai sen loppuasiakas on tällaiseksi tiedoksi merkinnyt tai joka on luonteeltaan sellaista, että se olisi kohtuudella pitänyt ymmärtää salassa pidettäväksi. Salassa pidettäväksi tiedoksi ei kuitenkaan katsota tietoa, joka oli Yhteistyökumppanin hallussa jo ennen kuin se saatiin Medbit Oy:ltä tai sen loppuasiakkaalta, on muutoin kuin Yhteistyökumppanin toimenpiteiden johdosta tullut tai myöhemmin tulee yleisesti saataville tai muuten julkiseksi, on tullut laillisesti Yhteistyökumppanin tietoon kolmannelta osapuolelta ilman salassapitovelvoitetta, tai on Yhteistyökumppanin itsenäisesti kehittämää ilman, että kehitystyössä on hyödynnetty Salassa pidettävää tietoa. Palvelun yhteydessä käsiteltävät henkilötiedot katsotaan aina Salassa pidettäväksi tiedoiksi. Tietosuojalainsäädäntö tarkoittaa kulloinkin voimassa olevaa henkilötietojen käsittelyä ja yksityisyydensuojaa sääntelevää lakia tai säädöstä, mukaan lukien kulloinkin voimassa oleva soveltuva kansallinen ja Euroopan unionin lainsäädäntö, kuten esimerkiksi henkilötietolaki (523/1999) ja/tai Euroopan parlamentin ja neuvoston 27. päivänä huhtikuuta 2016 antama asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta Tilat tarkoittavat sellaisia Medbit Oy:n tiloja, joissa säilytetään tai käytetään Salassa pidettäviä tietoja. 2 TAUSTA JA TARKOITUS Tässä liitteessä sovitaan sopijapuolten välillä noudatettavista turvallisuusjärjestelyistä ja luottamuksellisuudesta Palvelujen tuottamisessa sekä kaikessa Sopimukseen liittyvässä sopijapuolten välisessä yhteistyössä. Tällä liitteellä sopijapuolet pyrkivät varmistamaan, että Salassa pidettävät tiedot pysyvät salaisina. 3 / 7
3 LUOTTAMUKSELLISUUS JA SALASSAPITO Tässä liitteessä kuvattuja turvallisuusjärjestelyjä noudatetaan aina Yhteistyökumppanin käsitellessä Palveluiden tuottamiseen liittyvää tai muuta Medbit Oy:ltä tai sen loppuasiakkaalta saatua Salassa pidettävää tietoa. Yhteistyökumppani sitoutuu noudattamaan lainsäädännössä olevia salassapitoa ja julkisuutta koskevia säännöksiä. Liitteessä ei voida poiketa lainsäädännön Yhteistyökumppanille asettamista pakottavista velvoitteista. Yhteistyökumppani sitoutuu pitämään salassa kaikki Salassa pidettävät tiedot. Yhteistyökumppanilla on oikeus käyttää Salassa pidettäviä tietoja vain Palvelun tuottamiseksi tai siihen liittyvässä tai Sopimuksessa muutoin määritellyssä tarkoituksessa. Yhteistyökumppanin tulee käsitellä Salassa pidettäviä tietoja vain Palvelun tuottamisen edellyttämässä laajuudessa ja Medbit Oy:n kirjallisten ohjeiden sekä kulloinkin voimassa olevan Tietosuojalainsäädännön mukaisesti. Yhteistyökumppanilla on velvollisuus ilmoittaa Medbit Oy:lle, jos se katsoo, että Medbit Oy:n ohjeistus rikkoo Tietosuojalainsäädäntöä. Yhteistyökumppani avustaa Medbit Oy:tä Tietosuojalainsäädännön mukaisesti asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä toteuttamaan Medbit Oy:lle tai sen loppuasiakkaalle Tietosuojalainsäädännössä asetetut velvoitteet. Sopijapuolet antavat Salassa pidettäviä tietoja vain niiden henkilöiden saataville, jotka tarvitsevat Salassa pidettäviä tietoja Palvelun tuottamiseen liittyvissä työtehtävissään. Yhteistyökumppani sitoutuu antamaan ohjeistusta sekä järjestämään koulutusta Salassa pidettävien tietojen asianmukaisesta käsittelystä henkilöstölle, jolla on pääsy näihin tietoihin. Yhteistyökumppani sitoutuu säilyttämään ja käsittelemään Salassa pidettäviä tietoja siten, että ne pysyvät vain niiden henkilöiden hallussa, joilla on oikeus Salassa pidettäviin tietoihin, eivätkä ne joudu ulkopuolisten haltuun, tutkittavaksi tai tietoon. Yhteistyökumppani vastaa siitä, ettei Medbit Oy:n kohteiden tai toiminnan turvallisuus vaarannu Yhteistyökumppanin henkilöstön huolimattomuuden, virheellisten työtapojen tai muun tämän sopimuksen tai asiakaskohtaisen sopimuksen vastaisen toiminnan johdosta. Medbit Oy:n pyynnöstä Yhteistyökumppani hävittää Sopimuksen päätyttyä Salassa pidettävät tiedot ja niiden kopiot tai palauttaa ne Medbit Oy:lle. Yhteistyökumppani ja sen alihankkijat saavat mainita referenssinä tehneensä työtä Medbit Oy:lle tai sen loppuasiakkaalle vain, jos asiasta on erikseen kirjallisesti sovittu. 4 PÄÄSY TILOIHIN Tässä kohdassa sovitaan Tiloista, joissa Yhteistyökumppani voi säilyttää ja/tai käsitellä Salassa pidettäviä tietoja sekä näihin Tiloihin pääsystä. 4 / 7
Yhteistyökumppanin Tilojen tulee olla asianmukaisesti suojattu lukituksella sekä kulunvalvonnalla. Yhteistyökumppanin tulee varmistaa Tilojen fyysinen turvallisuus tulipalon, sähkökatkosten, vesivaurioiden, ulkopuolisten häiriötekijöiden yms. erityistilanteiden varalta sekä huolehtia Tilojen ilmastoinnista ja ilmankosteudesta. Henkilöt, joille ei ole myönnetty oikeutta Salassa pidettäviin tietoihin tai niitä sisältäviin järjestelmiin, saavat oleskella Tiloissa ainoastaan valvonnan alaisina. Henkilöiden, joilla on pääsy Tiloihin, tulee olla tunnistettavissa. 5 PÄÄSY JÄRJESTELMIIN JA TIETOIHIN Yhteistyökumppani on velvollinen huolehtimaan siitä, että Salassa pidettäviä tietoja annetaan sekä pääsy sellaisia tietoja sisältäviin järjestelmiin ja tietoihin sallitaan vain henkilöille, joille on annettu oikeus päästä kyseisiin järjestelmiin ja/tai tietoihin. Yhteistyökumppani vastaa siitä, että henkilö, joka käsittelee Salassa pidettäviä tietoja ja/tai jolla on pääsy järjestelmiin, joissa Salassa pidettäviä tietoja säilytetään, on sitoutunut tämän liitteen mukaiseen salassapitoon ja tekee vaitiolositoumuksen ennen kuin hän aloittaa mainittujen tietojen käsittelyn tai saa pääsyn mainittuihin järjestelmiin. 6 TIETOTURVA Yhteistyökumppani toteuttaa Salassa pidettävien tietojen käsittelystä aiheutuvaa riskiä vastaavat toimenpiteet Salassa pidettävien tietojen suojaamiseksi vahingossa tapahtuvalta tai laittomalta tuhoamiselta, häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta ja pääsyltä. Mikäli Salassa pidettävää tietoa on sallittua siirtää avoimessa tietoverkossa, tulee käytettävän tietoliikenneyhteyden olla aina salattua. Yhteistyökumppani vastaa varmistus- ja palautuskäytännössä siitä, että mahdollisen laiterikon yms. tapahduttua järjestelmät saadaan palautettua ja rakennettua toimivaksi kokonaisuudeksi. Yhteistyökumppani huolehtii Palvelun haittaohjelmatorjunnasta jatkuvasti ylläpidettävin ajanmukaisin torjuntaohjelmistoin sekä pitää Medbit Oy:n ajan tasalla, mikäli näihin liittyvissä riskeissä tapahtuu muutoksia. Yhteistyökumppani huolehtii tunnettujen tietoturvaongelmien tai -haavoittuvuuksien korjaamisesta järjestelmissään varus- ja sovellusohjelmatoimittajien ohjeiden mukaisesti. Yhteistyökumppani huolehtii verkossa olevien palvelinten ja muiden laitteiden tietoturvallisuuden toteuttamisesta ja dokumentoinnista. Yhteistyökumppani ilmoittaa henkilötietojen tietoturvaloukkauksesta Medbit Oy:lle ilman aiheetonta viivytystä saatuaan sen tietoonsa. 5 / 7
7 ALIHANKKIJAT Yhteistyökumppanilla on oikeus käyttää Salassa pidettävien tietojen käsittelyssä ja Tiloissa alihankkijoita tässä kohdassa määritellyin ehdoin. Tässä liitteessä alihankkijalla tarkoitetaan ainoastaan sellaista alihankkijaa, jota Yhteistyökumppani käyttää Salassa pidettävien tietojen käsittelyssä. Alihankkijan Palvelun tuottamiseen osallistuva henkilöstö rinnastetaan tässä liitteessä Yhteistyökumppanin vastaavaan henkilöstöön. Yhteistyökumppanilla on oikeus käyttää alihankkijoita Salassa pidettävien tietojen käsittelyyn ainoastaan Medbit Oy:n ennakkoluvalla. Yhteistyökumppani huolehtii siitä, että se pystyy noudattamaan tätä liitettä myös käyttäessään alihankkijoita. Yhteistyökumppani solmii tämän sopimuksen mukaiset velvoitteet alihankkijalle asettavan salassapitosopimuksen kunkin alihankkijan kanssa. Yhteistyökumppani vastaa siitä, että sen alihankkijat toimivat tämän liitteen ehtojen mukaisesti toimittaessaan Palvelua Yhteistyökumppanin alihankkijoina ja että alihankkijoita koskevat samat lainsäädännön ja tämän liitteen mukaiset tietosuojavelvoitteet kuin Yhteistyökumppania. Yhteistyökumppani on täysimääräisessä vastuussa alihankkijan velvoitteiden suorittamisesta suhteessa Medbit Oy:öön. 8 VALVONTA JA RAPORTOINTI Yhteistyökumppani on velvollinen ilmoittamaan Medbit Oy:lle, jos sen tämän liitteen kannalta keskeisissä toiminnoissa tai henkilöstö- tai turvallisuusjärjestelyissä tapahtuu muutoksia. Yhteistyökumppani valvoo tämän liitteen edellyttämän turvallisuustason toteutumisesta toiminnassaan säännöllisesti ja suunnitelmallisesti, kirjaa mahdolliset poikkeamat ja raportoi ne Medbit Oy:lle välittömästi sekä aloittaa korjaustoimet ensi tilassa. Medbit Oy seuraa Palvelun turvallisuustason toteutumista yhteistyössä Yhteistyökumppanin kanssa. Yhteistyökumppani saattaa Medbit Oy:n saataville kaikki tiedot, jotka ovat tarpeen Mebit Oy:n Tietosuojalainsäädännöstä seuraavien velvollisuuksien noudattamisen osoittamista varten ja sallii Medbit Oy:n, tämän asiakkaan tai muun tarkastajan suorittamat auditoinnit sekä osallistuu niihin. 9 MUUT EHDOT Sopimuksen yhteyshenkilöt vastaavat tämän liitteen päivittämistarpeen seuraamisesta. Mahdollisista muutoksista tähän liitteeseen sovitaan kirjallisesti noudattaen Sopimuksen muuttamista koskevia ehtoja. 6 / 7
Jos tämä liite ja Sopimus ovat ristiriidassa, Salassa pidettävään tietoon liittyvissä asioissa sovelletaan ensisijaisesti tätä liitettä sekä toissijaisesti Sopimusta ja sen muita liitteitä, ellei Sopimuksessa ole nimenomaisesti toisin sovittu. Tästä liitteestä aiheutuvat riidat ratkaistaan Sopimuksen ehtojen mukaisesti. 10 VOIMASSAOLO Tämä liite on voimassa niin kauan kuin Yhteistyökumppanin ja Medbit Oy:n välinen Sopimus on voimassa. Tämän liitteen mukainen salassapitovelvollisuus on voimassa myös viiden (5) vuoden ajan sen jälkeen, kun Sopimus on päättynyt, ellei Tietosuojalainsäädännöstä tai muusta Sopijapuolia sitovasta laista muuta johdu. 7 / 7