1(5) L I I T E 5B T I E T O S U O J A 1. TARKOITUS Tällä tietosuojaliitteellä ( Tietosuojaliite ) [tilaaja] ( Tilaaja ) rekisterinpitäjänä ja käsittelijänä ja [toimittaja] ( Toimittaja ) henkilötietojen käsittelijänä sopivat [Sopimukseen laskun elinkaaren kokonaispalvelun hankinnasta] ( Pääsopimus ) liittyvästä henkilötietojen käsittelystä. 2. HENKILÖTIEDOT Henkilötietojen (i) käsittelyn kohde ja kesto, (ii) käsittelyn luonne ja tarkoitus sekä (iii) henkilötietojen tyyppi ja rekisteröityjen ryhmät on lueteltu alla: 2.1. Käsittelyn kohde ja kesto [yksilöitynä käsiteltävät henkilötiedot ja käsittelyn kesto] 2.2. Käsittelyn luonne ja tarkoitus [yksilöitynä luonne ja tarkoitus] 2.3. Henkilötietojen tyyppi ja rekisteröityjen ryhmät [yksilöitynä henkilötietojen tyyppi ja rekisteröityjen ryhmät] 3. TIETOSUOJA JA HENKILÖTIETOJEN KÄSITTELEMINEN 3.1. Yleistä Toimittaja noudattaa kulloinkin sovellettavan henkilötietolainsäädännön (mukaan lukien EU:n tietosuoja-asetus) edellyttämää hyvää tietojen käsittelytapaa ja tietojen suojaamista koskevia säännöksiä. Toimittaja huolehtii siitä, että sen käyttämät laitteet, ohjelmistot sekä tuotantotilat on asianmukaisesti suojattu riittävillä teknisillä, hallinnollisilla ja organisatorisilla toimenpiteillä ja että tietojen suojaukseen ja tietoturvaan liittyviä ennalta sovittuja menettelyjä noudatetaan. Toimittaja huolehtii käsittelemiensä tietojen asianmukaisesta suojaamisesta laittoman tai tapaturmaisen häviämisen tai hävittämisen varalta. Edellä mainitut velvollisuudet koskevat vastaavasti myös Tilaajaa, joka rekisterinpitäjänä ja käsittelijänä huolehtii lainsäädännössä säädetyistä velvollisuuksista. Tilaaja vastaa siitä, että sillä on oikeus luovuttaa henkilötietoja Toimittajalle Pääsopimuksen mukaiseen tarkoitukseen. 3.2. Henkilötietojen luovutukset Toimittajalla on oikeus käsitellä henkilötietoja ainoastaan kohdassa 2. yksilöityyn käyttötarkoitukseen ja Tilaajan antamien ohjeiden mukaisesti.
2(5) Toimittaja ei siirrä henkilötietoja kolmanteen maahan, paitsi milloin velvollisuus perustuu voimassaolevaan lakiin, jolloin Toimittajan on ilmoitettava velvollisuudesta ennen siirtoa. Erityisesti Toimittaja ei ilman Tilaajan kirjallista ennakkolupaa luovuta henkilötietoja Euroopan talousalueen ulkopuolelle tai mahdollista pääsyä kyseisiin henkilötietoihin Euroopan talousalueen ulkopuolelta. 3.3. Henkilötietojen käsittelyn ulkoistaminen Toimittajan toimesta Toimittaja ei käytä kolmansien tahojen, kuten alihankkijoiden tai muiden henkilötietojen käsittelijöiden, palveluksia henkilötietojen käsittelyssä ilman Tilaajan kirjallista ennakkolupaa. Tahot, joita koskien Tilaaja on antanut kirjallisen ennakkoluvan, on lueteltu liitteessä A. Toimittajan on informoitava Tilaajaa kaikista suunnitelluista muutoksista, jotka koskevat muiden henkilötietojen käsittelijöiden lisäämistä tai vaihtamista (ml. ennakkoluvan mukaisia käsittelijöitä), eikä muutoksia saa tehdä ilman Tilaajan suostumusta. Ulkoistaessaan henkilötietojen käsittelyä tai luovuttaessaan henkilötietoja kolmansille osapuolille Toimittaja vastaa käyttämiensä kolmansien osapuolien toiminnasta samoin kuin omastaan. 3.4. Toimittajan velvollisuudet Toimittaja sitoutuu käsittelemään henkilötietoja seuraavien vaatimusten mukaisesti: (i) Toimittaja käsittelee henkilötietoja ainoastaan Tilaajan antamien kirjallisten ohjeiden mukaisesti. Henkilötietojen käsittely Toimittajan omiin tarkoituksiin on kielletty. (ii) Toimittaja varmistaa, että henkilöt, joilla on oikeus käsitellä henkilötietoja, ovat sitoutuneet noudattamaan salassapitovelvollisuutta ja heidän kanssaan on laadittu asianmukaiset salassapitosopimukset. (iii) Toimittaja toteuttaa kaikki EU:n yleisen tietosuoja-asetuksen 32 artiklassa vaaditut toimenpiteet riittävän turvallisuustason varmistamiseksi sekä tietosuoja-asetuksen mukaisen kansallisen lainsäädännön ja viranomaisten asettamat vaatimukset. (iv) Mikäli Toimittaja käyttää toisen henkilötietojen käsittelijän palveluksia, kyseiseen toiseen henkilötietojen käsittelijään sovelletaan tämän Tietosuojaliitteen ja kulloinkin sovellettavan lainsäädännön mukaisia velvoitteita. Mikäli Toimittajan puolesta henkilötietoja käsittelevä taho ei täytä velvoitteitaan, Toimittaja on täysimääräisesti vastuussa tällaisten velvoitteiden suorittamisesta suhteessa Tilaajaan. (v) Toimittajan tulee, ottaen huomioon käsittelytoimen luonteen, auttaa Tilaajaa asianmukaisilla teknisillä, hallinnollisilla ja organisatorisilla toimenpiteillä mahdollisuuksien mukaan täyttämään rekisterinpitäjän/käsittelijän velvollisuuden vastata pyyntöihin, jotka koskevat rekisteröidyn oikeuksien käyttämistä (oikeus tietojen oikaisuun, oikeus tietojen poistamiseen, oikeus käsittelyn rajoittamiseen, henkilötietojen oikaisua tai poistoa tai käsittelyn rajoitusta koskeva ilmoitusvelvollisuus, oikeus siirtää tiedot järjestelmästä toiseen). (vi) Toimittajan tulee auttaa Tilaajaa varmistamaan, että EU:n yleisen tietosuojaasetuksen 32 34 artiklassa säädettyjä velvollisuuksia käsittelyn turvallisuudesta ja tietoturvaloukkauksista ilmoittamisesta noudatetaan sekä tarvittaessa tehdään artiklan 35-36 mukainen vaikutustenarviointi ja ennakkokuuleminen.
3(5) 3.5. Tietotekniset vaatimukset (vii) Toimittajan tulee käsittelyn päättyessä Tilaajan valinnan mukaan poistaa tai palauttaa Tilaajalle kaikki henkilötiedot ja poistaa olemassa olevat jäljennökset, ellei pakottavasta lainsäädännöstä muuta johdu. (viii) Toimittaja toimittaa Tilaajalle kaikki tiedot, jotka ovat tarpeen Tilaajan velvollisuuksien noudattamisen osoittamista varten, ja Toimittaja sallii Tilaajan tai muun rekisterinpitäjän valtuuttaman auditoijan suorittamat auditoinnit ja tarkastukset, sekä tarvittaessa osallistuu niihin kuten alla kohdassa 4 on tarkemmin sovittu. (ix) Toimittajan on ylläpidettävä EU:n yleisen tietosuoja-asetuksen 30 artiklan mukaista selostetta kaikista sen rekisterinpitäjään lukuun suoritettavista käsittelytoimista ja antaa tämä pyynnöstä Tilaajan tai valvontaviranomaisen nähtäväksi. Toimittaja noudattaa tietosuojan, tietoturvan ja henkilötietojen käsittelemisen osalta kulloinkin käytössä olevia riittäviä tietoteknisiä ratkaisuja. Toimittaja seuraa sopimuskaudella aktiivisesti tietoturvallisuuteen liittyvää kehitystä ja voi tehdä Tilaajalle ehdotuksia tietoturvallisuutta parantavista toimenpiteistä. Muutosten toteuttamisesta ja kustannuksista sovitaan erikseen. 4. AUDITOINTI JA TARKASTUSOIKEUS Tilaajalla on oikeus tehdä tai teettää kolmannella riippumattomalla taholla etukäteen ilmoitettavana ajankohtana tarkastus Toimittajalla ja tämän alihankkijoilla siltä osin, kun se on tarpeellista tämän sopimuksen mukaisten tietosuoja- ja tietoturvavaatimusten toteuttamisen varmistamiseksi. Tilaajan tulee ilmoittaa kirjallisesti Toimittajalle aikomuksesta tehdä tai teettää tarkastus neljä (4) viikkoa etukäteen. Tilaaja ilmoittaa samalla mahdollisesta kolmannen osapuolen käytöstä tarkastukseen. Toimittajalla on oikeus olla hyväksymättä ko. kolmatta osapuolta, mikäli tämä on Toimittajan kilpailija tarkastuksen kohteena olevien toimintojen osalta. Tarkastusta suorittava kolmas osapuoli voi käyttää Toimittajaa koskevia tietoja vain tarkastustarkoitukseen ko. toimeksiannon osalta. Tämän lisäksi ko. kolmatta osapuolta koskevat samat salassapitovelvoitteet kuin Tietosuojaliitteen osapuoliakin. Tarkastuksen tekijän on ennen tarkastuksen käynnistämistä Toimittajan niin vaatiessa annettava Toimittajalle kirjallinen salassapitositoumus, joka sisällöllisesti vastaa osapuolten välistä salassapitovelvollisuutta. Salassapitositoumus ei voi sisältää sopimussakkoehtoa. Jos tarkastuksessa havaitaan, ettei Toimittajan tai sen alihankkijan toiminta täytä sovittuja vaatimuksia, Toimittaja laatii viipymättä aikataulutetun suunnitelman tilanteen korjaamiseksi ilman eri veloitusta. Ellei osapuolten hyväksymästä suunnitelmasta muuta johdu, Toimittajan tulee korjata tarkastuksessa havaitut puutteet viivytyksettä. Olennaiset puutteet, jotka muodostavat ilmeisen uhkan tietoturvallisuudelle, on korjattava heti tai Tilaajan asettamassa aikataulussa. Tilaaja vastaa ulkopuolisen tarkastajan kustannuksista. Jos tarkastuksessa kuitenkin löydetään olennainen virhe, Toimittaja vastaa virheen löytämiseksi tarvitun tarkastuksen kustannuksista ja mahdollisen uusintatarkastuksen kustannuksista. Selvyyden vuoksi todetaan, että Toimittaja vastaa kaikista niistä kuluista ja kustannuksista, joita sille tai sen
4(5) alihankkijalle aiheutuu tarkastuksiin käytetystä työajasta ja havaittujen puutteiden korjaamisesta. 5. INFORMOINTIVELVOLLISUUS Toimittajan on ilmoitettava Tilaajalle, mikäli ilmenee riski siitä, ettei se lainsäädännöstä johtuvasta tai muusta pakottavasta syystä voi noudattaa jotain tämän Tietosuojaliitteen velvoitetta. Toimittajan on ilmoitettava Tilaajalle epäillystä henkilötietojen tietoturvaloukkauksesta välittömästi ja viimeistään 48 tunnin kuluessa saatuaan sen tietoonsa. 6. OSAPUOLTEN YHTEISTOIMINTA 7. LIITTEET Osapuolet sitoutuvat ottamaan huomioon toistensa kohtuulliset intressit tämän Tietosuojaliitteen ja EU:n yleisen tietosuoja-asetuksen vaatimusten toteuttamisessa tavoitteena henkilötietojen suojan korkea taso. Tässä tarkoituksessa osapuolet toteuttavat Tietosuojaliitteen ja EU:n yleisen tietosuoja-asetuksen niille asettamat vaatimukset tehokkaasti ja viivytyksettä sekä toimivat yhteistyössä EU:n yleisen tietosuoja-asetuksen noudattamiseen liittyen. Liite A: Sallitut henkilötietojen käsittelijät
5(5) Liite A: Sallitut henkilötietojen käsittelijät Lisää tähän lista Toimittajan alihankkijoista, jotka käsittelevät henkilötietoja