Common use of Tietoturvallisuus Clause in Contracts

Tietoturvallisuus. 23.1 Toimittaja huolehtii käsittelemiensä tietojen asianmukaisesta suojaamisesta laittoman tai tapaturmaisen häviämisen tai hävittämisen varalta sekä varmis- taakseen tietojen luottamuksellisuuden, eheyden ja saatavuuden. Sopimuk- sen päättyessä Toimittaja palauttaa Asiakkaalle kaiken palveluun tallennetun Asiakkaan tiedon taikka tuhoaa Asiakkaan tiedot Asiakkaan niin pyytäessä. 23.2 Toimittaja noudattaa Asiakkaan tietojen käsittelyssä viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999) tarkoitettua hyvää tiedonhallinta- tapaa sekä sopijapuolten mahdollisesti sopimia muita tietoturvajärjestelyjä tietoturvallisuudesta ja tietosuojasta huolehtimiseksi. 23.3 Toimittajan tulee noudattaa palveluiden tuottamisessa liitteessä 1 (Hankinnan kohde ja vaatimukset), 7 (Turvallisuusehdot) ja 6 (Tietoturvavaatimukset) yk- silöityjä, palveluiden tuottamiseen kohdistuvia tietoturvavaatimuksia. 23.4 Puitesopimuksen liitteen 6 (Tietoturvavaatimukset) vaatimukset koskevat pal- velun tuottamisessa Asiakkaan lukuun käsiteltävää aineistoa. Puitesopimuk- sen liitteen 6 (Tietoturvavaatimukset) vaatimukset eivät sellaisenaan ole tar- koitettu turvallisuusluokitellun tiedon käsittelyyn. 23.5 Asiakkaalla on oikeus vaatia ja saada palvelua tuottavalta asiantuntijalta tai muulta Toimittajan edustajalta salassapitositoumus. 23.6 Toimittaja huolehtii siitä, että tuotteiden noudoissa ja tuhoamisessa käytetty kuljetuskalusto sekä varastotilat on asianmukaisin toimenpitein suojattu va- hingonteoilta ja varkauksilta. 23.7 Hallintapalvelun sisältämän Asiakkaan tiedon, mukaan lukien henkilötiedot, tulee sijaita Euroopan talousalueella. Asiakkaan tiedon määritelmä on puite- sopimuksen mukainen. Toimittajan tulee varmistaa, että se ja sen alihankkija käsittelee Asiakkaan tietoa ainoastaan Euroopan talousalueella. Käsittelyllä tarkoitetaan tässä yhteydessä Asiakkaan tiedon keräämistä, tallentamista, järjestämistä, käyttöä, katselemista, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita vastaavia toimenpiteitä. 23.8 Asiakas voi edellyttää vaatimustenmukaisuuden osoittamista sertifioinnein tai muulla hyväksynnällä sen mahdollistamiseksi, että Toimittaja saa pääsyn eri- tyissuojattaviin kohteisiin. Tällaisia erityissuojattavia kohteita voivat olla esi- merkiksi lentokenttäalueet sekä puolustusvoimien ja rajavartiolaitoksen hal- linnassa olevat alueet. Toimittaja sitoutuu kustannuksellaan osallistumaan tässä kohdassa tarkoitettuihin hyväksyntöihin ja toimittamaan hyväksynnän suorittajalle tai tarkastusta suorittavalle taholle riittävät tiedot vaatimusten- mukaisuuden arvioimiseksi. Toimittaja sitoutuu lisäksi omalla kustannuksel- laan suorittamaan vaaditut korjaavat toimenpiteet saattaakseen toimintansa sovittujen vaatimusten mukaiseksi. 23.9 Toimittaja huolehtii siitä, että sen palveluissa käyttämät tietojärjestelmät ja tietotekniset laitteet sekä Toimittajan toimitilat (ml. varastot) on asianmukai- sesti suojattu luvattomalta tunkeutumiselta sekä tietoturvariskeiltä. Toimit- taja on tietoinen siitä, että Asiakas voi asettaa erityisiä turvallisuusvaatimuk- sia puitesopimuksessa sovittujen vaatimusten lisäksi. 23.10 Asiakas ja Toimittaja voivat sopia korotetusta tietoturvasta puitesopimuksen ylittäviltä osin sekä siitä aiheutuvista kohtuullisista kustannuksista erikseen, esimerkiksi turvallisuusluokitellun tiedon käsittelyä koskien. Turvallisuusluoki- teltua aineistoa ei käsitellä puitesopimuksen perusteella ellei siihen liittyvästä korotetusta tietoturvasta ole erikseen asiakaskohtaisesti sovittu. 23.11 Asiakkaalla on oikeus tarkastaa tämän sopimuksen liitteen 1 (Hankinnan kohde ja vaatimukset) lisätietoturvan vaatimusten täyttyminen. Tarkastuk- seen sovelletaan Asiakkaan ja Toimittajan välisen turvallisuussopimuksen eh- toja, tai jos turvallisuussopimusta ei ole, liitteenä 7 olevia turvallisuusehtoja. 23.12 Hankintapäätöksen jälkeen ja sopimuskauden aikana Hanselilla on oikeus teettää yhden kerran Toimittajan kustannuksella kolmannella riippumatto- malla taholla tarkastus sen selvittämiseksi, täyttyvätkö hallintapalvelua kos- kevat liitteissä 6 (Tietoturvavaatimukset) ja 7 (Turvallisuusehdot) esitetyt vaatimukset. Lisäksi tarkastus voi sisältää liitteessä 1 (Hankinnan kohde ja vaatimukset) kohdassa 2.1. kuvatun nouto-, kierrätys- ja hävitysprosessin tietoturvallisuuden tarkastuksen. [Toimittajalle tiedoksi, että tämän kohdan sisältämät tarkastuskustannukset ovat yhteensä enintään 15 000 € (alv 0 %)] 23.13 Xxxxxxxx on ilmoitettava tahdostaan suorittaa tarkastus vähintään kymmenen (10) päivää ennen ehdotettua tarkastuspäivää. Toimittaja voi ehdottaa uutta päivää tarkastukselle. Uusi ajankohta ei kuitenkaan saa olla myöhemmin kuin kymmenen (10) päivää Xxxxxxxx ehdottaman päivän jälkeen. 23.14 Toimittaja on velvollinen tarjoamaan tarkastajalle tarvittavat työtilat ja anta- maan tarvittavat tiedot tarkastuksen suorittamiseksi. Tarkastus pyritään suo- rittamaan siten, ettei siitä aiheudu Toimittajalle kohtuutonta haittaa. 23.15 Toimittajan tulee korjata tarkastuksissa havaitut virheet viivytyksettä, kuiten- kin viimeistään kolmenkymmenen (30) vuorokauden kuluessa Xxxxxxxx kirjal- lisesta ilmoituksesta, ellei siitä ole Xxxxxxxx ja Toimittajan välillä erikseen toi- sin sovittu. Olennaiset virheet ja puutteet, jotka muodostavat ilmeisen uhkan turvallisuudelle tai tietoturvallisuudelle, on korjattava välittömästi. Uusi audi- tointi tehdään korjausten jälkeen. Toimittaja on velvollinen maksamaan audi- toinnissa havaittujen vaatimustenvastaisuuden korjaamisen kulut ja kustan- nukset sekä tarvittavan uuden auditoinnin. 23.16 Tarkastusoikeus ei miltään osin rajoita Xxxxxxxx sopimuksen mukaisia oikeuk- sia, eikä se vapauta Toimittajaa mistään sen sopimuksen mukaisista velvoit- teista. 23.17 Tarkastukset eivät saa vaarantaa Toimittajan tai sen alihankkijoiden tietotur- vallisuutta tai Toimittajan tai sen alihankkijoiden salassapitovelvoitteita muita asiakkaita kohtaan. 23.18 Toimittaja valvoo tämän sopimuksen mukaisen tietoturvallisuustason toteu- tumista toiminnassaan säännöllisesti ja suunnitelmallisesti, kirjaa mahdolliset poikkeamat ja raportoi ne Hanselille ja Asiakkaille viivytyksettä sekä aloittaa korjaustoimet ensi tilassa. Xxxxxx seuraa palvelun turvallisuustason toteutu- mista yhteistyössä Toimittajan kanssa. 23.19 Kohdan 23.11 mukainen tarkastusoikeus voidaan ulottaa myös Toimittajan alihankkijaan, mikäli alihankkija osallistuu lisätietoturvan kohteena olevan palvelun toteuttamiseen. Toimittajan tulee huolehtia siitä, että alihankkijan tarkastus on mahdollinen ja toteutettavissa tämän sopimuksen mukaisesti. 23.20 Mikäli Toimittaja ei läpäise kohdassa 23.11 mainittua tarkastusta kahden (2) kuukauden kuluessa sopimuksen voimaantulosta, Hanselilla on oikeus irtisa- noa puitesopimus päättymään välittömästi. 23.21 Hanselilla on oikeus luovuttaa kaikille Asiakkailleen tieto siitä, että tarkastus on suoritettu. Hanselilla on oikeus luovuttaa tarkastuksen tuloksena syntyvän pöytäkirjan yleinen osa puitejärjestelyyn liittyneille Asiakkailleen

Tietoturvallisuus. 23.1 Toimittaja huolehtii käsittelemiensä tietojen asianmukaisesta suojaamisesta laittoman a. Brainin tietoturvatoimenpiteet. Ottaen huomioon tekniikan taso, täytäntöönpanosta aiheutuvat kustannukset ja käsittelyn luonne, laajuus, konteksti ja tarkoitukset (kuten liitteessä I on esitetty) sekä luonnollisten henkilöiden oikeuksien ja vapauksien vaihtelevan todennäköisyyden ja vakavuuden riski, Brain on toteuttanut ja ylläpitää edelleen teknisiä ja organisatorisia toimenpiteitä, jotka on suunniteltu suojaamaan loppukäyttäjän henkilötietoja vahingossa tapahtuvalta tai tapaturmaisen häviämisen laittomalta tuhoamiselta, katoamiselta, muuttamiselta, luvattomalta paljastamiselta tai hävittämisen varalta sekä varmis- taakseen tietojen luottamuksellisuudenpääsyltä loppukäyttäjän henkilötietoihin, eheyden kuten liitteessä II on kuvattu. Brain voi ajoittain päivittää tai muokata tietoturva- ohjelmaansa edellyttäen, että tällaiset päivitykset ja saatavuuden. Sopimuk- sen päättyessä Toimittaja palauttaa Asiakkaalle kaiken palveluun tallennetun Asiakkaan tiedon taikka tuhoaa Asiakkaan tiedot Asiakkaan niin pyytäessämuutokset eivät olennaisesti heikennä loppu- käyttäjän henkilötietojen yleistä turvallisuutta. 23.2 Toimittaja noudattaa Asiakkaan tietojen käsittelyssä viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999) tarkoitettua hyvää tiedonhallinta- tapaa sekä sopijapuolten mahdollisesti sopimia muita tietoturvajärjestelyjä tietoturvallisuudesta b. Brainin henkilöstön tietoturvan vaatimustenmukaisuus. Brain myöntää pääsyn loppukäyttäjän henkilötietoihin vain työntekijöille, alihankkijoille ja tietosuojasta huolehtimiseksialikäsittelijöille, jotka tarvitsevat pääsyn suorituksensa vuoksi ja joihin sovelletaan asianmukaisia luottamuksellisuusjärjestelyjä. 23.3 Toimittajan tulee noudattaa palveluiden tuottamisessa liitteessä 1 (Hankinnan kohde c. Brainin tietoturvan avustaminen. Ottaen huomioon loppukäyttäjän henkilötietojen käsittelyn luonne ja vaatimukset)Xxxxxxx käytettävissä olevat tiedot, 7 (Turvallisuusehdot) ja 6 (Tietoturvavaatimukset) yk- silöityjäBrain tarjoaa loppukäyttäjälle kohtuullista apua, palveluiden tuottamiseen kohdistuvia tietoturvavaatimuksia. 23.4 Puitesopimuksen liitteen 6 (Tietoturvavaatimukset) vaatimukset koskevat pal- velun tuottamisessa Asiakkaan lukuun käsiteltävää aineistoa. Puitesopimuk- sen liitteen 6 (Tietoturvavaatimukset) vaatimukset eivät sellaisenaan ole tar- koitettu turvallisuusluokitellun tiedon käsittelyyn. 23.5 Asiakkaalla on oikeus vaatia ja saada palvelua tuottavalta asiantuntijalta tai muulta Toimittajan edustajalta salassapitositoumus. 23.6 Toimittaja huolehtii siitä, että tuotteiden noudoissa ja tuhoamisessa käytetty kuljetuskalusto sekä varastotilat on asianmukaisin toimenpitein suojattu va- hingonteoilta ja varkauksilta. 23.7 Hallintapalvelun sisältämän Asiakkaan tiedonjota loppu- käyttäjä tarvitsee täyttääkseen eurooppalaisten tietosuojalainsäädännön mukaiset velvollisuutensa loppukäyttäjän henkilötietojen osalta, mukaan lukien henkilötiedot, tulee sijaita Euroopan talousalueella. Asiakkaan tiedon määritelmä on puite- sopimuksen mukainen. Toimittajan tulee varmistaaGDPR:n artiklat 32–34 (sisältyvästi): i. varmistamalla, että se Xxxxxxx alikäsittelijät toteuttavat ja sen alihankkija käsittelee Asiakkaan tietoa ainoastaan Euroopan talousalueellaylläpitävät turvatoimenpiteitä osion 3(a) (Tietoturvatoimenpiteet) mukaisesti; ii. Käsittelyllä tarkoitetaan tässä yhteydessä Asiakkaan tiedon keräämistä, tallentamista, järjestämistä, käyttöä, katselemista, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita vastaavia toimenpiteitä.noudattamalla osion 4 (Tietoturvatapahtumat) ehtoja; ja 23.8 Asiakas voi edellyttää vaatimustenmukaisuuden osoittamista sertifioinnein tai muulla hyväksynnällä sen mahdollistamiseksi, että Toimittaja saa pääsyn eri- tyissuojattaviin kohteisiiniii. Tällaisia erityissuojattavia kohteita voivat olla esi- merkiksi lentokenttäalueet sekä puolustusvoimien ja rajavartiolaitoksen hal- linnassa olevat alueet. Toimittaja sitoutuu kustannuksellaan osallistumaan tässä kohdassa tarkoitettuihin hyväksyntöihin ja toimittamaan hyväksynnän suorittajalle tai tarkastusta suorittavalle taholle riittävät tiedot vaatimusten- mukaisuuden arvioimiseksi. Toimittaja sitoutuu lisäksi omalla kustannuksel- laan suorittamaan vaaditut korjaavat toimenpiteet saattaakseen toimintansa sovittujen vaatimusten mukaiseksi. 23.9 Toimittaja huolehtii siitä, että sen palveluissa käyttämät tietojärjestelmät ja tietotekniset laitteet sekä Toimittajan toimitilat toimittamalla loppukäyttäjälle materiaalia osion 5 (ml. varastot) on asianmukai- sesti suojattu luvattomalta tunkeutumiselta sekä tietoturvariskeiltä. Toimit- taja on tietoinen siitä, että Asiakas voi asettaa erityisiä turvallisuusvaatimuk- sia puitesopimuksessa sovittujen vaatimusten lisäksi. 23.10 Asiakas ja Toimittaja voivat sopia korotetusta tietoturvasta puitesopimuksen ylittäviltä osin sekä siitä aiheutuvista kohtuullisista kustannuksista erikseen, esimerkiksi turvallisuusluokitellun tiedon käsittelyä koskien. Turvallisuusluoki- teltua aineistoa ei käsitellä puitesopimuksen perusteella ellei siihen liittyvästä korotetusta tietoturvasta ole erikseen asiakaskohtaisesti sovittu. 23.11 Asiakkaalla on oikeus tarkastaa tämän sopimuksen liitteen 1 (Hankinnan kohde ja vaatimukset) lisätietoturvan vaatimusten täyttyminen. Tarkastuk- seen sovelletaan Asiakkaan ja Toimittajan välisen turvallisuussopimuksen eh- toja, tai jos turvallisuussopimusta ei ole, liitteenä 7 olevia turvallisuusehtoja. 23.12 Hankintapäätöksen jälkeen ja sopimuskauden aikana Hanselilla on oikeus teettää yhden kerran Toimittajan kustannuksella kolmannella riippumatto- malla taholla tarkastus sen selvittämiseksi, täyttyvätkö hallintapalvelua kos- kevat liitteissä 6 (TietoturvavaatimuksetTarkastukset) ja 7 (Turvallisuusehdot) esitetyt vaatimukset. Lisäksi tarkastus voi sisältää liitteessä 1 (Hankinnan kohde sopimuksen ja vaatimukset) kohdassa 2.1. kuvatun nouto-, kierrätys- ja hävitysprosessin tietoturvallisuuden tarkastuksen. [Toimittajalle tiedoksi, että tämän kohdan sisältämät tarkastuskustannukset ovat yhteensä enintään 15 000 € (alv 0 %)] 23.13 Xxxxxxxx on ilmoitettava tahdostaan suorittaa tarkastus vähintään kymmenen (10) päivää ennen ehdotettua tarkastuspäivää. Toimittaja voi ehdottaa uutta päivää tarkastukselle. Uusi ajankohta ei kuitenkaan saa olla myöhemmin kuin kymmenen (10) päivää Xxxxxxxx ehdottaman päivän jälkeen. 23.14 Toimittaja on velvollinen tarjoamaan tarkastajalle tarvittavat työtilat ja anta- maan tarvittavat tiedot tarkastuksen suorittamiseksi. Tarkastus pyritään suo- rittamaan siten, ettei siitä aiheudu Toimittajalle kohtuutonta haittaa. 23.15 Toimittajan tulee korjata tarkastuksissa havaitut virheet viivytyksettä, kuiten- kin viimeistään kolmenkymmenen (30) vuorokauden kuluessa Xxxxxxxx kirjal- lisesta ilmoituksesta, ellei siitä ole Xxxxxxxx ja Toimittajan välillä erikseen toi- sin sovittu. Olennaiset virheet ja puutteet, jotka muodostavat ilmeisen uhkan turvallisuudelle tai tietoturvallisuudelle, on korjattava välittömästi. Uusi audi- tointi tehdään korjausten jälkeen. Toimittaja on velvollinen maksamaan audi- toinnissa havaittujen vaatimustenvastaisuuden korjaamisen kulut ja kustan- nukset sekä tarvittavan uuden auditoinnin. 23.16 Tarkastusoikeus ei miltään osin rajoita Xxxxxxxx sopimuksen mukaisia oikeuk- sia, eikä se vapauta Toimittajaa mistään sen sopimuksen mukaisista velvoit- teista. 23.17 Tarkastukset eivät saa vaarantaa Toimittajan tai sen alihankkijoiden tietotur- vallisuutta tai Toimittajan tai sen alihankkijoiden salassapitovelvoitteita muita asiakkaita kohtaan. 23.18 Toimittaja valvoo tämän sopimuksen mukaisen tietoturvallisuustason toteu- tumista toiminnassaan säännöllisesti ja suunnitelmallisesti, kirjaa mahdolliset poikkeamat ja raportoi ne Hanselille ja Asiakkaille viivytyksettä sekä aloittaa korjaustoimet ensi tilassa. Xxxxxx seuraa palvelun turvallisuustason toteutu- mista yhteistyössä Toimittajan kanssa. 23.19 Kohdan 23.11 mukainen tarkastusoikeus voidaan ulottaa myös Toimittajan alihankkijaan, mikäli alihankkija osallistuu lisätietoturvan kohteena olevan palvelun toteuttamiseen. Toimittajan tulee huolehtia siitä, että alihankkijan tarkastus on mahdollinen ja toteutettavissa tämän sopimuksen lisäyksen mukaisesti. 23.20 Mikäli Toimittaja ei läpäise kohdassa 23.11 mainittua tarkastusta kahden (2) kuukauden kuluessa sopimuksen voimaantulosta, Hanselilla on oikeus irtisa- noa puitesopimus päättymään välittömästi. 23.21 Hanselilla on oikeus luovuttaa kaikille Asiakkailleen tieto siitä, että tarkastus on suoritettu. Hanselilla on oikeus luovuttaa tarkastuksen tuloksena syntyvän pöytäkirjan yleinen osa puitejärjestelyyn liittyneille Asiakkailleen

Tietoturvallisuus. 23.1 Toimittaja huolehtii käsittelemiensä tietojen asianmukaisesta suojaamisesta laittoman Käsittelijä toteuttaa kaikki asianmukaiset tekniset ja organisatoriset toimenpiteet Tietosuojalainsäädännön vaatiman turvallisuustason varmistamiseksi (yleisen tietosuoja-asetuksen 32 artikla (Henkilötietolain (523/1999) 32 §) sekä muut tarpeelliset toimenpiteet Käsittelijälle tässä Sopimuksessa asetettujen tai tapaturmaisen häviämisen muutoin Rekisterinpitäjän TKS:n perusteella muutoin asettamien turvallisuusvaatimusten noudattamiseksi.) Käsittelijä sitoutuu tiedottamaan Rekisterinpitäjälle niistä teknisistä ja organisatorisista toimenpiteistä, jotka Käsittelijä toteuttaa turvatakseen Rekisterinpitäjän lukuun käsittelemänsä henkilötiedot. Turvallisuusohjeet on määritelty tarkemmin Liitteessä 1. Mikäli Käsittelijä aikoo tehdä muutoksia, joilla voi olla vaikutusta henkilötietojen suojaukseen, Käsittelijän tulee tiedottaa Rekisterinpitäjää tästä etukäteen siten, että Rekisterinpitäjälle varataan tosiasiallinen mahdollisuus vastustaa em. muutoksia. Käsittelijä ilmoittaa mahdollisesta tai hävittämisen varalta sekä varmis- taakseen tietojen luottamuksellisuudentapahtuneesta Henkilötietojen tietoturvaloukkauksesta tai muusta Tietosuojalainsäädännön, eheyden ja saatavuuden. Sopimuk- sen päättyessä Toimittaja palauttaa Asiakkaalle kaiken palveluun tallennetun Asiakkaan tiedon taikka tuhoaa Asiakkaan tiedot Asiakkaan niin pyytäessä. 23.2 Toimittaja noudattaa Asiakkaan tietojen käsittelyssä viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999) tarkoitettua hyvää tiedonhallinta- tapaa sekä sopijapuolten mahdollisesti sopimia muita tietoturvajärjestelyjä tietoturvallisuudesta ja tietosuojasta huolehtimiseksi. 23.3 Toimittajan tulee noudattaa palveluiden tuottamisessa liitteessä 1 (Hankinnan kohde ja vaatimukset), 7 (Turvallisuusehdot) ja 6 (Tietoturvavaatimukset) yk- silöityjä, palveluiden tuottamiseen kohdistuvia tietoturvavaatimuksia. 23.4 Puitesopimuksen liitteen 6 (Tietoturvavaatimukset) vaatimukset koskevat pal- velun tuottamisessa Asiakkaan lukuun käsiteltävää aineistoa. Puitesopimuk- sen liitteen 6 (Tietoturvavaatimukset) vaatimukset eivät sellaisenaan ole tar- koitettu turvallisuusluokitellun tiedon käsittelyyn. 23.5 Asiakkaalla on oikeus vaatia ja saada palvelua tuottavalta asiantuntijalta tämän TKS:n tai muulta Toimittajan edustajalta salassapitositoumus. 23.6 Toimittaja huolehtii Rekisterinpitäjän ohjeiden vastaisesta käsittelystä Rekisterinpitäjälle viipymättä siitä, että tuotteiden noudoissa kun se on saanut tiedon loukkauksesta. Käsittelijän tulee ilmoituksen osana antaa Rekisterinpitäjälle viipymättä kaikki tarpeelliset tiedot kyseisestä häiriötilanteesta ja tuhoamisessa käytetty kuljetuskalusto siihen liittyvistä toimenpiteistä, erityisesti: kuvaus henkilötietojen tietoturvaloukkauksen luonteesta, sisältäen tiedot sellaisten rekisteröityjen ja henkilörekisterien ryhmistä ja arvioiduista määristä, joihin loukkaus vaikuttaa, sekä varastotilat on asianmukaisin toimenpitein suojattu va- hingonteoilta muut Tietosuojalainsäädännön asettamat vaatimukset; tarpeelliset tiedot Rekisterinpitäjän lakisääteisten velvoitteiden ja varkauksiltasopimusvelvoitteiden täyttämisen kannalta. Nämä velvoitteet voivat perustua muun muassa Tietosuojalainsäädäntöön, kolmannen osapuolen kanssa tehtyihin sopimuksiin ja/tai valvontaviranomaisen tai tuomioistuimen antamaan pyyntöön, ohjeistukseen ja/tai päätökseen; ja tarpeelliset tiedot vastaavien henkilötietojen tietoturvaloukkausten ehkäisemiseksi sekä valvontaviranomaiselle, rekisteröidyille ja mahdollisille kolmansille osapuolille tehtävien ilmoitusten tekemiseksi. 23.7 Hallintapalvelun sisältämän Asiakkaan tiedon, mukaan lukien henkilötiedot, tulee sijaita Euroopan talousalueella. Asiakkaan tiedon määritelmä on puite- sopimuksen mukainen. Toimittajan tulee varmistaa, että se ja sen alihankkija käsittelee Asiakkaan tietoa ainoastaan Euroopan talousalueella. Käsittelyllä tarkoitetaan tässä yhteydessä Asiakkaan tiedon keräämistä, tallentamista, järjestämistä, käyttöä, katselemista, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita vastaavia toimenpiteitä. 23.8 Asiakas voi edellyttää vaatimustenmukaisuuden osoittamista sertifioinnein tai muulla hyväksynnällä sen mahdollistamiseksi, että Toimittaja saa pääsyn eri- tyissuojattaviin kohteisiin. Tällaisia erityissuojattavia kohteita voivat olla esi- merkiksi lentokenttäalueet sekä puolustusvoimien ja rajavartiolaitoksen hal- linnassa olevat alueet. Toimittaja sitoutuu kustannuksellaan osallistumaan tässä kohdassa tarkoitettuihin hyväksyntöihin ja toimittamaan hyväksynnän suorittajalle tai tarkastusta suorittavalle taholle riittävät tiedot vaatimusten- mukaisuuden arvioimiseksi. Toimittaja sitoutuu lisäksi omalla kustannuksel- laan suorittamaan vaaditut korjaavat toimenpiteet saattaakseen toimintansa sovittujen vaatimusten mukaiseksi. 23.9 Toimittaja huolehtii siitä, että sen palveluissa käyttämät tietojärjestelmät ja tietotekniset laitteet sekä Toimittajan toimitilat (ml. varastot) on asianmukai- sesti suojattu luvattomalta tunkeutumiselta sekä tietoturvariskeiltä. Toimit- taja on tietoinen siitä, että Asiakas voi asettaa erityisiä turvallisuusvaatimuk- sia puitesopimuksessa sovittujen vaatimusten lisäksi. 23.10 Asiakas ja Toimittaja voivat sopia korotetusta tietoturvasta puitesopimuksen ylittäviltä osin sekä siitä aiheutuvista kohtuullisista kustannuksista erikseen, esimerkiksi turvallisuusluokitellun tiedon käsittelyä koskien. Turvallisuusluoki- teltua aineistoa ei käsitellä puitesopimuksen perusteella ellei siihen liittyvästä korotetusta tietoturvasta ole erikseen asiakaskohtaisesti sovittu. 23.11 Asiakkaalla on oikeus tarkastaa tämän sopimuksen liitteen 1 (Hankinnan kohde ja vaatimukset) lisätietoturvan vaatimusten täyttyminen. Tarkastuk- seen sovelletaan Asiakkaan ja Toimittajan välisen turvallisuussopimuksen eh- toja, tai jos turvallisuussopimusta ei ole, liitteenä 7 olevia turvallisuusehtoja. 23.12 Hankintapäätöksen jälkeen ja sopimuskauden aikana Hanselilla on oikeus teettää yhden kerran Toimittajan kustannuksella kolmannella riippumatto- malla taholla tarkastus sen selvittämiseksi, täyttyvätkö hallintapalvelua kos- kevat liitteissä 6 (Tietoturvavaatimukset) ja 7 (Turvallisuusehdot) esitetyt vaatimukset. Lisäksi tarkastus voi sisältää liitteessä 1 (Hankinnan kohde ja vaatimukset) kohdassa 2.1. kuvatun nouto-, kierrätys- ja hävitysprosessin tietoturvallisuuden tarkastuksen. [Toimittajalle tiedoksi, että tämän kohdan sisältämät tarkastuskustannukset ovat yhteensä enintään 15 000 € (alv 0 %)] 23.13 Xxxxxxxx on ilmoitettava tahdostaan suorittaa tarkastus vähintään kymmenen (10) päivää ennen ehdotettua tarkastuspäivää. Toimittaja voi ehdottaa uutta päivää tarkastukselle. Uusi ajankohta ei kuitenkaan saa olla myöhemmin kuin kymmenen (10) päivää Xxxxxxxx ehdottaman päivän jälkeen. 23.14 Toimittaja on velvollinen tarjoamaan tarkastajalle tarvittavat työtilat ja anta- maan tarvittavat tiedot tarkastuksen suorittamiseksi. Tarkastus pyritään suo- rittamaan siten, ettei siitä aiheudu Toimittajalle kohtuutonta haittaa. 23.15 Toimittajan tulee korjata tarkastuksissa havaitut virheet viivytyksettä, kuiten- kin viimeistään kolmenkymmenen (30) vuorokauden kuluessa Xxxxxxxx kirjal- lisesta ilmoituksesta, ellei siitä ole Xxxxxxxx ja Toimittajan välillä erikseen toi- sin sovittu. Olennaiset virheet ja puutteet, jotka muodostavat ilmeisen uhkan turvallisuudelle tai tietoturvallisuudelle, on korjattava välittömästi. Uusi audi- tointi tehdään korjausten jälkeen. Toimittaja on velvollinen maksamaan audi- toinnissa havaittujen vaatimustenvastaisuuden korjaamisen kulut ja kustan- nukset sekä tarvittavan uuden auditoinnin. 23.16 Tarkastusoikeus ei miltään osin rajoita Xxxxxxxx sopimuksen mukaisia oikeuk- sia, eikä se vapauta Toimittajaa mistään sen sopimuksen mukaisista velvoit- teista. 23.17 Tarkastukset eivät saa vaarantaa Toimittajan tai sen alihankkijoiden tietotur- vallisuutta tai Toimittajan tai sen alihankkijoiden salassapitovelvoitteita muita asiakkaita kohtaan. 23.18 Toimittaja valvoo tämän sopimuksen mukaisen tietoturvallisuustason toteu- tumista toiminnassaan säännöllisesti ja suunnitelmallisesti, kirjaa mahdolliset poikkeamat ja raportoi ne Hanselille ja Asiakkaille viivytyksettä sekä aloittaa korjaustoimet ensi tilassa. Xxxxxx seuraa palvelun turvallisuustason toteutu- mista yhteistyössä Toimittajan kanssa. 23.19 Kohdan 23.11 mukainen tarkastusoikeus voidaan ulottaa myös Toimittajan alihankkijaan, mikäli alihankkija osallistuu lisätietoturvan kohteena olevan palvelun toteuttamiseen. Toimittajan tulee huolehtia siitä, että alihankkijan tarkastus on mahdollinen ja toteutettavissa tämän sopimuksen mukaisesti. 23.20 Mikäli Toimittaja ei läpäise kohdassa 23.11 mainittua tarkastusta kahden (2) kuukauden kuluessa sopimuksen voimaantulosta, Hanselilla on oikeus irtisa- noa puitesopimus päättymään välittömästi. 23.21 Hanselilla on oikeus luovuttaa kaikille Asiakkailleen tieto siitä, että tarkastus on suoritettu. Hanselilla on oikeus luovuttaa tarkastuksen tuloksena syntyvän pöytäkirjan yleinen osa puitejärjestelyyn liittyneille Asiakkailleen

Tietoturvallisuus. 23.1 Toimittaja huolehtii käsittelemiensä tietojen asianmukaisesta suojaamisesta laittoman Käsittelijä toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet Tietosuojalainsäädännön vaatiman turvallisuustason varmistamiseksi (yleisen tietosuoja- asetuksen 32 artikla (Henkilötietolain (523/1999) 32 §) sekä muut tarpeelliset toimenpiteet Käsittelijälle asetettujen tai tapaturmaisen häviämisen tai hävittämisen varalta sekä varmis- taakseen tietojen luottamuksellisuudenRekisterinpitäjän TKS:n perusteella muutoin asettamien turvallisuusvaatimusten noudattamiseksi.) Käsittelijä sitoutuu tiedottamaan Rekisterinpitäjälle niistä teknisistä ja organisatorisista toimenpiteistä, eheyden ja saatavuudenjotka se toteuttaa turvatakseen Rekisterinpitäjän lukuun käsittelemänsä henkilötiedot. Sopimuk- sen päättyessä Toimittaja palauttaa Asiakkaalle kaiken palveluun tallennetun Asiakkaan tiedon taikka tuhoaa Asiakkaan tiedot Asiakkaan niin pyytäessä. 23.2 Toimittaja noudattaa Asiakkaan tietojen käsittelyssä viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999) tarkoitettua hyvää tiedonhallinta- tapaa sekä sopijapuolten mahdollisesti sopimia muita tietoturvajärjestelyjä tietoturvallisuudesta ja tietosuojasta huolehtimiseksi. 23.3 Toimittajan Mikäli Käsittelijä aikoo tehdä muutoksia, joilla voi olla vaikutusta henkilötietojen suojaukseen, Käsittelijän tulee noudattaa palveluiden tuottamisessa liitteessä 1 (Hankinnan kohde ja vaatimukset), 7 (Turvallisuusehdot) ja 6 (Tietoturvavaatimukset) yk- silöityjä, palveluiden tuottamiseen kohdistuvia tietoturvavaatimuksia. 23.4 Puitesopimuksen liitteen 6 (Tietoturvavaatimukset) vaatimukset koskevat pal- velun tuottamisessa Asiakkaan lukuun käsiteltävää aineistoa. Puitesopimuk- sen liitteen 6 (Tietoturvavaatimukset) vaatimukset eivät sellaisenaan ole tar- koitettu turvallisuusluokitellun tiedon käsittelyyn. 23.5 Asiakkaalla on oikeus vaatia ja saada palvelua tuottavalta asiantuntijalta tai muulta Toimittajan edustajalta salassapitositoumus. 23.6 Toimittaja huolehtii siitätiedottaa Rekisterinpitäjää tästä etukäteen siten, että tuotteiden noudoissa Rekisterinpitäjälle varataan tosiasiallinen mahdollisuus vastustaa em. muutoksia. Käsittelijä ilmoittaa mahdollisesta tai tapahtuneesta Henkilötietojen tietoturvaloukkauksesta tai muusta Tietosuojalainsäädännön, TKS:n tai Rekisterinpitäjän ohjeiden vastaisesta käsittelystä Rekisterinpitäjälle viipymättä, kun se on saanut tiedon loukkauksesta. Käsittelijän tulee ilmoituksen antaa Rekisterinpitäjälle kaikki tarpeelliset tiedot kyseisestä häiriötilanteesta ja tuhoamisessa käytetty kuljetuskalusto siihen liittyvistä toimenpiteistä, erityisesti: (a) kuvaus henkilötietojen tietoturvaloukkauksen luonteesta, sisältäen tiedot sellaisten rekisteröityjen ja henkilörekisterien ryhmistä ja arvioiduista määristä, joihin loukkaus vaikuttaa, sekä varastotilat on asianmukaisin toimenpitein suojattu va- hingonteoilta muut Tietosuojalainsäädännön asettamat vaatimukset; (b) tarpeelliset tiedot Rekisterinpitäjän lakisääteisten velvoitteiden ja varkauksiltasopimusvelvoitteiden täyttämisen kannalta. Nämä velvoitteet voivat perustua muun muassa Tietosuojalainsäädäntöön, kolmannen osapuolen kanssa tehtyihin sopimuksiin ja/tai valvontaviranomaisen tai tuomioistuimen antamaan pyyntöön, ohjeistukseen ja/tai päätökseen; ja (c) tarpeelliset tiedot vastaavien henkilötietojen tietoturvaloukkausten ehkäisemiseksi sekä valvontaviranomaiselle, rekisteröidyille ja mahdollisille kolmansille osapuolille tehtävien ilmoitusten tekemiseksi. 23.7 Hallintapalvelun sisältämän Asiakkaan tiedon, mukaan lukien henkilötiedot, tulee sijaita Euroopan talousalueella. Asiakkaan tiedon määritelmä on puite- sopimuksen mukainen. Toimittajan tulee varmistaa, että se ja sen alihankkija käsittelee Asiakkaan tietoa ainoastaan Euroopan talousalueella. Käsittelyllä tarkoitetaan tässä yhteydessä Asiakkaan tiedon keräämistä, tallentamista, järjestämistä, käyttöä, katselemista, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita vastaavia toimenpiteitä. 23.8 Asiakas voi edellyttää vaatimustenmukaisuuden osoittamista sertifioinnein tai muulla hyväksynnällä sen mahdollistamiseksi, että Toimittaja saa pääsyn eri- tyissuojattaviin kohteisiin. Tällaisia erityissuojattavia kohteita voivat olla esi- merkiksi lentokenttäalueet sekä puolustusvoimien ja rajavartiolaitoksen hal- linnassa olevat alueet. Toimittaja sitoutuu kustannuksellaan osallistumaan tässä kohdassa tarkoitettuihin hyväksyntöihin ja toimittamaan hyväksynnän suorittajalle tai tarkastusta suorittavalle taholle riittävät tiedot vaatimusten- mukaisuuden arvioimiseksi. Toimittaja sitoutuu lisäksi omalla kustannuksel- laan suorittamaan vaaditut korjaavat toimenpiteet saattaakseen toimintansa sovittujen vaatimusten mukaiseksi. 23.9 Toimittaja huolehtii siitä, että sen palveluissa käyttämät tietojärjestelmät ja tietotekniset laitteet sekä Toimittajan toimitilat (ml. varastot) on asianmukai- sesti suojattu luvattomalta tunkeutumiselta sekä tietoturvariskeiltä. Toimit- taja on tietoinen siitä, että Asiakas voi asettaa erityisiä turvallisuusvaatimuk- sia puitesopimuksessa sovittujen vaatimusten lisäksi. 23.10 Asiakas ja Toimittaja voivat sopia korotetusta tietoturvasta puitesopimuksen ylittäviltä osin sekä siitä aiheutuvista kohtuullisista kustannuksista erikseen, esimerkiksi turvallisuusluokitellun tiedon käsittelyä koskien. Turvallisuusluoki- teltua aineistoa ei käsitellä puitesopimuksen perusteella ellei siihen liittyvästä korotetusta tietoturvasta ole erikseen asiakaskohtaisesti sovittu. 23.11 Asiakkaalla on oikeus tarkastaa tämän sopimuksen liitteen 1 (Hankinnan kohde ja vaatimukset) lisätietoturvan vaatimusten täyttyminen. Tarkastuk- seen sovelletaan Asiakkaan ja Toimittajan välisen turvallisuussopimuksen eh- toja, tai jos turvallisuussopimusta ei ole, liitteenä 7 olevia turvallisuusehtoja. 23.12 Hankintapäätöksen jälkeen ja sopimuskauden aikana Hanselilla on oikeus teettää yhden kerran Toimittajan kustannuksella kolmannella riippumatto- malla taholla tarkastus sen selvittämiseksi, täyttyvätkö hallintapalvelua kos- kevat liitteissä 6 (Tietoturvavaatimukset) ja 7 (Turvallisuusehdot) esitetyt vaatimukset. Lisäksi tarkastus voi sisältää liitteessä 1 (Hankinnan kohde ja vaatimukset) kohdassa 2.1. kuvatun nouto-, kierrätys- ja hävitysprosessin tietoturvallisuuden tarkastuksen. [Toimittajalle tiedoksi, että tämän kohdan sisältämät tarkastuskustannukset ovat yhteensä enintään 15 000 € (alv 0 %)] 23.13 Xxxxxxxx on ilmoitettava tahdostaan suorittaa tarkastus vähintään kymmenen (10) päivää ennen ehdotettua tarkastuspäivää. Toimittaja voi ehdottaa uutta päivää tarkastukselle. Uusi ajankohta ei kuitenkaan saa olla myöhemmin kuin kymmenen (10) päivää Xxxxxxxx ehdottaman päivän jälkeen. 23.14 Toimittaja on velvollinen tarjoamaan tarkastajalle tarvittavat työtilat ja anta- maan tarvittavat tiedot tarkastuksen suorittamiseksi. Tarkastus pyritään suo- rittamaan siten, ettei siitä aiheudu Toimittajalle kohtuutonta haittaa. 23.15 Toimittajan tulee korjata tarkastuksissa havaitut virheet viivytyksettä, kuiten- kin viimeistään kolmenkymmenen (30) vuorokauden kuluessa Xxxxxxxx kirjal- lisesta ilmoituksesta, ellei siitä ole Xxxxxxxx ja Toimittajan välillä erikseen toi- sin sovittu. Olennaiset virheet ja puutteet, jotka muodostavat ilmeisen uhkan turvallisuudelle tai tietoturvallisuudelle, on korjattava välittömästi. Uusi audi- tointi tehdään korjausten jälkeen. Toimittaja on velvollinen maksamaan audi- toinnissa havaittujen vaatimustenvastaisuuden korjaamisen kulut ja kustan- nukset sekä tarvittavan uuden auditoinnin. 23.16 Tarkastusoikeus ei miltään osin rajoita Xxxxxxxx sopimuksen mukaisia oikeuk- sia, eikä se vapauta Toimittajaa mistään sen sopimuksen mukaisista velvoit- teista. 23.17 Tarkastukset eivät saa vaarantaa Toimittajan tai sen alihankkijoiden tietotur- vallisuutta tai Toimittajan tai sen alihankkijoiden salassapitovelvoitteita muita asiakkaita kohtaan. 23.18 Toimittaja valvoo tämän sopimuksen mukaisen tietoturvallisuustason toteu- tumista toiminnassaan säännöllisesti ja suunnitelmallisesti, kirjaa mahdolliset poikkeamat ja raportoi ne Hanselille ja Asiakkaille viivytyksettä sekä aloittaa korjaustoimet ensi tilassa. Xxxxxx seuraa palvelun turvallisuustason toteutu- mista yhteistyössä Toimittajan kanssa. 23.19 Kohdan 23.11 mukainen tarkastusoikeus voidaan ulottaa myös Toimittajan alihankkijaan, mikäli alihankkija osallistuu lisätietoturvan kohteena olevan palvelun toteuttamiseen. Toimittajan tulee huolehtia siitä, että alihankkijan tarkastus on mahdollinen ja toteutettavissa tämän sopimuksen mukaisesti. 23.20 Mikäli Toimittaja ei läpäise kohdassa 23.11 mainittua tarkastusta kahden (2) kuukauden kuluessa sopimuksen voimaantulosta, Hanselilla on oikeus irtisa- noa puitesopimus päättymään välittömästi. 23.21 Hanselilla on oikeus luovuttaa kaikille Asiakkailleen tieto siitä, että tarkastus on suoritettu. Hanselilla on oikeus luovuttaa tarkastuksen tuloksena syntyvän pöytäkirjan yleinen osa puitejärjestelyyn liittyneille Asiakkailleen