VAMMAISTEN ASUMISPALVELUIDEN HANKINTA KAUNIAISTEN KAUPUN- GILLE

VAMMAISTEN ASUMISPALVELUIDEN HANKINTA KAUNIAISTEN KAUPUN- GILLE

HENKILÖTIETOJEN KÄSITTELYN EHDOT

Yleistä

Tämä sopimusliite ”Henkilötietojen käsittelyn ehdot” on osa ”Vammaisten asumispalveluiden hankinta Kauniaisten kaupungille” sopimusta, jäljempänä ”Sopimus”, jonka, Kauniaisten kau- punki on tehnyt tai tekee Palveluntuottajan kanssa.

Tämän Tietosuojaliitteen tarkoituksena on ottaa huomioon molempia Osapuolia velvoittavan EU:n yleisen tietosuoja-asetuksen (2016/679) asettamat vastuut ja velvoitteet Kauniaisten kaupungin ja Palveluntuottajan välillä. Tässä Tietosuojaliitteessä määritellään ehdot, joiden mukaan Palveluntuottaja käsittelee Kauniaisten kaupungin henkilötietoja Sopimuksen perus- teella Sopimuksessa olevien sopimusehtojen lisäksi.

Määritelmät

Tässä tietosuojaliitteessä sovelletaan EU:n yleisen tietosuoja-asetuksen mukaisia määritelmiä.

Osapuolten roolit henkilötietojen käsittelyssä

Käsiteltäessä henkilötietoja Kauniaisten kaupunki on rekisterinpitäjä ja Palveluntuottaja on henkilötietojen käsittelijä (jäljempänä myös ”käsittelijä”), ellei henkilötietojen käsittelyn tarkoi- tuksesta muuta johdu. ”Kauniaisten kaupungin henkilötiedoilla” tarkoitetaan näissä ehdoissa henkilötietoja, joista Kauniaisten kaupungin vastaa rekisterinpitäjänä.

Henkilötietojen käsittelyn kohde, luonne ja tarkoitus sekä henkilötietojen tyypit ja rekisteröity- jen ryhmät sekä rekisterinpitäjän ja käsittelijän velvollisuudet ja oikeudet kuvataan näiden eh- tojen liitteessä 1 olevassa Käsittelytoimien kuvauksessa tai muussa Kauniaisten kaupungin oh- jeistuksessa. Palveluntuottaja sitoutuu noudattamaan Sopimuksessa, käsittelytoimien kuvauk- sessa ja ohjeistuksessa olevia ehtoja ja kuvauksia. Kauniaisten kaupunki vastaa ohjeistuksen ylläpidosta ja saatavuudesta.

Jos käsittelytoimien kuvausta ei ole tehty tai se on puutteellinen, Kauniaisten kaupunki laatii tai täydentää käsittelytoimien kuvauksen tarvittaessa yhteistyössä Palveluntuottajan kanssa.

Palveluntuottajan yleiset velvollisuudet

Palveluntuottaja käsittelee henkilötietoja Sopimuksen ja Kauniaisten kaupungin antamien oh- jeiden mukaisesti. Ryhmittymän ollessa Käsittelijänä tämän sopimusliitteen velvoitteet koske- vat kaikkia ryhmittymän jäseniä, ja ryhmittymän käyttämiä alihankkijoita, jotka osallistuvat henkilötietojen käsittelyyn.

Palveluntuottaja toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla se var- mistaa, että Kauniaisten kaupungin henkilötietojen käsittely tapahtuu sopimuksen vaatimusten ja sovittujen käytäntöjen mukaisesti. Toimenpiteiden tarkoituksena on varmistaa henkilötieto- jen lainmukainen käsittely sekä käsittelyjärjestelmien ja palveluiden luottamuksellisuus, eheys, saatavuus ja vikasietoisuus.

Palveluntuottaja ei käsittele eikä muulla tavoin hyödynnä sopimuksen perusteella käsittelemi- ään henkilötietoja muutoin kuin sopimuksen täyttämisen mukaisessa tarkoituksessa ja laajuu- dessa.

Palveluntuottaja nimeää tietosuojavastaavan tai tietosuojasta vastaavan yhteyshenkilön Kau- niaisten kaupungin henkilötietoihin liittyviä yhteydenottoja varten. Palveluntuottaja ilmoittaa kirjallisesti hänen yhteystietonsa Kauniaisten kaupungille osoitteeseen kirjaamo@kauniai- xxx.xx.

Palveluntuottaja saattaa Kauniaisten kaupungin saataville tämän pyynnöstä kaikki tiedot, jotka Kauniaisten kaupungin tarvitsee rekisterinpitäjälle ja Palveluntuottajalle säädettyjen velvolli- suuksien noudattamisen osoittamista varten, ja osallistuu pyydettäessä Kauniaisten kaupungin vastuulla olevien kuvausten ja muiden dokumenttien, kuten vaikutustenarvioinnin, laatimiseen ja ylläpitämiseen sekä tietosuoja-asetuksen mukaisen ennakkokuulemisen suorittamiseen. Pal- veluntuottaja tekee nämä tehtävät sisältyen palvelusopimuksen hintoihin.

Mikäli rekisterinpitäjän velvollisuuden täyttämiseen Palveluntuottaja joutuu tekemään työ- määrän, joka Palvelutuottajan käsityksen mukaan on kohtuuttoman suuri, on Palvelutuottajalla oikeus ilmoittaa siitä ja samalla antaa työmääräarvio jolla Palvelutuottaja pystyy vastaamaan Kauniaisten kaupungille sen velvollisuuteen rekisterinpitäjänä. Samalla ilmoituksella Palvelu- tuottajan tulee ilmoittaa työmääräarvion mukaisen työn kustannukset Palvelutuottajaa sito- vasti, mikäli Palveluntuottaja tulee veloittamaan kustannukset Kauniaisten kaupungilta. Kauni- aisten kaupungilla on oikeus olla hyväksymättä ja tilaamatta työmääräarvion mukaista lisätyötä Palvelutuottajalta.

Palveluntuottaja ilmoittaa Kauniaisten kaupungille viipymättä kaikista rekisteröityjen pyyn- nöistä, jotka koskevat rekisteröidyn oikeuksien käyttämistä. Palveluntuottaja ei itse vastaa näi- hin pyyntöihin.

Palveluntuottaja sallii Kauniaisten kaupungin tai sen valtuuttaman auditoijan suorittamat EU:n yleisen tietosuoja-asetuksen mukaiset tietosuojaa koskevat tarkastukset sekä osallistuu niihin. Tarkastusmenettelyä koskevat tarkemmat ehdot ovat sopimuksessa. Mikäli tarkastusmenette- lystä ei ole sovittu sopimuksessa, tulee Kauniaisten kaupungin ilmoittaa Palveluntuottajalle hy- vissä ajoin tarkastustyöstä. Kauniaisten kaupungilla on oikeus myös pyytää tarkastusta ilman etukäteisilmoitusta. Palvelutuottajan tulee ilmoittaa tarkastustyöstä koituvista mahdollisista li- säkustannuksista Kauniaisten kaupungille hyvissä ajoin ennen suoritettavaa tarkistustyötä, mi- käli tarkastustyön kustannusten korvaamisesta ei ole sovittu Kauniaisten kaupungin ja Palvelu- tuottajan kesken erikseen.

Kauniaisten kaupungin ohjeet

Palveluntuottaja noudattaa Kauniaisten kaupungin henkilötietojen käsittelyssä sopimuksessa ja näissä erityisehdoissa sovittuja ehtoja sekä muita Kauniaisten kaupungin kirjallisia ohjeita. Kauniaisten kaupungin vastaa ohjeiden ylläpidosta ja saatavuudesta. Palveluntuottaja ilmoittaa ilman aiheetonta viivytystä Kauniaisten kaupungille, jos Kauniaisten kaupungin antamat ohjeet ovat puutteellisia tai jos Palveluntuottaja epäilee niitä lainvastaisiksi.

Kauniaisten kaupungilla on oikeus muuttaa, täydentää ja päivittää Palveluntuottajalle antami- aan henkilötietojen käsittelyä ja tietosuojaa koskevia ohjeita. Jos ohjeiden muutoksista aiheu- tuu sopimuksen mukaisiin palveluihin liittyviä muita kuin vähäisiä muutoksia, niiden vaikutuk- sesta sovitaan sopimuksen mukaisessa muutoshallintamenettelyssä.

Palveluhenkilöstö

Palveluntuottaja varmistaa, että kaikki sen alaisuudessa toimivat henkilöt, joilla on oikeus käsi- tellä Kauniaisten kaupungin henkilötietoja, ovat sitoutuneet noudattamaan sopimuksessa so- vittuja salassapitoehtoja tai heitä koskee lakisääteinen salassapitovelvollisuus.

Palveluntuottaja varmistaa, että jokainen sen alaisuudessa toimiva henkilö, jolla on pääsy Kau- niaisten kaupungin henkilötietoihin, on tietoinen henkilötietojen käsittelyyn liittyvistä velvoit- teistaan ja käsittelee niitä ainoastaan sopimuksen, näiden erityisehtojen ja Kauniaisten kaupun- gin ohjeiden mukaisesti.

Alihankkijat, jotka käsittelevät henkilötietoja

Siltä osin kuin Palveluntuottaja käyttää toiminnassaan alihankkijoita, jotka käsittelevät henki- lötietoja, alihankintaan sovelletaan Sopimuksen lisäksi tässä sopimusliitteessä kuvattuja ehtoja.

Xxx Xxxxxxxxxxxxxxxxx alihankkija käsittelee Kauniaisten kaupungin henkilötietoja, alihankkijan käyttäminen edellyttää Kauniaisten kaupungin ennakkoon kirjallisesti antamaa lupaa.

Palveluntuottaja tekee alihankkijan kanssa kirjallisen sopimuksen, jossa se sitouttaa käyttä- mänsä alihankkijat noudattamaan omalta osaltaan sopimuksessa Palveluntuottajalle asetettuja velvoitteita sekä Kauniaisten kaupungin antamia kulloinkin voimassa olevia henkilötietojen kä- sittelyyn liittyviä ohjeita. Palveluntuottaja varmistaa, että sopimuksen mukainen Kauniaisten kaupungin tarkastusoikeus voidaan ulottaa alihankkijaan.

Palveluntuottaja vastaa käyttämänsä alihankkijan osuudesta kuin omastaan. Palveluntuottaja vastaa siitä, että alihankkija noudattaa omalta osaltaan henkilötietojen käsittelijälle asetettuja velvoitteita. Jos Kauniaisten kaupungin perustellusti katsoo, että Palveluntuottajan alihankkija ei täytä tietosuojavelvoitteitaan, Kauniaisten kaupungilla on oikeus vaatia Palveluntuottajaa vaihtamaan alihankkijaa.

Henkilötietojen käsittelyyn osallistuvan alihankkijan vaihtamisesta on ilmoitettava Kauniaisten kaupungille etukäteen. Ilmoituksessa tulee kuvata, miten alihankkija käsittelee Kauniaisten kaupungin henkilötietoja tietosuojalainsäädännön mukaisesti. Kauniaisten kaupungilla on oi- keus perustellusta syystä vastustaa ehdotettua alihankkijaa.

Palvelun paikka

Ellei palvelun tuottamispaikasta ole toisin sovittu, Palveluntuottajalla on oikeus käsitellä Kauni- aisten kaupungin henkilötietoja ainoastaan Euroopan talousalueella. Mitä sopimuksessa ja näissä erityisehdoissa sovitaan henkilötietojen käsittelystä, koskee se myös pääsyn mahdollis- tamista Kauniaisten kaupungin henkilötietoihin esimerkiksi hallinta- ja valvontayhteyden väli- tyksellä.

Jos sopijapuolet sopivat, että Palveluntuottajaa saa siirtää Kauniaisten kaupungin henkilötie- toja Euroopan talousalueen ulkopuolelle, sopijapuolet huolehtivat siitä, että henkilötietojen siirto toteutetaan lainsäädännön mukaisesti.

Tietoturvaloukkaukset

Palveluntuottajan on ilmoitettava Kauniaisten kaupungille kirjallisesti tietoonsa tulleesta hen- kilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään 36 tunnissa. Li- säksi Palveluntuottaja sitoutuu ilmoittamaan Kauniaisten kaupungille ilman aiheetonta viivy- tystä muista palvelun häiriö- tai ongelmatilanteista, joilla voi olla vaikutuksia rekisteröityjen asemaan ja oikeuksiin.

Palveluntuottajan on annettava Kauniaisten kaupungille vähintään seuraavat tiedot tietoturvalouk- kauksesta:

• tapahtuneen tietoturvaloukkauksen kuvaus, mukaan lukien asianomaisten rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja arvioidut lukumäärät sillä tarkkuudella kuin nämä ovat tiedossa;

• tietosuojavastaavan tai muun vastuuhenkilön nimi ja yhteystiedot, jolta voi saada asiassa lisätietoja;

• kuvaus tietoturvaloukkauksen todennäköisistä seurauksista; ja

• kuvaus toimenpiteistä, joita Palveluntuottaja ehdottaa tai joita se on jo toteuttanut tietoturvaloukkauksen johdosta, ja tarvittaessa toimenpiteet mahdollisten haittavaikutusten lieventämiseksi.

Henkilötietojen tietoturvaloukkauksen havaittuaan Palveluntuottaja ryhtyy viipymättä toimenpitei- siin tietoturvaloukkauksen poistamiseksi ja sen vaikutusten rajoittamiseksi ja korjaamiseksi.

Henkilötietojen käsittelyn päättyminen

Sopimuksen voimassaoloaikana Palveluntuottaja ei saa poistaa Kauniaisten kaupungin lukuun käsittelemiään henkilötietoja ilman Kauniaisten kaupungin nimenomaista kirjallista pyyntöä.

Sopimuksen päättyessä tai purkautuessa Palveluntuottaja palauttaa Kauniaisten kaupungille kaikki Kauniaisten kaupungin puolesta käsitellyt henkilötiedot sekä hävittää omilta taltioiltaan mahdolliset kopiot henkilötiedoista, ellei muuta ole kirjallisesti sovittu. Tietoja ei saa poistaa,

jos lainsäädännössä tai viranomaisen määräyksellä on edellytetty, että Palveluntuottaja säilyt- tää henkilötiedot.

Henkilötietojen käsittelyn erityiset ehdot

Palveluntuottaja vakuuttaa Kauniaisten kaupungille, että se henkilötietojen käsittelijänä ymmärtää, mitä todetaan väestötietojärjestelmässä ja Suomen voimassaolevassa lainsää- dännössä niistä vaatimuksista ja velvollisuuksista niin kutsuttuun turvakieltoon liittyen.

Palveluntuottaja sitoutuu ottamaan huomioon lainsäädännön kaikki ne vaatimukset kai- kessa toiminnoissaan mitkä koskevat turvakieltoa.

Automaattisen käsittelyjärjestelmän kehitys- ja muutosprojektien tai mikäli käsittelyjärjes- telmä tuotetaan ohjelmistopalveluna, ohjelmistopalvelun käyttöönoton tai muutostöiden yh- teydessä Palveluntuottaja varmistaa, että Palvelu täyttää EU:n yleisen tietosuoja-asetuksen edellyttämät vaatimukset ja toimenpiteet.

Liite 1 Henkilötietojen käsittelyn ehtoihin

KÄSITTELYTOIMIEN KUVAUS – TÄYDENNETÄÄN ENNEN SOPIMUKSEN AL- LEKIRJOITTAMISTA

11. Osapuolet

Kauniaisten kaupunki

Palveluntuottaja: x [Merkitse tähän palvelutuottajan nimi]

12. Dokumentin tarkoitus

Kauniaisten kaupungin on tehnyt Palveluntuottajan kanssa Sopimuksen, joka koskee sellaista pal- velua, jossa Palveluntuottaja toimii Kauniaisten kaupungin ylläpitämään henkilörekisteriin kuulu- vien henkilötietojen käsittelijänä.

Tässä dokumentissa kuvataan käsittelytoimet, joita palveluntuottaja henkilötietojen käsittelijänä tekee Kauniaisten kaupungin puolesta, henkilötietojen tyypit sekä käsiteltävät henkilötiedot. Tämä dokumentti liitetään Sopimuksen nro  liitteeksi nro __ _.

Henkilötietojen käsittelyssä on noudatettava Palveluntuottajan ja Kauniaisten kaupungin välistä Sopimusta sekä Kauniaisten kaupungin ohjeita.

13. Henkilötietojen tyypit ja rekisteröityjen ryhmät

Osapuolet ovat sopineet, että Palveluntuottaja käsittelee Kauniaisten kaupungin puolesta Sopi- muksessa sovitun palvelun tuottamiseksi seuraavia Asiakkaan henkilörekisteriin kuuluvia henkilö- tietoja.

- x [ohje: kirjoita tähän, mitä rekisteröityjen ryhmiä Palveluntuottaja käsittelee

- x [ohje: täydennä tähän, mitä henkilötietoja Palveluntuottaja käsittelee

- x

- x

14. Käsittelyn luonne ja tarkoitus

Osapuolet ovat sopineet, että Palveluntuottaja…

Ohje: [kirjoita tähän, miksi ja miten Palveluntuottaja käsittelee kyseisiä henkilötietoja.]

15. Henkilötietojen käsittelyn kesto

Palveluntuottaja käsittelee tässä liitteessä yksilöityjä henkilötietoja seuraavan ajan: __ __

Ohje: kuvaa tähän henkilötietojen käsittelyn kesto Palveluntuottajalla..