HENKILÖTIETOJEN KÄSITTELYÄ KOSKEVA LIITE
HENKILÖTIETOJEN KÄSITTELYÄ KOSKEVA LIITE
1. Johdanto
Tämä henkilötietojen käsittelyä koskeva liite (”Liite”) on erottamaton osa [ASIAKKAAN TIEDOT] (”Asiakas”) ja OpusCapita Solutions Oy:n (”Toimittaja”) välillä sovittuja [PALVELUIDEN YKSILÖINTI] palveluita koskevaa sopimusta (”Sopimus”).
Tämän Liitteen tarkoituksena on varmistaa Toimittajan käsittelemien Asiakkaan henkilötietojen tietosuojan ja tietoturvan riittävä taso. Tämä Liite määrittelee henkilötietoja koskevan tietosuojan ja tietoturvan peri- aatteet ja ehdot, joita Toimittaja sitoutuu noudattamaan tuottaessaan Sopimuksen mukaisia palveluita Asiakkaalle.
Tämän Liitteen tai Sopimuksen mukaan ei luovuteta henkilötietoja sopi- japuolten välillä. Tällä liitteellä sovitaan Asiakkaan henkilötietojen käsit- telystä Asiakkaan puolesta ja lukuun.
2. Käsiteltävät henkilötiedot
Sopimuksen mukaisia palveluita tuotettaessa Toimittaja käsittelee liit- teessä 1 määriteltyjä henkilötietoja Asiakkaan lukuun.
3. Toimittajan yleiset tietosuojaa ja tietoturvaa koskevat vaatimukset
Toimittajalla tulee olla toiminnassaan dokumentoidut prosessit ja toi- mintamallit riskienhallintaa varten. Toimittaja on vastuussa palveluita koskevien tietosuoja- ja tietoturvallisuusriskien havaitsemisesta ja tun- nistamisesta sekä tarvittavista toimenpiteistä tällaisten riskien torju- miseksi ja minimoimiseksi.
Toimittajalla tulee olla asiantuntemukseltaan ja määrältään riittävät re- surssit toteuttamaan tässä Liitteessä määritellyt tietoturva- ja tietosuo- jatoimenpiteet. Toimittajan tulee toimia tarvittaessa yhteistyössä Asiak- kaan tietosuojasta ja -turvallisuudesta vastaavan henkilöstön kanssa.
4. Tietosuoja ja henkilötietojen käsittely
Toimittaja käsittelee Asiakkaan puolesta Asiakkaan henkilötietoa. Hen- kilötiedolla tarkoitetaan sellaista tietoa, joka koskee tunnistettua tai tun- nistettavissa olevaa luonnollista henkilöä (jäljempänä ”Rekisteröity”).
Henkilötietoja voivat olla esim. asiakkaita, työntekijöitä taikka muita henkilöitä koskevat tiedot. Xxxxxxx on palvelussa käsiteltävien henkilö- tietojensa rekisterinpitäjä ja Toimittaja käsittelijä.
Sopijapuolet sitoutuvat noudattamaan Suomessa ja Euroopan unionis- sa kulloinkin voimassa olevaa henkilötietojen käsittelyä koskevaa lain- säädäntöä, asetuksia sekä viranomaisten määräyksiä ja ohjeistuksia.
Rekisterinpitäjänä Asiakas on vastuussa siitä, että sillä on tarvittavat oikeudet ja että se on hankkinut tarvittavat suostumukset henkilötieto- jen käsittelyyn. Asiakas vastaa rekisteriselosteen laatimisesta ja saata- villa pidosta sekä Rekisteröityjen informoinnista.
Toimittajalla on oikeus käsitellä Asiakkaan henkilötietoja vain Xxxxxxx- xxx, tämän Liitteen ja Asiakkaan kirjallisten ohjeiden mukaisesti ja vain siltä osin ja siten kuin on tarpeellista palveluiden toimittamiseksi. Muu- tokset Asiakkaan ohjeissa käsitellään muutospyyntöinä.
Toimittaja saa käyttää Asiakkaan henkilötietojen käsittelyssä Sopimuk- sessa tai sen liitteessä (tai tämän Liitteen liitteessä 2) nimettyä tai muu- ta Toimittajan Asiakkaalle alla kuvatun mukaisesti ilmoittamaa alihank- kijaa kulloinkin voimassa olevan tietosuojalainsäädännön mukaisesti.
Toimittajan on tiedotettava Asiakasta kaikista alihankkijoistaan ja niitä koskevista muutoksista, joilla voi olla vaikutusta Asiakkaan henkilötieto- jen käsittelyyn. Asiakas voi kolmenkymmenen (30) päivän aikana ilmoi- tuksen vastaanotettuaan kirjallisesti ilmoittaa perustellusta syystä vas- tustavansa yhden tai useamman ilmoituksessa mainitun alihankkijan käyttöä, jolloin Toimittaja voi ilmoittaa hinnanmuutoksesta vastaamaan tietojen käsittelyn kustannusten muutosta, joka alihankkijan käytön vas- tustamisesta Toimittajalle aiheutuu. Toimittaja voi vaihtoehtoisesti irti- sanoa Sopimuksen päättymään aikaisintaan kolmenkymmenen (30) päivän kuluttua Asiakkaan kirjallisen ilmoituksen lähettämisestä. Mikäli Asiakas ei ilmoita vastustavansa ilmoitettujen alihankkijoiden käyttöä tämän kohdan mukaisesti, katsotaan Asiakkaan hyväksyneen kyseis- ten alihankkijoiden käytön.
Toimittaja pidättää oikeuden ilmoittaa alihankkijoidensa muutoksista verkkosivuillaan tai muuten sähköisesti siten, että Asiakkaan palvelua varten osoittama yhteyshenkilö tai muu edustaja saa tästä tiedon tai hänellä on ilmoituksiin pääsy.
Toimittaja tekee alihankkijoidensa kanssa kirjallisen sopimuksen ja vas- taa siitä, että sen käyttämät alihankkijat noudattavat tämän Liitteen eh- toja. Toimittaja on velvollinen säännöllisesti valvomaan alihankkijoiden- sa toimintaa ja vastaa alihankkijoidensa toiminnasta kuin omastaan.
Asiakkaan henkilötietoja ei saa varastoida, siirtää, luovuttaa, muokata, käyttää tai muuten käsitellä reaaliajassa, arkistossa, varmuuskopioissa tai muussa muodossa missään EU:n/ETA:n ulkopuolisessa maassa il- man Asiakkaan etukäteistä kirjallista suostumusta. Sopijapuolet voivat sopia Asiakkaan etukäteisestä kirjallisesta suostumuksesta liitteessä 3.
Toimittajan on ilman aiheetonta viivytystä siirrettävä Asiakkaalle kaikki Rekisteröidyiltä saamansa henkilötietojen tarkastamista, oikaisemista, poistamista tai niiden käsittelyn kieltämistä koskevat tai muut pyynnöt.
Asiakkaan kohtuullisesta pyynnöstä Toimittajan on tuettava Asiakasta Rekisteröityjen esittämien pyyntöjen täyttämisessä. Toimittaja vastaa siitä, että se pystyy toteuttamaan Rekisteröityjen lakisääteiset pyynnöt. Toimittajalla on oikeus veloittaa Asiakkaalta pyyntöjen toteuttamisesta aiheutuneet kohtuulliset kustannukset.
Toimittaja ohjaa kaikki tietosuojaviranomaisten tiedustelut suoraan Asi- akkaalle ja jää odottamaan lisäohjeistusta Asiakkaalta. Ellei muuta ole sovittu, Toimittajalla ei ole valtuuksia edustaa Asiakasta tai toimia Asi- akkaan puolesta Asiakasta valvovien viranomaisten kanssa.
Toimittaja on velvollinen pyydettäessä osoittamaan, että se ja sen ali- hankkijat noudattavat tämän Liitteen ehtoja. Asiakkaan 30 päivää etu- käteen kirjallisesti esittämän ilmoituksen perusteella Asiakas, tai tämän valtuuttama tarkastaja (ei kuitenkaan Toimittajan kilpailija), voi tarkas- taa vuosittain, että Toimittaja käsittelee Asiakkaan henkilötietoja tämän Liitteen mukaisesti. Tarkastuksen tarkempi sisältö ja sen käytännön to- teuttaminen sovitaan sopijapuolten kesken ennen tarkastusta. Toimitta- ja korjaa havaitut virheet ja puutteet ilman aiheetonta viivytystä. Asia- kas vastaa tarkastuksesta aiheutuvista kustannuksista. Tarkastuksesta ei saa aiheutua vahinkoa Toimittajalle. Jos tarkastus osoittaa Xxxxxxxx- xxx toimineen olennaisesti tämän Liitteen vastaisesti, Toimittaja korvaa Asiakkaalle tarkastuksesta ja sen perusteella tehtyjen korjausten tar- kastuksesta aiheutuneet ulkopuoliset kustannukset tarkastajan laskun mukaan.
Sopimuksen päätyttyä Toimittaja palauttaa ja/tai poistaa henkilötiedot ilman aiheetonta viivytystä Asiakkaan antaman kohtuullisen kirjallisen ohjeistuksen mukaisesti. Toimittajalla on kuitenkin oikeus olla poista- matta henkilötietoja, jos lainsäädäntö edellyttää säilyttämään henkilö- tiedot. Mikäli Asiakas ei ole ohjeistanut Toimittajaa ennen Sopimuksen päättymistä, Toimittajan on tiedusteltava kirjallisesti ohjeistusta Asiak- kaalta henkilötietojen poistamisesta ja palauttamisesta ja säilytettävä Asiakkaan henkilötiedot vähintään kuukauden ajan. Toimittaja tukee Asiakasta Asiakkaan henkilötietojen siirtämisessä. Toimittajalla on oi- keus veloittaa Asiakkaalta Asiakkaan tietojen siirtämisestä aiheutuneet kohtuulliset kustannukset. Asiakkaan henkilötietojen siirtämisen jälkeen Toimittaja huolehtii sen ja alihankkijoidensa hallussa olevien Asiakkaan henkilötietojen kopioiden hävittämisestä ja Asiakkaan pyynnöstä vah- vistaa niiden hävittämisen Asiakkaalle kirjallisesti.
5. Tietoturva
Toimittaja on velvollinen toteuttamaan soveltuvan tietosuojalainsää- dännön määräämät asianmukaiset tekniset ja organisatoriset suojatoi-
menpiteet käsittelemiensä henkilötietojen suojaamiseksi. Suojatoimen- piteiden järjestämisessä otetaan huomioon saatavilla olevat tekniset vaihtoehdot, käsillä olevaan tietojenkäsittelyyn liittyvät erityiset riskit sekä käsiteltävien henkilötietojen arkaluonteisuus. Käsittelyssä on nou- datettava esim. seuraavia sääntöjä:
1) Henkilötietojen käsittelyyn osallistuvan Toimittajan tai Toimittajan käyttämän alihankkijan henkilöstön on sitouduttava noudattamaan hen- kilötietojen salassapitovelvollisuutta.
2) Asiakkaan henkilötietojen käsittelyssä käytettävät järjestelmät ja tie- toliikenne ovat suojattuja asianmukaisilla ja ajantasaisilla tietoturvarat- kaisuilla.
3) Henkilötietoja ei käytetä Toimittajan omissa käyttötarkoituksissa.
Toimittaja vastaa käsittelemiensä Asiakkaan henkilötietojen varmuus- kopioinnista, ellei erikseen ole toisin sovittu.
6. Tietoturvaloukkausten käsittely
Toimittaja ilmoittaa Asiakkaalle ilman aiheetonta viivytystä tietoonsa saamistaan tietoturvaloukkauksista, kuten tietomurroista, vahingossa tapahtuneesta tai lainvastaisesta henkilötietojen tuhoamisesta, hävit- tämisestä, muuttamisesta, luvattomasta luovuttamisesta taikka pääsys- tä henkilötietoihin. Ilmoituksessa on mahdollisimman tarkasti kuvattava, mitä on tapahtunut, kenen henkilötietoja ja mitä henkilötietoja loukkaus koskee sekä arvioidut lukumäärät.
Toimittaja selvittää ilman aiheetonta viivytystä loukkauksen syyt ja vai- kutukset ja suorittaa tarvittavat toimenpiteet loukkauksen lopettamisek- si, haittavaikutusten lieventämiseksi ja vastaavien loukkausten ehkäi- semiseksi. Toimittajan on ilman aiheetonta viivytystä dokumentoitava selvityksen tulokset ja suoritetut toimenpiteet Asiakkaalle.
Toimittajan on toimittava yhteistyössä Asiakkaan kanssa ja toimitettava lain ja tietosuojaviranomaisten edellyttämä dokumentaatio Asiakkaalle tietoturvaloukkauksiin liittyen.
7. Tämän Liitteen päivitykset
Toimittaja on velvollinen tiedottamaan Asiakasta kirjallisesti kaikista muutoksista, jotka saattavat vaikuttaa sen kykyyn tai mahdollisuuksiin noudattaa tätä Liitettä ja Asiakkaan tämän Liitteen ehtojen mukaisesti antamia kirjallisia ohjeita.
Sopijapuolet sopivat kaikki lisäykset ja muutokset tähän Liitteeseen kir- jallisesti.
8. Allekirjoitukset ja voimassaolo
Tämä Liite on allekirjoitettu kahtena (2) samasanaisena kappaleena, yksi kummallekin sopijapuolelle.
Tämä Liite tulee voimaan, kun molemmat sopijapuolet ovat sen allekir- joittaneet ja on voimassa niin kauan kuin sopijapuolten välinen Sopi- mus on voimassa.
[ASIAKAS] OpusCapita Solutions Oy
Liite 1: Rekisteröityjen ryhmät ja henkilötietojen tyypit Liite 2: Toimittajan alihankkijat
Liite 3: Asiakkaan suostumus tietojen käsittelyyn EU:n ulkopuolella
Liite 1: Rekisteröityjen ryhmät ja henkilötietojen tyypit
Rekisteröityjen ryhmät:
- [esim. Asiakkaan työntekijöiden/henkilöstön henkilötiedot]
- [esim. Asiakkaan asiakkaiden henkilötiedot]
Henkilötietojen tyypit:
- [esim. henkilön nimi]
- [esim. henkilön osoite]
- [esim. henkilön puhelinnumero]
Liite 2: Toimittajan alihankkijat