TIETOSUOJA - JA TIETOTURVALIITE

TIETOSUOJA - JA TIETOTURVALIITE

LIITE 4

1 JOHDANTO

Tämä henkilötietojen käsittelysopimus (”Liite”) on erottamaton osa Pirkanmaan Voimia Oy:n, y-tun- nus 2938704-2 (”Palveluntarjoaja”) ja Vesilahden kunta 0157711-9 (”Rekisterinpitäjä”) välillä ole- vaa sopimusta ’Ruokapalvelusopimus koulu- ja päivikotiruoan toimittamisesta Vesilahden kunnalle’ ja sen mukaisia tai liitteenä olevia sopimusehtoja (”Sopimus”).

Tämän Liitteen tarkoituksena on sopia Rekisterinpitäjän henkilötietojen tietosuojasta ja tietoturvasta Palveluntarjoajan palveluissa sen käsitellessä Rekisterinpitäjän henkilötietoja. Tämä Liite muodostaa osapuolten välille EU:n yleisen tietosuoja-asetuksen (”GDPR”, (EU) 679/2016) mukaisen kirjallisen so- pimuksen henkilötietojen käsittelystä.

Jos tämän Liitteen ja Sopimuksen henkilötietojen käsittelyä koskevat ehdot ovat ristiriidassa keske- nään, osapuolet soveltavat ensisijaisesti tämän Liitteen ehtoja.

2 MÄÄRITELMÄT

Tässä Liitteessä tarkoitetaan GDPR:n ja soveltuvan tietosuojalainsäädännön mukaisesti

“Rekisterinpitäjällä” sitä, joka määrittelee Henkilötietojen Käsittelyn tarkoitukset ja keinot ja joka voi olla tässä Liitteessä määritelty Rekisterinpitäjä tai Rekisterinpitäjän toimeksiantaja.

“Käsittelijällä” Palveluntarjoajaa, joka Käsittelee Henkilötietoja Rekisterinpitäjän lukuun Sopimuksen perusteella.

“Käsittelyllä” ja ”Käsittelytoimilla” toimintoa tai toimintoja, joita kohdistetaan Henkilötietoihin tai Hen- kilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, ku- ten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muut- tamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muu- toin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista.

“Henkilötiedoilla” kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljem- pänä ”Rekisteröityyn”, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voi- daan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, si- jaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysio- logisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella.

“Henkilötietojen tietoturvaloukkauksella” tietoturvaloukkausta, jonka seurauksena on siirrettyjen, tallennettujen tai muuten Käsiteltyjen Henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoami- nen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin.

3 HENKILÖTIETOJEN KÄSITTELY

3.1 Palveluntarjoajan ja Rekisterinpitäjän vastuut

Palveluntarjoaja Käsittelee Rekisterinpitäjän Henkilötietoja Rekisterinpitäjän lukuun ja tämän toimeksi- annosta Sopimuksen perusteella. Palveluntarjoaja saa käsitellä henkilötietoja vain Rekisterinpitäjän tässä Liitteessä tai muutoin antamien kirjallisten ohjeiden mukaisesti ja tietosuojalainsäädännön edel- lyttämin tavoin. Rekisterinpitäjä tai tämän toimeksiantaja on palvelussa Käsiteltävien Henkilötietojen Rekisterinpitäjä ja Xxxxxxxxxxxxxxxx Käsittelijä.

Osapuolet sitoutuvat noudattamaan Suomessa ja Euroopan unionissa kulloinkin voimassa olevaa Hen- kilötietojen Käsittelyä koskevaa lainsäädäntöä, asetuksia sekä viranomaisten määräyksiä ja ohjeistuksia ja tarvittaessa muuttamaan tämän Liitteen ehtoja niiden mukaiseksi.

Rekisterinpitäjä on vastuussa siitä, että sillä on tarvittavat oikeudet ja suostumukset Sopimuksen mu- kaiseen Henkilötietojen Käsittelyyn. Rekisterinpitäjä vastaa tietosuojaselosteen laatimisesta ja saatavilla pidosta sekä Rekisteröityjen informoinnista ja ilmoituksista tietosuojaviranomaisille. Rekisterinpitäjä vastaa Palveluntarjoajalle antamiensa Henkilötietojen oikeellisuudesta.

Rekisterinpitäjällä on oikeus ja velvollisuus määrittää Henkilötietojen tyypit ja rekisteröityjen ryhmät sekä Henkilötietojen Käsittelyn tarkoitus ja keinot. Nämä on määritelty tämän Liitteen alaliitteessä 1. Alaliitteen 1 tietoja on voitu täsmentää Sopimuksessa ja/tai muissa osapuolten välisissä sopimusasia- kirjoissa.

Palveluntarjoajalla on oikeus Käsitellä Rekisterinpitäjän Henkilötietoja ja muita Rekisterinpitäjän tietoja vain Sopimuksen ja tämän Liitteen mukaisesti ja vain siltä osin ja siten kuin on tarpeellista palveluiden toimittamiseksi.

Palveluntarjoaja ylläpitää palvelun kuvausta tai muuta GDPR:n vaatimaa selostetta palvelussa suoritet- tavista Käsittelytoimista.

Rekisterinpitäjä voi antaa Palveluntarjoajalle tarvittaessa tarkentavia ohjeita kirjallisesti ja Palveluntar- joaja on velvollinen niitä noudattamaan. Rekisterinpitäjällä on oikeus muuttaa ohjeita tarvittaessa. Pal- veluntarjoajalla on oikeus laskuttaa muutoksista aiheutuvat kohtuulliset kustannukset Rekisterinpitä- jältä.

3.2 Alihankkijat, jotka osallistuvat henkilötietojen käsittelyyn

Palveluntarjoaja saa yleisen kirjallisen ennakkoluvan käyttää kolmansien tahojen, kuten alihankkijoiden, palveluksia rekisterinpitäjän henkilötietojen käsittelyssä (jäljempänä myös ”alikäsittelijä”). Palvelun- tarjoajan tulee informoida Rekisterinpitäjää kirjallisesti kaikista suunnitelluista muutoksista, jotka kos- kevat alikäsittelijöiden lisäämistä tai vaihtamista hyvissä ajoin ennen alikäsittelijän lisäämistä tai vaihta- mista ja annettava siten Rekisterinpitäjälle mahdollisuus vastustaa tällaisia muutoksia.

Rekisterinpitäjällä on oikeus vastustaa tällaisia ehdotettuja muutoksia perustellusti tietosuojaan liittyvillä perusteilla. Mikäli Rekisterinpitäjä ei reklamoi ilmoitetusta muutoksesta 30 päivän kuluessa Palvelun- tarjoajan ilmoituksesta, Rekisterinpitäjän katsotaan hyväksyneen muutoksen. Mikäli Rekisterinpitäjä ei hyväksy ehdotettua muutosta, kummallakin osapuolella on oikeus irtisanoa Sopimus ja tämä Liite päät- tymään 30 päivän irtisanomisajalla.

Palveluntarjoaja vastaa joka tapauksessa käyttämiensä alikäsittelijöiden toimista täysimääräisesti kuin omistaan suhteessa Rekisterinpitäjään. Palveluntarjoaja on velvollinen varmistamaan, että sen käyttä- mät alikäsittelijät sitoutuvat noudattamaan sisällöllisesti tätä Liitettä vastaavia ehtoja ja Rekisterinpitäjän kulloinkin antamia käsittelyä koskevia kirjallisia ohjeita sekä käsittelijälle tietosuojalainsäädännön nojalla kuuluvia velvoitteita.

3.3 Palveluntarjoajan avustamisvelvollisuus

Palveluntarjoaja siirtää välittömästi Rekisterinpitäjälle kaikki Rekisteröidyiltä saamansa Henkilötietojen

tarkastamista, oikaisemista, poistamista tai niiden Käsittelyn kieltämistä koskevat pyynnöt tai muut Re- kisteröidyltä saamansa pyynnöt, jotka koskevat kulloinkin voimassaolevan lainsäädännön sekä GDPR:n mukaisten Rekisteröidyn oikeuksien käyttämistä. Rekisterinpitäjän velvollisuutena on huolehtia ko. pyyntöihin vastaamisesta. Palveluntarjoaja ei ole oikeutettu vastaamaan Rekisterinpitäjän Henkilötietoja koskeviin ulkopuolisten tahojen pyyntöihin tai vaatimuksiin, ellei Rekisterinpitäjä toisin ohjeista tai pa- kottavasta lainsäädännöstä muuta johdu. Ottaen huomioon Käsittelytoimen luonteen, Palveluntarjoaja auttaa Rekisterinpitäjää asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä mahdollisuuksien mukaan täyttämään Rekisterinpitäjän velvollisuuden vastata Rekisteröidyn pyyntöihin.

Palveluntarjoaja on velvollinen, ottaen huomioon Henkilötietojen Käsittelyn luonteen ja sen saatavilla olevat tiedot, auttamaan Rekisterinpitäjää varmistamaan, että sille laissa asetettuja velvollisuuksia nou- datetaan. Nämä velvollisuudet voivat käsittää tietoturvallisuutta, tietoturvaloukkauksista ilmoittamista, tietosuojaa koskevaa vaikutustenarviointia ja ennakkokuulemista koskevia velvoitteita. Palveluntarjoaja on velvollinen avustamaan Rekisterinpitäjää sovellettavan tietosuojalainsäädännön Henkilötiedon Kä- sittelijälle asettamien velvoitteiden mukaisessa laajuudessa (kuten Rekisterinpitäjän sekä Palveluntar- joajan osoitusvelvollisuuden täyttäminen, vaikutustenarvioinnin ja ennakkokuulemisen suorittaminen).

Palveluntarjoajan tulee ilmoittaa Rekisterinpitäjälle viipymättä, mikäli Palveluntarjoaja katsoo, että Re- kisterinpitäjän ohjeistus rikkoo tietosuojalainsäädäntöä tai mikäli Palveluntarjoaja tulee tietoiseksi siitä, että Käsiteltävät Henkilötiedot ovat joltain osin epätäsmällisiä tai vanhentuneita.

Siltä osin, kun käsiteltävänä on GDPR:n 9 artiklan tarkoittamia erityisiä henkilötietoryhmiä koskevia Henkilötietoja (”arkaluonteiset tiedot”), tulee Palveluntarjoajan lisäksi toteuttaa asianmukaiset ja eri- tyiset toimenpiteet rekisteröidyn oikeuksien suojaamiseksi tietosuojalainsäädännön edellyttämin tavoin ja Rekisterinpitäjän mahdollisten erikseen antamien kirjallisten ohjeiden mukaisesti.

Palveluntarjoaja ohjaa kaikki tietosuojaviranomaisten tiedustelut suoraan Rekisterinpitäjälle, eikä Pal- veluntarjoajalla ole valtuuksia edustaa Rekisterinpitäjää tai toimia Rekisterinpitäjän puolesta Rekisterin- pitäjää valvovien tietosuojaviranomaisten kanssa.

Selvyyden vuoksi todetaan, että Rekisterinpitäjän ohjeet tai tämä Liite eivät sido Palveluntarjoajaa siltä osin, kuin ne mahdollisesti ovat pakottavan lainsäädännön tai viranomaismääräysten vastaisia. Palve- luntarjoaja on kuitenkin tällaisissa tilanteissa velvollinen ilmoittamaan asiasta viipymättä Rekisterinpitä- jälle, ellei pakottava lainsäädäntö kiellä ilmoituksen tekoa. Mikäli Rekisterinpitäjä ei reagoi Palveluntar- joajan ilmoitukseen 14 päivän kuluessa, Palveluntarjoajalla on oikeus jättää noudattamatta ko. ohjetta, kunnes se on saanut Rekisterinpitäjältä vastauksen ja Rekisterinpitäjä on muokannut ko. ohjetta pakot- tavan lainsäädännön tai viranomaismääräysten mukaiseksi tai luopunut ko. ohjeesta.

4 KÄSITTELY EU:N/ETA:N ULKOPUOLELLA

Ellei sovellettavasta lainsäädännöstä muuta johdu, Palveluntarjoaja saa siirtää Henkilötietoja ETA:n ul- kopuolelle (”Kolmannet maat”) vain tietosuojalainsäädännön sekä Rekisterinpitäjän antamien kirjallis- ten ohjeiden mukaisesti. Palveluntarjoaja vastaa siitä, että siirrot Kolmansiin maihin ovat tietosuojalain- säädännön mukaisia.

Palveluntarjoajan on ilmoitettava kaikista Henkilötietojen siirroista Kolmansiin maihin Rekisterinpitäjälle kirjallisesti etukäteen. Ilmoitus on annettava siten, että Rekisterinpitäjälle jää kohtuullinen aika tarvitta- essa vastustaa siirtoa. Palveluntarjoajan on tässä yhteydessä ilmoitettava Rekisterinpitäjälle Rekisterin- pitäjän pyytämät lisätiedot ko. siirrosta ja vähintään seuraavat tiedot:

(i) kuvaus siitä, miten Henkilötietoja käsitellään Kolmansissa maissa;

(ii) kuvaus siitä, millä toimenpiteillä Kolmansissa maissa tapahtuvan käsittelyn varmistetaan täyt- tävän tietosuojalainsäädännön turvaaman Henkilötietojen suojan tason; ja

(iii) kuvaus niistä teknisistä ja organisatorisista keinoista, joilla varmistetaan siirron tietosuoja- ja tietoturvallisuus.

5 AUDITOINTI

Rekisterinpitäjällä tai tämän valtuuttamalla auditoijalla (ei kuitenkaan Palveluntarjoajan kilpailija) on oi- keus auditoida tämän Liitteen alainen toiminta. Osapuolet sopivat auditoinnin ajankohdasta ja muista yksityiskohdista hyvissä ajoin ja vähintään 14 työpäivää ennen tarkastusta. Auditointi tulee suorittaa tavalla, joka ei haittaa Palveluntarjoajan ja sen alihankkijoiden sitoumuksia kolmansiin osapuoliin näh- den. Rekisterinpitäjän edustajien ja auditoijan on allekirjoitettava tavanomaiset salassapitositoumukset. Tarkastus voidaan suorittaa enintään kerran kalenterivuodessa tai tarvittaessa useammin, mikäli Re- kisterinpitäjällä on perusteltu syy epäillä rikkomusta.

Kumpikin osapuoli vastaa itse tarkastuksen aiheuttamista kustannuksista.

6 TIETOTURVA

Palveluntarjoaja toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet Rekisterinpitäjän Hen- kilötietojen suojaamiseksi ottaen huomioon Käsittelyn sisältämät riskit, joita ovat erityisesti luovutettu- jen, siirrettyjen, tallennettujen tai muuten Käsiteltyjen Henkilötietojen tahaton tai laiton tuhoaminen, hä- vittäminen, muuttaminen, luvaton (tahallinen tai tahaton) luovuttaminen tai Henkilötietoihin pääsy. Pal- veluntarjoajan vähimmäistasona noudatettavat tekniset ja organisatoriset tietoturvatoimenpiteet on ku- vattu alaliitteessä 2 ja/tai osapuolten välisessä Sopimuksessa.

Palveluntarjoaja tiedostaa sille luovutettujen Rekisterinpitäjän Henkilötietojen luonteen (salassa pidet- täviä ja luottamuksellisia tai erittäin luottamuksellisia tietoja). Palveluntarjoajan velvollisuutena on var- mistaa, että (i) Henkilötietojen Käsittelyyn osallistuva Palveluntarjoajan tai Palveluntarjoajan käyttämän alihankkijan henkilöstö noudattaa asianmukaista salassapitovelvollisuutta ja/tai että (ii) niitä koskee asi- anmukainen lakisääteinen salassapitovelvollisuus ja että se on tietoinen tämän Liitteen velvoitteista. Palveluntarjoajan ja sen mahdollisesti käyttämien alihankkijoiden on käsiteltävä Henkilötietoja luotta- muksellisesti, huolellisesti, ammattimaisesti ja hyvän tietojenkäsittelytavan mukaisesti. Palveluntarjo- ajan on myös rajoitettava pääsy Henkilötietoihin vain sellaisille henkilöstönsä jäsenille, joiden on tar- peen käsitellä Henkilötietoja tässä Liitteessä määriteltyjen tarkoitusten täyttämiseksi tai joiden työteh- tävät välittömästi edellyttävät Henkilötietojen Käsittelyä.

7 TIETOTURVALOUKKAUKSESTA ILMOITTAMINEN

Palveluntarjoajan on ilmoitettava Rekisterinpitäjälle kaikista Henkilötietoihin kohdistuneista tietoturva- loukkauksista ilman aiheetonta viivytystä loukkauksesta tiedon saatuaan tai kun Xxxxxxxxxxxxxxxxx käyt- tämä alihankkija on saanut loukkauksen tietoonsa alaliitteessä 3 määritellyille yhteystahoille.

Rekisterinpitäjän pyynnöstä Palveluntarjoajan tulee ilman aiheetonta viivytystä toimittaa Rekisterinpitä- jälle kaikki asiaankuuluva tietoturvaloukkaukseen liittyvä tieto. Siltä osin kuin kyseinen tieto on Palve- luntarjoajan saatavilla, Palveluntarjoajan on Rekisterinpitäjälle tehtävässä ilmoituksessa kuvattava vä- hintään:

(i) tapahtunut tietoturvaloukkaus,

(ii) mahdollisuuksien mukaan rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyp- pien ryhmät ja arvoidut lukumäärät,

(iii) kuvaus tietoturvaloukkauksen aiheuttamista todennäköisistä seurauksista, ja

(iv) kuvaus korjaavista toimenpiteistä, jotka Xxxxxxxxxxxxxxxx on suorittanut tai tulee suorittamaan tietoturvaloukkausten ennaltaehkäisemiseksi jatkossa, sekä tarvittaessa myös toimenpiteet mahdollisten tietoturvaloukkauksen haittavaikutusten minimoimiseksi.

Palveluntarjoaja dokumentoi ja raportoi selvityksen tulokset ja suoritetut toimenpiteet Rekisterinpitä- jälle. Rekisterinpitäjä vastaa tarvittavista ilmoituksista tietosuojaviranomaisille ja/tai Rekisteröidyille, ellei osapuolten kesken muuta erikseen sovita. Palveluntarjoaja on velvollinen avustamaan Rekisterinpitäjää tarvittaessa erillisen pyynnön mukaisesti tietoturvaloukkauksen selvittämisessä ja jatkotoimenpiteissä.

8 TIETOJEN POISTO/PALAUTTAMINEN SOPIMUKSEN PÄÄTTYESSÄ

Sopimuksen päätyttyä Xxxxxxxxxxxxxxxxx tulee viipymättä Rekisterinpitäjän ilmoituksen mukaisesti joko palauttaa Rekisterinpitäjälle tai poistaa kaikki tallennetut Henkilötiedot kaikkine kopioineen, ellei sovel- lettava lainsäädäntö edellytä Palveluntarjoajaa säilyttämään Henkilötietoja. Palveluntarjoajan tulee il- moittaa viipymättä Rekisterinpitäjälle tällaisesta velvollisuudestaan säilyttää Rekisterinpitäjän Henkilö- tietoja. Palveluntarjoajan tulee Rekisterinpitäjän pyynnöstä antaa kirjallinen vakuutus siitä, että se on poistanut tai palauttanut kaikki Rekisterinpitäjän sille luovuttamat missä tahansa muodossa olevat Hen- kilötiedot kaikkine kopioineen.

9 MUUT EHDOT

Tämä Liite on voimassa siihen asti kun (i) Sopimus on voimassa tai (ii) osapuolilla on Henkilötietojen Käsittelytoimiin perustuvia velvoitteita toisiaan kohtaan. Palveluntarjoaja tiedottaa Rekisterinpitäjää kir- jallisesti kaikista muutoksista, jotka saattavat vaikuttaa sen kykyyn tai mahdollisuuksiin noudattaa tätä Liitettä.

Mikäli Xxxxxxxxxxxxxxxx rikkoo tämän Liitteen mukaisia velvoitteitaan, Rekisterinpitäjällä on oikeus mää- rätä Xxxxxxxxxxxxxxxx keskeyttämään Henkilötietojen Käsittely, kunnes Palveluntarjoaja on korjannut rik- komuksensa.

Rekisterinpitäjällä on oikeus purkaa Sopimus siltä osin, kun kyse on tämän Liitteen mukaiseen Henki- lötietojen Käsittelyyn liittyvästä osasta, jos

(i) Rekisterinpitäjä on keskeyttänyt Käsittelyn yllä todetusti, eikä Xxxxxxxxxxxxxxxx ole korjannut rikkomustaan 30 päivän kuluessa siitä, kun Rekisterinpitäjä on vaatinut Käsittelyn keskeyttä- mistä; tai

(ii) Palveluntarjoaja rikkoo olennaisesti tai jatkuvasti tätä Liitettä ja/tai tietosuojalainsäädäntöä tai Palveluntarjoajaa velvoittavaa tuomiota tai viranomaispäätöstä.

Osapuolten välisessä Sopimuksessa sovittua vastuunrajoituslauseketta sovelletaan myös tähän Liittee- seen ja siinä asetettuihin velvollisuuksiin. Selvyyden vuoksi todetaan, että mikäli Xxxxxxxxxxxxxxxx suo- rittaisi vahingonkorvausta rekisteröidyille tämän Liitteen mukaisiin toimenpiteisiin liittyen toisen osa- puolen puolesta, on korvauksen suorittaneella osapuolella tällöin oikeus periä toisen osapuolen kor- vausvastuuta vastaava määrä osapuolelta, joka rikkomukseen on syyllistynyt. Lisäksi kumpikin osapuoli vastaa mahdollisista hallinnollisista seuraamusmaksuista, jotka viranomainen tai tuomioistuin on sille määrännyt.

Ellei Sopimuksessa ole sovittu vastuunrajoituksesta, noudatetaan silloin jäljempänä sovittua. Kumpi- kaan osapuoli ei vastaa välillisestä tai epäsuorasta vahingosta. Välillisenä vahinkona pidetään esimer- kiksi saamatta jäänyttä voittoa tai vahinkoa, joka johtuu tuotannon tai liikevaihdon vähentymisestä tai keskeytymisestä. Palveluntarjoajan vastuu rajoittuu kaikissa tapauksissa yhteensä enintään Sopimuk- sen mukaiseen keskimääräiseen kuukausihintaan kerrottuna kolmella (3).

Velvoitteet, joiden on niiden luonteen vuoksi tarkoitus säilyä voimassa tämän Liitteen voimassaolon päättymisestä riippumatta, jäävät voimaan Liitteen päättymisen jälkeen.

10 YHTEYSTIEDOT

Kaikissa tämän Liitteen mukaisissa ilmoitus- ja muissa kommunikaatiotilanteissa noudatetaan alaliitteen 3 mukaisia yhteystietoja.

Mikäli näissä yhteystiedoissa tapahtuu muutoksia, ovat Osapuolet velvollisia ilmoittamaan muutoksista kirjallisesti viipymättä toiselle Osapuolelle.

ALALIITE 1 – KÄSITELTÄVÄT HENKILÖTIEDOT

1. Henkilötietojen tyypit ja rekisteröityjen ryhmät

Osapuolet ovat sopineet, että Xxxxxxxxxxxxxxxx käsittelee Rekisterinpitäjän puolesta Sopimuksessa so- vitun palvelun tuottamiseksi seuraavia Rekisterinpitäjän Henkilötietoja:

- henkilön nimi

- syntymäaika

- toimipaikka, jossa ruokailee

Rekisteröidyt, joiden Henkilötietoja käsitellään ovat:

- asiakkaat

Käsiteltävät arkaluonteiset tiedot:

- erityisruokavalio terveydentilan perusteella

- eettisen vakaumuksen mukainen ruokavalio

2. Käsittelyn kohde, luonne ja tarkoitus

Osapuolet ovat sopineet, että Palveluntarjoaja tuottaa Rekisterinpitäjälle ruokapalvelua koulujen ja päi- väkotien tarpeisiin. Henkilötietoja käytetään em. palveluiden tuottamiseksi Sopimuksen mukaisesti.

Henkilötietoihin kohdistetaan seuraavia käsittelytoimenpiteitä:

Rekisterinpitäjä ylläpitää asiakaskohtaisesti nimellä erityisruokavalioita Palveluntarjoajan tilausjärjestel- mässä. Tilauksen jälkeen Palveluntarjoajan tilausjärjestelmä tarkastaa automaattisesti lakisääteisiin ruokavalioihin ja allergeeneihin perustuvat ruokavaliot. Loput ruokavaliot jäävät dieettipöydälle, jossa dieettikokki/-esimies käsittelee tilausta. Dieettikokit valmistavat tilauksen mukaiset erityisruokavalio- ruoat ja ne toimitetaan Rekisterinpitäjän palvelukeittiöihin joko yksittäisinä nimellä merkittynä ruokatuo- teannoksena tai useampi ruokavalion mukainen ruokatuoteannos isompana eränä.

Vaativien erityisruokavalioiden toteutuksessa Rekisterinpitäjän edustajan toimittaa Xxxxxxxxxxxxxxxxx ravitsemusasiantuntijalle hoitavan tason yksityiskohtaisen toteutusohjeen ruokavaliosta. Rekisterinpitä- jän edustaja ja Xxxxxxxxxxxxxxxxx ravitsemusasiantuntija suunnittelevat yhteistyössä näiden erityisruo- kavalioiden toteuttamisohjeet.

3. Henkilötietojen käsittelyn kesto

Palveluntarjoaja käsittelee tässä liitteessä yksilöityjä Henkilötietoja Liitteen sopimuskauden ajan. Liit- teen sopimuskausi on sidottu Sopimuksen voimassaoloon ja Liitteen kohdassa 8 sovittuun.

ALALIITE 2 – TIETOTURVAVAATIMUKSET

Tässä tietoturvaliitteessä määritellyt vaatimukset asettavat vähimmäistason Henkilötietojen käsittelyn ja Sopimuksen kohteen tietoturvallisuudelle. Mikäli Rekisterinpitäjä katsoo, että Sopimuksen kohde vaatii tarkempia tietoturvavaatimuksia, tätä liitettä täydennetään tarvittaessa erikseen sovittavilla palve- lukohtaisilla tietoturvavaatimuksilla.

Alla on tarkempi kuvaus teknisistä ja organisatorisista turvatoimenpiteitä asianmukaisen turvallisuusta- son varmistamiseksi ja ottaen huomioon käsittelyn luonne, soveltamisala, asiayhteys ja tarkoitus sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat riskit:

1. Hallinnollinen ja fyysinen tietoturva

Palveluntarjoaja toteuttaa asianmukaiset toimenpiteet, joita tarvitaan luottamuksellisten tietojen suojaa- miseksi luvattomalta tietoihin pääsyltä tai tietojen tuhoutumiselta tai muuttumiselta. Palveluntarjoaja varmistaa fyysisen pääsynvalvonnan asianmukaisin ja riittävin toimenpitein. Toimitilat on lukittu ja var- mistettu varmuuslukolla. Fyysinen pääsy Palveluntarjoajan järjestelmiin on suojattu asianmukaisin pää- synvalvontakeinoin. Ulkoisten palveluntarjoajien isännöimien, ylläpitämien ja tarjoamien järjestelmien osalta Palveluntarjoaja on varmistanut, että vastaavat turvatoimenpiteet pannaan täytäntöön ja ylläpi- detään ulkoisten palveluntarjoajien toimesta.

Palveluntarjoajalla on käytössään tietoturvan hallintamalli, jonka avulla toteutetaan Rekisterinpitäjän kulloinkin asettamia tietoturvatavoitteita ja vaatimuksia. Palveluntarjoaja määrittelee ja nimittää organi- saatiossaan tietoturvallisuuteen liittyvät roolit ja vastuut yleisesti tai osapuolten välisen Sopimuksen toteuttamiseksi. Palveluntarjoajan sisäinen organisaatio tulee järjestää siten, että se vastaa tietojen mi- nimointia ja sisäänrakennettua ja oletusarvoista tietosuojaa koskevia erityisiä vaatimuksia.

Palveluntarjoaja tunnistaa ja dokumentoi Sopimuksen kohteeseen liittyvät järjestelmät ja huolehtii nii- den sisältämien tietojen luottamuksellisuuden, eheyden, saatavuuden, käytettävyyden ja kiistämättö- myyden toteuttamisesta Sopimuksen vaatimusten mukaisesti. Palveluntarjoaja sitoutuu jatkuvasti ke- hittämään ja vastaa tuottamansa palvelun tietoturvallisuuden ja jatkuvuuden jatkuvasta kehittämisestä.

Jos Sopimuksen kohteeseen liittyvä työ suoritetaan Xxxxxxxxxxxxxxxxx tai sen alihankkijan tiloissa, tulee Palveluntarjoajan varmistaa tilojen tarkoituksenmukainen fyysinen turvallisuus tulipalon, sähkökatkos- ten, vesivaurioiden, ulkopuolisten häiriötekijöiden ja muiden vastaavien erityistilanteiden varalta. Li- säksi henkilöt, joille ei ole myönnetty oikeutta Rekisterinpitäjän luottamuksellisena pidettävään tietoon, saavat oleskella tiloissa ainoastaan valvonnan alaisina. Valvontaa ei edellytetä, mikäli luottamuksellista tietoa säilytetään tai käsitellään tiloissa siten, että nämä henkilöt eivät voi päästä niihin käsiksi. Palve- luntarjoaja arvioi ja toteuttaa riittävän valvontaratkaisun kuhunkin tarpeeseen.

Palveluntarjoaja varmistaa tietojen saatavuuden ja pääsyn valvonnan asianmukaisin toimenpitein. Pal- veluntarjoaja on etenkin huolehtinut ja pannut täytäntöön tietojen varmuuskopiointi- ja palauttamiskäy- tännön. Varmuuskopioita luodaan säännöllisesti. Palveluntarjoaja noudattaa asianmukaisia menetelmiä poistaakseen henkilötiedot turvallisesti silloin, kun niitä ei enää käytetä ja pitää huolen, että henkilötie- toja, jotka on tallennettu käytöstä poistettuihin tietolaitteisiin, ei voida palauttaa tai noutaa.

Palveluntarjoaja toteuttaa henkilötietojen pseudonymisoinnin ja anonymisoinnin aina tarvittaessa ja erikseen niin sovittaessa riittävin teknisin ja organisatorisin toimenpitein.

Palveluntarjoaja varmistaa tietojen siirron hallinnan asianmukaisin toimenpitein, hyödyntäen salattua yhteyttä erityisesti julkisessa verkossa tapahtuvaan tietojen siirtoon.

Erityisesti käyttötarkoitukseen, henkilötietojen tyyppiin ja ryhmiin liittyen Palveluntarjoajan tulee ryhtyä asianmukaisiin toimenpiteisiin soveltuvan käsittelyajan noudattamiseksi tietosuojalainsäädännön

edellyttämin tavoin. Palveluntarjoajan tulee toimenpiteillään varmistaa käsiteltävien henkilötietojen täs- mällisyys ja ajantasaisuus.

2. Alihankkijat

Palveluntarjoaja huolehtii, että Xxxxxxxxxxxxxxxxx alihankkijoihin ja heidän palveluksessaan oleviin hen- kilöihin sovelletaan samoja tai sisällöllisesti saman sisältöisiä ehtoja kuin tässä tietoturvaliitteessä on Palveluntarjoajalle asetettu.

3. Palveluntarjoajan henkilöstö

Rekisterinpitäjällä on oikeus teettää sille nimetyistä asiantuntijoista turvallisuusselvitys sikäli ja kuten sovellettava voimassa oleva lainsäädännön menettely sallii sen. Palveluntarjoaja sitoutuu varmista- maan, että kaikki henkilöt, joilla on oikeus Sopimuksen kohteen toteuttamiseksi käsitellä luottamuksel- lista tietoa, käsittelevät niitä ainoastaan Rekisterinpitäjän antamien ohjeiden mukaisesti.

Henkilön, joka toimii Palveluntarjoajan lukuun Rekisterinpitäjän tiloissa, on tarvittaessa todistettava hen- kilöllisyytensä ja pyynnöstä esitettävä Palveluntarjoajan työmääräys tai valtuutus ennen tehtävän suo- rittamista. Palveluntarjoaja estää järjestelmien käytön teknisesti ilman tarpeetonta viivytystä, kun hen- kilön peruste luottamuksellisen tiedon käsittelylle on päättynyt.

Palveluntarjoajan sisäinen organisaatio tulee järjestää siten, että se vastaa tietojen minimointia ja si- säänrakennettua ja oletusarvoista tietosuojaa koskevia erityisiä vaatimuksia.

4. Pääsy järjestelmiin

Palveluntarjoajan tulee huolehtia sille annetuista salasanoista, tunnistautumisvälineistä ja pääsystä Re- kisterinpitäjän hallinnassa oleviin tietojärjestelmiin, verkkoihin tai sähköisiin ratkaisuihin siten, että vain niillä Palveluntarjoajan henkilöillä on pääsy näihin käsiksi, joiden Rekisterinpitäjän kanssa solmitun So- pimuksen mukaiset tehtävät välttämättä tätä edellyttävät.

Palveluntarjoaja on pannut täytäntöön asianmukaiset tietojensalaustoimet ja käyttää asianmukaisia haittaohjelmien ja virusten torjuntaohjelmia estääkseen vahingollisten ohjelmien luvattoman pääsyn henkilötietoihin. Palveluntarjoaja huolehtii siitä, että käyttöoikeudet tietoihin osoitetaan ainoastaan tie- toja tarvitseville ja tietoihin luvan saaneille henkilöille. Palveluntarjoaja pitää huolen, että tietojenkäsit- telyjärjestelmiin luvan saaneilla henkilöillä on pääsy vain sellaisiin tietoihin, jotka kuuluvat luvan saanei- den henkilöiden käyttöoikeuden alle. Palveluntarjoaja pitää huolen, että luvattomien henkilöiden ei ole mahdollista saada pääsyä, lukea, kopioida, muuttaa tai poistaa henkilötietoja tietojen prosessointi- tai käyttövaiheessa taikka niiden säilytyksen jälkeen.

Palveluntarjoaja huolehtii siitä, että Rekisterinpitäjän sille luovuttamia tunnuksia käytetään vain niihin tarkoituksiin, joita Palveluntarjoajan Rekisterinpitäjälle suorittamat tehtävät edellyttävät. Palveluntar- joaja ei saa liittyä Rekisterinpitäjän järjestelmiin muutoin, kuin erikseen Rekisterinpitäjän tälle osoittamin henkilökohtaisin tunnuksin ja/tai tunnistautumisvälinein.

Palveluntarjoaja varmistaa riittävien teknisten ja organisatoristen toimenpiteiden täytäntöönpanon es- tääkseen luvattomien henkilöiden pääsyn tietojenkäsittelyjärjestelmiin, joissa henkilötietoja käsitellään tai käytetään (pääsynvalvonta) ja estääkseen tietojenkäsittelyjärjestelmien luvattoman käytön (käytön- valvonta).

Palveluntarjoaja varmistaa tietojen tallentamisen ja käytön valvonnan asianmukaisin lokitiedoin tai muin toimenpitein. Järjestelmien tulee dokumentoida erityisesti, milloin ja kenen toimesta tietoja on syötetty, muutettu tai luovutettu ja kenelle. Aikaisempi dokumentoitu versio on voitava tarvittaessa palauttaa. Palveluntarjoaja ylläpitää lisäksi erillistä pöytäkirjaa tietomurroista.

ALALIITE 3 – YHTEYSTIEDOT

Tietosuoja-asioista vastaavat yhteyshenkilöt

Rekisterinpitäjän tämän Liitteen mukaisista tietosuoja-asioista vastaavan yhteystiedot sekä yhteystiedot tietoturvaloukkausten ilmoittamiseksi:

- Xxxxx Xxxxx, hallinnon suunnittelija, 040 586 6140, xxxxx.xxxxx@xxxxxxxxx.xx

Palveluntarjoajan tämän Liitteen mukaisista tietosuoja-asioista vastaavan yhteystiedot sekä yhteystie- dot tietoturvaloukkausten ilmoittamiseksi:

- Xxxx Xxxxxxxx, johtaja, ICT, 045 651 5376, xxxx.xxxxxxxx@xxxxxx.xx