TIETOSUOJASOPIMUS
TIETOSUOJASOPIMUS
Sopimus henkilötietojen käsittelystä
Pääsopimus: Yhteistoimintasopimus Keusote/Hus Apuvälinekeskus maksusitoumuspalvelu
Rekisterinpitäjä: Keski-Uudenmaan sote -kuntayhtymä
Henkilötietojen käsittelijä: Helsingin ja Uudenmaan sairaanhoitopiirin kuntayhtymä (Hus)
1. Yleistä
1.1. Tämä sopimus henkilötietojen käsittelystä, jäljempänä ”Tietosuojasopimus”, on osa sopimusta, jäljem-
pänä ”Pääsopimus”, jonka tilaaja on tehnyt palveluntuottajan kanssa.
1.2. Tässä tietosuojasopimuksessa määritellään tilaajaa ja palveluntuottajaa sitovasti ne henkilötietojen käsittelyä ja tietosuojaa koskevat sopimusehdot, joiden mukaisesti palveluntuottaja tilaajan toimeksi- annosta käsittelee henkilötietoja tilaajan puolesta ja lukuun pääsopimuksessa olevien sopimusehto- jen lisäksi. Tietosuojasopimuksessa kuvatuista palveluntuottajan toimenpiteistä ja velvollisuuksista ei suoriteta erillistä korvausta, ellei toisin ole näissä ehdoissa sovittu.
1.3. Palveluntuottaja noudattaa voimassa olevan tietosuojalainsäädännön edellyttämiä menettelyta- poja ja henkilötietojen käsittelyä ja suojaamista koskevia säännöksiä. Palveluntuottaja vastaa siitä, että palvelu on kulloinkin voimassa olevan tietosuojalainsäädännön, pääsopimuksen ja tämän tieto- suojasopimuksen vaatimusten mukainen, ottaen erityisesti huomioon, mitä sisäänrakennetusta ja ole- tusarvoisesta tietosuojasta on säädetty.
1.4. Tämän tietosuojasopimuksen tavoitteena on varmistaa pääsopimuksella hankittavien tuotteiden ja palveluiden elinkaaren kattava tietoturvallisuus, palveluntuottajan ja tilaajan toiminnan vaatimusten- mukaisuus ja palvelutuotannon jatkuvuus erilaisissa häiriötilanteissa. Tavoitteena on lisäksi varmistaa tilaajan aineiston luottamuksellisuus, eheys ja saatavuus pääsopimuksen mukaisessa palvelutuotan- nossa.
1.5. Tässä tietosuojasopimuksessa sovitaan turvallisuusjärjestelyistä, salassapidosta, tietosuojasta ja muusta tietoturvallisuudesta palveluiden tuottamisessa sekä kaikessa pääsopimukseen liittyvässä ti- laajan ja palveluntuottajan välisessä yhteistyössä. Tämän tietosuojasopimuksen tarkoituksena on täy- dentää pääsopimuksen ehtoja.
1.6. Tämän tietosuojasopimuksen, pääsopimuksen ja sen muiden liitteiden soveltamisjärjestys määräytyy pääsopimuksen ehtojen mukaisesti. Pääsopimuksessa sovittuja vahingonkorvauksen vastuunrajoituk- sia ei kuitenkaan sovelleta tämän tietosuojasopimuksen perusteella syntyvään vahingonkorvausvas- tuuseen, vaan vastuunrajoitukset määräytyvät aina tämän tietosuojasopimuksen mukaisesti. Edellä mainittua noudatetaan myös palveluntuottajan alihankkijan osalta.
1.7. Viittaus ”tähän tietosuojasopimukseen ” tarkoittaa aina myös viittausta tämän tietosuojasopimuksen liiteasiakirjoihin esim. käsittelytoimien kuvaukseen ja henkilötietojen käsittelyä koskevaan ohjeeseen, ellei nimenomaisesti toisin ole todettu. Mikäli tietosuojasopimuksen liiteasiakirjat ovat ristiriidassa tieto- suojasopimuksen ehtojen kanssa, noudatetaan ensisijaisesti tietosuojasopimuksen ehtoja.
2. Osapuolten roolit henkilötietojen käsittelyssä
2.1. Käsiteltäessä henkilötietoja tilaaja on rekisterinpitäjä ja palveluntuottaja on henkilötietojen käsittelijä (jäljempänä myös ”käsittelijä”), ellei henkilötietojen käsittelyn tarkoituksesta muuta johdu. ”Tilaajan henkilötiedoilla” tarkoitetaan näissä ehdoissa henkilötietoja, joista tilaaja vastaa.
2.3. Jos kohdan 2.2 mukaista käsittelytoimien kuvausta ei ole tehty tai se on puutteellinen, tilaaja laatii tai täydentää käsittelytoimien kuvausta tarvittaessa yhteistyössä palveluntuottajan kanssa.
3. Palveluntuottajan yleiset velvollisuudet
3.1. Palveluntuottaja käsittelee henkilötietoja tietosuojasopimuksen, pääsopimuksen ja tilaajan antamien kirjallisten henkilötietojen käsittelyä koskevien ohjeiden mukaisesti. Ryhmittymän ollessa käsittelijänä tämän tietosuojasopimuksen velvoitteet koskevat kaikkia ryhmittymän jäseniä, ja ryhmittymän käyt- tämiä alihankkijoita, jotka osallistuvat henkilötietojen käsittelyyn.
3.2. Palveluntuottaja toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla se varmistaa, että tilaajan henkilötietojen käsittely tapahtuu sopimuksen vaatimusten ja sovittujen käytäntöjen mu- kaisesti. Toimenpiteiden tarkoituksena on varmistaa henkilötietojen lainmukainen käsittely sekä pal- veluiden luottamuksellisuus.
3.3. Palveluntuottaja ei käsittele eikä muulla tavoin hyödynnä pääsopimuksen perusteella käsittelemiään henkilötietoja muutoin kuin pääsopimuksen täyttämisen mukaisessa tarkoituksessa ja laajuudessa ja pääsopimuksen tai siihen liittyvän asiakaskohtaisen sopimuksen voimassaoloajan.
3.4. Palveluntuottaja nimeää tietosuojavastaavan tai tietosuojasta vastaavan yhteyshenkilön tilaajan henkilötietoihin liittyviä yhteydenottoja varten. Palveluntuottaja ilmoittaa kirjallisesti tietosuojavastaa- van tai yhteyshenkilön yhteystiedot tilaajalle.
3.5. Palveluntuottaja saattaa tilaajan saataville tämän pyynnöstä kaikki tiedot, jotka tilaaja tarvitsee re- kisterinpitäjälle ja palveluntuottajalle säädettyjen velvollisuuksien noudattamisen osoittamista varten.
3.6. Palveluntuottaja ilmoittaa tilaajalle viipymättä kaikista tilaajan rekistereihin kohdistuvista rekisteröity- jen pyynnöistä, jotka koskevat rekisteröidyn oikeuksien käyttämistä. Palveluntuottaja ei itse vastaa näihin pyyntöihin. Palveluntuottaja avustaa tilaajaa, jotta tilaaja pystyy täyttämään velvollisuutensa vastata näihin pyyntöihin. Pyynnöt voivat edellyttää palveluntuottajalta esimerkiksi avustamista rekis- teröidylle tiedottamisessa ja viestinnässä, rekisteröidyn pääsyoikeuden toteuttamisessa, henkilötieto- jen oikaisemisessa tai poistamisessa, käsittelyn rajoittamisen toteuttamisessa tai rekisteröidyn omien henkilötietojen siirtämisessä järjestelmästä toiseen. Tämän kohdan mukaiset käsittelijän velvoitteet sisältyvät pääsopimuksen mukaisten palveluiden hintoihin eikä niistä suoriteta eri korvausta.
3.7. Palveluntuottaja on velvollinen ilmoittamaan tilaajalle, jos tämän tietosuojasopimuksen kannalta kes- keisissä toiminnoissa tai pääsopimukseen liittyvissä riskeissä tapahtuu muutoksia.
4. Tarkastukset
4.1. Tilaajalla tai tilaajalta toimeksi saaneella riippumattomalla kolmannella taholla, on oikeus tarkastaa etukäteen ilmoitettuna ajankohtana (vähintään kaksi viikkoa) palveluntuottajan turvallisuusjärjestelyt tätä tietosuojasopimusta sekä pääsopimusta koskevilta osin.
4.2. Sopijapuolet pyrkivät myötävaikuttamaan tarkastuksen suorittamiseen siten, ettei tarkastustoimenpi- teistä aiheudu kohtuutonta haittaa palveluntuottajalle. Tilaaja tai sopijapuolet yhdessä laativat tar- kastusta koskevan tarkastussuunnitelman, jonka sopijapuolet katselmoivat. Tarkastukset eivät saa
vaarantaa palveluntuottajan tietoturvallisuutta tai salassapitovelvoitteita muita asiakkaita kohtaan enempää kuin mikä on välttämätöntä tarkastuksen tarkoituksen toteuttamiseksi tämän tietosuojaso- pimuksen ja pääsopimuksen vaatimustenmukaisuuden selvittämiseksi. Kolmatta osapuolta koskevat samat salassapitovelvoitteet kuin Tilaajaa.
4.3. Ellei turvallisuusselvityslaista (726/2014) tai auditointilaista (1406/2011) muuta johdu tai elleivät sopija- puolet ole toisin sopineet, tilaaja vastaa tarkastusten ja arviointien ja todistuksen antamisesta aiheu- tuvista maksuista, kuten tarkastajan työkustannuksesta. Palveluntuottaja vastaa kaikista niistä kuluista ja kustannuksista, joita sille tai sen alihankkijalle aiheutuu tarkastuksiin käytetystä työajasta, havaittu- jen puutteiden korjaamisesta ja kuluista, jotka aiheutuvat palvelun saattamiseksi sovittujen vaatimus- ten mukaisiksi.
4.4. Jos tarkastuksessa havaitaan, ettei palveluntuottajan toiminta täytä sovittuja vaatimuksia, palvelun- tuottaja laatii viipymättä aikataulutetun suunnitelman tilanteen korjaamiseksi ilman eri veloitusta. Ellei sopijapuolten hyväksymästä suunnitelmasta muuta johdu, palveluntuottajan tulee korjata tarkastuk- sessa havaitut puutteet viivytyksettä tilaajan kirjallisesta ilmoituksesta. Olennaiset puutteet, jotka muodostavat ilmeisen uhan tietoturvallisuudelle, on korjattava heti tai tilaajan asettamassa aikatau- lussa. Tilaaja ei vastaa edellä mainituista korjauksista aiheutuvista kuluista ja kustannuksista.
4.5. Mikäli tarkastuksessa havaitaan, ettei palveluntuottajan toiminta täytä sovittuja vaatimuksia ja tilaaja edellyttää virheen korjaamisen todentamiseksi uusintatarkastusta, palveluntuottaja korvaa tilaajalle uusintatarkastuksesta aiheutuneet kustannukset.
4.6. Tilaajalla on oikeus luovuttaa muille viranomaisille tieto siitä, että tämän luvun mukainen tarkastus on suoritettu ja tieto siitä, ovatko palveluntuottajan turvallisuusjärjestelyt todettu vaatimusten mukaisiksi.
4.7. Jos tarkastusvaatimuksen esittää tilaajalle sellainen kolmas osapuoli, jolla on lainsäädäntöön perus- tuva oikeus tarkastaa tilaajan toimintaa ja tietojärjestelmiä palveluiden piiriin kuuluvilta osin, palve- luntuottajan on järjestettävä tarkastusmahdollisuus.
5. Xxxxxxxx xxxxxx
5.1. Palveluntuottaja noudattaa tilaajan henkilötietojen käsittelyssä pääsopimuksessa ja tässä tietosuoja- sopimuksessa sovittuja ehtoja sekä tilaajan kirjallisia ohjeita. Tilaaja vastaa ohjeistuksesta, sen ylläpi- dosta ja saatavuudesta. Palveluntuottaja ilmoittaa ilman aiheetonta viivytystä tilaajalle, jos tilaajan antamat ohjeet ovat puutteellisia tai jos palveluntuottaja epäilee niitä lainvastaisiksi.
5.2. Tilaajalla on oikeus muuttaa, täydentää ja päivittää palveluntuottajalle antamiaan henkilötietojen käsittelyä ja tietosuojaa koskevia ohjeita. Nämä ohjeet voivat olla henkilötietojen käsittelyä tai tieto- suojaa koskeviin teknisiin tai organisatorisiin toimenpiteisiin liittyviä muutoksia tai täydennyksiä. Palve- luntuottaja tekee tarvittavat muutostyöt tilaajan ohjeen mukaisesti. Jos muutokset aiheuttavat palve- luntuottajalle olennaisia muutostöitä (enemmän kuin yksi henkilötyöpäivä) lisäkustannuksista sovitaan erikseen pääsopimuksen hintoihin perustuen. Palveluntuottaja ja muut henkilötietojen käsittelijät si- toutuvat noudattamaan tarkistettuja ohjeita.
5.3. Jos tietosuojalainsäädäntöön tai sen tulkintaan tulee muutoksia, jotka vaikuttavat tilaajan asemaan tai velvollisuuksiin tai tässä tietosuojasopimuksessa määriteltyihin velvollisuuksiin tai vastuisiin, tätä tie- tosuojasopimusta voidaan tarkistaa. Jos tietosuojasopimukseen tehdään muutoksia, joista aiheutuu palveluntuottajalle olennaisia lisäkustannuksia (enemmän kuin 1 henkilötyöpäivä) niiden korvaami- sesta voidaan sopia erikseen pääsopimuksen hintoihin perustuen. Palveluntuottaja ja muut henkilö- tietojen käsittelijät sitoutuvat noudattamaan tarkistettua tietosuojasopimusta.
5.4. Tähän tietosuojasopimukseen tehtävät muutokset tulee tehdä kirjallisesti ja molempien sopijapuolten vahvistaa allekirjoituksellaan.
6. Henkilöstö ja salassapito
6.1. Palveluntuottaja varmistaa, että kaikki sen alaisuudessa toimivat henkilöt, joilla on oikeus käsitellä ti- laajan henkilötietoja, ovat sitoutuneet noudattamaan pääsopimuksessa sovittuja salassapitoehtoja tai heitä koskee lakisääteinen salassapitovelvollisuus.
6.2. Palveluntuottaja varmistaa, että jokainen sen alaisuudessa toimiva henkilö, jolla on pääsy tilaajan henkilötietoihin, on tietoinen henkilötietojen käsittelyyn liittyvistä velvoitteistaan ja käsittelee niitä ai- noastaan pääsopimuksen, tämän tietosuojasopimuksen ehtojen ja tilaajan ohjeiden mukaisesti.
6.3. Palveluntuottaja sitoutuu pitämään salassa pidettävän tiedon salassa ja käsittelemään sitä tämän tietosuojasopimuksen ja pääsopimuksen vaatimusten mukaisesti.
6.4. Palveluntuottaja saa luovuttaa tilaajan aineistoa vain niille henkilöille, jotka tarvitsevat tietoja palve- lun tuottamiseen liittyvissä työtehtävissään ja joilla on tämän sopimuksen mukainen salassa pidettä- vien tietojen käsittelyoikeus. Tilaajan aineistoa ei saa oikeudetta näyttää eikä luovuttaa sivulliselle eikä antaa sitä oikeudetta teknisen käyttöyhteyden avulla tai muulla tavalla sivullisen nähtäväksi tai käytettäväksi.
6.5 Palveluntuottajan toimitilojen tulee olla asianmukaisesti suojattu ulkopuolisilta. Palveluntuottajan on lukituksella ja muilla tarpeellisilla toimenpiteillä estettävä luvaton pääsy toimitiloihin ja siellä olevaan salassa pidettävään tietoon. Tarpeettomat tiedostot ja tulosteet tulee tuhota tietoturvallisesti.
7. Alihankkijat, jotka käsittelevät henkilötietoja
7.1. Siltä osin kuin palveluntuottaja käyttää toiminnassaan alihankkijoita, jotka käsittelevät henkilötietoja, alihankintaan sovelletaan pääsopimuksen lisäksi tässä tietosuojasopimuksessa kuvattuja ehtoja.
7.2. Jos palveluntuottajan alihankkija käsittelee tilaajan henkilötietoja, alihankkijan käyttäminen edellyt- tää tilaajan ennakkoon kirjallisesti antamaa lupaa.
7.3. Palveluntuottaja tekee alihankkijan kanssa kirjallisen sopimuksen, jossa se sitouttaa käyttämänsä ali- hankkijat noudattamaan omalta osaltaan pääsopimuksessa palveluntuottajalle asetettuja velvoit- teita sekä tilaajan antamia kulloinkin voimassa olevia henkilötietojen käsittelyyn liittyviä ohjeita. Pal- veluntuottajan tulee huolehtia sopimusjärjestelyin myös siitä, että tilaajalla on mahdollisuus edellyttää palveluntuottajan tarkastavan palveluntuottajan alihankkijan turvallisuusjärjestelyt.
7.4. Palveluntuottaja vastaa siitä, että sen tai sen alihankkijan palvelun tuottamiseen osallistuvat henkilöt allekirjoittavat vaitiolositoumuksen ennen kuin heille myönnetään oikeus käsitellä salassa pidettäviä tietoja.
7.5. Palveluntuottajan tulee huolehtia siitä, että se pystyy noudattamaan tätä tietosuojasopimusta myös käyttäessään alihankkijoita. Palveluntuottaja vastaa käyttämänsä alihankkijan osuudesta kuin omas- taan ja siitä, että alihankkijat toimivat pääsopimuksen ja tämän tietosuojasopimuksen mukaisesti ja noudattavat henkilötietojen käsittelijälle asetettuja velvoitteita. Mikäli alihankkija ei noudata velvoit- teitaan, palveluntuottaja on täysimääräisesti vastuussa suhteessa tilaajaan. Jos tilaaja perustellusti katsoo, että palveluntuottajan alihankkija ei täytä tietosuojavelvoitteitaan, tilaajalla on oikeus vaatia palveluntuottajaa vaihtamaan alihankkija.
7.6. Henkilötietojen käsittelyyn osallistuvan alihankkijan vaihtamisesta on ilmoitettava tilaajalle etukäteen. Ilmoituksessa tulee kuvata, miten alihankkija käsittelee tilaajan henkilötietoja tietosuojalainsäädän- nön mukaisesti. Tilaajalla on oikeus perustellusta syystä vastustaa ehdotettua alihankkijaa.
7.7. Palveluntuottajan on tiedotettava alihankkijalleen, että turvallisuusjärjestelyjen saattamisesta pääso- pimuksen ja tämän tietosuojasopimuksen edellyttämälle tasolle saattaa syntyä kustannuksia. Tilaaja ei vastaa näistä kustannuksista.
8. Palvelun paikka
8.1. Ellei palvelun tuottamispaikasta ole toisin sovittu, palveluntuottajalla on oikeus käsitellä tilaajan henki- lötietoja ainoastaan Euroopan talousalueella. Mitä pääsopimuksessa ja tässä tietosuojasopimuksessa sovitaan henkilötietojen käsittelystä, koskee myös pääsyn mahdollistamista tilaajan henkilötietoihin esimerkiksi hallinta- ja valvontayhteyden välityksellä.
8.2. Jos sopijapuolet sopivat, että palveluntuottajaa saa siirtää tilaajan henkilötietoja Euroopan talous- alueen ulkopuolelle, sopijapuolet huolehtivat siitä, että henkilötietojen siirto toteutetaan lainsäädän- nön mukaisesti.
9. Tietoturvaloukkaukset
9.1. Palveluntuottajan on ilmoitettava tilaajalle kirjallisesti tietoonsa tulleesta henkilötietojen tietoturva- loukkauksesta ilman aiheetonta viivytystä, viimeistään 24 tunnin kuluessa loukkauksen havaitsemi- sesta. Lisäksi palveluntuottaja sitoutuu ilmoittamaan tilaajalle ilman aiheetonta viivytystä muista pal- velun häiriö- tai ongelmatilanteista, joilla voi olla vaikutuksia rekisteröityjen asemaan ja oikeuksiin.
9.2. Palveluntuottajan on annettava tilaajalle vähintään seuraavat tiedot tietoturvaloukkauksesta:
a) tapahtuneen tietoturvaloukkauksen kuvaus, mukaan lukien asianomaisten rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja arvioidut lukumäärät sillä tarkkuudella kuin nämä ovat tiedossa;
b) tietosuojavastaavan tai muun vastuuhenkilön nimi ja yhteystiedot, jolta voi saada asiassa lisätie- toja;
c) kuvaus tietoturvaloukkauksen todennäköisistä seurauksista; ja
d) kuvaus toimenpiteistä, joita palveluntuottaja ehdottaa tai joita se on jo toteuttanut tietoturvalouk- kauksen johdosta, ja tarvittaessa toimenpiteet mahdollisten haittavaikutusten lieventämiseksi.
9.3. Henkilötietojen tietoturvaloukkauksen havaittuaan palveluntuottaja ryhtyy viipymättä toimenpiteisiin tietoturvaloukkauksen poistamiseksi ja sen vaikutusten rajoittamiseksi ja korjaamiseksi.
10. Vahingonkorvaus
10.1. Sopijapuolella on oikeus saada vahingonkorvausta toisen sopijapuolen tietosuojasopimukseen perus- tuvasta sopimusrikkomuksesta aiheutuneesta välittömästä vahingosta. Näiden ehtojen mukaiset va- hingonkorvausvelvollisuuden rajoitukset eivät koske tapausta, jossa sopijapuoli on aiheuttanut vahin- gon tahallisesti tai törkeällä huolimattomuudella.
10.2. Jos palveluntuottajalla on velvollisuus suorittaa sopimussakkoa tai hyvitystä pääsopimuksen mukai- sesti, palveluntuottajalla on velvollisuus suorittaa lisäksi vahingonkorvausta siltä osin kuin vahingon määrä ylittää sopimussakot tai hyvitykset.
10.3. Jos tilaaja on maksanut rekisteröidylle korvauksen tietosuojalainsäädännön rikkomisen johdosta ai- heutuneesta vahingosta, tilaajalla on oikeus sovittujen vastuunrajoitusten rajoittamatta periä sa- maan tietojenkäsittelyyn osallistuneelta toiselta sopijapuolelta tämän vahingonkorvausvastuuta vas- taava osuus rekisteröidylle maksetusta korvauksesta. Sopijapuolen vastuu rekisteröidylle aiheutu- neesta vahingosta määräytyy EU:n yleisen tietosuoja-asetuksen 82 artiklan 4 kohdan tai muussa tieto- suojalainsäädännössä olevan vastaavan määräyksen mukaan.
11. Tietosuojasopimuksen voimassaolo ja henkilötietojen käsittelyn päättyminen
11.1. Tämä tietosuojasopimus on voimassa niin kauan kuin tilaajan ja palveluntuottajan välinen pääsopi- mus on voimassa. Tämä tietosuojasopimus tulee voimaan, kun kumpikin sopijapuoli on allekirjoittanut pääsopimuksen. Tämän tietosuojasopimuksen ja pääsopimuksen mukainen salassapitovelvollisuus sanktioineen on voimassa myös sen jälkeen, kun pääsopimus on päättynyt.
11.2. Pääsopimuksen voimassaoloaikana palveluntuottaja ei saa poistaa tilaajan lukuun käsittelemiään henkilötietoja ilman tilaajan nimenomaista pyyntöä.
11.3. Pääsopimuksen päättyessä tai purkautuessa palveluntuottaja palauttaa tilaajalle kaikki tilaajan puo- lesta tilaajan rekistereissä käsitellyt henkilötiedot sekä hävittää omilta taltioiltaan mahdolliset kopiot henkilötiedoista, ellei muuta ole sovittu. Tietoja ei saa poistaa, jos lainsäädännössä tai viranomaisen määräyksellä on edellytetty, että palveluntuottaja säilyttää henkilötiedot.
12. Sovellettava laki ja erimielisyyksien ratkaiseminen
12.1. Tähän tietosuojasopimukseen sovelletaan Suomen lakia, lukuun ottamatta sen kansainvälistä lainva- lintaa koskevia säännöksiä. Tästä tietosuojasopimuksesta aiheutuvat erimielisyydet pyritään ensisijai- sesti ratkaisemaan sopijapuolten välisin neuvotteluin. Mikäli sopijapuolet eivät pääse sovinnolliseen ratkaisuun, erimielisyydet jätetään ratkaistavaksi tilaajan kotipaikan käräjäoikeuteen tai pääsopimuk- sessa sovittuun oikeuspaikkaan.