Henkilötietojen käsittelysopimus

Henkilötietojen käsittelysopimus

1        Johdanto

Tämä henkilötietojen käsittelysopimus (Liite) on osa Western Systems Oy:n (Palveluntarjoaja) ja asiakkaan (Asiakas) välillä olevaa palvelinulkoistussopimusta (Sopimus).

Liite astuu voimaan EU:n tietosuoja-asetuksen astuessa voimaan ilman erillistä allekirjoitusmenettelyä.

Tämän Liitteen tarkoituksena on sopia Asiakkaan Henkilötietojen tietosuojasta ja tietoturvasta Palveluntarjoajan palveluissa. Tämä Liite muodostaa osapuolten välille EU:n yleisen tietosuoja-asetuksen mukaisen kirjallisen sopimuksen henkilötietojen käsittelystä.

Jos tämän Liitteen ja Sopimuksen henkilötietojen käsittelyä koskevat ehdot ovat ristiriidassa keskenään, osapuolet soveltavat ensisijaisesti tämän Liitteen ehtoja.

2       Määritelmät

Tässä Liitteessä EU:n tietosuoja-asetuksen mukaisesti

“Rekisterinpitäjä” on se, joka määrittelee Henkilötietojen Käsittelyn tarkoitukset ja keinot ja on tässä Liitteessä määritelty Asiakas tai Asiakkaan toimeksiantaja.

“Käsittelijä” on Palveluntarjoajaa, joka Käsittelee Henkilötietoja Rekisterinpitäjän lukuun Sopimuksen perusteella.

“Käsittely” ja ”Käsittelytoimi” ovat toimintoja, joita kohdistetaan Henkilötietoja sisältäviin tietokantoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen säilyttämistä, tietojen luovuttamista siirtämällä, tai asettamalla ne muutoin saataville sekä turvakopioimista.

“Henkilötiedot” ovat kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ”Rekisteröityyn”, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella.

“Henkilötietojen tietoturvaloukkaus” on tietoturvaloukkaus, jonka seurauksena on siirrettyjen, tallennettujen tai muuten Käsiteltyjen Henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin.

3       Tietosuoja ja Henkilötietojen Käsittely

3.1     Palveluntarjoajan ja Asiakkaan vastuut

Palveluntarjoaja Käsittelee Rekisterinpitäjän Henkilötietoja Rekisterinpitäjän lukuun ja tämän toimeksiannosta Sopimuksen perusteella. Asiakas tai tämän toimeksiantaja on palvelussa Käsiteltävien Henkilötietojen Rekisterinpitäjä ja Palveluntarjoaja Käsittelijä. Osapuolet sitoutuvat noudattamaan EU:n tietosuoja-asetusta.

Rekisterinpitäjä on vastuussa siitä, että sillä on tarvittavat oikeudet ja suostumukset Sopimuksen mukaiseen Henkilötietojen Käsittelyyn. Rekisterinpitäjä vastaa tietosuojaselosteen laatimisesta ja saatavilla pidosta sekä Rekisteröityjen informoinnista ja ilmoituksista tietosuojaviranomaisille.

Rekisterinpitäjällä on oikeus ja velvollisuus määrittää Henkilötietojen Käsittelyn tarkoitus ja keinot. Palveluntarjoaja ei käsittele yksittäisiä henkilötietoja, vaan Käsittely rajoittuu Henkilötietojoukkojen eli henkilötietoja sisältävien tietokantojen käsitteyyn.

Palveluntarjoajalla on oikeus Käsitellä Rekisterinpitäjän Henkilötietoja ja muita Rekisterinpitäjän tietoja vain Sopimuksen ja tämän Liitteen mukaisesti ja vain siltä osin ja siten kuin on tarpeellista palveluiden toimittamiseksi.

3.2     Tietojen poisto/palauttaminen

Sopimuksen päätyttyä Palveluntarjoaja poistaa kaikki Rekisterinpitäjän Palveluun tallennetut Henkilötiedot viimeistään 2 kuukauden kuluttua Sopimuksen päättymisestä, ellei sovellettava lainsäädäntö edellytä Henkilötietojen säilyttämistä. Rekisterinpitäjän on mahdollista pyytää Palveluun tallennettujen tietojen välitöntä poistoa. Rekisterinpitäjällä on mahdollista pyytää Palveluun tallennetun tiedon palauttamista 7 vuorokauden ajan tiedon poistamisesta.

3.3     Alihankkijat

Palveluntarjoajalla on oikeus käyttää alihankkijoita Rekisterinpitäjän Henkilötietojen Käsittelyssä. Palveluntarjoaja vastaa alihankkijoiden toimista kuin omistaan ja laatii alihankkijoiden kanssa vastaavat kirjalliset sopimukset Henkilötietojen Käsittelystä.

EU:n tietosuoja-asetuksen astuessa voimaan 25.5.2018 Palveluntarjoaja ei käytä Liitteen mukaisessa toiminnassaan alihankkijaa.

Palveluntarjoaja ilmoittaa muutoksista alihankkijoiden käytössä ja pyydettäessä ilmoittaa Asiakkaalle etukäteen alihankkijoista, joita se aikoo käyttää Sopimuksen mukaiseen Henkilötietojen Käsittelyyn.

3.4     Palveluntarjoajan avustamisvelvollisuus

Palveluntarjoaja ei vastaanota Rekisteröidyiltä Henkilötietojen tarkastamista, oikaisemista, poistamista tai niiden Käsittelyn kieltämistä koskevia pyyntöjä vaan ohjaa ne Asiakkaalle. Asiakkaan velvollisuutena on huolehtia ko. pyyntöihin vastaamisesta. Ottaen huomioon Käsittelytoimen luonteen, Palveluntarjoaja auttaa Asiakasta asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä mahdollisuuksien mukaan täyttämään Rekisterinpitäjän velvollisuuden vastata Rekisteröidyn pyyntöihin.

Palveluntarjoaja on velvollinen, ottaen huomioon Henkilötietojen Käsittelyn luonteen ja sen saatavilla olevat tiedot, auttamaan Rekisterinpitäjää varmistamaan, että sille laissa asetettuja velvollisuuksia noudatetaan. Nämä velvollisuudet voivat käsittää tietoturvallisuutta, tietoturvaloukkauksista ilmoittamista, tietosuojaa koskevaa vaikutustenarviointia ja ennakkokuulemista koskevia velvoitteita.

Ellei toisin sovita, Palveluntarjoajalla on oikeus laskuttaa tämän sopimuskohdan 3.4 mukaisista toimista aiheutuvat kustannukset voimassa olevan hinnastonsa mukaisesti.

Palveluntarjoaja ohjaa kaikki tietosuojaviranomaisten tiedustelut suoraan Asiakkaalle, eikä Palveluntarjoajalla ei ole valtuuksia edustaa Rekisterinpitäjää tai toimia Rekisterinpitäjän puolesta Rekisterinpitäjää valvovien tietosuojaviranomaisten kanssa.

4       henkilötietojen käsittelyalue

Palveluntarjoaja ja sen alihankkijat käsittelevät Henkilötietoja EU-/ETA-alueella.

5       Auditointi

Asiakkaalla tai tämän valtuuttamalla auditoijalla on oikeus auditoida tämän Liitteen mukainen toiminta. Auditoija ei voi olla Palveluntarjoajan kilpailija. auditoinnin ajankohta on sovittava vähintään 30 työpäivää ennen tarkastusta. Tarkastus ei saa haitata tai vaikeuttaa Palveluntarjoajan muille asiakkaille toimittamaa palvelua. Ennen auditointia osapuolet solmivat salassapitositoumuksen.

Asiakas vastaa itselleen ja Palveluntarjoajalle auditoinnista aiheutuvista kustannuksista.

6       Tietoturva

Palveluntarjoaja toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet Rekisterinpitäjän Henkilötietojen suojaamiseksi ottaen huomioon Käsittelyn sisältämät riskit, joita ovat erityisesti siirrettyjen, tallennettujen tai muuten Käsiteltyjen henkilötietojen tahaton tai laiton tuhoaminen, hävittäminen, muuttaminen, luvaton luovuttaminen tai henkilötietoihin pääsy. Suojatoimenpiteiden järjestämisessä otetaan huomioon saatavilla olevat tekniset vaihtoehdot ja niiden kustannukset suhteessa käsillä olevaan tietojenkäsittelyyn liittyviin erityisiin riskeihin sekä Käsiteltävien Henkilötietojen arkaluonteisuuteen.

Palveluntarjoaja varmistaa, että Henkilötietojen Käsittelyyn osallistuva henkilöstö noudattaa asianmukaista salassapitovelvollisuutta.

7         Tietoturvaloukkauksesta ilmoittaminen

Palveluntarjoajan on ilmoitettava Asiakkaalle kaikista Henkilötietoihin kohdistuneista tietoturvaloukkauksista ilman viivettä loukkauksen tultua ilmi.

Asiakkaan pyynnöstä Palveluntarjoajan tulee ilman aiheetonta viivytystä toimittaa Asiakkaalle kaikki asiaankuuluva tietoturvaloukkaukseen liittyvä tieto:

• tapahtunut tietoturvaloukkaus
• mihin tietojoukkoon loukkaus kohdisstuu
• arvio tietoturvaloukkauksen aiheuttamista todennäköisistä seurauksista
• kuvaus suoritetuista korjaavista toimenpiteistä
• kuvaus toimenpiteistä vahinkojen minimoimiseksi

Palveluntarjoaja dokumentoi ja raportoi selvityksen tulokset ja suoritetut toimenpiteet Asiakkaalle.

Rekisterinpitäjä vastaa tarvittavista ilmoituksista tietosuojaviranomaisille.