Tietosuojaliite

DPA-SOPIMUKSEN TIETOSUOJALIITE

Päivityshistoria

22.5.2018 J.S. – tietosuojaliitteen laadinta

Asiakkaan valtuuttama tekninen yhteyshenkilö: Juha Siirtola, siirtola@gest.fi , 0503022731

Liitteen tarkoitus

Tämä tietosuojaliite liittyy asiakkaan ja toimittajan väliseen DPA-sopimukseen (Data Processing Agreement).

Toimittajalla on oikeus muuttaa näitä ehtoja, mikäli se lainsäädännössä tai sen tulkinnassa tapahtuneen muutoksen tai Toimittajan toimintaympäristössä tai liiketoiminnassa tapahtuneiden muutosten vuoksi on perusteltua.

Tietojenkäsittelyn tarkoitus ja perustelut

Toimittaja käsittelee sopimuksen perusteella henkilötiedon käsittelijänä varsinaisena rekisterinpitäjänä toimivan Asiakkaan lukuun, määrittämässä tarkoituksessa ja ohjeistuksen mukaisesti tässä liitteessä määritettyjä Henkilötietoja ja niistä muodostuvaa henkilörekisteriä. Henkilörekisterin tarkoituksena on mahdollistaa:

1) asiakkaan tuottamiin tapahtumiin henkilöiden tietojen kerääminen tapahtuman toteuttamisen edellyttämässä laajuudessa

2) erilaisten kyselyiden tuottamien tietojen käsittely

3) edellä mainittujen tietojen muu analysointi, kokoaminen ja keräys asiakkaan määrittämässä lain hyväksymässä tarkoituksessa

Henkilötietojen sisältö (rekisteröityjen ryhmät ja henkilötietojen tyypit)

Asiakas määrittää kuhunkin toimenpiteesen liittyen mitä tietoja kerätään. Toimittaja kerää ja säilyttää kuhunkin toimenpiteeseen liittyen käsittelyn kohteena olevat asiakkaan määrittämät ja asiakkaan käsittelytoimista laatiman tietosuojaselosteen mukaiset kustakin henkilöstä ilmoitetut tiedot. Tietoja voivat olla esimerkiksi:

– Tunnistetiedot, nimi ja yhteystiedot, tiedot koulutuksesta ja osaamisesta, terveydentilasta ja perhetilanteesta, henkilötunnukset, sekä muut osallistumiseen, rekisteröitymiseen, rekrytointiin ja maksamiseen liittyvät tiedot

Tietoja säilytetään toimittajan verkkopalvelussa. Ellei esimerkiksi maksunvälittämiseen tai muuhun syyhyn liittyen toimittajan oikeutetun edun toteuttamiseksi tai lain velvoittamana jotakin henkilötietoa ole välttämätöntä säilyttää pidempään, henkilötiedot poistetaan viimeistään, kun asiakas niin edellyttää tai kun sopimus lakkaa olemasta voimassa. Toimittaja palauttaa asiakkaalle, kaikki henkilötiedot mikäli saa sitä koskevan pyynnön ennen kuin tiedot on tämän edellä lausutun mukaisesti poistettu. Toimittaja saa käsittelyn aikana ja sen päätyttyä säilyttää ja käyttää hyväksi henkilötiedoista anonymisoimalla syntyneitä tietoja toimintansa ja tuotteidensa kehittämisessä. Anonymisoinnilla tarkoitetaan tietojen muokkaamista siten, ettei niistä voida millään toimenpiteillä enää tunnistaa henkilöitä.

Joskus voi tulla tilanne, että henkilötietoja joudutaan siirtämään väliaikaisesti toimittajan koneelle esim. markkinointitoimenpiteiden tekemistä varten, varmuuskopioiden tai koko tietokanta ongelmien tutkimista varten. Tiedot pitää poistaa toimittajan koneelta välittömästi työn päättymisen jälkeen, mikäli ne sisältävät tunnistettavissa olevia henkilötietoja.

Asiakas vastaa tietojen poistamisesta rekistereistä tai arkistoinnista säilytysaikojen puitteissa. Toimittaja on velvollinen huolehtimaan omalta osaltaan samojen velvoitteiden täyttymisestä, noudattamalla tässä liitteessä annettuja ohjeita.

Tietoturva

Asiakas vastaa omien tai tilaamiensa järjestelmien tietoturvasta ja vastaavasti toimittaja omistaan. Molempien osapuolien pitää ottaa huomioon tietoturvassaan henkilötietojen arkaluontoisuus sekä niihin liittyvä riskitaso.

Toimittaja vastaa siitä, että sen henkilötietojen käsittelyyn liittyvään toimintaan sovelletaan asianmukaisia riskienhallinta- ja tietoturvaprosesseja.
Toimittaja on velvollinen toteuttamaan tietosuojalainsäädännön ja tämän sopimuksen määräämät riittävät tekniset ja organisatoriset suojatoimenpiteet käsittelemiensä tietojen/henkilötietojen suojaamiseksi.
Molempien osapuolien pitää ottaa huomioon tietoturvassaan henkilötietojen arkaluontoisuus sekä niihin liittyvä riskitaso.

Rekisterinpitäjään tukevat toimenpiteet, joilla turvataan rekisteröidyn oikeuksien toteutuminen

Toimittaja auttaa tarjoamillaan teknisillä rajapinnoilla asiakasta täyttämään rekisterinpitäjän velvollisuuden vastata pyyntöihin, jotka koskevat rekisteröidyn oikeuksien käyttämistä sekä auttaa rekisterinpitäjää varmistamaan, että ottaen huomioon henkilötiedon luonteen, käsittelyn turvallisuus on asianmukaisesti hoidettu. Tähän on listattu oleellisimmat toimenpiteet

Asiakas on vastuussa tietoturvaloukkauksen ilmoittamisesta (viranomaisille ja/tai rekisteröidylle).
Toimittaja on velvollinen ilmoittamaan asiakkaalle tietoonsa tulleista tietoturvauhkista tai –loukkauksista. Tämä on tehtävä välittömästi.
Asiakas on velvollinen ilmoittamaan toimittajalle tietoonsa tulleista tietoturvauhkista, jotka liittyvät toimittajaan tietojen käsittelijänä. Tämä on tehtävä välittömästi.
Asiakas on velvollinen ilmoittamaan toimittajalle etukäteen muutoksista, jotka voivat vaikuttaa toimittajan ja asiakkaan väliseen tietojenkäsittelyyn.
Toimittajan on autettava asiakasta tietoturvaloukkauksen ilmoittamisesta (vaatii asiakkaan toimeksiannon).
Toimittaja on velvollinen avustamaan asiakasta tietosuojaa koskevassa vaikutusten arvioinnissa (esim. lokitietojen selvittely ja viranomaistahoille kerättävään informaatioon tai dokumentointiin). Toimittaja on oikeutettu laskuttamaan selvittelystä aiheutuvat ylimääräiset kulut.
Toimittaja ei saa antaa mitään tietoja suoraan (rekisteröidyille tai viranomaisille) ilman asiakkaan toimeksiantoa tai oikeuden päätöstä.

Asiakas vastaa siitä, että sillä on oikeus ja tarvittavat suostumukset henkilötietojen käsittelyyn. Asiakas vastaa rekisteröidyn henkilön iän varmentamisesta. Asiakas vastaa käsittelytoimiin liittyvän selosteen laatimisesta ja saatavilla pidosta sekä rekisteröityjen informoinnista. Toimittaja vastaa siitä, että se käsittelee Henkilötietoja asianmukaisia tietoturvaprosesseja noudattaen ainoastaan voimassa olevan lainsäädännön, Asiakkaan tässä Sopimuksessa vahvistamien kirjallisten ohjeiden sekä Asiakkaan GEST -järjestelmään tekemien määritysten mukaisesti.

Salassapitoehto ja käsittelyn suorittajat

Henkilötietoja on aina käsiteltävä luottamuksellisina ja salassa pidettävinä, riippumatta siitä onko osapuolten välillä voimassa olevaa erillistä salassapitosopimusta.

Toimittaja vastaa siitä, että henkilötietoja käsittelevät ainoastaan henkilöt, jotka ovat sitoutuneet pitämään käsittelemänsä tiedot salassa. Asiakas suostuu siihen, että henkilötietoja käsitellään toimittajan harkinnan mukaisesti muidenkin kuin toimittajan ja sen henkilöstön toimesta. Mikäli tietoja käsitellään tällaisen kolmannen osapuolen toimesta, toimittaja vastaa siitä, että kyseinen taho sitoutuu tämän tietosuojaliitteen mukaisiin toimittajaa koskeviin vastuisiin.