Henkilötietojen käsittelysopimus

1        Johdanto

Tämä henkilötietojen käsittelysopimus (”Liite”) on erottamaton osa Louhi Net Oy:n (”Palveluntarjoaja”) ja asiakkaan (”Asiakas”) välillä olevaa sopimusta ja sen mukaisia Yleisiä sopimusehtoja (”Sopimus”).

Tämän Liitteen tarkoituksena on sopia Asiakkaan Henkilötietojen tietosuojasta ja tietoturvasta Palveluntarjoajan palveluissa. Tämä Liite muodostaa osapuolten välille EU:n yleisen tietosuoja-asetuksen (679/2016) mukaisen kirjallisen sopimuksen henkilötietojen käsittelystä. Välittömästi EU:n tietosuoja-asetukseen perustuvat velvollisuudet ja oikeudet tulevat voimaan vasta, kun EU:n tietosuoja-asetuksen soveltaminen alkaa 25.5.2018.

Jos tämän Liitteen ja Sopimuksen henkilötietojen käsittelyä koskevat ehdot ovat ristiriidassa keskenään, osapuolet soveltavat ensisijaisesti tämän Liitteen ehtoja.

2       Määritelmät

Tässä Liitteessä tarkoitetaan EU:n tietosuoja-asetuksen mukaisesti

“Rekisterinpitäjällä” sitä, joka määrittelee Henkilötietojen Käsittelyn tarkoitukset ja keinot ja joka voi olla tässä Liitteessä määritelty Asiakas tai Asiakkaan toimeksiantaja.

“Käsittelijällä” Palveluntarjoajaa, joka Käsittelee Henkilötietoja Rekisterinpitäjän lukuun Sopimuksen perusteella.

“Käsittelyllä” ja ”Käsittelytoimilla” toimintoa tai toimintoja, joita kohdistetaan Henkilötietoihin tai Henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista.

“Henkilötiedoilla” kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ”Rekisteröityyn”, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella.

“Henkilötietojen tietoturvaloukkauksella” tietoturvaloukkausta, jonka seurauksena on siirrettyjen, tallennettujen tai muuten Käsiteltyjen Henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin.

3       Tietosuoja ja Henkilötietojen Käsittely

3.1     Palveluntarjoajan ja Asiakkaan vastuut

Palveluntarjoaja Käsittelee Rekisterinpitäjän Henkilötietoja Rekisterinpitäjän lukuun ja tämän toimeksiannosta Sopimuksen perusteella. Asiakas tai tämän toimeksiantaja on palvelussa Käsiteltävien Henkilötietojen Rekisterinpitäjä ja Palveluntarjoaja Käsittelijä. Osapuolet sitoutuvat noudattamaan Suomessa ja Euroopan unionissa kulloinkin voimassa olevaa Henkilötietojen Käsittelyä koskevaa lainsäädäntöä, asetuksia sekä viranomaisten määräyksiä ja ohjeistuksia ja tarvittaessa muuttamaan tämän Liitteen ehtoja niiden mukaiseksi.

Rekisterinpitäjä on vastuussa siitä, että sillä on tarvittavat oikeudet ja suostumukset Sopimuksen mukaiseen Henkilötietojen Käsittelyyn. Rekisterinpitäjä vastaa tietosuojaselosteen laatimisesta ja saatavilla pidosta sekä Rekisteröityjen informoinnista ja ilmoituksista tietosuojaviranomaisille. Asiakas vastaa Palveluntarjoajalle antamiensa Henkilötietojen oikeellisuudesta.

Rekisterinpitäjällä on oikeus ja velvollisuus määrittää Henkilötietojen Käsittelyn tarkoitus ja keinot. Palveluntarjoaja ei määrittele Asiakkaan Palveluun tallennettujen henkilötietojen tyyppiä ja rekisteröityjen ryhmiä. Tyypillisiä Palveluun tallennettuja henkilötietoja ovat nimi, sähköpostiosoite, postiosoitetiedot, puhelinnumero ja IP-osoite. Asiakkaan vastuulla on ilmoittaa Palveluntarjoajalle, mikäli Palveluun tallennetaan muita henkilötietotyyppejä tai -ryhmiä.

Palveluntarjoajalla on oikeus Käsitellä Rekisterinpitäjän Henkilötietoja ja muita Rekisterinpitäjän tietoja vain Sopimuksen ja tämän Liitteen mukaisesti ja vain siltä osin ja siten kuin on tarpeellista palveluiden toimittamiseksi.

Palveluntarjoaja ylläpitää palvelun kuvausta tai muuta EU:n tietosuoja-asetuksen vaatimaa selostetta palvelussa suoritettavista Käsittelytoimista, mikäli voimassa oleva lainsäädäntö niin edellyttää. Palveluntarjoajalla on oikeus kerätä Sopimuksen mukaisten palvelujen käytöstä anonyymiä ja tilastollista tietoa, joka ei yksilöi Rekisterinpitäjää eikä Rekisteröityjä ja käyttää sitä palvelujensa analysointiin ja kehittämiseen.

3.2     Tietojen poisto/palauttaminen

Sopimuksen päätyttyä Palveluntarjoaja poistaa kaikki Rekisterinpitäjän Palveluun tallennetut Henkilötiedot viimeistään 2 kuukauden kuluttua Sopimuksen päättymisestä, ellei sovellettava lainsäädäntö edellytä Henkilötietojen säilyttämistä. Rekisterinpitäjän on mahdollista pyytää Palveluun tallennettujen tietojen välitöntä poistoa. Rekisterinpitäjällä on mahdollista pyytää Palveluun tallennetun tiedon palauttamista 7 vuorokauden ajan tiedon poistamisesta.

3.3     Alihankkijat

Palveluntarjoajalla on oikeus käyttää alihankkijoita Rekisterinpitäjän Henkilötietojen Käsittelyssä. Palveluntarjoaja vastaa alihankkijoiden toimista kuin omistaan ja laatii alihankkijoiden kanssa vastaavat kirjalliset sopimukset Henkilötietojen Käsittelystä. Palveluntarjoaja ilmoittaa muutoksista alihankkijoiden käytössä ja pyydettäessä ilmoittaa Asiakkaalle etukäteen alihankkijoista, joita se aikoo käyttää Sopimuksen mukaiseen Henkilötietojen Käsittelyyn. Asiakkaalla on perustellusta syystä oikeus vastustaa uuden alihankkijan käyttöä. Jos osapuolet eivät pääse yksimielisyyteen uuden alihankkijan käyttämisestä, Asiakkaalla on oikeus irtisanoa Sopimus kolmenkymmenen (30) päivän irtisanomisajalla siltä osin, kun alihankkijan muutos vaikuttaa Sopimuksen mukaiseen Henkilötietojen Käsittelyyn.

3.4     Palveluntarjoajan avustamisvelvollisuus

Palveluntarjoaja siirtää välittömästi Asiakkaalle kaikki Rekisteröidyiltä saamansa Henkilötietojen tarkastamista, oikaisemista, poistamista tai niiden Käsittelyn kieltämistä koskevat pyynnöt tai muut Rekisteröidyltä saamansa pyynnöt jotka koskevat voimassaolevan lainsäädännön sekä EU:n yleisen tietosuoja-asetuksen mukaisten Rekisteröidyn oikeuksien käyttämistä. Asiakkaan velvollisuutena on huolehtia ko. pyyntöihin vastaamisesta. Ottaen huomioon Käsittelytoimen luonteen, Palveluntarjoaja auttaa Asiakasta asianmukaisilla teknisillä ja organisatorisilla toimenpiteillä mahdollisuuksien mukaan täyttämään Rekisterinpitäjän velvollisuuden vastata Rekisteröidyn pyyntöihin.

Palveluntarjoaja on velvollinen, ottaen huomioon Henkilötietojen Käsittelyn luonteen ja sen saatavilla olevat tiedot, auttamaan Rekisterinpitäjää varmistamaan, että sille laissa asetettuja velvollisuuksia noudatetaan. Nämä velvollisuudet voivat käsittää tietoturvallisuutta, tietoturvaloukkauksista ilmoittamista, tietosuojaa koskevaa vaikutustenarviointia ja ennakkokuulemista koskevia velvoitteita. Palveluntarjoaja on velvollinen avustamaan Rekisterinpitäjää ainoastaan sovellettavan tietosuojalainsäädännön Henkilötiedon Käsittelijälle asettamien velvoitteiden mukaisessa laajuudessa. Ellei toisin sovita, Palveluntarjoajalla on oikeus laskuttaa tämän sopimuskohdan 3.4 mukaisista toimista aiheutuvat kustannukset voimassa olevan hinnastonsa mukaisesti.

Palveluntarjoaja ohjaa kaikki tietosuojaviranomaisten tiedustelut suoraan Asiakkaalle, eikä Palveluntarjoajalla ei ole valtuuksia edustaa Rekisterinpitäjää tai toimia Rekisterinpitäjän puolesta Rekisterinpitäjää valvovien tietosuojaviranomaisten kanssa.

4       Käsittely EU:n / ETA:n ulkopuolella

Palveluntarjoaja ja sen alihankkijat saattavat käsitellä Henkilötietoja EU-/ETA-alueen ulkopuolella.

Sikäli kuin Palveluntarjoaja ja/tai sen alihankkija käsittelee henkilötietoja EU-/ETA-alueen ulkopuolella, Palveluntarjoaja huolehtii, että EU:n tietosuojavakiolausekkeet 2010/87/EU henkilötietojen siirrosta EU:n/ETA-alueen ulkopuolelle tai Asetuksen hyväksymä vastaava oikeudellinen suoja soveltuvat tällaiseen siirtoon tai Käsittelyyn. Asiakas täten myöntää valtakirjan Palveluntarjoajalle, jotta Palveluntarjoaja voi sitoutua tällaisiin mallisopimuslausekkeisiin Asiakkaan nimissä ja Asiakkaan lukuun. Edelleen, Asiakas nimenomaisesti hyväksyy Palveluntarjoajan myös edustamaan kyseessä olevaa alihankkijaa sitoutuessaan tietosuojavakiolausekkeisiin.

5       Auditointi

Asiakkaalla tai tämän valtuuttamalla auditoijalla (ei kuitenkaan Palveluntarjoajan kilpailija) on oikeus auditoida tämän Liitteen alainen toiminta. Sopijapuolet sopivat auditoinnin ajankohdasta ja muista yksityiskohdista hyvissä ajoin ja vähintään 14 työpäivää ennen tarkastusta. Auditointi tulee suorittaa tavalla, joka ei haittaa Palveluntarjoajan ja sen alihankkijoiden sitoumuksia kolmansiin osapuoliin nähden. Asiakkaan edustajien ja auditoijan on allekirjoitettava tavanomaiset salassapitositoumukset.

Asiakas vastaa itselleen ja Palveluntarjoajalle auditoinnista aiheutuvista kustannuksista.

6       Tietoturva

Palveluntarjoaja toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet Rekisterinpitäjän Henkilötietojen suojaamiseksi ottaen huomioon Käsittelyn sisältämät riskit, joita ovat erityisesti siirrettyjen, tallennettujen tai muuten Käsiteltyjen henkilötietojen tahaton tai laiton tuhoaminen, hävittäminen, muuttaminen, luvaton luovuttaminen tai henkilötietoihin pääsy. Suojatoimenpiteiden järjestämisessä otetaan huomioon saatavilla olevat tekniset vaihtoehdot ja niiden kustannukset suhteessa käsillä olevaan tietojenkäsittelyyn liittyviin erityisiin riskeihin sekä Käsiteltävien Henkilötietojen arkaluonteisuuteen.

Asiakas on velvollinen varmistamaan, että Palveluntarjoajalle tiedotetaan kaikista niistä Rekisterinpitäjän toimittamiin Henkilötietoihin liittyvistä seikoista, kuten riskiarvioinneista sekä erityisten henkilöryhmien käsittelystä, jotka vaikuttavat tämän Liitteen mukaisiin teknisiin ja organisatorisiin toimenpiteisiin. Palveluntarjoaja varmistaa, että Henkilötietojen Käsittelyyn osallistuva Palveluntarjoajan tai Palveluntarjoajan käyttämän alihankkijan henkilöstö noudattaa asianmukaista salassapitovelvollisuutta.

7         Tietoturvaloukkauksesta ilmoittaminen

Palveluntarjoajan on ilmoitettava Asiakkaalle kaikista Henkilötietoihin kohdistuneista tietoturvaloukkauksista ilman aiheetonta viivytystä loukkauksesta tiedon saatuaan tai kun Palveluntarjoajan käyttämä alihankkija on saanut loukkauksen tietoonsa.

Asiakkaan pyynnöstä Palveluntarjoajan tulee ilman aiheetonta viivytystä toimittaa Asiakkaalle kaikki asiaankuuluva tietoturvaloukkaukseen liittyvä tieto. Siltä osin kuin kyseinen tieto on Palveluntarjoajan saatavilla, Palveluntarjoajan on Asiakkaalle tehtävässä ilmoituksessa kuvattava vähintään:

• tapahtunut tietoturvaloukkaus,
• mahdollisuuksien mukaan rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja arvoidut lukumäärät,
• kuvaus tietoturvaloukkauksen aiheuttamista todennäköisistä seurauksista, ja
• kuvaus korjaavista toimenpiteistä, jotka Palveluntarjoaja on suorittanut tai tulee suorittamaan tietoturvaloukkausten ennaltaehkäisemiseksi jatkossa, sekä tarvittaessa myös toimenpiteet mahdollisten tietoturvaloukkauksen haittavaikutusten minimoimiseksi.

Palveluntarjoaja dokumentoi ja raportoi selvityksen tulokset ja suoritetut toimenpiteet Asiakkaalle.

Rekisterinpitäjä vastaa tarvittavista ilmoituksista tietosuojaviranomaisille.

8       Muut ehdot

Jos henkilölle aiheutuu EU:n tietosuoja-asetuksen tai Liitteen loukkauksista aineellista tai aineetonta vahinkoa, Palveluntarjoaja on vastuussa vahingosta vain siltä osin, kuin se ei ole noudattanut nimenomaisesti sille osoitettuja EU:n tietosuoja-asetuksen tai tämän Liitteen velvoitteita.

Kumpikin osapuoli on velvollinen maksamaan määrätyistä vahingonkorvauksista ja hallinnollista sakoista vain sen osan, joka vastaa sille tietosuojavalvontaviranomaisen tai tuomioistuimen lainvoimaisessa päätöksessä vahvistettua vastuuta vahingosta. Osapuolten vastuu on joka tapauksessa rajoitettu kuten Sopimuksessa määritelty.

Palveluntarjoaja tiedottaa Asiakasta kirjallisesti kaikista muutoksista, jotka saattavat vaikuttaa sen kykyyn tai mahdollisuuksiin noudattaa tätä Liitettä.

Tämä Liite on voimassa (i) Sopimuksen voimassaolon mukaisesti tai (ii) osapuolilla on Henkilötietojen Käsittelytoimiin perustuvia velvoitteita toisiaan kohtaan.

Velvoitteet, joiden on niiden luonteen vuoksi tarkoitus säilyä voimassa tämän Liitteen voimassaolon päättymisestä riippumatta, jäävät voimaan Liitteen päättymisen jälkeen.