Sopimus henkilötietojen käsittelystä (DPA / GDPR)

SOPIMUS HENKILÖTIETOJEN KÄSITTELYSTÄ

[Yritys voi ulkoistaa henkilötietojen käsittelyn toimittajalle. Tietosuoja-asetus määrä, että tällaisesta henkilötietojen käsittelyn ulkoistuksesta tulee sopia kirjallisella sopimuksella.

Ulkoistettuja palveluita ovat esimerkiksi

tilitoimisto, joka maksaa työntekijöiden palkat

IT-tuki, jolla on pääsy henkilötietoihin.

Näissä tilanteissa henkilötietojen katsotaan siirtyvän niin sanotulle henkilötietojen käsittelijälle eli sille palveluntarjoajalle, joka käsittelee henkilötietoja rekisterinpitäjän puolesta.]

Määritelmät

Henkilötieto on luonnollista henkilöä (jäljempänä ”rekisteröity”) tai hänen ominaisuuksiaan kuvaava tieto, joka voidaan yhdistää hänen perheeseensä tai hänen kanssaan yhteisessä taloudessa eläviin henkilöihin. Kyse voi olla esimerkiksi asiakkaiden, työntekijöiden tai yrityskontaktien henkilötiedoista, kuten nimestä, osoitteesta, puhelinnumerosta tai mistä tahansa muusta tiedosta, jonka voi liittää tiettyyn henkilöön.

Henkilötietojen käsittelijällä tarkoitetaan henkilöä, yritystä, organisaatiota, viranomaista tai virastoa, joka käsittelee henkilötietoja rekisterinpitäjän lukuun. Henkilötiedon käsittelijästä käytetään tässä sopimuksessa termiä Toimittaja.

Käsittely on henkilötietoja koskevaa toimintaa, kuten keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista, muuttamista tai käyttämistä.

Rekisteröity tarkoittaa henkilöä, jonka tietoja on tallennettu rekisteriin.

Rekisterinpitäjä on henkilö, yritys tai organisaatio, joka luovuttaa henkilötietoja, ja joka määrittelee henkilötietojen käsittelyn tarkoitukset tai keinot. Rekisterinpitäjästä käytetään tässä sopimuksessa termiä Asiakas.

Tietosuojalainsäädännöllä tarkoitetaan Euroopan unionin yleistä tietosuoja-asetusta (679/2016) ja muita tietosuojasäännöksiä sekä tietosuojaviranomaisen ohjeita, neuvoja tai määräyksiä.

Osapuolet

Asiakas

Nimi: [yrityksen nimi]

Y-tunnus: [yrityksen y-tunnus]

Yhteystiedot:[yrityksen yhteystiedot]

Toimittaja

Nimi: [yrityksen nimi]

Y-tunnus: [yrityksen y-tunnus]

Yhteystiedot:[yrityksen yhteystiedot]

Henkilötietojen käsittelyn luonne ja tarkoitus

Tällä sopimuksella Toimittaja käsittelee henkilötietoja Asiakkaan lukuun, sopijapuolten välisen sopimuksen perusteella.

Tällä sopimuksella Osapuolet sopivat tarkemmin niistä periaatteista ja ehdoista, joilla Toimittaja käsittelee henkilötietoja Asiakkaan lukuun.

Tämä sopimus on osa Osapuolten välistä sopimusta (jäljempänä "Pääsopimus") ja muodostaa Pääsopimuksen liitteen.

Tähän sopimukseen sovelletaan Pääsopimuksen ehtoja niiltä osin kuin tässä sopimuksessa ei ole muuta sovittu. Mikäli tämän sopimuksen ja Pääsopimuksen välillä ilmenee ristiriita, sovelletaan henkilötietojen käsittelyn osalta ensisijaisesti tätä sopimusta.

Käsiteltävät henkilötiedot

[Sopimukseen tulee yksilöidä käsiteltävät henkilötiedot esim. työntekijöiden tiedot ja millaisia tietoja ulkoistus koskee, esim. palkanmaksutiedot]

Sitoutuminen rekisterinpitäjän ohjeisiin

[Kuvaa tähän, kuinka henkilötietojen käsittelijä sitoutuu henkilötietojen käsittelyssä rekisterinpitäjän ohjeisiin ja sopimusehtoihin.]

Toimittaja sitoutuu käsittelemään henkilötietoja Asiakkaan ohjeiden ja sopimusehtojen mukaan.

Asiakkaalla on oikeus antaa Toimittajalle sitovia kirjallisia ohjeita henkilötietojen käsittelystä. Toimittaja käsittelee henkilötietojen tietosuojalainsäädännön ja Asiakkaan Toimittajalle toimittamien kirjallisten ohjeiden mukaisesti. Toimittaja ilmoittaa Asiakkaalle välittömästi, jos Toimittaja katsoo, että Asiakkaan ohjeistus rikkoo tietosuojalainsäädäntöä.

Tietoturva

[Toimittajan on sitouduttava sopimuksessa toteuttamaan turvatoimia henkilötietojen suojaamiseksi. Kyse voi olla teknisistä toimista, kuten tietokoneiden virustorjunnasta ja palomuureista, toimitilojen kulunvalvonnasta, tai organisatorisista toimista, kuten riittävistä ja asiantuntevista resursseista. Toimittajan tulee ilmoittaa ja tiedottaa Asiakkaalle tietoturvaloukkauksista, esimerkiksi jos Asiakkaan tietojärjestelmiin tehdään tietomurto tai joku fyysisesti murtautuu Toimittajan tiloihin. Tietoturvaloukkaus voi olla kyseessä myös, jos tietoa häviää tai katoaa.]

Toimittaja sitoutuu toteuttamaan riittävät tietoturvatoimet henkilötietojen turvaamiseksi. Toimittaja sitoutuu ylläpitämään tietoturvaa käyttämällä tietokoneissa virustorjuntaa ja palomuureja sekä ylläpitämään toimitilojen kulunvalvontaa. Toimittaja sitoutuu myös ylläpitämään riittäviä ja asiantuntevia resursseja, jotta henkilötietoja käsitellään tietoturvallisesti.

Toimittajan tulee ilmoittaa Asiakkaalle ilman aiheetonta viivytystä kirjallisesti henkilötietoihin kohdistuneista tietoturvaloukkauksista tai muista tapahtumista, joiden perusteella henkilötietojen turvallisuus on vaarantunut tai Toimittajan on syytä uskoa, että tietoturva on saattanut vaarantua.

Toimittajan tulee ilmoittaa myös kaikista tietoturvaloukkauksen johdosta tehdyistä toimenpiteistä. Toimittajan tulee ilmoittaa tietoturvaloukkauksesta Asiakkaalle vähintään seuraavat seikat:

kuvaus tietoturvaloukkauksen luonteesta

tietoturvaloukkauksen kohteena olevien henkilötiedot

tietoturvaloukkauksen kohteen kuvaus ja sen vaikutuksenalaisten henkilöiden lukumäärä

Toimittajan kuvaus korjaavista toimenpiteistä tietoturvaloukkausten ehkäisemiseksi tulevaisuudessa

kuvaus tietoturvaloukkauksen aiheuttamista seurauksista

kuvaus Toimittajan suorittamista toimista tietosuojaloukkauksen minimoimiseksi.

Toimittajan tulee dokumentoida kaikki tietoturvaloukkaukset, niiden vaikutukset sekä korjaavat toimenpiteet.

Salassapito

[Sopimuksessa tulee varmistaa, että henkilötietojen käsittelyyn oikeutetut henkilöt, kuten Toimittajan työntekijät, ovat sitoutuneet noudattamaan salassapitovelvollisuutta.]

Toimittajan työntekijät, jotka ovat oikeutettuja henkilötietojen käsittelyyn, allekirjoittavat salassapitosopimukset, elleivät ole jo niin tehneet, ja siten sitoutuvat noudattamaan salassapitovelvollisuutta. Lisäksi Toimittaja vakuuttaa, että henkilötietoja käsitellään ainoastaan työtehtävien yhteydessä sovitussa käyttötarkoituksessa.

Avustamisvelvollisuus ja tiedonantovelvollisuus

[Sopimuksessa tulee sopia, että käsittelijän on autettava rekisterinpitäjää täyttämään tämän yksilöiden oikeuksiin liittyvät velvollisuudet. Rekisteröidyillä on lukuisia oikeuksia, kuten oikeus saada pääsy itseään koskeviin henkilötietoihin ja saada virheelliset tiedot oikaistuiksi. Toimittajan on saatettava Asiakkaan saataville kaikki sellaiset tiedot, jotka ovat tarpeen, jotta voidaan osoittaa rekisterinpitäjän toimineen oikein.]

Toimittajan tulee ilman viivytystä Asiakkaan pyynnöstä tarjota asiakkaalle kaikki sellaiset tiedot, sisältäen pääsyoikeudet, jotka vaaditaan rekisteröityjen oikeuksien turvaamiseksi tai noudattaakseen tietosuojaviranomaisten vaatimuksia. Toimittaja tulee ilmoittaa Asiakkaalle viipymättä tietosuojaviranomaisen tai muun viranomaisten vaatimuksista tai tiedusteluista. Toimittajalla on oikeus veloittaa näistä tehtävistä Osapuolten Pääsopimuksen mukaisesti tai, jos hintaa ei ole sovittu, toimittajan yleisen hinnaston mukaisesti.

Toimittajan omat alihankkijat

[Sopimuksessa tulee sopia, tarvitseeko Toimittaja Asiakkaalta suostumuksen toisen käsittelijän, eli Toimittajan oman alihankkijan, ottamiseksi osaksi tietojenkäsittelyä vai riittääkö jälkikäteinen ilmoitus ja Asiakkaan vastustamismahdollisuus. Jos Asiakas ei hyväksy alihankkijan vaihtamista tai lisäämistä, voi Toimittaja irtisanoa sopimuksen.]

Toimittajalla on oikeus käyttää alihankkijoita henkilötietojen käsittelijöinä. Jokaisesta alihankinnasta tulee olla kirjallinen sopimus, jossa alihankkijan tulee noudattaa samoja velvollisuuksia ja sitoumuksia kuin tässä sopimuksessa ja tietosuojalainsäädännössä. Kirjallisen sopimuksen tulee myös antaa alihankkijaa kohtaan samat oikeudet kuin Asiakkaalla on Toimittajaa kohtaan.

Toimittaja ilmoittaa Asiakkaalle käyttämistään alihankkijoista kirjallisesti

ilman aiheetonta viivytystä. Asiakas voi vastustaa alihankkijan vaihtamista tai lisäämistä, jolloin Toimittajalla on oikeus irtisanoa sopimus 30 päivän irtisanomisajalla.

Toimittaja vastaa omien alihankkijoidensa toimista ja tämän sopimuksen tai tietosuojalainsäädännön laiminlyönneistä suhteessa asiakkaaseen.

Auditointioikeus

[Asiakkaalla on oikeus tarkastaa, että Toimittaja tai tämän alihankkija käsittelevät henkilötietoja siten kuin on sovittu.]

Asiakkaalla tai tämän valtuuttamallaan auditoijalla on oikeus tarkastaa Toimittajan tai tämän käyttämien alihankkijoiden henkilötietojen käsittelyn velvollisuuksien noudattaminen. Toimittajan on sallittava rekisterinpitäjän tai muun sen valtuuttaman auditoijan suorittamat auditoinnit ja osallistuttava niihin. Osapuolet vastaavat kukin itse omista tarkastuksen aiheuttamista kuluista.

Henkilötietojen sijainti

[Tällä sopimuksen kohdalla tarkoitetaan sitä, että Toimittaja voi säilyttää tai siirrellä digitaalisesti käsittelemiään henkilötietoja valitsemallaan palvelimella, joka voi sijaita EU tai ETA:n alueella. Jos henkilötietoja siirretään palvelimelle, joka sijaitsee EU:n tai ETA:n ulkopuolella, tulee huomioida riittävät turvatoimet henkilötietojen käsittelyn turvaamiseksi.]

Toimittajalla on oikeus siirtää henkilötietoja vapaasti Euroopan unionin tai Euroopan talousalueen sisällä. Tietoja on oikeus siirtää myös Euroopan unionin tai Euroopan talousalueen ulkopuolelle siten, että tietosuojalainsäädäntöä noudatetaan ja riittävät turvatoimet otetaan huomioon henkilötietojen käsittelyn turvaamiseksi. Asiakkaalla on oikeus saada milloin tahansa tiedot tietojen käsittelyn sijainnista.

Tietojen poistaminen

Toimittaja ei saa sopimuksen aikana poistaa käsiteltäviä henkilötietoja ilman asiakkaan pyyntöä.

Sopimuksen päätyttyä Toimittaja poistaa kaikki sopimuksenmukaiset henkilötiedot tai palauttaa ne asiakkaalle sekä poistaa kaikki kopiot niistä. Jos Asiakas ei sopimuksen päätyttyä pyydä poistamaan henkilötietoja, tulee Toimittajan säilyttää niitä kuusi (6) kuukautta ennen kuin poistaa ne, ellei lainsäädännöstä muuta johdu.

Vahingonkorvausvastuu

[Tarkista, ettei tämän sopimuksen vahingonkorvausvelvollisuus ole ristiriidassa pääsopimuksen kanssa.]

Osapuoli on velvollinen korvaamaan toiselle Osapuolelle tämän sopimuksen rikkomisen johdosta aiheuttamansa välittömät vahingot.

Allekirjoitukset

Tämä sopimus tulee voimaan, kun molemmat Osapuolet ovat allekirjoittaneet sen. Sopimus päättyy automaattisesti Pääsopimuksen päättyessä.

[Paikka ja aika]

__________________________

_______________________________

Luovuttajan edustajan nimi

Luovutuksen saajan edustajan nimi