Leping

ISIKUANDMETE TÖÖTLEMISE LEPING Sotsiaalkindlustusamet (edaspidi Volitaja), registrikood 70001975, asukohaga Endla 8, Tallinn 15092, keda esindab direktor Egon Veermäe, Tervise ja Heaolu Infosüsteemide Keskus (edaspidi TEHIK), registrikood 70009770, asukohaga Uus-Tatari 25, Tallinn 10134, keda esindab direktor Katrin Reinhold ja Nortal AS (edaspidi Volitatud Töötleja), registrikood 10391131, asukohaga aadress Lõõtsa 6c, Tallinn, keda esindab notariaalse volikirja alusel Ats Albre on sõlminud raamlepingu 3-8/179-1 alusel sõlmitud hankelepingu nr 3-9/1470-1 täitmiseks käesoleva isikuandmete töötlemise lepingu (edaspidi Leping): 1. Lepingu ese ja eesmärk 1.1. Lepingu esemeks on Volitaja, TEHIK ja Volitatud Töötleja (edaspidi koos nimetatud kui Pooled) vaheliste tingimuste sätestamine seoses Sotsiaalkaitse Infosüsteemis (SKAIS) sisalduvate isikuandmete töötlemisega. 1.2. Volitatud Töötleja töötleb andmeid hankelepingu nr 3-9/1470-1 täitmiseks, milleks on Volitatud Töötlejal õigus saada juurdepääs Lepingu punktis 2 kirjeldatud isikuandmetele. 1.3. Volitatud Töötleja poolt isikuandmete töötlemine on piiratud punktis 1.2 nimetatud hankelepingu täitmiseks vajalike tegevustega. 2. Töödeldavad isikuandmed ja nende töötlemise tingimused 2.1 Volitatud Töötlejale võivad punktis 1.2 kirjeldatud hankelepingus kokku lepitud tööde teostamise käigus nähtavaks saada SKAIS2 live keskkonnas sisalduvad isikuandmed, seal hulgas eriliigilised isikuandmed. 2.2 Andmete koosseis on kirjeldatud sotsiaalkaitse infosüsteemi põhimääruse § 7 - § 15, seal hulgas: 2.2.1 Isiku üldandmed, sh isikukood, sugu, sünniaeg, perekonna- ja eesnimi, kontaktandmed, isiku surma või surnuks või teadmata kadunuks tunnistamise andmed, elamisloa ja -õiguse ning kodakondsuse andmed, andmed eestkoste või hooldusõiguste kohta ning andmed Eesti Vabariiki saabumise ja sealt lahkumise kohta; 2.2.2 alusandmed isikule riikliku toetuse, pensioni, hüvitise, elatisabi ning teenuse määramise ja maksmise kohta; 2.2.3 andmed isikule riikliku toetuse, pensioni, hüvitise, elatisabi ning teenuse määramise, maksmise, peatamise, lõpetamise või sellest keeldumise ja kinnipidamise kohta; 2.2.4 isiku maksualased andmed; 2.2.5 andmed isiku terviseseisundi ja puude kohta; 2.2.6 andmed isiku töötamise, töölähetuse ja ettevõtlusega tegelemise kohta; 2.2.7 andmed represseeritu tunnistuse, puudega isiku kaardi ja pensionitunnistuse väljastamise kohta 2.2.8 andmed isiku või tema pereliikme puude ja terviseseisundi ja perekonna kohta 2.3 Volitatud Töötleja võib isikuandmeid töödelda ainult õigustatud vajadusest lähtuvalt seoses hankelepingu täitmisega. Töötlemine peab toimuma minimaalses mahus ja jääma konkreetse töötaja ametialase pädevuse piiridesse.  2.4 Volitatud Töötleja ei tohi ilma mõjuva põhjuseta (st otsese Volitaja poolt esitatud vajadusega või hooldustöö käigus ilmneva vajaduseta) isikuandmeid töödelda. Mõjuva põhjuse esinemisel, mis ei ole Volitaja algatatud, kohustub Volitatud Töötleja kooskõlastama isikuandmete täiendava töötlemise vajaduse Volitajaga ja TEHIKuga ning saama konkreetse töötlemistoimingu tegemiseks Volitaja või TEHIKu poolsed kirjalikud juhised. 2.5 Hankelepingu täitmise raames teatavaks saanud isikuandmete mistahes viisil (nii kirjalik kui suuline) teatavakstegemine konkreetse töö ja hankelepingu täitmisega mitteseotud isikutele on keelatud. 2.6 Isikuandmeid töödeldakse viisil, mis tagab isikuandmete piisava turvalisuse, sealhulgas kaitse lubamatu või ebaseadusliku töötlemise ja juhusliku kadumise, hävimise või kahjustumise eest, rakendades selleks vajalikke tehnilisi või korralduslike meetmeid ning tegutsedes isikuandmete kaitse üldmäärusest tulenevate andmesubjektide õiguste alusel. 2.7 Isikuandmete edastamine kolmandatele isikutele on keelatud. 3 Volitatud Töötleja kohustused 3.1 Volitatud Töötleja on kohustatud: 3.1.1 tagama Lepingueelsete läbirääkimiste ja Lepingu täitmise käigus Volitajalt ja TEHIKult ükskõik mis vormis saadud teabe (sh isikuandmed, tehingudokumentatsioon ja know-how) konfidentsiaalsuse ning ei edasta ega võimalda sellele teabele juurdepääsu kolmandatelele isikutele ilma Volitaja sellekohase selgesõnalise kirjaliku nõusolekuta; 3.1.2 tagama, et punktis 2.2 nimetatud isikuandmeid ei edastata väljapoole Euroopa Liidu liikmesriikide ja Euroopa Majandusühendusse kuuluvate riikide territooriumi ilma Volitaja sellekohase selgesõnalise kirjaliku nõusolekuta; 3.1.3 kasutama ja töötlema punktis 2.2 nimetatud isikuandmeid üksnes Lepingu täitmiseks ja Volitaja või TEHIKu dokumenteeritud juhiste alusel, välja arvatud juhul, kui Volitatud Töötleja on kohustatud teavet töötlema Volitatud Töötleja suhtes kohalduva õiguse alusel. Viimati nimetatud juhul teavitab kirjalikult taasesitatavas vormis Volitatud Töötleja Volitajat ja TEHIK´t vastava kohustuse olemasolust enne teabe töötlemist; 3.1.4 võimaldama juurdepääsu punktis 2.2 nimetatud isikuandmetele ainult nendele töötajatele, kellel on selleks oma tööülesannete täitmiseks vajadus ning tagab, et need töötajad tunnevad ja järgivad isikuandmete töötlemise alaseid nõudeid ja õigusakte, nad on saanud asjakohase koolituse eelmainitud nõuete kohta, on võtnud endale konfidentsiaalsuskohustuse; 3.1.5 tagama punktis 3.1.4 nimetatud töötajate puhul Hankelepingu nr 3-9/1470-1 lisa 1 (Hooldustööde osutamise reeglid) punktis 3 kirjeldatud tingimused ja nõuded; 3.1.6 sõlmima punktis 3.1.4 nimetatud töötajatega konfidentsiaalsuskokkulepped punktis 2.2 nimetatud andmete töötlemiseks ja esitama punktis 3.1.4 nimetatud töötajate nimekirja ja konfidentsiaalsuskokkulepped Volitaja nõudmisel Volitajale. 3.1.7 garanteerima punktis 3.1.4 nimetatud töötajate ligipääsu punktis 2.2 nimetatud andmetele üksnes vastavalt teadmisvajadusele juhtumipõhiselt tööde teostamiseks. Tööülesannete muutumise või töölepingu lõppemise korral andma ligipääsude lõpetamiseks vajaliku info Volitajale ja TEHIKule. 3.1.8 täitma kõiki kehtivaid isikuandmete töötlemisalaseid nõudeid, andmete turvalisust puudutavaid ning isikuandmete kaitse alaseid Euroopa Liidu ja Eesti Vabariigi õigusakte ja muid eeskirju; 3.1.9 rakendama alltoodud organisatsioonilisi, füüsilisi ja infotehnilisi turvameetmeid punktis 2.2 nimetatud isikuandmete kaitseks juhusliku või tahtliku volitamata muutmise, juhusliku hävimise ja tahtliku hävitamise eest ning õigustatud isikule andmete kättesaadavuse takistamise eest, volitamata töötlemise, sh avalikustamise eest: 3.1.9.1 vältima kõrvaliste isikute ligipääsu isikuandmete töötlemiseks kasutatavatele seadmetele; 3.1.9.2 ära hoidma andmete omavolilist lugemist, kopeerimist ja muutmist andmetöötlussüsteemis, samuti andmekandjate omavolilist teisaldamist; 3.1.9.3 ära hoidma isikuandmete omavolilist salvestamist, muutmist ja kustutamist ning tagama, et tagantjärele oleks võimalik kindlaks teha, millal, kelle poolt ja milliseid isikuandmeid salvestati, muudeti või kustutati või millal, kelle poolt ja millistele isikuandmetele andmetöötlussüsteemis juurdepääs saadi; 3.1.9.4 tagama, et igal andmetöötlussüsteemi kasutajal oleks juurdepääs ainult temale töötlemiseks lubatud isikuandmetele ja temale lubatud andmetöötluseks; 3.1.9.5 tagama andmete olemasolu isikuandmete edastamise kohta: millal, kellele ja millised isikuandmed edastati, samuti selliste andmete muutusteta säilimise; 3.1.9.6 tagama, et isikuandmete edastamisel andmesidevahenditega ja andmekandjate transportimisel ei toimuks isikuandmete omavolilist lugemist, kopeerimist, muutmist või kustutamist; 3.1.9.7 pidama arvestust isikuandmete töötlemisel kasutatavate tema kontrolli all olevate seadmete ja tarkvara üle, dokumenteerides järgmised andmed: 1) seadme nimetus, tüüp ja asukoht ning seadme valmistaja nimi; 2) tarkvara nimetus, versioon, valmistaja nimi ja kontaktandmed. 3.1.10 teavitama Volitajat ja TEHIK´t toimunud või põhjendatult kahtlustatavast Lepingu punktis 3.1.4. sätestatud konfidentsiaalsuskohustuse rikkumisest viivitamata, kuid hiljemalt kahekümne nelja tunni jooksul alates rikkumise avastamisest; 3.1.11 teavitama Volitajat ja TEHIK´t Lepingu punktides 3.1.9.1.- 3.1.9.7. turvameetmete rikkumisest, mis põhjustab, on põhjustanud või võib põhjustada edastatavate, salvestatud või muul viisil töödeldavate isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu, kirjalikult viivitamata, kuid mitte hiljem kui kakskümmend neli tundi pärast sellest teada saamist. Juhul, kui rikkumisest teadasaamine langeb nädalavahetusele või riiklikule pühale, kohustub Volitatud Töötleja Volitajat kirjalikult teavitama viivitamatult, kuid mitte hiljem kui nelikümmend kaheksa tundi pärast rikkumisest teada saamist. Kirjeldatud teates tuleb vähemalt: 3.1.11.1 kirjeldada isikuandmetega seotud rikkumise laadi, sealhulgas puudutatud andmesubjektide liike ja arvu ning puudutatud kirjete liike ja arvu; 3.1.11.2 teatada andmekaitsespetsialisti või mõne teise täiendavat teavet andva kontaktisiku nimi ja kontaktandmed;  3.1.11.3 soovitada meetmeid isikuandmetega seotud rikkumise võimalike negatiivsete mõjude leevendamiseks; 3.1.11.4 kirjeldada isikuandmetega seotud rikkumise võimalikke tagajärgi; 3.1.11.5 kirjeldada Volitatud Töötleja poolt pakutud või võetud meetmeid isikuandmetega seotud rikkumisega tegelemiseks ja 3.1.11.6 esitada muud teavet, mis on mõistlikult nõutav, et Volitaja saaks täita kohaldatavaid andmekaitse õigusakte, sealhulgas riigiasutustega seotud teavitamise ja avaldamise kohustusi, näiteks teavet, mis on nõutav andmesubjekti tuvastamiseks. 3.1.12 lõpetama punktides 3.1.10. või 3.1.11. nimetatud rikkumise ning kohaldama meetmeid isikuandmetega seotud rikkumise lahendamiseks, sealhulgas vajaduse korral rikkumise võimaliku kahjuliku mõju kõrvaldamiseks ja leevendamiseks; 3.1.13 kustutama Lepingu lõppemisel kõik punktis 2.2 nimetatud isikuandmed ja nimetatute koopiad 30 päeva jooksul, v.a juhul, kui õigusaktidest tuleneb teisiti; 3.1.14 tegema Volitajale ja TEHIKule kättesaadavaks kogu teabe, mida Volitaja peab vajalikuks Lepingus sätestatud kohustuste täitmise tõendamiseks; 3.1.15 Võimaldama Volitajal, TEHIKul ja Volitaja poolt volitatud audiitoril teha auditeid ja kontrolle ning panustama nendesse. Võimalusel teatatakse Volitatud töötlejale auditi/kontrolli toimumisest vähemalt 30 (kolmkümmend) päeva ette ning võimalusel viiakse audit/kontroll läbi tööajal ja viisil, mis häirib võimalikult vähe Volitatud töötleja tavapäraseid äriprotsesse. Kui Volitatud töötlejale kaasneb auditi/kontrolli läbiviimise tõttu põhjendatud kulutusi (nt spetsialistide tööajakulu auditile/kontrollile kaasa aitamisel), lepivad pooled kokku kulutuste kandmises ja mahus. Kokku lepitud kulutused hüvitab Volitaja. 4 Lõppsätted 4.1 Volitatud Töötleja ei või oma lepingujärgseid kohustusi anda üle kolmandale isikule ega kaasata oma Lepingujärgsete kohustuste täitmiseks kolmandat isikut. 4.2 Käesoleva Lepingu punktis 3.1.4. nimetatud kohustus jääb kehtima ka pärast käesoleva Lepingu lõppemist. 4.3 Käesoleva Lepingu punktis 3.1.4. sätestatud konfidentsiaalsuse nõue ei laiene teabe avaldamisele TEHIKule, Volitatud Töötleja audiitorile ja advokaadile. 4.4 Leping on kehtiv Poolte poolt allkirjastamisest kuni punktis 1.2 nimetatud hankelepinguga võetud kohustuste täitmiseni. Volitaja: TEHIK: Volitatud Töötleja: Egon Veermäe Katrin Reinhold Ats Albre /Allkirjastatud digitaalselt/ /Allkirjastatud digitaalselt/ /Allkirjastatud digitaalselt/