Suomi.fi-valtuuksien käyttöehdot

Sisällys:

• 1 Yleistä
• 2 Määritelmät
• 3 Palvelun kuvaus
• 4 Muutokset Palvelussa ja sen ehdoissa
• 5 Palvelun käyttöönottto
• 5.1 Palveluun rekisteröityminen ja hyväksyminen
• 5.2 Palveluun liittyminen, testaaminen ja käytön aloittaminen
• 6 Palvelun osapuolet ja niiden tehtävät
• 6.1 Palvelun osapuolet
• 6.2 Palvelutuottajan oikeudet ja velvoitteet
• 6.3 Asiakasorganisaation oikeudet ja velvoitteet
• 7 Tietojen käsittely ja yksityisyyden suoja
• 7.1 Henkilötietotojen ja muiden tietojen käsittely ja yksityisyyden suoja
• 7.2 Rekisterinpitäjyyden tuomat vastuut Palveluntuottajalle, Asiakasorganisaatiolle sekä Loppukäyttäjälle
• 7.3 Evästeet
• 8 Asiakasorganisaation oikeus käyttää Palvelua ja sen sisältämää materiaalia
• 9 Palvelun maksullisuus ja kustannustenjako
• 10 Palvelun saatavuus
• 11 Palvelun keskeytyksistä ja virhetilanteista ilmoittaminen
• 12 Palveluntuottajan oikeus estää Palvelun käyttö
• 13 Tietoturva ja siihen liittyvät vaatimukset
• 14 Palvelutuottajan vastuu ja vastuunrajoitus
• 15 Vahingonkorvausvelvollisuus
• 16 Ylivoimainen este
• 17 Seuranta ja valvonta
• 18 Palvelun auditointi
• 19 Oikeuksien ja velvollisuuksien siirtäminen
• 20 Palvelun päättäminen
• 21 Sovellettava laki ja erimielisyyksien ratkaiseminen

Tiivistelmä:

• Puolesta-asioija on tunnistettava luotettavasti. Sähköisessä asiointipalvelussa ensisijainen tapa on vahva sähköinen tunnistaminen.
• Puolesta-asiointioikeus on tarkistettava reaaliaikaisesti jokaista käyttötarvetta varten. Aiemman tarkistuksen vastausta ei saa uusiokäyttää asiointioikeuden perusteena, eikä tarkistuksia saa tehdä säännöllisenä eräajona.
• Asiointipalvelun on varmistettava, ettei asiointi ylitä valtuusasian toimivaltaa, jottei valtuuden antajan oikeuksia rikota.
• Sääntömoottorin säännöt on pidettävä ajan tasalla palvelun muuttuessa.
• Puolesta-asiointitapahtuma on lokitettava niin, että osapuolet, asia, ajankohta ja lopputulos voidaan selvittää. Lokille tallennetaan myös kyselyn requestId ja vastaustiedot. Tapahtumat säilytetään pääsääntöisesti vähintään viisi vuotta.
• Asiakasohjeessa on kerrottava selkeästi puolesta asioinnin edellytykset, mahdollisuudet ja rajoitukset sekä oman asiointipalvelun asiakaspalvelun yhteystiedot.

1 Yleistä

Näitä käyttöehtoja sovelletaan Digi- ja väestötietoviraston (DVV) tuottamaan sähköisen asioinnin tukipalveluun, Suomi.fi-valtuuksiin, jäljempänä Palvelu. Suomi.fi-valtuudet tarjoaa Asiakasorganisaatioille henkilön toimintakelpoisuutta ja toimivaltaa tai muuta tahdonilmaisua koskevan tiedon, joka mahdollistaa Loppukäyttäjän asioinnin henkilön tai organisaation puolesta Asiakasorganisaation Asiointipalvelussa.

Palvelua käyttävän Asiakasorganisaation on hyväksyttävä nämä käyttöehdot itseään sitoviksi voidakseen käyttää Palvelua. Näitä käyttöehtoja ei sovelleta Suomi.fi-valtuuksien Virkailijavaltuuttamispalveluun, johon osallistuvan Avustavan organisaation on solmittava erillinen sopimus.

Näiden ehtojen hyväksyminen ei poista Asiakasorganisaation tarvetta sitoutua erikseen väestötietojärjestelmän tietojen käyttöä ja suojausta koskeviin ehtoihin, mikä tapahtuu hyväksymällä nämä ehdot osana Palvelun käyttölupahakemusta. Näiden ehtojen hyväksyminen ei poista myöskään Asiakasorganisaation velvollisuutta hyväksyä lisäksi muut erityisehdot, jotka Palvelutuottaja ja Tiedontuottaja mahdollisesti asettavat, kuten tietoturvaan ja / tai tietosuojaan liittyvien vaatimusten toteuttaminen. Palvelussa hyödynnetään eri viranomaisrekistereistä, kuten väestötietojärjestelmä ja kaupparekisteri, ja muista rekistereistä haettuja sekä Tunnistusvälineen tuottajien Tunnistuspalvelun välittämiä tietoja.

Näiden ehtojen hyväksymisen lisäksi Asiakasorganisaation voi olla tarve hakea erillistä lupaa tai tehdä erillinen sopimus tai vastaava tilanteessa, jossa Asiointipalvelussa halutaan puolesta-asiointioikeuden tarkistuksessa hyödyntää Palvelun tarjoamaa tietolähdettä, jonka hyödyntäminen edellyttää erillistä sopimista. Käytännössä tämä voi tarkoittaa esimerkiksi sellaisen tietolähteen hyödyntämistä, josta tietojen luovutus on maksullista tai erityisehtojen alaista. Lähtökohtaisesti tällaisessa tilanteessa pyritään liittämään sopimus tai erityisehdot osaksi Palvelun käyttöehtoja tai käyttölupamenettelyä tai vastaavaa.

2 Määritelmät

Asiakasorganisaatio tarkoittaa Palvelua käyttävää ja hyödyntävää organisaatiota. Asiakasorganisaatio tarkoittaa tukipalvelulain mukaista Asiakasorganisaatiota.

Asiointipalvelu tarkoittaa Palveluun liitettyä Asiakasorganisaation sähköistä asiointipalvelua tai muuta tapaa, esimerkiksi puhelin- tai käyntiasiointi, jolla asiointi on mahdollistettu tai jolla puolesta-asiointioikeus tarkistetaan.

Avustavalla organisaatiolla tarkoitetaan organisaatiota, joka tarjoaa Virkailijavaltuuttamispalvelua Palvelutuottajan lukuun ja joka on julkisen hallinnon yhteispalvelusta annetussa laissa (223/2007) tarkoitettu organisaatio.

Hallintaliittymä tarkoittaa Palvelun hallinnointiin toteutettua teknistä hallintaliittymää, jossa Asiakasorganisaation Käyttäjä voi itsepalveluna hallita Palveluun liitetyn Asiointipalvelun osalta Palvelun sääntömoottoria ja hallintaliittymän käyttöoikeuksia, tarkastella Palvelun käyttöä koskevia raportteja ja ylläpitää Asiakasorganisaation yhteystietoja.

Käyttäjä tarkoittaa Asiakasorganisaatiota edustavaa henkilöä, joka käyttää Asiakasorganisaation lukuun Palvelua tai sen osaa, kuten Hallintaliittymää, ja jolle myönnetty rooli vastaa Palvelussa tarkemmin määriteltyä käyttäjäroolia. Käyttäjä voi olla myös Asiakasorganisaation toimittajaa edustava henkilö tai muu Asiakasorganisaation osoittama henkilö.

Loppukäyttäjä tarkoittaa Palvelua ja / tai Asiointipalvelua käyttävää loppuasiakasta, esim. kansalaista tai organisaation edustajaa.

Palvelu tarkoittaa Suomi.fi-valtuuksia, joka on Digi- ja väestötietoviraston tuottama ja ylläpitämä sähköisen asioinnin tukipalvelu. Palvelu koostuu puolesta-asioinnin tarkistuspalvelusta sekä sähköisestä palvelusta ja Virkailijavaltuuttamispalveluista, joiden avulla voidaan hallinnoida sähköisiä valtuuksia.

Palveluhallintasivusto tarkoittaa Suomi.fi-palveluhallintaa, jossa Asiakasorganisaation on mahdollista tutustua Palvelun käyttöönoton ohjeistukseen ja dokumentaatioon sekä tilata Palvelu.

Palvelutuottaja tarkoittaa Palvelua tuottavaa Digi- ja väestötietovirastoa (DVV).

Puolesta-asiointioikeuden tarkistus tarkoittaa Asiointipalvelun suorittamaa Loppukäyttäjän toimivaltaa tai asiointioikeutta tarkistavaa kyselyä Palvelulle.

Tiedontuottajalla tarkoitetaan rekisteriviranomaisia tai muita tahoja, jotka luovuttavat tietoja Palvelussa hyödynnettäväksi, käsiteltäväksi tai luovutettavaksi edelleen Asiointipalvelulle. Tietojen luovuttaminen tapahtuu kunkin rekisteriviranomaisen tai muun tahon toimintaan sovellettavan erityislainsäädännön ja yleislainsäädännön säännösten mukaisesti. Tietoja voidaan luovuttaa eri tavoilla ja eri tarkoituksiin Tiedontuottajan asettamien ehtojen ja vaatimusten mukaisesti. Tietojen luovuttaminen voi edellyttää erillistä tietolupaa tai vastaavaa.

Virkailijavaltuuttamispalvelulla (virkailijatoiminnot) tarkoitetaan Loppukäyttäjille tarjottavaa palvelua, jossa Loppukäyttäjät voivat Avustavan organisaation tai Palvelutuottajan tarjoaman asiointikanavan kautta pyytää Valtuuksien rekisteröintiä tai peruuttamista. Virkailijavaltuuttamispalvelun järjestäminen edellyttää erillistä sopimusta Palvelutuottajan ja Avustavan organisaation välillä.

Tunnistetiedot tarkoittavat tietoja, jotka Tunnistuspalvelu välittää Asiointipalvelulle kirjautumisen yhteydessä.

Tunnistuspalvelu tarkoittaa vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa (617/2009) tarkoitettua tunnistuspalvelun tarjoajan palvelua. Esimerkiksi Palvelutuottajan tuottama sähköisen tunnistamisen palvelu, Suomi.fi-tunnistus, mahdollistaa Loppukäyttäjän sähköisen tunnistamisen Asiointipalveluissa sekä kertakirjautumisen Asiointipalvelujen välillä. Lainsäädäntö asettaa rajoituksia organisaatioiden mahdollisuuksiin käyttää Suomi.fi-tunnistusta. Tunnistuspalvelu voi tarkoittaa myös muuta kuin vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa (617/2009) tarkoitettua tunnistuspalvelun tarjoajan palvelua, jonka Palvelutuottaja on hyväksynyt käytettäväksi Palvelussa ja/tai Asiointipalvelussa.

Tunnistusprosessi tarkoittaa Palvelutuottajan edellyttämää Loppukäyttäjän tunnistamisen tapaa, jolla voidaan luotettavasti tunnistaa Loppukäyttäjä.

Tunnistusväline tarkoittaa listaa, laitetta, ohjelmistoa, asiakirjaa ja/tai menettelyä, jolla Loppukäyttäjä tunnistautuu Suomi.fi-valtuuksissa tai Asiointipalvelussa tai osana Tunnistusprosessia.

Tunnistusvälineen tuottaja tarkoittaa Tunnistusvälinettä tarjoavaa organisaatiota, joka voi olla esimerkiksi pankki, mobiilioperaattori tai DVV. Valtuus tarkoittaa valtuusasian avulla yksilöityä valtuutusta tai muuta tahdonilmaisua eli sähköistä valtakirjaa, joka tallennetaan Valtuusrekisteriin. Valtuus on Valtuuttajan ja Valtuutetun keskinäiseen luottamukseen perustuva, yksipuolinen Valtuuttajan tahdonilmaisu.

Valtuusasia on määrämuotoinen koodi tai asiasana, joka määrittää Valtuuden sisältöä tai Valtakirjaan perustuvaa toimivaltaa. Valtuusasia ja sen kuvaus kuvaavat Valtuutetun toimivaltaa.

Valtuusrekisteri tarkoittaa hallinnon yhteisistä sähköisen asioinnin tukipalveluista annetun lain (571/2016) 10 §:n mukaista valtuuksien ja muiden tahdonilmaisujen rekisteröintiä varten perustettua rekisteriä, jonka rekisterinpitäjänä toimii DVV. Valtuusrekisteri on sähköisten valtuuksien kansallinen tietovaranto. Lisäksi rekisteri sisältää tehtyjä valtuuspyyntöjä ja mitätöityjä valtuuksia.

Valtuutettu (Asiamies) tarkoittaa luonnollista henkilöä tai oikeushenkilöä, joka on valtuutettu Valtuuttajan toimesta asioimaan tämän puolesta.

Valtuuttaja (Päämies) tarkoittaa luonnollista henkilöä tai oikeushenkilöä, joka valtuuttaa Valtuutetun asioimaan puolestaan.

3 Palvelun kuvaus

Palvelu mahdollistaa henkilön tai organisaation valtuuksien ja puolesta-asiointioikeuksien ajantasaisuuden tarkistamisen Asiointipalvelussa.

Oikeus puolesta-asiointiin voi perustua joko rekisteritiedoista ilmenevään lailliseen edustusoikeuteen tai Palvelutuottajan ylläpitämään Valtuusrekisteriin tallennettuun sähköiseen valtuutukseen tai muuhun tahdonilmaisuun (Valtuus). Palvelun avulla voidaan luotettavasti tarkistaa henkilön tai organisaation Valtuudet ja oikeudet asioida sähköisesti toisen henkilön tai edustamansa organisaation puolesta Asiointipalveluissa.

Palvelussa hyödynnetään Asiointipalvelussa tunnistautuneen tai tunnistetun henkilön Tunnistetietoja, jotka Tunnistuspalvelu välittää Asiointipalvelulle ja siten Palvelulle taikka jotka Loppukäyttäjän fyysisesti asioidessa (palvelupisteessä, puhelimitse, etäasioiden) Asiointipalvelun työntekijä välittää Palvelulle.

Ennen kuin puolesta-asiointitarkistus voidaan tehdä, Loppukäyttäjän on tehtävä puolesta-asioinnin valinta Asiointipalvelussa.

Asiointipalvelun puolesta-asiointitarkastuksen saa tehdä Palvelulle ainoastaan reaaliaikaisen puolesta-asiointitarpeen yhteydessä eikä esimerkiksi eräajona säännöllisin määräajoin.

Asiointipalvelu välittää henkilön Tunnistetiedot ja/tai puolesta-asioinnin osapuolten tietoja valtuuskyselyn yhteydessä tarkistettavaksi Palveluun. Näiden tietojen perusteella puolesta-asioivasta henkilöstä ja/tai puolesta-asioinnin osapuolista haetaan puolesta-asiointioikeuden toteamiseen tarpeellisia tietoja eri Tiedontuottajien tietojärjestelmistä ja/tai Valtuusrekisteristä.

Lisäksi on huomioitava että, puolesta-asiointioikeuden tarkistamisen vastausta ei tule uusiokäyttää, eikä perustaa päätöstä siihen, että jossain vaiheessa Loppukäyttäjällä on ollut puolesta-asiointioikeus. Tämä ei kuitenkaan poista rekisterinpitäjän oikeutta tallentaa ja käsitellä aiemmin Palvelusta tarkistettuja valtuustietoja, jos siihen on erikseen perusteet laista tai tiedon tallentaminen liittyy esimerkiksi Asiointipalvelun lokitusvaatimusten täyttämiseen. Tämä tarkoittaa, että aiemmin Palvelusta tarkistettuja valtuustietoja ei saa tallentaa käytettäväksi puolesta-asioinnin mahdollistamiseksi, vaan tarkistus asiointihetken puolesta-asioinnin oikeudesta on aina tehtävä reaaliaikaisesti Palvelun kautta.

Valtuuksia on mahdollista rekisteröidä Palvelutuottajan sähköisessä palvelussa sekä Virkailijavaltuuttamispalvelussa. Sähköisessä palvelussa tunnistettu Loppukäyttäjä voi luoda ja vahvistaa Valtuuksia Valtuusrekisteriin sekä pyytää Valtuutta eli luoda valtuuspyyntöjä. Lisäksi Loppukäyttäjä (Valtuuttaja tai Valtuutettu) voi Palvelussa hallita itseään koskevia Valtuuksia ja valtuuspyyntöjä. Virkailijavaltuuttamispalvelussa henkilöllisyytensä luotettavasti todistanut Valtuuttaja voi pyytää tahdonilmaisunsa (Valtuuden) tai kirjalliseen valtakirjaan perustuvan Valtuuden rekisteröimistä sekä tarkistaa Valtuusrekisterin valtuustietonsa. Valtuusrekisteriin tallennettava Valtuus sisältää tiedon Valtuuttajasta, Valtuutetusta, yksilöivästä Valtuusasiasta, Valtuuden voimassaolosta sekä mahdollisia muita Palvelutuottajan tarpeellisiksi määrittelemiä tietoja. Valtuusrekisteriin tallennettavat tiedot on määritelty Valtuusrekisteriä koskevassa tietosuojaselosteessa.

Palvelua, sen toimintaperiaatteita ja yleisarkkitehtuuria on kuvattu tarkemmin Palveluhallintasivustolla.

4 Muutokset Palvelussa ja sen ehdoissa

Palvelutuottajalla on oikeus muuttaa Palvelun sisältöä, toimintaa ja käyttöehtoja Palvelun kehittämiseksi, lainsäädännön vaatimusten täyttämiseksi tai muusta Palvelutuottajan katsomasta perustellusta syystä. Palvelutuottaja kehittää ja päivittää Palvelua jatkuvasti ja tiedottaa Asiakasorganisaatioita tulevista muutoksista Palveluhallintasivustolla tai vastaavalla.

Palvelutuottaja on oikeutettu muuttamaan näitä käyttöehtoja, Palvelun Käyttäjille laadittuja mahdollisia käyttöehtoja sekä muita mahdollisia Palvelun erityisehtoja. Muutoksista ilmoitetaan Palveluhallintasivustolla tai vastaavalla. Lisäksi Asiakasorganisaation yhteyshenkilöitä tiedotetaan muutoksesta.

Asiakasorganisaatio hyväksyy muuttuneet Käyttöehdot jatkamalla Palvelun käyttöä, ellei Palvelutuottaja edellytä, että muuttuneet Käyttöehdot hyväksytään erikseen Palvelutuottajan määrittelemän prosessin mukaisesti. Mikäli Asiakasorganisaatio ei hyväksy muuttuneita Käyttöehtoja, sen tulee ilmoittaa siitä Palvelutuottajalle ja ilmoittaa samalla, milloin Asiointipalvelu päättää Palvelun käytön. Palvelun käyttö tulee tällöin päättää viimeistään silloin, kun muuttuvat Käyttöehdot tulevat voimaan.

Mikäli Asiointipalvelu ei noudata kulloinkin voimassa olevia Käyttöehtoja ja ei esimerkiksi muuta toteutustaan vastaamaan muuttuneita Käyttöehtoja, Palvelutuottajalla on oikeus estää Palvelun käyttö kohdassa 13 Palvelutuottajan oikeus estää Palvelun käyttö todetulla tavalla.

5 Palvelun käyttöönotto

5.1 Palveluun rekisteröityminen ja hyväksyminen

Palvelun hyödyntäminen edellyttää Asiakasorganisaation ja sen asiointipalvelujen rekisteröimistä, Palvelutuottajan edellyttämien muiden tietojen antamista sekä Palvelun käyttöehtojen hyväksymistä. Palvelun hyödyntäminen edellyttää lisäksi sitoutumista väestötietojärjestelmän tietojen käyttöä ja suojausta.

Palvelun hyödyntäjäksi voi rekisteröityä suomalaisen y-tunnuksen omaava organisaatio. Palvelutuottaja arvioi, täyttääkö organisaatio liittymiselle asetetut vaatimukset. Lainsäädäntö voi asettaa rajoituksia organisaatioiden mahdollisuuksiin käyttää Palvelua. Hallinnon yhteisistä sähköisen asioinnin tukipalveluista annetussa laissa säädetään niistä organisaatioista, jotka voivat hyödyntää Palvelua.

Rekisteröityminen ja Asiakasorganisaation tietojen ilmoittaminen muutostilanteessa tehdään Palveluhallintasivustolla tai muulla Palvelutuottajan edellyttämällä tavalla. Palvelutuottaja edellyttää Asiakasorganisaatiolta tiettyjen liitettävää Asiointipalvelua, organisaatiota tai yhteyshenkilöitä koskevien tietojen, kuvausten ja/tai selvitysten antamista rekisteröitymisen yhteydessä ja niiden ajan tasalla pitämistä. Annettuja tietoja, kuvauksia ja/tai selvityksiä välitetään Palvelun Tiedontuottajille ja/tai teknisestä tuottamisesta vastuullisille toimijoille.

5.2 Palveluun liittyminen, testaaminen ja käytön aloittaminen

Asiointipalvelun on noudatettava Palveluntuottajan määrittelemää Palvelun käyttöönottoprosessia ja tätä koskevaan ohjeistukseen on tutustuttava käyttöönottoprojektin aluksi.

Ennen varsinaista tuotantoympäristössä tapahtuvaa Palvelun käyttöä Asiakasorganisaation on testattava Asiointipalvelunsa liittämistä ja Palvelun toiminnallisuuksia Palvelutuottajan tarjoamassa testiympäristössä. Testaamisen tavoitteena on varmistaa erityisesti, ettei liittämisellä vaaranneta Asiakasorganisaation asiointipalvelun tai henkilötietojen taikka Palveluntuottajan tietojärjestelmien tai niiden tuottamiseen käytetyn tietojärjestelmän tietoturvallisuutta. Testaamisessa on hyödynnettävä Palveluntuottajan testiaineistopalvelusta löytyviä testihenkilöitä ja testiorganisaatioita. Asiointipalvelun on myös tarvittaessa tuotettava itse testivaltuuksia asiointipalvelun käyttötapausten mukaisesti.

Lisäksi Asiakasorganisaation on esiteltävä Palveluntuottajalle, miten Asiointipalvelussa on toteutettu käyttöehdoissa edellytetyt vaatimukset, ja mistä löytyvät Loppukäyttäjille julkaistut ohjeet. Asianmukaisen testauksen ja Palveluntuottajan katselmoinnin jälkeen Palvelutuottaja antaa Asiakasorganisaatiolle hyväksynnän siirtyä tuotantoympäristöön.

6 Palvelun osapuolet ja niiden tehtävät

6.1 Palvelun osapuolet

DVV tuottaa Palvelua ja on sopimuksin hankkinut Palveluun liittyviä tuotantopalveluja ulkopuolisilta tahoilta ja käyttösopimuksella vastuuttanut Palvelun tuotannon jatkuvuuden ja häiriötilanteiden hallinnan.

Asiakasorganisaatiot hyödyntävät Palvelua ja tarjoavat sen mahdollistamaa puolesta-asiointia loppukäyttäjille liittämällä Asiointipalvelunsa Palvelun sähköiseen tietojärjestelmään.

Loppukäyttäjät asioivat henkilön tai organisaation puolesta tai valtuuttavat henkilön tai organisaation asioimaan puolestaan joko Palvelussa tai Palvelua hyödyntävän Asiointipalvelun välityksellä tai sitä käyttäessään.

6.2 Palvelutuottajan oikeudet ja velvoitteet

Palvelutuottajan vastuulla on Palvelun tuottaminen ja kehittäminen. Palvelutuottaja vastaa siitä, että Palvelu täyttää lainsäädännön vaatimukset. Palvelutuottajan velvollisuutena on huolehtia sen vastuulla olevien velvoitteiden toteuttamisesta siten, että Palvelua tuotetaan mahdollisimman keskeytyksettömästi ja tietoturvallisesti. Palvelutuottajalla ei ole velvollisuutta toteuttaa Asiakasorganisaation pyynnöstä erityisiä toiminnallisuuksia, sovelluskehitystä tai muuta tukea (kuten poikkeavaa valtuusasiaa tai loppukäyttäjätukea) käyttötapaukselle, joka palvelee vain yksittäisen Asiakasorganisaation tarpeita.

Palvelutuottajan vastuulla on tarjota Asiakasorganisaatioille tarpeelliset materiaalit ja ohjeet Palveluun liittymiselle Palveluhallintasivustolla ja tarjota tukea liittyen Palveluun tuotantovaiheessa ja kehitystoimien seurauksena. Palvelutuottaja huolehtii testi- ja tuotantoympäristön ylläpidosta, muista tukipalveluista sekä vikailmoitusten vastaanotosta ja käsittelystä.

Palvelutuottajan vastuulla on tietolupien tai vastaavien hakeminen tai tarvittavien sopimusten tekeminen Tiedontuottajien kanssa Palvelussa hyödynnettävien viranomaisrekisterien ja muiden rekisterien tietojen osalta. Palvelutuottaja ilmoittaa etukäteen muutoksista Palvelussa hyödynnettävissä Tiedontuottajien välittämissä tiedoissa, mikäli etukäteinen ilmoittaminen on mahdollista.

Palvelutuottaja huolehtii vikatilanteiden ja väärinkäytösepäilyjen selvittämisestä omalta osaltaan ja tarvittaessa yhteistyössä Asiakasorganisaatioiden tai muiden tahojen kanssa. Palvelutuottajan vastuulla on Palvelun järjestelmät, sovellukset ja rajapinnat sekä niihin liittyvien vikatilanteiden selvittäminen ja koordinointi. Palvelutuottajan velvollisuutena on huolehtia sen vastuulla olevien tietojen käsittelystä siten, että tietoturva tai tietosuoja eivät vaarannu.

Palvelutuottajalla on oikeus saada sen edellyttämät riittävät ja tarpeelliset tiedot Asiakasorganisaatiolta rekisteröinti-, liittymis- ja muussa Palvelun käytön vaiheessa. Palvelutuottajalla on oikeus saada sen edellyttämät riittävät ja tarpeelliset tiedot Asiakasorganisaatiolta vika- ja virheselvittelyä tai väärinkäytösepäilyä koskevaa selvittelyä varten.

Palvelutuottaja on oikeutettu muuttamaan Palvelun sisältöä, toimintaa ja käyttöehtoja Palvelun kehittämiseksi tai muusta Palvelutuottajan katsomasta perustellusta syystä. Palvelutuottajalla on oikeus tehdä esimerkiksi muutoksia Palvelun toiminnallisuuksiin tai rajapintoihin. Palvelutuottajalla on oikeus antaa määräys, jolla se vaatii Asiakasorganisaatiota asentamaan Asiointipalveluunsa Palvelutuottajan arvion mukaan tarpeellisen päivityksen, kuten tietoturvapäivityksen tai versionvaihdon, ja asettaa määräajan päivityksen asentamiselle. Asiakasorganisaatio vastaa asennuksen aiheuttamista kustannuksista. Palvelutuottaja ilmoittaa etukäteen näistä muutoksista.

Palvelutuottajalla on oikeus kerätä tietoja tilastollista tarkoitusta varten Palveluun liitetyistä Asiointipalveluista ja niihin liittyvästä käytöstä sekä julkaista tilastoja.

6.3 Asiakasorganisaation oikeudet ja velvoitteet

Asiakasorganisaatio vastaa siitä, että Asiointipalvelu täyttää lainsäädännön vaatimukset. Asiakasorganisaation velvollisuutena on huolehtia sen vastuulla olevien velvollisuuksien toteuttamisesta. Asiakasorganisaation tulee toimia näiden käyttöehtojen mukaisesti. Asiakasorganisaatio vastaa sen Käyttäjien toiminnasta.

Asiakasorganisaatiolla on oikeus saada riittävät ja tarpeelliset tiedot Palvelutuottajalta, jotta se voi liittyä Palveluun ja jatkaa Palvelun käyttöä mahdollisissa muutostilanteissa. Asiakasorganisaation tulee tutustua huolellisesti Palvelutuottajan tarjoamaan Palvelua koskevaan dokumentaatioon ennen Palvelun käyttöönottoa.

Asiakasorganisaation tulee ennen liittymistään antaa Palvelutuottajan edellyttämät tiedot organisaatiosta ja nimettäviksi edellytetyistä yhteyshenkilöistä sekä toteuttaa Palveluun liittymiseen vaaditut tekniset edellytykset.

Asiakasorganisaatiolla on oikeus valita Hallintaliittymässä kunkin Asiointipalvelun osalta Palvelun hyödyntämiseen ja käyttöön liittyvät asetukset ja muut valinnat (käytetyt valtuusasiat, sääntömoottorin asetukset). Tiedontuottaja on voinut asettaa rajoituksia valintamahdollisuuksiin.

Jos Asiointipalvelu on mahdollistanut puolesta-asioinnin valtuusrekisteriin tallennettujen valtuuksien perusteella, Asiointipalvelun tulee huolehtia siitä, että asioinnin toimivalta ei ylitä Asiointipalvelun hyödyntämän valtuusasian kuvaamaa puolesta-asioinnin sisältöä ja laajuutta. Näihin liittyvissä ristiriitatilanteissa vastuu asian selvittämisestä on Asiointipalvelulla.

Asiakasorganisaatio vastaa, että sen Hallintaliittymässä asiointipalvelua varten asettamat Valtuuksien sääntömoottorin säännöt ovat tarkoituksenmukaisia asiointipalvelun toiminnallisuuksien kannalta, ja että säännöissä huomioidaan sovellettavan lainsäädännön vaatimukset sekä erityisesti tietoturvan ja tietosuojan asettamat vaatimukset.

Asiakasorganisaation on huomioitava, että jos sen Asiointipalvelun toiminnallisuutta muutetaan tai Asiointipalvelussa käsiteltäviä tietoja muutetaan, varmistetaan Palvelun sääntömoottorin sääntöjen ajantasaisuus ja tehdään myös tarvittavat muutokset sääntömoottorin sääntöihin. Tästä esimerkkinä alaikäisen puolesta-asiointiin vaikuttava turvakieltosääntö: Jos Asiointipalveluun tehdyn muutoksen myötä olisi jatkossa mahdollista käsitellä alaikäisen olinpaikkaa kuvaavia tietoja, Asiointipalvelun vastuulla on asettaa Hallintaliittymässä kyseinen turvakieltosääntö päälle. Asiakasorganisaatio vastaa sen Käyttäjän luomista ja antamista käyttöoikeuksista Hallintaliittymään sekä siellä tehdyistä toimista.

Asiakasorganisaatiolla ei ole oikeutta käyttää Puolesta-asiointitarkistuksessa välitettyä tietoa muuhun kuin Asiointipalvelussa tapahtuvaan asiointiin ilman tietojen kohteen suostumusta tai muuta laillista perustetta.

Asiakasorganisaatio on velvollinen huolehtimaan, että yhteyshenkilöistä ja Käyttäjistä annetaan Palvelutuottajalle Palvelun käytön edellyttämät tarpeelliset henkilö- ja muut tiedot. Asiakasorganisaatiolla on velvollisuus antaa tietoa Asiointipalvelustaan ja sen toimintaperiaatteista. Asiakasorganisaatiolla on velvollisuus toimittaa Palvelutuottajalle kuvaukset Asiointipalvelusta Palvelutuottajan niin edellyttäessä.

Asiakasorganisaatio on velvollinen pitämään Palvelutuottajalle antamansa tiedot ajan tasalla ja ilmoittamaan muuttuneet tiedot viivytyksettä Palveluhallintasivustolla tai muulla Palvelutuottajan edellyttämällä tavalla. Asiakasorganisaatiolla on velvollisuus huolehtia oma-aloitteisesti, että sen antamat virheelliset, puutteelliset tai vanhentuneet tiedot korjataan. Asiakasorganisaation on huolehdittava, että Palvelun käyttöluvan ja käyttöehtojen ehdot täyttyvät sen toiminnassa.

Asiakasorganisaation on huolehdittava, että Asiointipalvelussa puolestaasioija tunnistetaan aina. Poikkeuksen tähän muodostaa käyttötapaus, jossa Asiointipalvelussa suoritettavaa automaattista toimenpidettä ennen on tarkistettava valtuuden osapuolten luottamussuhteen voimassaolo (ks. lisää luku 3 Palvelun kuvaus).

Asiakasorganisaation on varmistettava, että puolesta-asiointitapahtumat perustuvat vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetun lain (617/2009) mukaiseen vahvaan sähköiseen tunnistamiseen. Jos Asiakasorganisaatio tunnistaa Loppukäyttäjän muulla kuin vahvalla tunnistautumisella, sen vastuulla on varmistaa, että puolesta-asiointitapahtuvat perustuvat vahvaan tunnistamiseen rinnastettaviin menetelmiin, jotka ovat todisteellisia ja tietoturvallisia.

• Sähköiseen Asiointipalveluun kirjautuva Loppukäyttäjä on tunnistet-
  tava ensisijaisesti vahvasta sähköisestä tunnistamisesta ja sähköisistä
  luottamuspalveluista annetun lain (617/2009) mukaisella vahvalla säh-
  köisellä tunnistamisella.
• Asiakasorganisaation on huolehdittava, että Asiointipalvelun käyntiasi-
  ointiin tunnistautuva henkilö tunnistetaan ensisijaisesti virallisesta hen-
  kilöllisyysasiakirjasta (poliisin myöntämä passi tai henkilökortti).
• Asiointipalvelun käyntiasioinnissa ja puhelinasioinnissa asioivan henki-
  lön tunnistamisessa voidaan hyödyntää sähköisten tunnistusmenetel-
  mien lisäksi myös väestötietojärjestelmään perustuvia kysymyksiä.

Asiakasorganisaation vastuulla on ohjeistaa Loppukäyttäjiä riittävän yksityiskohtaisesti puolesta asioinnin edellytyksistä Palveluntuottajan asiointipalvelussa (esimerkiksi millä rooleilla ja/tai valtuusasioilla puolesta asiointi on asiointipalvelussa mahdollista).  Ohjeiden tulee olla sekä loppukäyttäjien, että asiakaspalvelijoiden saavutettavissa ilman tunnistautumista. Asiakasorganisaation vastuulla on pitää omat ohjeensa ajan tasalla, mikäli puolesta-asiointiin tehdään muutoksia.

Palvelutuottaja tarjoaa Loppukäyttäjille yleistä ohjeistusta Palvelun käytöstä Suomi.fi-verkkopalvelussa. Palvelutuottaja tarjoaa Loppukäyttäjille yleisluonteista Palvelun käytön tukea. Jos Asiointipalvelun käytössä ilmenee puolesta-asiointiin tai valtuuttamiseen liittyvä ongelma, Asiakasorganisaation tulee ensisijaisesti itse selvittää tilanne Loppukäyttäjän kanssa ennen turvautumista Palvelutuottajan tukeen. Asiakasorganisaation tulee tarjota Loppukäyttäjille riittävää ohjeistusta Asiointipalvelussa tarjotusta puolesta-asiointimahdollisuudesta sekä siihen liittyvästä valtuuttamisesta. Asiointipalvelu voi tukeutua tässä Suomi.fi-sivustolla oleviin Loppukäyttäjille suunnattuihin yleisiin ohjeisiin.

Asiakasorganisaation vastuulla on huolehtia Asiointipalveluun tarvittavien muutosten toteuttamisesta Palvelun muutostilanteissa mahdollisimman nopeasti tai erikseen ilmoitetun aikataulun mukaisesti.

Asiakasorganisaatio huolehtii vikatilanteiden ja väärinkäytösepäilyjen selvittämisestä omalta osaltaan ja tarvittaessa yhteistyössä Palvelutuottajan tai muiden tahojen kanssa. Asiakasorganisaation vastuulla on myös omien loppukäyttäjiensä kontaktointi ja tukeminen virhetilanteessa. Palveluntuottaja tarjoaa tarvittaessa loppukäyttäjien kontaktointia ja muuta selvittelyä tukevaa materiaalia.

Palveluntuottaja ilmoittaa valvontaviranomaiselle, jos Palvelussa tapahtuneessa häiriössä on voinut aiheutua riski luonnollisten henkilöiden oikeuksille ja vapauksille. Asiakasorganisaatioiden on rekisterinpitäjinä tilanteen niin vaatiessa tehtävä lisäksi omat ilmoitukset valvontaviranomaiselle, mikäli Palvelun häiriö on vaikuttanut Asiakaspalvelun Loppukäyttäjiin/Loppukäyttäjien oikeuksiin tai vapauksiin.

Palvelutuottaja seuraa Palvelun laatupoikkeamia, keskeytys- ja virhetilanteita, tietoturva- ja tietosuojapoikkeamia sekä niiden korjausten toteutumista ja raportoi tiedottaa niistä eri tahoille soveltuvin osin. Palvelutuottaja raportoi tiedottaa em. kokonaisuuksista ja, Palvelun kehittämisestä ja käyttövolyymeista Asiakasorganisaatioille Palveluhallintasivustolla tai muutoin.

Asiakasorganisaation velvollisuutena on huolehtia sen vastuulla olevien tietojen käsittelystä siten, että tietoturva tai tietosuoja eivät vaarannu.

Asiakasorganisaation vastuulla on seurata säännöllisesti niitä tiedotuskanavia, joilla Palveluntuottaja ilmoittaa palvelua koskevista muutoksista ja muista asioista.

7 Tietojen käsittely ja yksityisyyden suoja

7.1 Henkilötietojen ja muiden tietojen käsittely ja yksityisyyden suoja

Palvelutuottaja käsittelee henkilötietoja Palvelussa. Lisäksi Asiakasorganisaatioiden Asiointipalveluissa ja niihin liitetyissä järjestelmissä käsitellään henkilötietoja.

Palvelutuottaja ja Asiakasorganisaatio huolehtivat ja vastaavat kumpikin omalta osaltaan henkilötietojen ja muiden tietojen asianmukaisesta käsittelystä ja henkilötietojen käsittelystä siten, että henkilötietojen suoja tai yksityisyyden suoja ei vaarannu. Palvelutuottajan ja Asiakasorganisaation on huolehdittava kaikista rekisterinpitäjää koskevista velvollisuuksista yleisen tietosuoja asetuksen (679/2016) mukaisesti.

Palvelutuottaja ja Asiakasorganisaatio huolehtivat kumpikin omalta osaltaan henkilötietojen käsittelyyn liittyvien tarpeellisten ilmoitusten ja selosteiden tekemisestä ja julkaisusta.

Palvelutuottaja käsittelee henkilötietoja Palvelussaan, asiakas- ja käyttäjärekisterissään sekä muissa rekistereissään siten kuin tarkemmin on todettu Palvelun tietosuojaselosteissa. Asiakasorganisaatioita, yhteyshenkilöitä, Käyttäjiä ja Loppukäyttäjiä koskevia tietoja tallennetaan Palvelun rekistereihin siten kuin tarkemmin on todettu Palvelun tietosuojaselosteissa.

Palvelutuottajalla on oikeus käsitellä ja luovuttaa Palvelun käytöstä tallennettuja henkilötietoja yleisen tietosuoja-asetuksen ja muun lainsäädännön mukaisesti tietosuojaselosteessa tarkemmin kuvatuin tavoin.

Tietoja säilytetään asiakkuuden tai Palvelun tuottamisen päättymisen jälkeen tarpeellinen aika, jotta lainsäädännön asettamat velvollisuudet voidaan täyttää.

Asiointipalvelun on tallennettava tapahtumatiedot puolesta-asioinnista vähintään viiden (5) vuoden ajan puolesta-asiointitapahtumasta, ellei Asiointipalveluun sovellettava lainsäädäntö edellytä tapahtumatietojen säilyttämistä joko lyhyemmän tai pidemmän ajan.

7.2 Rekisterinpitäjyyden tuomat vastuut Palveluntuottajalle, Asiakasorganisaatiolle sekä Loppukäyttäjälle

Palveluntuottaja toimi rekisterinpitäjänä esimerkiksi syntyneiden valtuuksien, asiakastietojen sekä valtuushakemusten osalta. Palveluntuottajan vastuista kerrottu tarkemmin Palvelun tietosuojaselosteissa: https://www.suomi.fi/ohjeet-ja-tuki/yleista-suomifista/tietosuoja .

Loppukäyttäjä vastaa valtuuksien antamisesta mahdollisesti syntyvistä henkilörekistereistä (esimerkiksi järjestelmästä ladattu listaus työntekijöille annetuista valtuuksista).

Suomi.fi valtuuksien käyttöönotto tarkoittaa Asiointipalvelulle, että myös siitä tulee rekisterinpitäjä puolesta asioinnissa käsiteltävien henkilötietojen osalta. Tästä johtuen asiointipalvelun on rekisterinpitäjänä huolehdittava yleisen tietosuoja-asetuksen mukaisesti yleisistä rekisterinpitäjän velvoitteista, kuten henkilötietojen käsittelyn minimoimisesta.

Asiointipalvelun on siten huolehdittava esimerkiksi siitä, ettei yleisten edunvalvojien henkilötunnuksia paljastu sähköisen puolesta-asioinnin tai siihen liittyvän tukiprosessien aikana esimerkiksi asiakasnäkymässä (käyttöliittymässä), asiakaspalvelutilanteessa tai tietopyyntöjen kautta.

7.3 Evästeet

Palvelussa käytetään Loppukäyttäjän ja Hallintaliittymän kautta tunnistettujen henkilöiden osalta evästeitä. Palveluntuottajan vastuulla on kertoa Loppukäyttäjälle Palvelussa käytetyistä evästeistä. Palvelussa käytössä olevista evästeistä on kerrottu Loppukäyttäjille tarkemmin www.suomi.fi/ohjeet-ja-tuki/yleista-suomifista/evasteetAvautuu uuteen ikkunaan..

8 Asiakasorganisaation oikeus käyttää Palvelua ja sen sisältämää materiaalia

Asiakasorganisaatio saa oikeuden käyttää Palvelua näiden käyttöehtojen sekä mahdollisten muiden erityisehtojen, kuten kolmansien osapuolten asettamien vaatimusten, mukaisesti omassa sisäisessä käytössään ja tarjota tai hyödyntää Palvelua tarjotessaan palvelujaan Loppukäyttäjille.

Asiakasorganisaatio ei ole oikeutettu luovuttamaan Palvelun kautta saatua materiaalia, joka ei ole julkista, kolmannelle eikä saattamaan sen sisältöä tai sen osaa yleisön saataviin levittämällä, välittämällä, esittämällä tai näyttämällä sitä julkisesti, jollei Palvelutuottaja tai muu oikeudenomistaja ole ennalta antanut siihen kirjallista suostumusta.

9 Palvelun maksullisuus ja kustannustenjako

Palvelu on maksutonta julkisen hallinnon organisaatioille sekä niiden omistamille yhtiöille. Muille palvelun käyttöönotto ja käyttö on maksullista. Maksullisuudesta säädetään tarkemmin julkisen hallinnon yhteisistä sähköisistä tukipalveluista annetussa laissa (571/2016) sekä valtion maksuperustelain (150/1992) nojalla annetussa valtiovarainministeriön asetuksessa. Palvelun hinta määräytyy voimassa olevan hinnaston mukaisesti.

Palvelutuottaja vastaa Palvelun käyttöönotto-ohjeista ja tuesta aiheutuvista kustannuksista sekä vastuullaan olevista muista velvoitteista aiheutuvista kustannuksista.

Asiakasorganisaatio vastaa tarpeellisten ja asianmukaisten liityntöjen tekemisestä, mahdollisista omiin järjestelmiinsä tehtävistä muutoksista ja muista Palveluun liittymisestä mahdollisesti aiheutuvista kustannuksista sekä vastuullaan olevista muista velvoitteista aiheutuvista kustannuksista, kuten esimerkiksi Loppukäyttäjien tuen ja ohjeistamisen myötä syntyvistä kustannuksista tai Palvelun muutosten tai tietoturvatarpeiden niin vaatiessa.

10 Palvelun saatavuus

Palvelutuottaja ei takaa Palvelun jatkuvaa saatavuutta, mutta pyrkii siihen, että Palvelu on käytettävissä ilman keskeytyksiä. Tarkemmin Palvelun saatavuudesta on todettu palvelukuvauksessa.

Selvyyden vuoksi todetaan, että Palvelutuottajalla on aina oikeus keskeyttää Palvelu sen muutoksen, uudistuksen tai Palveluun liittyvän teknisen syyn vuoksi tai tietoliikenneverkon kunnostus-, asennus- tai huoltotyön tai muun sen kaltaisen syyn vuoksi tai tietoturvauhan tai -poikkeaman vuoksi taikka mikäli lainsäädäntö tai muu viranomaismääräys sitä edellyttää.

11 Palvelun keskeytyksistä ja virhetilanteista ilmoittaminen

Palvelun keskeytyksistä ja virhetilanteista ilmoitetaan Palvelussa tai Palvelutuottajan muulla sivustolla, Asiakasorganisaation yhteyshenkilöille ja Käyttäjille sähköpostitse sekä Palvelutuottajan asiakasneuvojille mahdollisimman pian virhetilanteen havaitsemisen jälkeen, mikäli se on mahdollista. Keskeytyksistä kuten pakollisista huoltokatkoista ilmoitetaan etukäteen, mikäli se on mahdollista

12 Palveluntuottajan oikeus estää Palvelun käyttö

Palvelutuottajalla on oikeus olla hyväksymättä Asiakasorganisaatiota tai Käyttäjää Palvelun käyttäjäksi perustellusta syystä.

Palvelutuottaja voi päätöksellään kieltää Palvelun käytön tai estää sen kokonaan tai osittain sellaiselta yksityiseltä yhteisöltä, säätiöltä tai elinkeinonharjoittajalta siten kuin tarkemmin säädetään hallinnon yhteisistä sähköisen asioinnin tukipalveluista annetussa laissa.

Sen lisäksi Palvelutuottajalla on oikeus estää Asiakasorganisaatiolta tai Käyttäjältä Palvelun käyttö:
jos Asiakasorganisaatio tai Asiakasorganisaation Käyttäjä toimii tai on perusteltua syytä epäillä Asiakasorganisaation toimivan näiden käyttöehtojen tai muiden tahojen asettamien, Palvelun hyödyntämiseen liittyvien ehtojen vastaisesti tai hyvän tavan tai lain vastaisesti

• jos Asiakasorganisaatio ei anna edellytettyjä tietoja tai selvityksiä
• jos Asiakasorganisaatio ei noudata toiminnassaan muuta lainsäädäntöä tai
• jos Asiakasorganisaatio tai Käyttäjä käyttää Palvelua siten, että Palvelun tietoturva, tietosuoja tai saatavuus vaarantuu tai että Palveluun liittyvän muun palvelun tai rekisterin tietoturva tai tietosuoja vaarantuu
• jos maksuvelvollinen Asiakasorganisaatio ei suorita palvelun palvelumaksuja.

Lisäksi, mikäli Asiakasorganisaatio ei huolehdi Palvelun muutosten edellyttämistä muutoksista, Palvelutuottajalla on oikeus estää Asiakasorganisaation Palvelun käyttö, kunnes muutokset on asianmukaisesti tehty. Mikäli Asiakasorganisaatio ei toteuta edellytettyjä muutoksia määräaikaan mennessä, seurauksena voi olla myös se, että Palvelu ei voida teknisesti käyttää.

Palvelutuottajalla on oikeus rajoittaa Palvelun käyttöä perustellusta syystä, esimerkiksi, mikäli Palvelun tietoturva, tietosuoja tai saatavuus voi ilman rajoittamista vaarantua tai mikäli Palveluun liittyvän muun palvelun tai rekisterin tietoturva tai tietosuoja voivat ilman rajoittamista vaarantua.

13 Tietoturva ja siihen liittyvät vaatimukset

Palvelutuottaja vastaa Palvelun tietoturvasta voimassa olevan lainsäädännön mukaisesti. Palvelun tuottamisessa noudatetaan Palvelutuottajan vastuulla olevien tehtävien osalta Palvelutuottajan voimassa olevia tietoturvallisuuskäytäntöjä.

Asiakasorganisaatio hyväksyy Palvelutuottajan asettamat tietoturvallisuuteen liittyvät vaatimukset ja sitoutuu noudattamaan niitä hyväksymällä Palvelun käyttöluvan ja käyttöehdot. Asiakasorganisaatio hyväksyy Palvelun toteutuksen sellaisenaan ja arvioi sen soveltuvuuden omaan toimintaansa asetettuihin mahdollisiin vaatimuksiin nähden.

Tiedontuottajat voivat vaatia Asiakasorganisaatiolta omilla tietoluvillaan tai vastaavillaan asettamiensa tietoturvavaatimusten täyttämistä.

Asiointipalvelun ja siihen kytkettyjen tietojärjestelmien hallinta ja tietoturvallisuus ovat Asiakasorganisaation vastuulla.

Palvelua käyttävältä Asiakasorganisaatiolta edellytetään:

• tietojärjestelmiensä tietoturvan asianmukaisuudesta huolehtimista
• tietoturvapäivitysten seuraamista ja tietoturvapäivitysten päivittämistä
• tietoturvapoikkeamien raportointia Palvelutuottajan edellyttämällä tavalla sekä
• turvallista Asiointipalvelun ja siihen liittyvien järjestelmien ylläpitoa käyttöoikeuksien, käyttäjätunnusten, varmuuskopioinnin ja häiriötilanteiden hallinnan suhteen.

Asiakasorganisaatiolta edellytetään hyvien tietoturvakäytänteiden noudatta-
mista.

Palveluun kuuluu olennaisesti tietoturvallisuuden hallinta ja sen varmistaminen. Mikäli Palvelutuottaja päättää toteuttaa haavoittuvuusskannauksia, Asiakasorganisaatio oikeuttaa Palvelutuottajan kohdistamaan mahdollisten tietoturvan ja tietosuojan haavoittuvuuksien havaitsemiseksi skannauksia Asiakasorganisaation Asiointipalvelun julkisiin rajapintoihin. Haavoittuvuusskannauksien ajankohdasta sovitaan yhteisesti, jotta ne voidaan toteuttaa aiheuttamatta haittaa Asiointipalvelun käytölle. Asiakasorganisaatio sitoutuu korjaamaan havaitut merkittävät haavoittuvuudet Palvelutuottajan asettamassa määräajassa.

Palvelutuottaja voi asettaa erityisiä Asiakasorganisaatioon ja Asiointipalveluun kohdistuvia tietoturvavaatimuksia Palvelun käyttämisen edellytykseksi. Palvelutuottaja voi tiukentaa edellä lueteltuja vaatimuksia.

Edellä lueteltuja vaatimuksia on lisäksi voitu tiukentaa kolmannen tahon sekä Asiakasorganisaation välisissä tietoluvissa tai vastaavissa.

Jos Palvelutuottajan Palvelun tuottamiseen käytetty tietojärjestelmä tai Asiakasorganisaation Palveluun liitetty tietojärjestelmä aiheuttaa haittaa Palveluun käytetyn tai siihen liitetyn tietojärjestelmän toiminnalle tai tietoturvallisuudelle, haittaa aiheuttavasta tietojärjestelmästä vastaavan tahon on välittömästi ryhdyttävä toimenpiteisiin tilanteen korjaamiseksi. Tarvittaessa Palvelutuottaja tai Asiakasorganisaatio voi kytkeä tietojärjestelmänsä irti toisen ylläpitämästä järjestelmästä.

Jos Palveluun kohdistuu tai sitä uhkaa merkittävä tietoturvaloukkaus taikka muu tapahtuma, joka estää Palvelun toimivuuden tai häiritsee sitä olennaisesti taikka vaarantaa tietoturvallisuuden toteutumisen, Palvelutuottajan on viipymättä ilmoitettava asiasta niille Asiakasorganisaatioille, joita tietoturvaloukkaus tai muu tapahtuma koskee. Ilmoituksessa kerrotaan häiriön tai sen uhkan arvioitu kesto sekä mahdollisuuksien mukaan Asiakasorganisaation ja Loppukäyttäjän käytettävissä olevista suojaustoimenpiteistä. Suojaustapahtuma voi olla esim. lokitapahtumien tarkistaminen mahdollisten väärinkäytösten osalta.

Lisäksi Palvelutuottajan ilmoittaa Asiakasorganisaatioille ja Loppukäyttäjille häiriön tai uhkan päättymisestä.

Asiakasorganisaation on viipymättä ilmoitettava Palvelutuottajalle, jos Palveluun liitettyyn Asiakasorganisaation tietojärjestelmään kohdistuu tai sitä uhkaa merkittävä tietoturvaloukkaus taikka muu tapahtuma, joka voi vaarantaa Palvelun tietoturvallisuuden tai toimivuuden tai häiritä sitä olennaisesti. Ilmoituksessa on kerrottava häiriön tai uhkan sisältö, arvioitu kesto ja mahdollisuuksien mukaan suojaustoimenpiteet. Lisäksi Asiakasorganisaation on ilmoitettava Palvelutuottajalle häiriön tai uhkan päättymisestä.

Mikäli Palvelutuottaja arvioi yksittäistapauksissa mahdolliseksi ja tarpeelliseksi, Palvelutuottaja tai Palvelutuottajan toimittaja ilmoittaa Asiakasorganisaatioille havaituista haavoittuvuuksista, mahdollisista korjaustoimenpiteistä ja tietoturvapäivityksistä, jotka liittyvät Palveluun tai joilla on vaikutusta Palvelun käyttöön muutoin.

Havaituista tietoturvapoikkeamista tai -uhista tiedotetaan Asiakasorganisaatiolle ja Loppukäyttäjille siten kuin on todettu kohdassa 12. Palvelun keskeytyksistä ja virhetilanteista ilmoittaminen.

14 Palvelutuottajan vastuu ja vastuunrajoitus

Palvelutuottaja vastaa Palvelun laadusta ja kustannustehokkuudesta sekä siitä, että Palvelu on käyttötarkoitukseensa yleisesti soveltuva, suorituskykyinen, toimintavarma sekä mahdollisimman käyttäjäystävällinen ja esteetön.

Sen lisäksi mitä yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan f alakohdassa sekä 32 artiklassa säädetään, Palvelutuottaja vastaa Palvelun tuottamisen edellyttämän tietojen yhdistämisen oikeellisuudesta sekä Palvelussa käsiteltävien tietojen tietoturvallisuudesta.

Palvelutuottaja vastaa siitä, että sen tuottama Palvelu on suunniteltu, rakennettu ja ylläpidetty siten, että:

• tuotettu Palvelu on tekniseltä laadultaan hyvää ja tietoturvallista
• se kestää normaalit odotettavissa olevat ulkoiset häiriöt ja tietoturvauhat
• sen suorituskykyä, käytettävyyttä, laatua ja toimintavarmuutta seurataan
• siihen kohdistuvat merkittävät tietoturvaloukkaukset ja -uhat sekä sen toimivuutta merkittävästi häiritsevät viat ja häiriöt voidaan havaita ja
• siihen tehtävistä muutoksista ei aiheudu ennakoimatonta häiriötä Asiakasorganisaation Palvelua hyödyntävälle Asiointipalvelulle tai muulle tehtävälle, jonka toteuttamisen tukena Palvelua hyödynnetään.

Palvelutuottaja ei vastaa Asiakasorganisaatiolle tai kolmannelle osapuolelle:

• Tiedontuottajien, Tunnistevälineen tuottajien, Tunnistuspalvelun tai tietolähteiden mahdollisista virheistä
• Palvelun soveltuvuudesta ja sopivuudesta minkään Asiointipalvelun erityistarpeisiin
• Asiointipalvelussa Palvelun käyttämisestä aiheutuvista virheistä tai vahingoista taikka Palvelun sisältämien tietojen käytöstä, tulkinnasta tai väärinkäytöksistä Asiointipalvelussa taikka tietojen muuttumisesta tai katoamisesta Asiointipalvelussa
• Asiointipalvelun Käyttöehtojen tai lainsäädännön vastaisesta toiminnasta ja niistä aiheutuneista vahingoista
• Palvelun käytön estävistä tilapäisistä toimintahäiriöistä, Palvelun ennalta ilmoitetuista huolto- tai asennustoimista aiheutuvista keskeytyksistä taikka Palvelun toiminnallisuuden ja tietoturvallisuuden kannalta kriittisistä asennus- tai korjaustoimista aiheutuvista keskeytyksistä tai
• Palvelutuottajasta riippumattomista teknisistä vioista tai tietoliikenneyhteyksien tai Internetverkon mahdollisista toimintakatkoista

Palveluun liittyy olennaisesti se, että hyödynnetään kolmannen osapuolen (Tiedontuottaja ja Tunnistusvälineen tuottaja) tarjoamia tietoja ja palveluja. Tällaisiin kolmannen osapuolen tarjoamiin tietoihin ja palveluihin sovelletaan kyseisen kolmannen osapuolen käyttö- ja muita ehtoja.

Palvelutuottaja ei vastaa miltään osin tällaisen kolmannen osapuolen tiedoista, palvelimista tai palveluista, niiden toimivuudesta tai niiden käytöstä tai muutoin mahdollisesti aiheutuneista vahingoista. Palvelutuottaja ei myöskään vastaa tällaisen kolmannen osapuolen palvelinten tai palvelujen tietoturvallisuudesta, tietosuojasta tai sisällöstä.

Palvelutuottajan vastuu rajoittuu ainoastaan Palveluun sekä Palvelussa käsitellyn ja tarjotun tiedon muuttumattomuuteen ja oikeellisuuteen siltä osin, kun sitä käsitellään Palvelussa tai luovutetaan Palvelusta, ja siltä osin, kun järjestelmät ja palvelimet, jolla tietoa käsitellään tai jonka välityksellä sitä luovutetaan, kuuluvat Palvelutuottajan vastuulle.

Vastuunrajoitus ei koske tilanteita, joissa vahinko johtuu Palvelutuottajan ta-
hallisuudesta tai törkeästä huolimattomuudesta

15 Vahingonkorvausvelvollisuus

Palvelutuottaja ei ole velvollinen korvaamaan Palvelun käytöstä Asiakasorganisaatiolle, Käyttäjälle tai Loppukäyttäjälle mahdollisesti aiheutuvia välillisiä vahinkoja. Palvelutuottaja vastaa Asiakasorganisaatiolle, Käyttäjälle tai Loppukäyttäjälle aiheutuvista välittömistä vahingoista, mikäli vahinko on seurausta Palvelutuottajan tahallisuudesta tai törkeästä huolimattomuudesta.

Palveluntuottaja ei ole vahingonkorvausvelvollinen Tiedontuottajan vastuulla olevien tietojen mahdollisen virheen aiheuttamista vahingoista.

Mikäli Asiointipalvelun tai Asiakasorganisaation toiminnan johdosta Palvelutuottaja joutuu suorittamaan korvauksia kolmannelle taholle, vastaa Asiakasorganisaatio Palvelutuottajalle täysimääräisesti Palvelutuottajan kolmannelle taholle suorittamista korvauksista. Muutoin vahinkojen korvaamiseen sovelletaan vahingonkorvauslakia.

16 Ylivoimainen este

Ylivoimainen este (force majeure) vapauttaa Palvelutuottajan Palveluun liittyvistä velvoitteista, mikäli se estää Palveluun liittyvän suorituksen tai kohtuuttomasti haittaa sitä. Ylivoimainen este voi olla esimerkiksi sota, kapina, sisäinen levottomuus, viranomaisen suorittama pakko-otto tai takavarikko julkiseen tarpeeseen tai muu määräys, lakko tai muu työnseisaus, luonnonmullistus, kuten maanjäristys tai tulva, yleisen liikenteen tai energiajakelun keskeytys, energian toimituksessa esiintyvä häiriö, raaka-aine- tai tarvikepula, ulkopuolisen aiheuttama tai ulkopuolisesta johtuva kaapeli- tai muu tietoliikennehäiriö tai muu sen kaltainen syy, joka ei ole ollut tiedossa ja johon ei ole kohtuudella voitu varautua ennalta.

Palvelutuottaja ilmoittaa ylivoimaisesta esteestä verkkosivuillaan ja Palveluhallintasivustolla tai vastaavalla viipymättä sen jälkeen, kun se on ilmennyt, mikäli ilmoittaminen on mahdollista.

17 Seuranta ja valvonta

Palvelutuottaja seuraa ja valvoo Palvelun käyttöä sekä tietosuojan ja tietoturvan toteutumista ja tietojen käsittelyn lainmukaisuutta Palvelua hyödynnettäessä.

Asiakasorganisaatio valvoo omalta osaltaan tietosuojan ja tietoturvan toteutumista ja tietojen käsittelyn lainmukaisuutta. Asiakasorganisaation on nimettävä tietosuoja- ja tietoturvavastaava, mikäli Palvelutuottaja näin edellyttää, sekä huolehdittava Palvelua käyttävän henkilöstön riittävästä tietoturvakoulutuksesta.

Jälkivalvonnan mahdollistamiseksi ylläpidetään tapahtuma- ja lokitietoja tietojen luovutuksista ja muusta käsittelystä. Palvelutuottaja ylläpitää Palvelusta erikseen määriteltyjä tapahtuma- ja lokitietoja. Asiakasorganisaation on ylläpidettävä Palvelun edellyttämät tapahtuma- ja lokitiedot. Tapahtuma- ja lokitietojen pohjana on tunnistetut Asiakasorganisaatiot ja Käyttäjät sekä Loppukäyttäjän ja muut tietojen käsittelyyn liittyvät tiedot. Jos väärinkäytöstä on aihetta epäillä, on tapahtuma- ja lokitietojen perusteella oltava mahdollista selvittää, kuka tietoja on käsitellyt ja millä perusteilla. Palvelutuottajalla on oikeus saada edellyttämänsä selvitys Palvelun käytöstä asettamassaan määräajassa Asiakasorganisaatiolta tai Käyttäjältä.

18 Palvelun auditointi

Palvelua auditoidaan kehittämisen ohella ja osana jatkuvaa ylläpitoa.

Palvelua voivat auditoida valtiovarainministeriö, Traficom, muu Palvelutuottajan toimintaa auditoiva taho tai Palvelutuottajan sopimusperusteisesti hankkima auditointia suorittava taho. Asiakasorganisaatioilla ei ole oikeutta auditoida Palvelua tai tehdä tarkastuksia siihen.

19 Oikeuksien ja velvollisuuksien siirtäminen

Asiakasorganisaatiolla on oikeus siirtää Palvelun käyttöoikeus ja siihen liittyvät oikeudet ja velvollisuudet osittain tai kokonaan sellaiselle toiselle kolmannelle osapuolelle, jolle Asiakasorganisaatiolle kuuluvia tehtäviä siirtyy. Siirrosta on ilmoitettava Palvelutuottajalle etukäteen kirjallisesti. Jos Asiointipalvelua ylläpitävä organisaatio vaihtuu, kolmannen osapuolen eli uuden Asiakasorganisaation tulee hakea uusi Palvelun käyttölupa. Palvelun käyttöoikeuden siirtyessä kolmannelle osapuolelle tämän on hyväksyttävä myös Palvelun käyttöehdot, jos kolmas osapuoli ei ole aiemmin ottanut Palvelua käyttöön.

Asiointipalvelua jatkossa tuottavan kolmannen osapuolen on ilmoitettava Palveluntuottajalle uudet yhteystiedot mm. Palvelua koskevaa tiedottamista varten. Samoin uusi Asiakasorganisaatio vastaa Palvelun hyödyntämiseen liittyvien pääsyoikeuksien siirtymisestä.

Palvelutuottajalla on oikeus siirtää Palvelun tuottamisoikeus ja siihen liittyvät oikeudet ja velvollisuudet osittain tai kokonaan sellaiselle toiselle valtionhallintoon kuuluvalle yksikölle, jolle Palvelutuottajalle kuuluvia tehtäviä mahdollisesti siirtyy.

20 Palvelun päättäminen

Asiakasorganisaatiolla on oikeus päättää Palvelun käyttäminen milloin tahansa ilman syytä, mutta palvelun päättämisestä päätettäessä on huomioitava lainsäädännön velvoitteet, kuten esimerkiksi julkishallinnon Palvelun käyttöä koskeva tukipalvelulain § 5.1.

Asiakasorganisaatio voi passivoida Palvelun tai lopettaa Palvelun käytön ilmoittamalla tästä Palveluhallintasivustolla tai muulla Palvelutuottajan edellyttämällä tavalla. Vastaavasti myös Käyttäjä voi ilmoittaa Palvelun käytöstä luopumisesta ilmoittamalla tästä Palveluhallintasivustolla tai muulla Palvelutuottajan edellyttämällä tavalla.

Palvelutuottajalla on oikeus päättää Palvelun tuottaminen kokonaisuudessaan tai osin, mikäli siihen on erityisen painavia perusteita. Palvelutuottaja voi sulkea tai keskeyttää Palvelun, jos on syytä epäillä Palvelun tietoturvallisuuden olevan uhattuna tai jos on syytä epäillä, että Palvelu ei ole toimivuudeltaan edellytetyn mukainen.

Palvelutuottajalla on lisäksi oikeus päättää Palvelun tuottaminen tietylle Asiakasorganisaatiolle tai päättää tietyn Käyttäjän käyttöoikeus kohdan Palvelutuottajan oikeus estää Palvelun käyttö mukaisilla perusteilla tai jos on perusteltua syytä epäillä muuta väärinkäyttöä. Palvelun tuottaminen tai käyttöoikeus voidaan päättää välittömästi. Mikäli välitön päättäminen ei ole Palvelutuottajan arvion mukaan tarpeen, Palvelutuottaja ilmoittaa päättämisestä ja sen perusteista etukäteen kirjallisesti.

Palvelutuottaja ei ole velvollinen korvaamaan Palvelun käytön tai tuottamisen päättämisestä mahdollisesti aiheutuvia tulonmenetyksiä tai vahinkoja Asiakasorganisaatioille tai muille tahoille.

21 Sovellettava laki ja erimielisyyksien ratkaiseminen

Palveluun sovelletaan Suomen lakia, pois lukien lainvalintaa koskevat säännökset.

Palvelutuottajan tekemät päätökset liittyen rekisteröintiin, hyväksyntään käyttää Palvelua ja käytön estämiseen ovat hallinnollisia päätöksiä, joihin liittyvät erimielisyydet ratkaistaan muutoksenhakumenettelyllä. Palvelutuottajan päätökseen saa hakea oikaisua Palvelutuottajalta. Oikaisua on vaadittava kirjallisella oikaisuvaatimuksella. Oikaisuvaatimuksen johdosta annettuun päätökseen voidaan hakea muutosta valittamalla. Muutosta voi hakea kirjallisella valituksella Helsingin hallinto-oikeudelta.

Oikaisuohje ja valitusosoitus:
Muut mahdolliset erimielisyydet pyritään ratkaisemaan ensi vaiheessa osapuolten välisin neuvotteluin.

Muun viranomaisen tai Tiedontuottajan tai kolmannen tahon ja Asiakasorganisaation välisiin sopimussuhteisiin ja käyttöehtoihin sovelletaan lakia ja ehtoja sen mukaan kuin niistä on erikseen säädetty tai sovittu.

Muun viranomaisen tai Tiedontuottajan tai kolmannen tahon ja Asiakasorganisaation väliset riidat ratkaistaan sen mukaan kuin niistä on erikseen säädetty tai sovittu.