Tämä on käännös. Jos se poikkeaa englanninkielisestä versiosta, englanninkielinen versio on voimassa. Lue englanninkielinen versio

Henkilötietojen käsittelysopimus (DPA)

Päivitetty viimeksi: joulukuu 2025

Tämä henkilötietojen käsittelysopimus (”DPA”) on osa pääpalvelusopimusta ja/tai käyttöehtoja (”Sopimus”), ja siihen sovelletaan Sopimusta. Osapuolet ovat:

Ampliro AB, organisaationumero 559488-1517, Warfvinges väg 31, 112 51 Stockholm, Ruotsi, joka toimii osoitteessa diplino.com saatavilla olevan Diplino-alustan (”Diplino”, ”Palvelu”) puolesta ja sen tarjoajana (käsittelijä), ja
Sopimuksessa yksilöity asiakas (rekisterinpitäjä).

Tässä DPA:ssa määritellään ehdot, joiden mukaisesti Ampliro käsittelee henkilötietoja rekisterinpitäjän puolesta Diplinon todistusten ja osaamismerkintöjen hallintapalvelujen tarjoamisen yhteydessä.

Jos tämän DPA:n ja Sopimuksen välillä on ristiriita henkilötietojen käsittelyn osalta, tämä DPA on ensisijainen ristiriidan laajuudessa.

1. Määritelmät

Tässä DPA:ssa seuraavilla termeillä on alla esitetyt merkitykset. Termeillä, joita ei ole määritelty tässä DPA:ssa, on Sopimuksessa tai sovellettavassa tietosuojalainsäädännössä niille annettu merkitys.

”Sovellettava tietosuojalainsäädäntö” tarkoittaa kaikkia tämän DPA:n mukaiseen henkilötietojen käsittelyyn sovellettavia tietosuojaa ja yksityisyyttä koskevia lakeja ja määräyksiä, mukaan lukien soveltuvin osin EU:n yleinen tietosuoja-asetus (asetus (EU) 2016/679, ”GDPR”), Yhdistyneen kuningaskunnan GDPR (UK GDPR) ja kansallinen täytäntöönpanolainsäädäntö.
”Rekisterinpitäjä” tarkoittaa tahoa, joka määrittää henkilötietojen käsittelyn tarkoitukset ja keinot.
”Käsittelijä” tarkoittaa tahoa, joka käsittelee henkilötietoja rekisterinpitäjän puolesta.
”Henkilötiedot” tarkoittavat kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön (”rekisteröity”) liittyviä tietoja.
”Käsittely”, ”rekisteröity”, ”henkilötietojen tietoturvaloukkaus”, ”valvontaviranomainen”, ”alikäsittelijä”, ”kolmas maa” ja muut määritellyt termit tarkoittavat samaa kuin GDPR:ssä.
”Palvelut” tarkoittavat Diplinon todistusten ja osaamismerkintöjen hallintapalveluja, joita Ampliro tarjoaa rekisterinpitäjälle Sopimuksen nojalla.

2. Osapuolten roolit

2.1 Rekisterinpitäjä ja käsittelijä
Tässä DPA:ssa kuvatun henkilötietojen käsittelyn osalta rekisterinpitäjä on sovellettavassa tietosuojalainsäädännössä tarkoitettu ”rekisterinpitäjä” ja Ampliro on ”henkilötietojen käsittelijä”.

2.2 Itsenäisenä rekisterinpitäjänä toteutettavat toimet
Rekisterinpitäjä hyväksyy, että Ampliro voi käsitellä tiettyjä henkilötietoja itsenäisenä rekisterinpitäjänä omiin oikeutettuihin tarkoituksiinsa, kuten laskutukseen, lakisääteisten velvoitteiden noudattamiseen, tietoturvalokien ylläpitämiseen, petosten estämiseen ja palveluanalytiikkaan, kuten Ampliron/Diplinon tietosuojakäytännössä kuvataan. Tällainen käsittely ei kuulu tämän DPA:n soveltamisalaan, ja siihen sovelletaan asianomaisia tietosuojailmoituksia.

3. Käsittelyn kohde, luonne, tarkoitus ja kesto

3.1 Kohde
Ampliro käsittelee henkilötietoja rekisterinpitäjän puolesta Diplino-palvelujen tarjoamisen yhteydessä, mukaan lukien digitaalisten todistusten ja osaamismerkintöjen luominen, hallinta, tallentaminen ja todentaminen.

3.2 Käsittelyn luonne ja tarkoitus
Käsittelytoimiin kuuluvat Palvelujen tarjoamisen ja tukemisen edellyttämässä laajuudessa:

Digitaalisten todistusten ja osaamismerkintöjen luominen, myöntäminen ja hallinta;
Osallistujien ja vastaanottajien tietojen tallentaminen ja hallinta;
Todistusten todentamis- ja varmennustoimintojen tarjoaminen;
Käyttäjätilien ja roolien hallinta (esim. ylläpitäjät, kouluttajat, myöntäjät);
Todistuksiin ja Palveluun liittyvien sähköposti-ilmoitusten lähettäminen (esim. myöntäminen, päivitykset tai muistutukset);
Tuki, ylläpito, vianmääritys ja tietoturvavalvonta;
Palvelun toimittamisen edellyttämä hosting, varmuuskopiointi, lokitus ja tekninen ylläpito.

3.3 Käsittelyn kesto
Käsittely alkaa Sopimuksen voimaantulopäivänä ja jatkuu niin kauan kuin Ampliro tarjoaa Palveluja rekisterinpitäjälle sekä Sopimuksen tai sovellettavan tietosuojalainsäädännön edellyttämän tai salliman säilytysajan. Sopimuksen päättyessä tai rauetessa käsittely lakkaa, ja henkilötiedot poistetaan tai palautetaan tämän DPA:n kohdan 13 mukaisesti.

4. Rekisteröityjen ryhmät ja henkilötietojen tyypit

4.1 Rekisteröityjen ryhmät
Henkilötiedot, joita Ampliro käsittelee rekisterinpitäjän puolesta, voivat koskea seuraavia rekisteröityjen ryhmiä:

Todistusten vastaanottajat (esim. kurssien osallistujat, opiskelijat, työntekijät, alihankkijat), joille rekisterinpitäjä myöntää todistuksia Diplinon kautta;
Rekisterinpitäjän Diplino-organisaation käyttäjät (esim. ylläpitäjät, kouluttajat, myöntäjät);
Muut henkilöt, joiden tietoja voi näkyä todistuksissa tai metatiedoissa rekisterinpitäjän määrittämällä tavalla.

4.2 Henkilötietojen tyypit
Käsiteltäviin henkilötietoihin voivat kuulua muun muassa:

Tunniste- ja yhteystiedot:
- Nimi, sähköpostiosoite (valinnainen rekisterinpitäjän asetuksista riippuen);
Ammatilliset tiedot:
- Yrityksen tai organisaation nimi, osasto, työnimike tai rooli;
Todistus- ja osaamistiedot:
- Todistuksen tiedot (esim. kurssin nimi, suoritustila, myöntämispäivä, voimassaolon päättymispäivä, yksilölliset todistustunnisteet);
- Todentamis- ja varmennustiedot (esim. kryptografiset allekirjoitukset, tiivisteet, todentamislokit);
Tili- ja käyttötiedot:
- Käyttäjän rooli rekisterinpitäjän Diplino-organisaatiossa (esim. ylläpitäjä, kouluttaja);
- Käyttäjätunnisteet, kirjautumisten aikaleimat ja toimintalokit Palvelussa;
Tekniset ja tietoturvatiedot:
- IP-osoite, selaintyyppi, likimääräinen sijainti (IP-osoitteen perusteella), tietoturvalokit sekä pääsyyn ja muutoksiin liittyvät tarkastuslokit.

Rekisterinpitäjä sitoutuu olemaan tarkoituksellisesti tallentamatta Palveluun erityisiin henkilötietoryhmiin kuuluvia tietoja (GDPR:n 9 artikla) tai rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja (GDPR:n 10 artikla), ellei siitä ole nimenomaisesti sovittu kirjallisesti Ampliron kanssa ja ellei lisäsuojatoimia toteuteta.

5. Käsittelijän velvollisuudet

Ampliro sitoutuu käsittelijänä:

5.1 Ohjeet
Käsittelemään henkilötietoja vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, myös henkilötietojen siirroissa kolmanteen maahan, paitsi jos EU:n tai jäsenvaltion lainsäädäntö tai muu sovellettava tietosuojalainsäädäntö sitä edellyttää. Tällaisessa tapauksessa Ampliro ilmoittaa rekisterinpitäjälle kyseisestä oikeudellisesta vaatimuksesta ennen käsittelyä, paitsi jos laki kieltää tällaisen ilmoittamisen.

5.2 Luottamuksellisuus
Varmistamaan, että henkilöt, joilla on oikeus käsitellä henkilötietoja, ovat sitoutuneet asianmukaisiin salassapitovelvoitteisiin tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus.

5.3 Käsittelyn turvallisuus
Toteuttamaan ja ylläpitämään asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi, kuten kohdassa 9 ja liitteessä 1 (Tekniset ja organisatoriset toimenpiteet) tarkemmin kuvataan.

5.4 Avustaminen rekisteröityjen oikeuksien toteuttamisessa
Avustamaan rekisterinpitäjää käsittelyn luonne huomioon ottaen asianmukaisin teknisin ja organisatorisin toimenpitein mahdollisuuksien mukaan, jotta rekisterinpitäjä voi täyttää velvollisuutensa vastata pyyntöihin, jotka koskevat sovellettavan tietosuojalainsäädännön mukaisten rekisteröityjen oikeuksien käyttämistä (ks. kohta 11).

5.5 Avustaminen säännösten noudattamisessa
Avustamaan rekisterinpitäjää GDPR:n 32–36 artiklan mukaisten velvoitteiden (tai muun sovellettavan tietosuojalainsäädännön vastaavien säännösten) noudattamisen varmistamisessa, ottaen huomioon käsittelyn luonne ja Ampliron saatavilla olevat tiedot, myös tietoturvan, tietosuojaa koskevien vaikutustenarviointien ja valvontaviranomaisten kanssa käytävien ennakkokuulemisten osalta.

5.6 Asiakirjat ja tiedot
Saattamaan rekisterinpitäjän saataville kaikki tiedot, jotka ovat kohtuudella tarpeen tämän DPA:n ja sovellettavan tietosuojalainsäädännön noudattamisen osoittamiseksi, sekä mahdollistamaan kohdassa 12 kuvatut auditoinnit ja tarkastukset ja osallistumaan niihin.

5.7 Tietojen poistaminen ja palauttaminen
Poistamaan tai palauttamaan Palvelujen päättyessä tai rauetessa kaikki rekisterinpitäjän puolesta käsitellyt henkilötiedot kohdan 13 mukaisesti, ellei sovellettava tietosuojalainsäädäntö edellytä niiden säilyttämistä.

6. Rekisterinpitäjän velvollisuudet

Rekisterinpitäjä sitoutuu:

Varmistamaan, että sillä on pätevä oikeusperuste henkilötietojen käsittelylle ja Ampliron käyttämiselle käsittelijänä sovellettavan tietosuojalainsäädännön mukaisesti;
Varmistamaan, että rekisteröidyille on annettu kaikki tarvittavat tietosuojailmoitukset ja että tarvittaessa suostumukset on saatu;
Olemaan antamatta Amplirolle ohjeita käsitellä henkilötietoja tavalla, joka rikkoisi sovellettavaa tietosuojalainsäädäntöä;
Vastaamaan Amplirolle toimitettujen henkilötietojen oikeellisuudesta, laadusta ja lainmukaisuudesta sekä siitä, miten rekisterinpitäjä päättää käyttää Palveluja.

7. Alikäsittelijät

7.1 Hyväksytyt alikäsittelijät
Rekisterinpitäjä antaa Amplirolle yleisen luvan käyttää alikäsittelijöitä henkilötietojen käsittelyyn rekisterinpitäjän puolesta edellyttäen, että Ampliro:

Varmistaa, että kutakin alikäsittelijää sitovat kirjalliset tietosuojavelvoitteet, jotka eivät ole suojan tasoltaan heikompia kuin tässä DPA:ssa määritellyt; ja
Vastaa edelleen täysimääräisesti rekisterinpitäjälle alikäsittelijän velvoitteiden täyttämisestä.

7.2 Nykyiset alikäsittelijät
Ajantasainen luettelo Palvelujen yhteydessä käytettävistä alikäsittelijöistä on saatavilla osoitteessa:

Alikäsittelijäluettelo

Tätä luetteloa voidaan päivittää ajoittain.

7.3 Muutokset alikäsittelijöihin
Ampliro ilmoittaa suunnitelluista muutoksista alikäsittelijöihin (esimerkiksi päivittämällä alikäsittelijäluettelon ja/tai Palvelun tai sähköpostin kautta). Rekisterinpitäjä voi vastustaa tällaisia muutoksia perustellusta tietosuojaan liittyvästä syystä. Jos rekisterinpitäjä esittää perustellun vastalauseen eivätkä osapuolet pääse molempia tyydyttävään ratkaisuun, rekisterinpitäjä voi irtisanoa asianomaiset Palvelut Sopimuksen mukaisesti.

8. Kansainväliset tiedonsiirrot

8.1 Siirrot
Siltä osin kuin Ampliro tai sen alikäsittelijät siirtävät henkilötietoja ETA:sta, Yhdistyneestä kuningaskunnasta tai Sveitsistä kolmanteen maahan, siirto toteutetaan sovellettavan tietosuojalainsäädännön mukaisesti, mukaan lukien soveltuvin osin:

Euroopan komission vakiosopimuslausekkeiden (SCC) käyttö henkilötietojen siirroissa kolmansiin maihin; ja/tai
Muu sovellettavan tietosuojalainsäädännön tunnustama vastaava tai korvaava siirtomekanismi (esim. Yhdistyneen kuningaskunnan kansainvälisiä tiedonsiirtoja koskeva lisäys, UK International Data Transfer Addendum).

8.2 Lisävakuutukset
Ampliro toimittaa rekisterinpitäjän kirjallisesta pyynnöstä tiedot asianomaisissa siirtotilanteissa käytössä olevista siirtomekanismeista ja tekee tarvittaessa asianmukaiset täydentävät sopimukset ja suojatoimet.

9. Turvallisuustoimenpiteet

Ampliro toteuttaa ja ylläpitää asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi ottaen huomioon käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset sekä rekisteröityjen oikeuksiin ja vapauksiin kohdistuvat todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit. Näihin toimenpiteisiin kuuluvat muun muassa liitteessä 1 (Tekniset ja organisatoriset toimenpiteet) kuvatut toimenpiteet, ja ne voivat sisältää:

Tallennettujen ja siirrettävien tietojen salaus (esim. TLS 1.3 siirrettäville tiedoille);
Vahvojen kryptografisten allekirjoitusten (esim. Ed25519) käyttö todistusten eheyden varmistamiseen ja todentamiseen;
Pääsynhallinta, todennus ja vähimpien oikeuksien periaate henkilöstön ja järjestelmäkomponenttien osalta;
Henkilötietoihin kohdistuvan pääsyn säännöllinen tietoturvavalvonta, lokitus ja auditointi;
Turvalliset ohjelmistokehitys- ja käyttöönottokäytännöt.

Ampliro voi päivittää teknisiä ja organisatorisia toimenpiteitään ajoittain edellyttäen, että päivitykset eivät olennaisesti heikennä suojan yleistä tasoa.

10. Ilmoitus tietoturvaloukkauksesta

Jos rekisterinpitäjän puolesta käsiteltyihin henkilötietoihin kohdistuu henkilötietojen tietoturvaloukkaus, Ampliro:

Ilmoittaa siitä rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan tietää henkilötietojen tietoturvaloukkauksesta ja mahdollisuuksien mukaan viimeistään 72 tunnin kuluessa; ja
Toimittaa Ampliron kohtuudella saatavilla olevat tiedot:
- Henkilötietojen tietoturvaloukkauksen luonteesta;
- Asianomaisten rekisteröityjen ja henkilötietotietueiden ryhmistä ja arvioidusta määrästä;
- Henkilötietojen tietoturvaloukkauksen todennäköisistä seurauksista;
- Toimenpiteistä, jotka on toteutettu tai joita ehdotetaan toteutettaviksi henkilötietojen tietoturvaloukkauksen käsittelemiseksi ja sen mahdollisten haitallisten vaikutusten lieventämiseksi.

Ampliro tekee yhteistyötä rekisterinpitäjän kanssa ja ryhtyy kohtuullisiin toimiin avustaakseen rekisterinpitäjää täyttämään sovellettavan tietosuojalainsäädännön mukaiset velvollisuudet ilmoittaa valvontaviranomaisille tai rekisteröidyille.

11. Rekisteröityjen oikeudet

Ampliro avustaa rekisterinpitäjää käsittelyn luonne huomioon ottaen asianmukaisin teknisin ja organisatorisin toimenpitein mahdollisuuksien mukaan, jotta rekisterinpitäjä voi täyttää velvollisuutensa vastata pyyntöihin, jotka koskevat rekisteröityjen oikeuksien käyttämistä, mukaan lukien:

Oikeus saada pääsy tietoihin (GDPR:n 15 artikla);
Oikeus tietojen oikaisemiseen (GDPR:n 16 artikla);
Oikeus tietojen poistamiseen (GDPR:n 17 artikla);
Oikeus käsittelyn rajoittamiseen (GDPR:n 18 artikla);
Oikeus siirtää tiedot järjestelmästä toiseen (GDPR:n 20 artikla);
Vastustamisoikeus (GDPR:n 21 artikla).

Jos rekisteröity ottaa suoraan yhteyttä Ampliroon tämän DPA:n nojalla käsiteltyjä henkilötietoja koskevalla pyynnöllä, Ampliro ilmoittaa rekisteröidylle lain sallimissa rajoissa, että pyyntö on osoitettava asianomaiselle rekisterinpitäjälle, ja välittää pyynnön viipymättä rekisterinpitäjälle.

12. Auditointi- ja tarkastusoikeudet

12.1 Asiakirjat ja tiedot
Ampliro saattaa rekisterinpitäjän saataville tiedot, jotka ovat kohtuudella tarpeen tämän DPA:n ja sovellettavan tietosuojalainsäädännön mukaisten velvoitteidensa noudattamisen osoittamiseksi, ja niihin voivat kuulua:

Asianomaisia teknisiä ja organisatorisia toimenpiteitä kuvaavat asiakirjat;
Vakiomuotoiset tietoturva-asiakirjat ja/tai kolmansien osapuolten vahvistukset (jos saatavilla).

12.2 Auditoinnit
Jos tällaiset asiakirjat eivät riitä osoittamaan säännösten noudattamista, rekisterinpitäjä voi omalla kustannuksellaan ja kohtuullisella ennakkoilmoituksella (vähintään 30 päivää) suorittaa tai valtuuttaa toisen suorittamaan auditoinnin, mukaan lukien tarkastukset, Ampliron tiloihin, järjestelmiin ja asianomaisiin asiakirjoihin siinä laajuudessa kuin on tarpeen sen varmistamiseksi, että Ampliro noudattaa tätä DPA:ta. Auditointi:

Suoritetaan tavanomaisena työaikana;
Ei saa kohtuuttomasti häiritä Ampliron toimintaa;
Edellyttää asianmukaisia salassapitovelvoitteita;
Rajoittuu kerran 12 kuukaudessa tapahtuvaan auditointiin, ellei sovellettava tietosuojalainsäädäntö edellytä tiheämpiä auditointeja henkilötietojen tietoturvaloukkauksen jälkeen tai valvontaviranomaisen erityisten vaatimusten perusteella.

13. Henkilötietojen poistaminen ja palauttaminen

13.1 Päättymisen yhteydessä
Sopimuksen päättyessä tai rauetessa tai rekisterinpitäjän kirjallisesta pyynnöstä Ampliro:

Poistaa tai anonymisoi rekisterinpitäjän puolesta käsitellyt henkilötiedot; tai
Palauttaa henkilötiedot rekisterinpitäjälle yleisesti käytetyssä sähköisessä muodossa, jos sitä pyydetään ja se on teknisesti mahdollista,

paitsi jos sovellettava tietosuojalainsäädäntö edellyttää, että Ampliro säilyttää osan henkilötiedoista tai kaikki henkilötiedot pidempään (esimerkiksi oikeudellisista, verotuksellisista tai kirjanpidollisista syistä).

13.2 Varmuuskopiot ja lokit
Varmuuskopioihin tai arkistoituihin lokeihin tallennetut henkilötiedot suojataan turvallisesti ja mahdollisuuksien mukaan korvataan tai poistetaan Ampliron tavanomaisten varmuuskopiointi- ja säilytysjaksojen mukaisesti.

13.3 Koostetut ja anonymisoidut tiedot
Mikään tässä DPA:ssa ei estä Ampliroa säilyttämästä tai käyttämästä anonymisoituja tai koostettuja tietoja, joiden perusteella yksittäistä henkilöä ei voida tunnistaa, sovellettavan tietosuojalainsäädännön mukaisesti.

14. Muut määräykset

14.1 Vastuunrajoitus
Osapuolten Sopimuksessa sopimia vastuunrajoituksia sovelletaan myös tähän DPA:han siinä laajuudessa kuin sovellettava tietosuojalainsäädäntö sen sallii.

14.2 Ehtojen erillisyys
Jos jokin tämän DPA:n määräys todetaan pätemättömäksi tai täytäntöönpanokelvottomaksi, muut määräykset pysyvät täysin voimassa.

14.3 Sovellettava laki ja tuomioistuin
Tähän DPA:han sovelletaan Sopimuksessa mainittua sovellettavaa lakia ja tuomioistuinta, ja sitä tulkitaan niiden mukaisesti, paitsi jos sovellettava tietosuojalainsäädäntö edellyttää muuta.

15. Yhteystiedot

Tätä DPA:ta tai Ampliron Diplinon yhteydessä suorittamaa henkilötietojen käsittelyä koskevissa tietosuoja- ja yksityisyyskysymyksissä rekisterinpitäjä voi ottaa yhteyttä:

Sähköposti: privacy@diplino.com
Postiosoite:
Ampliro AB
Attn: Privacy / Diplino
Warfvinges väg 31
112 51 Stockholm
Sweden

Liite 1: Tekniset ja organisatoriset toimenpiteet

Rajoittamatta Ampliron velvollisuutta toteuttaa asianmukaiset toimenpiteet GDPR:n 32 artiklan ja muun sovellettavan tietosuojalainsäädännön mukaisesti, seuraavat toimenpiteet havainnollistavat keskeisiä Diplino-palvelun yhteydessä toteutettuja suojatoimia:

Salaus ja kryptografia
- Siirrettävien tietojen salaus alan vakiintuneilla protokollilla (esim. TLS 1.3 tai vastaava).
- Tallennettujen tietojen salaus taustalla olevissa tietokannoissa ja tallennusjärjestelmissä.
- Vahvojen kryptografisten allekirjoitusten (esim. Ed25519) käyttö todistusten allekirjoittamiseen ja todentamiseen eheyden ja aitouden varmistamiseksi.
Pääsynhallinta ja identiteetinhallinta
- Roolipohjainen pääsynhallinta (RBAC) Palvelussa henkilötietoihin pääsyn rajoittamiseksi käyttäjäroolien perusteella (esim. ylläpitäjä, kouluttaja).
- Vahvat todennusmenetelmät ylläpitokäytössä.
- Vähimpien oikeuksien periaatteen soveltaminen sisäiseen henkilöstöön ja järjestelmiin, joilla on pääsy henkilötietoihin.
Verkko- ja infrastruktuuriturvallisuus
- Turvallisen pilvi-infrastruktuurin käyttö ja verkon segmentointi tarvittaessa.
- Palomuurit, tietoturvaryhmät ja vastaavat verkkokontrollit tuotantojärjestelmien suojaamiseksi.
- Tietoturvapäivitysten ja -korjausten säännöllinen asentaminen.
Lokitus, valvonta ja auditointi
- Todistuksiin ja henkilötietoihin liittyvien käyttäjätoimintojen ja pääsyn kirjaaminen tarkastuslokiin.
- Infrastruktuuritapahtumien keskitetty lokitus ja valvonta poikkeamien havaitsemista ja niihin reagoimista varten.
- Tarkastuslokien säilyttäminen tietoturva- ja vaatimustenmukaisuustarpeiden mukaisesti.
Kehitys ja muutoksenhallinta
- Turvalliset ohjelmistokehityskäytännöt, mukaan lukien koodikatselmointi, versionhallinta ja testaus.
- Hallitut käyttöönottoprosessit ja rajoitettu pääsy tuotantoympäristöihin.
- Kehitys-, testaus- ja tuotantoympäristöjen erottaminen toisistaan.
Organisatoriset toimenpiteet ja koulutus
- Salassapitovelvoitteet työntekijöille ja alihankkijoille, joilla on pääsy henkilötietoihin.
- Henkilöstön koulutus ja tietoisuuden lisääminen tietosuoja- ja tietoturvakäytännöistä.
- Sisäiset toimintaohjeet tietosuojasta, tietojen säilyttämisestä ja poikkeamiin reagoimisesta.
Liiketoiminnan jatkuvuus ja varmuuskopiointi
- Säännölliset varmuuskopiot ja testatut palautusmenettelyt Palvelun saatavuuden ja eheyden varmistamiseksi.
- Liiketoiminnan jatkuvuus- ja toipumissuunnitelmat kriittisille järjestelmille.
Riskienhallinta ja katselmoinnit
- Palveluun liittyvien tietoturva- ja tietosuojariskien säännölliset arvioinnit.
- Tietoturvakontrollien katselmointi ja parantaminen uusien riskien, alan käytäntöjen ja lakisääteisten vaatimusten valossa.

Ampliro voi ajan mittaan päivittää tai tarkentaa näitä toimenpiteitä edellyttäen, että muutokset eivät johda tietoturvan yleisen tason olennaiseen heikkenemiseen.