Pöördumine

KINNITATUD Riigi Infosüsteemi Ameti peadirektori 18.09.2023 käskkirjaga nr 1.1-2/23-030 Riigi SSO teenuse (GovSSO) toodangukeskkonna teenustaseme lepe (SLA) Teenuse nimi Riigi SSO teenus (GovSSO) Teenuse omanik Elektroonilise identiteedi osakond Alates käskkirja kinnitamisest kuni käskkirja muutmise või Nõuete kehtivusaeg kehtetuks tunnistamiseni. Riigi SSO teenus (GovSSO) on Riigi Infosüsteemi Ameti arendatav ja hallatav platvorm, mis on liidestatud kolmanda isiku poolt pakutavate autentimismeetoditega ning teostab Teenuse lühikirjeldus autentimiseks vajalikke (andme)päringuid koos seansihaldusega. Riigi SSO teenuse (GovSSO) teenustaseme lepe ei taga kolmanda isiku teenuste käideldavust ja kättesaadavust. 1. Teenuse tööaeg 1.1. Teenustaseme klass I 1.2. Tööaeg 24/7 Tööaeg on kokkulepitud ajavahemik, millal IT-teenus on kasutajale garanteeritult kättesaadav. 1.3. Kasutajatugi Kokkulepitud ajavahemik, millal IT-teenus Kasutajatoe tööajal vastavalt Riigi Infosüsteemi on kliendile kättesaadav ning mille jooksul Ameti veebilehel väljatoodud kellaaegadele: pakutakse IT-teenusele kasutajatoe tuge https://www.ria.ee/et/kontaktid/kasutajatugi.html (kasutusnõustamine, planeerimata katkestuste lahendamine jms). Tööaja välisel ajal tagatakse teenuse töö parimal võimalikul (best effort) viisil. 1.4. Rikketeated 24/7 NB! Rikketeadete lahendamine toimub teenuse tööajal. 1.5. Korralised hooldustööd RIA toodangukeskkonna korrapärased hooldustööd toimuvad iga kuu kolmandal neljapäeval ajavahemikul 18.00–01.00. 1.6. Teenuse teavitused ja teavituskanalid RIA toodangukeskkonna teenuste tööajal toimuvatest katkestustest ning suurematest hooldustöödest teavitatakse teenuse kliente e- posti teel vähemalt 2 tööpäeva enne nende toimumist. Teenuste lõppkasutajatele kuvatakse teenuse katkestuste ajal hooldusteade.  KINNITATUD Riigi Infosüsteemi Ameti peadirektori 18.09.2023 käskkirjaga nr 1.1-2/23-030 2. Teenuse erinõuded 2.1. Planeeritud katkestusest etteteatamise aeg 48 h 3. Planeerimata katkestus Planeerimata katkestuste hulka arvestatakse ainult teenuse tööajal aset leidvad planeerimata katkestused. Planeerimata katkestuseks ei loeta olukorda, kus häiritud on üksikute kasutajate töö, kuid teenus on kättesaadav. 3.1. Ühe planeerimata katkestuse kestvus (h) 2h Maksimaalne lubatud ajavahemik tööajal, mille jooksul on vaja teenuse töö taastada. 3.2. Planeerimata katkestuste maksimaalne 24 h kogukestvus aastas (h) 3.3. SLA % (aastas) 99,7% 4. Planeeritud katkestus Planeeritud katkestus on eelnevalt kokkulepitud ajavahemik, mille jooksul teenus ei ole kättesaadav, katkestus ei mõjuta SLA-d. Planeeritud katkestuste hulka arvestatakse ainult teenuse tööajal toimuvaid planeeritud katkestusi. 4.1. Ühe planeeritud katkestuse maksimaalne 8h kestus 4.2. Maksimaalne planeeritud katkestuste arv 2 kuus 4.3. CI/CD tarnetest tingitud mikrokatkestuste 10 arv päevas (kuni 5 sekundi pikkused) 5. Kriisitaaste prioriteet Määratleb kriisiolukorras teenuste taastamise maksimaalse ajakulu ja prioriteedi, mis järjekorras katastroofolukorras teenuseid taastatakse. Esmalt taastakse kõrgema prioriteediga teenused (nendest omakorda esmalt ühised alussõltuvsed), seejärel madalma prioriteediga teenused. 5.1. Kriisitaaste prioriteet I (tegevuskriitiline) - taasteaeg kuni 3 ööpäeva (72h) 6. Lubatud andmekadu ja varundus 6.1. Lubatud andmekadu 24h Maksimaalne lubatud andmehulk, mis võib minna kaduma teenuse taastamise käigus. Määratud ajavahemikuna enne tõrget. 6.2. Varukoopiate säilitamine 24 h koopia - 1 nädal Ajavahemik, kui kaua säilitatakse 7 p koopia - 4 nädalat varukoopiaid enne kustutamist. 1 kuu koopia - 12 kuud  KINNITATUD Riigi Infosüsteemi Ameti peadirektori 18.09.2023 käskkirjaga nr 1.1-2/23-030 6.3. Infosüsteemi logide säilitamise aeg 18 kuud 7. Teenuse kvaliteedimõõdikud 7.1. Päringute arv 20-22 p/s Vastuvõetavate üheaegsete pöördumiste (autentimispäringute) arv sekundis 7.2. Vead päringutes 8% Lubatud vigaste päringute % päringute koguarvust. 7.3. Kestvus 2-4 s Kasutaja ooteaeg autentimisprotsessi sammudes (sekundites)  KINNITATUD Riigi Infosüsteemi Ameti peadirektori 18.09.2023 käskkirjaga nr 1.1-2/23-030 Riigi Infosüsteemi Ameti autentimisteenuste andmekaitsetingimused 1. Käesolevas dokumendis selgitatakse, milliseid isikuandmeid ja mis eesmärgil Riigi Infosüsteemi Ameti (edaspidi RIA) autentimisteenustes töödeldakse. 2. Käesolevad andmekaitsetingimused rakenduvad: 2.1. Riigi autentimisteenusele (TARA); 2.2. Riigi SSO teenusele (GovSSO); 2.3. Euroopa Liidu piiriülese autentimistaristu Eesti sõlmele (Riiklik eIDAS-Node). Käesolevad andmekaitsetingimused täiendavad ülaltoodud teenuste üldtingimusi. 3. Andmesubjekt (edaspidi kasutaja) on füüsiline isik, kes suunatakse Eesti või välisriigi klientrakendusest (nt e-teenusest) RIA autentimisteenustesse isikusamasuse tuvastamisele (autentimisele). 4. Isikuandmete töötlemise õiguslik alus RIA töötleb isikuandmeid käesoleva dokumendi punktis 2 toodud teenuste raames seadusest ja RIA põhimäärusest tuleneva haldusülesandena, mis võimaldab isiku autentimist teenustega liitunud kliendi jaoks. 5. Autentimisandmed 5.1. RIA autentimisteenustes töödeldakse kasutajate kohta järgmisi andmeid (“autentimisandmed”): 5.1.1. Kasutajat identifitseerivad andmed: 5.1.1.1. kasutaja autentimissertifikaat; 1 5.1.1.2. kasutaja isikukood vm isiku identifikaator; 5.1.1.3. kasutaja ees- ja perekonnanimi; 5.1.1.4. kasutaja sünniaeg; 5.1.1.5. kasutaja riik; 5.1.1.6. mobiiltelefoninumber; 5.1.1.7. registrikood vm juriidilise isiku identifikaator; 5.1.1.8. juriidilise isiku ärinimi; 5.1.1.9. kasutaja keelevalik; 5.1.1.10. Web eID veebisirvikulaienduse versioon ja omarakenduse versioon; 5.1.1.11. User-Agent HTTP päis ehk kasutaja veebisirvikut ja seadet profileeriv info. 5.1.2. Autentimistoimingu andmed: 5.1.2.1. kuupäev ja kellaaeg; 5.1.2.2. klientrakendus, kust kasutaja autentimisele suunati; 5.1.2.3. autentimismeetod; 5.1.2.4. IP-aadress, millelt kasutaja autentimisele suunati; 5.1.2.5. autentimise tulemus (autenditud või mitte). 1 Sertifikaatide profiili kirjeldus on leitav: https://www.skidsolutions.eu/repositoorium/profiil/  KINNITATUD Riigi Infosüsteemi Ameti peadirektori 18.09.2023 käskkirjaga nr 1.1-2/23-030 5.2. Autentimisandmete väljastamine 5.2.1. Autentimisandmed väljastatakse RIA autentimisteenustega liidestatud klientrakendustele ja Euroopa Liidu piiriülese autentimistaristu teise liikmesriigi sõlmele (eIDAS-Node) v.a punktides 5.1.1.1, 5.1.1.9, 5.1.1.10, 5.1.1.11 ja 5.1.2.4 nimetatud andmed. 5.2.2. ID-kaardi, Mobiil-ID ja Smart-ID-ga autentimise korral saadetakse autentimisandmed SK ID Solutions AS-i välistele teenustele järgmises koosseisus: 5.2.2.1. Kehtivuskinnitusteenus (kasutaja autentimissertifikaadi seerianumber); 5.2.2.2. MID REST API veebiteenus (kasutaja isikukood ja mobiiltelefoninumber); 5.2.2.3. Smart-ID veebiteenus (kasutaja isikukood). 5.2.3. Andmete väljastamisel lähtutakse isikuandmete töötlemise minimaalsuse põhimõttest. Väljastatakse minimaalsed autentimise fakti ja tuvastatud isikut identifitseerivad andmed. 5.2.4. Kasutajale on autentimise tulemus (sisse logitud või mitte) nähtav veebisirvikus. 5.3. Klientrakenduste, Euroopa Liidu autentimistaristu teise liikmesriigi sõlme (eIDAS- Node) ja SK ID Solutions AS-i teenustega (v.a kehtivuskinnitusteenus) suhtlemisel kasutatakse krüpteeritud kanaleid. 5.4. Eesti eID kasutaja autentimisandmete saatmisel Euroopa Liidu piiriülese autentimistaristuga (eIDAS-Node) liitunud teise riiki küsitakse TARAs kasutaja nõusolekut. 6. Turvalogi 6.1. RIA autentimisteenustes logitakse punktis 5.1 nimetatud andmeid järgmistel eesmärkidel: 6.1.1. teenuste väärkasutamise, sh identiteedivarguste ja nende katsete, samuti küberrünnakute avastamiseks ja uurimiseks; 6.1.2. tehniliste tõrgete avastamiseks ja kõrvaldamiseks. Tehniline tõrge võib olla nii riist- kui ka tarkvara viga, võrguühenduse viga vms; 6.1.3. RIA autentimisteenustega liidestatud e-teenuse omanike (asutuste) poolt raporteeritud tehniliste probleemide põhjuste väljaselgitamiseks; 6.1.4. kasutajate pöördumiste (teated võimalike turvaprobleemide või tehniliste rikete kohta) menetlemiseks. 6.2. Logile juurdepääs on rangelt vajaduspõhine. Ligi pääsevad ainult RIA autentimisteenuste käitamisega otseselt seotud süsteemi- ja teenusehaldurid, vajadusel ka turvaintsidentide uurimisega tegelevad ametiisikud. 6.3. Autentimisi soovitame logida ka klientrakenduse poolel. See on vajalik nii tehniliste tõrgete kui ka teenuse väärkasutuse tuvastamisel ja uurimisel. 6.4. Logisid säilitatakse 18 kuud. 7. Statistikalogi 7.1. Statistikalogi eesmärk on RIA autentimisteenuste kasutamise kohta statistika tootmine teenuste juhtimise ja edasiarendamise eesmärgil. 7.2. Statistikalogisse kogutakse punktides 5.1.2, 5.1.1.2 ja 5.1.1.7 nimetatud andmed. 7.3. Statistikalogi põhjal koostatakse ja avalikustatakse isikuandmeid mittesisaldavaid statistilisi aruandeid. 7.4. Logisid säilitatakse 18 kuud.  KINNITATUD Riigi Infosüsteemi Ameti peadirektori 18.09.2023 käskkirjaga nr 1.1-2/23-030 8. Kontaktisikud 8.1. Parema klienditeeninduse tagamise eesmärgil kogutakse autentimisteenustega liidestatud klientrakenduse kontaktisikute andmeid: 8.1.1. kontaktisiku nimi; 8.1.2. kontaktisiku isikukood; 8.1.3. kontaktisiku e-posti aadress; 8.1.4. kontaktisiku telefon. 9. Küpsiste kasutamise poliitika 9.1. Küpsiste kasutamise poliitika (edaspidi poliitika) kirjeldab, milliseid küpsiseid RIA autentimisteenustes kasutatakse, millist teavet küpsiste abil kogutakse ja kuidas seda teavet kasutatakse. 9.2. RIA autentimisteenustes talletatakse veebisirviku poolel autentimisteenuste toimimiseks vajalikke isikuandmeid mittesisaldavaid küpsiseid: Küpsise nimi Aegumise tähtaeg Eesmärk LOGIN_LOCALE 1 aasta Kasutaja keelevaliku salvestamiseks. __Host-LOCALE 1 aasta Kasutaja keelevaliku salvestamiseks. SESSION Veebisirviku Unikaalse seansiidentifikaatori seanss salvestamiseks. oauth2_authentication_sessio Veebisirviku Unikaalse seansiidentifikaatori n seanss salvestamiseks. __Host-XSRF-TOKEN 1 tund Võltspäringuründe kaitseks unikaalse identifikaatori salvestamiseks. oauth2_authentication_csrf_# 1 tund # - unikaalne arv. Võltspäringuründe kaitseks unikaalse identifikaatori salvestamiseks. oauth2_authentication_csrf Veebisirviku Võltspäringuründe kaitseks unikaalse seanss identifikaatori salvestamiseks. oauth2_consent_csrf_# 1 tund # - unikaalne arv. Võltspäringuründe kaitseks unikaalse identifikaatori salvestamiseks. oauth2_consent_csrf Veebisirviku Võltspäringuründe kaitseks unikaalse seanss identifikaatori salvestamiseks. __Host-AUTH 1 tund Võltspäringuründe ja taasesitusründe kaitseks unikaalsete identifikaatorite ja autentimistoimingu unikaalse identifikaatori salvestamiseks.  KINNITATUD Riigi Infosüsteemi Ameti peadirektori 18.09.2023 käskkirjaga nr 1.1-2/23-030 9.3. Lisaks salvestatakse viimati kasutatud autentimisvahendi tüüp veebisirviku kohalikus andmehoidlas active-tab väärtuses. 9.4. RIA jätab endale õiguse vajaduse korral muuta autentimisteenustega seotud küpsiste poliitikat, kusjuures muudatused jõustuvad selle poliitika uuendatud versiooni avalikustamisel RIA kodulehel. 10. Andmete varundamine 10.1. Varundusprotsess käivitatakse vähemalt korra ööpäeva jooksul. Kõikide teenuste komponentide andmete (konfiguratsioon, andmebaas, logid) tagavarakoopiad säilitatakse ühe põhimõtte alusel – 7 päeva / 4 nädalat / 12 kuud. 10.2. Taastada on võimalik jooksva nädala päevade, jooksva kuu nädalate lõpu või viimase 12 kuu lõpu seisuga salvestatud andmed. 10.3. Varunduslahenduses krüpteerimist ei kasutata. 11. Turvalogide väljastamine Turvalogi väljastatakse juhul, kui seda näeb ette seadus (näiteks õiguskaitseasutusele kriminaalmenetluses või andmesubjektile tema taotlusel). 12. Andmesubjekti õigused isikuandmete töötlemisel 12.1. Andmesubjektil on igal ajal õigus pöörduda RIA poole vastavasisulise lihtkirjaliku ja vabas vormis taotlusega e-posti aadressil [email protected], et: 12.1.1. Taotleda juurdepääsu andmesubjekti kohta käivatele isikuandmetele; 12.1.2. Asjakohasel juhul rakendada isikuandmete kaitse üldmääruse III peatükist tulenevaid muid õigusi.  KINNITATUD Riigi Infosüsteemi Ameti peadirektori 18.09.2023 käskkirjaga nr 1.1-2/23-030 Riigi SSO teenuse (GovSSO) üldtingimused 1 ÜLDSÄTTED 1.1 Riigi SSO teenus (edaspidi GovSSO) on Riigi Infosüsteemi Ameti (edaspidi RIA) osutatav teenus, mis teostab GovSSOga liitunud klientrakenduse jaoks füüsilise isiku autentimist koos seansihaldusega. 1.2 RIA osutab GovSSO teenust valitsussektori asutustele vastavalt Rahandusministeeriumi kodulehel toodud tabelile1 (v.a Muu avalik sektor). 1.2.1 Ülekaaluka avaliku huvi esinemise korral võib RIA teenust osutada ka muule isikule. 1.3 RIA osutab GovSSO teenust käesolevas dokumendis, GovSSO teenustaseme leppes (SLA), RIA autentimisteenuste andmekaitsetingimustes (edaspidi koos nimetatud teenuse tingimused) ja liitumislepingus kirjeldatud tingimustel. 2 MÕISTED Käesolevates tingimustes kasutatakse mõisteid järgmises tähenduses: Riigi SSO teenus RIA arendatav ja hallatav platvorm, mis on liidestatud kolmanda isiku poolt pakutavate autentimismeetoditega ning teostab autentimiseks vajalikke (andme)päringuid koos seansihaldusega; autentimispäring autentimistoimingu sooritamiseks RIA poolt kolmandale osapoolele tehtav sertifikaadi kehtivuse või isikuandmete kontrollpäring; klient teenusega liitunud asutus või isik; klientrakendus liidestatav kliendi infosüsteem, rakendus või teenus; teenuse tingimused käesolevad üldtingimused, GovSSO teenustaseme lepe (SLA) ja RIA autentimisteenuste andmekaitsetingimused kogumis; kokkulepe liitumisleping koos teenuse tingimustega. seansihaldus funktsionaalsus, mis võimaldab teostada kasutaja autentimisseansi loomist, seansi kehtivuse kontrolli, seansi uuendamist, seansi pikendamist ja seansi lõpetamist. 3 LIITUMINE 3.1 Teenuse toodangukeskkonnas kasutamise eelduseks on edukas teenuse testimine teenuse demokeskkonnas ja kinnitus selle kohta liitumistaotluses. 3.2 Teenuse kasutamiseks: 3.2.1 saadab klient digitaalallkirjastatud GovSSO toodangukeskkonnaga liitumistaotluse RIA kasutajatoe e-posti aadressile [email protected]; 1 Avaliku sektori üksuste nimekirja avaldab oma kodulehel Rahandusministeerium https://www.fin.ee/riik- ja-omavalitsused-planeeringud/riigihaldus. 1 (5)  KINNITATUD Riigi Infosüsteemi Ameti peadirektori 18.09.2023 käskkirjaga nr 1.1-2/23-030 3.2.2 RIA registreerib liitumistaotluse ning vajadusel küsib kliendilt täiendavat informatsiooni teenuse osutamiseks või osutamise põhjendatuse hindamiseks. 3.2.3 RIA-l on õigus teenuse osutamisest keelduda, kui klient ei vasta punkti 1.2 tingimusele ja punktis 1.2.1 sätestatud erisus ei kohaldu RIA hinnangul. 3.2.4 Liitumistaotluse rahuldamise korral saadab RIA kliendile eeltäidetud liitumislepingu, mille klient allkirjastab ja saadab tagasi RIA kasutajatoe e-posti aadressile [email protected]; 3.2.5 RIA allkirjastab liitumislepingu ja edastab kliendile teenuse kasutamiseks klientrakenduse identifikaatori ja salasõna. Teenus on kasutatav kohe peale klientrakenduse identifikaatori ja salasõna edastamist. 4 POOLTE ÕIGUSED JA KOHUSTUSED 4.1 Kliendil on õigus: 4.1.1 kasutada teenust õigusaktides ja kokkuleppes sätestatud tingimustel; 4.1.2 edastada teateid RIA kasutajatoele; 4.1.3 nõuda teenuse osutamist vastavalt GovSSO toodangukeskkonna teenustaseme leppele ja muudele teenuse tingimustele; 4.1.4 tutvuda teenuse osutamise tehnilise lahendusega ja autentimispäringute tasu arvestuse alustega; 4.1.5 loobuda teenuse kasutamisest teatades loobumise soovist RIA kasutajatoele 7 kalendripäeva ette. 4.2 Kliendil on kohustus: 4.2.1 kasutada teenust üksnes liitumistaotluses märgitud eesmärgil ning sihipäraselt; 4.2.2 mitte jagada teenust edasi RIA eelneva kirjaliku nõusolekuta kolmandatele isikutele; 4.2.3 mitte edastada klientrakenduse salasõna kolmandatele isikutele; 4.2.4 rakendada asjakohaseid turvameetmeid salasõna kaitseks ja teavitada RIA-t viivitamatult salasõna tõenäolisest või tegelikust lekkimisest; 4.2.5 teha kõik endast olenev, et mitte kahjustada GovSSO teenust ning tagada kliendi kontrolli all olevate tehniliste lahenduste ja süsteemide turvalisus; 4.2.6 teavitada RIA kasutajatuge 48 tundi ette planeeritavatest muudatustest, mis võivad mõjutada RIA poolt teenuse osutamist; 4.2.7 teavitada RIA kasutajatuge 14 päeva ette planeeritavatest muudatustest, mis võivad olla olulised, sh tuua kaasa päringute mahu märkimisväärse kasvu; 4.2.8 tasuda teenuse eest vastavalt RIA poolt esitatud arvetele; 4.2.9 teavitada RIA kasutajatuge esimesel võimalusel kontaktandmete ja organisatsioonilise vormi muutusest; 4.2.10 lugeda regulaarselt enda kontaktisiku e-posti aadressile RIA poolt saadetavaid kirju; 4.2.11 hüvitada RIA-le kokkuleppe rikkumisega kliendi süül, sh hooletusest tekkinud otsene varaline kahju. 4.3 RIA-l on õigus: 4.3.1 teenusesse lisada, eemaldada ja ajutiselt peatada autentimismeetodeid. RIA teavitab klienti autentimismeetodi peatamisest või eemaldamisest ette vähemalt 2 kuud, v.a kui autentimismeetodi eemaldamine või peatamine on tingitud kliendi või RIA süsteemide turvalisuse tagamise vajadusest; 4.3.2 seirata ja analüüsida teenuse kasutamist statistilistel, kvaliteedi ja turvalisuse tagamise eesmärkidel; 4.3.3 logida ja säilitada klientrakenduse logi ning avaldada klientrakenduse turvalogi seaduses ettenähtud juhtudel; 4.3.4 teha märkusi teenuse mittesihtotstarbelise kasutamise kohta; 2 (5)  KINNITATUD Riigi Infosüsteemi Ameti peadirektori 18.09.2023 käskkirjaga nr 1.1-2/23-030 4.3.5 piirata teenuse osutamist teenuse leppes ja õigusaktides sätestatud juhtudel, kui kliendi kontaktisikut on e-posti teel teavitatud enne teenuse osutamise piiramist vähemalt 5 (viis) tööpäeva ette. RIA-l on õigus peatada teenuse osutamine viivitamatult, kui seatakse ohtu teenuse käideldavus või turvalisus. 4.4 RIA-l on kohustus: 4.4.1 tagada teenuse kättesaadavus punktis 9 sätestatud ulatuses vastavalt GovSSO toodangukeskkonna teenustaseme leppele; 4.4.2 luua võimalus teenuse kasutamiseks peale RIA poolset liitumislepingu allkirjastamist. 4.5 Mõlemal poolel on kohustus: 4.5.1 esimesel võimalusel teisele poolele teatada kõigist asjaoludest, mis kahjustasid või võivad kahjustada teise poole infosüsteeme, samuti asjaoludest, mis võivad olla vajalikud tehniliste lahenduste ja süsteemide turvaliseks töötamiseks, hoolduseks või rikke kõrvaldamiseks; 4.5.2 teist poolt mõjutava rikke ilmnemisel asuma koheselt riket kõrvaldama ja informeerima rikkest ja selle kestvusest teist poolt. 5 TEAVITUSTE VORM 5.1 Pooled saadavad kõik teated kirjalikult, erandiks on teavitamine planeerimata katkestuse korral, kus võidakse kasutada teavitamist telefoni teel. 5.2 Klientrakenduste lisamiseks esitab klient liitumistaotluse, klientrakenduse eelmaldamiseks saadab klient e-postiga teate RIA kasutajatoele. 5.3 Klient saadab kõik teenuse osutamist puudutavad teated kliendi kontaktisiku vahendusel RIA kasutajatoele. Teiste isikute poolt saadetud nimetatud teated ei ole RIA-le täitmiseks kohustuslikud, v.a juhul, kui klient on teist isikut selleks volitanud ning RIA-t mõistliku aja jooksul eelnevalt teavitanud. 5.4 Kliendi kontaktisik edastab teated kasutajatoe kontaktidele: 5.4.1 e-posti aadressile: [email protected]; 5.4.2 telefonile: 666 8888; 5.5 Üksnes klienti puudutavad teated saadab RIA kliendi kontaktisiku e-posti aadressile. 6 TASU JA ARVELDUSED 6.1 Teenusega liitumine on kliendile tasuta. 6.2 Kliendil tuleb katta: 6.2.1 enda infosüsteemi arendamise ja liidestamise kulud; 6.2.2 enda infosüsteemi komponentide soetamise ja käitamisega seotud kulud; 6.2.3 autentimispäringute kulud vastavalt RIA poolt esitatud arvetele. 6.3 RIA-l on õigus esitada kliendile arve teenuse kasutamisel tehtud autentimispäringute eest, teavitades klienti hinnastamisest ette vähemalt 2 kuud. Autentimispäringute maksumus sõltub kolmanda osapoole poolt kehtestatud hinnast2 (mis võib olla muutuv tulenevalt päringute mahust kalendrikuus) ning fikseeritakse riigihanke alusel sõlmitud lepingus. 6.4 Arve esitatakse kord kvartalis, näidates arvel perioodi, mille eest arve esitatakse. RIA-l on õigus pakkuda teenust kliendile tasuta ja jätta arve esitamata eelarveliste vahendite olemasolul. 2 Päringute hinnakirjad: https://www.skidsolutions.eu/teenused/hinnakiri/. 3 (5)  KINNITATUD Riigi Infosüsteemi Ameti peadirektori 18.09.2023 käskkirjaga nr 1.1-2/23-030 6.5 Klient tasub arve pangaülekandega arvel märgitud arveldusarvele arve väljastamisele järgneva 14 (neljateistkümne) kalendripäeva jooksul. 7 AVALIKU TEABE JA ISIKUANDMETE TÖÖTLEMINE 7.1 RIA töötleb GovSSO teenuse osutamise raames isikuandmeid isikusamasuse tuvastamiseks kliendi tarbeks, edastades autentimise tulemuse kliendile. Autentimise raames töödeldavate isikuandmete osas on klient isikuandmete vastutav töötleja ning RIA volitatud töötleja. 7.2 RIA säilitab autentimistoimingu, sh autentimispäringute logisid ning on selles osas isikuandmete vastutav töötleja. 7.3 GovSSO teenuse raames töödeldavate isikuandmete koosseis ja andmete säilitamise tähtajad on sätestatud RIA autentimisteenuste andmekaitsetingimustes. 7.4 Pooled kohustuvad nõuetekohaselt määrama ja tähistama juurdepääsupiiranguga teabe (eeskätt isikuandmed ja turvaandmed, näiteks info turvameetmete, turvaintsidendi või selle ohu kohta või info tehnoloogiliste lahenduste kohta, mille avalikuks tuleks ohustaks infosüsteemi turvalisust). 7.5 Pool teavitab teist poolt viivitamatult, kui on kokkuleppe täitmise käigus saanud nõuetekohaselt märgistamata teabe, mis peaks seaduse järgi olema juurdepääsupiiranguga. Sellist teavet kohustub pool hoidma saladuses sõltumata nõuetekohase märgistuse puudumisest. 7.6 Pooled kohustuvad hoidma saladuses juurdepääsupiiranguga teavet ning töötlema ja avaldama seda üksnes seaduses sätestatud alustel ja korras. 7.7 Saladuses hoidmise kohustus (konfidentsiaalsuskohustus) kehtib vastavalt juurdepääsupiirangu tähtaegadele sõltumata kokkuleppe kehtivusest või lõppemisest. 7.8 Pooled edastavad juurdepääsupiiranguga teavet ainult nendele töötajatele, kes on teenusega otseselt seotud, ja kindlustavad, et need töötajad on teadlikud ja täidavad konfidentsiaalsuse nõuet. 7.9 Pooled rakendavad juurdepääsupiiranguga teabe, sealhulgas isikuandmete kaitseks asjakohaseid tehnilisi ja korralduslikke meetmeid tagamaks isikuandmete konfidentsiaalsuse, tervikluse ja käideldavuse. 7.10 Pooled teavitavad üksteist viivitamatult konfidentsiaalsuskohustuse täitmisega seonduvatest takistustest, mis on tekkinud või tõenäoliselt võivad tekkida. 7.11 Konfidentsiaalsuskohustuse rikkumist käsitletakse kui kokkuleppe olulist rikkumist. 7.12 Kõikides isikuandmete ja avaliku teabe töötlemisega seonduvates küsimustes saab pöörduda Riigi Infosüsteemi Ameti poole, saates päringu e-kirjaga aadressil [email protected]. 8 TINGIMUSTE MUUTMINE 8.1 RIA-l on õigus ühepoolselt muuta teenuse tingimusi, kui seda tingivad muudatused kehtivates õigusaktides või tavades, vastava valdkonna või teenuste tehnilised või sisulised arengud, klientidele teenuste kasutamiseks täiendavate või paremate võimaluste loomine või vajadus täpsustada teenuste osutamise või kasutamisega seotud asjaolusid. Teenuse tingimuste muudatustest teatab RIA kliendile kirjalikult hiljemalt 14 kalendripäeva ette (v.a punktis 6.3. sätestatud juhul). 8.2 Kui klient ei nõustu teenuse tingimuste muudatustega, on tal õigus kokkulepe lõpetada, teatades sellest RIA-le 1 (ühe) kuu jooksul arvates muudatuste kehtima hakkamise teate saamise päevast. Kokkuleppe ülesütlemiseni on kokkulepe kehtiv ja klient on kohustatud täitma oma kohustusi, kusjuures nende kohustuste täitmise osas kohaldatakse kliendi suhtes seniseid tingimusi. 4 (5)  KINNITATUD Riigi Infosüsteemi Ameti peadirektori 18.09.2023 käskkirjaga nr 1.1-2/23-030 8.3 Kui klient 1 (ühe) kuu jooksul arvates muudatuste kehtima hakkamise teate saamise päevast ei avalda soovi kokkulepet lõpetada, loetakse, et ta on vaikimisega nõustunud muudetud tingimustega. 9 VASTUTUS 9.1 RIA ei vastuta teenuse kättesaadavust ja kvaliteeti mõjutavate RIA-st mittesõltuvate asjaolude eest (sh autentimismeetodi ega autentimispäringute toimimise eest ulatuses, milles need on kolmanda osapoole vastutusalas) ega häirete, informatsiooni edastamise viivituste, jms juhtumite eest, mis ei allu RIA kontrollile. 9.2 RIA ei vastuta kliendi tegevuse või tegevusetusega põhjustatud andmete hävimise või kadumise ega teenuse mittetoimimise eest juhul, kui katkestus on põhjustatud kliendi tegevusest või tegevusetusest. 9.3 Pool ei vastuta kohustuste täitmata jätmise eest, kui see tuleneb vääramatust jõust. Vääramatu jõuna käsitlevad pooled asjaolu, mida pool ei saa mõjutada, sealhulgas, kuid mitte ainult tulekahju, plahvatus, loodusõnnetus, sõda, streik, üldine elektrikatkestus, äike, erakordsed ilmastikuolud. 9.4 Pool, kelle tegevus kokkuleppega sätestatud kohustuste täitmisel on takistatud vääramatu jõu asjaolude tõttu, on kohustatud sellest teisele poolele teatama esimesel võimalusel, kasutades sidevahendeid, mis tagavad operatiivseima infovahetuse. 9.5 Vääramatust jõust teatamisel lepivad pooled kokku, mil viisil ning mis mahus jätkata kokkuleppe täitmist kooskõlas riikliku kriisireguleerimise plaaniga. Antud kokkulepe vormistatakse esimesel võimalusel kirjalikult. 10 KOKKULEPPE LÕPPEMINE 10.1 Kokkulepe lõppeb kokkuleppes, teenuse tingimustes ja/või õigusaktides toodud alustel. 10.2 Pooltel on õigus kokkulepe üles öelda, teatades sellest teisele poolele ette seitse (7) kalendripäeva, kui kokkuleppes ei ole sätestatud teisiti. 10.3 RIA-l on õigus kokkulepe üles öelda ilma etteteatamise tähtaega järgimata ja lõpetada viivitamatult kliendile teenuse osutamine, kui pool on rikkunud oluliselt mistahes kokkuleppe tingimust. Oluliseks rikkumiseks loetakse muuhulgas: 10.3.1 rahaliste kohustuste täitmisega viivitamist üle ühe (1) kalendrikuu; 10.3.2 kokkuleppe tingimuste rikkumist ning rikkumise jätkamist pärast RIA poolse teavituse saamist või kui rikkumine on sedavõrd tõsine (nt tahtlik tegevus teenuste kahjustamiseks), et RIA-lt ei saa eeldada kokkuleppe täitmise jätkamist. 10.4 Kokkuleppe ülesütlemine või lõppemine ei vabasta poolt kohustusest täita teise poole ees vastava kokkuleppe kestuse ajal kokkuleppest tekkinud kohustusi. 5 (5)  Liitumisleping nr 4.2-27/24/32-1 Riigi Infosüsteemi Amet (edaspidi RIA), registreerimisnumber 70006317, asukoht Pärnu mnt 139a, Tallinn, 15169, keda esindab seaduse ja põhimääruse alusel peadirektor Joonas Heiter, ja Tervise ja Heaolu Infosüsteemide Keskus (edaspidi klient), registreerimisnumber 70009770, asukoht Pärnu mnt 132, Tallinn, 11317, keda esindab esindusõiguse alusel direktor Margus Arm, keda nimetatakse edaspidi pool või koos pooled, on kokku leppinud RIA poolt kliendile järgmise teenuse osutamises: Riigi SSO teenus (GovSSO) liitumistaotluses, teenuse üldtingimustes, teenustaseme leppes (SLA) ja RIA autentimisteenuste andmekaitsetingimustes sätestatud tingimustel. Liitumislepingule alla kirjutamisega kinnitab klient, et on teenuse tingimustega tutvunud ning kohustub neid täitma. Liitumisleping jõustub hetkel, kui mõlemad pooled on sellele alla kirjutanud ja kehtib tähtajatult. Riigi Infosüsteemi Amet Tervise ja Heaolu Infosüsteemide Keskus Nimi: Joonas Heiter Margus Arm Reg.nr: 70006317 70006317 Aadress: Pärnu mnt 139a, 15169 Tallinn Pärnu mnt 132, Tallinn, 11317 Tel.nr: 663 0200 7943900 E-post: [email protected] [email protected] Kontakt: Kasutajatugi, [email protected] Kontaktisik: Hendrik Metspalu Kady Adamson Kontaktisiku e-post: [email protected] [email protected] Kontaktisiku telefon: 5917 1674 5130 513 Kasutajatoe telefon: 666 8888 7943 943 /poolte poolt allkirjastatud digitaalselt/