Kaitseressursside Amet liitumisleping Riigi SSO teenusega liitumiseks

Liitumisleping nr 4.2-27/24/7-1

Riigi Infosüsteemi Amet (edaspidi RIA), registreerimisnumber 70006317, asukoht Pärnu mnt

139a, Tallinn 15169, keda esindab seaduse ja põhimääruse alusel peadirektor Joonas Heiter,

ja Kaitseressursside Amet (edaspidi klient), registreerimisnumber 70007647, asukoht Aiandi

15, 12918 Tallinn, keda esindab põhimääruse alusel peadirektor Anu Rannaveski,

keda nimetatakse edaspidi pool või koos pooled, on kokku leppinud RIA poolt kliendile

järgmise teenuse osutamises:

Riigi SSO teenus (GovSSO) liitumistaotluses, teenuse üldtingimustes, teenustaseme leppes

(SLA) ja RIA autentimisteenuste andmekaitsetingimustes sätestatud tingimustel.

Liitumislepingule alla kirjutamisega kinnitab klient, et on teenuse tingimustega tutvunud ning

kohustub neid täitma.

Liitumisleping jõustub hetkel, kui mõlemad pooled on sellele alla kirjutanud ja kehtib

tähtajatult.

Riigi Infosüsteemi Amet Klient

Nimi: Kaitseressursside Amet

Reg.nr: 70006317 70007647

Aadress: Pärnu mnt 139a, 15169 Tallinn Aiandi 15, 12918 Tallinn,

Tel.nr: 663 0200 717 0700

E-post: [email protected] [email protected]

Kontakt: Kasutajatugi, [email protected]

Kontaktisik: ……………………………… Elli Varter

Kontaktisiku e-post: ……………………………… [email protected]

Kontaktisiku telefon: ……………………………… 5883 54191

Kasutajatoe telefon: 666 8888

/poolte poolt allkirjastatud digitaalselt/

KINNITATUD

Riigi Infosüsteemi Ameti peadirektori

18.09.2023 käskkirjaga nr 1.1-2/23-030

1 (5)

Riigi SSO teenuse (GovSSO) üldtingimused

1 ÜLDSÄTTED

1.1 Riigi SSO teenus (edaspidi GovSSO) on Riigi Infosüsteemi Ameti (edaspidi RIA) osutatav

teenus, mis teostab GovSSOga liitunud klientrakenduse jaoks füüsilise isiku autentimist

koos seansihaldusega.

1.2 RIA osutab GovSSO teenust valitsussektori asutustele

vastavalt Rahandusministeeriumi kodulehel toodud tabelile1 (v.a Muu avalik sektor).

1.2.1 Ülekaaluka avaliku huvi esinemise korral võib RIA teenust osutada ka muule isikule.

1.3 RIA osutab GovSSO teenust käesolevas dokumendis, GovSSO teenustaseme leppes

(SLA), RIA autentimisteenuste andmekaitsetingimustes (edaspidi koos nimetatud teenuse

tingimused) ja liitumislepingus kirjeldatud tingimustel.

2 MÕISTED

Käesolevates tingimustes kasutatakse mõisteid järgmises tähenduses:

Riigi SSO teenus RIA arendatav ja hallatav platvorm, mis on liidestatud

kolmanda isiku poolt pakutavate autentimismeetoditega ning

teostab autentimiseks vajalikke (andme)päringuid koos

seansihaldusega;

autentimispäring autentimistoimingu sooritamiseks RIA poolt kolmandale

osapoolele tehtav sertifikaadi kehtivuse või isikuandmete

kontrollpäring;

klient teenusega liitunud asutus või isik;

klientrakendus liidestatav kliendi infosüsteem, rakendus või teenus;

teenuse tingimused käesolevad üldtingimused, GovSSO teenustaseme lepe (SLA) ja

RIA autentimisteenuste andmekaitsetingimused kogumis;

kokkulepe liitumisleping koos teenuse tingimustega.

seansihaldus funktsionaalsus, mis võimaldab teostada kasutaja

autentimisseansi loomist, seansi kehtivuse kontrolli, seansi

uuendamist, seansi pikendamist ja seansi lõpetamist.

3 LIITUMINE

3.1 Teenuse toodangukeskkonnas kasutamise eelduseks on edukas teenuse testimine teenuse

demokeskkonnas ja kinnitus selle kohta liitumistaotluses.

3.2 Teenuse kasutamiseks:

3.2.1 saadab klient digitaalallkirjastatud GovSSO toodangukeskkonnaga liitumistaotluse RIA

kasutajatoe e-posti aadressile [email protected];

1 Avaliku sektori üksuste nimekirja avaldab oma kodulehel Rahandusministeerium https://www.fin.ee/riik-

ja-omavalitsused-planeeringud/riigihaldus.

KINNITATUD

Riigi Infosüsteemi Ameti peadirektori

18.09.2023 käskkirjaga nr 1.1-2/23-030

2 (5)

3.2.2 RIA registreerib liitumistaotluse ning vajadusel küsib kliendilt täiendavat

informatsiooni teenuse osutamiseks või osutamise põhjendatuse hindamiseks.

3.2.3 RIA-l on õigus teenuse osutamisest keelduda, kui klient ei vasta punkti 1.2 tingimusele

ja punktis 1.2.1 sätestatud erisus ei kohaldu RIA hinnangul.

3.2.4 Liitumistaotluse rahuldamise korral saadab RIA kliendile eeltäidetud liitumislepingu,

mille klient allkirjastab ja saadab tagasi RIA kasutajatoe e-posti aadressile [email protected];

3.2.5 RIA allkirjastab liitumislepingu ja edastab kliendile teenuse kasutamiseks

klientrakenduse identifikaatori ja salasõna. Teenus on kasutatav kohe peale

klientrakenduse identifikaatori ja salasõna edastamist.

4 POOLTE ÕIGUSED JA KOHUSTUSED

4.1 Kliendil on õigus:

4.1.1 kasutada teenust õigusaktides ja kokkuleppes sätestatud tingimustel;

4.1.2 edastada teateid RIA kasutajatoele;

4.1.3 nõuda teenuse osutamist vastavalt GovSSO toodangukeskkonna teenustaseme leppele

ja muudele teenuse tingimustele;

4.1.4 tutvuda teenuse osutamise tehnilise lahendusega ja autentimispäringute tasu arvestuse

alustega;

4.1.5 loobuda teenuse kasutamisest teatades loobumise soovist RIA kasutajatoele 7

kalendripäeva ette.

4.2 Kliendil on kohustus:

4.2.1 kasutada teenust üksnes liitumistaotluses märgitud eesmärgil ning sihipäraselt;

4.2.2 mitte jagada teenust edasi RIA eelneva kirjaliku nõusolekuta kolmandatele isikutele;

4.2.3 mitte edastada klientrakenduse salasõna kolmandatele isikutele;

4.2.4 rakendada asjakohaseid turvameetmeid salasõna kaitseks ja teavitada RIA-t

viivitamatult salasõna tõenäolisest või tegelikust lekkimisest;

4.2.5 teha kõik endast olenev, et mitte kahjustada GovSSO teenust ning tagada kliendi

kontrolli all olevate tehniliste lahenduste ja süsteemide turvalisus;

4.2.6 teavitada RIA kasutajatuge 48 tundi ette planeeritavatest muudatustest, mis võivad

mõjutada RIA poolt teenuse osutamist;

4.2.7 teavitada RIA kasutajatuge 14 päeva ette planeeritavatest muudatustest, mis võivad olla

olulised, sh tuua kaasa päringute mahu märkimisväärse kasvu;

4.2.8 tasuda teenuse eest vastavalt RIA poolt esitatud arvetele;

4.2.9 teavitada RIA kasutajatuge esimesel võimalusel kontaktandmete ja organisatsioonilise

vormi muutusest;

4.2.10 lugeda regulaarselt enda kontaktisiku e-posti aadressile RIA poolt saadetavaid kirju;

4.2.11 hüvitada RIA-le kokkuleppe rikkumisega kliendi süül, sh hooletusest tekkinud otsene

varaline kahju.

4.3 RIA-l on õigus:

4.3.1 teenusesse lisada, eemaldada ja ajutiselt peatada autentimismeetodeid. RIA teavitab

klienti autentimismeetodi peatamisest või eemaldamisest ette vähemalt 2 kuud, v.a kui

autentimismeetodi eemaldamine või peatamine on tingitud kliendi või RIA süsteemide

turvalisuse tagamise vajadusest;

4.3.2 seirata ja analüüsida teenuse kasutamist statistilistel, kvaliteedi ja turvalisuse tagamise

eesmärkidel;

4.3.3 logida ja säilitada klientrakenduse logi ning avaldada klientrakenduse turvalogi

seaduses ettenähtud juhtudel;

4.3.4 teha märkusi teenuse mittesihtotstarbelise kasutamise kohta;

KINNITATUD

Riigi Infosüsteemi Ameti peadirektori

18.09.2023 käskkirjaga nr 1.1-2/23-030

3 (5)

4.3.5 piirata teenuse osutamist teenuse leppes ja õigusaktides sätestatud juhtudel, kui kliendi

kontaktisikut on e-posti teel teavitatud enne teenuse osutamise piiramist vähemalt 5

(viis) tööpäeva ette. RIA-l on õigus peatada teenuse osutamine viivitamatult, kui

seatakse ohtu teenuse käideldavus või turvalisus.

4.4 RIA-l on kohustus:

4.4.1 tagada teenuse kättesaadavus punktis 9 sätestatud ulatuses vastavalt GovSSO

toodangukeskkonna teenustaseme leppele;

4.4.2 luua võimalus teenuse kasutamiseks peale RIA poolset liitumislepingu allkirjastamist.

4.5 Mõlemal poolel on kohustus:

4.5.1 esimesel võimalusel teisele poolele teatada kõigist asjaoludest, mis kahjustasid või

võivad kahjustada teise poole infosüsteeme, samuti asjaoludest, mis võivad olla

vajalikud tehniliste lahenduste ja süsteemide turvaliseks töötamiseks, hoolduseks või

rikke kõrvaldamiseks;

4.5.2 teist poolt mõjutava rikke ilmnemisel asuma koheselt riket kõrvaldama ja informeerima

rikkest ja selle kestvusest teist poolt.

5 TEAVITUSTE VORM

5.1 Pooled saadavad kõik teated kirjalikult, erandiks on teavitamine planeerimata katkestuse

korral, kus võidakse kasutada teavitamist telefoni teel.

5.2 Klientrakenduste lisamiseks esitab klient liitumistaotluse, klientrakenduse eelmaldamiseks

saadab klient e-postiga teate RIA kasutajatoele.

5.3 Klient saadab kõik teenuse osutamist puudutavad teated kliendi kontaktisiku vahendusel

RIA kasutajatoele. Teiste isikute poolt saadetud nimetatud teated ei ole RIA-le täitmiseks

kohustuslikud, v.a juhul, kui klient on teist isikut selleks volitanud ning RIA-t mõistliku aja

jooksul eelnevalt teavitanud.

5.4 Kliendi kontaktisik edastab teated kasutajatoe kontaktidele:

5.4.1 e-posti aadressile: [email protected];

5.4.2 telefonile: 666 8888;

5.5 Üksnes klienti puudutavad teated saadab RIA kliendi kontaktisiku e-posti aadressile.

6 TASU JA ARVELDUSED

6.1 Teenusega liitumine on kliendile tasuta.

6.2 Kliendil tuleb katta:

6.2.1 enda infosüsteemi arendamise ja liidestamise kulud;

6.2.2 enda infosüsteemi komponentide soetamise ja käitamisega seotud kulud;

6.2.3 autentimispäringute kulud vastavalt RIA poolt esitatud arvetele.

6.3 RIA-l on õigus esitada kliendile arve teenuse kasutamisel tehtud autentimispäringute eest,

teavitades klienti hinnastamisest ette vähemalt 2 kuud. Autentimispäringute maksumus

sõltub kolmanda osapoole poolt kehtestatud hinnast2 (mis võib olla muutuv tulenevalt

päringute mahust kalendrikuus) ning fikseeritakse riigihanke alusel sõlmitud lepingus.

6.4 Arve esitatakse kord kvartalis, näidates arvel perioodi, mille eest arve esitatakse. RIA-l on

õigus pakkuda teenust kliendile tasuta ja jätta arve esitamata eelarveliste vahendite

olemasolul.

2 Päringute hinnakirjad: https://www.skidsolutions.eu/teenused/hinnakiri/.

KINNITATUD

Riigi Infosüsteemi Ameti peadirektori

18.09.2023 käskkirjaga nr 1.1-2/23-030

4 (5)

6.5 Klient tasub arve pangaülekandega arvel märgitud arveldusarvele arve väljastamisele

järgneva 14 (neljateistkümne) kalendripäeva jooksul.

7 AVALIKU TEABE JA ISIKUANDMETE TÖÖTLEMINE

7.1 RIA töötleb GovSSO teenuse osutamise raames isikuandmeid isikusamasuse tuvastamiseks

kliendi tarbeks, edastades autentimise tulemuse kliendile. Autentimise raames töödeldavate

isikuandmete osas on klient isikuandmete vastutav töötleja ning RIA volitatud töötleja.

7.2 RIA säilitab autentimistoimingu, sh autentimispäringute logisid ning on selles osas

isikuandmete vastutav töötleja.

7.3 GovSSO teenuse raames töödeldavate isikuandmete koosseis ja andmete säilitamise

tähtajad on sätestatud RIA autentimisteenuste andmekaitsetingimustes.

7.4 Pooled kohustuvad nõuetekohaselt määrama ja tähistama juurdepääsupiiranguga teabe

(eeskätt isikuandmed ja turvaandmed, näiteks info turvameetmete, turvaintsidendi või selle

ohu kohta või info tehnoloogiliste lahenduste kohta, mille avalikuks tuleks ohustaks

infosüsteemi turvalisust).

7.5 Pool teavitab teist poolt viivitamatult, kui on kokkuleppe täitmise käigus saanud

nõuetekohaselt märgistamata teabe, mis peaks seaduse järgi olema juurdepääsupiiranguga.

Sellist teavet kohustub pool hoidma saladuses sõltumata nõuetekohase märgistuse

puudumisest.

7.6 Pooled kohustuvad hoidma saladuses juurdepääsupiiranguga teavet ning töötlema ja

avaldama seda üksnes seaduses sätestatud alustel ja korras.

7.7 Saladuses hoidmise kohustus (konfidentsiaalsuskohustus) kehtib vastavalt

juurdepääsupiirangu tähtaegadele sõltumata kokkuleppe kehtivusest või lõppemisest.

7.8 Pooled edastavad juurdepääsupiiranguga teavet ainult nendele töötajatele, kes on teenusega

otseselt seotud, ja kindlustavad, et need töötajad on teadlikud ja täidavad konfidentsiaalsuse

nõuet.

7.9 Pooled rakendavad juurdepääsupiiranguga teabe, sealhulgas isikuandmete kaitseks

asjakohaseid tehnilisi ja korralduslikke meetmeid tagamaks isikuandmete

konfidentsiaalsuse, tervikluse ja käideldavuse.

7.10 Pooled teavitavad üksteist viivitamatult konfidentsiaalsuskohustuse täitmisega

seonduvatest takistustest, mis on tekkinud või tõenäoliselt võivad tekkida.

7.11 Konfidentsiaalsuskohustuse rikkumist käsitletakse kui kokkuleppe olulist rikkumist.

7.12 Kõikides isikuandmete ja avaliku teabe töötlemisega seonduvates küsimustes saab

pöörduda Riigi Infosüsteemi Ameti poole, saates päringu e-kirjaga aadressil

[email protected].

8 TINGIMUSTE MUUTMINE

8.1 RIA-l on õigus ühepoolselt muuta teenuse tingimusi, kui seda tingivad muudatused

kehtivates õigusaktides või tavades, vastava valdkonna või teenuste tehnilised või sisulised

arengud, klientidele teenuste kasutamiseks täiendavate või paremate võimaluste loomine

või vajadus täpsustada teenuste osutamise või kasutamisega seotud asjaolusid. Teenuse

tingimuste muudatustest teatab RIA kliendile kirjalikult hiljemalt 14 kalendripäeva ette (v.a

punktis 6.3. sätestatud juhul).

8.2 Kui klient ei nõustu teenuse tingimuste muudatustega, on tal õigus kokkulepe lõpetada,

teatades sellest RIA-le 1 (ühe) kuu jooksul arvates muudatuste kehtima hakkamise teate

saamise päevast. Kokkuleppe ülesütlemiseni on kokkulepe kehtiv ja klient on kohustatud

täitma oma kohustusi, kusjuures nende kohustuste täitmise osas kohaldatakse kliendi suhtes

seniseid tingimusi.

KINNITATUD

Riigi Infosüsteemi Ameti peadirektori

18.09.2023 käskkirjaga nr 1.1-2/23-030

5 (5)

8.3 Kui klient 1 (ühe) kuu jooksul arvates muudatuste kehtima hakkamise teate saamise päevast

ei avalda soovi kokkulepet lõpetada, loetakse, et ta on vaikimisega nõustunud muudetud

tingimustega.

9 VASTUTUS

9.1 RIA ei vastuta teenuse kättesaadavust ja kvaliteeti mõjutavate RIA-st mittesõltuvate

asjaolude eest (sh autentimismeetodi ega autentimispäringute toimimise eest ulatuses,

milles need on kolmanda osapoole vastutusalas) ega häirete, informatsiooni edastamise

viivituste, jms juhtumite eest, mis ei allu RIA kontrollile.

9.2 RIA ei vastuta kliendi tegevuse või tegevusetusega põhjustatud andmete hävimise või

kadumise ega teenuse mittetoimimise eest juhul, kui katkestus on põhjustatud kliendi

tegevusest või tegevusetusest.

9.3 Pool ei vastuta kohustuste täitmata jätmise eest, kui see tuleneb vääramatust jõust.

Vääramatu jõuna käsitlevad pooled asjaolu, mida pool ei saa mõjutada, sealhulgas, kuid

mitte ainult tulekahju, plahvatus, loodusõnnetus, sõda, streik, üldine elektrikatkestus, äike,

erakordsed ilmastikuolud.

9.4 Pool, kelle tegevus kokkuleppega sätestatud kohustuste täitmisel on takistatud vääramatu

jõu asjaolude tõttu, on kohustatud sellest teisele poolele teatama esimesel võimalusel,

kasutades sidevahendeid, mis tagavad operatiivseima infovahetuse.

9.5 Vääramatust jõust teatamisel lepivad pooled kokku, mil viisil ning mis mahus jätkata

kokkuleppe täitmist kooskõlas riikliku kriisireguleerimise plaaniga. Antud kokkulepe

vormistatakse esimesel võimalusel kirjalikult.

10 KOKKULEPPE LÕPPEMINE

10.1 Kokkulepe lõppeb kokkuleppes, teenuse tingimustes ja/või õigusaktides toodud alustel.

10.2 Pooltel on õigus kokkulepe üles öelda, teatades sellest teisele poolele ette seitse (7)

kalendripäeva, kui kokkuleppes ei ole sätestatud teisiti.

10.3 RIA-l on õigus kokkulepe üles öelda ilma etteteatamise tähtaega järgimata ja lõpetada

viivitamatult kliendile teenuse osutamine, kui pool on rikkunud oluliselt mistahes

kokkuleppe tingimust. Oluliseks rikkumiseks loetakse muuhulgas:

10.3.1 rahaliste kohustuste täitmisega viivitamist üle ühe (1) kalendrikuu;

10.3.2 kokkuleppe tingimuste rikkumist ning rikkumise jätkamist pärast RIA poolse teavituse

saamist või kui rikkumine on sedavõrd tõsine (nt tahtlik tegevus teenuste

kahjustamiseks), et RIA-lt ei saa eeldada kokkuleppe täitmise jätkamist.

10.4 Kokkuleppe ülesütlemine või lõppemine ei vabasta poolt kohustusest täita teise poole ees

vastava kokkuleppe kestuse ajal kokkuleppest tekkinud kohustusi.

KINNITATUD

Riigi Infosüsteemi Ameti peadirektori

18.09.2023 käskkirjaga nr 1.1-2/23-030

Riigi SSO teenuse (GovSSO) toodangukeskkonna teenustaseme lepe (SLA)

1. Teenuse tööaeg

1.1. Teenustaseme klass I

1.2. Tööaeg

Tööaeg on kokkulepitud ajavahemik,

millal IT-teenus on kasutajale garanteeritult

kättesaadav.

24/7

1.3. Kasutajatugi

Kokkulepitud ajavahemik, millal IT-teenus

on kliendile kättesaadav ning mille jooksul

pakutakse IT-teenusele kasutajatoe tuge

(kasutusnõustamine, planeerimata

katkestuste lahendamine jms).

Tööaja välisel ajal tagatakse teenuse töö

parimal võimalikul (best effort) viisil.

Kasutajatoe tööajal vastavalt Riigi Infosüsteemi

Ameti veebilehel väljatoodud kellaaegadele:

https://www.ria.ee/et/kontaktid/kasutajatugi.html

1.4. Rikketeated

NB! Rikketeadete lahendamine toimub

teenuse tööajal.

24/7

1.5. Korralised hooldustööd RIA toodangukeskkonna korrapärased

hooldustööd toimuvad iga kuu kolmandal

neljapäeval ajavahemikul 18.00–01.00.

1.6. Teenuse teavitused ja teavituskanalid RIA toodangukeskkonna teenuste tööajal

toimuvatest katkestustest ning suurematest

hooldustöödest teavitatakse teenuse kliente e-

posti teel vähemalt 2 tööpäeva enne nende

toimumist. Teenuste lõppkasutajatele kuvatakse

teenuse katkestuste ajal hooldusteade.

Teenuse nimi Riigi SSO teenus (GovSSO)

Teenuse omanik Elektroonilise identiteedi osakond

Nõuete kehtivusaeg Alates käskkirja kinnitamisest kuni käskkirja muutmise või

kehtetuks tunnistamiseni.

Teenuse lühikirjeldus

Riigi SSO teenus (GovSSO) on Riigi Infosüsteemi Ameti

arendatav ja hallatav platvorm, mis on liidestatud kolmanda

isiku poolt pakutavate autentimismeetoditega ning teostab

autentimiseks vajalikke (andme)päringuid koos

seansihaldusega.

Riigi SSO teenuse (GovSSO) teenustaseme lepe ei taga

kolmanda isiku teenuste käideldavust ja kättesaadavust.

KINNITATUD

Riigi Infosüsteemi Ameti peadirektori

18.09.2023 käskkirjaga nr 1.1-2/23-030

2. Teenuse erinõuded

2.1. Planeeritud katkestusest etteteatamise aeg 48 h

3. Planeerimata katkestus

Planeerimata katkestuste hulka arvestatakse ainult teenuse tööajal aset leidvad planeerimata

katkestused. Planeerimata katkestuseks ei loeta olukorda, kus häiritud on üksikute kasutajate

töö, kuid teenus on kättesaadav.

3.1. Ühe planeerimata katkestuse kestvus (h)

Maksimaalne lubatud ajavahemik tööajal,

mille jooksul on vaja teenuse töö taastada.

2 h

3.2. Planeerimata katkestuste maksimaalne

kogukestvus aastas (h)

24 h

3.3. SLA % (aastas) 99,7%

4. Planeeritud katkestus

Planeeritud katkestus on eelnevalt kokkulepitud ajavahemik, mille jooksul teenus ei ole

kättesaadav, katkestus ei mõjuta SLA-d. Planeeritud katkestuste hulka arvestatakse ainult

teenuse tööajal toimuvaid planeeritud katkestusi.

4.1. Ühe planeeritud katkestuse maksimaalne

kestus

8 h

4.2. Maksimaalne planeeritud katkestuste arv

kuus

2

4.3. CI/CD tarnetest tingitud mikrokatkestuste

arv päevas (kuni 5 sekundi pikkused)

10

5. Kriisitaaste prioriteet

Määratleb kriisiolukorras teenuste taastamise maksimaalse ajakulu ja prioriteedi, mis

järjekorras katastroofolukorras teenuseid taastatakse. Esmalt taastakse kõrgema prioriteediga

teenused (nendest omakorda esmalt ühised alussõltuvsed), seejärel madalma prioriteediga

teenused.

5.1. Kriisitaaste prioriteet I (tegevuskriitiline) -

taasteaeg kuni 3 ööpäeva (72h)

6. Lubatud andmekadu ja varundus

6.1. Lubatud andmekadu

Maksimaalne lubatud andmehulk, mis võib

minna kaduma teenuse taastamise käigus.

Määratud ajavahemikuna enne tõrget.

24h

6.2. Varukoopiate säilitamine

Ajavahemik, kui kaua säilitatakse

varukoopiaid enne kustutamist.

24 h koopia - 1 nädal

7 p koopia - 4 nädalat

1 kuu koopia - 12 kuud

KINNITATUD

Riigi Infosüsteemi Ameti peadirektori

18.09.2023 käskkirjaga nr 1.1-2/23-030

6.3. Infosüsteemi logide säilitamise aeg 18 kuud

7. Teenuse kvaliteedimõõdikud

7.1. Päringute arv

Vastuvõetavate üheaegsete pöördumiste

(autentimispäringute) arv sekundis

20-22 p/s

7.2. Vead päringutes

Lubatud vigaste päringute % päringute

koguarvust.

8 %

7.3. Kestvus

Kasutaja ooteaeg autentimisprotsessi

sammudes (sekundites)

2-4 s

KINNITATUD

Riigi Infosüsteemi Ameti peadirektori

18.09.2023 käskkirjaga nr 1.1-2/23-030

Riigi Infosüsteemi Ameti autentimisteenuste andmekaitsetingimused

1. Käesolevas dokumendis selgitatakse, milliseid isikuandmeid ja mis eesmärgil Riigi

Infosüsteemi Ameti (edaspidi RIA) autentimisteenustes töödeldakse.

2. Käesolevad andmekaitsetingimused rakenduvad:

2.1. Riigi autentimisteenusele (TARA);

2.2. Riigi SSO teenusele (GovSSO);

2.3. Euroopa Liidu piiriülese autentimistaristu Eesti sõlmele (Riiklik eIDAS-Node).

Käesolevad andmekaitsetingimused täiendavad ülaltoodud teenuste üldtingimusi.

3. Andmesubjekt (edaspidi kasutaja) on füüsiline isik, kes suunatakse Eesti või välisriigi

klientrakendusest (nt e-teenusest) RIA autentimisteenustesse isikusamasuse tuvastamisele

(autentimisele).

4. Isikuandmete töötlemise õiguslik alus

RIA töötleb isikuandmeid käesoleva dokumendi punktis 2 toodud teenuste raames seadusest

ja RIA põhimäärusest tuleneva haldusülesandena, mis võimaldab isiku autentimist teenustega

liitunud kliendi jaoks.

5. Autentimisandmed

5.1. RIA autentimisteenustes töödeldakse kasutajate kohta järgmisi andmeid

(“autentimisandmed”):

5.1.1. Kasutajat identifitseerivad andmed:

5.1.1.1. kasutaja autentimissertifikaat; 1

5.1.1.2. kasutaja isikukood vm isiku identifikaator;

5.1.1.3. kasutaja ees- ja perekonnanimi;

5.1.1.4. kasutaja sünniaeg;

5.1.1.5. kasutaja riik;

5.1.1.6. mobiiltelefoninumber;

5.1.1.7. registrikood vm juriidilise isiku identifikaator;

5.1.1.8. juriidilise isiku ärinimi;

5.1.1.9. kasutaja keelevalik;

5.1.1.10. Web eID veebisirvikulaienduse versioon ja omarakenduse versioon;

5.1.1.11. User-Agent HTTP päis ehk kasutaja veebisirvikut ja seadet profileeriv info.

5.1.2. Autentimistoimingu andmed:

5.1.2.1. kuupäev ja kellaaeg;

5.1.2.2. klientrakendus, kust kasutaja autentimisele suunati;

5.1.2.3. autentimismeetod;

5.1.2.4. IP-aadress, millelt kasutaja autentimisele suunati;

5.1.2.5. autentimise tulemus (autenditud või mitte).

1 Sertifikaatide profiili kirjeldus on leitav: https://www.skidsolutions.eu/repositoorium/profiil/

KINNITATUD

Riigi Infosüsteemi Ameti peadirektori

18.09.2023 käskkirjaga nr 1.1-2/23-030

5.2. Autentimisandmete väljastamine

5.2.1. Autentimisandmed väljastatakse RIA autentimisteenustega liidestatud

klientrakendustele ja Euroopa Liidu piiriülese autentimistaristu teise liikmesriigi

sõlmele (eIDAS-Node) v.a punktides 5.1.1.1, 5.1.1.9, 5.1.1.10, 5.1.1.11 ja 5.1.2.4

nimetatud andmed.

5.2.2. ID-kaardi, Mobiil-ID ja Smart-ID-ga autentimise korral saadetakse autentimisandmed

SK ID Solutions AS-i välistele teenustele järgmises koosseisus:

5.2.2.1. Kehtivuskinnitusteenus (kasutaja autentimissertifikaadi seerianumber);

5.2.2.2. MID REST API veebiteenus (kasutaja isikukood ja mobiiltelefoninumber);

5.2.2.3. Smart-ID veebiteenus (kasutaja isikukood).

5.2.3. Andmete väljastamisel lähtutakse isikuandmete töötlemise minimaalsuse põhimõttest.

Väljastatakse minimaalsed autentimise fakti ja tuvastatud isikut identifitseerivad

andmed.

5.2.4. Kasutajale on autentimise tulemus (sisse logitud või mitte) nähtav veebisirvikus.

5.3. Klientrakenduste, Euroopa Liidu autentimistaristu teise liikmesriigi sõlme (eIDAS-

Node) ja SK ID Solutions AS-i teenustega (v.a kehtivuskinnitusteenus) suhtlemisel

kasutatakse krüpteeritud kanaleid.

5.4. Eesti eID kasutaja autentimisandmete saatmisel Euroopa Liidu piiriülese

autentimistaristuga (eIDAS-Node) liitunud teise riiki küsitakse TARAs kasutaja

nõusolekut.

6. Turvalogi

6.1. RIA autentimisteenustes logitakse punktis 5.1 nimetatud andmeid järgmistel

eesmärkidel:

6.1.1. teenuste väärkasutamise, sh identiteedivarguste ja nende katsete, samuti

küberrünnakute avastamiseks ja uurimiseks;

6.1.2. tehniliste tõrgete avastamiseks ja kõrvaldamiseks. Tehniline tõrge võib olla nii riist-

kui ka tarkvara viga, võrguühenduse viga vms;

6.1.3. RIA autentimisteenustega liidestatud e-teenuse omanike (asutuste) poolt raporteeritud

tehniliste probleemide põhjuste väljaselgitamiseks;

6.1.4. kasutajate pöördumiste (teated võimalike turvaprobleemide või tehniliste rikete kohta)

menetlemiseks.

6.2. Logile juurdepääs on rangelt vajaduspõhine. Ligi pääsevad ainult RIA

autentimisteenuste käitamisega otseselt seotud süsteemi- ja teenusehaldurid, vajadusel

ka turvaintsidentide uurimisega tegelevad ametiisikud.

6.3. Autentimisi soovitame logida ka klientrakenduse poolel. See on vajalik nii tehniliste

tõrgete kui ka teenuse väärkasutuse tuvastamisel ja uurimisel.

6.4. Logisid säilitatakse 18 kuud.

7. Statistikalogi

7.1. Statistikalogi eesmärk on RIA autentimisteenuste kasutamise kohta statistika tootmine

teenuste juhtimise ja edasiarendamise eesmärgil.

7.2. Statistikalogisse kogutakse punktides 5.1.2, 5.1.1.2 ja 5.1.1.7 nimetatud andmed.

7.3. Statistikalogi põhjal koostatakse ja avalikustatakse isikuandmeid mittesisaldavaid

statistilisi aruandeid.

7.4. Logisid säilitatakse 18 kuud.

KINNITATUD

Riigi Infosüsteemi Ameti peadirektori

18.09.2023 käskkirjaga nr 1.1-2/23-030

8. Kontaktisikud

8.1. Parema klienditeeninduse tagamise eesmärgil kogutakse autentimisteenustega

liidestatud klientrakenduse kontaktisikute andmeid:

8.1.1. kontaktisiku nimi;

8.1.2. kontaktisiku isikukood;

8.1.3. kontaktisiku e-posti aadress;

8.1.4. kontaktisiku telefon.

9. Küpsiste kasutamise poliitika

9.1. Küpsiste kasutamise poliitika (edaspidi poliitika) kirjeldab, milliseid küpsiseid RIA

autentimisteenustes kasutatakse, millist teavet küpsiste abil kogutakse ja kuidas seda

teavet kasutatakse.

9.2. RIA autentimisteenustes talletatakse veebisirviku poolel autentimisteenuste toimimiseks

vajalikke isikuandmeid mittesisaldavaid küpsiseid:

Küpsise nimi Aegumise tähtaeg Eesmärk

LOGIN_LOCALE 1 aasta Kasutaja keelevaliku salvestamiseks.

__Host-LOCALE 1 aasta Kasutaja keelevaliku salvestamiseks.

SESSION Veebisirviku

seanss

Unikaalse seansiidentifikaatori

salvestamiseks.

oauth2_authentication_sessio

n

Veebisirviku

seanss

Unikaalse seansiidentifikaatori

salvestamiseks.

__Host-XSRF-TOKEN 1 tund Võltspäringuründe kaitseks unikaalse

identifikaatori salvestamiseks.

oauth2_authentication_csrf_# 1 tund # - unikaalne arv. Võltspäringuründe

kaitseks unikaalse identifikaatori

salvestamiseks.

oauth2_authentication_csrf Veebisirviku

seanss

Võltspäringuründe kaitseks unikaalse

identifikaatori salvestamiseks.

oauth2_consent_csrf_# 1 tund # - unikaalne arv. Võltspäringuründe

kaitseks unikaalse identifikaatori

salvestamiseks.

oauth2_consent_csrf Veebisirviku

seanss

Võltspäringuründe kaitseks unikaalse

identifikaatori salvestamiseks.

__Host-AUTH 1 tund Võltspäringuründe ja taasesitusründe

kaitseks unikaalsete identifikaatorite

ja autentimistoimingu unikaalse

identifikaatori salvestamiseks.

KINNITATUD

Riigi Infosüsteemi Ameti peadirektori

18.09.2023 käskkirjaga nr 1.1-2/23-030

9.3. Lisaks salvestatakse viimati kasutatud autentimisvahendi tüüp veebisirviku kohalikus

andmehoidlas active-tab väärtuses.

9.4. RIA jätab endale õiguse vajaduse korral muuta autentimisteenustega seotud küpsiste

poliitikat, kusjuures muudatused jõustuvad selle poliitika uuendatud versiooni

avalikustamisel RIA kodulehel.

10. Andmete varundamine

10.1. Varundusprotsess käivitatakse vähemalt korra ööpäeva jooksul. Kõikide teenuste

komponentide andmete (konfiguratsioon, andmebaas, logid) tagavarakoopiad

säilitatakse ühe põhimõtte alusel – 7 päeva / 4 nädalat / 12 kuud.

10.2. Taastada on võimalik jooksva nädala päevade, jooksva kuu nädalate lõpu või viimase

12 kuu lõpu seisuga salvestatud andmed.

10.3. Varunduslahenduses krüpteerimist ei kasutata.

11. Turvalogide väljastamine

Turvalogi väljastatakse juhul, kui seda näeb ette seadus (näiteks õiguskaitseasutusele

kriminaalmenetluses või andmesubjektile tema taotlusel).

12. Andmesubjekti õigused isikuandmete töötlemisel

12.1. Andmesubjektil on igal ajal õigus pöörduda RIA poole vastavasisulise lihtkirjaliku ja

vabas vormis taotlusega e-posti aadressil [email protected], et:

12.1.1. Taotleda juurdepääsu andmesubjekti kohta käivatele isikuandmetele;

12.1.2. Asjakohasel juhul rakendada isikuandmete kaitse üldmääruse III peatükist tulenevaid

muid õigusi.