Tuote: Emill

GEN-1-3.1 Onko palvelussa ikäraja käyttäjille?

GEN-1-5.1 Valmistusmaa/palveluntarjoajan kotimaa

GEN-1-6.1 ISO-sertifioinnit

GEN-1-7.1 Onko palvelusta asennettavissa mobiilisovellus?

GEN-1-8.1 Lisenssityyppi

GEN-1-9.1 Onko virtualisointi mahdollista?

GEN-2-1.1 Palvelukohtainen tietosuojaseloste (jos on)

GEN-2-2.1 Palvelun tietoturvakuvaus (jos on)

GEN-2-3.1 Tietosuojavastaavan yhteystiedot

GEN-2-4.1 Onko palvelussa mainoksia tai linkkejä kaupallisiin palveluihin?

GEN-2-5.1 Käytetäänkö palvelussa evästeitä, joihin kysytään suostumus käyttäjiltä?

UMA-1-1.1 Käytetäänkö palvelua henkilökohtaisilla käyttäjätunnuksilla?

UMA-1-2.1 Onko palvelun käyttäjähallinnassa vähintään kaksi käyttäjätasoa: ylläpitäjä ja peruskäyttäjä?

UMA-1-3.1 Voidaanko käyttöoikeudet rajata työntekijöiden työtehtävien mukaisesti eri käyttäjäryhmiin kohdistuvat oikeudet huomioiden?

UMA-1-4.1 Mitä vaihtoehtoja palvelussa on integroida käyttäjähallinta organisaation keskitettyyn käyttäjärekisteriin ja kertakirjautumiseen (SSO)?

UMA-1-5.1 Onko kirjautuminen muiden palveluntarjoajien tunnuksilla mahdollista?

UMA-1-6.1 Voidaanko kirjautumisessa käyttää monivaiheista todentamista (MFA)?

UMA-1-7.1 Onko käyttäjien vahva tunnistautuminen mahdollista?

UMA-1-8.1 Onko palvelussa mahdollista olla asiakasorganisaation ulkopuolisia vieraskäyttäjiä tai kirjautumattomia käyttäjiä?

UMA-2-1.1 Tallentuuko kaikkien kirjautuneiden käyttäjien toiminnasta kattavat lokitiedot?

UMA-2-2.1 Tallentuuko lokiin kaikki henkilötietojen katselut?

UMA-2-3.1 Onko palvelun lokitiedot suojattu luvattomalta katselulta ja tuhoamiselta?

UMA-2-4.1 Kuinka kauan lokitietoja säilytetään ja kuinka ne poistetaan?

TDP-1-1.1 Millaisia integraatioita (rajapintoja) järjestelmään liittyy ja miten ne on suojattu ulkopuolisilta?

TDP-1-2.1 Miten rajapintojen kautta tapahtuvat henkilötietojen siirrot alakäsittelijöille ja mahdolliset luovutukset muille tahoille lokitetaan?

TDP-2-1.1 Tapahtuuko kaikki palvelussa tehtävä henkilötietojen käsittely niin, että verkkoyhteys on salattu ja käyttäjä tai tiedonsiirron osapuolet varmistettu?

TDP-2-2.1 Onko palvelua mahdollista käyttää niin, että kaikki henkilötiedot tallentuvat ainoastaan salatussa muodossa?

TDP-2-3.1 Onko palvelun turvallisuudessa huomioitu omatoiminen etäkäyttö?

TDP-3-1.1 Onko palvelun tietosisältö varmuuskopioitu vähintään kerran päivässä ja onko varmuuskopioinnin palauttaminen mahdollista tehdä tarvittaessa nopeasti?

TDP-3-2.1 Onko varmuuskopioiden palautus kuvattu ja testattu?

TDP-4-2.1 Voidaanko monivaiheinen todennus (MFA) pakottaa päälle kaikille käyttäjille kirjautumisessa?

TDP-5-1.1 Asennetaanko palveluun liittyvien ohjelmistokomponenttien tietoturvapäivitykset säännöllisesti ilman viivytystä?

TDP-5-2.1 Onko tietoturvaa auditoitu ulkopuolisen tahon toimesta? Jos on, kenen toimesta?

TDP-5-3.1 Tehdäänkö palveluun säännöllisiä tietoturva- ja haavoittuvuustestauksia?

TDP-5-5.1 Miten GDPR:n edellyttämä riskiperustainen lähestymistapa ja oletusarvoinen tietosuoja on huomioitu järjestelmän suunnittelussa ja sen toiminnoissa?

TDP-5-6.1 Onko palveluntarjoajalla menettelyt tietoturvaloukkausten havaitsemiseen, ilmoittamiseen ja tutkimiseen?

DPR-1-1.1 Mitkä ovat henkilötietojen käsittelyn tarkoitukset?

DPR-1-2.1 Mihin rooliin palveluntarjoaja asemoi itsensä tietosuojan osalta?

DPR-1-3.1 Täytyykö loppukäyttäjien antaa suostumus palveluun liittyvälle henkilötietojen käsittelylle?

DPR-1-4.1 Onko palveluun mahdollista asettaa käyttäjille näkyville asiakasorganisaation nimi sekä linkki sen oman tietosuojaselosteeseen?

DPR-1-5.1 Onko palveluntarjoajalla pääsy asiakasorganisaation tallentamiin henkilötietoihin?

DPR-1-6.1 Syntyykö palvelun käytössä rekisteriä, jossa palveluntarjoaja on asiakasorganisaation kanssa yhteisrekisterinpitäjä?

DPR-1-8.1 Onko palveluntarjoajalla ajantasainen lista henkilötietojen alakäsittelijöistä, josta ilmenee kunkin nimi, sijainti, käsittelytarkoitus ja mahdollinen siirtoperuste EU/ETA-alueen ulkopuolelle?

DPR-1-9.1 Linkki alakäsittelijöiden listaan (jos on)

DPR-1-10.1 Käsitteleekö palveluntarjoaja tai jokin sen alakäsittelijöistä henkilötietoja EU/ETA-alueen ulkopuolella?

DPR-1-11.1 Jos henkilötietoja käsitellään EU/ETA-alueen ulkopuolella, millä perusteella henkilötietoja siirretään?

DPR-1-12.2 Voiko henkilötietoja siirtyä kolmansiin ei-turvallisiin maihin?

DPR-1-13.1 Missä maissa palveluntarjoajan palvelimet sijaitsevat?

DPR-2-1.1 Mitä henkilötietoja palveluntarjoaja käsittelee?

DPR-2-2.1 Onko palvelu tarkoitettu myös erityisten henkilötietojen (esim. terveystiedot) käsittelyyn?

DPR-2-3.1 Ovatko käyttäjiin liittyvät pakolliset ja vapaaehtoiset kentät määriteltävissä ylläpitäjän toimesta?

DPR-2-4.1 Tarjoaako palveluntarjoaja käyttäjille kattavat tiedot henkilötietojen käsittelystä palvelussa?

DPR-2-6.1 Mitä menetelmiä on käytössä, joilla varmistetaan, ettei tietoja käytetä muihin tarkoituksiin?

DPR-2-7.1 Onko palvelussa toiminto henkilötietojen pseudonymisointiin?

DPR-2-8.1 Voidaanko käyttäjiltä pyytää erikseen suostumuksia tiettyjen henkilötietojen (esim. henkilötunnus tai erityiset henkilötiedot) käsittelyä varten?

DPR-2-9.1 Käsitelläänkö palvelussa tietoja laajamittaisesti?

DPR-2-10.1 Voiko palvelun toimintoihin liittyä henkilöiden profilointia, pisteytystä tai arviointia?

DPR-2-11.1 Voiko palveluun liittyä sijaintitietojen käsittelyä?

DPR-2-12.1 Voiko palvelussa määritellä henkilötietojen säilytysajat tai niiden kriteerit?

DPR-2-13.1 Voiko käyttäjien henkilötiedot anonymisoida poistamisen sijasta?

DPR-3-3.1 Onko henkilötietojen käsittely laajuudeltaan ja kestoltaan oikeassa suhteessa tavoiteltuihin hyötyihin nähden?

DPR-4-2.1 Voivatko käyttäjät nähdä kaikki heistä tallentuvat tiedot?

DPR-4-3.1 Voivatko käyttäjät ladata tai siirtää toiseen palveluun tallentamansa tiedot tai tuoda tietoja toisesta järjestelmästä?

DPR-4-4.1 Miten ja milloin henkilötiedot poistetaan?

DPR-4-5.1 Jos rekisteröity käyttää oikeuttaan rajoittaa henkilötietojensa käsittelyä, millaisin teknisin keinoin varmistetaan rajoituksen toteutuminen?

DPR-5-1.1 Kuinka huolehditaan käsiteltävien henkilötietojen paikkansapitävyydestä?

DPR-6-1.1 Tehdäänkö palvelussa automaattisia päätöksiä ja jos kyllä, millä perusteella?

DPR-6-2.1 Miten rekisteröidyille informoidaan automaattisesta päätöksenteosta?

DPR-6-3.1 Miten rekisteröidylle kuvataan häneen liittyvät automaattiseen päätöksentekoon perustuvat johtopäätökset?

DPA-1-1.1 Onko palveluntarjoajan kanssa mahdollista tehdä sopimus henkilötietojen käsittelystä (DPA)?

DPA-1-2.1 Linkki DPA-sopimuksen vakiomalliin (jos on)

DPA-1-3.1 Määritelläänkö DPA-sopimuksessa käsiteltävät henkilötiedot?

DPA-1-4.1 Määritelläänkö DPA-sopimuksessa henkilötietojen käsittelytarkoitukset?

DPA-1-5.1 Voidaanko DPA-sopimuksen yhteydessä antaa ohjeita, jotka palveluntarjoajan tulee huomioida henkilötietojen käsittelyssä?

DPA-1-6.1 Sovitaanko DPA-sopimuksessa, että palveluntarjoaja huolehtii salassapitovelvollisuudesta työntekijöilleen?

DPA-1-7.1 Sovitaanko DPA-sopimuksessa, että palveluntarjoaja sallii rekisterinpitäjän tekemän valvonnan ja auditoinnin?

DPA-1-8.1 Onko palveluntarjoajalla nimetty yhteyshenkilö tietosuoja-asioihin liittyen?

DPA-1-9.1 Määritelläänkö DPA-sopimuksessa tietojen poisto?

DPA-1-10.1 Käyttääkö palveluntarjoaja käyttäjien henkilötietoja muuhun kuin palvelun toimintoihin ja ylläpitoon liittyviin tarkoituksiin?

DPA-2-1.1 Onko EU:n yleisen tietosuoja-asetuksen (GDPR) noudattaminen ja riittävien suojatoimien toteuttaminen varmistettu DPA-sopimuksessa tilanteessa, jossa henkilötietojen käsittelyssä käytetään alakäsittelijöitä?

DPA-2-2.1 DPA-sopimuksen mukaiset alakäsittelijät tai linkki alakäsittelijöiden listaan (jos on)

DPA-2-3.1 Noudattaako palveluntarjoaja yleisen tietosuoja-asetuksen vaatimuksia alakäsittelijöitä koskevista muutoksista?

DPA-3-1.1 Sitoutuuko palveluntarjoaja ilmoittamaan viipymättä kaikista tietoturvaloukkauksista?

DPA-3-2.1 Onko palveluntarjoajalla sopimuksessa mainittu menettely tietoturvaloukkauksista kertomiseen?

DPA-3-3.1 Sitoutuuko palveluntarjoaja toteuttamaan henkilötietoihin liittyvät pyynnöt viipymättä?

DPA-4-1.1 Käsitteleekö käsittelijä tai jokin sen alakäsittelijöistä henkilötietoja EU/ETA-alueen ulkopuolella?

DPA-4-2.1 Jos henkilötietoja käsitellään EU/ETA-alueen ulkopuolella, millä perusteella henkilötietoja siirretään?

DPA-4-3.1 Jos henkilötietojen siirtoperusteena käytetään EU-komission vakiosopimuslausekkeita (SCC), mistä vakiolausekkeista on kyse?

DPA-4-4.1 Voidaanko henkilötietoja luovuttaa kolmannen maan viranomaisille?

DPA-4-5.1 Onko palveluntarjoajalla dokumentaatiota, joka auttaa tietojensiirron vaikutusten arvioinnissa (transfer impact assessment, TIA) tilanteessa, jossa tietoja siirretään EU/ETA-alueen ulkopuolelle?

DPA-4-6.1 Jos tietoja siirretään EU/ETA-alueen ulkopuolelle, mitä täydentäviä suojatoimia käytetään?