Databehandleravtale

for behandling av helse- og personopplysninger

I henhold til personopplysningsloven og
EUs Personvernforordning (EU) 2016/679

Om avtalen

Denne databehandleravtalen med vedlegg (heretter omtalt som "Avtalen") regulerer rettigheter og plikter mellom Dataansvarlig og Databehandler (heretter omtalt som "partene") etter:

-         Lov om behandling av personopplysninger av 15.juni 2018 nr. 38 (personopplysningsloven);

-         Europaparlaments- og rådsforordning (EU) 2016/679 av 27.april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger (General Data Protection Regulation) (heretter omtalt som "personvernforordningen");

-         Lov om helseregistre og behandling av helseregistre av 20.juni 2014 nr. 43 (helseregisterloven);

-         Lov om behandling av helseopplysninger ved ytelse av helsehjelp av 20.juni 2014 nr. 42 (pasientjournalloven); og

-         Enhver lov, forskrift eller annet regelverk som endrer eller erstatter ovennevnte regler.

Ved motstrid mellom Avtalens regulering og de rammer som følger av personvernregelverket eller relevant helselovgining, viker Avtalens regulering. I tilfelle konflikt mellom denne Avtalen og Tjeneste/oppdragsavtalen, skal denne Avtalen gjelde.

Vedlegg til avtalen:

·       Vedlegg 1: Behandlingens formål, opplysninger og behandlinger

·       Vedlegg 2: Detaljerte krav til informasjonssikkerhet

·       Vedlegg 3: Administrative bestemmelser

·       Vedlegg 4: Underleverandører

·       Vedlegg 5: Endringer i den generelle avtaleteksten ved avtaleinngåelsen

·       Vedlegg 6: Endringer etter avtaleinngåelsen

Endringer til den generelle avtaleteksten skal samles i vedlegg 5. Slike endringer erstatter den opprinnelige avtaleteksten.

2. Definisjoner

Begrepene "personopplysninger", "helseopplysninger", "behandling", "dataansvarlig", "databehandler", "brudd på personopplysningssikkerheten" og "helseopplysninger" skal forstås slik de er definert i personvernforordningen artikkel 4, helseregisterloven § 2 og pasientjournalloven § 2.

3. Avtalens formål

Formålet med Avtalen er å sikre de registrertes rettigheter og partenes etterlevelse av GDPR (Personopplysningsloven og Personvernforordningen).

4. Omfang

Denne Avtalen kommer til anvendelse på all behandling av helse- og personopplysninger som Databehandler foretar på vegne av Dataansvarlig i forbindelse med den kommersielle avtalen samt vedlegg til denne og på ev. senere skriftlige avtaler mellom partene. (Vedlegg 5 og 6)

5. Behandlingens formål, opplysninger og behandlinger

Formålet med, og varigheten av behandlingen av helse- og personopplysninger, hvilke helse- og personopplysninger som behandles er angitt i Vedlegg 1.

6.  Rammene for behandling av helse- og personopplysninger

Dataansvarlig har til enhver tid full rådighet over de helse- og personopplysningene som Databehandler behandler etter denne Avtalen.

Dataansvarlig skal gis muligheter til innsyn i helse- og personopplysningene som behandles hos Databehandler. Dataansvarlig skal også gis muligheter til å oppdatere, endre og slette persondata for å ivareta de registrertes rettigheter. Ev. kan det avtales at databehandler utfører slike endringer for å ivareta de registrertes rettigheter, på vegne av dataansvarlig.

Databehandler har ikke selvstendig råderett over helse- og personopplysningene, og kan ikke behandle disse til egne formål.

7. Dataansvarliges plikter

Dataansvarlig skal etterleve de forpliktelser som følger av GDPR, relevant helselovgivning og annen særlovgivning, samt denne Avtalen.

Dataansvarlig er ansvarlig for at personvernprinsippene overholdes, jf. personvernforordningen artikkel 5, og skal blant annet sørge for at behandlingen av opplysninger er formålsbestemt og basert på et gyldig rettsgrunnlag.

8. Databehandlers plikter

8.1.  Generelt

Databehandler forplikter seg til å behandle helse- og personopplysninger i samsvar med gjeldende regelverk, denne Avtalen, Den kommersielle avtalen mellom partene, Dataansvarliges dokumenterte instrukser og andre gjeldende avtaler mellom partene, samt "Norm for informasjonssikkerhet i helse- og omsorgssektoren". Databehandler skal ikke ved noen handling eller unnlatelse, sette Dataansvarlig i en slik situasjon at Dataansvarlig bryter gjeldende regelverk som angitt i Avtalen punkt 1.

8.1.1 Databehandler skal ikke:

a.     behandle helse- og personopplysninger for andre formål eller i større grad eller på annen måte enn det som følger av denne Avtalen, Tjeneste/oppdragsavtale og eventuelle senere skriftlige avtaler mellom partene;

b.     behandle helse- og personopplysninger utover det som er nødvendig for å oppfylle Databehandlers forpliktelser i henhold til de til enhver tid gjeldende avtaler;

c.     utlevere, overlate, overføre eller innhente helse- og personopplysninger i noen form til,eller fra tredjepart på eget initiativ, med mindre det er lovpålagt eller det på forhånd er avtalt med Dataansvarlig eller Dataansvarlig har godkjent dette skriftlig;

8.1.2 Databehandler skal:

a.     ha løpende kontroll på alle kategorier av behandlingsaktiviteter utført på vegne av Dataansvarlig, jf. personvernforordningen artikkel 30 nr. 2, jf. også Vedlegg 1;

b.     gi Dataansvarlig tilgang til og innsyn i helse- og personopplysninger som behandles hos Databehandleren på vegne av Dataansvarlig;

c.     treffe alle rimelige tiltak for å bistå Dataansvarlig med å sikre at helse- og personopplysningene til enhver tid er korrekte og oppdaterte;

d.     etablere rutiner for å slette opplysninger i henhold til instruks eller retningslinjer fastsatt av Dataansvarlig;  

e.     påse at samtlige personer som gis tilgang til personopplysninger som behandles på vegne av Dataansvarlig er kjent med denne Avtalen og gjeldende avtaler mellom partene, og er underlagt disse avtalenes bestemmelser;

f.      gi Dataansvarlig nødvendig bistand slik at Dataansvarlig skal kunne oppfylle sine forpliktelser overfor de registrerte, herunder å svare på anmodninger fra den registrerte som vil utøve sine rettigheter fastsatt i personvernforordningen kapittel III;

g.     uten ugrunnet opphold varsle den Dataansvarlige dersom Databehandler mener at en instruks er i strid med personvernforordningen eller andre bestemmelser om vern av personopplysninger;

h.     bistå Dataansvarlig for å sikre overholdelse av forpliktelsene i personvernforordningen artiklene 35-36 som omhandler vurdering av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet;

i.       Databehandler skal umiddelbart varsle Dataansvarlig hvis den mottar forespørsel fra en myndighet om å utlevere personopplysninger som er behandlet under Databehandleravtalen. Med mindre utleveringen er lovpålagt, skal Databehandler ikke etterkomme en slik forespørsel uten skriftlig forhåndsgodkjenning fra Dataansvarlig.

8.2.  Tekniske, organisatoriske og sikkerhetsmessige tiltak

Databehandler plikter å treffe og gjennomføre alle tekniske, organisatoriske og sikkerhetsmessige tiltak slik at det til enhver tid er et sikkerhetsnivå som er egnet med hensyn til risikoen ved behandling av helse og personopplysninger.

Databehandleren skal, som minimum:

  • etablere og etterkomme nødvendige tekniske og organisatoriske tiltak med hensyn til vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet ved behandling av helse- og personopplysninger for å sikre tilfredsstillende informasjonssikkerhet i henhold til personvernregelverket, herunder kravene etter personvernforordningen artikkel 32, og gjeldende helselovgivning. 

  • sikre at krav til innebygd personvern og personvern som standardinnstilling innfris i Databehandlers løsninger. Dette inkluderer å bygge inn funksjonalitet for å oppfylle personvernprinsipper samt funksjonalitet for å sikre den registrertes rettigheter, herunder retten til begrenset behandling;

  • ha rutiner for internkontroll;

  • ha rutiner for autorisasjon og styring som sikrer at bare de av Databehandlers medarbeidere som har tjenstlig behov for tilgang til systemer og opplysningene for å ivareta nødvendige oppgaver for gjennomføring av Tjeneste/oppdragsavtalen får slik tilgang. Tilgangsnivået skal være i henhold til tjenstlig behov knyttet til å gjennomføre oppdraget. Det skal etableres sterk autentisering for tilgang til helseopplysninger;

  • etablere nødvendige systemer og rutiner for å ivareta informasjonssikkerheten og følge opp avvik, som skal omfatte blant annet rutiner for avviksmelding, rutiner for backup, gjenoppretting av normalsituasjonen, fjerne årsaken til avviket og hindre gjentakelse. På forespørsel, skal Databehandler gi Dataansvarlig tilgang til relevant sikkerhetsdokumentasjon for behandling av helse- og personopplysninger;

  • avdekke, registrere, rapportere og lukke avvik knyttet til informasjonssikkerhet, herunder loggføre og dokumentere ethvert forsøk på ikke-autorisert tilgang og andre brudd på personopplysningssikkerheten i datasystemene. Slik dokumentasjon skal oppbevares hos Databehandler;

  • ved mistanke om eller konstatering av brudd på personopplysningssikkerheten, uten ugrunnet opphold varsle Dataansvarlig. I varselet opplyses avviket med forklaring om årsak, tidsrom og tidspunktet avviket ble oppdaget, kategoriene av og omtrentlig antall registrerte som er berørt, kategoriene av og omtrentlig antall registreringer av personopplysninger som er berørt, navnet på og kontaktopplysningene til personvernombudet eller et annet kontaktpunkt der mer informasjon kan innhentes, antatte konsekvenser av avviket og hvilke umiddelbare tiltak som er igangsatt eller vurderes igangsatt for å håndtere avviket.  Dersom og i den grad det ikke er mulig å gi all informasjon samtidig, kan den gis trinnvis uten ytterligere ugrunnet opphold;

  • dokumentere ethvert avvik, herunder de faktiske forhold knyttet til avviket, dets virkninger og eventuelle iverksatte utbedringstiltak;

  • uten ugrunnet opphold varsle Dataansvarlig ved uautorisert utlevering av personopplysninger;

  • registrere all autorisert og uautorisert tilgang til opplysninger. Alle oppslag som gjøres skal registreres slik at de kan spores til den enkelte bruker (dvs. ansatte hos Databehandler, underleverandører og Dataansvarlig). Loggene skal oppbevares til det ikke lenger antas å være bruk for dem eller i henhold til det Avtalen eller Tjeneste/oppdragsavtalen spesifiserer;

  • bistå Dataansvarlig med å sikre overholdelse av forpliktelsene i personvernforordningen artiklene 32–34, herunder, men ikke begrenset til:
    - sikkerhet ved behandlingen;
    - melding til tilsynsmyndigheten om brudd på personopplysningssikkerheten;
    - underretning av den registrerte om brudd på personopplysningssikkerheten;

  • varsle Dataansvarlig om forhold relatert til Databehandlers forpliktelser under Tjeneste/oppdragsavtalen som medfører eller kan anses å medføre svekkelse av informasjonssikkerheten;

  • innhente skriftlig godkjenning av Dataansvarlig før gjennomføring av enhver endring av databehandlingen hos Databehandler som har eller kan ha negativ betydning for informasjonssikkerheten ved behandlingen etter denne Avtalen.

Nærmere krav til informasjonssikkerhet er angitt i Vedlegg 2.

Ved brudd på denne Avtalen eller på bestemmelsene i personvernregelverket, helselovgivningen eller annen relevant lovgivning kan Dataansvarlig kreve endringer i behandlingsmåten eller pålegge Databehandler å stoppe den videre behandlingen av opplysningene med øyeblikkelig virkning.

Databehandler skal dokumentere sine rutiner og alle tiltak truffet for å oppfylle kravene angitt ovenfor. Denne dokumentasjonen skal på forespørsel gjøres tilgjengelig for Dataansvarlig.

9. Bruk av underleverandør

Dataansvarlig tillater at Databehandler benytter underleverandører for oppfyllelse av forpliktelsene under Avtalen. Databehandler benytter kun de underleverandører som er angitt i Vedlegg 4 for de der angitte tjenester.

Databehandler skal:

a.     sikre at underleverandøren påtar seg tilsvarende forpliktelser som Databehandler selv er underlagt etter Avtalen og gjeldende lovgivning;

b.     holde en oppdatert liste over identiteten til og stedlig plassering av underleverandører som angitt i Vedlegg 4 og hvor disse behandler personopplysninger. Oppdatert liste skal være tilgjengelig for Dataansvarlig;

c.     gjennomføre en risikovurdering av bruk av underleverandør og betydningen for tjenesten før det inngås avtale med underleverandør og på Dataansvarliges forespørsel, dele vurderingen med Dataansvarlig;

d.     på Dataansvarliges forespørsel, legge frem kopi av avtalen(e) som er inngått med underleverandørene (med unntak av merkantile betingelser). Slike avtaler skal senest være inngått før underleverandørene starter med behandling av helse- og personopplysninger;

e.     underrette Dataansvarlig om eventuelle planer om å benytte andre underleverandører eller skifte ut underleverandører. Slike bytter skal varsles Dataansvarlig i god tid slik at denne gis mulighet til å motsette seg endringen. Ved bytte av underleverandør skal Vedlegg 4 oppdateres og oversendes Dataansvarlig før ny underleverandør starter opp. Endringen føres også opp i Vedlegg 6;

f.      sikre at Dataansvarlig og tilsynsmyndighetene har samme rett til innsyn og kontroll med behandling av personopplysninger hos en underleverandør som Dataansvarlig har overfor Databehandler etter Avtalens punkt 12;

g.     ved opphør av Avtalen, sikre at underleverandører oppfyller plikten til å tilbakeføre, slette eller forsvarlig destruere alle helse- og personopplysningene og alle eventuelle kopier og sikkerhetskopier av opplysningene, slik som det framgår av Avtalens punkt 13.

Databehandler er til enhver tid fullt ut ansvarlig overfor Dataansvarlig for alt arbeid som utføres av underleverandører og for underleverandørenes etterlevelse av bestemmelsene i denne Avtalen.

10. Overføring av personopplysninger til utlandet

Partene i denne Avtalen er enige om at ingen av helse- og personopplysningene som behandles under denne Avtalen skal føres ut av Norge, med mindre det er særskilt avtalt mellom partene. I tillegg skal arkivverdige dokumenter med helse- og personopplysninger være plassert på servere i Norge (jf. arkivloven § 9 bokstav b), og eventuelle unntak fra dette skal godkjennes eksplisitt av Dataansvarlig før denne behandlingen starter.

Databehandler bekrefter at ingen av underleverandørene overfører helse- og personopplysninger som omfattes av denne Avtalen til utlandet, med unntak for slike overføringer som er angitt i Vedlegg 4. Dette omfatter også fjerntilgang fra utlandet.

Bruk av underleverandører som overfører helse- og personopplysninger til land utenfor EU/EØS (tredjeland) skal avtales skriftlig med Dataansvarlig på forhånd. Ved overføring av helse- og personopplysninger til land utenfor EU/EØS (tredjeland) skal Databehandler benytte godkjente EU-overføringsmekanismer.

Ved overføring til utlandet, uavhengig av om det er innenfor EU/EØS eller utenfor EU/EØS (tredjeland), skal Databehandler gi nødvendig dokumentasjon om sikkerhet, risiko og etterlevelsesnivå knyttet til aktuelle underleverandører slik at Dataansvarlig får nødvendig informasjon for å kunne gjennomføre en særskilt risikovurdering. Dataansvarlig kan nekte samtykke til den aktuelle overføringen basert på spesifikke risikoer som fremkommer av Dataansvarliges egen risikovurdering.

11. Taushetsplikt

Databehandlers ansatte og andre som opptrer på Databehandlers vegne i forbindelse med behandling av helse- og personopplysninger i henhold til denne Avtalen, Tjeneste/oppdragsavtale og senere skriftlige avtaler mellom partene, skal underlegges taushetsplikt etter denne Avtalen og gjeldende regelverk. Personer som er autorisert til å behandle helse- og personopplysningene forplikter seg til å behandle opplysningene fortrolig. Det samme gjelder eventuelle underleverandører.

Ansatte og andre som opptrer på Databehandlers vegne i forbindelse med behandling av helse- og personopplysninger skal ha undertegnet taushetserklæring. Bestemmelsen gjelder tilsvarende for underleverandører.

Databehandler skal påse at alle som behandler personopplysninger under Avtalen er kjent med taushetsplikten.

Partene har i tillegg taushetsplikt om konfidensiell informasjon knyttet til hverandres virksomhet, som er formidlet i forbindelse med oppdraget.

Partene plikter å ta de forholdsregler som er nødvendige for å sikre at materiale eller opplysninger ikke blir gjort kjent for andre i strid med dette punktet.

Taushetsplikten gjelder også etter Avtalens opphør.

12. Revisjon

Databehandler skal på forespørsel gjøre tilgjengelig for den Dataansvarlige, all informasjon som er nødvendig for å påvise at Databehandlers forpliktelser fastsatt i personvernforordningen artikkel 28 og denne Avtalen er oppfylt.

Databehandler skal muliggjøre og bidra ved inspeksjoner og revisjoner som gjennomføres av eller på oppdrag fra Dataansvarlig. Databehandler skal framlegge interne revisjonsrapporter, interne prosedyrer, rutiner, sikkerhetsarkitektur, risiko og sårbarhetsanalyser med tiltak og andre dokumenter av betydning for revisjonen;

Databehandler skal også muliggjøre og bidra ved inspeksjoner fra aktuelle tilsynsmyndigheter. Den Dataansvarliges tilsyn med eventuelle underleverandører skal skje gjennom Databehandleren med mindre annet er særskilt avtalt.

Nærmere rutiner for gjennomføring av revisjoner kan avtales i Vedlegg 3.

Dersom en revisjon avdekker avvik fra forpliktelsene i gjeldende personvernregler eller Avtalen, skal Databehandler uten ugrunnet opphold utbedre avviket. Dataansvarlig kan kreve at Databehandleren midlertidig stopper hele eller deler av behandlingsaktivitetene frem til utbedringen er godkjent av Dataansvarlig.

Hver av Partene dekker sine egne kostnader forbundet med inspeksjoner fra aktuelle tilsynsmyndigheter og inntil én årlig revisjon initiert av Dataansvarlig. Hvis en revisjon avdekker vesentlige brudd på forpliktelsene etter gjeldende personvernregler eller Avtalen, skal Databehandleren likevel dekke Dataansvarliges rimelige kostnader forbundet med revisjonen.

13. Varighet og opphør

Databehandleravtalen gjelder fra den er signert av begge Parter eller til Dataansvarlig har signert på den kommersielle avtalen og gjennom dette formelt har godtatt vilkårene i gjeldende Databehandleravtale. Databehandleravtalen gjelder så lenge Databehandler behandler Personopplysninger på vegne av Dataansvarlig.

I denne perioden gjelder Avtalen med mindre andre bestemmelser som regulerer Databehandlers behandling av Personopplysninger på vegne av Data-ansvarlig, avtales mellom Partene.

Ved opphør av Avtalen skal Databehandler tilrettelegge for og medvirke til tilbakeføring av alle helse- og personopplysninger som Databehandler har mottatt og behandlet på vegne av Dataansvarlig. Partene avtaler nærmere hvordan overføring konkret skal skje.

Etter at alle opplysningene er overført til Dataansvarlig og bekreftet mottatt av denne, skal Databehandler irreversibelt slette eller forsvarlig destruere alle opplysningene og alle eventuelle kopier og sikkerhetskopier av opplysningene i sine systemer, med mindre annet regelverk krever at helse- og personopplysningene fortsatt lagres.

Benyttes delt infrastruktur der direkte sletting ikke er teknisk mulig skal Databehandler sørge for at data gjøres utilgjengelig inntil disse dataene er overskrevet av systemet.

Databehandler skal gi Dataansvarlig skriftlig bekreftelse på at opplysningene er overført og slettet som angitt over.

14. Endring av avtale

I tilfelle endringer i det rettslige rammeverket eller endringer i tjenester dekket av den kommersielle avtalen, som igjen medfører endringer av denne Avtalen, skal partene samarbeide om oppdateringene i denne Avtalen.

Endringer etter avtaleinngåelsen listes opp i Vedlegg 6. Databehandler er ansvarlig for at det føres en slik endringskatalog og at denne holdes oppdatert.

15. Lovvalg, tvister og verneting

Avtalen er underlagt norsk rett og verneting. Tvister løses i samsvar med bestemmelser slik disse fremgår av den kommersielle avtalen, herunder eventuelle bestemmelser om verneting.

VEDLEGG 1 – BEHANDLINGENS FORMÅL, OPPLYSNINGER OG BEHANDLINGER

Tabellene oppdateres ved endringer. Alle endringer skal føres opp i endringskatalogen i Vedlegg 6.

 

A.         Formålet med og varigheten av behandlingen(e)

Denne databehandleravtalen knytter seg til  «Avtale om løpende tjenestekjøp over internett – her tjenesten AILA agenten fra Medbric AS»

Formålet med og varigheten av behandling av helse- og personopplysninger er:

  • Navn på tjeneste: Medbric

  • Formålet med behandlingen: Formålet er å automatisere dokumentasjonen av medisinske konsultasjoner, og sikre en mer fullstendig og korrekt dokumentasjon helsehjelpen.

  • Varigheten av behandlingen: Databehandlingen varer inntil avtalen skriftlig avsluttes av en av partene.

B.      Behandling av helse- og personopplysninger

Følgende behandlinger omfattes av Avtalen:

  • Innsamling av data: Transkribering av samtaler mellom pasient og lege, innsamling av pasientinformasjon.

  • Lagring av data: Lagring av transkriberte samtaler, journalnotater og medisinske dokumenter.

  • Bearbeiding av data: Analyse av transkriberte samtaler, bruk av språkmodeller for å svare på kunnskapsspørsmål, finne medisinske koder.

  • Bruk av data: Generering av journalnotater og dokumenter basert på transkriberte samtaler og brukerinstruksjoner

  • Utveksling av data: Deling av genererte journalnotater og dokumenter med helsepersonell, eventuell deling med tredjeparts tjenester. Dataansvarlig må informere pasienten om at utveksling av data og ev. deling av person- og helsedata gjøres, jf hpl.§ 45

  • Sletting av data: Rutiner for sletting av pasientdata når de ikke lenger er nødvendige.

C.      Typer av opplysninger

Følgende helse- og personopplysninger behandles:

  • Brukerkontoer: Inneholder brukeres navn, telefonnummer, epost og legekontortilknytning

  • Transkriberte samtaler mellom lege og pasient: Inneholder helseopplysninger fra samtalene

  • Genererte dokumentutkast: Inneholder helseopplysninger basert på transkriberingen

  • Kunnskapsspørsmål og svar: Kan inkludere helseopplysninger avhengig av spørsmålene

  • Tilbakemeldinger fra brukere: Inneholder epost og navn til avsender, evt. siste spørsmål/svar, og tilbakemeldingstekst

D.      Kategorier av registrerte

Følgende kategorier av personer behandles det opplysninger om (registrerte):

  • Pasienter

  • Lege og helsepersonell

  • Systembrukere

VEDLEGG 2 – DETALJERTE KRAV TIL INFORMASJONSSIKKERHET     

Følgende krav til informasjonssikkerhet er avtalt i tillegg til bestemmelsene i Avtalen:

  1. Tilgangskontroll: Bruk av flerfaktorautentisering (MFA) for alle brukere med tilgang til systemet.

  2. Datakryptering: Kryptering av alle sensitive data både i transit og i ro ved bruk av sterke krypteringsalgoritmer.

  3. Logger og overvåking: Implementering av kontinuerlig logging og overvåking av systemtilgang og aktiviteter.

  4. Sikkerhetskopiering: Regelmessige sikkerhetskopier av alle data og sikre lagring av disse kopiene utenfor nettstedet.

  5. Oppdateringer og patcher: Regelmessig oppdatering og patching av alle systemer og programvare for å sikre mot kjente sårbarheter.

  6. Brukeropplæring: Regelmessig opplæring av ansatte i beste praksis for informasjonssikkerhet og personvern.

  7. Risikovurdering: Gjennomføring av årlige risikovurderinger for å identifisere og mitigere potensielle trusler

  8. Incident Management: Etablering av prosedyrer for håndtering av sikkerhetshendelser, inkludert varsling og respons.

  9. Data-ananonymisering: Anonymisering av data hvor det er mulig for å redusere risikoen ved et potensielt databrudd.

VEDLEGG 3 ADMINISTRATIVE BESTEMMELSER

Partene har avtalt at:

Administrative bestemmelser

Begge parter forplikter seg til å gjennomføre regelmessige revisjoner av sikkerhetsrutiner og databehandlingsprosesser for å sikre at de er i samsvar med gjeldende lover og forskrifter.

Eventuelle endringer i avtalen må godkjennes skriftlig av begge parter før de trer i kraft.

Partene skal samarbeide for å sikre at eventuelle sikkerhetsbrudd eller avvik blir håndtert raskt og effektivt i henhold til etablerte prosedyrer.

VEDLEGG 4 – UNDERLEVERANDØRER

[Versjon nr. 1, 18/09/2024]

 

Tabellen oppdateres ved endringer. Alle endringer skal føres opp i endringskatalogen i Vedlegg 6.

 

Databehandler benytter følgende underleverandører:

  • Google Cloud Plattform
    Adresse: Mountain View, CA 94043, USA
    Leveransetype / behandling: Applikasjonsservere og leverandør av språk- og tale-til-tekst-modeller
    Behandlingssted: EU/EØS
    Personvernerklæring: link

  • Microsoft Azure
    Adresse: Redmond, One Microsoft Way, USA
    Leveransetype / behandling: Applikasjonsservere og leverandør av språk- og tale-til-tekst-modeller
    Behandlingssted: EU/EØS
    Personvernerklæring: link

  • Qdrant
    Adresse: Chausseestraße 86, Berlin, 10115, Tyskland
    Leveransetype / behandling: Databaseleverandør for lagring av indekserte dokumenter
    Behandlingssted: EU/EØS
    Personvernerklæring: link

  • Descope
    Adresse: Los Altos, California, 94022, USA
    Leveransetype / behandling: Identitet og påloggingstjeneste
    Behandlingssted: EU/EØS
    Personvernerklæring: link