Partene: Sporveien AS. Org Heretter kalt Behandlingsansvarlig (kunden) Databehandler (Leverandør) Org. Nr. Heretter kalt Databehandler

Transkript

1 mal versjon Eksemplar nr: /2 Kontrakt nr: <CONTRACTNUMBER Partene: Sporveien AS Org Heretter kalt Behandlingsansvarlig (kunden) og Databehandler (Leverandør) Org. Nr. Heretter kalt Databehandler Er enige om Databehandleravtale Behandingsansvarlig (Kunden) Leverandøren Sporveien AS <COMPANYNAME Dato: Sign: Dato: Sign: Dato: Sign: Dato: Sign:

2 1 BAKRUNN OG FORMÅL Denne Databehandleravtalen er inngått fordi Databehandler (Leverandør) behandler personopplysninger på vegne av Behandlingsansvarlig (Kunden), jf Vedlegg 1: Sporveien AS standardvilkår for Databehandleravtale pkt 1-2. Se for øvrig pkt 1-3 i Vedlegg 1 om Databehandleravtalens bakgrunn og hensikt. Sporveien AS standardvilkår for Databehandleravtaler er Vedlegg 1 til denne Databehandleravtalen. 2 DEFINISJONER Se Vedlegg 1: Sporveien AS Standardvilkår for Databehandleravtale (Standardvilkår) pkt 4. 3 KONTRAKTSDOKUMENTER OG DOKUMENTRANG Kontrakten består av følgende deler: 1. Databehandleravtalen (dette dokumentet) 2. Vedlegg 1: Sporveien AS Standardvilkår for Databehandleravtaler 3. Vedlegg 2: Sjekkliste for informasjonssikkerhet Alt a: Skytjeneste: Sporveien Oslo AS Checklist Cloud Security, som er utfylt av databehandler. Alt b: On Premise: RFP Requirements IT-Drift, Sporveien Oslo AS, som er utfylt av databehandler. 4. Vedlegg 3: Databehandleravtale mellom Databehandler og Underdatabehandler (Hvis aktuelt) 4 MOTSTRID OG PRIORITET I tilfelle motstrid gjelder følgende: Denne Databehandleravtalen skal ha forrang foran Vedlegg 1. Dette gjelder kun i den utstrekning Databehandleravtalen uttrykkelig gjør unntak fra Vedlegg 1. Vedlegg 1 skal ha forrang foran vedlegg 2. Databehandleravtalen, inkludert vedlegg, skal i tilfelle motstrid gå foran Hovedavtalen og andre avtaler mellom partene. Dette er begrenset til det som gjelder behandling av personopplysninger. 5 PERSONOPPLYSNINGER SOM SKAL BEHANDLES I tillegg til Sporveien AS standardvilkår for Databehandleravtaler pkt 5 gjelder følgende: I forbindelse med Leveranse av Hovedavtalen skal Databehandler behandle følgende type personopplysninger: 1. Beskriv hva slags personopplysninger som skal behandles, med eksempler 2. Dersom «Særlige kategorier personopplysninger», se Standardvilkår for Databehandleravtale pkt 4 k) skal behandles, må dette beskrives. 3. Beskriv hvordan data sammenkoples 4. Kontrollpunkt: Sjekk om det finnes beskrivelse av Side 2 av 5

3 a. integrasjon/grensesnitt mellom systemer, b. Hvem som eier de respektive systemer c. Detaljert skisse over trafikkflyt, trafikkmatrise med porter, og retning for trafikk Og lag henvisning til Hovedavtalens punkt om dette. 6 FORMÅLET MED DATABEHANDLERS BEHANDLING AV PERSONOPPLYSNINGENE 6.1 Formål I tillegg til Sporveien AS standardvilkår for Databehandleravtaler pkt 6 gjelder følgende: Formålet med behandlingen må beskrives konkret, og gjerne med referanse til Hovedavtalens og kravspesifikasjonens bestemmelser. Tekst i rødt nedenfor er kun eksempler Beskriv personopplysningenes kritikalitet (K1-5) og risikoanalyse. 6.2 Eksempel 1: Databehandler skal behandle personopplysninger aktivt, Eks lønnskjøring: Databehandler skal gjennomføre lønnskjøring eller på annen måte gjennomføre aktiv behandling av Personopplysninger på vegne av Behandlingsansvarlig Kjøp av IT-utstyr og programvare etc, testing (SSA-K og SSA-T) I forbindelse med leveranse av Hovedavtalen (Kjøpsavtalen) vil Databehandler få tilgang til Behandlingsansvarliges Personopplysninger som behandles i Behandlingsansvarliges ITsystemer. For leveranse av xxxx vil Databehandler gjøre testkjøringer basert på Behandlingsansvarliges data, inkludert Personopplysninger. Dette er nødvendig for å kunne foreta realistisk testing av Leveransen, fordi xxxx. Databehandleren vil som følge av dette få innsyn i Personopplysninger om opplysninger om Behandlingsansvarliges og Behandlingsansvarliges datterselskapers ansatte og innleide, inkludert sensitive Personopplysninger, Behandlingsansvarligopplysninger, opplysninger om kunders kontaktpersoner, samarbeidspartnere etc 6.3 Eksempel 2: Databehandler skal behandle personopplysninger passivt, eks s og vedlikehold: Eks. vedlikeholdsavtaler (SSA-V) I vedlikeholdsfasen (Vedlikeholdsavtalen) skal Databehandler ikke aktivt behandle Personopplysninger på vegne av Behandlingsansvarlig, men vil kunne få tilgang til Behandlingsansvarliges Personopplysninger i forbindelse med testing av programvare, support, service og vedlikehold. 6.4 Eks 3 Skytjenester (SSA-L, SaaS-tjenester) Dersom Leveransen er en skytjeneste vil Databehandler vil kunne få tilgang til Behandlingsansvarliges Personopplysninger i forbindelse med leveranse av support og Side 3 av 5

4 bistand i forbindelse med tjenesteleveransen, men skal ikke ha som oppgave å behandle Personopplysninger aktivt. Databehandler skal følgelig ikke selv behandle Behandlingsansvarliges Personopplysninger ut over det som følger av denne praktiske tilgangen. 6.5 Eksempel Apper Stikkord: Skisser grensesnitt Hvordan distribueres apper og hvilken kontroll har vi på den, leveransemetodikk og informasjonskritikalitet 7 DATABEHANDLERS PLIKTER, STANDARDVILKÅR PKT Generelt I tillegg til Sporveien AS standardvilkår for Databehandleravtaler pkt 6-9 gjelder følgende: Dette må beskrives konkret, og gjerne med referanse til Hovedavtalens og kravspesifikasjonens bestemmelser. 7.2 Underdatabehandler, Standardvilkår for Databehandleravtale pkt 9.2 Behandlingsansvarlig har godkjent at Databehandler bruker følgende Underdatabehandler: Firmanavn og organisasjonsnummer. Databehandleravtale mellom Databehandler og Underdatabehandler er Vedlegg Hvor Personopplysninger behandles, Standardvilkår for Databehandleravtale pkt 9.5 Personopplysninger behandles (herunder lagres) i følgende land eller region: xxxxxxxx Personell som har tilgang til Personopplysninger befinner seg følgende land eller region: xxxx 7.4 Databehandlers plikter når den registrerte gjør krav på innsyn, Databehandleravtale pkt 9.9 Beskriv hvordan Databehandler skal medvirke til den praktiske gjennomføringen 7.5 Lagring og sletting, jf Standardvilkår for Databehandleravtale pkt 9.10 Fyll ut når og hvordan Databehandler skal slette data i Hovedavtalens løpetid. Side 4 av 5

5 7.6 Databehandlers plikter i forbindelse med avslutning av tjenesten, jf Standardvilkår for Databehandleravtale pkt 9.11 Det kan avtales at Databehandler skal overføre alt innhold i databaser og lignende med data som er omfattet. Kostnader ved dette, eller om opplysningene skal leveres i et særskilt format, kan også inngå i en slik avtale Det skal avtales at databehandler skal slette eller forsvarlig destruere alle dokumenter, data, lagringsmedier etc, som inneholder opplysninger som omfattes av avtalen. Dette gjelder også for sikkerhetskopier. Fyll ut når og hvordan Databehandler skal slette data når Hovedavtalen avsluttes. Skal Databehandler destruere alle Personopplysninger straks eller etter en bestemt periode? I hvilket format skal data overføres til Behandlingsansvarlig eller ny Databehandler? Eventuell referanse til Hovedavtalen, dersom den behandler dette. 7.7 Varighet og oppsigelse Se Vedlegg 1 pkt 10. Dersom det er behov for andre regler om varighet og oppsigelse enn det som følger av Standardvilkår pkt 10, avtales dette her. 8 ANDRE VILKÅR For øvrig gjelder Sporveien AS standardvilkår for Databehandleravtaler så langt det ikke er gjort avvik. Følgende avvik fra Sporveien AS standardvilkår for Databehandleravtaler gjelder: List opp eventuelle avtalte avvik, for eksempel fra 9.7 dersom andre løsninger for revisjon er avtalt. Standardvilkår pkt x Endres til: Side 5 av 5