Spesielle bruksvilkår for digital Versjon 1.1 gjeldende fra 01.01.2017 1 Om digital postkasse til innbyggere Digital er en felleskomponent offentlige virksomheter kan benytte for å sende post digitalt til innbyggere. Den enkelte innbygger velger selv en digital postkasse for å motta post fra offentlig sektor, blant leverandører som har avtale med Difi. Innbygger må inngå avtale med postkasseleverandøren. Tjenesten omfatter flere tekniske løsninger; en meldingsformidlertjeneste, flere postkasser innbygger kan velge mellom, og en tjeneste for utskrift og forsendelse av post på papir, se kapittel 5. Digital postkasse må ikke oppfattes som betegnelsen på en bestemt teknisk løsning. Bruk av digital postkasse forutsetter at kunden kan gjøre oppslag i kontakt- og reservasjonsregisteret. Kunden må akseptere spesielle bruksvilkår for kontakt- og reservasjonsregisteret og integreres mot oppslagstjenesten, senest samtidig med at kunden tar i bruk digital postkasse. 2 Komponenter i digital Difi er sentralforvalter for digital postkasse. Difi er avtalepart overfor eksterne leverandører av digital postkasse: Posten Norge AS leverer meldingsformidlertjenesten som er kundens integrasjonspunkt. Posten Norge AS leverer tilleggstjenesten for utskrift og forsendelse som integrert del av meldingsformidlertjenesten. e-boks A/S leverer en av de to postkassene innbygger kan velge. Posten Norge AS leverer en av de to postkassene innbygger kan velge. 3 Prinsipper for bruk av digital Bruk av digital postkasse skal bygge på prinsipper om brukervennlighet, trygghet og valgfrihet. Innbygger kan fritt velge blant tilknyttede postkasser. Mottak og lagring av digital post fra offentlig sektor er gratis for innbygger. Pålogging til post fra offentlig sektor skjer ved bruk av ID-porten, som er gratis for innbygger. Kunden skal i sin portalløsning [fra sin egen nettjeneste] lenke til kontakt- og reservasjonsregisteret, slik at innbygger kan oppdatere sin digitale kontaktinformasjon i det felles registeret. Innbygger har rett til å reservere seg mot å få vedtak og andre viktige brev digitalt, etter eforvaltningsforskriften 9. Kunden skal i sin portalløsning lenke til Difis tjeneste for reservasjon mot kommunikasjon på nett. Kunden skal sørge for at meldingene som sendes er i tråd med regelverket for universell utforming, jf. «Forskrift om universell utforming av informasjons- og kommunikasjonsteknologiske (IKT)-løsninger». Alle postkasseleverandører som er tilknyttet løsningen skal tilby sikker lagring av meldinger mottatt fra det offentlige, så lenge innbygger ønsker. Kunden kan ikke reservere sine tjenester mot noen av postkasseleverandørene. 4 Finansiering Etablering, videreutvikling og drift av digital postkasse sentralfinansieres gjennom Difi. Kostnader med integrasjon mot kontakt- og reservasjonsregisteret, meldingsformidler samt tilpassing av egne systemer dekkes av kunden. Det samme gjelder for konsulenttjenester fra leverandørene for feilretting i kundens integrasjon under integrasjonsprosessen og når kunden er i produksjon.
Kostnader for bruk av digital postkasse betales av kunden. Prisene er tilgjengelig på samarbeidsportalen. Kunden faktureres for bruk av digital postkasse per kvartal. Kunden faktureres i EHF-formatet om ikke annet er avtalt. Kunden skal oppgi ett fakturamottak. Kundens andel av påloggingskostnader i ID-porten i forbindelse med digital postkasse faktureres en gang per år. Kunden betaler selv for tilleggstjenester som bestilles, se punkt 5.6. 5 Funksjonalitet 5.1 Overordnet beskrivelse av digital postkasse Digital postkasse omfatter flere komponenter. 5.1.1 Meldingsformidler Meldingsformidlerens hovedoppgaver er å motta meldinger fra offentlige avsendere, videreformidle disse meldingene til angitt postkasseleverandør og formidle leveringsstatus tilbake til kunden. Kunden skal integreres mot meldingsformidler. Difi tilbyr klientbibliotek for forenklet integrasjon og manuelt batchgrensesnitt som tilleggstjeneste. 5.1.2 Kontakt- og reservasjonsregisteret Kontakt- og reservasjonsregisteret er et register over innbyggerens digitale kontaktinformasjon og reservasjonsstatus. Registeret er regulert i eforvaltningsforskriften (FOR-2004-06-25-988) kapittel 7 og kan inneholde nærmere definerte opplysninger om innbyggere. Kontakt- og reservasjonsregisteret er en felleskomponent som må benyttes sammen med digital, se spesielle bruksvilkår for kontakt- og reservasjonsregisteret. Difi er behandlingsansvarlig for kontakt- og reservasjonsregisteret, jf. eforvaltningsforskriften 30. 5.1.3 Postkasse Postkasseleverandørens hovedoppgaver er å motta meldinger fra meldingsformidler, levere dem i innbyggers digitale postkasse, varsle innbygger om ny post hvis innstillingene tilsier det, tilby innbygger enkel tilgang via web og apps og lagre posten på en sikker måte så lenge innbygger selv ønsker. Kunden skal ikke ha direkte integrasjon mot postkasseleverandør. Innbygger kan selv flytte mottatt post dersom han ønsker å bytte postkasse. 5.2 Sending av meldinger Digital postkasse er en felles løsning for offentlige virksomheter for å sende brev digitalt til innbyggere. Tjenesten leverer post til innbyggers valgte digitale postkasse. Varsling til innbygger om at posten er tilgjengelig i postkassen, formidles av postkasseleverandøren i henhold til innstillinger. Kunden får kvitteringer for at meldingen er levert til postkassen. Kunden må selv fastsette sikkerhetsnivå på posten, om innbygger må varsles etter bestemmelsene i eforvaltningsforskriften eller om varsling er ønskelig. Kunden kan sette et tilgjengeliggjøringstidspunkt frem i tid, normalt opptil fem dager. Faktura til innbygger kan sendes i EHF-format. For innbygger sin del kan fakturaen både åpnes som vanlig faktura, samt at informasjonen i fakturaen kan sendes til nettbank, alt etter postkasseleverandør. Sending av EHF koster ikke noe ekstra, men avsender må betale for eventuelle tjenester som innbygger benytter seg av. Se prislisten for mer informasjon 5.3 Meldingstyper Tjenesten er tilrettelagt for å sende enkeltmeldinger med god gjennomstrømningshastighet. I tilfeller hvor innbygger har særskilt behov for umiddelbar tilbakemelding, for eksempel som ledd i en pågående telefonsamtale mellom saksbehandler hos kunden og innbygger, kan meldingen sendes som en prioritert enkeltmelding. Meldingen vil da prioriteres i meldingskøen. Dersom muligheten for å sende prioriterte enkeltmeldinger misbrukes, vil denne funksjonaliteten fjernes. Det er således kundenes felles ansvar at denne begrensningen følges opp. 5.4 Utskrifts- og forsendelsestjeneste Tjenesten gjør det mulig for kunden å sende alle brev gjennom løsningen, uavhengig av om innbyggeren har en digital postkasse eller ikke. Kunden betaler for tilpassning av egne systemer for å ta i bruk utskrifts- og forsendelsestjenesten. I tillegg betaler kunden per brev som går til utskrift. 5.5 Varsling av innbygger Varslingsplikten etter eforvaltningsforskriften 8 påligger kunden. Kunden kan ved sending av meldinger bestemme at innbygger skal varsles per SMS eller e-post om at det er levert/tilgjengeliggjort post i hans postkasse. Kunden kan selv fastsette ordlyden i varslingsteksten. Som
standardtekst vil innbygger varsles om at brev fra kunden er tilgjengelig i hans digitale postkasse. Varsling av innbygger per e-post er kostnadsfritt, SMS er priset særskilt, se prislisten. 5.6 Kvitteringer Kunden vil få en kvittering på at meldingen er mottatt av postkasseleverandøren og vil bli gjort tilgjengelig i innbyggers digitale postkasse. Denne kvitteringen vil bli levert innen 1 time. Dersom kvittering ikke blir levert, skal kunden kontakte Difi. Det blir sendt feilmelding dersom varsling har feilet. Kunden kan ved sending av meldinger be om åpningskvittering. Postkassen kan bare sende åpningskvittering hvis innbygger gir samtykke til dette. Åpningskvittering er priset særskilt. Kvitteringsmeldingene er ytterligere beskrevet på samarbeidsportalen. 5.7 Tilleggstjenester Kunden kan bestille tilleggstjenester etter behov. Kunden betaler selv for de tilleggstjenester som bestilles. Beskrivelse, priser og betingelser for tilgjengelige tilleggstjenester fremgår av «tilleggstjenester for Difis felleskomponenter». 6 Kundens integrasjon mot digital 6.1 Meldingsformidler Meldingsformidler er kundens integrasjonspunkt for digital postkasse. Kunden skal aldri integreres direkte mot postkasseleverandør. 6.2 Kontakt- og reservasjonsregisteret Oppslagstjenesten er kundens grensesnitt mot kontaktog reservasjonsregisteret. Det kan bli aktuelt at flere registre knyttes til oppslagstjenesten. 6.2.1 Identifisering av mottaker For å hente ut informasjon fra kontakt- og reservasjonsregisteret, må kunden kjenne fødselsnummeret til mottaker av brevet. Skattedirektoratet har bestemt at «Offentlige myndigheter kan [ ] få online tilgang med treffliste til Det sentrale folkeregister for å sikre entydig identitet på borgeren i forbindelse med elektronisk kommunikasjon.», se vedlagte vilkår. Kunden må selv vurdere behandlingsgrunnlag etter personopplysningsloven 11 jf 8 og 12. Kunden er ansvarlig for å sende og vedlikeholde melding til datatilsynet etter personopplysningsloven 31, og bekrefter at dette er gjort. Dersom kunden har fått fritak fra meldeplikt, ber vi om at dette stadfestes med henvisning til relevant bestemmelse, jf personopplysningsloven 31, fjerde ledd og personopplysningsforskriften kap. 7. Når Difis skjema er sendt inn og bruksvilkår akseptert, sender Difi melding til Evry for å få opprettet online tilgang 6.3 Bruk av underleverandører Kunden kan benytte underleverandører til å utføre oppgaver i forbindelse med integrasjon mot meldingsformidler, eventuelt som tjenesteleverandør i prosessen med å formidle post fra kunde til meldingsformidler, se bruksvilkår for Difis felleskomponenter kapittel 7. Kunden må forsikre seg om at underleverandøren har akseptert Difis bruksvilkår for leverandører. 6.4 Aktiviteter ved integrasjon 6.4.1 Planlegging Kunden skal kontakte Difi vedrørende integrasjonen senest tre måneder før digital postkasse planlegges tatt i bruk. Difi og kunden skal i samarbeid planlegge kundens integrasjon mot digital postkasse. Difi bistår kunden med teknisk rådgivning i integrasjonsperioden. Kunden skal følge krav som er fastsatt av Difi, se «integrasjonsguide for digital». Oppdatert teknisk dokumentasjon er tilgjengelig på samarbeidsportalen. Kunden er selv ansvarlig for risikovurdering av egen bruk av digital postkasse. Relevante deler av Difis ROS-analyse samt retningslinjer og malverk for risikovurdering vil gjøres tilgjengelig for kunden. Kunden skal før integrasjon oppgi estimert bruksvolum og bruksmønster og hvem som er målgruppen for bruk av tjenesten. Eventuelle kritiske perioder og høyvolumsperioder skal oppgis. Med høyvolum menes sending av mer enn 50 meldinger per sekund over en periode på mer enn 10 timer, og sending av mer enn 2 millioner meldinger i løpet av et døgn. 6.4.2 Test Kunden skal gjennomføre integrasjonstest for digital postkasse. Retningslinjer for og krav til integrasjon og testing, samt en beskrivelse av testmiljøet, er tilgjengelig på samarbeidsportalen.
Tilgang til testbrukere for testing av integrasjonen avtales nærmere med Difi. Det er et krav at det benyttes fiktive testbrukere og testdata. 6.4.3 Produksjonssetting Når kunden har utført testing i henhold til retningslinjene, skal Difi og kunden fastsette en dato for når kunden skal integreres mot produksjonsmiljøet til digital postkasse. Kunden og Difi skal i fellesskap verifisere at integrasjonene fungerer tilfredsstillende i produksjonsmiljøet. 7 Kundens informasjonsplikt Kunden plikter å holde Difi informert om perioder med vesentlig økt bruk av tjenesten i forhold til tidligere fastsatte planer. Dersom det skal skje en masseutsending på et tidspunkt som ikke er angitt som høyvolumperiode, bør Difi informeres en måned på forhånd. Med masseutsendelse menes mer enn 2 millioner brev i løpet av et døgn. 8 Tjenestenivå 8.1 Innledning Alle krav som er spesifisert i disse spesielle bruksvilkår for digital postkasse, skal følges opp slik at tjenester og ytelser blir levert med avtalt og tilfredsstillende kvalitetsnivå. Difi skal følge opp at tjenester til digital postkasse levert av eksterne leverandører holder det tjenestenivå som fremgår av de til enhver tid gjeldene avtaler Difi har med disse leverandørene. Måleperiode for alle tjenester og ytelser er månedlig (per kalendermåned). 8.2 Tilgjengelighet Driftsperioden for digital postkasse er 24 timer/7 dager i uken/365 dager i året. Tjenesten er dimensjonert med tanke på at det offentlige skal kunne sende 1 melding på 100kb til hver av landets innbyggere i løpet av 24 timer. Innenfor disse rammer har løsningen en tilgjengelighet på 99,50 %. 8.3 Planlagt vedlikehold vedlikeholdsvindu Vedlikeholdsvindu er avtalt tid der tjenesten kan være utilgjengelig, og benyttes til vedlikehold av hardware, oppgraderinger, service med mer. Difis vedlikeholdsvindu for digital postkasse er natt til tirsdag mellom kl.00.00 - kl. 06.00. Difi kan maksimalt benytte vedlikeholdsvindu for digital postkasse 18 ganger per kalenderår og skal så langt som mulig ikke benytte vedlikeholdsvinduet i kritiske perioder for kundene. Vedlikeholdsvindu holdes utenfor ved beregning av tilgjengelighet. 8.3.1 Varsling av planlagt vedlikehold Difi skal minimum 5 virkedager på forhånd varsle kunden om bruk av vedlikeholdsvindu. Varsling skal skje på samarbeidsportalen. 8.3.2 Ekstraordinært vedlikehold I forbindelse med forebyggende vedlikehold som ikke kan vente til vedlikeholdsvindu og kritisk feilretting skal Difi varsle om vedlikehold utenfor vedlikeholdsvinduene. Varslingen skal skje på samarbeidsportalen. 9 Informasjonssikkerhet Meldingsformidler og digitale postkasser som er tilknyttet løsningen skal ivareta grunnleggende krav til informasjonssikkerhet. Gjennom risikovurderinger, revisjon og godkjenning vil Difi sikre at tilknyttede leverandører overholder de krav til informasjonssikkerhet som fremgår av de til enhver tid gjeldende avtaler Difi har med eksterne leverandører om levering av hhv meldingsformidlertjeneste og digital postkasse til offentlig sektor. 10 Behandling av personopplysninger (databehandleravtale) Kunden er behandlingsansvarlig for personopplysninger i brev som kunden sender til digital postkasse frem til disse er gjort tilgjengelig for innbygger. Det er kunden selv som bestemmer hvilke personopplysninger brevene inneholder. Logger hos Difi og underleverandører inneholder innbyggers digitale postkasseadresse, meldingsid og avsender. I tillegg kommer lagring av personopplysninger i samsvar med de til enhver tid gjeldende bruksvilkår mellom postkasseleverandør og innbygger, der postkasseleverandør er behandlingsansvarlig.
Difi opptrer som databehandler for kunden når Difi, i henhold til disse bruksvilkårene, formidler tilgang til tjenester fra meldingsformidler og postkasseleverandører og følger opp disse i henhold til avtaler mellom Difi og leverandørene. Posten Norge AS og e-boks A/S er i denne sammenheng underleverandører til Difi. Difi kan engasjere andre underleverandører på tilsvarende vilkår som gjelder for Posten Norge AS og e-boks A/S. Kunder som opphører skal si opp sin bruk av Digital postkasse med én måneds skriftlig varsel. Dersom Difi ikke mottar slik oppsigelse vil de bli automatisk fjernet. Difi kan ikke behandle personopplysningene på annen måte enn det som er nødvendig for å utføre sine oppgaver i henhold til disse bruksvilkårene, herunder å følge opp at digital post som sendes fra kunden formidles i henhold til avtale med underleverandørene. Det skal føres logg over opplysninger om digital post som sendes på vegne av kunden. Loggen kan inneholde de opplysninger som er nødvendig for å avklare eventuelle feilsituasjoner og når posten ble mottatt av henholdsvis meldingsformidler og postkasseleverandøren. Innholdet i loggene er nærmere beskrevet i avtalene med underleverandørene. Loggen skal oppbevares i maksimalt 24 måneder etter at posten er levert til postkasseleverandøren eller feilmelding er sendt til kunden. Difi skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger, se kapittel 9. Sikkerhetsdokumentasjon kan gjøres tilgjengelig for kunden på forespørsel. Difi har taushetsplikt om alle forhold de får kjennskap til gjennom behandling av personopplysninger i henhold til denne avtalen. Kunden kan når som helst pålegge Difi å stanse behandlingen av personopplysninger på vegne av kunden. Med mindre annet fremgår av pålegget fra kunden, skal Difi gjennomføre sending av digital post som er påbegynt før pålegget ble mottatt. Med mindre kunden pålegger Difi å slette opplysningene om sending av post som er lagret i underleverandørenes logger på vegne av kunden, skal loggene oppbevares frem til det tidspunkt de ville blitt slettet dersom databehandleroppdraget ikke var blitt avsluttet, jf. fjerde avsnitt ovenfor. 11 Oppsigelse Kunden kan si opp sin bruk av digital postkasse med èn måneds skriftlig varsel.