Databehandleravtale

1. Bakgrunn og formål

Denne avtalen regulerer Kvalitros behandling av personopplysninger på vegne av Virksomheten i forbindelse med bruk av Kvalitro («Tjenesten») — et system for internkontroll, avvikshåndtering, kompetansestyring og beredskap. Avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28.

Virksomheten er behandlingsansvarlig. Kvalitro behandler personopplysninger på Virksomhetens vegne, innenfor rammen av denne avtalen.

Hva «instruks» betyr her. Virksomhetens instruks er denne avtalen sammen med abonnementsvilkårene, Tjenestens dokumentasjon og de valgene Virksomheten selv gjør i Tjenesten. Ingen ytterligere instruks er nødvendig for å ta Tjenesten i bruk.

Avtalen gjelder fra kontoen opprettes, også i den kostnadsfrie prøveperioden. Prøveperioden gir full tilgang, og Virksomheten legger inn egne opplysninger fra første dag — behandlingen starter altså der, og ikke ved betaling.

Denne avtalen forplikter ikke Virksomheten til å kjøpe noe. Den regulerer utelukkende hvordan Kvalitro behandler personopplysninger så lenge Virksomheten bruker Tjenesten. Pris, fornyelse og oppsigelse reguleres av abonnementsvilkårene, som først legges frem når Virksomheten eventuelt velger å tegne abonnement. Velger hun ikke det, opphører avtalen av seg selv når prøveperioden løper ut, jf. punkt 9.

2. Gjenstand, art, formål og varighet

Gjenstand og art: Innsamling, registrering, lagring, strukturering, tilgjengeliggjøring, AI-basert tekstbehandling og sletting av personopplysninger i Tjenesten.

Formål: Å levere et system for internkontroll, avviks- og forbedringsarbeid, kompetansedokumentasjon, årshjul og beredskap, i samsvar med Virksomhetens instrukser.

Varighet: Fra kontoen opprettes og så lenge Kvalitro behandler personopplysninger på Virksomhetens vegne, med de ettervirkningene som følger av punkt 9.

3. Kategorier av personopplysninger og registrerte

Registrerte: Virksomhetens ansatte, innleide og øvrige brukere av Tjenesten. Eventuelle stedfortredere og deres kontaktpersoner. Personer som omtales i avviksmeldinger.

Opplysningskategorier: Navn, e-post, telefon, stilling, profilbilde, autorisasjon og HPR-nummer, spesialitet, kurs og kompetansebevis, avviksmeldinger med tilhørende vurderinger og tiltak, oppfølgingspunkter, internkontrolldokumentasjon, beredskaps- og stedfortrederdokumenter, innholdet i kartleggings- og assistansesamtalene og i supporttråden med Kvalitro, samt innloggings- og aktivitetslogg.

4. Særlige kategorier — og fritekstfellen

Tjenesten er ikke ment å inneholde helseopplysninger om pasienter. Den er et internkontrollsystem, ikke et journalsystem.

5. Kvalitros plikter

Kvalitro skal:

1. behandle personopplysninger kun innenfor Virksomhetens instruks slik den er definert i punkt 1. Blir Kvalitro rettslig pålagt å behandle utover dette — ved kjennelse, tilsynspålegg eller utleveringskrav — underrettes Virksomheten før behandlingen, med mindre underretning er forbudt;
2. si fra dersom Kvalitro mener at noe Virksomheten har bedt om, er i strid med personvernregelverket;
3. sikre at Kvalitros egne ansatte, innleide og medhjelpere med tilgang til opplysningene har inngått taushetserklæring eller er underlagt lovbestemt taushetsplikt;
4. iverksette egnede tekniske og organisatoriske sikkerhetstiltak (art. 32), herunder tilgangsisolasjon mellom virksomheter, kryptering under overføring og ved lagring, tilgangsstyring og loggføring. Leverer Virksomheten helsetjenester, legges også Normen for informasjonssikkerhet og personvern i helse- og omsorgstjenesten til grunn;
5. bistå Virksomheten med å besvare henvendelser om de registrertes rettigheter etter GDPR kapittel III;
6. bistå med pliktene etter art. 32–36. Bistanden består konkret i å varsle om sikkerhetsbrudd etter punkt 8, stille til rådighet en beskrivelse av Tjenestens sikkerhetstiltak og dataflyt til bruk i Virksomhetens personvernkonsekvensvurdering, og besvare skriftlige spørsmål om behandlingen. Bistanden ytes innenfor Tjenestens funksjonalitet; krever den vesentlig arbeid ut over dette, kan Kvalitro kreve kostnadsdekning etter forhåndsvarsel;
7. gjøre tilgjengelig den informasjonen Virksomheten trenger for å påvise at pliktene overholdes, jf. punkt 10.

6. Behandling med kunstig intelligens

Tjenesten benytter AI seks steder. Dette er den fullstendige oversikten:

• Utkast til internkontrollkapitler — opplysningene Virksomheten har lagt inn om egen drift sendes inn som grunnlag for teksten.
• Vurdering av avviksmeldinger — beskrivelsen sendes inn slik den er skrevet. Se punkt 4 om hva som ikke skal skrives der.
• Forslag til årshjulpunkter og til risikovurderinger — bygget på opplysningene om virksomheten.
• Uttrekk av opplysninger fra opplastede dokumenter — dokumentet sendes inn i sin helhet.
• Kartleggingssamtalen, der modellen stiller Tjenestens egne spørsmål om virksomheten. Brukerens ordrette svar lagres ved siden av den tolkede verdien, slik at det i ettertid kan leses hva som faktisk ble sagt.
• Assistansesamtalen i høyrepanelet — det brukeren skriver der, sammen med de opplysningene om virksomheten som skal til for å kunne svare.

For denne behandlingen gjelder:

• Opplysningene benyttes ikke til å trene AI-leverandørens generelle modeller.
• All AI-generert tekst er et forslag. Ingenting blir stående i internkontrollen uten at en bruker har godkjent det.
• AI-leverandøren behandler innenfor EU og er underdatabehandler bundet av vilkårene i punkt 7.
• Meldinger i supporttråden med et menneske hos Kvalitro går ikke til AI-leverandøren. De blir liggende i Tjenestens egen database og leses av Kvalitros personale.

Punktene beskriver hvordan Tjenesten er innrettet i dag og utgjør samtidig bindende vilkår. Endres noe, varsles Virksomheten etter abonnementsvilkårene.

7. Underleverandører

Virksomheten gir Kvalitro generell forhåndsgodkjenning til å benytte underleverandører. Oversikten per i dag følger som Vedlegg A, og en oppdatert oversikt gis på forespørsel. Den angir navn, tjeneste og behandlingssted, og omfatter ikke Kvalitros tekniske arkitektur eller modellvalg.

Kvalitro skal pålegge enhver underleverandør de samme forpliktelsene (art. 28 nr. 4), forbli fullt ansvarlig overfor Virksomheten, og varsle om tilføyelse eller utskifting senest 30 dager før endringen trer i kraft.

Virkningen av innsigelse. Virksomheten kan gjøre innsigelse innen 14 dager. Innsigelsen stanser ikke endringen og gir ingen rett til å bestemme hvilke underleverandører Kvalitro benytter; valget og ansvaret ligger hos Kvalitro. Virkningen er at Virksomheten kan si opp uten kostnad og uten oppsigelsestid, med rett til full dataeksport, før endringen trer i kraft.

8. Brudd på personopplysningssikkerheten

Med brudd menes utilsiktet eller ulovlig tilintetgjøring, tap, endring, utlevering av eller tilgang til personopplysninger (art. 4 nr. 12). Eksempler i denne Tjenesten: uvedkommende får tilgang til en virksomhets internkontroll eller avviksregister; en stedfortreder får tilgang uten at avtalen er gyldig; opplysninger blir utilgjengelige over tid; en underleverandør rapporterer et brudd som berører Virksomhetens data.

Kvalitro varsler Virksomheten uten ugrunnet opphold, og senest innen 24 timer etter å ha blitt kjent med bruddet. Fristen løper fra vi ble kjent med det, ikke fra det oppsto. Varselet skal inneholde bruddets art, berørte kategorier og omtrentlig antall, sannsynlige konsekvenser og iverksatte tiltak (art. 33 nr. 3).

Meldeplikten til Datatilsynet innen 72 timer påhviler Virksomheten som behandlingsansvarlig. Kvalitro bistår med det som trengs for å overholde den.

9. Sletting og retur ved opphør

Ved opphør skal Kvalitro, etter Virksomhetens valg, slette eller tilbakelevere alle personopplysninger og slette eksisterende kopier, med mindre lagring er pålagt etter lov.

Virksomheten kan når som helst eksportere alle sine data i et strukturert, maskinlesbart format. Når eksport er bekreftet, sletter Kvalitro sine kopier innen 30 dager; sikkerhetskopier innen 90 dager.

Oppbevaringsplikten er Virksomhetens. Kvalitro har ingen selvstendig plikt — og etter art. 28 nr. 3 bokstav g heller ingen rett — til å beholde opplysningene etter at leveransen er slutt. Trenger Virksomheten dokumentasjonen for å vise etterlevelse i ettertid, må den eksporteres og oppbevares av Virksomheten selv.

10. Revisjon og dokumentasjon

Kvalitro gjør tilgjengelig den informasjonen som er nødvendig for å påvise at forpliktelsene overholdes, og muliggjør og bidrar til revisjoner gjennomført av Virksomheten eller en revisor Virksomheten har gitt fullmakt (art. 28 nr. 3 bokstav h). Revisjon varsles i rimelig tid og skal ikke unødig forstyrre driften eller andre kunders konfidensialitet.

11. Ansvar, lovvalg og verneting

Ansvar reguleres av abonnementsvilkårene og av GDPR art. 82. Ingenting her begrenser de registrertes rettigheter eller ansvar etter ufravikelig rett. Avtalen er underlagt norsk rett, med verneting Oslo tingrett.

Vedlegg A — Underleverandører

Oversikten viser gjeldende underleverandører. Alle behandler personopplysninger på Virksomhetens vegne, og alle behandler innenfor EU/EØS.

Kvalitro gjør i tillegg oppslag mot Helsepersonell- registeret (HPR) via Helsedirektoratet for å bekrefte autorisasjon. Dette er oppslag i et offentlig register, ikke bruk av en underdatabehandler.