Databehandleravtale

1. Bakgrunn og formål

Denne avtalen regulerer Kvalitros behandling av personopplysninger på vegne av Virksomheten i forbindelse med bruk av Kvalitro («Tjenesten») — et system for internkontroll, avvikshåndtering, kompetansestyring og beredskap. Avtalen oppfyller kravene i personvernforordningen (GDPR) artikkel 28.

Virksomheten er behandlingsansvarlig. Kvalitro behandler personopplysninger på Virksomhetens vegne, innenfor rammen av denne avtalen.

Dokumentert instruks. Denne avtalen, abonnementsvilkårene, Tjenestens dokumentasjon og valgene Virksomheten gjør i Tjenesten, utgjør Virksomhetens dokumenterte instruks ved avtaleinngåelsen. Senere lovlige og dokumenterte instrukser håndteres skriftlig mellom partene.

Avtalen gjelder fra virksomheten opprettes i Kvalitro, også i den kostnadsfrie prøveperioden. Prøveperioden gir full tilgang, og Virksomheten legger inn egne opplysninger fra første dag — behandlingen starter altså der, og ikke ved betaling.

Denne avtalen forplikter ikke Virksomheten til å kjøpe noe. Den regulerer utelukkende hvordan Kvalitro behandler personopplysninger så lenge Virksomheten bruker Tjenesten. Pris, fornyelse og oppsigelse reguleres av abonnementsvilkårene, som først legges frem når Virksomheten eventuelt velger å tegne abonnement. Velger Virksomheten ikke det, opphører avtalen av seg selv når prøveperioden løper ut, jf. punkt 9.

2. Gjenstand, art, formål og varighet

Gjenstand og art: Innsamling, registrering, lagring, strukturering, tilgjengeliggjøring, KI-basert tekstbehandling og sletting av personopplysninger i Tjenesten.

Formål: Å levere et system for internkontroll, avviks- og forbedringsarbeid, kompetansedokumentasjon, årshjul og beredskap, i samsvar med Virksomhetens instrukser.

Varighet: Fra virksomheten opprettes i Kvalitro og så lenge Kvalitro behandler personopplysninger på Virksomhetens vegne, med de ettervirkningene som følger av punkt 9.

3. Kategorier av personopplysninger og registrerte

Registrerte: Virksomhetens ansatte, innleide og øvrige brukere av Tjenesten. Eventuelle stedfortredere og deres kontaktpersoner. Personer som omtales i avviksmeldinger.

Opplysningskategorier: Navn, e-post, telefon, stilling, profilbilde, autorisasjon og HPR-nummer, spesialitet, kurs og kompetansebevis, avviksmeldinger med tilhørende vurderinger og tiltak, oppfølgingspunkter, internkontrolldokumentasjon, beredskaps- og stedfortrederdokumenter, innholdet i kartleggings- og assistansesamtalene og i supporttråden med Kvalitro, samt innloggings- og aktivitetslogg.

4. Særlige kategorier og utilsiktet registrering

Tjenesten er et internkontrollsystem, ikke et journalsystem. Virksomheten skal ikke registrere identifiserbare pasient- eller klientopplysninger eller andre særlige kategorier av personopplysninger som ikke er nødvendige for formålet.

5. Kvalitros plikter

Kvalitro skal:

1. behandle personopplysninger kun innenfor Virksomhetens instruks slik den er definert i punkt 1. Blir Kvalitro rettslig pålagt å behandle utover dette — ved kjennelse, tilsynspålegg eller utleveringskrav — underrettes Virksomheten før behandlingen, med mindre underretning er forbudt;
2. si fra dersom Kvalitro mener at noe Virksomheten har bedt om, er i strid med personvernregelverket;
3. sikre at Kvalitros egne ansatte, innleide og medhjelpere med tilgang til opplysningene har inngått taushetserklæring eller er underlagt lovbestemt taushetsplikt;
4. iverksette egnede tekniske og organisatoriske sikkerhetstiltak (art. 32), herunder tilgangsisolasjon mellom virksomheter, kryptering under overføring og ved lagring, tilgangsstyring, loggføring, sikkerhetskopiering, gjenopprettingsrutiner, håndtering av sårbarheter og beredskap ved sikkerhetshendelser. Minimumstiltakene er beskrevet i Vedlegg B. Leverer Virksomheten helsetjenester, legges også Normen for informasjonssikkerhet og personvern i helse- og omsorgstjenesten til grunn;
5. bistå Virksomheten med å besvare henvendelser om de registrertes rettigheter etter GDPR kapittel III;
6. bistå med pliktene etter art. 32–36. Bistanden består konkret i å varsle om sikkerhetsbrudd etter punkt 8, stille til rådighet en beskrivelse av Tjenestens sikkerhetstiltak og dataflyt til bruk i Virksomhetens personvernkonsekvensvurdering, og besvare skriftlige spørsmål om behandlingen. Bistanden ytes innenfor Tjenestens funksjonalitet; krever den vesentlig arbeid ut over dette, kan Kvalitro kreve kostnadsdekning etter forhåndsvarsel;
7. gjøre tilgjengelig den informasjonen Virksomheten trenger for å påvise at pliktene overholdes, jf. punkt 10.

6. Behandling med kunstig intelligens (KI)

KI-behandling kan skje for følgende formål:

• Utkast til internkontrollkapitler — opplysningene Virksomheten har lagt inn om egen drift sendes inn som grunnlag for teksten.
• Vurdering av avviksmeldinger — beskrivelsen sendes inn slik den er skrevet. Se punkt 4 om hva som ikke skal skrives der.
• Forslag til årshjulpunkter og til risikovurderinger — bygget på opplysningene om virksomheten.
• Uttrekk av opplysninger fra opplastede dokumenter — dokumentet sendes inn i sin helhet.
• Kartleggingssamtalen, der modellen stiller Tjenestens egne spørsmål om virksomheten. Brukerens ordrette svar lagres ved siden av den tolkede verdien, slik at det i ettertid kan leses hva som faktisk ble sagt.
• Assistansesamtalen i høyrepanelet — det brukeren skriver der, sammen med de opplysningene om virksomheten som skal til for å kunne svare.

For denne behandlingen gjelder:

• Opplysningene benyttes ikke til å trene KI-leverandørens generelle modeller.
• All KI-generert tekst er et forslag. Ingenting blir stående i internkontrollen uten at en bruker har godkjent det.
• KI-leverandøren behandler innenfor EU og er underdatabehandler bundet av vilkårene i punkt 7.
• Meldinger i supporttråden med et menneske hos Kvalitro går ikke til KI-leverandøren. De blir liggende i Tjenestens egen database og leses av Kvalitros personale.

Punktene beskriver hvordan Tjenesten er innrettet i dag og utgjør samtidig bindende vilkår. Endres noe, varsles Virksomheten etter abonnementsvilkårene.

7. Underleverandører

Virksomheten gir Kvalitro generell forhåndsgodkjenning til å benytte underleverandører. Gjeldende oversikt følger som Vedlegg A og er tilgjengelig i den offentlige avtaleversjonen. Oversikten angir navn, formål, primært behandlingssted og grunnlaget som benyttes ved eventuell overføring utenfor EØS.

Kvalitro skal pålegge enhver underleverandør de samme forpliktelsene (art. 28 nr. 4), forbli fullt ansvarlig overfor Virksomheten, og varsle om tilføyelse eller utskifting senest 30 dager før endringen trer i kraft.

Innsigelse. Virksomheten kan gjøre begrunnet innsigelse innen 14 dager. Kvalitro skal vurdere innsigelsen i god tro og undersøke om rimelige alternativer kan løse personvernrisikoen. Dersom partene ikke finner en løsning før endringen trer i kraft, kan Virksomheten si opp uten kostnad og uten oppsigelsestid, med rett til full dataeksport.

8. Brudd på personopplysningssikkerheten

Med brudd menes utilsiktet eller ulovlig tilintetgjøring, tap, endring, utlevering av eller tilgang til personopplysninger (art. 4 nr. 12). Eksempler i denne Tjenesten: uvedkommende får tilgang til en virksomhets internkontroll eller avviksregister; en stedfortreder får tilgang uten at avtalen er gyldig; opplysninger blir utilgjengelige over tid; en underleverandør rapporterer et brudd som berører Virksomhetens data.

Kvalitro varsler Virksomheten uten ugrunnet opphold, og senest innen 24 timer etter å ha blitt kjent med bruddet. Fristen løper fra vi ble kjent med det, ikke fra det oppsto. Varselet skal inneholde bruddets art, berørte kategorier og omtrentlig antall, sannsynlige konsekvenser og iverksatte tiltak (art. 33 nr. 3).

Dersom bruddet er meldepliktig, påhviler plikten til å melde til Datatilsynet innen 72 timer Virksomheten som behandlingsansvarlig. Kvalitro bistår med opplysningene som er nødvendige for å vurdere og overholde meldeplikten.

9. Sletting og retur ved opphør

Ved opphør skal Kvalitro, etter Virksomhetens valg, slette eller tilbakelevere alle personopplysninger og slette eksisterende kopier, med mindre lagring er pålagt etter lov.

Virksomheten kan når som helst velge tilbakelevering ved å eksportere alle sine data i et strukturert, maskinlesbart format, eller be om sletting. I lesemodus kan Virksomheten fortsatt foreta eksport. Dersom Virksomheten ikke gir annen instruks, er standardvalget sletting etter 90 dager. Når tilbakelevering er bekreftet eller sletting er valgt, sletter Kvalitro aktive kopier innen 30 dager og sikkerhetskopier innen 90 dager, med mindre videre lagring er pålagt ved lov.

Oppbevaringsplikten er Virksomhetens. Kvalitro har ikke et selvstendig grunnlag for å beholde opplysningene etter at leveransen er slutt, med mindre videre lagring er pålagt ved lov. Trenger Virksomheten dokumentasjonen for å vise etterlevelse i ettertid, må den eksporteres og oppbevares av Virksomheten selv.

10. Revisjon og dokumentasjon

Kvalitro gjør tilgjengelig den informasjonen som er nødvendig for å påvise at forpliktelsene overholdes, og muliggjør og bidrar til revisjoner gjennomført av Virksomheten eller en revisor Virksomheten har gitt fullmakt (art. 28 nr. 3 bokstav h). Revisjon varsles i rimelig tid og skal ikke unødig forstyrre driften eller andre kunders konfidensialitet.

11. Ansvar, lovvalg og verneting

Ansvar reguleres av abonnementsvilkårene og av GDPR art. 82. Ingenting her begrenser de registrertes rettigheter eller ansvar etter ufravikelig rett. Avtalen er underlagt norsk rett, med verneting Oslo tingrett.

Vedlegg A — Underleverandører

Oversikten viser gjeldende underleverandører. Behandlingsstedet angir primær lagrings- eller driftsregion. Det innebærer ikke nødvendigvis at all tilgang og støttebehandling utelukkende skjer innenfor EØS. Ved overføring utenfor EØS skal Kvalitro sikre gyldig overføringsgrunnlag etter GDPR kapittel V og vurdere behovet for supplerende tiltak.

Kvalitro gjør i tillegg oppslag mot Helsepersonell- registeret (HPR) via Helsedirektoratet for å bekrefte autorisasjon. Dette er oppslag i et offentlig register, ikke bruk av en underdatabehandler.

Vedlegg B — Tekniske og organisatoriske tiltak

Tiltakene skal tilpasses risikoen og vurderes jevnlig. Kvalitro skal som minimum opprettholde:

• Tilgangsstyring: personlige brukerkontoer, rollebasert tilgang, virksomhetsisolasjon og begrenset administrativ tilgang etter tjenstlig behov.
• Beskyttelse av data: kryptert overføring, kryptering ved lagring hos driftsleverandørene og beskyttet håndtering av nøkler og hemmeligheter.
• Sporbarhet: logging av innlogging og relevante administrative handlinger, med vern mot uautorisert endring.
• Tilgjengelighet: sikkerhetskopiering og rutiner for gjenoppretting og håndtering av driftsavbrudd.
• Hendelseshåndtering: rutiner for å oppdage, begrense, dokumentere og varsle om brudd på personopplysningssikkerheten.
• Vedlikehold: oppdatering av avhengigheter, sårbarhetsoppfølging og regelmessig vurdering av om tiltakene fortsatt er tilstrekkelige.
• Dataminimering: begrensning av personopplysninger i logger, support og testmiljøer til det som er nødvendig for formålet.