CULR-aftale - udkast til template
CULR-aftale - udkast til template
Tilslutning af <institution> til CULR-servicen
Underskrivere:
1. 1 – Kulturstyrelsen (juridisk forankring af CULR-servicen)
2. 2 – DBC as (driftsansvarlig for CULR-servicen)
3. 3 – <institution>
<dato>
1 Baggrund
CULR er akronym for Core User Library Registry. Formålet med “Core User Library Registry” er at give udbydere af digitale biblioteksservices (i det følgende: tjenesteudbydere) mulighed for at få udleveret en liste over hvilke bibliotekstilhørsforhold en given bruger har. Dette kan CULR fordi den kan identificere de biblioteker hvor en given bruger (person eller virksomhed) er registreret som låner.
2 Beskrivelse af CULR-systemet Formål
CULR-systemet modtager fra tilsluttede dataleverandører (dvs. biblioteker eller studentermatrikler) oplysninger om de lokale id-numre som hver enkelt registreret biblioteksbruger eller studerende råder over. Adgang til digitale indholdsprodukter for biblioteksbrugere eller studerende er afhængig af den enkeltes bibliotekstilhørsforhold eller optagelse i matrikel. Disse tilhørsforhold kan en tjenesteudbyder (fx en lokal eller national bibliotekstjeneste), som gerne vil give deres brugere adgang til digitale indholdsprodukter, få oplyst fra CULR, og dermed kan tjenesteudbyderen efterfølgende tilbyde deres brugere adgang til de relevante indholdsprodukter som deres biblioteks- eller matrikel-tilhørsforhold berettiger til.
Systemarkitektur
CULR-systemet består af 3 komponenter (se definitioner afsnit 3):
1. En webservice der varetager den elektroniske forbindelse mellem de tilsluttede institutioner og CULR-systemet.
2. En database som opbevarer de afleverede data fra de tilsluttede institutioner der er dataleverandører
3. Et administrationssystem som varetager administration af brugerkonti (herunder oprettelse af passwords til institutioner) og som styrer adgangen til funktioner i webservicen for de tilsluttede institutioner.
Af denne aftale fremgår hvilke af de i CULR-webservicen tilgængelige funktionskald som den underskrivende institution kan anvende og hvilke den ikke kan anvende. Disse informationer registreres af DBC as i CULR- tjenestens administrationssystem i form af en "CULR-profil" i forbindelse med brugeroprettelse.
Adgang til at anvende CULR-webservicen kræver derfor at institutionen identificerer sig over for servicen således:
• Et biblioteksnummer/ISIL-nummer tildelt af Kulturstyrelsen
• Et CULR-profilnavn, tildelt af DBC as
• Et password, tildelt af DBC as
Denne login-triple skal angives hver gang en institution kalder en funktion i webservicen. Hvis en institution anvender et funktionskald som den ifølge denne aftale ikke har adgang til at anvende, vil funktionskaldet blive afvist af webservicen.
Al kommunikation mellem de tilsluttede og autentificerede institutioner sker alene gennem webservicen via internettet (via en krypteret https-forbindelse). Det betyder at klientsystemerne ikke har systemadgang til selve databasen eller til administrationssystemet. Det er alene autoriserede DBC-medarbejdere der har adgang til databasen eller til at oprette og rette CULR-profiler og CULR-passwords i administrationssystemet.
CULR-profiler og CULR-passwords administreres af DBC as i et system der ligger uden for selve CULR- webservicen og CULR-databasen, og hvortil der alene er adgang for autoriserede DBC-medarbejdere. Den funktion i CULR-webservicen der henter en CULR-profil, benytter en intern webservice som alene eksponeres og kan kaldes inden for DBCs domæne med ip-adgangskontrol.
2.1 Tilladte operationer for <institution>
Beskrivelse af <institutions> adgang til at benytte CULR-webservicen Institutionens navn:
Formål med adgang:
Institutionstype i CULR-servicen:
• dataleverandør
• tjenesteudbyder
Navn på funktion i CULR-webservice | Har adgang J/N |
CreateAccount | |
DeleteAccount | |
UpdateAccount | |
MergePatrons | |
GetAccounts | |
GetAccountFromProvider |
Hovedprincipper for institutioners adgang til at anvende CULR-webservicen er:
• En dataleverandør har adgang til at oprette, ændre eller fjerne data fra servicen
• En dataleverandør har kun adgang til at se egne data
• En tjenesteudbyder har kun adgang til at se data, ikke til at ændre, oprette eller slette data .
3 Definitioner
CULR-webservicen anvendes af forskellige typer af institutioner:
3.1 Tjenesteudbyder
Ved tjenesteudbyder forstås en juridisk person (firma, myndighed, institution m.v.) som udbyder en eller flere tjenester der giver brugere adgang til digitale indholdsprodukter, eller et system som håndterer denne adgang på vegne af en eller flere tjenesteudbydere.
3.2 Dataleverandør
Ved dataleverandør forstås en juridisk person (typisk et bibliotek eller en studentermatrikel) som opretter, vedligeholder og nedlægger elektroniske konti med tilhørende oplysninger om deres tilknyttede brugere (ansatte, studerende m.v.) i deres eget system, og som eksporterer oplysninger om disse til CULR-servicen.
3.3. Institutioner
Tjenesteudbydere og dataleverandører benævnes i denne aftale samlet "institutioner".
4 Ansvar efter og forholdet til Persondataloven
De tilsluttede institutioner er dataansvarlig for behandlingen af personoplysninger i henhold til Lov om behandling af personoplysninger. Hvis institutionens datagrundlag opstår ved aggregering af data fra tredjeparter, er institutionen også dataansvarlig.
DBC as er databehandler på vegne af de tilsluttede institutioner i henhold til lov om behandling af personoplysninger, jf. § 3, nr. 5.
Reglerne i § 41, stk. 3-5 i lov om behandling af personoplysninger er tillige gældende for DBC as, jf. § 42, stk.
2. DBC as’ behandling af data må i øvrigt alene ske efter instruks fra den enkelte institution, jf. § 42, stk. 2 i lov om behandling af personoplysninger.
DBC as skal således træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med lov om behandling af personoplysninger, alt i overensstemmelse med regler udstedt i medfør af lov om behandling af personoplysninger. Der henvises til Datatilsynets sikkerhedsvejledning nr. 37 af 2. april 2001 om foranstaltninger til beskyttelse af personoplysninger.
Bestemmelserne i Justitsministeriets bekendtgørelse nr. 528 af 15. juni 2000 (som ændret ved bekendtgørelse nr. 201 af 22. marts 2001, tillige med de ændringer hertil der senere måtte blive vedtaget) om sikkerhedsforanstaltninger til beskyttelse af personoplysninger som behandles for den offentlige forvaltning, er ligeledes gældende for DBC as.
Institutioner skal som dataansvarlig overholde anmeldelsesreglerne i lov om behandling af personoplysninger. Eventuel anmeldelse skal ske til Datatilsynet via Datatilsynets hjemmeside, xxx.xxxxxxxxxxxx.xx.
Institutioner og DBC as skal i øvrigt overholde de relevante regler for henholdsvis dataansvarlig og databehandler i lov om behandling af persondata samt regler udstedt i medfør heraf.
5 DBC as’ forpligtelser
5.1 Nedetid og driftsforstyrrelser
DBC as og Kulturstyrelsen indgår aftale om levering af system og drift. Det er DBC as’ ansvar uden ugrundet ophold at varsle og underrette institutionen om omstændigheder som kan påvirke funktionaliteten eller driften af CULR-systemet.
Planlagt nedetid, opdateringer, driftsophør, lovændringer eller ændringer i praksis varsles tillige uden ugrundet ophold.
5.2 Tilslutningshjælp og support
Om ønsket rådgiver DBC institutionen for at sikre bedst mulig anvendelse af CULR-webservicen.
5.3 Beredskab
DBC as er forpligtet til at have et beredskab klar således at eventuel nedetid kan minimeres ved hjælp af fastlagte processer og procedurer.
5.4 Tilslutningstidspunkt
DBC bestræber sig på gøre det muligt for den tilsluttede institution at anvende CULR-webservicen inden for 21 arbejdsdage efter at en underskrevet aftale er godkendt i Kulturstyrelsen.
I tilfælde af at fristen ikke kan overholdes, underrettes institutionen straks om hvorfor fristen ikke kan overholdes, og om hvornår benyttelse kan ske.
For at denne tidsfrist kan overholdes, er det afgørende at institutionen opfylder sine forpligtelser (se punkt 6).
5.5 Dokumentation af CULR-webservice
DBC as har ansvar for den tekniske vedligeholdelse af CULR-systemet. DBC og Kulturstyrelsen vedligeholder dokumentationen af CULR-webservicen, herunder en aktuel WSDL-fil samt anden supplerende dokumentation.
6 Institutionens forpligtelser
6.1 Registrering af kontaktpersoner
Institutionen er forpligtet til at udnævne en teknisk og en organisatorisk kontaktperson samt sikre at kontaktoplysningerne løbende holdes ved lige, ved at sende de fornødne oplysninger og eventuelle ændringer til DBC
6.2 Test
Institutionen er forpligtet til at teste tilsluttede løsninger og gennemføre og bestå alle test som anvist af DBC as ved tilslutningen.
6.3 Ressourcer
Institutionen forpligter sig til at stille nødvendige ressourcer til rådighed i forbindelse med afprøvning af egne løsninger og services. Institutionen afholder selv udgifter til udvikling, etablering, integration, drift m.v. af egne installationer.
6.4 Logning og certifikat
Institutionen er forpligtet til at leve op til den til enhver tid gældende logningspolitik og certifikatpolitik. Politikkerne findes på Kulturstyrelsens hjemmeside.
6.5 Sikkerhed
Det er institutionens ansvar at (it-)sikkerheden i egen organisation lever op til gældende regler og god it-skik. Hvis Kulturstyrelsen vurderer at en løsning (it-system med direkte eller indirekte forbindelse til CULR- webservicen) i væsentlig grad kan kompromittere sikkerheden, anses dette som misligholdelse af tilslutningsvilkårene (se punkt 7).
6.6 Institutionens leverandør
Såfremt institutionen får system eller andet der anvendes til tilslutning til CULR-webervicen fra en leverandør, er det institutionens ansvar at leverandøren opfylder og indestår for alle punkter i denne aftale.
7 Misligholdelse og ansvarsforhold
Dansk rets almindelige regler om misligholdelse og misligholdelsesbeføjelser finder anvendelse med de nedenfor anførte tilføjelser.
7.1 Varsling og ophævelse i forbindelse med misligholdelse
Såfremt en part væsentligt misligholder sine forpligtelser og ikke ophører hermed senest 10 dage efter skriftligt at være anmodet herom, kan den anden part skriftligt og uden varsel hæve aftalen.
8 Ansvarsfraskrivelse
DBC as fraskriver sig ethvert ansvar for tab (herunder direkte og indirekte følgeskader, såsom driftstab, tabt fortjeneste, rentetab og mistede besparelser) som institutionen kan blive påført som følge af forsinkelse, fejl og mangler i CULR-systemet.
9 Lovvalg
Nærværende kontrakt indgås under, og omfattes til enhver tid af, gældende dansk ret.
10 Løsning af tvister
Enhver tvist bør løses gennem forhandling. Hvis ikke en løsning er fundet inden fire uger efter første skriftlige indsigelse er gjort, og hvis institutionen ikke er en del af den danske stat, kan hver af parterne bringe sagen for en dansk domstol, dog således at København er sted for en eventuel retssag.
11 Ikrafttrædelse
Aftalen træder i kraft når den er underskrevet af institutionen, Kulturstyrelsen og DBC as.
12 Opsigelse og ophør
Aftalen kan af hver part opsiges skriftligt til ophør med udgangen af en måned med en måneds varsel. Denne frist bortfalder såfremt der er tale om misligholdelse, jævnfør punkt 9.
13 Underskrift
Undertegnede bekræfter med sin underskrift at acceptere aftalens vilkår. Aftalen udfærdiges i 2 eksemplarer, hvoraf hver part opbevarer det ene.
Institutionens navn: <institution> CVR-nr.: <CVR-nr.>
Underskriverens navn: <underskriver>
Sted og dato: Underskrift:
For Kulturstyrelsen
CVR-nr.: 26 48 98 65 (Kulturstyrelsen) Underskriverens navn:
Sted og dato: Underskrift:
For DBC as
CVR-nr.: 56 79 81 10 (DBC as)
Underskriverens navn: Sted og dato: Underskrift: