Common use of Databehandlers plikter Clause in Contracts

Databehandlers plikter. Databehandler skal følge de rutiner og instrukser for behandlingen som behandlingsansvarlig til enhver tid har bestemt skal gjelde. Databehandler skal gis rimelig med tid til å rette seg etter endret instruks. Kostnader forbundet med endringer i rutiner eller instruks bæres av behandlingsansvarlig. Databehandler plikter å gi behandlingsansvarlig tilgang til sin sikkerhetsdokumentasjon, og bistå, slik at behandlingsansvarlig kan ivareta sitt eget ansvar etter lov og forskrift. Databehandler skal særlig bistå den behandlingsansvarlige med å ivareta den registrertes rettigheter etter personvernforordningen kapittel III. Behandlingsansvarlig har, med mindre annet er avtale eller følger av lov, rett til tilgang til og innsyn i personopplysningene som behandles og systemene som benyttes til dette formål. Dog ikke på en måte som kan utsette andre kunder av databehandler for risiko eller redusere databehandlers mulighet til å oppfylle sine forpliktelser ovenfor behandlingsansvarlig eller andre. Databehandler plikter å gi nødvendig bistand til dette. Behandlingsansvarlig dekker kostnadene til dette dersom bistanden går utover de plikter Databehandler har etter personlovgivningen. Databehandler plikter å lagre data omfattet av denne avtalen utelukkende på servere i Norge. Databehandler kan ikke overføre personopplysninger til land utenfor, uten skriftlig godkjennelse fra Behandlingsansvarlig (med unntak for Eu-godkjente mottakerland utenfor EØS-området). Ved inngåelse av avtale om slik overføring skal Behandlingsansvarliges «Eu Model Clause» benyttes. Begrepet overføring omfatter tilsvarende tilgang til/aksessering til personopplysninger av personer/systemer fra land uten for EØS og overføring av drift operasjoner som kan muliggjøre tilgang til personopplysninger. Databehandler har taushetsplikt om dokumentasjon og personopplysninger som vedkommende får tilgang til iht. denne avtalen. Taushetsplikten omfatter også ansatte hos tredjeparter som bistår databehandler med å ivareta drift og vedlikehold. Bestemmelsen om taushetsplikt gjelder også etter avtalens opphør. Databehandler skal bistå behandlingsansvarlig i oppfyllelse av innsynskrav. Databehandler skal varsle behandlingsansvarlig dersom databehandler oppfatter at en behandlingsinstruks er ulovlig. Utlevering til tredjeparter, inkludert myndigheter, skal ikke skje uten dom eller lovlig krav fra kompetent myndighet.

Databehandlers plikter. Databehandler skal følge de rutiner og instrukser for behandlingen som behandlingsansvarlig til enhver tid har bestemt skal gjelde. Databehandler skal gis rimelig med tid til å rette seg etter endret instruks. Kostnader forbundet med endringer i rutiner eller instruks bæres av behandlingsansvarlig. Databehandler plikter å gi behandlingsansvarlig tilgang til sin sikkerhetsdokumentasjon, og bistå, slik at behandlingsansvarlig kan ivareta sitt eget ansvar etter lov og forskrift. Databehandler skal særlig bistå den behandlingsansvarlige med å ivareta den registrertes rettigheter etter personvernforordningen kapittel III. Behandlingsansvarlig har, med mindre annet er avtale eller følger av lov, rett til tilgang til og innsyn i personopplysningene som behandles og systemene som benyttes til dette formål. Dog ikke på en måte som kan utsette andre kunder av databehandler for risiko eller redusere databehandlers mulighet til å oppfylle sine forpliktelser ovenfor behandlingsansvarlig eller andre. Databehandler plikter å gi nødvendig bistand til dette. Behandlingsansvarlig dekker kostnadene til dette dersom bistanden går utover de plikter Databehandler har etter personlovgivningen. Databehandler plikter å lagre data omfattet av denne avtalen utelukkende på servere i Norge. Databehandler kan ikke overføre personopplysninger til land utenfor, uten skriftlig godkjennelse fra Behandlingsansvarlig (med unntak for Eu-godkjente mottakerland utenfor EØS-området). Ved inngåelse av avtale om slik overføring skal Behandlingsansvarliges «Eu Model Clause» benyttes. Begrepet overføring omfatter tilsvarende tilgang til/aksessering til personopplysninger av personer/systemer fra land uten for EØS og overføring av drift operasjoner som kan muliggjøre tilgang til personopplysninger. Databehandler har taushetsplikt om dokumentasjon og personopplysninger som vedkommende får tilgang til iht. denne avtalen. Databehandler har ansvar for at personell (hos databehandler eller underleverandør som denne benytter) med tilgang til opplysningene, alltid skal ha underskrevet taushetserklæring før tilgang gis. Taushetsplikten omfatter også ansatte hos tredjeparter som bistår databehandler med å ivareta drift og vedlikehold. Bestemmelsen om taushetsplikt gjelder også etter avtalens opphør. Databehandler Det skal bistå behandlingsansvarlig i oppfyllelse av innsynskravfremgå klart dersom Databehandleren kan overlate personopplysninger til andre for oppbevaring, bearbeiding eller annen bruk. Databehandler skal varsle behandlingsansvarlig dersom databehandler oppfatter at en behandlingsinstruks behandle personopplysninger i forbindelse med levering av helse- og omsorgstjenester til behandlingsansvarlige. Dette omfatter personopplysninger om brukere av helse- og omsorgstjenester. Databehandler skal foreta innsamling, registrering, sammenstilling, lagring, behandling, utlevering eller kombinasjoner av disse som er ulovlignødvendig for å oppfylle pliktene i krisesenterloven. Utlevering til tredjeparterDatabehandler har ansvar for tilfredsstillende informasjonssikkerhet mht. konfidensialitet, inkludert myndigheterintegritet og tilgjengelighet ved behandling av personopplysninger, jf. personopplysningsloven § 13. Datahandler skal ikke skje uten dom eller lovlig dokumentere informasjonssystemet og sikkerhetstiltakene. Databehandler skal sikre overholdelse av pliktene i personopplysningsforskriftens kap. 2 (informasjonssikkerhet) og kap. 3 (internkontroll). Databehandler skal håndtere krav om innsyn (jf. personopplysningsloven § 18) og krav om retting (jf personopplysningsloven § 27) fra kompetent myndighetregistrert bruker av helse- og omsorgstjenester. Databehandler skal sikre overholdelse av § 28 i personopplysningsloven (forbud mot å lagre unødvendige opplysninger).

Databehandlers plikter. Databehandler skal følge de rutiner og instrukser for behandlingen som behandlingsansvarlig Behandlingsansvarlig til enhver tid har bestemt skal gjelde. Databehandler skal gis rimelig med tid til å rette seg etter endret instruks. Kostnader forbundet med endringer i rutiner eller instruks bæres av behandlingsansvarlig. Databehandler Databehandleren plikter å gi behandlingsansvarlig Behandlingsansvarlig tilgang til sin sikkerhetsdokumentasjonsikkerhets- dokumentasjon, og bistå, bistå slik at behandlingsansvarlig Behandlingsansvarlig kan ivareta sitt eget ansvar etter lov og forskrift. Databehandler skal særlig bistå den behandlingsansvarlige med å ivareta den registrertes rettigheter etter personvernforordningen kapittel III. Behandlingsansvarlig har, med mindre annet er avtale avtalt eller følger av lov, rett til tilgang til og innsyn i personopplysningene som behandles og systemene som benyttes til dette formål. Dog ikke på en måte som kan utsette andre kunder av databehandler for risiko eller redusere databehandlers mulighet til å oppfylle sine forpliktelser ovenfor behandlingsansvarlig eller andre. Databehandler Databehandleren plikter å gi nødvendig bistand til dette. Behandlingsansvarlig dekker kostnadene til dette dersom bistanden går utover de plikter Databehandler har etter personlovgivningen. Databehandler plikter å lagre data omfattet av denne avtalen utelukkende på servere i Norge. Databehandler kan ikke overføre personopplysninger til land utenfor, uten skriftlig godkjennelse fra Behandlingsansvarlig (med unntak for Eu-godkjente mottakerland utenfor EØS-området). Ved inngåelse av avtale om slik overføring skal Behandlingsansvarliges «Eu Model Clause» benyttes. Begrepet overføring omfatter tilsvarende tilgang til/aksessering til personopplysninger av personer/systemer fra land uten for EØS og overføring av drift operasjoner som kan muliggjøre tilgang til personopplysninger. Databehandler Databehandleren har taushetsplikt om dokumentasjon og personopplysninger som vedkommende får tilgang til iht. denne avtalenDatabehandleravtalen. Taushetsplikten omfatter også ansatte hos tredjeparter som bistår databehandler med å ivareta drift og vedlikehold. Bestemmelsen om taushetsplikt Denne bestemmelsen gjelder også etter Databehandler- avtalens opphør. Databehandleren skal sikre at personer som er autorisert til å behandle personopplysningene, har forpliktet seg til å behandle opplysningene konfidensielt ved taushetserklæring i ansettelsesavtale eller annen avtale med Databehandler dersom slik person ikke er underlagt en egnet lovfestet taushetsplikt. I tillegg skal kun personer som har saklig behov for tilgang til opplysningene gis tilgang. Listen over personer som har fått tilgang til personopplysningene skal gjennomgås løpende. På bakgrunn av denne gjennomgangen skal tilgangen til personopplysningene fjernes hvis tilgangen ikke lenger er nødvendig, og da skal personopplysningene ikke lenger gjøres tilgjengelig for disse personene. Databehandler skal gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet i forhold til risikoen med behandlingen av personopplysningene samt for å sikre at behandlingen oppfyller kravene i gjeldende personvernlovgivning, herunder kravene som følger av GDPR, og vern av den registrertes rettigheter. Databehandler skal bistå behandlingsansvarlig Behandlingsansvarlig med å oppfylle Behandlingsansvarliges plikt til å svare på anmodninger som den registrerte inngir med henblikk på å utøve sine rettigheter som den registrerte etter GDPR kapittel III. Databehandler skal, hensyntatt behandlingens art og den informasjonen som er tilgjengelig for Databehandleren, bistå Behandlings- ansvarlig med å sikre overholdelse av forpliktelsene den Behandlingsansvarlig har etter GDPR artikkel 32– 36. Databehandleren skal omgående underrette Behandlingsansvarlige dersom Databehandleren mener at en instruks fra Behandlingsansvarlig er i oppfyllelse strid med GDPR eller andre lovbestemmelser om vern av innsynskravpersonopplysninger. Databehandler skal varsle behandlingsansvarlig dersom databehandler oppfatter at føre en behandlingsinstruks protokoll over alle kategorier av behandlingsaktiviteter som er ulovligutført på vegne av Behandlingsansvarlig i henhold til GDPR art. Utlevering til tredjeparter, inkludert myndigheter, skal ikke skje uten dom eller lovlig krav fra kompetent myndighet30 nr. 2.

Databehandlers plikter. Databehandler skal følge de rutiner ikke: a. behandle personopplysninger for andre formål eller i større grad enn det som følger av denne Avtalen, Hovedavtalen og instrukser eventuelle senere skriftlige avtaler mellom Partene; b. utlevere, overlate eller overføre personopplysninger i noen form på eget initiativ med mindre det er avtalt på forhånd med Behandlingsansvarlig eller Behandlingsansvarlig har godkjent dette skriftlig; c. samle inn fra eller overføre personopplysninger til en tredjepart uten eksplisitt skriftlig instruks fra Behandlingsansvarlig. Dersom Databehandler mottar henvendelser fra tredjeparter, herunder registrerte og tilsynsmyndigheter, skal Databehandler videreformidle henvendelsen til Behandlingsansvarlig så raskt som mulig. Med mindre annet er skriftlig avtalt, og så langt der er mulig, skal Behandlingsansvarlig selv ha kontakten med tredjeparter. Databehandler skal: a. gjøre tilgjengelig all informasjon som er nødvendig for behandlingen å påvise at forpliktelsene fastsatt i artikkel 28 er oppfylt, samt forpliktelser i dette punkt 4, bidra til revisjoner, herunder inspeksjoner, som behandlingsansvarlig gjennomføres av Behandlingsansvarlig eller en annen representant på fullmakt fra Behandlingsansvarlig. Dette omfatter også å gi tilgang til sikkerhetsdokumentasjon. Behandlingsansvarlig vurderer selv om hvor ofte det er nødvendig å be om tilsyn. b. føre protokoll (logg) over behandlingsaktiviteter denne utfører på vegne av Behandlingsansvarlig, som skal inneholde minimum den informasjon som er pålagt etter Personvernforordningen Artikkel 30. Den Behandlingsansvarlige kan til enhver tid har bestemt skal gjelde. Databehandler skal gis rimelig kreve oversendt kopi av slik protokoll; c. gi Behandlingsansvarlig tilgang og innsyn i personopplysninger som behandles hos Databehandleren; d. samarbeide med tid og bistå Behandlingsansvarlig ved oppfyllelse av de registrertes rettigheter knyttet til å rette seg etter endret instruks. Kostnader forbundet med endringer i rutiner eller instruks bæres av behandlingsansvarlig. Databehandler plikter å gi behandlingsansvarlig tilgang til sin sikkerhetsdokumentasjonopplysninger, og bistå, slik at behandlingsansvarlig kan ivareta sitt eget ansvar etter lov og forskrift. Databehandler skal særlig bistå herunder å svare på anmodninger fra den behandlingsansvarlige registrerte med henblikk på å ivareta den registrertes utøve sine rettigheter etter fastsatt i personvernforordningen kapittel III; e. gjennomføre egnede tekniske og organisatoriske tiltak som sikrer at all behandling under Avtalen oppfyller kravene i Personvernlovgivningen, herunder kravene om informasjonssikkerhet i Personvernforordningen Artikkel 32. f. bistå Behandlingsansvarlig med vurdering av personvernkonsekvenser og forhåndsdrøftinger i Personvernforordningen Artikkel 35 og 36. g. sikre at krav til innebygd personvern og personvern som standardinnstilling innfris i Databehandlers løsninger dersom dette er relevant. Behandlingsansvarlig har, med mindre annet er avtale eller følger av lov, rett til tilgang til og innsyn i personopplysningene som behandles og systemene som benyttes til dette formål. Dog ikke på en måte som kan utsette andre kunder av databehandler Dette inkluderer å bygge inn funksjonalitet for risiko eller redusere databehandlers mulighet til å oppfylle sine forpliktelser ovenfor behandlingsansvarlig eller andre. personvernprinsipper samt funksjonalitet for å sikre den registrertes rettigheter; h. omgående underrette den Behandlingsansvarlige dersom Databehandler plikter å gi nødvendig bistand til dette. Behandlingsansvarlig dekker kostnadene til dette dersom bistanden går utover de plikter Databehandler har etter personlovgivningen. Databehandler plikter å lagre data omfattet av denne avtalen utelukkende på servere i Norge. Databehandler kan ikke overføre personopplysninger til land utenfor, uten skriftlig godkjennelse fra Behandlingsansvarlig (med unntak for Eu-godkjente mottakerland utenfor EØS-området). Ved inngåelse av avtale om slik overføring skal Behandlingsansvarliges «Eu Model Clause» benyttes. Begrepet overføring omfatter tilsvarende tilgang til/aksessering til personopplysninger av personer/systemer fra land uten for EØS og overføring av drift operasjoner som kan muliggjøre tilgang til personopplysninger. Databehandler har taushetsplikt om dokumentasjon og personopplysninger som vedkommende får tilgang til iht. denne avtalen. Taushetsplikten omfatter også ansatte hos tredjeparter som bistår databehandler med å ivareta drift og vedlikehold. Bestemmelsen om taushetsplikt gjelder også etter avtalens opphør. Databehandler skal bistå behandlingsansvarlig i oppfyllelse av innsynskrav. Databehandler skal varsle behandlingsansvarlig dersom databehandler oppfatter mener at en behandlingsinstruks instruks er ulovlig. Utlevering til tredjeparter, inkludert myndigheter, i strid med personvernforordningen eller andre bestemmelser om vern av personopplysninger; Databehandlers bistand med ovennevnte punkter skal ikke skje uten dom eller lovlig krav fra kompetent myndighetgjøres kostnadsfritt.

Databehandlers plikter. Databehandler skal følge 8.1.Generelt a. behandle helse- og personopplysninger for andre formål eller i større grad enn det som følger av denne Avtalen, Tjeneste/oppdragsavtale og eventuelle senere skriftlige avtaler mellom partene; b. behandle helse- og personopplysninger utover det som er nødvendig for å oppfylle Databehandlers forpliktelser i henhold til de rutiner og instrukser for behandlingen som behandlingsansvarlig til enhver tid gjeldende avtaler; c. utlevere, overlate eller overføre helse- og personopplysninger i noen form på eget initiativ med mindre det er avtalt på forhånd med Behandlingsansvarlig eller Behandlingsansvarlig har bestemt skal gjeldegodkjent dette skriftlig; d. samle inn fra eller overføre helse- og personopplysninger til en tredjepart; e. behandle helse- og personopplysninger de får tilgang eller adgang til gjennom oppdraget fra Behandlingsansvarlig på annen måte enn hva som er angitt i denne Avtalen, Tjeneste/oppdragsavtale og eventuelle senere skriftlige avtaler mellom partene. Databehandler skal gis rimelig med tid til å rette seg etter endret instruks. Kostnader forbundet med endringer i rutiner eller instruks bæres skal: a. ha løpende kontroll på alle kategorier av behandlingsansvarlig. Databehandler plikter å behandlingsaktiviteter utført på vegne av Behandlingsansvarlig; b. gi behandlingsansvarlig tilgang til sin sikkerhetsdokumentasjon, og bistå, slik at behandlingsansvarlig kan ivareta sitt eget ansvar etter lov og forskrift. Databehandler skal særlig bistå den behandlingsansvarlige med å ivareta den registrertes rettigheter etter personvernforordningen kapittel III. Behandlingsansvarlig har, med mindre annet er avtale eller følger av lov, rett til tilgang til og innsyn i personopplysningene helse- og personopplysninger som behandles hos Databehandleren; c. føre og vedlikehold en oversikt over alle opplysninger og behandlinger eller dersom det er relevant, protokoll over sine egne behandlingsaktiviteter i henhold til personvernforordningen artikkel 30; x. xxxxxx alle rimelige tiltak for å sikre at helse- og personopplysningene til enhver tid er korrekte og oppdaterte; e. etablere rutiner for å slette informasjon når den ikke lenger er nødvendig ut fra formålet med behandlingen og slette informasjon i henhold til fastsatte rutiner og retningslinjer; f. ha rutiner for og teknisk mulighet til å begrense behandlingen av den registrertes helse- og personopplysninger dersom den registrerte ønsker det med hjemmel i gjeldende lovgivning; g. påse at samtlige personer som gis tilgang til personopplysninger som behandles på vegne av Behandlingsansvarlig er kjent med denne Avtalen og gjeldende avtaler mellom partene, og er underlagt disse avtalenes bestemmelser; h. sikre at krav til innebygd personvern og personvern som standardinnstilling innfris i Databehandlers løsninger. Dette inkluderer å bygge inn funksjonalitet for å oppfylle personvernprinsipper samt funksjonalitet for å sikre den registrertes rettigheter; i. gi Behandlingsansvarlig nødvendig bistand slik at Behandlingsansvarlig skal kunne oppfylle sine forpliktelser overfor de registrerte; j. samarbeide med og bistå Behandlingsansvarlig ved oppfyllelse av de registrertes rettigheter knyttet til tilgang til opplysninger, herunder å svare på anmodninger fra den registrerte med henblikk på å utøve sine rettigheter fastsatt i personvernforordningen kapittel III; k. omgående underrette den Behandlingsansvarlige dersom Databehandler mener at en instruks er i strid med personvernforordningen eller andre bestemmelser om vern av personopplysninger; l. bistå Behandlingsansvarlig for å sikre overholdelse av forpliktelsene i personvernforordningen artiklene 35-36 som omhandler vurdering av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet. Databehandler plikter å treffe og gjennomføre alle nødvendige og adekvate planlagte og systematiske tekniske, organisatoriske og sikkerhetsmessige tiltak slik at det til enhver tid er tilfredsstillende informasjonssikkerhet ved behandling av helse- og personopplysninger. Databehandleren skal: a. etablere og etterkomme nødvendige tekniske og organisatoriske tiltak med hensyn til vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet ved behandling av helse- og personopplysninger for å sikre tilfredsstillende informasjonssikkerhet i henhold til personopplysningslovgivningens bestemmelser, herunder kravene etter personvernforordningen artikkel 32, og gjeldende helselovgivning. Dette omfatter blant annet, alt etter hva som er relevant, nødvendige tiltak for å forhindre tilfeldig eller ulovlig ødeleggelse eller tap av data, ikke-autorisert tilgang til eller spredning av data så vel som enhver annen bruk av helse- og personopplysninger som ikke er i overensstemmelse med denne Avtalen, og tiltak for å gjenopprette tilgjengelighet og tilgang til opplysningene ved hendelser; b. ha gode og hensiktsmessige internkontrollrutiner; c. ha rutiner for autorisasjon og styring som sikrer at bare de av Databehandlers medarbeidere som har reelt behov for tilgang til systemer og opplysningene for å ivareta nødvendige oppgaver for gjennomføring av Tjeneste/oppdragsavtalen får slik tilgang. Tilgangsnivået skal være i henhold til reelt behov knyttet til å gjennomføre oppdraget; d. etablere nødvendige systemer og rutiner for å ivareta informasjonssikkerheten og følge opp avvik, som skal omfatte blant annet rutiner for avviksmelding, gjenoppretting av normalsituasjonen, fjerne årsaken til avviket og hindre gjentakelse. På forespørsel, skal Databehandler gi Behandlingsansvarlig tilgang til relevant sikkerhetsdokumentasjon og systemene som benyttes for behandling av helse- og personopplysninger; e. avdekke, registrere, rapportere og lukke avvik knyttet til dette formålinformasjonssikkerhet, herunder loggføre og dokumentere ethvert forsøk på ikke-autorisert tilgang og andre brudd på opplysningssikkerheten i datasystemene. Dog Slik dokumentasjon skal oppbevares hos Databehandler; f. ved mistanke om eller konstatering av avvik, omgående varsle Behandlingsansvarlig. I varselet opplyses avviket med forklaring om årsak, tidsrom og tidspunktet avviket ble oppdaget, kategoriene av og omtrentlig antall registrerte som er berørt, kategoriene av og omtrentlig antall registreringer av personopplysninger som er berørt, navnet på og kontaktopplysningene til personvernombudet eller et annet kontaktpunkt der mer informasjon kan innhentes, antatte konsekvenser av avviket og hvilke umiddelbare tiltak som er igangsatt eller vurderes igangsatt for å håndtere avviket; g. dokumentere ethvert avvik, herunder de faktiske forhold knyttet til avviket, dets virkninger og eventuelle iverksatte utbedringstiltak; h. omgående varsle Behandlingsansvarlig ved uautorisert utlevering av personopplysninger; i. registrere all autorisert og uautorisert tilgang til informasjon. Alle oppslag som gjøres skal registreres slik at de kan spores til den enkelte bruker (dvs. ansatte hos Databehandler, underleverandører og Behandlingsansvarlig). Loggene skal oppbevares til det ikke lenger antas å være bruk for dem eller i henhold til det Tjeneste/oppdragsavtalen spesifiserer; j. bistå Behandlingsansvarlig med å sikre overholdelse av forpliktelsene i personvernforordningen artiklene 32–34, dvs: - sikkerhet ved behandlingen; - melding til tilsynsmyndigheten om brudd på personopplysningssikkerheten; - underretning av den registrerte om brudd på personopplysningssikkerheten; k. i forbindelse med sikkerhetsrevisjon som utføres av Behandlingsansvarlig eller en måte tredjepart utpekt av Behandlingsansvarlig, framlegge interne revisjonsrapporter, interne prosedyrer, rutiner, sikkerhetsarkitektur, risiko og sårbarhetsanalyser med tiltak og andre dokumenter av betydning for revisjonen; l. varsle Behandlingsansvarlig om alle forhold som medfører endring i risikobildet; m. innhente godkjenning av Behandlingsansvarlig før gjennomføring av enhver endring av databehandlingen hos Databehandler som har eller kan utsette andre kunder av databehandler ha betydning for risiko eller redusere databehandlers mulighet informasjonssikkerheten. Nærmere krav til å oppfylle sine forpliktelser ovenfor behandlingsansvarlig eller andre. Databehandler plikter å gi nødvendig bistand til dette. Behandlingsansvarlig dekker kostnadene til dette dersom bistanden går utover de plikter Databehandler har etter personlovgivningen. Databehandler plikter å lagre data omfattet av denne avtalen utelukkende på servere Databehandlerens informasjonssikkerhet er angitt i Norge. Databehandler kan ikke overføre personopplysninger til land utenfor, uten skriftlig godkjennelse fra Behandlingsansvarlig Vedlegg 2 (med unntak for Eu-godkjente mottakerland utenfor EØS-områdethvis relevant). Ved inngåelse brudd på denne Avtalen eller på bestemmelsene i personopplysningslovgivningen, helselovgivningen eller annen relevant lovgivning kan Behandlingsansvarlig kreve endringer i behandlingsmåten eller pålegge Databehandler å stoppe den videre behandlingen av avtale om slik overføring skal Behandlingsansvarliges «Eu Model Clause» benyttes. Begrepet overføring omfatter tilsvarende tilgang til/aksessering til personopplysninger av personer/systemer fra land uten for EØS og overføring av drift operasjoner som kan muliggjøre tilgang til personopplysninger. Databehandler har taushetsplikt om dokumentasjon og personopplysninger som vedkommende får tilgang til iht. denne avtalen. Taushetsplikten omfatter også ansatte hos tredjeparter som bistår databehandler opplysningene med å ivareta drift og vedlikehold. Bestemmelsen om taushetsplikt gjelder også etter avtalens opphørøyeblikkelig virkning. Databehandler skal bistå behandlingsansvarlig i oppfyllelse av innsynskravdokumentere sine rutiner og alle tiltak truffet for å oppfylle kravene angitt ovenfor. Databehandler Denne dokumentasjonen skal varsle behandlingsansvarlig dersom databehandler oppfatter at en behandlingsinstruks er ulovlig. Utlevering til tredjeparter, inkludert myndigheter, skal ikke skje uten dom eller lovlig krav fra kompetent myndighetpå forespørsel gjøres tilgjengelig for Behandlingsansvarlig.

Databehandlers plikter. Databehandler skal følge de rutiner utelukkende behandle personopplysninger i den utstrekning det er nødvendig for å etterleve oppdragsavtalen og instrukser for behandlingen som behandlingsansvarlig denne avtalen. Databehandler kan ikke behandle personopplysningene til andre formål. Databehandler skal til enhver tid har bestemt skal gjeldekunne dokumentere hvor personopplysninger som behandles i medhold av denne avtalen er lagret. Personopplysninger kan ikke overføres til land utenfor EØS-området eller til internasjonale organisasjoner uten at det er avtalt med behandlingsansvarlige. Databehandler skal gis rimelig med tid kan ikke utlevere personopplysninger til å rette seg etter endret instruks. Kostnader forbundet med endringer i rutiner eksterne parter uten at dette fremgår klart av databehandleravtalen, eller instruks bæres av behandlingsansvarligannen skriftlig avtale. Databehandler plikter å gi behandlingsansvarlig påse at samtlige personer i virksomheten som har tilgang til sin sikkerhetsdokumentasjonpersonopplysninger, er kjent med denne avtalen og bistå, slik at behandlingsansvarlig kan ivareta sitt eget ansvar etter lov og forskrift. Databehandler skal særlig bistå den behandlingsansvarlige med å ivareta den registrertes rettigheter etter personvernforordningen kapittel IIIunderlagt avtalens bestemmelser. Behandlingsansvarlig har, med mindre annet er avtale avtalt eller følger av lov, rett til å få tilgang til og innsyn i personopplysningene som behandles og systemene som benyttes til dette formålpersonopplysningene. Dog ikke på en måte som kan utsette andre kunder av databehandler for risiko eller redusere Databehandler, herunder alle databehandlers mulighet til å oppfylle sine forpliktelser ovenfor behandlingsansvarlig eller andre. Databehandler plikter å gi nødvendig bistand til dette. Behandlingsansvarlig dekker kostnadene til dette dersom bistanden går utover de plikter Databehandler har etter personlovgivningen. Databehandler plikter å lagre data omfattet av denne avtalen utelukkende på servere i Norge. Databehandler kan ikke overføre personopplysninger til land utenforansatte, uten skriftlig godkjennelse fra Behandlingsansvarlig (med unntak for Eu-godkjente mottakerland utenfor EØS-området). Ved inngåelse av avtale om slik overføring skal Behandlingsansvarliges «Eu Model Clause» benyttes. Begrepet overføring omfatter tilsvarende tilgang til/aksessering til personopplysninger av personer/systemer fra land uten for EØS og overføring av drift operasjoner som kan muliggjøre tilgang til personopplysninger. Databehandler har taushetsplikt om dokumentasjon informasjon om behandlingsansvarliges sikkerhetstiltak og systemer for øvrig. Taushetsplikten omfatter også alle personopplysninger som vedkommende får tilgang til iht. denne avtalen. Taushetsplikten omfatter også ansatte hos tredjeparter som bistår databehandler med å ivareta drift og vedlikehold. Bestemmelsen om taushetsplikt Dette gjelder også etter avtalens opphør. Databehandler skal plikter å bistå behandlingsansvarlig i oppfyllelse å etterkomme anmodninger fra de registrerte om innsyn, retting og sletting av innsynskravderes personopplysninger, samt anmodninger om reservasjon og dataportabilitet. Dersom databehandler mottar anmodninger om innsyn, retting/sletting, reservasjon eller dataportabilitet skal behandlingsansvarlig ved <sett inn navn, stilling og kontaktinfo> kontaktes uten unødig opphold. Databehandler plikter å orientere den behandlingsansvarlige dersom den behandlingsansvarliges instruksjoner er i strid med krav i GDPR. Dersom det oppstår uenighet om hvorvidt instruksjonene er i strid med GDPR skal den behandlingsansvarliges forståelse legges til grunn. Dersom det oppstår sikkerhetsbrudd eller hendelser som innebærer at opplysninger er behandlet i strid med avtalen skal databehandler omgående varsle den behandlingsansvarlige og gjennomføre tiltak for å lukke avviket. Slik varsling skal senest finne sted 24 timer etter at databehandler fikk kunnskap om hendelsen. Stryk det som ikke passer her vedrørende sletting: Databehandler skal løpende slette personopplysninger i tråd med behandlingsansvarliges instrukser, jf. vedlegg X til denne avtalen/Innen tre måneder etter at behandlingsansvarlig har bekreftet at oppdraget er utført, skal databehandler slette all informasjon som er mottatt i forbindelse med oppdraget, med mindre behandlingsansvarlig skriftlig ber om å få dette tilbakelevert. Databehandler skal varsle etter dette bekrefte at all informasjon er slettet og at de ikke besitter noen informasjon som er sikret i forbindelse med oppdraget. Dersom databehandler behandler personopplysninger til andre formål, eller med andre virkemidler enn avtalt, blir databehandler å regne som behandlingsansvarlig dersom databehandler oppfatter at en behandlingsinstruks er ulovligmed de plikter og ansvar det medfører, jf. Utlevering til tredjeparterGDPR art. 82,83, inkludert myndigheter, skal ikke skje uten dom eller lovlig krav fra kompetent myndighetog 84.

Databehandlers plikter. Databehandler bekrefter at det vil gjennomføres tekniske og organisatoriske tiltak som sikrer at all behandling under denne Avtalen oppfyller kravene i personvernlovgivningen og vern av den registrertes rettigheter, herunder innfrir alle kravene etter personvernforordningens artikkel 32. Databehandleren skal følge de rutiner og bare behandle personopplysningene basert på dokumenterte instrukser for behandlingen som behandlingsansvarlig fra den behandlingsansvarlige. Databehandleren skal til enhver tid kunne dokumentere slike instrukser. Databehandleren skal ikke behandle personopplysninger som det er tilgang til på annen måte enn det som er nødvendig for å utføre de oppdrag som Databehandleren har bestemt skal gjeldefor den Behandlingsansvarlige. Databehandler skal gis rimelig med tid til bistå i å rette seg etter endret instruks. Kostnader forbundet med endringer i rutiner eller instruks bæres av behandlingsansvarlig. Databehandler plikter å gi behandlingsansvarlig tilgang til sin sikkerhetsdokumentasjonsvare på anmodninger fra registrerte hensyntatt behandlingens art, og biståi den grad det er mulig, slik at behandlingsansvarlig kan ivareta sitt eget ansvar etter lov bistå ved hjelp av egnede tekniske og forskriftorganisatoriske tiltak. Databehandler skal særlig Dette gjelder både anmodninger fra de registrerte om å utøve sine rettigheter samt bistå den behandlingsansvarlige med å ivareta sikre overholdelse av forpliktelsene knyttet til personopplysningssikkerhet. Tilsvarende gjelder ved vurdering av personvernkonsekvenser og forhåndsdrøftinger i personvernforordningens artikkel 32 til 36, hensyntatt den registrertes rettigheter informasjonen som er tilgjengelig for databehandler. Databehandler skal føre protokoll (logg) over behandlingsaktiviteter denne utfører på vegne av den behandlingsansvarlige, som skal inneholde minimum den informasjon som er pålagt etter personvernforordningen kapittel IIIartikkel 30. Behandlingsansvarlig harDen behandlingsansvarlige kan til enhver tid kreve oversendt kopi av slik protokoll. Databehandleren skal gjøre tilgjengelig for den behandlingsansvarlige all informasjon som er nødvendig for å påvise at forpliktelsene fastsatt i punkt 3 er oppfylt, med mindre annet er avtale eller følger samt muliggjøre og bidra til revisjoner, herunder inspeksjoner, som gjennomføres av lov, rett til den behandlingsansvarlige. Dette omfatter også å gi tilgang til og innsyn i personopplysningene som behandles og systemene som benyttes til dette formålsikkerhetsdokumentasjon. Dog ikke på en måte som kan utsette andre kunder av databehandler for risiko eller redusere databehandlers mulighet til å oppfylle sine forpliktelser ovenfor behandlingsansvarlig eller andre. Databehandler plikter å gi nødvendig bistand til dette. Behandlingsansvarlig dekker kostnadene til dette dersom bistanden går utover de plikter Databehandler Den behandlingsansvarlige har etter personlovgivningen. Databehandler plikter å lagre data omfattet av denne avtalen utelukkende på servere i Norge. Databehandler kan ikke overføre personopplysninger til land utenfor, uten skriftlig godkjennelse fra Behandlingsansvarlig (med unntak for Eu-godkjente mottakerland utenfor EØS-området). Ved inngåelse av avtale om slik overføring skal Behandlingsansvarliges «Eu Model Clause» benyttes. Begrepet overføring omfatter tilsvarende tilgang til/aksessering til personopplysninger av personer/systemer fra land uten for EØS og overføring av drift operasjoner som kan muliggjøre tilgang til personopplysningerselv det direkte ansvaret overfor aktuelle tilsynsmyndigheter. Databehandler har taushetsplikt om dokumentasjon og personopplysninger som vedkommende får tilgang til iht. denne avtalen. Taushetsplikten omfatter også ansatte hos tredjeparter som bistår databehandler med å ivareta drift og vedlikehold. Bestemmelsen om taushetsplikt Denne bestemmelsen gjelder også etter avtalens opphør. Databehandler Databehandleren skal bistå behandlingsansvarlig i oppfyllelse ikke utlevere opplysninger eller informasjon som behandles for den behandlingsansvarlige til tredjepart uten eksplisitt pålegg fra den behandlingsansvarlige. Er Databehandleren av innsynskrav. Databehandler skal varsle behandlingsansvarlig dersom databehandler oppfatter den oppfatning at en behandlingsinstruks instruks fra den Behandlingsansvarlige er ulovlig. Utlevering til tredjeparter, inkludert myndigheteri strid med personvernlovgivningen eller annen lovgivning, skal ikke skje uten dom eller lovlig krav fra kompetent myndighetDatabehandleren umiddelbart underrette den Behandlingsansvarlige om dennes oppfatning.

Databehandlers plikter. Databehandler skal følge de rutiner og instrukser for behandlingen som behandlingsansvarlig til enhver tid har bestemt skal gjelde. Databehandler skal gis rimelig med tid til å rette seg etter endret instruks. Kostnader forbundet med endringer i rutiner eller instruks bæres av behandlingsansvarlig. Databehandler plikter å gi behandlingsansvarlig tilgang til sin sikkerhetsdokumentasjon, og bistå, slik at behandlingsansvarlig kan ivareta sitt eget ansvar etter lov og forskrift. Databehandler skal særlig bistå den behandlingsansvarlige med å ivareta den registrertes rettigheter etter personvernforordningen kapittel III. Behandlingsansvarlig har, med mindre annet er avtale eller følger av lov, rett til tilgang til og innsyn i personopplysningene som behandles og systemene som benyttes til dette formål. Dog ikke på en måte som kan utsette andre kunder av databehandler for risiko eller redusere databehandlers mulighet til å oppfylle sine forpliktelser ovenfor behandlingsansvarlig eller andre. Databehandler plikter å gi nødvendig bistand til dette. Behandlingsansvarlig dekker kostnadene til dette dersom bistanden går utover de plikter Databehandler har etter personlovgivningen. Databehandler plikter å lagre data omfattet av denne avtalen utelukkende på servere i Norge. Databehandler kan ikke overføre personopplysninger til land utenfor, uten skriftlig godkjennelse fra Behandlingsansvarlig (med unntak for Eu-godkjente mottakerland utenfor EØS-området). Ved inngåelse av avtale om slik overføring skal Behandlingsansvarliges «Eu Model Clause» benyttes. Begrepet overføring omfatter tilsvarende tilgang til/aksessering til personopplysninger av personer/systemer fra land uten for EØS og overføring av drift operasjoner som kan muliggjøre tilgang til personopplysninger. Databehandler har taushetsplikt om dokumentasjon og personopplysninger som vedkommende får tilgang til iht. denne avtalen. Databehandler har ansvar for at personell (hos databehandler eller underleverandør som denne benytter) med tilgang til opplysningene, alltid skal ha underskrevet taushetserklæring før tilgang gis. Taushetsplikten omfatter også ansatte hos tredjeparter som bistår databehandler med å ivareta drift og vedlikehold. Bestemmelsen om taushetsplikt gjelder også etter avtalens opphør. Databehandler Det skal bistå behandlingsansvarlig i oppfyllelse av innsynskravfremgå klart dersom Databehandleren kan overlate personopplysninger til andre for oppbevaring, bearbeiding eller annen bruk. Databehandler skal varsle behandlingsansvarlig dersom databehandler oppfatter at en behandlingsinstruks behandle personopplysninger i forbindelse med levering av helse- og omsorgstjenester til behandlingsansvarlige. Dette omfatter personopplysninger om brukere av helse- og omsorgstjenester. Databehandler skal foreta innsamling, registrering, sammenstilling, lagring, behandling, utlevering eller kombinasjoner av disse som er ulovlignødvendig for å oppfylle pliktene i krisesenterloven. Utlevering til tredjeparterDatabehandler har ansvar for tilfredsstillende informasjonssikkerhet mht konfidensialitet, inkludert myndigheterintegritet og tilgjengelighet ved behandling av personopplysninger, jf personopplysningsloven § 13. Datahandler skal ikke skje uten dom eller lovlig dokumentere informasjonssystemet og sikkerhetstiltakene. Databehandler skal sikre overholdelse av pliktene i personopplysningsforskriftens kap 2 (informasjonssikkerhet) og kap 3 (internkontroll). Databehandler skal håndtere krav om innsyn (jf personopplysningsloven § 18) og krav om retting (jf personopplysningsloven § 27) fra kompetent myndighetregistrert bruker av helse- og omsorgstjenester. Databehandler skal sikre overholdelse av § 28 i personopplysningsloven (forbud mot å lagre unødvendige opplysninger).

Databehandlers plikter. Databehandler Databehandleren bekrefter at denne vil gjennomføre egnede tekniske og organisatoriske tiltak som sikrer at all behandling under denne Avtalen oppfyller kravene i personopplysningsloven og vern av den registrertes rettigheter, herunder innfrir alle kravene etter personvernforordningens artikkel 32. Se også ytterligere plikter i punkt 4. Databehandleren skal følge de rutiner og kun behandle personopplysningene basert på dokumenterte instrukser for behandlingen som behandlingsansvarlig fra den Behandlingsansvarlige. Databehandleren skal til enhver tid har bestemt skal gjeldekunne dokumentere slike instrukser. Databehandler skal gis rimelig med tid til å rette seg etter endret instruks. Kostnader forbundet med endringer i rutiner eller instruks bæres av behandlingsansvarlig. Databehandler plikter å gi behandlingsansvarlig ikke behandle personopplysninger Databehandleren får tilgang til sin sikkerhetsdokumentasjon, og bistå, slik at behandlingsansvarlig kan ivareta sitt eget ansvar etter lov og forskriftpå annen måte enn det som er nødvendig for å utføre de oppdrag som Databehandler har for den Behandlingsansvarlige. Databehandler Databehandleren skal særlig bistå den behandlingsansvarlige Behandlingsansvarlige i å svare på anmodninger fra registrerte hensyntatt behandlingens art og i den grad det er mulig, bistår, ved hjelp av egnede tekniske og organisatoriske tiltak. Dette gjelder både anmodninger fra de registrerte om å utøve sine rettigheter etter personvernforordningens kapittel III samt bistå den Behandlingsansvarlige med å ivareta sikre overholdelse av forpliktelsene knyttet til personopplysningssikkerhet. Tilsvarende gjelder for bistand med vurdering av personvernkonsekvenser og forhåndsdrøftinger i personvernforordningens artikkel 32 til 36, hensyntatt behandlingens art og den registrertes rettigheter informasjonen som er tilgjengelig for Databehandleren. Foreligger det godkjente adferdsnormer etter personvernforordningens artikkel 40 eller godkjent sertifiseringsordning etter artikkel 42, som Databehandleren har påtatt seg å overholde eller være sertifisert etter, plikter Databehandleren å etterkomme slike adferdsnormer eller sertifiseringskrav. Databehandleren skal føre protokoll (logg) over behandlingsaktiviteter denne utfører på vegne av den Behandlingsansvarlige, som skal inneholde minimum den informasjon som er pålagt etter personvernforordningen kapittel IIIartikkel 30 nr. Behandlingsansvarlig har2. Databehandleren skal gjøre tilgjengelig for den Behandlingsansvarlige all informasjon som er nødvendig for å påvise at forpliktelsene fastsatt i dette punkt 2 er oppfylt, samt muliggjøre og bidra til revisjoner, herunder inspeksjoner, som gjennomføres av den Behandlingsansvarlige eller en annen inspektør på fullmakt fra den Behandlingsansvarlige. Den Behandlingsansvarlige har selv det direkte ansvaret for kontakt og kommunikasjon med mindre annet er avtale aktuelle tilsynsmyndigheter, herunder Datatilsynet. Disse forpliktelser skal utføres uten kostnad for den Behandlingsansvarlige. På partens forespørsel skal inspektøren inngå en taushetsavtale om gjennomgangen. Revisjoner hos Databehandleren kan også utføres av tilsynsmyndighet avhengig av lovkrav eller følger av lov, rett til tilgang til og innsyn i personopplysningene som behandles og systemene som benyttes til dette formålandre økonomiske forskrifter. Dog ikke på en måte som kan utsette andre kunder av databehandler for risiko eller redusere databehandlers mulighet til å oppfylle sine forpliktelser ovenfor behandlingsansvarlig eller andre. Databehandler plikter å gi nødvendig bistand til dette. Behandlingsansvarlig dekker kostnadene til dette dersom bistanden går utover de plikter Databehandler har etter personlovgivningen. Databehandler plikter å lagre data omfattet av denne avtalen utelukkende på servere i Norge. Databehandler kan ikke overføre personopplysninger til land utenfor, uten skriftlig godkjennelse fra Behandlingsansvarlig (med unntak for Eu-godkjente mottakerland utenfor EØS-området). Ved inngåelse av avtale om slik overføring skal Behandlingsansvarliges «Eu Model Clause» benyttes. Begrepet overføring omfatter tilsvarende tilgang til/aksessering til personopplysninger av personer/systemer fra land uten for EØS og overføring av drift operasjoner som kan muliggjøre tilgang til personopplysninger. Databehandler Databehandleren har taushetsplikt om dokumentasjon og personopplysninger som vedkommende får tilgang til ihtsom en følge av Avtalen og behandling av personopplysningene, og skal sikre at personer som er autorisert til å behandle personopplysningene, har forpliktet seg til å behandle opplysningene fortrolig eller er underlagt en egnet lovfestet taushetsplikt. denne avtalen. Taushetsplikten omfatter også ansatte hos tredjeparter som bistår databehandler med å ivareta drift og vedlikehold. Bestemmelsen om taushetsplikt Denne bestemmelsen gjelder også etter avtalens Avtalens opphør. Databehandler Databehandleren skal bistå behandlingsansvarlig i oppfyllelse ikke utlevere opplysninger eller informasjon som denne behandler for den Behandlingsansvarlige til tredjepart uten eksplisitt pålegg fra den Behandlingsansvarlige. Henvendelser til Databehandleren skal Databehandleren videreformidle til Behandlingsansvarlige så raskt som mulig. Er Databehandleren av innsynskrav. Databehandler skal varsle behandlingsansvarlig dersom databehandler oppfatter den oppfatning at en behandlingsinstruks instruks fra den Behandlingsansvarlige er ulovlig. Utlevering til tredjeparteri strid med personvernforordningen, inkludert myndigheterpersonopplysningsloven, eller annen regulering av behandling av personopplysninger, skal ikke skje Databehandleren umiddelbart underrette den Behandlingsansvarlige om Databehandlerens oppfatning. Databehandleren skal underrette Behandlingsansvarlig om forekomsten av mistenkt brudd på personopplysningssikkerheten eller hendelse som sannsynligvis vil utvikle seg til en slik hendelse, uten dom eller lovlig krav fra kompetent myndigheturimelig forsinkelse, men senest 24 timer etter å ha blitt oppmerksom om dette.