Personopplysningsvern. Dersom Leverandøren ved utførelsen av tjenesten skal behandle personopplysninger, skal Leverandøren i Vedlegg B Kravspesifikasjon beskrive hvordan tilfredsstillende behandling i tråd med personopplysningsregelverket skal oppnås og gjennomføres. Dette omfatter blant annet krav til innebygget personvern. Dette gjelder uavhengig av om Oppdragsgiver har stilt krav om dette i Vedlegg B (Kravspesifikasjon). Leverandøren skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet, tilgjengelighet og robusthet ved behandling av personopplysninger. Dersom Oppdragsgiver har nærmere krav knyttet til Leverandørens informasjonssikkerhetstiltak, skal Oppdragsgiver angi dette i Vedlegg B (Kravspesifikasjon). Leverandøren skal dokumentere at informasjonssystemene og sikkerhetstiltakene er tilfredsstillende. Dokumentasjonen skal på forespørsel være tilgjengelig for Oppdragsgiver og dennes revisorer, samt for Datatilsynet og Personvernnemnda. Dersom Oppdragsgiver har nærmere dokumentasjonskrav knyttet til informasjonssystemet og sikkerhetstiltakene, skal Oppdragsgiver angi dette i Vedlegg B (Kravspesifikasjon). Dersom Oppdragsgiver ber om informasjon for å gjennomføre vurdering av personvernkonsekvenser («Data Protection Impact Assessments»), skal Leverandøren bistå med å fremskaffe slik informasjon. Leverandøren kan ikke overlate personopplysninger til andre for lagring, bearbeidelse eller sletting uten at det på forhånd er innhentet særlig eller generell skriftlig tillatelse til dette fra Oppdragsgiver. Dersom det er innhentet særlig eller generell skriftlig tillatelse, skal Leverandøren underrette Oppdragsgiver om eventuelle planer om å benytte andre databehandlere eller utskiftning av databehandlere, og dermed gi Oppdragsgiver muligheten til å motsette seg slike endringer. Underleverandører som er godkjent av Oppdragsgiver skal fremgå av Vedlegg F (Administrative bestemmelser). Personopplysninger skal ikke overføres til land utenfor EØS-området uten overføringsgrunnlag og dokumentasjon som påviser at vilkårene for å benytte overføringsgrunnlaget er oppfylt. Leverandøren skal i et slikt tilfelle dokumentere dette i Vedlegg B (Kravspesifikasjon). Dersom oppdraget går ut på å behandle personopplysninger på vegne av Oppdragsgiver, plikter Oppdragsgiver og Leverandøren å inngå en databehandleravtale i samsvar med personopplysningslovgivningen, se Vedlegg B (Kravspesifikasjon). Databehandleravtale...
Personopplysningsvern. Dersom leverandøren skal behandle personopplysninger på vegne av kunden, skal partene inngå en særskilt databehandleravtale. Dette kravet inntreffer i de fleste tilfelle der kunden benytter Avtalens tjenester til lagring og behandling av personopplysninger. Det er kundens ansvar å utstede slik databehandleravtale. Leverandøren skal bistå kunden i avklaring av behovet for databehandleravtale og i utforming av denne.
Personopplysningsvern. Leverandøren opptrer som databehandler. Som databehandler for Oppdragsgiver skal Leverandøren behandle personopplysninger slik det fremgår av denne avtalen og databehandleravtalen. Leverandøren skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger, jf. personopplysningslovens § 13. Leverandøren skal dokumentere informasjonssystemet og sikkerhetstiltakene. Dokumentasjonen skal kunne på forespørsel være tilgjengelig for Oppdragsgiver og dennes revisorer. Leverandøren kan ikke overlate personopplysninger til andre for lagring, bearbeidelse eller sletting uten at det på forhånd er innhentet særlig eller generell skriftlig tillatelse til dette fra Oppdragsgiver. Leverandøren skal sørge for at eventuelle underleverandører Leverandøren benytter, og som behandler personopplysninger, påtar seg tilsvarende forpliktelser. Dersom det er innhentet særlig eller generell skriftlig tillatelse, skal Leverandøren underrette Oppdragsgiver om eventuelle planer om å benytte andre databehandlere eller utskifting av databehandlere, og dermed gi Oppdragsgiver muligheten til å motsette seg slike endringer. Personopplysninger skal ikke overføres til land utenfor EØS-området uten overføringsgrunnlag og dokumentasjon som påviser at vilkårene for å benytte overføringsgrunnlaget er oppfylt. Dette må i tillegg avtales med Oppdragsgiver på forhånd. Partene skal inngå egen databehandleravtale, og denne skal vedlegges denne avtalen.