Bilag 7 regulerer avtale om roller etter GDPR og databehandleravtale i SSA-R rammeavtale for rådgivertjenester innen vei, vann og avløp (VVA) (saksnr. 2026/9351, Bodø kommune). Leverandøren skal som hovedregel ikke fylle ut bilaget ved tilbud, men det skal gjøres konkret vurdering før kontraktsinngåelse. Databehandleravtale inngås ikke på kontraktstidspunktet dersom leverandøren ikke vil behandle personopplysninger på vegne av kunden; ved senere behov skal leverandøren fylle ut/komplettere malen og signere før behandlingen starter.

• I teksten er selve GDPR/ databehandler-malen delvis med plassholdere (f.eks. vedleggshenvendelser [legg inn henvisning], «Vedlegg 1 pkt. 3» og klausuler merket «[sett inn…]»). Det kan derfor være konkrete vilkår/krav som ikke fremgår av utdraget.
• Hvorvidt databehandleravtale faktisk skal signeres ved kontraktsinngåelse bestemmes av «konkret vurdering før kontraktinngåelse»; kriteriene for vurderingen er ikke beskrevet i teksten.

• Fylle ut/komplettere og signere «Avtale om roller etter GDPR»/databehandleravtale-malen i Bilag 7 (vedlegg) før kontraktsignering dersom det besluttes at det skal inngås databehandleravtale.Bilag 7 - Avtale om roller etter GDPR og Databehandleravtale (avsnitt om når bilag må fylles ut)
• Dersom databehandleravtale besluttes å inngås på et senere tidspunkt (når leverandøren i løpet av avtaleperioden begynner å behandle personopplysninger på vegne av kunden): fylle ut/komplettere og signere malen for databehandleravtale før behandlingsendringen starter (gyldighet fra starttidspunktet for endringen).Bilag 7 - Behov og ikrafttrædelse av Databehandleravtalen
• Ved avrop/avtale: levere kostnadsoverslag realistisk og komplett ved hvert avrop (terskelstyring) og varsle dersom terskel vil overskrides (relevant for avrop; ikke GDPR-bilag).Bilag 2 - Prosedyrer for tildeling av kontrakter (kostnadsoverslag, varsling og overskridelse)

• Leverandøren skal ved behandling av personopplysninger på vegne av kunden ha databehandleravtale, og databehandleravtalen skal være skriftlig (elektronisk likestilles) og regulere instrukser, rettigheter/plikter og at databehandler kun behandler etter dokumenterte instrukser.Bilag 7 - Databehandleravtale – Generell avtaletekst (pkt. 3 og 4 samt definisjon av databehandleravtalen)
• Databehandler skal gjennomføre egnede tekniske og organisatoriske tiltak (GDPR art. 32) og dokumentere rutiner/tiltak; dokumentasjonen skal være tilgjengelig på forespørsel fra behandlingsansvarlig.Bilag 7 - Sikkerhet (pkt. 7)
• Varsle behandlingsansvarlig om avvik/ brudd uten ugrunnet opphold; dersom mulig senest innen 48 timer. Behandlingsansvarlig har ansvar for melding til Datatilsynet.Bilag 7 - Sikkerhet (avviksmelding) (pkt. 7)
• Ved bruk av underleverandører/databehandlere: skriftlig avtale/ tillatelse før behandlingsstart; leverandøren skal ikke engasjere annen databehandler uten særlig eller generell skriftlig tillatelse fra kunden, og ved generell tillatelse skal kunden varsles om planlagte endringer.Bilag 7 - Bruk av underleverandør (pkt. 5)
• Databehandler skal føre protokoll over kategorier av behandlingsaktiviteter (GDPR art. 30 nr. 2).Bilag 7 - Databehandlers plikter (pkt. 4)
• Overføring av personopplysninger utenfor EU/EØS: krever varsling og dokumentasjon/datagrunnlag og at underleverandøravtale oppfyller krav samt at sikkerheten oppfyller GDPR art. 32.Vedlegg 1 - Spesifikasjon (pkt. 3, avsnitt om overføring utenfor EU/EØS)
• Ved opphør: databehandler skal slette eller tilbakelevere personopplysninger etter behandlingsansvarliges valg; slette også eksisterende kopier med mindre lov krever lagring; databehandler skal skriftlig dokumentere sletting/destruksjon innen rimelig tid.Bilag 7 - Ved opphør (pkt. 10)
• Databehandleren skal sikre konfidensialitet/taushetsplikt for personopplysninger og dokumentasjon også etter opphør, og begrense tilgang til kun saklig behov.Bilag 7 - Databehandlers plikter (pkt. 4)