IK-EØS 025-2026 Bøker og læremidler til Bergen kommune og samarbeidsparter

Avtale-/bilagsdokumentene omfatter (i) databehandleravtale mellom Bergen kommune og databehandler for behandling av personopplysninger som del av «Hovedavtalen» (bilag A/B/C/D), samt (ii) prisskjema for bøker og læremidler (fastsatt fiktiv kjøpesum for evaluering, rabattsatser per kategori), og (iii) kontraktskrav til transport av varer og tjenester knyttet til kjøretøyutslipp, kjørestil og dokumentasjon.

• Ved kontraktsoppstart/innen tre måneder: levere dokumentasjon for alle kjøretøy tenkt brukt på kontrakten.Kilde: Bilag 10 – Dokumentasjonskrav (punkt 6)
• Oversikt over kjøretøy (Excel): skal minimum inneholde registreringsnummer, drivstofftype og Euroklasse for alle kjøretøy.Kilde: Bilag 10 – Dokumentasjonskrav (punkt 6)
• Rapporteringsmal: «Digital egenrapportering i kontrakter», ID 20248 – BkKvalitet (brukes for rapportering).Kilde: Bilag 10 – Dokumentasjonskrav (punkt 6)
• Senere i kontraktsperioden: levere dokumentasjon for alle kjøretøy som faktisk er brukt, dersom oppdragsgiver ber om det.Kilde: Bilag 10 – Dokumentasjonskrav (punkt 6)
• Ved behov for unntak/frafall etter kontraktsinngåelse: søknad skal fremsettes skriftlig og minst inneholde registreringsnummer, perioden for forventet bruk, samt beskrivelse/dokumentasjon av forsøk på å fremskaffe utslippsfrie kjøretøy og når forsøkene ble gjort.Kilde: Bilag 10 – Søknad om at krav frafalles etter kontraktsinngåelse (punkt 4)

Innleveringsvilkår fra kunngjøringen

Frist for forespørsel/tilbud

03.07.2026

Språk

norsk, English

Elektronisk katalog

Tillatt

• Databehandler skal behandle personopplysninger i samsvar med gjeldende personvernregler og behandlingsansvarliges dokumenterte instrukser; skal underrette ved instruks i strid med reglene.Kilde: Bilag 11 – punkt 4.1–4.2
• Konfidensialitet: gi tilgang kun til personer underlagt instruksjonsmyndighet/taushetsplikt; tilgang bare når nødvendig; taushetsplikt skal bestå etter opphør/ansettelse.Kilde: Bilag 11 – punkt 5.1–5.3
• Ved opphør: frata tilganger fra personell med tilgang til personopplysninger.Kilde: Bilag 11 – punkt 5.5
• Bistand ved registrertes rettigheter: Databehandler skal videreformidle anmodninger uten ugrunnet opphold, kun besvares etter skriftlig godkjenning fra behandlingsansvarlig.Kilde: Bilag 11 – punkt 6.2
• Sikkerhet: Databehandler skal iverksette egnede tekniske og organisatoriske tiltak, minimum tiltakene i Bilag C; gjennomføre risikovurderinger minst årlig og ved større endringer; dokumentere og gjøre tilgjengelig for revisjon.Kilde: Bilag 11 – punkt 7.1–7.3
• Varsling ved brudd: Databehandler skal underrette behandlingsansvarlig uten ugrunnet opphold og bistå med melding til Datatilsynet; underretning skal inneholde opplysninger om bruddet/konsekvenser/tiltak.Kilde: Bilag 11 – punkt 8.1–8.2
• Underleverandører: Databehandler kan kun bruke underleverandører godkjent skriftlig på forhånd; godkjenning minst 30 før engasjement; underleverandøravtaler skal gi tilsvarende forpliktelser.Kilde: Bilag 11 – punkt 9.1–9.2
• Ansvar ved underleverandør: Databehandler er fullt ut ansvarlig overfor behandlingsansvarlig ved manglende oppfyllelse av krav til vern av personopplysninger.Kilde: Bilag 11 – punkt 9.4
• Tredjelandsoverføring: krever vilkår etter personvernforordning kapittel V og skriftlig godkjenning fra behandlingsansvarlig (med unntak dersom påkrevd ved unionsrett/nasjonal rett).Kilde: Bilag 11 – punkt 10.1–10.3
• Sletting/tilbakelevering: ved opphør skal databehandler slette eller tilbakelevere og deretter slette alle personopplysninger, inkl. sikkerhetskopier, i samsvar med Bilag C.Kilde: Bilag 11 – punkt 11.1
• Revisjon/inspeksjon: Databehandler skal gjøre tilgjengelig nødvendig info; muliggjøre revisjoner/inspeksjoner inkl. fra tilsynsmyndigheter; utbedre avvik og kan pålegges midlertidig stopp.Kilde: Bilag 11 – punkt 12.1–12.4
• Mislighold: brudd på databehandleravtalen/regelverket kan medføre pålegg om stans av behandling med øyeblikkelig virkning.Kilde: Bilag 11 – punkt 13.1
• Transport – kjøretøy innenfor Bergen: små/mellomstore skal ha nullutslippsteknologi (elektrisk/hydrogen) eller biogass; store skal minst Euro VI.Kilde: Bilag 10 – punkt 1
• Transport – kjøretøy utenfor Bergen: minst Euro 6.Kilde: Bilag 10 – punkt 2
• Transport – unntak: private kjøretøy til/fra jobb ikke omfattet; enkeltleveranser kan unntas dersom oppdragsgiver godkjenner på forhånd.Kilde: Bilag 10 – punkt 3
• Transport – kjørestil: trafikksikker og miljøvennlig gjennomføring; sjåfører skal gis hensiktsmessig opplæring; ikke-utslippsfrie kjøretøy skal ikke gå unødvendig på tomgang.Kilde: Bilag 10 – punkt 5
• Transport – underleverandører: dokumentasjonskravet gjelder også ved bruk av underleverandør; leverandør skal sikre at avtaler muliggjør innhenting av dokumentasjon og at underleverandør oppfyller miljøkrav.Kilde: Bilag 10 – punkt 6.1
• Transport – utsatt iverksettelse: dersom leverandør har bestilt kjøretøy som tilfredsstiller krav, men levering forsinkes pga forhold leverandør ikke kan påvirke, kan oppdragsgiver godkjenne utsatt iverksettelse etter forklaring/dokumentasjon.Kilde: Bilag 10 – punkt 7

• Budsjett/kontraktsverdi og tildelingsformel for prisskjema er beskrevet, men andel/vekt mot andre tildelingskriterier finnes ikke i utdraget.
• I databehandleravtalen er «Hovedavtalen» og bilag C/D ikke fullt gjengitt; dermed mangler eksakte spesifikasjoner som ligger i Bilag C (f.eks. konkrete sikkerhetstiltak utover henvisning).
• Bilag A (behandlingens art, kategorier av personopplysninger og registrerte) er ikke utfylt i utdraget (plassholdere), så omfang/særlige kategorier er uklart utover omtale av at behandling kan omfatte barn i Bilag C (C.3.1).

Punkter der konkurransedokumentene åpner for tolkning, og der en presisering fra oppdragsgiver kan ha betydning for prising og risiko. Spørsmål kan stilles innen fristene som er angitt i konkurransegrunnlaget.

1. I Bilag A punkt A.2–A.4 er flere felt stående som mal/placeholder (f.eks. «<Beskriv behandlingens art>», «<Angi type>», og registrerte/kategorier). Kan dere spesifisere hvilke konkrete personopplysninger (kategorier) som skal behandles, hvilke registrerte som omfattes, og hva som menes med «behandlingens art» for denne anskaffelsen (bøker og digitale læremidler)?

   Hvorfor det er verdt å spørre: Leverandøren må kunne avgrense behandlingsomfanget for å prise riktig og kunne oppfylle databehandlerinstruksene og sikkerhetskravene.

   Kilde: Bilag A: Opplysninger om behandlingen (A.2–A.4)

2. I Bilag C punkt C.3.1 er det huket av «Krever et høyt sikkerhetsnivå» med begrunnelse om barn, men det mangler utfylling av risikovurderingen/begrunnelsen. Kan dere bekrefte at høyt sikkerhetsnivå gjelder for hele leveransen, og oversende eller beskrive den konkrete risikovurderingen dere bygger på (omfang, typer data, risikofaktorer)?

   Hvorfor det er verdt å spørre: Feil sikkerhetsnivå kan medføre både underprising og manglende etterlevelse, særlig siden Bilag C styrer minste sikkerhetstiltak i punkt 7.1 i databehandleravtalen.

   Kilde: Bilag C: Sikkerhet ved behandlingen (C.3.1)

3. I Bilag C punkt C.3.2 står «Styringssystem for informasjonssikkerhet», men feltet for «Sikkerhetskrav som beskrevet nedenfor» er ikke utfylt (kun mal). Hvilke konkrete sikkerhetskrav skal Databehandleren minst oppfylle (f.eks. krav til kryptering, logging, MFA, tilgangsstyring, respons-/hendelseshåndtering, sårbarhetsstyring), og eventuelt referanse til sikkerhetskrav i Hovedavtalen som skal legges til grunn?

   Hvorfor det er verdt å spørre: Det er ikke mulig å prise eller dokumentere etterlevelse når de konkrete sikkerhetskravene mangler eller ikke er referert.

   Kilde: Bilag C (C.3.2)

4. I Bilag B punkt B.1 er felter for godkjente underleverandører delvis fylt med mal/placeholder (navn, behandling, lokasjon/land, overføringsgrunnlag, dokumentasjon). Kan dere levere komplett og endelig Bilag B.1 (med konkrete underleverandører dere godkjenner for denne konkurransen), inkludert land for behandling/tilgang og overføringsgrunnlag i kapittel V når det forekommer tredjeland?

   Hvorfor det er verdt å spørre: Underleverandørlisten og tredjelandsgrunnlag må være på plass før tilbud/implementering, ellers kan leverandøren få avvisnings-/kontraktsrisiko.

   Kilde: Bilag B: Betingelser for Databehandleren… (B.1) + Bilag B (tredjelandfelt)

5. I Bilag C punkt C.7 (rutiner for revisjon) står «Behandlingsansvarlig har rett til å utføre inspeksjon…» og et tillegg om ekstern revisor/ISAE 3402 er ikke valgt. Kan dere bekrefte hva som skal gjelde for denne avtalen i praksis: (1) kun inspeksjon på forretningssted, (2) også krav til ekstern uavhengig revisjon, eller (3) at dere kan kreve begge?

   Hvorfor det er verdt å spørre: Ulik revisjons-/inspeksjonsmodell påvirker kostnadsnivå, ressursbruk og planlegging for leverandøren.

   Kilde: Bilag C (C.7)

6. I Bilag C punkt C.6 er det valgt en kombinasjon med sletting for inaktive brukere (Feide «SAML2-tjeneste (gamle Feide)» er ikke valgt og «OIDC-tjeneste» er ikke valgt i avkrysningsboksen, men teksten beskriver likevel rutiner for sletting ved inaktivitet). Kan dere avklare hvilket av de to alternativene for inaktive brukere som faktisk skal gjelde for leveransen (SAML2/gamle Feide eller OIDC/nye Feide), og om dere forventer månedlige check-opp mot Feide-API eller fem måneders inaktivitetsregel på tellende dato 1. august?

   Hvorfor det er verdt å spørre: Ulik slettelogikk og integrasjonsfrekvens gir ulike tekniske og operative kostnader og risiko for avvik i etterlevelse.

   Kilde: Bilag C (C.6 – «Databehandler velger ett av følgende to alternativer…»)

7. I Bilag C punkt C.6 fremgår slette-/tilbakeleveringsfrister (f.eks. sletting senest 30 dager ved tilbakelevering, 5 måneder etter utgang for elever, 365 dager for inaktive ansatte), og samtidig står at Databehandler kan ta årlig backup i inntil ett år. Kan dere presisere hvordan disse fristene skal harmoniseres ved backup (hvilken frist gjelder for «tilgjengeliggjøring/utnyttelse» versus «fysisk sletting»), og om «utilgjengelig inntil de er overskrevet» er eneste akseptable modell?

   Hvorfor det er verdt å spørre: Leverandøren må forstå presis juridisk/operativ etterlevelse for både produksjonsdata og sikkerhetskopier for å kunne tilby riktig løsning.

   Kilde: Bilag C (C.6 – sikkerhetskopi/backup) + Bilag C (C.6 – frister)

8. I punkt 11.1 i databehandleravtalen vises det til Bilag C punkt C.7 for sletting, men Bilag C punkt C.7 handler om revisjon. Kan dere bekrefte riktig henvisning: Skal slettingsrutiner være i Bilag C punkt C.6, og er det Bilag C.6 som skal legges til grunn for «slette også sikkerhetskopier»?

   Hvorfor det er verdt å spørre: Motstridende/feil henvisning kan skape tolkningstvist og risiko ved opphør av avtalen.

   Kilde: Databehandleravtalen punkt 11.1 (henvisning til Bilag C punkt C.7) + Bilag C (C.6)

9. I databehandleravtalen punkt 12.5 står det at «Hver Part dekker egne kostnader forbundet med årlig revisjon», mens Bilag C punkt C.7 sier at Behandlingsansvarlig dekker kostnader for tredjeparter brukt til revisjonen/inspeksjonen, og Databehandler dekker Behandlingsansvarligs rimelige kostnader ved vesentlige brudd. Kan dere avklare hvordan kostnadsfordelingen skal praktiseres (hvilke kostnader er «egne kostnader» for hver part, og hva er «rimelige kostnader» ved avvik)?

   Hvorfor det er verdt å spørre: Kostnadsallokering påvirker leverandørens tilbudsprising og kan ellers gi uforutsett økonomisk risiko ved revisjon.

   Kilde: Databehandleravtalen punkt 12.5 + Bilag C (C.7 – kostnader)