IK-EØS 025-2026 Bøker og læremidler til Bergen kommune og samarbeidsparter

Databehandleravtale (IK-EØS 025-2026) mellom Bergen kommune (behandlingsansvarlig) og databehandler, knyttet til hovedavtale om levering av bøker og læremidler med tilhørende digitale læremidler til Bergen kommune og samarbeidsparter. Avtalen regulerer databehandlerens behandling av personopplysninger på vegne av kommunen, herunder instrukser, konfidensialitet, sikkerhet, bistand ved rettigheter og brudd, underleverandører, tredjelandsoverføringer, sletting/tilbakelevering, revisjon/inspeksjon og vilkår ved mislighold.

• Hovedavtalens detaljer (omfang/leveranseform) er ikke gjengitt; avtalen viser kun til at databehandlerbehandlingen skjer som del av leveransene under Hovedavtalen.
• Bilag B (liste over godkjente underleverandører), Bilag C punkt C.7 (hvilke alternativer for inaktive brukere som gjelder) og flere felter er delvis utfylt med mal-/placeholdertekst (f.eks. <Beskriv behandlingens art>, <Angi type>, underleverandørfelter).
• Konkrete sikkerhetstiltak i Bilag C er ikke fullt spesifisert i teksten (det henvises til Bilag C, men konkrete krav under C.3.2 er ikke fylt ut).
• Tredjelandsoverføringsmekanismer og konkrete overføringsgrunnlag i Bilag B er ikke angitt i teksten.

• Databehandler skal behandle personopplysninger i samsvar med gjeldende personvernregler og dokumenterte instrukser fra behandlingsansvarlig; skal underrette hvis instruksene er i strid med personvernreglene.Punkt 4 (Behandlingsansvarliges instrukser til Databehandleren)
• Konfidensialitet: Gi kun tilgang til personopplysninger til personer underlagt databehandlerens instruksjonsmyndighet og som trenger tilgang for å oppfylle forpliktelser; taushetsplikt skal gjelde også etter opphør; databehandler skal på anmodning kunne dokumentere tilgang og taushetsplikt.Punkt 5 (Konfidensialitet og taushetsplikt)
• Sikkerhet: Databehandler skal iverksette egnede tekniske og organisatoriske tiltak for tilfredsstillende sikkerhetsnivå (minst de som er angitt i Bilag C), foreta risikovurderinger (minimum årlig og ved større endringer), dokumentere vurderinger/tiltak og gjøre dem tilgjengelig for behandlingsansvarlig.Punkt 7 (Sikkerhet ved behandlingen)
• Bistand ved registrertes henvendelser: Databehandler skal bistå behandlingsansvarlig med å svare på rettighetsanmodninger og videresende slike henvendelser uten ugrunnet opphold (databehandler kan kun besvare etter skriftlig godkjenning).Punkt 6 (Bistand til den Behandlingsansvarlige)
• Håndtering av brudd: Databehandler skal uten ugrunnet opphold skriftlig underrette behandlingsansvarlig om brudd på personopplysningssikkerheten og gi nødvendig bistand/ informasjon for melding til Datatilsynet. Databehandler skal ikke informere tredjeparter med mindre lov/instruks tilsier det.Punkt 8 (Underretning om brudd på personopplysningssikkerheten)
• Underleverandører: Databehandler kan kun bruke underleverandører godkjent skriftlig på forhånd, og minst 30 dager før engasjement. Databehandler skal inngå skriftlig avtale med underleverandør med tilsvarende forpliktelser. Databehandler skal gjennomføre kontroller og være fullt ansvarlig overfor behandlingsansvarlig ved underleverandørers manglende etterlevelse.Punkt 9 (Bruk av Underleverandører)
• Tredjelandsoverføring: Kun ved oppfyllelse av personvernforordningen kapittel V; databehandler kan kun overføre etter skriftlig godkjenning fra behandlingsansvarlig (med unntak dersom overføring kreves i henhold til unionsrett/nasjonal rett; da skal behandlingsansvarlig varsles).Punkt 10 (Overføring til Tredjeland og internasjonale organisasjoner)
• Sletting/tilbakelevering: Ved opphør skal databehandler slette eller tilbakelevere og deretter slette alle personopplysninger (og sikkerhetskopier) i tråd med Bilag C, inkludert utilgjengeliggjøring der direkte sletting ikke er teknisk mulig; databehandler skal bekrefte skriftlig at sletting/utilgjengeliggjøring er foretatt og dokumentere ved forespørsel.Punkt 11 (Sletting og tilbakelevering av opplysninger)