Veiledende kunngjøring: Anskaffelse av løsninger for sikkerhetskopiering og gjenoppretting av data til Plan- og bygningsetaten

Dokumentpakken inneholder maler/vedlegg til en offentlig driftsavtale (SSA-D) og tilknyttede personvern- og underleverandørerklæringer. Det relevante utdraget beskriver blant annet forpliktelseserklæring for bruk av underleverandører, samt databehandleravtale med krav til sikkerhet, bruk av underdatabehandlere, varsling ved brudd, revisjon, sletting/tilbakelevering og behandlingsvarighet. SSA-D omfatter drift av IT-løsninger med etableringsfase, ordinær drift og avslutningsfase, og regulerer blant annet underleverandører, informasjonssikkerhet, krav til databehandleravtale, revisjon og beredskap. (Kilde: ulike dokumentoverskrifter/kapittel i SSA-D og databehandleravtale).

• (Ingen eksplisitt kvalifikasjonskrav utledet fra teksten.)

  Dokumentasjon: -

  Kilde: Ingen relevant seksjon i oppgitt tekst

• Forpliktelseserklæring skal fylles ut med navn og organisasjonsnummer på underleverandør (dersom leverandør skal benytte underleverandører).Kilde: «Forpliktelseserklæring for bruk av underleverandører» (avsnitt: «Fyll inn navn og organisasjonsnummer…»)
• Dersom underleverandør skiftes ut eller ny underleverandør kommer til i kontraktsperioden: leverandøren skal varsle oppdragsgiver, samt fylle ut og signere ny forpliktelseserklæring (og bruken forutsetter godkjenning).Kilde: «Forpliktelseserklæring for bruk av underleverandører» (avsnitt: «Dersom underleverandør skiftes ut…»)

Innleveringsvilkår fra kunngjøringen

Språk

English, norsk

Elektronisk katalog

Ikke tillatt

• Leverandøren skal ha råderett over nødvendige ressurser hos underleverandøren gjennom hele kontraktsperioden.Kilde: Forpliktelseserklæring (avsnitt: «Leverandøren erklærer… råderett…»)
• Opphør av avtale mellom leverandør og underleverandør skal ikke påvirke utførelse av tjenestene i henhold til avtalen.Kilde: Forpliktelseserklæring (avsnitt: «Leverandøren erklærer videre…»)
• Leverandøren forplikter seg til å benytte oppgitt underleverandør i henhold til kontraktsbestemmelser; skifte krever varsling/ny erklæring og godkjenning fra oppdragsgiver.Kilde: Forpliktelseserklæring (avsnitt: «Leverandøren forplikter seg…» og «Dersom underleverandør skiftes ut…»)
• Databehandleravtalen regulerer behandling av personopplysninger på vegne av behandlingsansvarlig som del av leveransene under Hovedavtalen; databehandleravtalen har forrang ved motstrid for forhold spesifikt knyttet til personvern.Kilde: Databehandleravtale (avsnitt: «Formålet…» og «Ved motstrid…»)
• Databehandler skal behandle personopplysninger i samsvar med gjeldende personvernregler og dokumenterte instrukser.Kilde: Databehandleravtale (punkt: «Behandlingsansvarliges instrukser…»)
• Konfidensialitet: databehandler skal sikre autorisasjon og taushetsplikt, og opphør av tilgang uten ugrunnet opphold; skal avvikle tilganger ved avtalens opphør.Kilde: Databehandleravtale (avsnitt: «Konfidensialitet og taushetsplikt»)
• Sikkerhet: databehandler skal iverksette egnede tekniske og organisatoriske tiltak, foreta risikovurderinger, dokumentere og gjøre tilgjengelig informasjon for revisjon.Kilde: Databehandleravtale (avsnitt: «Sikkerhet ved behandlingen»)
• Melding om brudd: databehandler skal uten ugrunnet opphold underrette behandlingsansvarlig om brudd og gi nødvendig bistand/innhold som angitt.Kilde: Databehandleravtale (avsnitt: «Melding om brudd…»)
• Bruk av underdatabehandlere: databehandler kan kun benytte underdatabehandlere etter forutgående (generell/spesifikk) skriftlig tillatelse; skal inngå skriftlig avtale med tilsvarende forpliktelser; må kunne fremlegge rapporter/ kontroll.Kilde: Databehandleravtale (avsnitt: «Bruk av Underdatabehandlere»)
• Overføring utenfor EØS: kun etter skriftlig godkjenning fra behandlingsansvarlig og oppfyllelse av vilkår/garantier (f.eks. EU-kommisjonsbeslutning, EU Model Clauses eller BCR).Kilde: Databehandleravtale (avsnitt: «Overføring av personopplysninger til land utenfor EØS-området»)
• Revisjon/inspeksjon: databehandler skal gjøre tilgjengelig nødvendig informasjon, muliggjøre revisjoner/inspeksjoner og utbedre avvik; kostnadsregler for årlig revisjon og vesentlige brudd.Kilde: Databehandleravtale (avsnitt: «Generelt om revisjon»)
• Sletting/tilbakelevering ved opphør: personopplysninger skal tilbakeleveres og/eller slettes i samsvar med bilag C, inkludert sikkerhetskopier; kan kreve strukturert maskinlesbart format; tiltak ved manglende direkte sletting (utilgjengeliggjøring til overskriving).Kilde: Databehandleravtale (avsnitt: «Sletting og tilbakelevering…»)
• Varighet: databehandleravtale gjelder fra signering og så lenge databehandler behandler personopplysninger på vegne av behandlingsansvarlig, også for personopplysninger som måtte finnes etter Hovedavtalens opphør.Kilde: Databehandleravtale (avsnitt: «Varighet og opphør»)
• SSA-D: Leverandøren skal ha ansvar for samordning og koordinering mellom aktører som har betydning for driftstjenesten.Kilde: SSA-D Generell avtaletekst (avsnitt: «Leverandørens ansvar for leveransen - generelt»)} ,{

• Teksten inneholder primært avtale-/bilagsmaler; konkrete krav til tilbudsgiver (kvalifikasjonskrav) og tildelingskriterier fremgår ikke eksplisitt i det oppgitte utdraget.
• Flere punkter i databehandleravtalen og bilagene er malfyllingsfelt (angitt som <Sett inn…>), slik at konkrete verdier/omfang (f.eks. sikkerhetsnivå, kategorier personopplysninger, godkjente underdatabehandlere) ikke er spesifisert i teksten.
• SSA-D bilag (kravspesifikasjon/løsningsspesifikasjon/tjenestenivå/prisbestemmelser) er ikke fylt ut i utdraget; dermed kan ikke konkrete tjenestekrav eller pris-/tjenestenivåforpliktelser hentes ut her.
• Forpliktelseserklæring angir underleverandørkrav, men leverandør-/oppdragsgivernavn og organisasjonsnummer og eventuelle lister over underleverandører er ikke utfylt i teksten.