Tjenestekonsesjon BPA - RK2026

Dokumentene gjelder BPA-tjenestekonsesjon (Rana kommune) og leverandørers/ databehandlers forpliktelser. Det trekkes bl.a. frem minimumskrav om kapasitetstak (ikke under 336 timer per uke) og databehandleravtale/bilag for behandling av personopplysninger knyttet til leveranse av BPA, inkludert krav til sikkerhet, styringssystem, underdatabehandlere, revisjon/tilsyn og rutiner for tilbakelevering/sletting.

• Oppfylle minimumskravene i del 4 av konsesjonsgrunnlaget og etterleve disse (gjelder undertegnende virksomhet).

  Dokumentasjon: Egenerklæring om oppfylling av minimumskrav (del 4) samt kapasitetstak bekreftes av daglig leder.

  Kilde: 05 - Egenerklæring minimumskrav - Tjenestekonsesjon BPA - RK2026.docx (overskrift/del om minimumskrav)
• Kapasitetstak kan ikke settes til mindre enn 336 antall timer per uke.

  Dokumentasjon: Utfylt egenerklæring/angitt kapasitetstak i skjemaet.

  Kilde: 05 - Egenerklæring minimumskrav - Tjenestekonsesjon BPA - RK2026.docx (setning om 336 timer per uke)

• Leverandøren skal fylle ut tabellen og signere under tabellen i tilbuds-/tilbudsbekreftelsesdokumentet, inkludert firmadata og kontaktperson.Kilde: 01 - Tilbudsbekreftelse.docx (felt og signaturinstruks)
• Leverandør skal krysse av/markere aksept av betingelser og vedståelse av søknad (alternativt forbehold i eget vedlegg).Kilde: 01 - Tilbudsbekreftelse.docx (checkboxer om akseptert/forbehold/vedståelse)
• Egenerklæring minimumskrav skal fylles ut med virksomhetens opplysninger og kapasitetstak, og signeres (dato og daglig leder).Kilde: 05 - Egenerklæring minimumskrav - Tjenestekonsesjon BPA - RK2026.docx (skjema for virksomhetsinfo og signatur)

Innleveringsvilkår fra kunngjøringen

Språk

norsk, English

• Egenerklæringen bekrefter at virksomheten vil etterleve minimumskrav i konsesjonsgrunnlagets del 4.Kilde: 05 - Egenerklæring minimumskrav - Tjenestekonsesjon BPA - RK2026.docx
• Databehandlerbehandling skal skje bare for beskrevne formål/omfang knyttet til BPA-tjenester (innsamling, lagring, bruk, utlevering til Rana kommune, m.m.).Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx (Bilag a – Opplysninger om behandlingen)
• Høyt sikkerhetsnivå skal etableres ( begrunnet i helseopplysninger og sårbare personer) med tekniske og organisatoriske tiltak (tilgangsstyring, taushetsplikt, logging, sikker kommunikasjon, avvikshåndtering, opplæring, sletting/tilbakelevering).Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx (Sikkerhet ved behandlingen / sikkerhetsnivå)
• Databehandler skal ha egnet styringssystem for informasjonssikkerhet og minst sikre tilgangsstyring, (relevant) flerfaktorautentisering, logging, sikker lagring/overføring, kryptering der egnet, rutiner for sikker avvikshåndtering, opplæring i taushetsplikt/personvern og dokumentert risikovurdering.Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx (Styringssystem for informasjonssikkerhet)
• Databehandler skal dokumentere rutiner/tiltak og gjøre dokumentasjonen tilgjengelig på forespørsel.Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx (Dokumentasjon)
• Behandling/tilgang til personopplysninger kan ikke skje på andre lokasjoner enn de angitt i bilaget uten skriftlig godkjenning.Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx (Overføring av personopplysninger - Lokasjon)
• Rett til revisjon: Rana kommune kan utføre revisjon inntil én gang i året (med vilkår) og databehandler skal stille ressurser til rådighet; databehandler dekker kostnader ved vesentlige brudd.Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx (Rutiner for revisjon og tilsyn)
• På forespørsel skal leverandør fremlegge oppdatert dokumentasjon (underdatabehandlere, risikovurderinger, sikkerhetstiltak, avvikshistorikk, revisjonsrapporter/attestasjoner der finnes, og bekreftelse på opplæring).Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx (Rutiner for revisjon og tilsyn)
• Tilbakelevering ved opphør: alle personopplysninger og annen relevant informasjon skal tilbakeleveres ved opphør, og deretter slettes innen 30 dager.Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx (Sletting og tilbakelevering av personopplysninger)
• Tilbakelevering skal skje i strukturert, alminnelig brukt og maskinlesbart format (evt. bransjestandard som SQL) via sikker kanal (VPN/sftp) og omfatte dokumentasjon/rapportering/avvik m.m.Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx (Tilbakelevering skal skje på følgende måte)
• Underdatabehandlere: Leverandøren skal oppgi alle underdatabehandlere ved tilbud/kontraktsinngåelse og dokumentere at de er underlagt tilsvarende personvern- og informasjonssikkerhetsforpliktelser.Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx (Underdatabehandlere / oversikt og dokumentasjon)
• Bruk av underdatabehandlere: endringer krever underretning og kan innebære krav til godkjenning ved tredjestats-overføring.Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx (Betingelser for Databehandlerens bruk og endring av Underdatabehandlere)

• Flere felter i dokumenttekstene er markert som FORMTEXT/ Fylles ut av leverandør eller har referanseplassholdere; konkrete verdier (f.eks. kapasitetstak, revisjonsalternativvalg, underdatabehandlere, kontaktdata) er ikke utfylt i teksten som er gitt.
• I databehandlerbilaget beskrives underdatabehandlerliste som mal/utkast (tomme bracket-/fylles-inn-felt), derfor er konkrete underdatabehandlere ikke identifiserbare fra teksten.

Punkter der konkurransedokumentene åpner for tolkning, og der en presisering fra oppdragsgiver kan ha betydning for prising og risiko. Spørsmål kan stilles innen fristene som er angitt i konkurransegrunnlaget.

1. I databehandleravtalens Bilag B.2 «Godkjente Underdatabehandlere» står det at underdatabehandlere skal fylles ut av leverandør i tilbudet. Kan Rana kommune bekrefte hvordan dere ønsker at leverandøren skal liste opp underdatabehandlere (f.eks. kun leverandørens navngitte underleverandører som behandler personopplysninger, eller også leverandører av standardverktøy/IT-drift som kan behandle opplysninger indirekte)?

   Hvorfor det er verdt å spørre: For å kunne prise og dokumentere underdatabehandlere riktig, må leverandøren vite rekkevidden av hva som skal fylles inn som «underdatabehandlere» i denne BPA-kontrakten.

   Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx, Bilag b – B.2 Godkjente Underdatabehandlere / Fylles ut av leverandør

2. I samme Bilag B.2 er det referanse til at underdatabehandlerne er «godkjent» av behandlingsansvarlig, men feltene er markert «Fylles ut av leverandør». Kan dere bekrefte om dere har en foretrukket mal/format for utfylling (og om dere krever at land for lagring/tilgang alltid oppgis på individnivå per underdatabehandler)?

   Hvorfor det er verdt å spørre: Ulik utfyllingspraksis kan gi avvik fra forventet dokumentasjon og forsinke kontraktsinngåelse/oppstart.

   Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx, Bilag b – B.2 Godkjente Underdatabehandlere

3. Bilag b B.1/B.2 sier at det finnes alternativer for hvordan databehandler kan benytte endringer i underdatabehandlere (herunder «kan benytte i samme konsern innen EØS» og «kan endre forutsatt underretning 1 måned før»). Kan Rana kommune bekrefte hvilket av alternativene dere vil benytte i denne konkurransen, og om dere forutsetter at leverandørens tilbud bindes til alle valgte alternativer?

   Hvorfor det er verdt å spørre: Valg av endrings-/godkjenningsmodell påvirker leverandørens operasjonelle fleksibilitet og risiko knyttet til endringer i leverandørkjeden.

   Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx, Bilag b – Betingelser for Databehandlerens bruk og endring av eventuelle Underdatabehandlere (B.1) / punktvalg i avsnittet

4. I Bilag C «Sikkerhet ved behandlingen» er sikkerhetsnivået satt til «Krever et høyt sikkerhetsnivå», og begrunnelsen er fylt ut. Kan dere bekrefte hvilke konkrete krav som minst skal anses «oppfylte» gjennom henvisningen til «Hovedavtalen (konsesjonsgrunnlaget)» (f.eks. liste over hvilke tiltak Rana kommune faktisk krever – tilgangsstyring, MFA, logging, opplæring, avvikshåndtering mv.)?

   Hvorfor det er verdt å spørre: Leverandøren trenger et tydelig minstekravsnivå for å prise og implementere riktig sikkerhetsprofil.

   Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx, Bilag c – C.2.1 Angivelse av sikkerhetsnivå / C.2 Sikkerhet ved behandlingen

5. I Bilag C om «Overføring av personopplysninger – Lokasjon for behandling og tilgang» står det at behandling kun kan skje på lokasjoner angitt i Bilag B.2, og at annen lokasjon krever skriftlig godkjenning. Kan Rana kommune presisere om «lokasjon» også omfatter leverandørens og underdatabehandleres support-/driftsmiljø (inkludert fjernaksess/remote access), og hvordan dere ønsker at dette oppgis i Bilag B.2?

   Hvorfor det er verdt å spørre: For BPA-leveranser vil tilgang ofte skje via fjernmiljøer. Klarhet i hva som regnes som «lokasjon» reduserer risiko for brudd på kontraktsvilkår.

   Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx, Bilag c – C.4 Overføring av personopplysninger - Lokasjon for behandling og tilgang

6. I Bilag C «Rutiner for revisjon og tilsyn» er det flere alternativer, inkludert at Rana kommune kan utføre revisjon inntil én gang årlig og kan kreve oppdatert dokumentasjon ved forespørsel. Kan Rana kommune bekrefte om revisjon/dokumentasjonskrav skal skje uten at leverandøren må levere detaljer som inneholder forretningshemmeligheter (og eventuelt hvordan dette håndteres)?

   Hvorfor det er verdt å spørre: Operasjonelle og juridiske begrensninger rundt innsyn påvirker etterlevelsesarbeid og risiko, og er viktig for leverandørens kostnadsestimat.

   Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx, Bilag c – C.5 Rutiner for revisjon og tilsyn

7. Bilag C «Sletting og tilbakelevering» er satt til alternativet «Tilbakeleveres ved opphør», og det står «Overlevering … via en sikker kanal; VPN, sftp» samt spesifikt maskinlesbart format (eks. SQL). Kan Rana kommune presisere hva som konkret forventes tilbakelevert for denne BPA-leveransen (f.eks. hvilke systemer/dataobjekter: journal/rapporter, avvik, turnus, timelister, dokumentasjon), og hvilke format som er «must» vs. «kan godkjennes»?

   Hvorfor det er verdt å spørre: Uten konkret scope for data og format vil leverandøren få vanskelig for å beregne kostnader og gjennomføre sletting/tilbakelevering korrekt.

   Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx, Bilag c – C.6 Sletting og tilbakelevering av personopplysninger ved avtalens opphør

8. I Bilag a «Varighet av behandlingen» er det valgt at behandlingen ikke er tidsbegrenset (varer frem til opphør av Hovedavtalen/konsesjonen). Kan Rana kommune bekrefte hvordan dere håndterer databehandling for BPA-brukere som avslutter/avvikler vedtak før konsesjonsperiodens opphør (f.eks. særskilt sletting for den enkelte sak/bruker)?

   Hvorfor det er verdt å spørre: Selv om avtalen varer lenge, kan opphør for enkeltpersoner utløse egne slette-/tilbakeleveringsrutiner. Leverandøren må forstå forventet praksis.

   Kilde: 06 - Databehandleravtale Bilag - Tjenestekonsesjon BPA - RK2026.docx, Bilag a – A.5 Varighet av behandlingen / Bilag c – C.6 Sletting og tilbakelevering

9. Egenerklæring minimumskrav: «Leverandørens kapasitetstak: ________» og det står «Kapasiteten kan ikke settes til mindre enn 336 antall timer pr uke». Kan Rana kommune bekrefte om kapasitetstaket som fylles ut i egenerklæringen er bindende ved kontraktsoppstart, og hva som skjer dersom oppgitt kapasitet ikke kan opprettholdes i perioder (f.eks. sanksjoner/avkorting eller kun redegjørelse)?

   Hvorfor det er verdt å spørre: Kapasitetstak kan få direkte kontraktsmessig betydning. Leverandøren må forstå binding og konsekvenser for avvik for å kunne gi riktig og forsvarlig tilbud.

   Kilde: 05 - Egenerklæring minimumskrav - Tjenestekonsesjon BPA - RK2026.docx (Egenerklæring om oppfylling av minimumskrav … kapasitetstak)