Illustrasjonsbilde av utfylling av avtale
Foto: Tone Merete Bruvik, 2019

Tjenesteavtale med databehandleravtale

Virksomheter som skal publisere i Digitalarkivet, må inngå en tjenesteavtale og databehandleravtale med Arkivverket.

Last ned Tjenesteavtalen og databehandleravtalen i PDF-format. Signert avtale kan lastes opp i Digitalarkivets registreringsskjema.

Tjenesteavtale

Avtale mellom Arkivverket (organisasjonsnummer 961 181 399) og Avtalepartner.

Arkivverkets vederlag for Tjenesten er spesifisert i den til enhver tid siste versjon av Tjenestekatalogen. Ved eventuell endring av vederlaget skal Arkivverket gi Avtalepartneren minst tre måneders skriftlig varsel. Avtalepartneren kan velge å terminere Avtalen før plikt til å betale vederlag inntreffer.

Avtalebetingelsene i denne tjenesteavtalen («Avtalen») gjelder for Avtalepartnerens tilgang til og bruk av tjenesten Digitalarkivet («Tjenesten»). Digitalarkivet er en tjeneste fra Arkivverket for digital publisering av arkivmateriale.

Ved signering av dette signaturarket aksepterer Avtalepartneren betingelsene i denne Avtalen, inkludert vedlegg 1 Databehandleravtale. Avtalen er utstedt og signert i to eksemplarer, ett til hver part.

1. Varighet

Avtalen varer fra tidspunktet for avtaleinngåelse og frem til en av partene sier opp Avtalen med minst tre måneders skriftlig varsel til den andre parten.

2. Bruksrett til Tjenesten, endringer

Avtalen gir Avtalepartneren rett til å bruke Tjenesten slik Tjenesten til enhver tid stilles til disposisjon av Arkivverket, jf. den til enhver tid siste versjon av Tjenestekatalogen, under Avtalens varighet. Dette innebærer å utnytte funksjonaliteten i Tjenesten til å laste opp det av Avtalepartnerens arkivmateriale som er egnet til opplasting i Tjenesten og til å gjøre dette tilgjengelig for publikum via Tjenesten. Avtalepartneren kan likevel benytte den tilgangsstyring som Tjenesten til enhver tid gir muligheter for og på den måten begrense tilgangen til det opplastede materialet som Avtalepartneren har lastet opp.

Utnyttelsen av Tjenesten må alltid skje i samsvar med det som følger av denne Avtalen. Avtalepartneren anerkjenner at Arkivverket til enhver tid kan gjøre endringer i Tjenesten. Arkivverket skal, så langt det er mulig, varsle om slike endringer på forhånd, og enhver endring skal dokumenteres i etterkant.

Arkivverket kan til enhver tid gjøre nødvendige endringer i denne Avtalen som følge av endringer i Tjenesten. Arkivverket skal varsle Avtalepartneren om slike endringer.

3. Betaling

Avtalepartneren skal betale Arkivverket avtalt vederlag slik det er fastlagt i den til enhver tid siste versjon av Tjenestekatalogen, jf. signaturarket. Betaling skal skje senest 30 dager etter at Avtalepartneren har mottatt faktura fra Arkivverket.

Forsinket betaling belastes med gjeldende forsinkelsesrenter etter Lov om renter ved forsinket betaling (forsinkelsesrenteloven).

4. Brukeradministrasjon

Arkivverket vil gi Avtalepartneren tilgang til Tjenesten og sørge for at Avtalepartneren kan opprette nye brukere med rettigheter til å laste opp innhold, redigere metadata, indeksere, publisere, avpublisere og tilgangsstyre. Brukere som skal ha rettigheter til å publisere, avpublisere og tilgangsstyre, skal aktivere to-faktor autentisering.

Avtalepartneren må selv skaffe seg utstyr og programvare til å koble seg til Tjenesten via Internett. Avtalepartneren må selv foreta opplasting av alt innhold som Avtalepartneren vil gjøre tilgjengelig i Tjenesten og kan ikke kreve at Arkivverket kopierer eller laster ned innhold for overføring til Avtalepartneren eller andre.

5. Personopplysninger

Bruk av Tjenesten innebærer at Arkivverket behandler personopplysninger på vegne av Avtalepartneren i den grad Avtalepartneren har lastet opp personopplysninger. Det følger derfor en databehandleravtale som vedlegg 1 til denne Avtalen. Databehandleravtalen ansees inngått når Avtalen er inngått.

6. Bruk av Tjenesten

Avtalepartneren og Avtalepartnerens brukere skal kun bruke Tjenesten i henhold til gjeldende lovregulering og bestemmelsene i denne Avtalen. Dette betyr at:

  • Avtalepartneren selv må forsikre seg om at den har lovlig adgang til å gjøre innholdet i materialet offentlig tilgjengelig eller tilgjengelig for en avgrenset krets gjennom bruk av tilgangsstyring.
  • Avtalepartneren – også dersom den er privat og ikke offentlig – forplikter seg til å ikke publisere fritt tilgjengelig opplysninger som i henhold til forskrift til offentleglova § 7 ikke skal gjøres tilgjengelige på Internett.
  • Avtalepartneren forplikter seg til å overholde eventuelle ytterligere begrensninger spesifisert i den til enhver tid siste versjon av Tjenestekatalogen.

Arkivverket kan kreve at Avtalepartneren gjør innhold utilgjengelig, dersom Arkivverket vurderer at innholdet kan omfatte opplysninger som i henhold til forskrift til offentleglova § 7 ikke skal gjøres tilgjengelige på Internett.

Dersom Avtalepartneren ikke etterkommer kravet innen 24 timer etter at kravet er skriftlig fremsatt, forbeholder Arkivverket seg retten til å gripe inn og fjerne eller tilgangsstyre det aktuelle innholdet.

7. Planlagt vedlikehold

Planlagt vedlikehold kan medføre stans eller redusert tilgjengelighet til Tjenesten. Arkivverket vil så langt det er mulig gi Avtalepartneren rimelig varsel om planlagt vedlikehold av Tjenesten dersom dette kan få betydning for tilgjengeligheten.

Stans eller redusert tilgjengelighet gir ikke rett til økonomisk kompensasjon.

8. Ansvar for feil

Arkivverket er ansvarlig for Tjenestens funksjon. Det er en feil dersom en funksjon i Tjenesten er utilgjengelig, en funksjon ikke virker som tiltenkt eller Tjenesten ellers ikke fungerer som tiltenkt. Uavhengig av årsak utløser feil ikke krav på erstatning.

Dersom Avtalepartneren blir klar over at en feil har oppstått skal Avtalepartneren straks varsle Arkivverket om feilsituasjonen. Dersom Arkivverket ber om det, skal Avtalepartneren, uten godtgjørelse, yte nødvendig bistand for å gjenskape eller identifisere feilen. Arkivverket står imidlertid fritt med hensyn til hvorvidt, hvordan og når feilen skal utbedres.

Avtalepartneren er selv ansvarlig for å holde sikkerhetskopi av ethvert innhold som lastes opp i Tjenesten. Arkivverket skal ikke holdes ansvarlig for innhold som går tapt fra Tjenesten. Avtalepartneren må i slike situasjoner selv laste opp innhold til erstatning for det innhold som er gått tapt.

Arkivverket er ansvarlig for å holde sikkerhetskopi av metadata og indekseringsdata som Avtalepartneren produserer i Tjenesten. Uavhengig av årsak utløser tap av metadata og indekseringsdata ikke krav på erstatning.

9. Suspensjon av Tjenesten

Arkivverket kan med umiddelbar virkning stenge eller suspendere Avtalepartnerens tilgang til Tjenesten hvis Avtalepartneren eller noen av Avtalepartnerens brukere misbruker Tjenesten, bruker Tjenesten utenfor dens tiltenkte formål eller dersom Avtalepartneren på annen måte er i vesentlig mislighold av sine forpliktelser under denne Avtalen. Arkivverket søker så langt det er praktisk mulig å informere Avtalepartneren om stenging eller suspendering.

10. Mislighold og erstatning

Arkivverket kan terminere Avtalen med umiddelbar virkning dersom Avtalepartneren er i vesentlig mislighold av sine forpliktelser under denne Avtalen.

Arkivverket kan kreve erstattet ethvert tap og kostnader (inkludert krav fra tredjeparter) som følger av Avtalepartnerens avtalebrudd, herunder tap som påføres Arkivverket som følge av at Tjenesten ikke brukes i samsvar med Avtalen.

Avtalepartneren aksepterer at den ikke har rett til å kreve erstatning for direkte eller indirekte tap som følge av Arkivverkets avtalebrudd. Denne begrensningen gjelder ikke dersom Arkivverket har opptrådt grovt uaktsomt eller forsettlig, og slikt ansvar ikke kan fraskrives under norsk rett.

11. Opphør av avtalen

Ved opphør av Avtalen skal Arkivverket fjerne alle rettigheter til bruk av Tjenesten fra alle brukerkontoer tilknyttet Avtalepartneren.

I løpet av oppsigelsestiden skal Arkivverket tilby Avtalepartneren en avtale om hva som skal skje med innhold som er lastet opp til Digitalarkivet, metadata og indekseringsdata som er produsert i Tjenesten, samt brukerkontoer. Dersom en slik avtale ikke er inngått innen 90 dager etter opphør av Avtalen, vil Arkivverket slette alt av innhold, metadata og indekseringsdata, samt brukerkontoer.

12. Taushetsplikt

I forbindelse med gjennomføringen av Avtalen vil partene kunne få tilgang til den andre parts konfidensielle informasjon. Partene er derfor forpliktet til å bevare taushet om denne typen opplysninger. Taushetsplikten gjelder ikke opplysninger som ved nødvendighet må avgis i forbindelse med utførelsen av partens plikter overfor hverandre.

Taushetsplikten gjelder uten hensyn til om partene blir kjent med informasjonen muntlig eller via dokumenter. Dette gjelder også uavhengig av hvordan informasjonen er lagret.

Partene kan ikke benytte konfidensiell informasjon til andre formål enn i forbindelse med avtaleforholdet. Bestemmelsene ovenfor gjelder også etter at avtalen er opphørt.

13. Immaterielle rettigheter

Arkivverket beholder enhver immateriell rettighet til alle aspekter ved Tjenesten. Avtalepartneren mottar ingen lisens eller bruksrett til Tjenesten utover det som uttrykkelig fremkommer av denne Avtalen.

Avtalepartneren bevarer alle rettigheter til materialet som Avtalepartneren laster opp i Tjenesten. Avtalepartneren har alle rettigheter til metadata og indekseringsdata som Avtalepartneren produserer i Tjenesten.

14. Overdragelse av avtalen

Arkivverket har rett til å overdra denne avtalen til en annen juridisk person som følge av omstrukturering eller andre organisatoriske endringer. Avtalepartneren har ikke rett til å overdra denne avtalen til andre uten skriftlig forhåndssamtykke samtykke fra Arkivverket. Overføring av avtalen til andre i forbindelse med fusjoner, fisjoner og annen omorganisering regnes også som overdragelse i denne sammenheng. Bestemmelsen gjelder uavhengig om det ytes vederlag for overdragelsen eller ikke.

15. Lovvalg og verneting

Avtalen er underlagt norsk rett. Dersom det oppstår en tvist mellom Partene om tolkningen eller rettsvirkningene av avtalen, skal tvisten først søkes løst ved forhandlinger. Dersom slike forhandlinger ikke fører frem, kan hver av partene forlange tvisten avgjort med endelig virkning ved alminnelige domstoler. Partene vedtar Oslo tingrett som verneting.

Vedlegg 1: Databehandleravtale

1. Bakgrunn og formål

Denne databehandleravtalen fastsetter partenes rettigheter og plikter, for å sikre at all behandling av personopplysninger behandles i henhold til gjeldende lovgivning om behandling av personopplysninger, inkludert EU-forordning 2016/679 («GDPR») og dens implementering i norsk lov.

Avtalepartneren er behandlingsansvarlig og Arkivverket er databehandler under denne databehandleravtalen. Alle begreper i denne databehandleravtalen skal forstås på lignende måte som definerte begreper i GDPR.

2. Beskrivelse av behandlingen

Formålet med behandlingen av personopplysninger er Avtalepartnerens tilgang til og bruk av Tjenesten under Avtalen.

Behandlingen av personopplysninger omhandler følgende kategorier av registrerte:

  • a) Personer som er registrert som brukere i Digitalarkivet, herunder ansatte, innleid personell og frivillige tilknyttet Avtalepartneren.
  • b) Personer som er nevnt i arkivmaterialet som lastes opp i Tjenesten.

Behandlingen av personopplysninger omhandler følgende kategorier av personopplysninger og/eller spesielle personopplysninger:

  • a) For personer nevnt under punkt a) i foregående avsnitt: Navn, e-postadresse, passord, IP-adresse, rettigheter.
  • b) For personer nevnt under punkt b) i foregående avsnitt: Enhver kategori av personopplysninger.

3. Behandlingsansvarliges plikter

Behandlingsansvarlig bekrefter at behandlingsansvarlig:

  • a) har tilstrekkelig behandlingsgrunnlag for behandling av personopplysninger, og behandler disse i tråd med gjeldende lovregulering,
  • b) har rett til å la databehandler behandle personopplysningene,
  • c) har ansvaret for nøyaktigheten, integriteten, innholdet, påliteligheten og lovligheten av personopplysningene,
  • d) skal implementere tilstrekkelige tekniske og organisatoriske tiltak for å sikre og demonstrere overholdelse av gjeldende lovgivning om behandling av personopplysninger.
  • e) har plikt til å melde avvik til aktuelle tilsynsmyndigheter og eventuelt til de registrerte i henhold til gjeldende lovgivning.

4. Databehandlers forpliktelser

4.1 Restriksjoner for behandling

Databehandler skal bare behandle personopplysninger på, og i samsvar med dokumenterte instrukser fra behandlingsansvarlig, med mindre databehandler er:

  • a) forpliktet til å behandle personopplysninger i henhold til gjeldende lov. I så tilfelle skal databehandleren informere behandlingsansvarlig om dette før behandlingen, med mindre loven forbyr slik informasjon av hensyn til allmenne interesser.
  • b) forpliktet til slik behandling for å overholde sine forpliktelser overfor behandlingsansvarlig etter at avtalen er opphørt. I så tilfelle skal bestemmelsene i denne databehandleravtalen fortsette å gjelde inntil behandlingen er avsluttet.
  • c) Utøver rettigheter til slike begrensninger i publisering og tilgjengeliggjøring som er lagt til Arkivverket i tjenesteavtalen

4.2 Informasjonssikkerhet

Databehandler skal ved planlagte, systematiske, organisatoriske og tekniske tiltak sikre tilstrekkelig informasjonssikkerhet med hensyn til konfidensialitet, integritet, og tilgjengelighet i forbindelse med behandling av personopplysninger i samsvar med bestemmelser om informasjonssikkerhet i gjeldende lovgivning om behandling av personopplysninger, herunder GDPR artikkel 32.

4.3 Henvendelser fra de registrerte

Tatt i betraktning arten av behandlingen, skal Databehandler implementere tekniske og organisatoriske tiltak for bistå Behandlingsansvarlig med å svare på henvendelser angående utøvelse av de registrertes rettigheter.

4.4 Kompensasjon

Databehandler kan etter skriftlig forutgående avtale kreve kompensasjon for sin bistand etter punkt 4.3 over.

4.5 Avvik og avviksmeldinger

Enhver bruk av informasjonssystemene og personopplysninger i strid med etablerte rutiner, instrukser fra behandlingsansvarlig eller gjeldende lovgivning om behandling av personopplysninger, så vel som sikkerhetsbrudd, skal behandles som avvik.

Databehandler skal ha rutiner og systematiske prosesser for å følge opp avvik, som skal inkludere reetablering av normaltilstanden, eliminasjon av årsaken til avviket, og hindre gjentagelse.

Databehandler skal umiddelbart varsle behandlingsansvarlig om:

  • a) ethvert brudd på denne databehandleravtalen,
  • b) utilsiktet, ulovlig eller uautorisert tilgang, bruk eller utlevering av personopplysninger,
  • c) at personopplysninger kan ha blitt kompromittert, eller
  • d) brudd på personopplysningenes integritet.

Databehandler skal gi behandlingsansvarlig nødvendig bistand og all informasjon nødvendig for å sette behandlingsansvarlig i stand til å overholde gjeldende lovgivning om behandling av personopplysninger og sette behandlingsansvarlig i stand til å besvare henvendelser fra relevante tilsynsmyndigheter.

Det er behandlingsansvarlig sitt ansvar å melde avvik til Datatilsynet i henhold til gjeldende lovgivning. Databehandler skal ikke melde avvik til Datatilsynet eller de registrerte uten at dette er skriftlig avtalt med behandlingsansvarlig.

4.6 Sikkerhetsrevisjoner

Databehandler skal, på egenhånd eller ved en tredjepart, jevnlig foreta sikkerhetsrevisjoner på sine tekniske og organisatoriske tiltak, herunder for systemer og lignende som er relevant for behandlingen av personopplysninger omfattet av denne databehandleravtalen. Databehandler vil på bakgrunn av sikkerhetsrevisjonen utarbeide en rapport som vil bli gjort tilgjengelig for behandlingsansvarlig på forespørsel.

4.7 Bruk av underdatabehandlere

Dersom databehandler benytter underdatabehandlere, skal databehandler, i skriftlig avtale med enhver underdatabehandler, sikre at behandling av personopplysninger utført av underdatabehandler skal være underlagt de samme forpliktelser og begrensninger som de pålagt databehandler i henhold til denne databehandleravtalen.

Dersom databehandler planlegger å benytte underdatabehandler, skal databehandler skriftlig varsle behandlingsansvarlig én måned før ny underdatabehandler starter behandling av personopplysninger, og behandlingsansvarlig kan innen 14 dager fra mottatt varsel motsette seg endringen. Dersom behandlingsansvarlig motsetter seg endringen, vil Avtalen (inkludert databehandleravtalen) terminere én måned etter at databehandler mottok skriftlig varsel om den nye underdatabehandleren. Dersom behandlingsansvarlig ikke motsetter seg endringen, anses den nye underleverandøren akseptert.

Dersom Databehandler benytter underleverandør(er) utenfor EU/EØS («Tredjeland») for behandling av personopplysninger, må behandlingen skje i henhold til EU-US Privacy Shield, EUs standardavtaler for overføring til tredjeland eller annet akseptert og spesifikt angitt grunnlag for overføring til tredjeland.

5. Avslutning – retur av personopplysninger

Ved opphør av Avtalen skal databehandler slette alle personopplysninger innen 90 dager, med mindre

  • a) ny avtale, som beskrevet i Avtalens punkt 11, og ny databehandleravtale er inngått.
  • b) behandlingsansvarlig skriftlig har anmodet databehandler om å returnere alle personopplysninger til behandlingsansvarlig. I slikt tilfelle skal databehandler først returnere og deretter slette personopplysningene.
  • c) preseptorisk lovgivning forhindrer databehandler fra slik sletting.

6. Ansvar

Ansvar for brudd på denne databehandleravtalen eller gjeldende personvernlovgivning er underlagt de samme ansvarsbegrensninger som i Avtalen.