Avtaletekster

Tjenesteavtale

Avtale mellom Arkivverket (organisasjonsnummer 961 181 399) og Avtalepartner.

Avtalebetingelsene i denne tjenesteavtalen («Avtalen») gjelder for Avtalepartnerens tilgang til og bruk av tjenesten Digitalarkivet («Tjenesten»).

1. Varighet

Avtalen varer fra tidspunktet for avtaleinngåelse og frem til en av partene sier opp Avtalen med minst tre måneders skriftlig varsel til den andre parten.

2. Bruksrett til Tjenesten, endringer

Avtalen gir Avtalepartneren rett til å bruke Tjenesten slik Tjenesten til enhver tid stilles til disposisjon av Arkivverket, jf. den til enhver tid siste versjon av Tjenestekatalogen, under Avtalens varighet. Dette innebærer å utnytte funksjonaliteten i Tjenesten til å laste opp det av Avtalepartnerens arkivmateriale som er egnet til opplasting i Tjenesten og til å gjøre dette tilgjengelig for publikum via Tjenesten. Avtalepartneren kan likevel benytte den klausulering og tilgangsstyring som Tjenesten til enhver tid gir muligheter for og på den måten begrense tilgangen til arkivmaterialet som Avtalepartneren gjør tilgjengelig i Tjenesten.

Utnyttelsen av Tjenesten må alltid skje i samsvar med det som følger av denne Avtalen. Avtalepartneren anerkjenner at Arkivverket til enhver tid kan gjøre endringer i Tjenesten. Arkivverket skal, så langt det er mulig, varsle om slike endringer på forhånd, og enhver endring skal dokumenteres i etterkant.

Arkivverket kan til enhver tid gjøre nødvendige endringer i Tjenesten. Slike endringer vil inntas i Tjenestekatalogen. Arkivverket skal varsle Avtalepartneren om slike endringer.

3. Vederlag

Digitalarkivet som plattform er i utvikling og per avtaletidspunktet en gratis løsning for våre Avtalepartnere.

En eventuell betalingsmodell for kostnader og drift av portalen vil vurderes i en senere fase. Ved eventuell endring av vederlaget skal Arkivverket gi Avtalepartneren minst tre måneders skriftlig varsel. Avtalepartneren kan velge å terminere Avtalen før plikt til å betale vederlag inntreffer.

4. Brukeradministrasjon

Arkivverket vil gi Avtalepartneren tilgang til Tjenesten og sørge for at Avtalepartneren kan opprette nye brukere med rettigheter til å laste opp innhold, redigere metadata, indeksere, publisere, avpublisere, klausulere og tilgangsstyre.

Avtalepartneren må sørge for at kun autoriserte brukere har tilgang til Tjenesten og frata personer tilgang, dersom autorisasjonen bortfaller. Avtalepartner skal holde Arkivverket kjent med de personer som til enhver tid skal ha tilgang til brukeradministrasjon. Rollen er nærmere beskrevet i Tjenestekatalogen punkt 3.

Avtalepartneren må selv skaffe seg utstyr og programvare til å koble seg til Tjenesten via Internett. Avtalepartneren må selv foreta opplasting av alt innhold som Avtalepartneren vil gjøre tilgjengelig i Tjenesten og kan ikke kreve at Arkivverket kopierer eller laster ned innhold for overføring til Avtalepartneren eller andre.

5. Personopplysninger

Bruk av Tjenesten innebærer at Arkivverket behandler personopplysninger på vegne av Avtalepartneren i den grad Avtalepartneren har lastet opp personopplysninger. Det følger derfor en databehandleravtale som vedlegg 1 til denne Avtalen. Databehandleravtalen ansees inngått når Avtalen er inngått.

6. Bruk av Tjenesten

Avtalepartneren og Avtalepartnerens brukere skal kun bruke Tjenesten i henhold til gjeldende lovregulering og bestemmelsene i denne Avtalen.

Avtalepartneren må selv forsikre seg om at de har lovlig adgang til å gjøre innholdet i materialet offentlig tilgjengelig eller tilgjengelig for en avgrenset krets gjennom bruk av klausulering og tilgangsstyring. Dette innebærer at Avtalepartneren forplikter seg til ikke å laste opp materiale som avtalepartneren ikke har lovlig adgang til å laste opp på grunn av krav eller rettigheter knyttet til:

Personvern
Taushetsplikt
Immaterielle rettigheter
Avtaler som Avtalepartneren selv er bundet av

Avtalepartneren – også dersom den er privat og ikke offentlig – forplikter seg til å ikke publisere fritt tilgjengelig opplysninger som i henhold til forskrift til offentleglova § 7 ikke skal gjøres tilgjengelige på Internett.

Arkivverket har laget en veileder for hva som kan publiseres fritt tilgjengelig på internett, som er tilgjengelig for Avtalepartneren.

Før Avtalepartneren tilgjengeliggjør arkivmateriale som er yngre enn 100 år, forplikter Avtalepartneren seg til å fylle ut og signere et skjema med arkivopplysninger og sende dette til Arkivverket. Forekommer fotografier av personer, skal egenerklæringsskjema med arkivopplysninger benyttes for arkivmateriale som er yngre enn 115 år. Arkivverket er ansvarlig for skjemaets utforming og gir på digitalarkivet.no anvisninger for hvordan skjemaet skal sendes til Arkivverket.

Arkivverket kan kreve at Avtalepartneren gjør innhold utilgjengelig, dersom Arkivverket vurderer at innholdet kan være i strid med andres rettigheter, som nevnt ovenfor.

Arkivverket forbeholder seg retten til å gripe inn og fjerne eller klausulere det aktuelle innholdet uten slikt forutgående varsel og vil i et slikt tilfelle varsle Avtalepartneren uten ugrunnet opphold.

7. Planlagt vedlikehold

Planlagt vedlikehold kan medføre stans eller redusert tilgjengelighet til Tjenesten. Arkivverket vil så langt det er mulig gi Avtalepartneren rimelig varsel om planlagt vedlikehold av Tjenesten dersom dette kan få betydning for tilgjengeligheten.

Stans eller redusert tilgjengelighet gir ikke rett til økonomisk kompensasjon.

8. Ansvar for feil

Arkivverket er ansvarlig for Tjenestens funksjon. Det er en feil dersom en funksjon i Tjenesten er utilgjengelig, en funksjon ikke virker som tiltenkt eller Tjenesten ellers ikke fungerer som tiltenkt. Uavhengig av årsak utløser feil ikke krav på erstatning.

Dersom Avtalepartneren blir klar over at en feil har oppstått skal Avtalepartneren straks varsle Arkivverket om feilsituasjonen. Dersom Arkivverket ber om det, skal Avtalepartneren, uten godtgjørelse, yte nødvendig bistand for å gjenskape eller identifisere feilen. Arkivverket står imidlertid fritt med hensyn til hvorvidt, hvordan og når feilen skal utbedres. 3

Avtalepartneren er selv ansvarlig for å holde sikkerhetskopi av ethvert innhold som lastes opp i Tjenesten. Arkivverket skal ikke holdes ansvarlig for innhold som går tapt fra Tjenesten. Avtalepartneren må i slike situasjoner selv laste opp innhold til erstatning for det innhold som er gått tapt.

Arkivverket er ansvarlig for å holde sikkerhetskopi av metadata og indekseringsdata som Avtalepartneren produserer i Tjenesten. Uavhengig av årsak utløser tap av metadata og indekseringsdata ikke krav på erstatning.

9. Suspensjon av Tjenesten

Arkivverket kan med umiddelbar virkning stenge eller suspendere Avtalepartnerens tilgang til Tjenesten hvis Avtalepartneren eller noen av Avtalepartnerens brukere misbruker Tjenesten, bruker Tjenesten utenfor dens tiltenkte formål eller dersom Avtalepartneren på annen måte er i vesentlig mislighold av sine forpliktelser under denne Avtalen. Arkivverket søker så langt det er praktisk mulig å informere Avtalepartneren om stenging eller suspendering.

10. Mislighold og erstatning

Arkivverket kan terminere Avtalen med umiddelbar virkning dersom Avtalepartneren er i vesentlig mislighold av sine forpliktelser under denne Avtalen.

Arkivverket kan kreve erstattet ethvert tap og kostnader (inkludert krav fra tredjeparter) som følger av Avtalepartnerens avtalebrudd, herunder tap som påføres Arkivverket som følge av at Tjenesten ikke brukes i samsvar med Avtalen.

Avtalepartneren aksepterer at den ikke har rett til å kreve erstatning for direkte eller indirekte tap som følge av Arkivverkets avtalebrudd. Denne begrensningen gjelder ikke dersom Arkivverket har opptrådt grovt uaktsomt eller forsettlig, og slikt ansvar ikke kan fraskrives under norsk rett.

11. Opphør av avtalen

Ved opphør av Avtalen skal Arkivverket fjerne alle rettigheter til bruk av Tjenesten fra alle brukerkontoer tilknyttet Avtalepartneren.

I løpet av oppsigelsestiden skal Arkivverket tilby Avtalepartneren en avtale om hva som skal skje med innhold som er lastet opp til Digitalarkivet, metadata og indekseringsdata som er produsert i Tjenesten, samt brukerkontoer. Dersom en slik avtale ikke er inngått innen 90 dager etter opphør av Avtalen, vil Arkivverket slette alt av innhold, metadata og indekseringsdata, samt brukerkontoer.

12. Taushetsplikt

I forbindelse med gjennomføringen av Avtalen vil partene kunne få tilgang til den andre parts konfidensielle informasjon. Partene er derfor forpliktet til å bevare taushet om denne typen opplysninger og sørge for at slike opplysninger kun er tilgjengelig for de ansatte som har behov for disse opplysningene. Taushetsplikten gjelder ikke opplysninger som ved nødvendighet må gis i forbindelse med utførelsen av partens plikter overfor hverandre. Taushetsplikten gjelder uten hensyn til om partene blir kjent med informasjonen muntlig eller via dokumenter. Dette gjelder også uavhengig av hvordan informasjonen er lagret.

Partene kan ikke benytte konfidensiell informasjon til andre formål enn i forbindelse med avtaleforholdet. Bestemmelsene ovenfor gjelder også etter at avtalen er opphørt.

13. Immaterielle rettigheter

Arkivverket beholder enhver immateriell rettighet til Tjenesten. Avtalepartneren mottar ingen lisens eller bruksrett til Tjenesten utover det som uttrykkelig kommer frem av denne Avtalen.

Avtalepartneren bevarer alle rettigheter til materialet som Avtalepartneren laster opp i Tjenesten. Avtalepartneren har alle rettigheter til metadata og indekseringsdata som Avtalepartneren produserer i Tjenesten.

14. Overdragelse av avtalen

Arkivverket har rett til å overdra denne avtalen til en annen juridisk person som følge av omstrukturering eller andre organisatoriske endringer. Avtalepartneren har ikke rett til å overdra denne avtalen til andre uten skriftlig forhåndssamtykke samtykke fra Arkivverket. Overføring av avtalen til andre i forbindelse med fusjoner, fisjoner og annen omorganisering regnes også som overdragelse i denne sammenheng. Bestemmelsen gjelder uavhengig om det ytes vederlag for overdragelsen eller ikke.

15. Lovvalg og verneting

Avtalen er underlagt norsk rett. Dersom det oppstår en tvist mellom Partene om tolkningen eller rettsvirkningene av avtalen, skal tvisten først søkes løst ved forhandlinger. Dersom slike forhandlinger ikke fører frem, kan hver av partene forlange tvisten avgjort med endelig virkning ved alminnelige domstoler. Partene vedtar Oslo tingrett som verneting.

16. Brukermedvirkning

Digitalarkivet som plattform er i utvikling, og Arkivverket inviterer alle Avtalepartnere til å bidra med innspill i utviklingen for å skape en mest mulig brukervennlig løsning for våre brukere. Vedlegg 1: Databehandleravtale

1. Bakgrunn og formål

Denne databehandleravtalen fastsetter partenes rettigheter og plikter, for å sikre at all behandling av personopplysninger behandles i henhold til gjeldende lovgivning om behandling av personopplysninger, inkludert EU-forordning 2016/679 («GDPR») og dens implementering i norsk lov.

Avtalepartneren er behandlingsansvarlig, og Arkivverket er databehandler under denne databehandleravtalen. Alle begreper i denne databehandleravtalen skal forstås på lignende måte som definerte begreper i GDPR.

Dersom Avtalepart er databehandler for en behandlingsansvarlig bekreftes det i og med denne avtalen at den behandlingsansvarlige er kjent med og har bekreftet at Avtaleparten kan inngå denne databehandleravtalen med Arkivverket jf. personvernforordningens art. 28 nr. 2.

2. Beskrivelse av behandlingen

Formålet med behandlingen av personopplysninger er Avtalepartnerens tilgang til og bruk av Tjenesten under Avtalen.

Behandlingen av personopplysninger omhandler følgende kategorier av registrerte:

a) Personer som er registrert som brukere i Digitalarkivet, herunder ansatte, innleid personell og frivillige tilknyttet Avtalepartneren.
b) Personer som er nevnt i arkivmaterialet som lastes opp i Tjenesten.

Behandlingen av personopplysninger omhandler følgende kategorier av personopplysninger og/eller spesielle personopplysninger:

a) For personer nevnt under punkt a) i foregående avsnitt: Navn, e-postadresse, passord, IP-adresse, rettigheter.
b) For personer nevnt under punkt b) i foregående avsnitt: Enhver kategori av personopplysninger.

3. Behandlingsansvarliges plikter

Behandlingsansvarlig bekrefter at behandlingsansvarlig:

a) har tilstrekkelig behandlingsgrunnlag for behandling av personopplysninger, og behandler disse i tråd med gjeldende lovregulering,
b) har rett til å la databehandler behandle personopplysningene,
c) har ansvaret for nøyaktigheten, integriteten, innholdet, påliteligheten og lovligheten av personopplysningene,
d) skal implementere tilstrekkelige tekniske og organisatoriske tiltak for å sikre og demonstrere overholdelse av gjeldende lovgivning om behandling av personopplysninger.
e) har plikt til å melde avvik til aktuelle tilsynsmyndigheter og eventuelt til de registrerte i henhold til gjeldende lovgivning.

3.1 Egenerklæringsskjema for arkivopplysninger

Arkivverket har laget et skjema Avtalepartneren må fylle ut ved opplasting av materiale på digitalarkivet.no. Behandlingsansvarlig vil i dette skjema informere om et arkiv som lastes opp på digitalarkivet.no inneholder personopplysninger, kategorier/type personopplysninger og eventuelle immaterielle rettigheter arkivet kan inneholde.

4. Databehandlers forpliktelser

4.1 Restriksjoner for behandling

Databehandler skal bare behandle personopplysninger på, og i samsvar med dokumenterte instrukser fra behandlingsansvarlig, med mindre databehandler er:

a) forpliktet til å behandle personopplysninger i henhold til gjeldende lov. I så tilfelle skal databehandleren informere behandlingsansvarlig om dette før behandlingen, med mindre loven forbyr slik informasjon av hensyn til allmenne interesser.
b) forpliktet til slik behandling for å overholde sine forpliktelser overfor behandlingsansvarlig etter at avtalen er opphørt. I så tilfelle skal bestemmelsene i denne databehandleravtalen fortsette å gjelde inntil behandlingen er avsluttet.
c) Utøver rettigheter til slike begrensninger i publisering og tilgjengeliggjøring som er lagt til Arkivverket i tjenesteavtalen.

4.2 Informasjonssikkerhet

Databehandler skal ved planlagte, systematiske, organisatoriske og tekniske tiltak sikre tilstrekkelig informasjonssikkerhet med hensyn til konfidensialitet, integritet, og tilgjengelighet i forbindelse med behandling av personopplysninger i samsvar med bestemmelser om informasjonssikkerhet i gjeldende lovgivning om behandling av personopplysninger, herunder GDPR artikkel 32.

Databehandler skal sikre at kun autoriserte ansatte har tilgang til materialet som blir lastet opp av brukerne.

4.3 Henvendelser fra de registrerte

Tatt i betraktning arten av behandlingen, skal Databehandler implementere tekniske og organisatoriske tiltak for å bistå. Behandlingsansvarlig med å svare på henvendelser angående utøvelse av de registrertes rettigheter.

4.4 Kompensasjon

Databehandler kan etter skriftlig forutgående avtale kreve kompensasjon for sin bistand etter punkt 4.3 over.

4.5 Avvik og avviksmeldinger

Enhver bruk av informasjonssystemene og personopplysninger i strid med etablerte rutiner, instrukser fra behandlingsansvarlig eller gjeldende lovgivning om behandling av personopplysninger, så vel som sikkerhetsbrudd, skal behandles som avvik.

Databehandler skal ha rutiner og systematiske prosesser for å følge opp avvik, som skal inkludere reetablering av normaltilstanden, eliminasjon av årsaken til avviket, og hindre gjentagelse.

Databehandler skal umiddelbart varsle behandlingsansvarlig om:

a) ethvert brudd på denne databehandleravtalen,
b) utilsiktet, ulovlig eller uautorisert tilgang, bruk eller utlevering av personopplysninger,
c) at personopplysninger kan ha blitt kompromittert, eller
d) brudd på personopplysningenes integritet.

Databehandler skal gi behandlingsansvarlig nødvendig bistand og all informasjon nødvendig for å sette behandlingsansvarlig i stand til å overholde gjeldende lovgivning om behandling av personopplysninger og sette behandlingsansvarlig i stand til å besvare henvendelser fra relevante tilsynsmyndigheter.

Det er behandlingsansvarlig sitt ansvar å melde avvik til Datatilsynet i henhold til gjeldende lovgivning. Databehandler skal ikke melde avvik til Datatilsynet eller de registrerte uten at dette er skriftlig avtalt med behandlingsansvarlig, men vil underrette den Behandlingsansvarlige etter å ha fått kjennskap til eventuelt brudd på personopplysningssikkerheten.

4.6 Sikkerhetsrevisjoner

Databehandler skal, på egenhånd eller ved en tredjepart, jevnlig foreta sikkerhetsrevisjoner på sine tekniske og organisatoriske tiltak, herunder for systemer og lignende som er relevant for behandlingen av personopplysninger omfattet av denne databehandleravtalen. Databehandler vil på bakgrunn av sikkerhetsrevisjonen utarbeide en rapport som vil bli gjort tilgjengelig for behandlingsansvarlig på forespørsel.

4.7 Bruk av underdatabehandlere

Dersom databehandler benytter underdatabehandlere, skal databehandler, i skriftlig avtale med enhver underdatabehandler, sikre at behandling av personopplysninger utført av underdatabehandler skal være underlagt de samme forpliktelser og begrensninger som de pålagt databehandler i henhold til denne databehandleravtalen.

Dersom databehandler planlegger å benytte underdatabehandler, skal databehandler skriftlig varsle behandlingsansvarlig én måned før ny underdatabehandler starter behandling av personopplysninger, og behandlingsansvarlig kan innen 14 dager fra mottatt varsel motsette seg endringen. Dersom behandlingsansvarlig motsetter seg endringen, vil Avtalen (inkludert databehandleravtalen) terminere én måned etter at databehandler mottok skriftlig varsel om den nye underdatabehandleren. Dersom behandlingsansvarlig ikke motsetter seg endringen, anses den nye underleverandøren akseptert.

Dersom Databehandler benytter underleverandør(er) utenfor EU/EØS («Tredjeland») for behandling av personopplysninger, må behandlingen skje i henhold til EU-US Privacy Shield, EUs standardavtaler for overføring til tredjeland eller annet akseptert og spesifikt angitt grunnlag for overføring til tredjeland.

5. Avslutning – retur av personopplysninger

Ved opphør av Avtalen skal databehandler slette alle personopplysninger innen 90 dager, med mindre

a) ny avtale, som beskrevet i Avtalens punkt 11, og ny databehandleravtale er inngått.
b) behandlingsansvarlig skriftlig har anmodet databehandler om å returnere alle personopplysninger til behandlingsansvarlig. I slikt tilfelle skal databehandler først returnere og deretter slette personopplysningene.
c) preseptorisk lovgivning forhindrer databehandler fra slik sletting.

6. Ansvar

Ansvar for brudd på denne databehandleravtalen eller gjeldende personvernlovgivning er underlagt de samme ansvarsbegrensninger som i Avtalen.