Databehandleravtale – Høytrykkjournal

Behandlingsansvarlig: virksomheten som inngår avtale om bruk av Høytrykkjournal. Kalles videre Kunden.

Databehandler:

Kalles videre Databehandleren.

Kontakt-e-post: kontakt@driftsjournal.no. Personvern-e-post: personvern@driftsjournal.no.

Avtalen regulerer Databehandlerens behandling av personopplysninger som skjer på vegne av Kunden ved bruk av Høytrykkjournal.

Databehandleren skal bare behandle personopplysninger:

• for å levere Høytrykkjournal
• i samsvar med denne avtalen
• på dokumenterte instrukser fra Kunden
• med mindre annen behandling følger av bindende lovkrav

Dersom Databehandleren må behandle opplysninger på grunn av lovkrav, skal Kunden informeres på forhånd dersom loven tillater det.

Behandlingen skjer for å levere Høytrykkjournal, og omfatter blant annet følgende formål:

• lagring av digital utstyrsjournal
• administrasjon av brukere og virksomhetstilknytning
• kontrollplaner og kontrollresultater
• vedlikeholds- og servicehistorikk
• avvik og oppfølging
• reparasjoner
• komponenthistorikk
• dokument- og vedleggslagring
• varsler
• QR-funksjoner
• eksport av journal

Behandlingen omfatter blant annet innsamling, registrering, strukturering, lagring, oppslag, visning, endring der funksjonen tillater det, eksport og sletting etter instruks eller policy.

Behandlingen varer så lenge Kunden har et aktivt kundeforhold og Databehandleren behandler personopplysninger på Kundens vegne. Etter oppsigelse gjelder den avtalte avviklings- og lagringsperioden.

Kunden gis normalt inntil 90 dager etter oppsigelse til å hente ut nødvendig dokumentasjon og data. Etter denne perioden skal data slettes fra den aktive løsningen, med mindre:

• Kunden har gitt annen dokumentert instruks
• videre lagring er nødvendig etter lov
• data midlertidig finnes i tekniske sikkerhetskopier som følger ordinær backup-syklus

Konkret backup-retensjon er fortsatt: Må verifiseres.

Personopplysningene kan gjelde blant annet:

• Kundens ansatte
• administratorer
• medlemmer og brukere av Høytrykkjournal
• personer som utfører kontroller
• serviceteknikere
• andre personer Kunden registrerer som utførende eller ansvarlige i journalen

Konto- og brukeropplysninger: navn, e-post, bruker-ID, rolle, virksomhetstilknytning og tidspunkt knyttet til konto og aktivitet.

Journalopplysninger: navn på person som har utført kontroll, kontrolltidspunkt, kommentarer, journalhistorikk og resultat per kontrollpunkt.

Avvik og tiltak: hvem som registrerte eller lukket avvik, tidspunkt, kommentarer og tiltak.

Reparasjoner og service: navn på utførende person, tidspunkt og beskrivelser av utført arbeid.

Vedlegg: personopplysninger som Kunden selv legger inn i bilder, PDF-er eller annen dokumentasjon.

Høytrykkjournal er ikke laget for behandling av særlige kategorier personopplysninger etter GDPR artikkel 9.

Kunden skal ikke registrere helseopplysninger eller andre særlige kategorier personopplysninger i Høytrykkjournal med mindre det foreligger særskilt grunnlag og dette er avtalt med Databehandleren.

Kunden er behandlingsansvarlig for personopplysninger Kunden registrerer i tjenesten, og er ansvarlig for blant annet:

• at behandlingen har gyldig behandlingsgrunnlag
• at registrerte får nødvendig informasjon
• at Databehandleren får lovlige og dokumenterte instrukser
• at bare nødvendige personopplysninger registreres
• at brukeradministrasjon og tilgang er korrekt
• at Kunden ikke registrerer opplysninger som ikke er relevante eller nødvendige

Kunden bestemmer formålet med sin journalføring.

Databehandleren skal:

• kun behandle opplysninger på dokumentert instruks fra Kunden
• sikre at personer med tilgang er underlagt taushets- og konfidensialitetsplikt
• gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak
• bistå Kunden med registrertes rettigheter
• bistå ved brudd på personopplysningssikkerheten
• bistå ved DPIA og forhåndsdrøftelser der dette er relevant og rimelig
• gjøre nødvendig informasjon tilgjengelig slik at Kunden kan dokumentere etterlevelse
• tillate rimelig revisjon i samsvar med avtalen

Disse pliktene skal samsvare med kravene i GDPR artikkel 28.

Databehandleren skal sikre at personer som er autorisert til å behandle personopplysningene, har forpliktet seg til konfidensialitet eller er underlagt en passende lovbestemt taushetsplikt.

Dette skal også gjelde relevante underdatabehandlere.

Tjenesten har blant annet følgende tiltak:

• autentisering av brukere ved innlogging
• tilgangskontroll i databasen
• virksomhetsisolasjon slik at data er knyttet til én virksomhet
• privat fillagring for vedlegg og dokumenter
• tilgang basert på virksomhetsmedlemskap
• rollebasert administrasjon (admin og medlem)
• ikke-gjettbare QR-token og invitasjonstoken
• separate virksomhetsdata og tilgangskontroll også ved direkte URL
• kryptert transport (HTTPS) der plattformen leverer dette
• begrenset tilgang til produksjonsdata
• tekniske drifts- og sikkerhetslogger

Ingen løsning kan garanteres å være fullstendig sikker. Tiltakene skal være egnede sett i forhold til risiko, og kan endres når tjenesten utvikles.

Lovable Cloud / Supabase brukes som sentral backend for blant annet database, autentisering, privat fillagring, tilgangskontroll og sentral applikasjonsdata.

Databasen er konfigurert i Frankfurt, EU (eu-central-1).

Her kan det behandles brukerdata, virksomhetsdata, journaldata, vedlegg, kontrollplaner, avvik, komponenthistorikk, varsler og invitasjoner.

Lovable brukes til hosting av webapplikasjonen, serverfunksjoner og teknisk drift.

Følgende er fortsatt Må verifiseres:

• geografisk behandlingssted
• enkelte underleverandører
• logg-retensjon
• eventuell behandling utenfor EØS

Disse punktene er ikke bekreftet, og skal ikke legges til grunn som sikre opplysninger før de er verifisert.

PDF-generering skjer lokalt i brukerens nettleser via jsPDF.

Journaldata sendes ikke til en ekstern PDF-tjeneste for å generere PDF-en. Dette er også angitt i Vedlegg 1 om underdatabehandlere og tekniske tjenester.

Databehandleren kan bruke underdatabehandlere når dette er nødvendig for å levere tjenesten.

Kunden gir med denne avtalen generell skriftlig godkjenning til bruk av underdatabehandlere. Databehandleren skal informere Kunden om planlagte vesentlige tillegg eller utskiftninger av underdatabehandlere, slik at Kunden får anledning til å protestere innen rimelig tid. Dette samsvarer med GDPR artikkel 28 nr. 2.

Foreløpig oversikt. Ubekreftede opplysninger er markert Må verifiseres.

PDF-generering skjer lokalt i brukerens nettleser og innebærer ingen ekstern PDF-leverandør. Betalingsløsning er ikke aktivert, og ingen betalingsleverandør behandler data i dag.

Navnet på leverandøren bak konto-e-post er ikke bekreftet og er derfor ikke oppgitt.

Horge Digital skal:

• holde oversikten over underdatabehandlere oppdatert
• varsle Kunden om vesentlige nye underdatabehandlere eller utskiftninger
• inngå avtaler med underdatabehandlere som pålegger tilsvarende personvernforpliktelser

Databehandleren forblir ansvarlig overfor Kunden for underdatabehandlerens oppfyllelse av forpliktelsene i samsvar med GDPR.

Personopplysninger skal ikke overføres til tredjeland uten gyldig overføringsgrunnlag etter personvernregelverket.

Dersom en underleverandør behandler data utenfor EØS, skal Databehandleren sørge for gyldig mekanisme, for eksempel adekvansbeslutning, EUs standard personvernbestemmelser (SCC) eller annet gyldig grunnlag.

Om slike overføringer faktisk skjer, er ikke bekreftet: Må verifiseres.

Databehandleren skal, så langt det er mulig og relevant, bistå Kunden med å håndtere forespørsler om innsyn, retting, sletting, begrensning, dataportabilitet og protest.

Databehandleren skal ikke svare på slike forespørsler på Kundens vegne uten instruks, med mindre loven krever det.

Dersom Databehandleren blir kjent med et brudd på personopplysningssikkerheten som berører Kundens personopplysninger, skal Kunden varsles uten ugrunnet opphold.

Varslingen skal, så langt informasjon er tilgjengelig, inneholde:

• hva som har skjedd
• hvilke data eller kategorier som kan være berørt
• forventede konsekvenser
• tiltak som er gjennomført eller planlegges gjennomført

Databehandleren skal, når behandlingens art tilsier det og innenfor rimelighetens grenser, bistå Kunden med risikovurdering, vurdering av personvernkonsekvenser (DPIA) og eventuell forhåndsdrøftelse med Datatilsynet.

Omfanget av bistanden, og eventuell særskilt bistand utover det som følger av avtalen, kan avtales særskilt mellom partene.

Databehandleren skal gjøre relevant informasjon tilgjengelig slik at Kunden kan kontrollere etterlevelsen av avtalen. Kunden kan be om dokumentasjon om sikkerhet, underdatabehandlere, behandlingssteder og relevante rutiner.

Revisjoner skal avtales på forhånd, gjennomføres på en måte som begrenser unødvendig belastning, og normalt først baseres på tilgjengelig dokumentasjon. Fysisk revisjon skal bare kreves når det er saklig nødvendig.

Dersom Databehandleren mener en instruks fra Kunden er i strid med GDPR eller annen relevant personvernlovgivning, skal Kunden informeres.

Databehandleren kan stanse den aktuelle behandlingen til forholdet er avklart dersom det er nødvendig.

Ved avslutning av databehandleroppdraget skal Kunden, innenfor tjenestens og lovens rammer, kunne velge å få relevante data tilbake eller eksportert, eller at personopplysningene slettes.

For Høytrykkjournal gjelder dagens operative policy:

• normalt inntil 90 dager for eksport etter oppsigelse
• deretter sletting fra den aktive løsningen
• data kan finnes i sikkerhetskopier til ordinær backup-syklus rydder dem

Dokumentert lovpålagt videre lagring går foran sletting der dette er relevant.

Fjerning av en brukerkonto betyr ikke nødvendigvis at alle historiske opplysninger om personen automatisk slettes fra Kundens journal.

Eksempel: «Utført av: Ola Nordmann» kan beholdes i en tidligere kontroll dersom Kunden har et legitimt og gyldig behov for å beholde dette som del av journalhistorikken.

Kunden er ansvarlig for behandlingsgrunnlaget. Databehandleren skal følge Kundens dokumenterte instruks innenfor lovens rammer.

Kunden kan lagre dokumenter og bilder i tjenesten.

Ved eksplisitt sletting av et vedlegg slettes det fra aktiv fillagring. Ved avslutning av kundeforholdet følger vedlegg ordinær slette- og eksportpolicy.

Horge Digital skal ikke bruke Kundens journaldata til markedsføring, profilering, salg til tredjeparter eller andre selvstendige formål uten separat gyldig behandlingsgrunnlag og nødvendig avtale.

Dette gjelder ikke nødvendige egne behandlinger som sikkerhet, drift, kundeadministrasjon og rettslige krav, der Horge Digital opptrer som egen behandlingsansvarlig for disse formålene.

Høytrykkjournal bruker per i dag ikke Kundens journaldata til AI-trening eller automatisk AI-analyse som del av tjenesten.

Denne avtalen gir ingen fullmakt til slik bruk. Dersom AI-funksjoner senere innføres og innebærer nye databehandlere eller nye formål, skal avtaleverket og personverninformasjonen vurderes og oppdateres før funksjonen tas i bruk.

Databehandleravtalen er et tillegg til de ordinære vilkårene for Høytrykkjournal.

Ved motstrid om behandling av personopplysninger skal personvernreglene i denne avtalen ha forrang. Øvrige forhold, blant annet ansvarsbegrensning, reguleres av hovedvilkårene.

Avtalen reguleres av norsk rett og personvernforordningen slik den gjelder i Norge.

Databehandleravtalen kan inngås elektronisk som del av Høytrykkjournal-avtalen. På sikt kan aksept dokumenteres gjennom registrering, abonnement, egen aksept eller annen elektronisk avtaleprosess.

I pilotfasen deles avtalen som offentlig tilgjengelig dokument på denne siden.

Formål: levere Høytrykkjournal og lagre Kundens digitale utstyrs- og vedlikeholdsjournal.

Varighet: kundeforholdets varighet, samt avtalt avviklingsperiode.

Registrerte: ansatte, brukere, serviceteknikere og andre personer Kunden registrerer.

Personopplysninger: navn, e-post, roller, journalopplysninger, utført-av-data, kommentarer, avviksopplysninger, dokumenter og vedlegg.

Behandlingsaktiviteter: lagring, visning, strukturering, søk, eksport, sikkerhetskopiering og sletting.

Bekreftede tiltak i løsningen:

• autentisering av brukere
• virksomhetsbasert tilgangskontroll
• rollemodell med admin og medlem
• privat fillagring for vedlegg
• virksomhetsisolasjon av data
• sikker tokenbruk for QR-koder og invitasjoner
• tilgangskontroll også ved direkte URL
• logging av tekniske feil og sikkerhetshendelser
• database i EU-regionen Frankfurt (eu-central-1)
• PDF-generering lokalt i brukerens nettleser

Følgende er Må verifiseres og er ikke dokumentert som bekreftet:

• backupfrekvens og backup-retensjon
• logg-retensjon
• detaljer om kryptering av lagrede data
• geografisk behandlingssted for hosting og serverfunksjoner

Det foreligger ingen ISO-sertifisering, SOC 2-rapport eller gjennomført penetrasjonstest, og slikt skal ikke oppgis som en del av tiltakene.