Databehandleravtale (DPA)

Denne databehandleravtalen ("Avtalen") er inngått mellom:

1. Behandlingsansvarlig: Brukeren av tjenesten Skrift.md ("Kunden")
2. Databehandler: Skrift.md EirSkrift AS, org.nr. [935865646] ("Leverandøren").

Ved å opprette konto og eksplisitt akseptere Avtalen anses den som inngått mellom partene.

1. Formål

Avtalen regulerer partenes rettigheter og plikter etter personvernforordningen (GDPR), personopplysningsloven, helseregisterloven, pasientjournalloven og "Norm for informasjonssikkerhet og personvern i helse- og omsorgstjenesten" (Normen). Den skal sikre at helse- og personopplysninger behandles lovlig, sikkert og i tråd med de registrertes (pasientenes) rettigheter.

2. Omfang og roller

• Kunden er behandlingsansvarlig for alle personopplysninger som behandles i Tjenesten.
• Leverandøren er databehandler og behandler opplysninger utelukkende på dokumenterte instrukser fra Kunden.

3. Behandlingens art, formål og varighet

4. Leverandørens forpliktelser

1. Instrukser: Behandle data kun på dokumenterte instrukser fra Kunden. Kunden kan utstede skriftlige tilleggsinstrukser (e‑post eller annet avtalt medium).
2. Konfidensialitet: Sørge for at ansatte og underleverandører har taushetsplikt.
3. Sikkerhetstiltak: Iverksette de tiltak som beskrevet i Vedlegg 1 og som oppfyller GDPR art. 32.
4. Assistanse: Bistå Kunden ved registrertes forespørsler, DPIA, forhåndsdrøfting og tilsynsmyndigheters henvendelser.
5. Varsling av brudd: Varsle Kunden uten ugrunnet opphold – og senest 24 t etter oppdagelse – i tråd med art. 33(3).
6. Underleverandører: Inngå skriftlig avtale og varsle Kunden skriftlig (via e-post til registrert e-postadresse) senest 30 dager før ny underleverandør tas i bruk. Kunden kan motsette seg endringen innen 14 dager fra varsel på saklig grunnlag. Dersom partene ikke oppnår enighet, kan Kunden si opp Avtalen med umiddelbar virkning.
7. Overføring til tredjeland: All primærbehandling skjer i EØS. Transkribering kjøres på egne servere i Europa. Ingen dataprosessering eller datalagring skjer utenfor EØS.
8. Revisjon & dokumentasjon: Gjøre tilgjengelig pen‑tester, ISO/SOC‑rapporter og tillate uavhengig revisjon.
9. Sluttbehandling: Slette eller tilbakeføre data innen 30 dager etter Avtalens opphør.
10. Forbud mot egne formål: Ingen KI‑trening eller annen bruk av pasientdata.
11. Innebygd personvern: Sikre at krav til innebygd personvern (privacy by design) og personvern som standardinnstilling (privacy by default) innfris i Leverandørens løsninger.
12. Forespørsler fra myndigheter: Umiddelbart varsle Kunden dersom Leverandøren mottar forespørsel fra politi- eller annen offentlig myndighet om å utlevere personopplysninger som er behandlet under Avtalen. Leverandøren skal ikke etterkomme en slik forespørsel uten skriftlig forhåndsgodkjenning fra Kunden, med mindre utleveringen er lov- eller rettslig pålagt.
13. Sporingslogg (Oppslagslogging): Loggføre tilgang til systemet og dataene under Avtalen (pålogginger, API-kall og administrative handlinger) slik at oppslag i Leverandørens systemer kan spores til den enkelte bruker, til støtte for Kundens plikter etter helsepersonelloven § 21a. Tilgang hos underleverandører er regulert gjennom databehandleravtaler, taushetsplikt og tilgangskontroller hos den enkelte underleverandør.

5. Kundens forpliktelser

1. Ha gyldig behandlingsgrunnlag og hente nødvendige samtykker (inkludert lydopptak).
2. Sørge for at innlagte opplysninger er korrekte.
3. Kvalitetssikre innhold generert av Tjenesten før journalføring; medisinsk ansvar ligger hos Kunden.
4. Håndtere registrertes krav om retting/sletting.
5. Dekke kostnader ved revisjon med mindre vesentlige avvik avdekkes.

6. Underleverandører (per 25. august 2026)

Leverandøren oppdaterer til enhver tid listen påskrift.md/dpa-subprocessors.

7. Revisjon

Kunden eller representert revisor kan én gang per 12‑månedersperiode gjennomføre revisjon med 30 dagers varsel. Før fysisk revisjon skal Leverandøren først fremskaffe tilgjengelig dokumentasjon. Fysisk revisjon gjennomføres innenfor normal kontortid og uten unødig forstyrrelse.

8. Ansvar og erstatning

Partenes ansvar følger GDPR art. 82. Direkte tap som skyldes grov uaktsomhet eller forsett kan kreves erstattet, begrenset til ett (1) års abonnementsvederlag pr. hendelse. Ansvarsbegrensningen gjelder ikke ved brudd på pkt. 4.5 eller 4.10.

9. Varighet og oppsigelse

Avtalen gjelder fra akseptdato og så lenge Kunden bruker Tjenesten. Den kan sies opp med 30 dagers varsel. Plikter som etter sin art varer utover oppsigelse (konfidensialitet, sletting/tilbakelevering, loggbevaring) består.

10. Lovvalg og verneting

Avtalen reguleres av norsk rett. Tvister som ikke løses i minnelighet, bringes inn for Sør‑Trøndelag tingrett.

Vedlegg 1 – Tekniske og organisatoriske sikkerhetstiltak

1. Tilgangskontroll

• Tilgang gis på grunnlag av need‑to‑know.
• All produksjonstilgang krever flerfaktorautentisering (MFA).
• Autentisering og autorisasjon loggføres sentralt.

2. Kryptering

• Data i transitt: TLS 1.2 eller høyere.
• Data i hvile: Alle journalnotater lagres med applikasjonsnivå-kryptering (AES‑256‑GCM) i databasen. Øvrig data er kryptert på disk-nivå.
• Krypteringsnøkler lagres sikkert i Secret Manager innenfor EØS.

3. Dataminimering og sletting

• Lydopptak slettes umiddelbart etter transkribering.
• Øktdata slettes automatisk av daglig rydderutine, senest 48 timer etter øktens start (jf. pkt. 3).
• Pseudonymiserte sikkerhetslogger lagres i 12 mnd.

4. Logging og overvåking

• Alle API‑kall, innlogginger og admin‑handlinger loggføres.
• SIEM og anomali‑deteksjon 24/7.

5. Håndtering av sikkerhetshendelser

• CSIRP følger ISO 27035.
• Kunden varsles i henhold til pkt. 4.5.

6. Business Continuity & Backup

• Daglige krypterte sikkerhetskopier av databasen i EØS (RPO inntil 24 timer).
• Mål for gjenoppretting av tjenesten (RTO): under 1 time. Full gjenoppretting av database fra sikkerhetskopi kan ta lengre tid.

7. Testing og revisjon

• Årlig ekstern penetrasjonstest.
• Kvartalsvise sårbarhetsskann.
• ISO 27001: styringssystemet for informasjonssikkerhet er innrettet etter prinsippene i standarden. Sertifiseringsstatus oppgis på forespørsel.

Versjon 2.2, oppdatert 25. august 2026