Denne databehandleravtalen med vedlegg (heretter kalt «Databehandleravtalen») regulerer rettighetene og pliktene mellom den behandlingsansvarlige («Behandlingsansvarlig») og Noteless («Databehandler») (heretter kalt «Partene») har i henhold til forordning (EU) 2016/679 fra Europaparlamentet og Rådet av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger (personvernforordningen) (heretter kalt «GDPR») og eventuelle andre tilstøtende og relevante nasjonale juridiske forpliktelser som gjelder for partene («Gjeldende personvernlov»). Nasjonale retningslinjer, som for eksempel standarden for informasjonssikkerhet og personvern i norsk helsevesen (Norm for informasjonssikkerhet og personvern i helse- og omsorgssektoren versjon 7.0 - Helsedirektoratet, heretter kalt «Standarden») gjelder i den grad dette kreves av den behandlingsansvarlige.

• Databehandleravtalen gjelder levering av Noteless-tjenester i henhold til beskrivelsen, rettighetene og pliktene som er angitt i avtalen inngått av partene for levering av databehandlerens kommersielle tjenester til den behandlingsansvarlige («avtalen»). Beskrivelsen av behandlingen av personopplysninger er beskrevet i Vedlegg 1.

Ved konflikt eller avvik mellom bestemmelsene i databehandleravtalen og gjeldende personvernlovgivning, skal bestemmelsene i databehandleravtalen ha forrang med hensyn til hva som er tillatt ved lov å avtale mellom de involverte partene. Ved konflikt mellom databehandleravtalen og avtalen, skal databehandleravtalen gjelde.

Vedlegg til avtalen:

• Vedlegg 1: Formålet med behandling, data og behandlingsoperasjoner
• Vedlegg 2: Tiltak for informasjonssikkerhet
• Vedlegg 3: Underdatabehandlere

Formålet med databehandleravtalen er å sikre at behandlingen av personopplysninger som er nødvendig for å oppfylle formålet med avtalen skjer i samsvar med kravene i GDPR artikkel 28.

Begrepene «personopplysninger», «helseopplysninger», «behandling», «behandlingsansvarlig» og «dataansvarlig», «databehandler», «brudd på personopplysninger» og «helseopplysninger» skal forstås slik de er definert i GDPR.

Denne databehandleravtalen gjelder for all behandling av personopplysninger som utføres av databehandleren på vegne av den behandlingsansvarlige for å oppfylle forpliktelsene i avtalen.

Denne databehandleravtalen gjelder også for videre behandling av personopplysninger basert på eventuelle skriftlige avtaler mellom partene som inngås i løpet av databehandleravtalens løpetid, og som kan innebære at databehandleren behandler personopplysninger på vegne av den behandlingsansvarlige (heretter referert til som «etterfølgende skriftlige avtaler»).

Formålet med og varigheten av behandlingen av personopplysninger, hvilke personopplysninger som behandles, kategorier av registrerte og behandlingsaktiviteter er angitt i Vedlegg 1.

Den behandlingsansvarlige skal til enhver tid ha full kontroll over personopplysningene som behandles av databehandleren i henhold til denne databehandleravtalen. Med mindre annet er avtalt eller påkrevd i henhold til gjeldende personvernlovgivning, har den behandlingsansvarlige rett til å få tilgang til og innsyn i personopplysningene som behandles av databehandleren.

Den behandlingsansvarlige har rett og plikt til å bestemme formålene med behandlingen og gjennomføringsmidlene, som er fastsatt i Vedlegg 1.

Den behandlingsansvarlige skal overholde forpliktelsene som følger av personvernforskriftene, i henhold til artikkel 24 i GDPR, relevant helselovgivning og annen særlovgivning, samt denne databehandleravtalen.

Den behandlingsansvarlige er ansvarlig for å sikre at prinsippene for personvern overholdes, i samsvar med artikkel 5 i GDPR, og skal sørge for at behandlingen av personopplysninger er basert på et gyldig rettslig grunnlag.

Den behandlingsansvarlige skal skriftlig varsle databehandleren om eventuelle juridiske krav og andre krav som er relevante for behandlingen, inkludert krav som databehandleren identifiserer som relevante, uavhengig av om slike krav er en del av gjeldende personvernlovgivning. Den behandlingsansvarlige skal tydelig beskrive hva som kreves av databehandleren for å oppfylle slike krav og skal gi dokumenterte instruksjoner som beskriver hvordan behandlingen skal utføres for å overholde dem.

Databehandleren skal:

1. kun behandle personopplysninger i samsvar med den behandlingsansvarliges dokumenterte instruksjoner som angitt i denne databehandleravtalen. Databehandleren skal kun behandle personopplysningene på den måten og i den grad det er nødvendig for å oppnå formålet med avtalen som beskrevet i Vedlegg 1. Personopplysninger som databehandleren har tilgang til som følge av avtalen, kan ikke brukes til databehandlerens egne formål eller andre formål i databehandlerens interesse, med unntak av det som uttrykkelig er angitt i denne databehandleravtalen eller avtalen..
2. på forespørsel bistå den behandlingsansvarlige med å oppfylle sin forpliktelse til å svare på forespørsler fra registrerte i henhold til kapittel 3 i GDPR og varsle den behandlingsansvarlige uten unødig forsinkelse om forespørsler fra den registrerte.
3. bistå den behandlingsansvarlige med å sikre samsvar med artikkel 32 til 36 i GDPR, tatt i betraktning behandlingens art og informasjonen som er tilgjengelig for databehandleren.
4. gjøre tilgjengelig for den behandlingsansvarlige all nødvendig informasjon for å demonstrere samsvar med partenes forpliktelser i henhold til artikkel 28 og 32 i GDPR, og legge til rette for og bidra til revisjoner og inspeksjoner utført i regi av den behandlingsansvarlige eller tilsynsmyndighetene.
5. Databehandleren skal varsle den behandlingsansvarlige skriftlig om eventuelle brudd på personopplysningssikkerheten. Varslet skal inneholde informasjon som gjør det mulig for den behandlingsansvarlige å oppfylle sine forpliktelser i henhold til artikkel 33 og 34 i GDPR, forutsatt at databehandleren har slik informasjon. Varslet skal gis uten unødig forsinkelse etter at databehandleren ble oppmerksom på bruddet. Dersom det ikke er mulig for databehandleren å gi all relevant informasjon samtidig, kan informasjonen gis i etapper uten unødig forsinkelse.

Dersom instruksjoner som nevnt i (a) ovenfor medfører merkostnader for Databehandleren (etter Databehandlerens egen vurdering), skal Databehandleren gi varsel om dette til Behandlingsansvarlig, og Partene skal avtale eventuell tilleggsbetaling.

Bistand som nevnt i (c) og (d) ovenfor vil bli gitt til timepriser som er avtalt mellom partene, eller, dersom ikke annet er avtalt, til Databehandlerens gjeldende timepriser.

Databehandleren skal ikke under noen omstendigheter være pålagt å levere tilleggstjenestene i (a), (c) og (d) dersom den behandlingsansvarlige ikke samtykker i tilleggsbetalingene som angitt i de to avsnittene ovenfor.

Databehandleren skal varsle den behandlingsansvarlige skriftlig så snart som mulig dersom den har rimelig grunn til å tro at (i) en instruks fra den behandlingsansvarlige kan føre til at databehandleren bryter gjeldende personvernlovgivning, eller (ii) gjeldende lov i EØS krever at databehandleren behandler personopplysninger utover omfanget av den behandlingsansvarliges dokumenterte instruksjoner, med mindre slik gjeldende personvernlovgivning forbyr slik varsling.

Databehandleren skal implementere passende tekniske og organisatoriske sikkerhetstiltak for å beskytte personopplysningene mot utilsiktet eller ulovlig ødeleggelse, tap, endring, uautorisert utlevering eller tilgang. Databehandleren skal som et minimum implementere tiltakene som kreves i henhold til artikkel 32 i GDPR og i samsvar med anbefalingene i Normen.

Databehandlerens gjeldende sikkerhetstiltak er beskrevet i Vedlegg 2. Databehandler kan endre sine sikkerhetstiltak løpende, forutsatt at endringene ikke undergraver det overordnede sikkerhetsnivået beskrevet i Vedlegg 2. Ved endringer som påvirker det avtalte sikkerhetsnivået, skal disse varsles til behandlingsansvarlig og dokumenteres som endringer i databehandleravtalen.

Databehandlerens ansatte og andre som handler på databehandlerens vegne i forbindelse med behandling av personopplysninger i samsvar med denne databehandleravtalen, avtalen og senere skriftlige avtaler mellom partene, skal være underlagt taushetsplikt i samsvar med denne databehandleravtalen og gjeldende personvernlovgivning.

Personer som er autorisert til å behandle personopplysninger forplikter seg til å behandle opplysningene konfidensielt. Det samme gjelder eventuelle underleverandører eller underdatabehandlere.

Ansatte og andre som handler på vegne av databehandleren i forbindelse med behandling av personopplysninger, må ha signert en taushetserklæring. Bestemmelsen gjelder tilsvarende for underleverandører eller underdatabehandlere.

Databehandleren skal sørge for at alle som behandler personopplysninger i henhold til avtalen er kjent med taushetsplikten.

I tillegg har partene taushetsplikt om konfidensiell informasjon knyttet til hverandres virksomhet som formidles i forbindelse med oppdraget.

Partene plikter å ta nødvendige forholdsregler for å sikre at materiale eller informasjon ikke blir gjort kjent for andre i strid med dette kapitlet.

Taushetsplikten gjelder også etter at avtalen er opphørt.

Den behandlingsansvarlige gir databehandleren en generell fullmakt til å engasjere andre databehandlere («underdatabehandlere») til å utføre oppgaver i henhold til denne databehandleravtalen, forutsatt at avtaler inngås i samsvar med artikkel 28(4) i GDPR. Databehandleren er fullt ansvarlig overfor den behandlingsansvarlige for at underdatabehandleren oppfyller sine forpliktelser.

En oversikt over underdatabehandlere som brukes som en del av databehandlerens tjenester finnes i Vedlegg 3.

Databehandleren skal varsle den behandlingsansvarlige om eventuelle planer om å bruke nye underdatabehandlere eller erstatte underdatabehandlere, og dermed gi den behandlingsansvarlige muligheten til å protestere mot slike endringer. Dersom den behandlingsansvarlige ikke har protestert mot endringen innen 30 dager etter slikt varsel, skal det anses at endringen er akseptert. Dersom den behandlingsansvarlige protesterer mot endringen innen fristen, og databehandleren ikke med rimelighet kan fortsette behandlingen uten å implementere endringen, har den behandlingsansvarlige rett til å si opp avtalen, inkludert denne databehandleravtalen, med 30 dagers varsel.

Databehandleren skal ikke overføre personopplysninger til et tredjeland eller en internasjonal organisasjon, herunder gjennom bruk av underdatabehandlere, med mindre slik overføring (i) utføres på dokumenterte instruksjoner fra den behandlingsansvarlige eller (ii) er nødvendig på grunn av databehandlerens bruk av underdatabehandlere lokalisert i tredjeland som EU-kommisjonen har truffet en tilstrekkelighetsbeslutning for i samsvar med artikkel 45 i GDPR.

Enhver overføring av personopplysninger til tredjeland skal skje i samsvar med kravene i kapittel V i GDPR. Dersom databehandleren engasjerer en underdatabehandler lokalisert i et tredjeland som har en tilstrekkelighetsvedtak, skal slik overføring anses å være i samsvar med den behandlingsansvarliges instruksjoner, forutsatt at databehandleren har informert den behandlingsansvarlige om de relevante underdatabehandlerne i samsvar med denne avtalen.

Partenes ansvar for skader som påvirker den registrerte eller andre fysiske personer og som skyldes brudd på gjeldende personvernlovgivning, skal følge bestemmelsene i artikkel 82 i GDPR.

Enhver ansvarsbegrensning i avtalen gjelder også for ansvar som følger av artikkel 82 i GDPR.

Partene er hver for seg ansvarlige for eventuelle gebyrer for overtredelse som pålegges hver av dem i henhold til artikkel 83 i GDPR.

Databehandleren skal gjøre tilgjengelig for den behandlingsansvarlige informasjon som er nødvendig for å vise samsvar med denne databehandleravtalen og personopplysningsloven.

På forespørsel kan den behandlingsansvarlige få utlevert eventuelle revisjonsrapporter om personvern utarbeidet av tredjeparter på vegne av databehandleren. Den behandlingsansvarlige har rett til å presentere slike revisjonsrapporter for sine eksterne revisorer og tilsynsmyndigheter.

På forespørsel har den behandlingsansvarlige, gjennom en revisor eller lignende tredjepart som er underlagt taushetsplikt, rett til å gjennomføre revisjoner av databehandleren. Databehandleren skal også muliggjøre og bidra til revisjoner fra tilsynsmyndigheter. Anmodninger om revisjoner skal gis med minst 14 dagers varsel. Revisjoner kan ikke gjennomføres mer enn én gang i året, med mindre det kreves i henhold til personopplysningsloven.

Dersom en revisjon avdekker brudd på denne databehandleravtalen eller personopplysningsloven, skal databehandleren rette opp slike brudd innen rimelig tid.

Hver part dekker sine egne kostnader forbundet med en revisjon.

Denne databehandleravtalen gjelder så lenge databehandleren behandler personopplysninger på vegne av den behandlingsansvarlige i forbindelse med avtalen.

Den behandlingsansvarlige har rett til å si opp avtalen med fremtidig virkning dersom databehandleren bryter sine forpliktelser i denne databehandleravtalen eller forpliktelser knyttet til rollen som databehandler i henhold til GDPR.

Ved opphør av databehandleravtalen skal databehandleren, dersom den behandlingsansvarlige ber om det, slette alle personopplysninger og bekrefte overfor den behandlingsansvarlige at dette er gjort. Opphør av databehandleravtalen har virkning at avtalen opphører.

Databehandlerens forpliktelser ved opphør av avtalen er beskrevet nærmere i Vedlegg 1.

Formålet med behandling, data og behandlingsoperasjoner

Formålet med behandlingen:

Databehandleren skal behandle personopplysninger i den grad det er nødvendig for å oppnå formålet med avtalen. Behandlingen innebærer at databehandleren transkriberer samtalen som brukeren (som definert i avtalen) ønsker transkribert til et skriftlig notat, som brukeren kan redigere, kopiere og flytte til andre informasjonssystemer som en pasientjournal, og aggregert informasjon for dokumentutkast, forslag og evalueringer, dersom det er en del av tjenestene under avtalen, verktøyene som er ment å støtte behandlingsansvarlig i å ta beslutninger og utarbeide dokumenter. Formålet med behandlingen er å effektivisere og kvalitetssikre brukerens notatskriving og hjelpe brukeren med å fokusere sin oppmerksomhet på samtalepartneren uten å skrive ned hva som blir sagt under samtalen, og å støtte behandlingsansvarligs beslutningsprosess og bistå med dokumentutarbeidelse.

Behandlingsaktiviteter:

• Transkribering innebærer en rekke behandlingsaktiviteter.
• Konvertering av lyd til tekst: transkripsjon aktiveres ved starten av samtalen. Databehandleren overfører den innspilte lyden til programvare som bruker AI-teknologi for å konvertere lyd til tekst.
• Anonymisering av tekst: tekst som stammer fra konsultasjoner og dikteringer behandles gjennom et proprietært filtreringsverktøy som fjerner informasjon som vanligvis identifiserer enkeltpersoner, slik at den resulterende teksten ikke kan kobles direkte til bestemte personer. For opplastet dokumentasjon og innlimt tekst er anonymiseringen begrenset til personlige identifikasjonsnumre.
• Konvertering av anonymisert tekst til et medisinsk notat: samtalen konverteres til et strukturert notat som kan kopieres til andre profesjonelle systemer og redigeres av brukeren.
• Innsending av tekst og informasjon til AI-teknologi for å gi resultater knyttet til beslutningsstøtte, inkludert utarbeidelse av dokumenter, henvisningsinformasjon, sammendrag av pasientinformasjon, evalueringer og forslag.

Kategorier av de registrerte:

Personer som deltar i samtalen som transkriberes, samt eventuelle identifiserbare tredjeparter som er nevnt i samtalen.

Kategorier av persondata:

Navn og helseopplysninger som fremkommer i samtalen eller oppgis av behandlingsansvarlig på annen måte, inkludert brukerens vurderinger og anbefalinger.

Spesielle datakategorier: helsedata og muligens andre data definert som spesielle datakategorier i artikkel 9 i GDPR dersom slike data er inkludert i samtalen.

Omfanget av personopplysninger:

Informasjonsomfanget tilsvarer helseinformasjon fra antall konsultasjoner per bruker per dag.

Databehandlingens varighet: 

Behandlingen skal foregå så lenge Databehandleren behandler personopplysninger på vegne av den Behandlingsansvarlige i forbindelse med avtalen.

Sletting av personopplysninger:

• Genererte notater og utkast slettes automatisk én gang daglig, og det forutsettes at informasjon er overført til andre fagsystemer i samsvar med Brukerens dokumentasjonsplikt.
• All dokumentasjon og personopplysninger slettes innen 24 timer.
• Etter hvert som personopplysningene slettes, skal databehandleren henvise til den behandlingsansvarlige dersom den registrerte har henvendelser om tilgang til, korrigering eller sletting av informasjon.
• Den behandlingsansvarlige er eneansvarlig for videre behandling av personopplysninger som eventuelt overføres til andre systemer og pasientjournaler.
• Før AI-behandling av transkripsjoner anonymiseres direkte personlige identifikatorer som ikke er strengt nødvendige for at tjenesten skal fungere, for eksempel personlige identifikasjonsnumre og telefonnumre.

Oppsigelse av avtalen:

Ved opphør av databehandleravtalen skal databehandleren slette alle personopplysninger som behandles på vegne av den behandlingsansvarlige, med mindre oppbevaring er påkrevd i henhold til gjeldende lov. Som en del av databehandlerens standard systemdesign slettes pasientutskrifter, notater og lignende konsultasjonsdata automatisk innen 24 timer etter opprettelse.

Tiltak for informasjonssikkerhet

Følgende krav til informasjonssikkerhet er avtalt i tillegg til bestemmelsene i punkt 9 i databehandleravtalen.

Normen for informasjonssikkerhet i helse- og omsorgssektoren

Databehandleren må oppfylle relevante krav i Normen

Styringssystem/prosedyrer for behandling av personopplysninger

Databehandleren har et styringssystem for informasjonssikkerhet som sikrer at databehandleren på en systematisk og dokumentert måte implementerer og opprettholder hensiktsmessig informasjonssikkerhet i virksomheten i tråd med relevante krav og innenfor akseptabel risiko.

Sikkerhetsrevisjon

Databehandleren skal regelmessig gjennomføre interne revisjoner av informasjonssikkerheten. Dokumentasjonen skal være tilgjengelig for behandlingsansvarlig.

Sikring av data

Kundedata (som definert i avtalen) krypteres under transport og lagring for å sikre integritet og konfidensialitet. Kundedata lagres separat fra andre brukeres data. Pasientutskrifter, notater og relaterte konsultasjonsdata slettes automatisk innen 24 timer etter opprettelse som en del av databehandlerens standard systemdesign.

Tilgangsstyring

All tilgang og interaksjoner fra databehandleren skal loggføres. Tilgang skal begrenses til det som er nødvendig for å levere tjenestene.

For brukere med privilegert tilgang, uavhengig av om dette gir direkte tilgang til behandlingsansvarligs data, skal hver bruker være personlig tilpasset, strengt begrenset og kontrollert, og med tilhørende nødvendige sikkerhetstiltak.

Autentisering

All tilgang og bruk fra databehandlerens side krever innlogging og autentisering ved bruk av en tilstrekkelig og passende flerfaktorautentiseringsløsning.

Tiltak mot digitale angrep

Databehandleren har implementert sikkerhetstiltak for å beskytte mot cyberangrep, inkludert tjenestenektangrep og ondsinnet kode. Databehandleren bruker avanserte overvåkingssystemer for kontinuerlig å oppdage og raskt undersøke uvanlig eller mistenkelig aktivitet som kan indikere en sikkerhetshendelse.

Logging og sporbarhet

Databehandleren skal implementere logging som viser tilgang til den behandlingsansvarliges data dersom slik tilgang er relevant. Loggene skal sikres mot uautorisert tilgang, endring og sletting.

Tilgjengelighet

Databehandleren må ha en infrastruktur som sikrer kapasitet og tilgjengelighet i tråd med det avtalte tjenestenivået.

Data

Den behandlingsansvarliges data skal ikke brukes til testformål med mindre annet er skriftlig avtalt med den behandlingsansvarlige. Enhver anonymisering skal skje etter instruksjoner fra den behandlingsansvarlige. I tilfeller der den behandlingsansvarliges data brukes til testing etter avtale, skal de sikres på samme måte som produksjonsdata. Der produksjonsdata brukes til testformål, skal de slettes etter at testingen er fullført.

Sletting og tilbakelevering

Genererte notater slettes automatisk etter 24 timer. Databehandleren skal ha rutiner og tekniske løsninger for å sikre at alle data om den behandlingsansvarlige slettes eller returneres etter instruksjon fra den behandlingsansvarlige, eller ved opphør av databehandleravtalen. Dette inkluderer også data lagret på sikkerhetskopieringsmedier og logger.

Lagringstid

Databehandleren lagrer den behandlingsansvarliges data midlertidig og i høyst 24 timer etter at transkripsjonen fant sted.

Sikkerhetskopiering og gjenoppretting

Databehandleren skal ha gode rutiner for sikkerhetskopiering og gjenoppretting som testes regelmessig.

Kryptering ved lagring

Data krypteres når de lagres, og identifiserende egenskaper fjernes fra genererte notater som midlertidig lagres hos prosessoren.

Kryptering i kommunikasjon

Data må alltid krypteres i kommunikasjon i samsvar med NSM-spesifikasjoner.

Fysisk sikkerhet

Databehandleren skal ha tilstrekkelig fysisk sikkerhet der den behandlingsansvarliges data er tilgjengelige.

Sikkerhetsarkitektur

Databehandleren må skille data som tilhører ulike kunder. Databehandlerens egne data skal skilles fra kundenes data. Databehandleren skal ha prosedyrer på plass for å sikre at den behandlingsansvarliges data ikke overføres til andre selskaper med mindre dette er skriftlig avtalt med den behandlingsansvarlige.

Autorisasjonsregister – hvis aktuelt.

Databehandleren skal til enhver tid føre et oppdatert autorisasjonsregister for personell som er autorisert til å få tilgang til den behandlingsansvarliges informasjon og tjenester.

Underdatabehandlere

Den behandlingsansvarlige gir uttrykkelig databehandleren en generell skriftlig fullmakt til å samarbeide med underdatabehandlere.

En liste over underdatabehandlere som brukes av databehandleren til enhver tid er tilgjengelig på trust.noteless.com.

Dersom den behandlingsansvarlige motsetter seg bruken av en gitt underdatabehandler, skal partene i god tro diskutere den fortsatte bruken av denne.