Databehandleravtale for Eik

Sist oppdatert 23. oktober 2026 · Gjelder programvaren Eik / Eik HMS.

Dette er Barn-Nett AS’ standard databehandleravtale for Eik. Avtalen er en del av Standardvilkår for Eik, se punkt 20.4 der om hvordan den inngås. Kunder som ønsker et signert eksemplar, kan be Leverandøren om det. Se også Standardvilkår for Eik og Underdatabehandleroversikt for Eik.

1. Bakgrunn, formål og avtalens omfang

Denne databehandleravtalen («Avtalen») er inngått mellom Kunden som behandlingsansvarlig og Barn-Nett AS som databehandler («Leverandøren»). Avtalen regulerer Leverandørens behandling av personopplysninger på vegne av Kunden i forbindelse med levering, drift, vedlikehold, sikkerhet og brukerstøtte knyttet til programvaren Eik («Tjenesten»). Dersom Kundens abonnement omfatter Eik HMS KI, omfatter Tjenesten også KI-funksjonene i dette produktet. Kunden kan når som helst be Leverandøren deaktivere Eik HMS KI for Kundens konto. Sletting skjer da etter Bilag C.4.

Avtalen gjelder for all behandling av personopplysninger som Leverandøren utfører på grunnlag av partenes hovedavtale om Tjenesten («Hovedavtalen») og eventuelle senere skriftlige avtaler som innebærer behandling av personopplysninger på vegne av Kunden.

Ved motstrid mellom denne Avtalen og Hovedavtalen skal denne Avtalen ha forrang i den utstrekning det er nødvendig for å oppfylle ufravikelige krav etter personopplysningsloven og personvernforordningen.

2. Den behandlingsansvarliges rettigheter og plikter

Kunden er ansvarlig for å sikre at behandlingen av personopplysninger skjer i samsvar med gjeldende personvernregelverk, herunder at det foreligger gyldig behandlingsgrunnlag, at informasjonsplikter oppfylles, og at registrertes rettigheter håndteres på en lovlig og forsvarlig måte.

Kunden har rett og plikt til å bestemme formålene med behandlingen og de vesentlige hjelpemidlene som skal benyttes. Kundens dokumenterte instrukser fremgår av denne Avtalen, Hovedavtalen, bilagene og av skriftlige instrukser eller bestillinger som senere gis innenfor rammene av Tjenesten.

Kunden er videre ansvarlig for egne rolle- og tilgangsoppsett, egne sluttbrukeres bruk av Tjenesten, samt for å påse at personopplysninger som legges inn i Tjenesten er nødvendige og relevante. Fritekstfelt og opplastede filer i Tjenesten er ikke ment for registrering av unødvendige personopplysninger, og brukerne skal oppfordres til å unngå å registrere personopplysninger i slike felt med mindre dette er nødvendig for Kundens lovlige bruk av Tjenesten. Dersom Kunden registrerer særlige kategorier personopplysninger eller andre særlig beskyttelsesverdige opplysninger i fritekst eller opplastede filer, er Kunden ansvarlig for at dette er nødvendig og lovlig.

Dersom Leverandøren ikke lenger tilbyr tilstrekkelige garantier for lovlig behandling av personopplysninger, kan Kunden kreve forholdet rettet og i alvorlige tilfeller stanse eller si opp den aktuelle behandlingen i samsvar med Hovedavtalen og ufravikelig lovgivning.

3. Databehandleren handler etter instrukser

Leverandøren skal bare behandle personopplysninger etter dokumenterte instrukser fra Kunden, med mindre behandling er påkrevd etter unionsrett eller norsk rett. I så fall skal Leverandøren informere Kunden om det rettslige grunnlaget før behandlingen, med mindre slik informasjon er forbudt.

Leverandøren har ikke selvstendig råderett over personopplysningene og skal ikke bruke dem til egne formål.

Leverandøren skal behandle personopplysninger i samsvar med dokumenterte instrukser fra Kunden slik disse følger av denne Avtalen, Hovedavtalen, bilagene og senere skriftlige instrukser som ligger innenfor rammene av Tjenesten og gjeldende personvernregelverk. Leverandøren er ikke forpliktet til å etterkomme instrukser som faller utenfor Tjenestens avtalte funksjonalitet, avtalte sikkerhetsnivå, dokumenterte behandlingsformål eller øvrige rammer etter Hovedavtalen. Instrukser som forutsetter særskilt utvikling, endret løsningsdesign, nye integrasjoner, manuelle særprosesser eller annet vesentlig merarbeid, krever særskilt skriftlig avtale om gjennomføring, tidsplan og eventuelt vederlag, og kan faktureres etter gjeldende betingelser i Hovedavtalen.

4. Konfidensialitet og tilgang

Leverandøren skal sikre at personer som er autorisert til å behandle personopplysninger, er underlagt taushetsplikt eller tilsvarende bindende konfidensialitetsforpliktelser.

Tilgang til personopplysninger skal være begrenset til personer som har tjenstlig behov for slik tilgang for å levere, drifte, sikre eller støtte Tjenesten. Tilganger skal tildeles og fjernes etter fastsatte rutiner.

På forespørsel skal Leverandøren kunne redegjøre for hvordan konfidensialitetsforpliktelser og tilgangsstyring er organisert.

5. Sikkerhet ved behandlingen

Leverandøren skal gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er passende sett hen til risikoen, jf. personvernforordningen artikkel 32.

De sikkerhetstiltak som på avtaletidspunktet anses relevante for Tjenesten, fremgår av Bilag C. Leverandøren kan oppdatere eller endre slike tiltak over tid, forutsatt at det samlede sikkerhetsnivået ikke vesentlig reduseres.

Kunden kan be om kundespesifikke sikkerhetstiltak. Tiltak som går ut over Tjenestens ordinære sikkerhetsnivå eller som medfører merkostnader, krever særskilt skriftlig avtale.

Leverandøren skal uten ugrunnet opphold varsle Kunden om forhold som etter Leverandørens rimelige vurdering medfører en vesentlig endring i risikobildet for behandlingen.

6. Bruk av underdatabehandlere

Kunden gir ved inngåelsen av Avtalen en generell forhåndsgodkjennelse til at Leverandøren kan benytte underdatabehandlere som angitt i Bilag B eller i Leverandørens til enhver tid oppdaterte underdatabehandlerliste for Tjenesten.

Leverandøren skal varsle Kunden om planlagte endringer i underdatabehandlere eller behandlingssted med rimelig forhåndsvarsel, normalt minst 30 dager før endringen trer i kraft, slik at Kunden kan fremsette innsigelser.

Dersom Kunden har saklig grunn til å motsette seg endringen, skal partene søke en kommersielt rimelig løsning. Dersom slik løsning ikke oppnås og den aktuelle underdatabehandleren er nødvendig for videre levering av den berørte tjenesten, kan Kunden si opp den berørte delen av leveransen med virkning fra endringstidspunktet.

Leverandøren skal sikre at underdatabehandlere pålegges personvernforpliktelser som i det vesentlige svarer til forpliktelsene i denne Avtalen. Leverandøren er ansvarlig for sine underdatabehandleres oppfyllelse av slike forpliktelser.

7. Overføring til tredjeland

Leverandøren skal ikke overføre personopplysninger til land utenfor EØS uten at det foreligger gyldig overføringsgrunnlag etter gjeldende personvernregelverk.

Dersom tredjelandsoverføring skjer gjennom underdatabehandlere eller tekniske underleverandører, skal Leverandøren sikre at relevant overføringsgrunnlag og hovedkategorier av supplerende tekniske, organisatoriske og kontraktsmessige tiltak fremgår av Bilag B eller av Leverandørens oppdaterte underdatabehandlerinformasjon.

Leverandøren skal på forespørsel gjøre tilgjengelig oppdatert informasjon om hvilke underdatabehandlere som kan innebære overføring eller tilgang fra land utenfor EØS, hvilke land eller regioner som kan være relevante, hvilket overføringsgrunnlag som benyttes, og hvilke hovedkategorier av supplerende tiltak som etter Leverandørens vurdering er relevante for den aktuelle behandlingen. Slik informasjon kan gis gjennom Bilag B, Leverandørens standard underdatabehandlerinformasjon eller henvisning til offentlig tilgjengelig leverandørdokumentasjon.

8. Bistand til den behandlingsansvarlige

Under hensyn til behandlingens art og den informasjon som er tilgjengelig for Leverandøren, skal Leverandøren i rimelig utstrekning bistå Kunden med å oppfylle plikter knyttet til registrertes rettigheter, sikkerhet ved behandlingen, melding om brudd på personopplysningssikkerheten, vurdering av personvernkonsekvenser og eventuelle forhåndsdrøftelser med tilsynsmyndighet.

Dersom Leverandøren mottar en henvendelse direkte fra en registrert som gjelder personopplysninger omfattet av denne Avtalen, skal Leverandøren uten ugrunnet opphold videresende henvendelsen til Kunden, med mindre Leverandøren er rettslig forpliktet til å svare. Leverandøren skal ikke besvare materielle krav om innsyn, retting, sletting, begrensning eller dataportabilitet på egne vegne uten instruks fra Kunden.

Leverandørens ordinære bistand omfatter normalt tilgjengelig standarddokumentasjon, funksjoner i Tjenesten, ordinære eksportmuligheter og rimelig supportbistand. Særskilt bistand som krever manuelle undersøkelser, særskilte rapporter, eksport i spesialformat, juridiske vurderinger, utvikling eller omfattende kundespesifikk tilrettelegging, kan faktureres etter gjeldende timepriser i Hovedavtalen, med mindre behovet skyldes forhold som Leverandøren har risikoen for. Dersom slik bistand forventes å være fakturerbar, skal Leverandøren så langt praktisk mulig varsle Kunden om dette før arbeidet igangsettes.

9. Brudd på personopplysningssikkerheten

Dersom Leverandøren blir kjent med et brudd på personopplysningssikkerheten som gjelder personopplysninger omfattet av denne Avtalen, eller forhold som etter en innledende vurdering sannsynligvis utgjør et slikt brudd, skal Leverandøren varsle Kunden uten ugrunnet opphold og normalt innen 24 timer etter at Leverandøren ble kjent med forholdet.

Varslet kan gis trinnvis etter hvert som relevant informasjon avklares. Leverandøren skal så langt mulig beskrive bruddets art, berørte kategorier data og registrerte, sannsynlige konsekvenser og planlagte eller iverksatte tiltak.

Leverandøren er ikke forpliktet til å varsle om forhold som etter rimelig undersøkelse viser seg ikke å innebære et brudd på personopplysningssikkerheten, men kan likevel gjøre dette dersom forholdet er egnet til å ha betydning for Kunden.

10. Dokumentasjon, verifikasjon og revisjon

Leverandøren skal på forespørsel gjøre tilgjengelig den informasjon som med rimelighet er nødvendig for å påvise at Leverandøren oppfyller forpliktelsene etter denne Avtalen. Dette kan oppfylles gjennom egenerklæringer, sikkerhetsbeskrivelser, revisjonssammendrag, sertifiseringer, standardiserte spørreskjemaer eller annen relevant dokumentasjon.

Kunden kan normalt ikke kreve mer enn én ordinær revisjon per tolvmånedersperiode. Ytterligere revisjon kan kreves dersom det foreligger saklig grunn knyttet til vesentlig avvik, alvorlig sikkerhetshendelse eller bindende pålegg fra tilsynsmyndighet.

Kunden kan ikke kreve innsyn i informasjon som utgjør forretningshemmeligheter, informasjon om andre kunder, interne sikkerhetsdeteksjonsregler eller annen informasjon som det ikke er saklig nødvendig å få tilgang til for å verifisere overholdelse av denne Avtalen. Leverandøren kan oppfylle kontrollformålet ved å fremlegge sladdede rapporter, sammendrag, egenerklæringer eller annen dokumentasjon som gir et tilstrekkelig verifikasjonsgrunnlag.

Ordinær revisjon skal som hovedregel gjennomføres ved dokumentgjennomgang, standardiserte revisjonsrapporter, sertifiseringer, spørreskjemaer eller fjernrevisjon. Stedlig revisjon kan bare kreves dersom mindre inngripende kontrollformer ikke gir et tilstrekkelig verifikasjonsgrunnlag.

Revisjon skal varsles med minst 20 arbeidsdager, gjennomføres i ordinær arbeidstid og uten unødig forstyrrelse av Leverandørens drift. Kunden skal benytte egne ansatte eller en uavhengig tredjepart som er underlagt taushetsplikt og som ikke er konkurrent til Leverandøren.

Kunden bærer egne kostnader og dekker Leverandørens rimelige dokumenterte kostnader ved revisjon og oppfølging, med mindre revisjonen avdekker et vesentlig avtalebrudd fra Leverandørens side.

Leverandøren skal gi Datatilsynet og annen kompetent tilsynsmyndighet tilgang til nødvendig informasjon i den utstrekning dette følger av lov.

11. Varighet, tilbakelevering og sletting

Avtalen gjelder fra den er inngått og så lenge Leverandøren behandler personopplysninger på vegne av Kunden under Hovedavtalen.

Ved opphør av Tjenesten skal Leverandøren, etter Kundens valg, enten: (i) gjøre personopplysningene tilgjengelige for tilbakelevering gjennom Tjenestens ordinære eksportfunksjoner eller standard eksportformat, eller (ii) slette personopplysningene. Kunden skal gi skriftlig instruks om tilbakelevering eller sletting innen utløpet av eventuell avviklingsperiode.

Dersom Kunden ikke har gitt skriftlig instruks innen fristen, kan Leverandøren slette personopplysningene i samsvar med denne bestemmelsen, etter å ha gitt Kunden rimelig forhåndsvarsel. Leverandøren er ikke forpliktet til å levere kundespesifikk migrering, transformering eller bistand utover ordinære eksportmuligheter uten særskilt avtale.

Sletting fra aktive systemer skal skje uten ugrunnet opphold etter utløpet av relevant avviklingsperiode. Sletting fra sikkerhetskopier skjer i henhold til Leverandørens ordinære backup-sykluser og senest innen 365 dager etter sletting fra aktive systemer, med mindre lengre oppbevaring følger av ufravikelig lovgivning. Dersom direkte sletting fra delt infrastruktur ikke er teknisk mulig, skal opplysningene i mellomtiden være logisk isolert og utilgjengelige for annen behandling enn nødvendig sikkerhetsgjenoppretting.

Leverandøren kan oppbevare personopplysninger i den utstrekning dette følger av ufravikelig lovgivning. På skriftlig forespørsel skal Leverandøren bekrefte at sletting er gjennomført i samsvar med denne bestemmelsen.

12. Ansvar og øvrige kontraktsbestemmelser

Partenes ansvar etter denne Avtalen reguleres av ansvarsbestemmelsene i Hovedavtalen. Denne Avtalen etablerer ikke et videregående eller ubegrenset kontraktsansvar utover det som følger av ufravikelig lovgivning.

Lovvalg, verneting, varslingspunkter og øvrige generelle kontraktsbestemmelser i Hovedavtalen gjelder tilsvarende for denne Avtalen så langt de passer.

Endringer i denne Avtalen skal være skriftlige. Bilag kan oppdateres skriftlig av partenes kontaktpersoner når dette følger av avtalt prosess, for eksempel ved oppdatering av underdatabehandlerliste eller kontaktpunkter.

13. Kontaktpunkter og meldinger

Partene skal utpeke kontaktpersoner for personvern- og sikkerhetsspørsmål. Kontaktpunktene fremgår av Bilag D.

Instrukser, varsel om sikkerhetsbrudd, innsigelser mot underdatabehandlere, avklaringer om sletting/tilbakelevering og andre meldinger etter denne Avtalen skal sendes til de avtalte kontaktpunktene eller til annen dokumentert kanal som partene skriftlig har avtalt.

Bilag A – Beskrivelse av behandlingen

Bilag B – Underdatabehandlere og behandlingssted

1. Generelt

Leverandøren kan benytte underdatabehandlere for å levere, drifte, vedlikeholde, sikre og støtte Tjenesten.

Oppdatert informasjon om godkjente underdatabehandlere fremgår av Leverandørens publiserte underdatabehandleroversikt for Tjenesten, tilgjengelig på url: https://hjelp.eik.no/hc/no/articles/26421193258012.

Kunden kan abonnere på oppdateringer av den publiserte underdatabehandleroversikten. Når oversikten er publisert i Leverandørens Zendesk-hjelpesenter, kan Kunden benytte hjelpesenterets abonnementsfunksjon for å motta e-postvarsel ved endringer på siden.

Oversikten utgjør en del av avtalegrunnlaget for denne Avtalen.

Den publiserte oversikten skal minst angi:

a) navn på underdatabehandler,

b) funksjon/formål,

c) primær behandlingslokasjon for ordinær behandling, og

d) om tilgang eller behandling utenfor EØS kan forekomme.

Dersom personopplysninger overføres til eller gjøres tilgjengelig fra land utenfor EØS, skal dette være basert på gyldig overføringsgrunnlag etter gjeldende personvernregelverk. Der relevant skal den publiserte underdatabehandleroversikten eller annen oppdatert underdatabehandlerinformasjon fra Leverandøren også angi hvilke land eller regioner som kan være relevante for slik tilgang eller behandling, hvilket overføringsgrunnlag som benyttes, og hovedkategorier av supplerende tiltak.

2. Hovedkategorier av underdatabehandlere

Leverandøren benytter per avtaletidspunktet underdatabehandlere innen følgende kategorier:

• hosting og infrastruktur
• e-post og transaksjonsmeldinger
• SMS- og meldingstjenester
• support og saksbehandling
• KI-tjenester (språkmodeller, søk og tale-til-tekst) for kunder med Eik HMS KI

3. Oppdatering

Bilag B og den publiserte underdatabehandleroversikten kan oppdateres i samsvar med Avtalens bestemmelser om bruk og endring av underdatabehandlere, behandlingssted og eventuell tredjelandsoverføring.

Bilag C – Dokumenterte instrukser, sikkerhetstiltak og operative prosedyrer

C.1 Dokumenterte instrukser

Leverandørens dokumenterte instrukser består av: (i) denne Avtalen med bilag, (ii) Hovedavtalen og avtalte tjenestebeskrivelser, (iii) Kundens konfigurasjon og ordinære bruk av Tjenesten, og (iv) senere skriftlige instrukser eller bestillinger som ligger innenfor rammene av Tjenesten.

Kunden skal ikke sende mer personopplysninger til brukerstøtte eller andre støttekanaler enn det som er nødvendig for å beskrive og løse saken.

C.2 Tekniske og organisatoriske sikkerhetstiltak

De beskrevne tiltakene gjelder for Tjenestens standardarkitektur og ordinære leveransemodell, og kan variere noe mellom moduler, integrasjoner, underliggende infrastrukturtjenester og kundespesifikke konfigurasjoner, forutsatt at det samlede sikkerhetsnivået ikke vesentlig reduseres.

C.3 Bistand til den behandlingsansvarlige

Leverandøren skal i den grad det er mulig og rimelig bistå Kunden med å oppfylle plikter etter personvernforordningen kapittel III og artiklene 32–36. Bistanden skal tilpasses behandlingens art, Tjenestens standardfunksjonalitet og den informasjon som faktisk er tilgjengelig for Leverandøren.

Krav om særskilte rapporter, manuelle oppslag, eksport i spesialformat, juridiske vurderinger eller kundespesifikke prosesser er ikke inkludert i ordinær bistand med mindre annet er avtalt. Dersom slik bistand forventes å være fakturerbar, skal Leverandøren så langt praktisk mulig varsle Kunden om dette før arbeidet igangsettes.

C.4 Oppbevaringsperiode og sletteprosedyrer

Personopplysninger i aktive systemer oppbevares så lenge Kunden bruker Tjenesten og i eventuell avtalt avviklingsperiode. Deretter slettes eller tilbakeleveres opplysningene i samsvar med punkt 11.

Sletting fra sikkerhetskopier skjer etter Leverandørens ordinære backup-sykluser og senest innen 365 dager etter sletting fra aktive systemer, med mindre lengre oppbevaring følger av ufravikelig lovgivning. Der direkte sletting ikke er teknisk mulig i delt infrastruktur, gjøres opplysningene logisk isolert og utilgjengelige for annen behandling enn nødvendig sikkerhetsgjenoppretting inntil de overskrives eller fjernes på annen forsvarlig måte.

For Eik HMS KI gjelder i tillegg:

• Samtaler med KI-assistenten, inkludert bildevedlegg: brukeren kan slette dem selv. De slettes automatisk ett år etter siste melding og senest 35 dager etter at Eik HMS KI opphører for Kunden.
• Søkeindeks: slettes når elementet slettes i Tjenesten, og i sin helhet når Eik HMS KI opphører for Kunden eller Kundens data slettes.
• Bruksregistrering uten innhold (tidspunkt, bruker, kunde, tokenforbruk og kostnad): oppbevares i fem år som fakturagrunnlag.
• Underdatabehandleren lagrer ikke forespørsler eller svar, utover innhold som automatisk flagges som mulig misbruk og lagres midlertidig for gjennomgang innenfor EØS. Lydopptak lagres ikke etter transkribering.

C.5 Prosedyrer for revisjon og verifikasjon

Leverandøren skal gjennomføre regelmessige interne eller eksterne vurderinger av informasjonssikkerheten. Resultater kan gjøres tilgjengelig for Kunden i form av egenerklæringer, sammendrag, rapportutdrag eller annen dokumentasjon som kan gjenbrukes overfor flere kunder.

Dersom Kunden ber om særskilt revisjon, skal prosessen følge punkt 10 i Avtalen. Dokumentgjennomgang og fjernrevisjon skal alltid vurderes før stedlig revisjon.

Bilag D – Kontaktpunkter og andre avtaleforhold

Endringslogg