Databehandleravtale
Sist oppdatert 3. august 2026 · OVIT Consulting AS
Denne databehandleravtalen inngår som en del av avtalen mellom trafikkskolen («behandlingsansvarlig») og OVIT Consulting AS («databehandler»), og oppfyller kravene i GDPR artikkel 28.
1. Formål
Databehandler behandler personopplysninger utelukkende for å levere fagsystemet OBOK, og kun etter dokumenterte instrukser fra behandlingsansvarlig. Instruksene følger av avtalen, denne avtalen og bruken av tjenestens funksjoner.
2. Behandlingens art og omfang
| Forhold | Beskrivelse |
|---|---|
| Kategorier registrerte | Elever, verger, lærere og øvrige ansatte hos skolen |
| Kategorier opplysninger | Kontaktopplysninger, fødselsnummer, opplæringsdata, trinnvurderinger, betalingsopplysninger |
| Behandlingsaktiviteter | Lagring, strukturering, visning, uttrekk, overføring til Statens vegvesen og baneoperatør, sletting |
| Varighet | Så lenge avtalen løper, med etterfølgende sletting etter punkt 8 |
3. Databehandlers plikter
- Behandle opplysningene kun etter instruks fra behandlingsansvarlig.
- Sikre at alle med tilgang har taushetsplikt.
- Gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak, jf. GDPR art. 32.
- Bistå behandlingsansvarlig med å svare på henvendelser om innsyn, retting og sletting.
- Bistå ved avviksvarsling, personvernkonsekvensvurdering og forhåndsdrøfting.
- Gjøre tilgjengelig all dokumentasjon som er nødvendig for å vise etterlevelse.
4. Sikkerhetstiltak
- Kryptert overføring (TLS) og kryptert sikkerhetskopi.
- Rollebasert tilgangsstyring; hver skole ser kun egne data.
- Revisjonslogg på tilgang til og endring av opplæringsdata.
- Adskilte drifts- og testmiljøer; ekte personopplysninger brukes ikke i test.
- Daglig sikkerhetskopi med testet gjenoppretting.
5. Underleverandører
Behandlingsansvarlig gir generell godkjenning til bruk av underleverandører. Databehandler skal varsle minst 30 dager før nye underleverandører tas i bruk, slik at behandlingsansvarlig kan protestere. Gjeldende underleverandører:
| Underleverandør | Formål | Sted |
|---|---|---|
| OVIT Consulting AS | Drift av servere og lagring | Norge |
| Betalingsleverandør | Kortbetaling og fakturering | EØS |
6. Overføring utenfor EØS
Personopplysninger overføres ikke utenfor EØS. Skulle dette bli aktuelt, kreves forutgående skriftlig samtykke fra behandlingsansvarlig og gyldig overføringsgrunnlag.
7. Avvik
Databehandler varsler behandlingsansvarlig uten ugrunnet opphold, og senest innen 24 timer etter å ha blitt kjent med et brudd på personopplysningssikkerheten, med opplysninger om hva som har skjedd, hvilke opplysninger som er berørt og hvilke tiltak som er iverksatt. Behandlingsansvarlig er ansvarlig for melding til Datatilsynet.
8. Sletting ved opphør
Ved opphør av avtalen skal databehandler, etter behandlingsansvarliges valg, slette eller tilbakelevere alle personopplysninger. Data er tilgjengelig for eksport i 90 dager etter opphør, og slettes deretter — også fra sikkerhetskopier innen rimelig tid, med mindre lov krever fortsatt lagring.
9. Revisjon
Behandlingsansvarlig kan én gang i året, med minst 30 dagers varsel, kreve revisjon av databehandlers etterlevelse. Databehandler kan oppfylle dette ved å legge fram uavhengig revisjonsrapport.
10. Varighet
Avtalen gjelder så lenge databehandler behandler personopplysninger på vegne av behandlingsansvarlig.