Databehandleravtale

Versjon 2026-10-20. Bygger på KS' standardmal for databehandleravtale (versjon 2.0), tilpasset Origo.

mellom

Skoleeier — kommunen, fylkeskommunen eller den private skoleeieren for skolen avtalen signeres for (navn og organisasjonsnummer registreres ved signering) Behandlingsansvarlig

og

Karlsens Origo, org.nr. 938 094 276, Solbrå 2B, 2322 Ridabu Databehandler

1. Om avtalen

Denne databehandleravtalen (heretter «Avtalen») regulerer rettigheter og plikter mellom Behandlingsansvarlig og Databehandler (heretter «partene») etter gjeldende personvernlovgivning, herunder lov om behandling av personopplysninger av 15. juni 2018 nr. 38 (personopplysningsloven) og EUs personvernforordning 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger (heretter «personvernforordningen»).

Ved motstrid mellom Avtalens regulering og de rammer som følger av personvernforordningen eller annen relevant lovgivning, viker Avtalens regulering.

2. Definisjoner

Begrepene «personopplysninger», «behandling», «behandlingsansvarlig», «databehandler» og «brudd på personopplysningssikkerhet» skal forstås slik de er definert i personvernforordningen artikkel 4.

«Avvik»: brudd på personopplysningssikkerhet og bruk av informasjonssystemet i strid med fastlagte rutiner.

«Origo»: nettjenesten Origo på origo-app.no, som Databehandler leverer.

«Elevopplysningene»: den delen av Origo der en lærer registrerer elevene i klassene sine, slik det er beskrevet i Origos personvernerklæring for elevopplysninger på origo-app.no/personvern/elever.

3. Avtalens bakgrunn og formål

Origo selges til den enkelte lærer. Læreren er ansatt hos Behandlingsansvarlig, og bruker Elevopplysningene i arbeidet sitt. Opplysningene om elevene som læreren registrerer er Behandlingsansvarliges opplysninger, og Databehandler behandler dem på vegne av Behandlingsansvarlig.

Denne Avtalen er inngått mellom partene og skisserer de generelle vilkårene for den behandlingen av personopplysninger som Databehandler utfører på vegne av Behandlingsansvarlig.

Formålet med Avtalen er å sikre behandlingen av personopplysninger på vegne av Behandlingsansvarlig slik at personopplysningene ikke brukes ulovlig eller urettmessig, og slik at opplysningene ikke behandles på måter som fører til uautorisert tilgang, endring, sletting, skade, tap eller utilgjengelighet.

4. Omfang

Avtalen gjelder all behandling av elevopplysninger som Databehandler foretar når en lærer ansatt hos Behandlingsansvarlig bruker Elevopplysningene i Origo.

Lærerens registreringer i Elevopplysningene regnes som Behandlingsansvarliges dokumenterte instruks om behandling. Tjenesten er beskrevet i Origos salgsvilkår (origo-app.no/salgsvilkar) og i personvernerklæringen for elevopplysninger (origo-app.no/personvern/elever). I tilfelle konflikt mellom denne Avtalen og de dokumentene, skal denne Avtalen gjelde.

Avtalen gjelder i tillegg for ytterligere behandling av personopplysninger basert på eventuelle senere skriftlige avtaler mellom partene som innebærer at Databehandler behandler personopplysninger på vegne av Behandlingsansvarlig (heretter «senere skriftlige avtaler mellom partene»).

Personopplysninger skal kun benyttes til de formålene som følger av denne Avtalen og senere skriftlige avtaler mellom partene, i den utstrekning det er strengt nødvendig for å levere tjenesten.

5. Behandlingens formål, opplysninger og behandlinger

Formålet med behandlingen er å la læreren holde oversikt over elevene i klassene sine i undervisningen: klasselister, klassekart og timeplan.

Følgende personopplysninger behandles:

Ingen andre elevopplysninger behandles under denne Avtalen. Origo avviser kontaktopplysninger, fødselsdato, fritekstnotater om eleven, helseopplysninger og andre særlige kategorier av personopplysninger ved lagring, ikke bare i skjermbildet.

Følgende kategorier av personer behandles det opplysninger om (registrerte):

Følgende behandlinger omfattes av Avtalen:

Behandlingsansvarlig har rett til å bestemme hvilke hjelpemidler som kan benyttes i behandlingen.

6. Rammene for behandling av personopplysninger

Databehandler skal bare behandle personopplysningene basert på dokumenterte instrukser fra Behandlingsansvarlig. Databehandler skal varsle Behandlingsansvarlig om instrukser og rutiner som Databehandler mener innebærer brudd på gjeldende lovgivning om behandling av personopplysninger.

Behandlingsansvarlig har til enhver tid full rådighet over de personopplysningene som Databehandler har anledning til å behandle etter denne Avtalen. Databehandler har ikke selvstendig råderett over personopplysningene, og kan ikke behandle disse til egne formål.

Behandlingsansvarlig har, med mindre annet er avtalt eller følger av lov, rett til tilgang til og innsyn i personopplysninger som behandles på vegne av Behandlingsansvarlig hos Databehandler.

7. Behandlingsansvarliges plikter

Behandlingsansvarlig skal etterleve de forpliktelsene som fremkommer av personopplysningsloven, personvernforordningen og annen særlovgivning, samt denne Avtalen.

8. Databehandlers plikter

Databehandler forplikter seg til å behandle personopplysninger kun i samsvar med relevant lov og regelverk, denne Avtalen, Behandlingsansvarliges dokumenterte instruksjoner og andre gjeldende avtaler mellom partene. Databehandler skal ikke ved noen handling eller unnlatelse sette Behandlingsansvarlig i en slik situasjon at Behandlingsansvarlig bryter noen bestemmelse i gjeldende lov og regelverk.

Databehandler skal ikke:

• behandle personopplysninger for andre formål eller i større grad enn det som følger av denne Avtalen og eventuelle senere skriftlige avtaler mellom partene;
• behandle personopplysninger utover det som er nødvendig for å oppfylle Databehandlers forpliktelser i henhold til de til enhver tid gjeldende avtaler;
• utlevere, overlate eller overføre personopplysninger i noen form på eget initiativ med mindre det er avtalt på forhånd med Behandlingsansvarlig eller Behandlingsansvarlig har godkjent dette skriftlig;
• samle inn fra eller overføre personopplysninger til en tredjepart;
• behandle personopplysninger de får tilgang til gjennom oppdraget fra Behandlingsansvarlig på annen måte enn hva som er angitt i denne Avtalen og eventuelle senere skriftlige avtaler mellom partene.

Databehandler skal:

• ha et internkontrollsystem som dekker alle behandlingsaktiviteter utført på vegne av Behandlingsansvarlig;
• gi Behandlingsansvarlig tilgang til og innsyn i personopplysninger som behandles hos Databehandler;
• dersom det er påkrevd etter personvernforordningen artikkel 30 nr. 5, føre og vedlikeholde en oversikt over alle opplysninger og behandlinger, eller dersom det er relevant, protokoll over sine egne behandlingsaktiviteter i henhold til personvernforordningen artikkel 30 nr. 2;
• treffe alle rimelige tiltak for å sikre at personopplysningene til enhver tid er korrekte og oppdaterte;
• ha rutiner for å slette informasjon når den ikke lenger er nødvendig ut fra formålet med behandlingen, og slette informasjon i henhold til fastsatte rutiner og retningslinjer;
• ha rutiner for og teknisk mulighet til å begrense behandlingen av den registrertes personopplysninger dersom den registrerte ønsker det med hjemmel i gjeldende lovgivning;
• påse at samtlige personer som gis tilgang til personopplysninger som behandles på vegne av Behandlingsansvarlig er kjent med denne Avtalen og gjeldende avtaler mellom partene, og er underlagt disse avtalenes bestemmelser;
• i rimelig utstrekning og så langt det er mulig gi Behandlingsansvarlig nødvendig bistand slik at Behandlingsansvarlig kan oppfylle sine forpliktelser overfor de registrerte;
• så langt det er mulig og hensyntatt behandlingens art, samarbeide med og bistå Behandlingsansvarlig ved oppfyllelse av de registrertes rettigheter, herunder å svare på anmodninger fra den registrerte med henblikk på å utøve sine rettigheter fastsatt i personvernforordningen kapittel III;
• omgående underrette Behandlingsansvarlig dersom Databehandler mener at en instruks er i strid med personvernforordningen eller andre bestemmelser om vern av personopplysninger;
• hensyntatt behandlingens art, bistå Behandlingsansvarlig for å sikre overholdelse av forpliktelsene i personvernforordningen artiklene 35–36 om vurdering av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet. Ved vurderinger av personvernkonsekvenser plikter Databehandler å vurdere sikkerhetstiltak som kan bidra til å redusere risikoen behandlingen medfører for de registrerte.

Databehandlers bistand i forbindelse med ovennevnte skal gjøres kostnadsfritt dersom ikke annet er avtalt.

9. Tekniske, organisatoriske og sikkerhetsmessige tiltak

Databehandler plikter å treffe og gjennomføre alle nødvendige og adekvate planlagte og systematiske tekniske, organisatoriske og sikkerhetsmessige tiltak, slik at det til enhver tid er tilfredsstillende informasjonssikkerhet ved behandling av personopplysninger.

Databehandler skal:

• etablere og etterkomme nødvendige tekniske og organisatoriske tiltak med hensyn til vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet ved behandling av personopplysninger, for å sikre tilfredsstillende informasjonssikkerhet i henhold til personvernforordningen artikkel 32. Dette omfatter blant annet nødvendige tiltak for å forhindre tilfeldig eller ulovlig ødeleggelse eller tap av data, ikke-autorisert tilgang til eller spredning av data, så vel som enhver annen bruk av personopplysninger som ikke er i overensstemmelse med denne Avtalen, og tiltak for å gjenopprette tilgjengelighet og tilgang til opplysningene ved hendelser;
• ha gode og hensiktsmessige internkontrollrutiner;
• ha rutiner for autorisasjon og styring som sikrer at bare de som har reelt behov for tilgang til systemer og opplysninger for å levere tjenesten får slik tilgang, og trekke tilbake tilganger som ikke lenger gjelder;
• etablere nødvendige systemer og rutiner for å ivareta informasjonssikkerheten, blant annet rutiner for avviksmelding, og på forespørsel gi Behandlingsansvarlig tilgang til relevant sikkerhetsdokumentasjon;
• avdekke, registrere, rapportere og lukke avvik knyttet til informasjonssikkerhet, herunder loggføre og dokumentere ethvert forsøk på ikke-autorisert tilgang og andre brudd på personopplysningssikkerheten. Slik dokumentasjon skal oppbevares hos Databehandler;
• ved mistanke om eller konstatering av avvik, omgående varsle Behandlingsansvarlig. I varselet opplyses avviket med forklaring om årsak, tidsrom og tidspunktet avviket ble oppdaget, kategoriene av og omtrentlig antall registrerte som er berørt, kategoriene av og omtrentlig antall registreringer av personopplysninger som er berørt, kontaktpunkt der mer informasjon kan innhentes, antatte konsekvenser av avviket og hvilke umiddelbare tiltak som er igangsatt eller vurderes igangsatt for å håndtere avviket;
• dokumentere ethvert avvik, herunder de faktiske forhold knyttet til avviket, dets virkninger og eventuelle iverksatte utbedringstiltak;
• omgående varsle Behandlingsansvarlig ved uautorisert utlevering av personopplysninger;
• registrere all tilgang til elevopplysninger slik at oppslag kan spores til den enkelte bruker. Loggen beholdes i inntil 60 måneder;
• bistå Behandlingsansvarlig med å sikre overholdelse av forpliktelsene i personvernforordningen artiklene 32–34, det vil si sikkerhet ved behandlingen, melding til tilsynsmyndigheten om brudd på personopplysningssikkerheten, og underretning av den registrerte om brudd på personopplysningssikkerheten;
• i forbindelse med sikkerhetsrevisjon som utføres av Behandlingsansvarlig eller en tredjepart utpekt av Behandlingsansvarlig, framlegge rutiner, sikkerhetsarkitektur, risiko- og sårbarhetsvurderinger med tiltak og andre dokumenter av betydning for revisjonen. Behandlingsansvarlig eller den Behandlingsansvarlig utpeker kan utføre tilsyn ved behov for å sikre at Avtalen overholdes;
• varsle Behandlingsansvarlig om alle forhold som medfører endring i risikobildet for behandling av personopplysningene;
• innhente godkjenning fra Behandlingsansvarlig før gjennomføring av enhver endring av databehandlingen hos Databehandler som har eller kan ha betydning for informasjonssikkerheten.

Konkrete tiltak i Origo: elevopplysninger er kryptert under overføring og ved lagring hos underleverandøren; tilgang til en klasses elever krever at læreren har rollen ved skolen og tilgang til klassen; alle oppslag i elevopplysninger logges; feilrapporter som sendes til underleverandøren for feilovervåking renses for personopplysninger før de forlater Origo, og de anonyme økttellingene som sendes dit, har verken sideadresse, bruker-id eller IP-adresse.

Ved brudd på denne Avtalen, på personvernforordningen, personopplysningsloven eller annen relevant lovgivning kan Behandlingsansvarlig kreve endringer i behandlingsmåten eller pålegge Databehandler å stoppe den videre behandlingen av opplysningene med øyeblikkelig virkning.

Databehandler skal dokumentere sine rutiner og alle tiltak truffet for å oppfylle kravene angitt ovenfor. Denne dokumentasjonen skal på forespørsel gjøres tilgjengelig for Behandlingsansvarlig.

10. Bruk av underleverandør

Behandlingsansvarlig tillater at Databehandler benytter underleverandører for oppfyllelse av forpliktelsene under Avtalen. Databehandler benytter underleverandørene angitt i Vedlegg 2 for de der angitte tjenestene, og bekrefter at ingen andre underleverandører benyttes. Databehandler skal ikke engasjere andre underleverandører enn de som er nevnt i Vedlegg 2 uten at dette på forhånd er skriftlig godkjent av Behandlingsansvarlig.

Databehandler skal:

• sikre at underleverandøren påtar seg tilsvarende forpliktelser som Databehandler under Avtalen og gjeldende lovgivning;
• sørge for at underleverandører kun behandler personopplysninger i samsvar med denne Avtalen og ikke i større utstrekning enn det som er nødvendig for å levere den aktuelle tjenesten;
• holde en oppdatert liste over identiteten og den stedlige plasseringen til underleverandørene, som angitt i Vedlegg 2;
• gjennomføre en risikovurdering av bruk av underleverandør og betydningen for tjenesten før det inngås avtale med underleverandør, og på Behandlingsansvarliges forespørsel dele vurderingen med Behandlingsansvarlig;
• på Behandlingsansvarliges forespørsel legge frem kopi av avtalene som er inngått med underleverandørene (med unntak av merkantile betingelser). Slike avtaler skal være inngått før underleverandørene starter med behandling av personopplysninger;
• underrette Behandlingsansvarlig om eventuelle planer om å benytte andre underleverandører eller skifte ut underleverandører. Slike bytter skal varsles i god tid, slik at Behandlingsansvarlig gis mulighet til å motsette seg endringen. Ved bytte av underleverandør oppdateres Vedlegg 2 på den offentlige avtalesiden, og Behandlingsansvarliges kontaktperson varsles;
• sikre at Behandlingsansvarlig og tilsynsmyndighetene har samme rett til innsyn og kontroll med behandling av personopplysninger hos en underleverandør som Behandlingsansvarlig har overfor Databehandler etter Avtalens punkt 13;
• ved opphør av Avtalen sikre at underleverandører oppfyller plikten til å slette alle personopplysningene og alle eventuelle kopier og sikkerhetskopier, som angitt i Avtalens punkt 14, på samme måte som Databehandler, så langt det ikke strider mot andre lovbestemmelser.

Databehandler er til enhver tid fullt ut ansvarlig overfor Behandlingsansvarlig for alt arbeid som utføres av underleverandører og for underleverandørenes etterlevelse av bestemmelsene i denne Avtalen.

Tilgang til personopplysninger for tredjeparter krever konkret avtale utover denne Avtalen mellom partene, for alle andre enn Databehandlers underleverandører.

11. Overføring av personopplysninger til utlandet

Personopplysningene som behandles under denne Avtalen lagres og behandles innenfor EU/EØS, hos underleverandørene angitt i Vedlegg 2. Databehandler bekrefter at ingen av underleverandørene overfører personopplysninger som omfattes av denne Avtalen til land utenfor EU/EØS, med unntak for slike overføringer som er angitt i Vedlegg 2. Dette omfatter også fjerntilgang fra utlandet.

Bruk av underleverandører som overfører personopplysninger til land utenfor EU/EØS (tredjeland) skal avtales skriftlig med Behandlingsansvarlig på forhånd. Ved overføring av personopplysninger til tredjeland skal Databehandler benytte godkjente EU-overføringsmekanismer.

Ved overføring til utlandet, uavhengig av om det er innenfor eller utenfor EU/EØS, skal Databehandler gi nødvendig dokumentasjon om sikkerhet, risiko og etterlevelsesnivå knyttet til aktuelle underleverandører, slik at Behandlingsansvarlig får nødvendig informasjon for å kunne gjennomføre en særskilt risikovurdering. Behandlingsansvarlig kan nekte samtykke til den aktuelle overføringen basert på spesifikke risikoer som fremkommer av Behandlingsansvarliges egen risikovurdering.

12. Taushetsplikt

Databehandlers ansatte og andre som opptrer på Databehandlers vegne i forbindelse med behandling av personopplysninger i henhold til denne Avtalen og senere skriftlige avtaler mellom partene (heretter «personer som er autorisert til å behandle personopplysningene»), er underlagt taushetsplikt etter denne Avtalen og gjeldende regelverk. Personer som er autorisert til å behandle personopplysningene forplikter seg til å behandle opplysningene fortrolig. Det samme gjelder eventuelle underleverandører.

Databehandler skal påse at alle som behandler personopplysninger under Avtalen er kjent med taushetsplikten.

Ansatte og andre som opptrer på Databehandlers vegne i forbindelse med behandling av personopplysninger skal ha undertegnet taushetserklæring. Bestemmelsen gjelder tilsvarende for underleverandører.

Partene har i tillegg taushetsplikt om konfidensiell informasjon knyttet til hverandres virksomhet som er formidlet i forbindelse med oppdraget, herunder konfidensiell informasjon Behandlingsansvarlig eller tredjepart får tilgang til i forbindelse med revisjon etter Avtalens punkt 13.

Partene plikter å ta de forholdsregler som er nødvendige for å sikre at materiale eller opplysninger ikke blir gjort kjent for andre i strid med dette punktet.

Taushetsplikten gjelder også etter Avtalens opphør.

13. Innsyn, verifikasjon og revisjon

Behandlingsansvarlig kan til enhver tid kreve innsyn i og verifikasjon av Databehandlers behandling av personopplysninger tilhørende Behandlingsansvarlig, herunder innsyn i og verifikasjon av dokumentasjon for oppfyllelse av kravene til informasjonssikkerhet og Databehandlers system for internkontroll.

Retten til innsyn gjelder alle tekniske, organisatoriske og administrative forhold som er relevante for sikkerheten ved behandlingen som utføres av Databehandler på vegne av Behandlingsansvarlig, og øvrige innsynsrettigheter nedfelt i lov. Hvis Behandlingsansvarlig ber om innsyn, skal generell informasjon fra revisjonen gjøres tilgjengelig for andre behandlingsansvarlige som benytter samme tjeneste hos Databehandler.

Behandlingsansvarlig skal så vidt mulig gi Databehandler varsel i rimelig tid ved krav om innsyn og kontroll, vanligvis minst 30 dagers varsel. For krav om dokumentinnsyn bør det gis minst 14 dagers varsel. Behandlingsansvarlig skal medvirke til at innsyn og kontroll kan koordineres mellom flere behandlingsansvarlige som får levert tjenester fra Databehandler. Innsyn og kontroll kan gjennomføres av Behandlingsansvarlig eller tredjepart som Behandlingsansvarlig utpeker. Databehandler kan kreve dekket dokumenterte merkostnader som påløper ved slike revisjoner.

Databehandler skal gi Datatilsynet og annen relevant tilsynsmyndighet tilgang og innsyn i behandlingen av personopplysninger slik det følger av relevant lovgivning.

Databehandler skal uten ugrunnet opphold korrigere eventuelle avvik. Avvik som skyldes Databehandler eller dennes underleverandører skal korrigeres uten kostnad for Behandlingsansvarlig. Databehandler skal skriftlig redegjøre for korrektive tiltak og plan for gjennomføring.

14. Varighet og opphør

Denne Avtalen gjelder fra den er signert av Behandlingsansvarlig, og gjelder så lenge lærere ansatt hos Behandlingsansvarlig bruker Elevopplysningene i Origo, eller til en av partene sier den opp skriftlig.

Ved opphør av Avtalen skal Databehandler på forespørsel tilrettelegge for og medvirke til tilbakeføring av opplysningene om elevene til Behandlingsansvarlig, i et vanlig maskinlesbart format. Partene avtaler nærmere hvordan overføring konkret skal skje.

Etter at opplysningene er overført til Behandlingsansvarlig og bekreftet mottatt, eller når Behandlingsansvarlig har sagt at tilbakeføring ikke ønskes, skal Databehandler irreversibelt slette alle opplysningene og alle eventuelle kopier og sikkerhetskopier i sine systemer, med mindre ufravikelige rettsregler krever at personopplysningene fortsatt lagres.

Uavhengig av opphør gjelder Origos sletteregler: et lag som avsluttes eller en elev som fjernes slettes med kort angrefrist og fjernes deretter fra databasen, og elevopplysninger som ikke lenger er i bruk slettes senest 12 måneder etter. Loggen over hvem som har sett hva beholdes som kontrollspor i inntil 60 måneder, uten at opplysningene om elevene selv beholdes.

Benyttes delt infrastruktur der direkte sletting ikke er teknisk mulig, skal Databehandler sørge for at data gjøres utilgjengelige inntil de er overskrevet av systemet.

Databehandlers bistand i forbindelse med ovennevnte skal gjøres kostnadsfritt dersom ikke annet er avtalt.

Databehandler skal på forespørsel gi Behandlingsansvarlig skriftlig bekreftelse på at opplysningene er overført og slettet som angitt over.

15. Endring av avtale

I tilfelle endringer i gjeldende lovverk, endelig dom som gir en annen tolkning av gjeldende lov, eller endringer i Origo som krever endringer av denne Avtalen, skal partene samarbeide for å oppdatere Avtalen tilsvarende. En ny versjon publiseres på den offentlige avtalesiden, og Behandlingsansvarliges kontaktperson varsles. Origo lagrer hvilken versjon av teksten Behandlingsansvarlig har signert.

16. Meddelelser

Meddelelser, underretning, varsel eller annen kommunikasjon mellom Behandlingsansvarlig og Databehandler skal gis skriftlig, eller bekreftes skriftlig, til:

17. Lovvalg og verneting

Avtalen er underlagt norsk rett, og partene vedtar Østre Innlandet tingrett som verneting. Dette gjelder også etter Avtalens opphør.

18. Undertegning

Avtalen signeres elektronisk i Origo: en bruker med administratorrolle ved skolen bekrefter at hen har fullmakt fra Behandlingsansvarlig til å inngå Avtalen, og signerer på vegne av Behandlingsansvarlig. Origo lagrer hvilken skole Avtalen er signert for, hvem som signerte, tidspunktet og hvilken versjon av teksten som ble signert. Signeringen kan når som helst dokumenteres for Behandlingsansvarlig på forespørsel.

Databehandler har ved publiseringen av denne teksten forpliktet seg til Avtalen for enhver Behandlingsansvarlig som signerer den.

På vegne av Databehandler: Erlend Karlsen, innehaver, Karlsens Origo.

Vedlegg 2 – Underleverandører

Vipps og Stripe håndterer lærerens betaling og behandler ikke elevopplysninger. De er ikke underleverandører under denne Avtalen.

Vedlegg 1 i KS' standardmal (detaljerte krav til informasjonssikkerhet) er utelatt; kravene til informasjonssikkerhet står i punkt 9.