Överenskommelse om leverans av tjänster från Statens servicecenter till Göteborgs universitet

Transkript

1 ÖVERENSKOMMELSE 1(10) Överenskommelse om leverans av tjänster från Statens servicecenter till Göteborgs universitet 1. Parter Denna överenskommelse träffas mellan (SSC), organisationsnummer , och Göteborgs universitet (GU), organisationsnummer Överenskommelsens omfattning Överenskommelsens omfattning framgår av denna handling inklusive dess bilagor. De handlingar som omfattas kompletterar varandra. Om de i något avseende skulle innehålla motstridiga uppgifter gäller de i följande prioritetsordning: 1. Ändringar och tillägg till denna överenskommelse 2. Denna överenskommelse om tjänsteleverans 3. Bilaga 1. Service Level Agreements (SLA) a. Primula SLA BAS version 1: b. Gemensamma bastjänster SLA BAS 2014 Bilaga 2. Tjänstekatalog 4. Bilaga 3. Samverkansmodell 5. Bilaga 4. Avgiftsnivåer och prognostiserade volymer 6. Bilaga 5. Anslutningsplan/projekt 7. Bilaga 6. Verksamhetsövergång I Samverkansmodellen (ovanstående bilaga 3) beskrivs hur SSC och GU ska samverka kring leveransen av de tjänster som omfattas av denna överenskommelse. Inom ramen för Samverkansmodellen ska parterna bl.a. upprätthålla en aktuell förteckning över respektive myndighets kontaktpersoner/ funktionsadresser och bestämma med vilken periodicitet samråd ska ske. Av Samverkansmodellen framgår även att SSC tillhandahåller GU en egen kundwebbplats och en knappvalsfunktion för dirigering av samtal till det tjänsteområde som begärs vid uppringning. 3. Ändringar av och tillägg till denna överenskommelse samt behörig företrädare Ändringar av och tillägg till denna överenskommelse inklusive bilagor ska för sin giltighet vara skriftligen godkända av SSC och GU, samt biläggas denna överenskommelse.

2 ÖVERENSKOMMELSE 2(10) Förhållanden som inte var kända vid undertecknandet och som väsentligt och bestående påverkar överenskommelsen medför omförhandling av överenskommelsen i relevanta delar om någon av parterna påkallar det. Väsentliga förändringar av tjänsteinnehållet ska planeras med god framförhållning och hanteras inom ramen för Samverkansmodellen. Behöriga företrädare för SSC respektive GU framgår av en särskild förteckning som upprättas inför anslutningen och som underhålls inom ramarna för Samverkansmodellen. 4. Tjänster som omfattas av överenskommelsen 4.1. Lönerelaterade tjänster Lönerelaterade tjänster (bastjänster) Preliminärt anslutningsdatum Lönerelaterade tjänster enligt SLA Lönerelaterade tjänster tillhandahålls inklusive systemstöd. I Tjänstekatalogen, bilaga 2, beskrivs tjänsteinnehållet närmare och av SLA-bilagan framgår hur utförandet av tjänsterna ska ske Leveransstart Protokollet för leveransgodkännande utgör en del av SSC:s anslutningsprocess. SSC påbörjar leverans vid preliminärt anslutningsdatum (se ovan) förutsatt att anslutningsprojektets styrgrupp enhälligt har beslutat att kriterierna för anslutning, enligt protokollet för leveransgodkännande, ska anses uppfyllda. I annat fall påbörjas leveransen när anslutningsprojektets styrgrupp beslutat att nämnda kriterier ska anses uppfyllda Specialtjänster Eventuella specialtjänster som SSC ska tillhandahålla GU omfattas inte av denna överenskommelse dock sker beställningar av sådana tjänster inom ramen för Samverkansmodellen. 5. Service- och volymnivåer m.m. Servicenivåerna för de överenskomna tjänsterna liksom gränssnitt och ansvarsfördelning mellan SSC och GU, framgår av SLA-bilagor. SSC och GU ansvarar var för sig för att uppfylla sina respektive åtaganden enligt SLAbilagor. SSC och GU ska underrätta den andra parten om volymförändringar som kan påkalla ett samverkansförfarande inom ramen för Samverkansmodellen. Om volymerna ökar väsentligt i förhållande till vad som GU indikerat i Avgiftsnivåer och prognostiserade volymer, bilaga 4, ska parterna träffa ny överenskommelse om servicenivå.

3 ÖVERENSKOMMELSE 3(10) 6. Kvalitet SSC ansvarar för att den kompetens och kapacitet finns som krävs för att tillhandahålla överenskomna tjänster med god kvalitet och i enlighet med de servicenivåer som framgår av gällande SLA-bilagor. Vid genomförandet av tjänsterna enligt denna överenskommelse ska SSC tillvarata GU:s intressen. SSC ska vid leverans av sina tjänster följa för tjänsterna gällande lagstiftning, t.ex. förordningen (2007:603) om intern styrning och kontroll, samt följa av GU tillhandahållna beslut, riktlinjer, rutiner, instruktioner och andra styrande dokument. 7. Planerade driftstopp Planerade driftsstopp ska genomföras under kvällstid och på helger. SSC ska så tidigt som möjligt i förväg informera GU om driftstoppets omfattning. Informationen ska lämnas till de kontaktpersoner som anges i Samverkansmodellens förteckning över kontaktpersoner/funktionsadresser. Informationen ska även lämnas på SSC:s kundwebb. I övrigt ansvarar GU för att informationen når alla som berörs inom den egna myndigheten. 8. Underleverantör SSC upphandlar tjänster från underleverantörer, i huvudsak IT-tjänster. SSC ansvarar för en underleverantörs åtagande såsom för sitt eget. SSC följer löpande under avtalstiden upp att underleverantören uppfyller de krav som ställts vid upphandlingen, bl.a. enligt 10 kap. och 11 kap. 6-7 lag (2007:1091) om offentlig upphandling. 9. Systemstöd Tjänsteleveranserna är beroende av olika systemstöd. SSC:s tjänster inkluderar systemstöd. SSC ansvarar för att inhämta de rättigheter och licenser för sina systemstöd som erfordras för genomförandet av tjänsten i enlighet med denna överenskommelse. SSC ansvarar för att ingen ytterligare licens eller ersättning krävs för tjänstens nyttjande. Detta inkluderar eventuella tredjepartsprodukter som nyttjas för utförande av tjänsten. Vad som överenskommits mellan SSC och GU beträffande rättigheter enligt ovan ska äga giltighet även efter det att överenskommelsen i övrigt upphört att gälla. 10. Insyn i SSC:s verksamhet m.m. SSC ska ge GU tillgång till GU:s egna uppgifter och handlingar hos SSC inklusive uppgifter som finns elektroniskt i systemstöd, systemloggar och motsvarande. SSC ska på begäran tillhandhålla GU resultaten från egna kontroller med relevans för GU:s internkontrollplan.

4 ÖVERENSKOMMELSE 4(10) SSC ska ge GU, eller den som GU utser, möjlighet till den insyn i SSC:s verksamhet - för kontroll, granskning och uppföljning - som krävs för att säkerställa att SSC uppfyller sitt åtagande gentemot GU enligt denna överenskommelse. SSC ska även ge GU:s tillsyns- och granskningsmyndigheter den insyn i SSC:s verksamhet som behövs för tillsyn, granskning, kontroll eller uppföljning av den verksamhet som SSC utför för GU:s räkning. GU ska planera och genomföra sin insyn för kontroll, granskning eller uppföljning av SSC:s verksamhet på ett sätt som i minsta möjliga mån påverkar SSC:s möjligheter att fullgöra sina åtaganden. GU ska i möjlig mån påverka sina tillsyns- och granskningsmyndigheter att planera sin insyn på motsvarande sätt. GU och SSC ska var och en stå för de egna kostnader som är förknippade med respektive myndighets insatser och medverkan vid den insyn som avses i denna punkt. 11. Information om risker m.m. SSC och GU ansvarar, var för sig, för att informera den andra parten om identifierade risker som väsentligt kan påverka denna överenskommelse samt beslut om riskhantering och kontrollåtgärder. Informationen lämnas via de kontaktpersoner som parterna utsett i enlighet med Samverkansmodellen. 12. Fullmakter och informationsåtkomst samt användar- och behörighetsregister Fullmakter m.m. GU ansvarar för att förse SSC med de fullmakter och den åtkomst till information i myndighetens system som är nödvändig för utförandet av tjänsterna. SSC och GU ansvarar gemensamt för att upprätthålla en aktuell förteckning över fullmakter och behörigheter. SSC ska informera GU i det fall en fullmakt ska återkallas. Användar- och behörighetsregister, bakomliggande beslut När det är möjligt synkroniserar SSC användar- och behörighetsregister med system-tillsystemintegrationer mellan GU och SSC för de tjänster som SSC tillhandahåller. När så sker ansvarar GU för att underliggande behörighetsbeslut är fattade av behörig person. GU ansvarar även för att behörighetsbesluten hålls tillgängliga och förvaras hos GU när integrationen sker och kan överlämnas till SSC om det begärs för revision eller liknande ändamål. 13. Styrande verksamhetsinformation Styrdokument För att SSC ska kunna leverera de överenskomna tjänsterna med god kvalitet ska GU fortlöpande tillhandahålla SSC aktuella versioner av sina beslut, riktlinjer, rutiner, instruktioner och andra styrande dokument som påverkar dessa tjänster.

5 ÖVERENSKOMMELSE 5(10) Kundwebb SSC och GU ska, inom ramen för Samverkansmodellen, komma överens om vilken information som SSC ska tillgängliggöra på Kundwebben. Respektive medarbetare hos GU ska enkelt kunna följa statusen för sina aktuella ärenden via Kundwebben. 14. Behandling av personuppgifter personuppgiftsbiträdesavtal Personuppgiftbiträdesavtal Denna punkt utgör personuppgiftsbiträdesavtalet mellan parterna, d.v.s. det avtal som ska finnas mellan parterna enligt 30 personuppgiftslagen (1998:204), PuL. Definitioner De beteckningar som används i detta personuppgiftsbiträdesavtal har samma betydelse som i personuppgiftslagen ifråga om: personuppgifter, behandling av personuppgifter, registrerade, personuppgiftsansvarig och personuppgiftsbiträde. Beteckningen underbiträde används för att beskriva en underleverantör till SSC, eller en underleverantör till denne, som kan komma att behandla GU:s personuppgifter. Personuppgiftsansvarig respektive personuppgiftsbiträde m.m. Om inte annat följer av PuL är GU personuppgiftsansvarig och SSC personuppgiftbiträde för den behandling av GU:s uppgifter som sker i enlighet med denna överenskommelse om leverans av tjänster. SSC och GU är gemensamt personuppgiftsansvariga för behandlingen av GU:s personuppgifter i de fall då SSC bestämmer medlen för behandlingen av uppgifterna (GU bestämmer alltid ändamålen). SSC ansvarar gentemot GU för att behandlingen av GU:s personuppgifter i alla delar sker enligt gällande personuppgiftslagstiftning. Om GU:s personuppgifter ska behandlas enligt bestämmelser som är specifika för GU ska GU hålla SSC informerad om dessa. Behandlingar som omfattas av personuppgiftbiträdesavtalet GU ska tillhandahålla SSC en handling som visar, o vilka kategorier av registrerade som berörs av överföringen av personuppgifter till SSC o vilken typ av personuppgifter som överförs och o vilka typer av de överförda personuppgifterna som är känsliga i enlighet med i PuL eller p.g.a. sekretess och då enligt vilken sekretessbestämmelse eller av andra skäl och i så fall vilka. Handlingen ska överlämnas till den person på SSC som är kundansvarig gentemot GU. GU svarar för att handlingen vid behov uppdateras. Säkerhetsåtgärder För att skydda GU:s personuppgifter ska SSC ska vidta sådana tekniska och organisatoriska åtgärder som anges i 31 första stycket PuL. GU har rätt till den information och insyn i SSC:s verksamhet som GU behöver för att, i enlighet med 31 andra stycket PuL, förvissa sig om att säkerhetsåtgärderna vidtas.

6 ÖVERENSKOMMELSE 6(10) Instruktioner SSC får bara behandla GU:s personuppgifter i enlighet med de särskilda instruktioner som GU lämnar. Sådana instruktioner lämnar GU nedan i denna punkt. Parterna är dock införstådda med att tillägg till eller ändring i de nedanstående instruktionerna kan bli aktuella och ansvarar var för sig för att så sker när behov uppkommer. Tillägg eller ändringar till instruktionerna nedan ska biläggas denna överenskommelse. o Ändamål De personuppgifter som SSC ges tillgång till för att utföra en tjänst åt GU får behandlas bara för att den tjänsten ska kunna utföras. Användaren av tjänsten skall kunna autentiseras eller support till användare skall kunna utföras. Dock får uppgifterna även behandlas för sådan insyn i SSC:s verksamhet som framgår av punkten 10 i denna överenskommelse. SSC får inte behandla fler personuppgifter än vad som vid varje behandlingstillfälle är nödvändigt för att utföra det uppdrag som överenskommelse omfattar. o Underbiträden SSC anlitar underleverantörer i sin verksamhet, särskilt för IT-funktioner. Detta medför att personuppgifter som är GU:s i viss utsträckning kan komma att behandlas av SSC:s underleverantörer. GU medger att SSC får överlåta behandlingen av GU:s personuppgifter till underbiträden. I varje sådan situation ska SSC upprätta ett personuppgiftsbiträdesavtal med underleverantören vilket ska hållas tillgängligt för GU. Av detta avtal ska det tydligt framgå att de villkor som gäller för SSC:s uppgiftsbehandling även ska gälla för den behandling som överlåts till underleverantören. Avtalet med underleverantören ska vidare innehålla ett särskilt klargörande av det ändamål för vilket denne får behandla uppgifterna. Det ändamålet ska inskränka sig till vad som är nödvändigt för att underleverantören ska kunna uppfylla sitt åtagande gentemot SSC. I avtal med en underleverantör och då särskilda instruktioner ges till en underleverantör ansvarar SSC för att underleverantören hanterar GU:s personuppgifter i enlighet med punkten 16 (Informationssäkerhet) i denna överenskommelse. SSC ska vidare vara särskilt uppmärksam på att uppgiftshantering i det allmännas verksamhet kan omfattas av särskild reglering som inte får åsidosättas genom att hanteringen överlåts till en underleverantör. Mot bakgrund av att GU som personuppgiftsansvarig har sitt säte i Sverige ska det fastslås i avtal med underleverantör att denna ska tillämpa svensk lag. En underleverantör får överlåta behandlingen till en annan underleverantör bara om det sker på samma villkor som gäller för att SSC ska få överlåta behandlingen. GU ska ges tillgång till information om vilka underleverantörer som behandlar GU:s uppgifter och vad den behandlingen omfattar. Ersättning enligt 48 personuppgiftslagen Om GU blir ersättningsskyldig enligt 48 personuppgiftslagen, för en skada eller kränkning av en registrerad som orsakats av SSC eller en underleverantör till SSC, ska SSC ersätta GU med det belopp som ska utges till den ersättningsberättigade. Detta gäller dock inte om GU istället erhåller ersättningen från en underleverantör.

7 ÖVERENSKOMMELSE 7(10) Personuppgiftsbiträdesavtalets giltighetstid och upphörande Personuppgiftsbiträdesavtalet gäller så länge SSC ska behandla personuppgifter för GU:s räkning enligt här ifrågavarande överenskommelse om leverans av tjänster. När överenskommelsen, och därmed personuppgiftsbiträdesavtalet, upphör får vare sig SSC eller en underleverantör behandla personuppgifterna. Vid den tidpunkten ska personuppgifterna vara återlämnade, utplånade eller avidentifierade på det sätt som parterna dessförinnan kommit överens om. 15. Hantering av uppgifter och allmänna handlingar, utlämnande och sekretessprövning m.m. Bestämmelser om hur handlingar ska hanteras samt om handlingars offentlighet och sekretess regleras i bland annat tryckfrihetsförordningen (TF), arkivlagen (1990:782) och offentlighets- och sekretesslagen (2009:400), OSL. SSC och GU har ansvar för att vid varje tillfälle följa gällande författningar. SSC har inte i uppdrag att arkivera handlingar för GU:s räkning Bedömning av vilken information som kan överlämnas till De uppgifter som SSC kommer att hantera för GU:s räkning utgör, i enlighet med TF, uppgifter i allmänna handlingar hos SSC. GU svarar för bedömningen av om det ur ett sekretessperspektiv är lämpligt att uppgifter som är hänförliga till GU görs tillgängliga hos SSC för utförandet av de tjänster som omfattas av denna överenskommelse. Hanteringen av uppgifter och handlingar hos SSC ansvarar för att de uppgifter och allmänna handlingar som är hänförliga till GU hanteras och förvaras enligt gällande lagstiftning. GU ska hålla SSC informerad om eventuella bestämmelser som är specifika för hanteringen av GU:s uppgifter och allmänna handlingar. Om så krävs ska SSC vidta de särskilda åtgärder som parterna kommer överens om i avsikt att uppfylla myndighetsspecifik lagstiftning. Utlämnande av handlingar Enligt 2 kap. 14 TF ska en begäran om att få ta del av en allmän handling göras hos den myndighet som förvarar handlingen. Av TF framgår även i vilka situationer en handling ska anses vara förvarad hos en myndighet och att en viss handling samtidigt kan anses vara förvarad hos flera myndigheter (t.ex. hos både SSC och GU). Det ovanstående medför att den av myndigheterna, SSC eller GU, som får en begäran om utlämnande av en handling ska pröva om handlingen enligt bestämmelserna i TF är att anse som förvarad hos den egna myndigheten. Görs den bedömningen ska samma myndighet även pröva om handlingen kan lämnas ut, oavsett om handlingen enligt TF är att anse som förvarad även hos den andra myndigheten. Görs istället bedömningen att handlingen inte finns förvarad hos myndigheten som mottagit begäran ska begäran avslås. Sökanden bör då upplysas om till vilken myndighet denne istället kan vända sig, om det är möjligt. I situationer då SSC svarar för handläggning och beslut om utlämnande av en handling som rör GU:s verksamhet och sekretessfrågan visar sig svårbedömd ska SSC konsultera GU innan handlingen lämnas ut. Konsultationen ska ske med den kontaktperson som GU, inom ramen för samverkansmodellen, utsett för den uppgiften. GU ska medverka till att sekretessprövningen kan ske med den skyndsamhet som TF kräver.

8 ÖVERENSKOMMELSE 8(10) SSC ska i den utsträckning och i de former som parterna bestämmer inom ramen för Samverkansmodellen informera GU om vilka allmänna handlingar med uppgifter om GU som SSC lämnar ut i enlighet med TF. Handlingar tillgängliga för SSC:s underleverantörer SSC ansvarar för att författningarna om handlingars offentlighet och sekretess följs även i förhållande till underleverantörer. SSC ska se till att det i avtal med underleverantörer som inte omfattas av OSL finns en bestämmelse med förbud för leverantören och dennes anställda att röja GU:s uppgifter på ett sätt som skulle strida mot OSL. I avtal med underleverantörer ska SSC även tydliggöra att en begäran till leverantören om utlämnade av en handling eller en uppgift omedelbart ska överlämnas till SSC och att leverantören inte i något sammanhang själv får hantera frågan. Om underleverantören är en annan myndighet ska avtalet istället innehålla en överenskommelse som motsvarar vad som sagts ovan om konsultation (se under utlämnade av handlingar). 16. Informationssäkerhet SSC ansvarar för att den hantering av information som sker för GU:s räkning utförs i enlighet med gällande författningskrav om informationssäkerhet. Det innebär bl.a. att information ska hanteras i enlighet med Myndigheten för samhällskydd och beredskaps föreskrifter (MSBFS 2009:10) om statliga myndigheters informationssäkerhet och bedrivas enligt de etablerade standarder för informationssäkerhet som framgår av dessa föreskrifter. Detta gäller även då informationen hanteras av underleverantörer till SSC. GU ansvarar för att klassificera den information som SSC hanterar för GU:s räkning avseende konfidentialitet, riktighet och tillgänglighet och bedöma om de skyddsåtgärder avseende informationssäkerhet som SSC vidtagit i utformningen av tillhandahållna tjänster är tillräcklig. GU ska ges insyn i och möjlighet att påverka SSC:s informationssäkerhetsarbete. 17. Ekonomi och betalningsvillkor Avgiftsnivåerna för SSC:s tjänster och den ersättning GU ska betala, inklusive anslutningskostnader, framgår av bilaga 4, Avgiftsnivåer och prognostiserade volymer. Då servicecentret under 2015 arbetar fram en ny prismodell, ska förhandling om den nya prismodellen ske under 2017 och ska gälla from 1 januari Anslutningskostnaden betalas med hälften vid projektstart och med hälften vid anslutningsdatum. Övriga kostnader betalas fr.o.m. anslutningsdatum. Avgiftsnivåerna justeras årligen och när lagstiftning avseende avgiftsfinansiering påkallar det. En förändring av avgiftsnivåerna föregås alltid av en dialog mellan myndigheterna.

9 ÖVERENSKOMMELSE 9(10) Fakturering sker månadsvis i efterskott utifrån faktisk volym. Betalning sker senast 30 dagar efter fakturadatum. Vid försenad betalning utgår dröjsmålsränta enligt räntelagen (1975:635). Faktureringen sker elektroniskt med standardformatet Svefaktura. För information om elektronisk faktura i Svefaktura-format, se: I det pris GU betalar för en viss tjänst ingår inte sådana särskilda åtgärder avseende den tjänsten som SSC kan bli ålagd eller nödgas vidta på grund av författningsändring, Datainspektionens eller annan tillsynsmyndighets beslut eller en liknande händelse visavi GU. I priset ingår inte heller åtgärder föranledda av att GU ställer nya krav på tjänsten. 18. Giltighetstid, uppsägning och avveckling Överenskommelsen gäller från till och förlängs därefter med fyra (4) år i taget om den inte har sagts upp senast ett (1) år före giltighetstidens utgång. Vid uppsägning av överenskommelsen ska parterna omgående upprätta en gemensam avvecklingsplan. Avvecklingsplanen ska reglera hur uppgifter m.m. ska återlämnas till kunden och särskilt beakta parternas överenskommelse enligt punkten 14 sista stycket. Planen ska vidare beskriva och reglera kostnaderna för avvecklingen av denna överenskommelse, varvid den principen ska gälla att vardera parten ska bära sina kostnader. Om GU säger upp avtalet ska dock GU stå för de eventuella direkta kostnader som uppsägningen kan medföra i förhållande till SSC:s underleverantörer. 19. Hantering av oplanerade driftstopp, övriga incidenter och leveransbrister Vid oplanerade driftstopp ska SSC omgående vidta de åtgärder som krävs för att häva stoppet. Uppstår andra incidenter eller leveransbrister ska SSC vidta de åtgärder som krävs med hänsyn till problemets art och omfattning, varvid hänsyn i möjlig utsträckning ska tas till GU:s uppfattning i frågan. Vid oplanerade driftstopp ska SSC omgående informera GU om stoppet och snarast möjligt även om omfattningen av och orsaken till detta samt när det beräknas vara åtgärdat. Motsvarande gäller vid andra allvarligare incidenter eller leveransbrister, t.ex. vid fara för GU:s verksamhet, de anställdas säkerhet och trygghet eller allmänhetens förtroende för GU. Vid incidenter och leveransbrister som inte kräver omedelbara åtgärder ska information om problemet lämnas skyndsamt. Information om driftsstopp, incidenter och leveransbrister ska lämnas till de kontaktpersoner/funktionsadresser som anges i samverkansmodellens förteckning över kontaktvägar. Om det inte är olämpligt ska informationen även lämnas på SSC:s kundwebb och i funktionen för inkommande telefonsamtal från GU. I övrigt ansvarar GU för att informationen når alla som berörs inom den egna myndigheten. SSC ska arbeta metodiskt med kvalitetssäkring i syfte att undvika upprepningar av driftstopp, övriga incidenter och leveransbrister. GU ska inom ramen för samverkansmodellen bistå SSC i detta kvalitetssäkringsarbete.

10 ÖVERENSKOMMELSE 10(10) 20. Ersättning vid leveransbrister I det fall SSC har erhållit ersättning av en underleverantör för brister, avbrott eller dylikt som förorsakat kostnader även för GU ska GU kompenseras för sina kostnader i enlighet med vad parterna kommer överens om inom ramen för Samverkansmodellen. 21. Tvist Vid tvist om tolkningen av parternas överenskommelse ska tvistefrågan eskaleras enligt Samverkansmodellen. Kan frågan inte lösas inom ramen för den modellen ska den avgöras av myndighetscheferna gemensamt. Denna överenskommelse är upprättat i två likalydande exemplar varav SSC och GU har tagit var sitt. Göteborg / Göteborg / Thomas Pålsson Generaldirektör Pam Fredman Göteborgs universitet Rektor