Databehandleravtale for Journalhjelp

Sist oppdatert: 30. juli 2026

Denne databehandleravtalen er inngått etter personvernforordningen (GDPR) artikkel 28 og er en del av tjenesteavtalen for Journalhjelp.

1. Parter og roller

Behandlingsansvarlig («Kunden») er personen eller virksomheten som bestemmer formålet med og de vesentlige midlene for behandlingen av pasientopplysninger i Journalhjelp.

Databehandler er Journalhjelp AS, org.nr. 937 544 413.

En bruker som inngår avtalen på vegne av Kunden, bekrefter å ha nødvendig fullmakt. Dersom Kunden selv er databehandler for en annen behandlingsansvarlig, gjelder denne avtalen tilsvarende, og Journalhjelp er underdatabehandler.

Journalhjelp er selv behandlingsansvarlig for konto-, kontakt-, betalings- og andre virksomhetsdata som behandles til egne formål. Slik behandling reguleres av personvernerklæringen, ikke av denne avtalen.

2. Behandlingen

2.1 Gjenstand, art og formål

Journalhjelp behandler personopplysninger for å levere en dokumentasjonstjeneste med funksjoner som transkripsjon, uttrekk og analyse av journalmateriale, søk, oppsummering og generering av utkast.

Behandlingen kan omfatte mottak, overføring, opplasting, midlertidig lagring, konvertering, transkripsjon, OCR, strukturering, pseudonymisering der funksjonen støtter dette, analyse med KI-modeller, generering, visning, sikring og sletting.

Opplysningene skal bare behandles for å:

levere funksjonene Kunden tar i bruk
opprettholde sikker og stabil drift
forebygge og håndtere feil, misbruk og sikkerhetshendelser
oppfylle dokumenterte instrukser og lovpålagte plikter

Journalhjelp skal ikke bruke pasientopplysninger til egne markedsføringsformål, profilering av pasienter eller trening av generelle KI-modeller.

2.2 Varighet

Databehandleroppdraget varer så lenge Kunden bruker tjenesten. Pasientinnhold slettes automatisk fra Journalhjelps aktive systemer senest 24 timer etter opplasting, jf. punkt 11.

2.3 Kategorier av registrerte

Behandlingen kan omfatte:

Kundens pasienter, inkludert mindreårige
pårørende og andre personer omtalt i materialet
helsepersonell og andre fagpersoner
personer som deltar i eller omtales i lydopptak, journaler eller fritekst

2.4 Typer personopplysninger

Avhengig av hva Kunden sender inn og hvilke funksjoner som brukes, kan behandlingen omfatte:

identitets-, kontakt- og demografiske opplysninger
helse- og journalopplysninger, blant annet diagnoser, legemidler, prøvesvar og behandlingshistorikk
lyd, stemme, transkripsjoner, fritekst og vedlegg
andre personopplysninger Kunden inkluderer i materialet
tekniske identifikatorer og metadata knyttet til behandlingen

Innsendt materiale kan inneholde direkte identifikatorer. Pseudonymisering reduserer risiko, men gjør ikke opplysningene anonyme.

3. Dokumenterte instrukser

Journalhjelp skal bare behandle personopplysninger etter Kundens dokumenterte og lovlige instrukser. Behandlingssted og reglene for eventuell overføring er regulert i punkt 8. Følgende utgjør Kundens instrukser:

denne avtalen og tjenestevilkårene
Kundens bruk og konfigurasjon av tjenesten
skriftlige tilleggsinstrukser som Journalhjelp har bekreftet at kan gjennomføres

Kunden godkjenner at Journalhjelp bruker underdatabehandlerne som er oppført i punkt 7, innenfor rammene av denne avtalen.

Dersom lov krever en behandling som ikke følger av Kundens instrukser, skal Journalhjelp informere Kunden før behandlingen, med mindre loven forbyr slik informasjon.

Journalhjelp skal varsle Kunden uten ugrunnet opphold dersom en instruks etter Journalhjelps vurdering er i strid med personvernregelverket. Journalhjelp kan stanse gjennomføringen av instruksen mens forholdet avklares.

Tilleggsinstrukser må være innenfor avtalt tjeneste og teknisk og rettslig gjennomførbare. Journalhjelp kan kreve dekning av dokumenterte, rimelige kostnader ved særskilte instrukser som går utover standardtjenesten.

4. Kundens ansvar

Kunden er ansvarlig for å:

ha gyldig behandlingsgrunnlag etter GDPR artikkel 6 og, der det er relevant, artikkel 9
ha nødvendig rettslig grunnlag for taushetsbelagt materiale
gi de registrerte nødvendig informasjon, blant annet ved lydopptak
bare legge inn opplysninger som er relevante og nødvendige
sikre at brukere har riktig tilgang og nødvendig opplæring
gjennomføre risikovurdering og eventuell personvernkonsekvensvurdering (DPIA)
kontrollere, eksportere og lagre journalpliktig materiale i godkjent journalsystem før det slettes fra Journalhjelp
sørge for at instrukser og bruk av tjenesten er lovlige

Journalhjelps bistand fritar ikke Kunden fra Kundens plikter som behandlingsansvarlig.

5. Tilgang og taushetsplikt

Tilgang til pasientopplysninger skal begrenses til det som er nødvendig for å levere, sikre og vedlikeholde tjenesten. Journalhjelp skal sikre at personer som gis slik tilgang:

bare har tilgangen så lenge den er nødvendig
er bundet av lovbestemt eller avtalefestet taushetsplikt
har fått relevant instruksjon om sikker behandling

Taushetsplikten gjelder også etter at tilgangen eller avtaleforholdet er avsluttet.

6. Informasjonssikkerhet

Journalhjelp skal gjennomføre egnede tekniske og organisatoriske tiltak etter GDPR artikkel 32, vurdert ut fra behandlingens art, tilgjengelig teknologi, gjennomføringskostnader og risikoen for de registrerte.

Tiltakene omfatter, der det er relevant:

kryptert overføring
kryptering ved lagring i sentrale lagringstjenester
autentisering, tilgangsstyring og minste privilegiums prinsipp
begrensning og logging av administrativ tilgang
rutiner for sikkerhetsoppdateringer, hendelseshåndtering og sletting
dataminimering og pseudonymisering der funksjonen støtter det
sikkerhetskopiering og gjenoppretting der dette er nødvendig for driften
testing og vurdering av tiltakene

Tiltakene skal samlet gi et sikkerhetsnivå som er egnet for risikoen og oppfyller kravene i gjeldende lov.

Journalhjelp kan endre tiltakene i takt med teknologi, risiko og tjenesten, forutsatt at det samlede beskyttelsesnivået ikke vesentlig svekkes.

7. Underdatabehandlere

Kunden gir generell skriftlig tillatelse til bruk av underdatabehandlere.

Leverandørene nedenfor behandler bare opplysninger som er nødvendige for funksjonene Kunden bruker:

Underdatabehandler	Tjeneste	Regional konfigurasjon
Microsoft Ireland Operations Limited og relevante Microsoft-selskaper	database, fillagring, dokumentanalyse og KI	Norge og Sverige
Vercel Inc.	applikasjonsdrift og nettverk	applikasjonskjøring konfigurert i Stockholm
Soniox Inc.	tale-til-tekst når denne funksjonen brukes	EUs regionale endepunkter

Journalhjelp skal:

inngå skriftlig avtale som pålegger underdatabehandleren de samme personvernforpliktelsene så langt de er relevante for leveransen
bare gi tilgang til det som er nødvendig for leveransen
være ansvarlig overfor Kunden for underdatabehandlerens oppfyllelse etter GDPR artikkel 28 nr. 4

Journalhjelp skal informere Kunden om planlagte nye eller erstattede underdatabehandlere og gi Kunden rimelig anledning til å fremsette innsigelse før endringen gjennomføres.

Kunden kan fremsette en saklig og dokumentert innsigelse basert på personvernrisiko innen fristen i varselet. Journalhjelp skal vurdere innsigelsen og informere Kunden om hvilke følger den får for den berørte funksjonen eller tjenesten.

Oppdatert informasjon om leverandørkjeden er tilgjengelig gjennom underdatabehandlernes publiserte leverandørlister eller på forespørsel.

8. Overføring utenfor EØS

Journalhjelps applikasjonskjøring og de valgte tjenestene for lagring og analyse av pasientinnhold er konfigurert i EØS. Dersom en leverandørkjede medfører overføring av personopplysninger til et land utenfor EØS, skal overføringen ha gyldig grunnlag etter GDPR kapittel V.

Dette kan for eksempel skje på grunnlag av:

EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå
EUs standard personvernbestemmelser (SCC)
andre gyldige overføringsgrunnlag, med tilleggstiltak der dette kreves

Informasjon om gjeldende overføringsgrunnlag kan fås ved å kontakte Journalhjelp.

9. Bistand til Kunden

Journalhjelp skal, hensyntatt behandlingens art og informasjonen som er tilgjengelig, bistå Kunden med:

anmodninger om registrertes rettigheter
sikkerhet etter GDPR artikkel 32
vurdering og varsling av personvernbrudd etter artikkel 33 og 34
personvernkonsekvensvurderinger og forhåndsdrøftelser etter artikkel 35 og 36
dokumentasjon som er nødvendig for å vise etterlevelse

Kunden skal sende anmodninger til kontakt@journalhjelp.no og gi opplysningene som er nødvendige for å identifisere behandlingen.

Journalhjelp kan kreve dekning av rimelige, dokumenterte kostnader når bistanden går utover det som følger av standardtjenesten eller skyldes Kundens forhold. Det gjelder ikke kostnader som skyldes Journalhjelps eget avtalebrudd.

10. Personvernbrudd

Ved brudd på personopplysningssikkerheten som gjelder opplysninger behandlet på vegne av Kunden, skal Journalhjelp varsle Kunden uten ugrunnet opphold etter å ha fått kjennskap til bruddet.

Journalhjelp skal, etter hvert som informasjonen blir tilgjengelig, gi opplysninger som Kunden med rimelighet trenger for å:

beskrive bruddets art og omfang
vurdere sannsynlige konsekvenser
beskrive gjennomførte eller foreslåtte tiltak
oppfylle eventuelle varslingsplikter

Et varsel er ikke i seg selv en erkjennelse av skyld eller ansvar. Kunden er ansvarlig for å vurdere og gjennomføre egen melding til tilsynsmyndighet og underretning til registrerte.

11. Sletting og tilbakelevering

11.1 Løpende sletting

Pasientinnhold slettes automatisk fra Journalhjelps aktive systemer senest 24 timer etter opplasting, med mindre Kunden sletter det tidligere eller funksjonen har en kortere lagringstid.

Kunden er kjent med at:

tjenesten ikke er et journalarkiv
nødvendig innhold må kopieres eller eksporteres før sletting
enkelte opplysninger kan slettes tidligere etter fullført behandling
begrensede tekniske metadata uten pasientinnhold kan oppbevares lenger for sikkerhet, feilsøking og dokumentasjon

Hvis en drifts- eller leverandørfeil hindrer sletting innen fristen, skal Journalhjelp begrense videre behandling og gjennomføre slettingen uten ugrunnet opphold etter at feilen er rettet.

11.2 Ved opphør

Partene avtaler at Kundens valg etter GDPR artikkel 28 nr. 3 bokstav g er sletting, ikke særskilt tilbakelevering etter opphør. Kunden må hente ut nødvendig materiale gjennom tjenesten før tilgangen avsluttes.

Journalhjelp skal etter opphør slette gjenværende personopplysninger som behandles på vegne av Kunden, med mindre lov krever videre oppbevaring.

Opplysninger i isolerte sikkerhetskopier eller hos underdatabehandlere kan bli stående til de overskrives etter fastsatt rotasjon. De skal ikke brukes til andre formål og skal fortsatt være beskyttet.

Konto-, betalings- og andre opplysninger Journalhjelp behandler som selvstendig behandlingsansvarlig, følger personvernerklæringen.

12. Dokumentasjon, revisjon og inspeksjon

Journalhjelp skal gjøre tilgjengelig informasjon som er nødvendig for å påvise at forpliktelsene i GDPR artikkel 28 og denne avtalen er oppfylt.

Kontroll gjennomføres som utgangspunkt trinnvis:

Kunden gjennomgår tilgjengelig avtale-, sikkerhets- og leverandørdokumentasjon.
Journalhjelp svarer på rimelige, relevante oppfølgingsspørsmål.
Revisjon eller inspeksjon kan gjennomføres dersom dokumentasjonen ikke er tilstrekkelig, ved en relevant sikkerhetshendelse eller når lov eller tilsynsmyndighet krever det.

Med mindre situasjonen krever raskere kontroll, skal Kunden:

gi minst 30 dagers skriftlig varsel
begrense kontrollen til behandling som gjelder Kunden
bruke kvalifisert, uavhengig revisor under taushetsplikt
gjennomføre kontrollen i normal arbeidstid uten unødig driftsforstyrrelse
unngå tilgang til andre kunders opplysninger, sikkerhetshemmeligheter og uvedkommende forretningsinformasjon

Kontroll kan begrenses til én gang per kalenderår. Begrensningen gjelder ikke etter et relevant personvernbrudd, når den tilgjengelige dokumentasjonen gir saklig grunn til ytterligere kontroll, eller ved pålegg fra tilsynsmyndighet.

Kunden dekker egne og Journalhjelps rimelige kostnader ved kontrollen, med mindre kontrollen avdekker et vesentlig brudd fra Journalhjelps side.

13. Ansvar

Hver part er ansvarlig for egne plikter etter personvernregelverket og denne avtalen.

Kunden skal holde Journalhjelp skadesløs for krav, tap og rimelige kostnader som skyldes Kundens ulovlige behandlingsgrunnlag, innhold, instrukser eller bruk av tjenesten, i den utstrekning forholdet ikke skyldes Journalhjelps brudd.

Ansvarsbegrensningene i tjenestevilkårene gjelder mellom partene så langt loven tillater det. De begrenser ikke registrertes rettigheter, tilsynsmyndighetens kompetanse eller ansvar som ikke lovlig kan begrenses, herunder ufravikelig ansvar etter GDPR artikkel 82.

14. Endringer

Journalhjelp kan oppdatere avtalen når dette er nødvendig på grunn av lov, sikkerhet, tekniske endringer, leverandørendringer eller endringer i tjenesten.

Endringer skal ikke gi Journalhjelp rett til å bruke pasientopplysninger til nye, egne formål. Vesentlige endringer i behandlingen eller beskyttelsesnivået skal varsles med rimelig frist før de trer i kraft. Endringer som må gjennomføres straks på grunn av lovkrav, myndighetspålegg eller sikkerhet, kan tre i kraft uten forhåndsvarsel. Endringer av underdatabehandlere følger alltid punkt 7.

Dersom en endring krever en ny instruks eller godkjenning etter loven, trer den aktuelle behandlingen ikke i kraft før nødvendig instruks eller godkjenning foreligger.

15. Rang, lovvalg og varighet

Ved motstrid om behandling av personopplysninger går denne avtalen foran tjenestevilkårene. Ufravikelig personvernregelverk går foran begge.

Avtalen er underlagt norsk rett. Tvister avgjøres etter vernetingsbestemmelsen i tjenestevilkårene, så langt loven tillater det.

Avtalen gjelder fra den aksepteres og så lenge Journalhjelp behandler personopplysninger på vegne av Kunden. Bestemmelser om konfidensialitet, sletting, revisjon og ansvar gjelder så lenge de etter sin art er relevante.

Kunden kan avslutte behandlingen og si opp avtalen dersom Journalhjelp ikke lenger oppfyller kravene til databehandlere i GDPR artikkel 28 nr. 1. Oppsigelse og økonomisk oppgjør følger tjenestevilkårene.

Kontakt

Journalhjelp AS
Org.nr. 937 544 413
Høgskoleringen 1, 7034 Trondheim
E-post: kontakt@journalhjelp.no