Bruksvilkår for private kunder i Maskinporten

Difi har utarbeidet bruksvilkår for private kunder som skal ta i bruk Maskinporten. Dette vilkåret skal godtas av private kunder som skal ta i bruk Maskinporten enten som en konsument av data og/eller en tilbyder av data. Versjon 1.0 gjeldende fra 02.09.2019.

Publisert: 26. aug 2019, Sist endret: 04. sep 2019

1. Innledning

1.1 Definisjoner

Disse bruksvilkår gjelder for private virksomheter som skal ha tilgang til eller tilby et API som er regulert av en offentlig virksomhet.  

Private aktører som bruker Maskinporten som leverandør til flere offentlige virksomheter, skal underskrive Bruksvilkår for leverandører. 

Virksomhet som skal gi tilgang til et API gjennom maskinporten vil i det videre bli omtalt som «tilbyder av data» eller «tilbyder». Virksomhet som skal få tilgang til et API gjennom maskinporten vil i det videre bli omtalt som «konsument av data» eller «konsument».  

1.2 Beskrivelse av løsning

Maskinporten er en løsning for å sikre korrekt tilgang til data i kommunikasjon mellom maskiner. Løsningen er i stor grad selvbetjent.  Tilbyder av data kan definere hva konsument av data skal ha tilgang til, hvordan konsument kan bruke tilgangen, og hvem som kan bli konsument av det aktuelle API.  

Maskinporten driftes av ID-portens driftsleverandør, for tiden EVRY Norge AS. 

 

2. Partenes plikter

2.1 Generelt

Tilbyder av data og konsument av data skal sørge for å ha det nødvendige grunnlag for samhandlingen mellom hverandre. Dette kan være lov-/forskriftshjemmel, avtale med offentlig virksomhet, pålegg i form av vedtak, etc. Difi er ikke part i et slikt grunnlag.   

I den grad samhandlingen omfatter behandling av personopplysninger, må rettigheter til behandling være dokumentert og eventuelle databehandleravtaler inngått. Dette er utenfor Difis ansvar.  

Tilbyder av data og konsument av data plikter å holde Difi skadefri for forhold som gjelder kundenes manglende oppfyllelse av avtaler og regelverk.  

Tilbyder av data og konsument av data plikter å holde rollestyringsmekanismer oppdatert, slik at kun bemyndigede ansatte i virksomheten får tilgang til selvbetjening. 

Tilbyder av data og konsument av data skal håndtere sertifikat og nøkler på en måte som sikrer at uvedkommende ikke kan misbruke disse.  

2.2 Kundens plikter som API-tilbyder

Tilbyder av data skal ha rutiner for å administrere konsumenter som skal ha tilganger.  

Tilbyder av data skal sikre at konsument som delegerer ansvaret for sin integrasjon til en underleverandør er informert om konsekvensene av delegeringen. For eksempel kan tilbyder sin avtale med konsument inneholde informasjon om at konsumenten kan delegere sin tilgang videre til en leverandør, men at ansvaret fortsatt ligger hos API-konsument. 

2.3 Kundens plikter som API-konsument

Konsument av data skal følge gode prinsipper for tilgangsstyring, slik at kun personell og systemer med tjenstlig behov har tilgang til token fra Maskinporten og data utlevert fra tilbyder.  

Konsument av data skal i samsvar med prinsipp om dataminimering sørge for at det ikke hentes ut eller lagres mer data enn nødvendig.  

Konsument av data som bruker underleverandør for å få tilgang til API må sørge for å delegere tilgang til underleverandøren. Konsument og underleverandør må ha avtaler som regulerer forholdet mellom dem.  

2.4 Difi sine plikter

Difi skal ha på plass rutiner og systemer som underbygger og i størst mulig grad sikrer at virksomhet som registreres som konsument er den virksomheten den utgir seg for.  

Difi skal ha på plass systemer og rutiner som så langt som mulig sikrer at bare bemyndiget person i virksomhetene har mulighet til å gjøre endringer gjennom selvbetjeningsløsningen. Av hensyn til sikkerhet kan ikke Difi manuelt gi tilganger. 

For å sikre at API-definisjoner er tilstrekkelig unike skal Difi tildele et API-prefiks til tilbydere og sørge for at dette er unikt innenfor Maskinporten. 

Difi kan ved berettiget grunn til mistanke om misbruk eller etter varsel fra tilbyder av data fjerne en tilgang.  

 

3. Administrasjon av Maskinporten

Maskinporten er basert på at kundene selv konfigurerer løsningen ved hjelp av Maskinportens selvbetjeningsfunksjonalitet. Av sikkerhets- og integritetshensyn har Difi ikke anledning til å manuelt tildele tilganger til tilbyders API.

Maskinportens selvbetjeningsfunksjonalitet er tilgjengelig både over API og som web-løsning på Samarbeidsportalen.

Eksempler på tilbudt selvbetjeningsfunksjonalitet for tilbyder av data:

  • Se liste over registrerte APIer og hvilke konsumenter som har tilgang
  • Registrere nye APIer
  • Registrere hvilke konsumenter som kan få tilgang til API.

Eksempler på tilbudet selvbetjeningsfunksjonalitet for konsument av data:

  • Lage integrasjoner
  • Se tildelte API-tilganger
  • Provisjonere API-tilgang til en gitt integrasjon.

3.1 Logger

Selvbetjeningsløsningen logger endringer, aktivitet og hvem som utfører endringene.

Maskinporten logger utstedelser av token.

Difi lagrer logger i 13 måneder.

3.2 Samarbeidsportal

Samarbeidsportalen er den primære informasjons- og varslingskanalen fra Difi om fellesløsningene. Difi forvalter og drifter samarbeidsportalen. 

Samarbeidsportalen inneholder blant annet oppdatert teknisk dokumentasjon, kontaktinformasjon, driftsinformasjon, møteinnkallinger og -referater og relevante rapporter og statistikker. 

Kunden får tilgang til samarbeidsportalen når bruksvilkårene er godtatt. 

Kunden har ansvar for å holde listen over kontaktpunkter i egen virksomhet og annen påkrevd informasjon om egne tjenester oppdatert i samarbeidsportalen. Spesielt viktig er varslingspunkt for kundens tjenester, da dette varslingspunktet vil motta varsler fra Difi ved kritiske og alvorlige hendelser. 

3.3 Brukerråd

Brukerrådet skal diskutere status, endringsønsker og videreutviklingsprosjekter for fellesløsningene, samt annet av relevans for kundenes bruk av fellesløsningene. Mandat for brukerrådet for Difis fellesløsninger er tilgjengelig på Samarbeidsportalen. 

 

4. Tjenestenivå og vedlikehold

4.1 Tjenestenivå

Alle krav som er spesifisert i disse bruksvilkår for private kunder av Maskinporten, skal følges opp slik at tjenester og ytelser blir levert med avtalt og tilfredsstillende kvalitetsnivå.

Difi skal følge opp at autorisasjonstjenester levert gjennom Maskinporten holder det tjenestenivå som fremgår av de til enhver tid gjeldende avtaler Difi har med eksterne leverandører.

Måleperiode for alle tjenester og ytelser er månedlig (per kalendermåned).

4.2 Tilgjengelighet og responstid

Driftsperioden for ID-porten er 24 timer/7 dager i uken/365 dager i året.

BeskrivelseKrav
Tilgjengelighet til Maskinporten og selvbetjeningsAPI99,90 %
ResponstidMindre enn 1 sekunder for 95 % av utstedelsene i gjennomsnitt
Ytelse 720 000 tokenutstedelser i timen for tjenesten totalt

Beskrivelse av måling og beregning er tilgjengelig på samarbeidsportalen.

Difi krever 99,90 % oppetid fra sin driftsleverandør

4.3 Planlagt vedlikehold - vedlikeholdsvindu

Vedlikeholdsvindu er avtalt tid der tjenesten kan være utilgjengelig, og benyttes til vedlikehold av maskinvare, oppgraderinger, service med mer.  

Difis vedlikeholdsvindu er natt til tirsdag. For nærmere informasjon om tidspunkt og antall, se spesielle bruksvilkår for den enkelte felleskomponent.   

Difi skal så langt som mulig ikke benytte vedlikeholdsvinduet i kritiske perioder for kundene. 

4.3.1 Varsling av planlagt vedlikehold

Difi skal minimum 5 virkedager på forhånd varsle om bruk av vedlikeholdsvindu. Varsling skjer på samarbeidsportalen.  

Mindre endringer produksjonsettes fortløpende uten varsling. 

 

5. Personopplysninger

Både konsument av data og tilbyder av data må ha behandlingsgrunnlag for personopplysninger i token (personopplysningsloven art. 6, jf § 1) og saklig og nødvendig behov for behandling av fødselsnummer (personopplysningsloven § 12).  

Token blir ikke loggført av Difi.

Med henvisning til personvernforordningen art. 28, punkt 3, jf personopplysningsloven § 1 angis følgende:

  1. Dersom API/Scope tillater det, kan konsumenten bruke fødselsnummer for å minimere tilgangen til informasjon i APIet. Difi vil være databehandler for fødselsnummer og eventuell annen informasjon i tokenet som sammen med fødselsnummer kan regnes som personopplysninger. Innhold i token blir loggført.
  2. Difi og alle personer som er autorisert til å behandle personopplysninger er underlagt taushetsplikt om alle forhold de får innsyn i ved å behandle personopplysninger i henhold til denne avtalen.
  3. Difi treffer tiltak etter forordningen art 32.
  4. Difi bruker databehandlere for å oppfylle sine plikter etter disse vilkårene. Kunden gir generell tillatelse til at Difi kan endre databehandlere. Eventuelle endringer skal varsles med tre måneders frist.
  5. Difi har rutiner for å oppfylle den registrertes rettigheter etter forordningen kap III.
  6. Difi bistår med oppfylling av plikter etter forordningen art 32-36.
  7. Sletting og tilbakelevering er ikke aktuelt i dette tilfellet.
  8. Difis fellesløsninger og programvare skal ivareta grunnleggende krav til informasjonssikkerhet, jf forskrift om informasjonssikkerhet § 5-1.

 

6. Taushetsplikt

Forvaltningslovens taushetspliktbestemmelser kommer til anvendelse for Difi, kunden og eventuelle underleverandører partene benytter. Partene, og eventuelle underleverandører, skal ta nødvendige forholdsregler for å hindre at uvedkommende får innsyn i eller kan bli kjent med taushetsbelagt materiale eller informasjon.

Om nødvendig skal det undertegnes taushetserklæring. Det skal i tilfelle angis hvilke opplysninger som omfattes av taushetsplikten, og hvordan den skal ivaretas.

Taushetsplikten gjelder også etter tjenestenes opphør. Ansatte eller andre som fratrer sin tjeneste hos en av partene eller deres underleverandører, skal pålegges å bevare taushet om forhold som er nevnt ovenfor, også etter fratredelsen.

 

7. Mislighold

7.1 Reklamasjon

Hvis en part ikke følger opp plikter og ansvar som følger av disse bruksvilkår for private kunder i Maskinporten, anses dette som mislighold.

Den part som mener det foreligger mislighold, skal dersom man ønsker å gjøre misligholdet gjeldende, reklamere skriftlig til den annen part uten ugrunnet opphold.

7.2 Rett og plikt til retting av mislighold

Den part som har misligholdt sine plikter etter vilkårene, har rett og plikt til å utbedre forholdet så raskt som praktisk mulig.

Ved vesentlig mislighold fra kunden kan Difi koble tjenesten fra Maskinporten inntil kunden har dokumentert overfor Difi at misligholdet er rettet.

Ved vesentlig mislighold fra kunden kan Difi fjerne tilgangen til Samarbeidsportalen, herunder selvbetjeningsløsningen, inntil kunden har dokumentert overfor Difi at misligholdet er rettet.

7.3 Erstatning

7.3.1 Difis erstatningsansvar

Difi er ikke ansvarlig for tap som kunden lider på grunn av mislighold eller feil i Maskinporten med mindre dette skyldes vesentlig mislighold, og det foreligger grov uaktsomhet eller forsett fra Difis side.

Ansvaret er under enhver omstendighet begrenset til kundens direkte tap og oppad begrenset til kr 10 000 per skadetilfelle.

Difis ansvar for feil begått av leverandører er uansett begrenset til det beløp som Difi oppnår fra leverandøren som erstatning for kundens tap i hvert enkelt tilfelle.

7.3.2 Tap som følge av mislighold eller feil hos Difis leverandører

Kundens tap som skyldes mislighold eller feil hos en leverandør som Difi har avtale med, vil i henhold til avtale mellom Difi og leverandøren kunne regnes som direkte tap som utløser krav på erstatning fra leverandøren.

Leverandørens erstatningsansvar må vurderes konkret i hvert enkelt tilfelle. Kunden må fremsette sitt krav for Difi, som vurderer om det er grunnlag for å fremme krav mot leverandøren.

7.3.3 Avgrensning mot indirekte tap

Det kan ikke kreves dekning for indirekte tap, med mindre det foreligger forsett.

 

8. Oppsigelse

Kunden kan si opp disse vilkårene med 3 måneders skriftlig varsel.

 

9. Tvisteløsning

Eventuelle konflikter eller uenigheter mellom partene knyttet til samarbeidet skal søkes løst gjennom dialog mellom partene.

Dersom situasjonen ikke blir avklart ved dialog mellom partene innen rimelig tid og kunden er en selvstendig juridisk person, kan søksmål reises for de alminnelige domstoler. Sogn og Fjordane tingrett vedtas som rett verneting.

 

 

Deldette