Målfrid

Personvern og etterleving

Kva som skjer med data frå kommunen

Sida viser kvar dataa blir behandla, kva for underdatabehandlarar som blir brukte, kor lenge alt blir lagra og kva for tryggleikstiltak som gjeld.

Databehandlar
Schoolhub
Lagring og behandling
EU/EØS
Trening på kundedata
Nei

Kva Schoolhub gjer og ikkje gjer

Det som gjeld står i databehandlaravtalen med kvar kommune.

  • Berre etter avtalen

    Vi behandlar opplysningar berre slik databehandlaravtalen og innstillingane til kommunen i Målfrid seier. Vi brukar dei ikkje til eigne føremål og ikkje til å trene modellar.

  • Varsel om endringar

    Kommunen får skriftleg varsel minst 30 dagar før ein ny underdatabehandlar blir teken i bruk, og kan protestere.

  • Administratorane i samarbeidet ser ikkje innhald

    Administratorar i eit IKT-samarbeid kan setje felles reglar for medlemmene. Dei kan ikkje lese eller søkje i samtalane til kommunane.

Slik kan du kontrollere det vi seier

Kvar påstand har ein måte å kontrollerast på. Der noko er eit avtalekrav og ikkje kan målast i produktet, seier vi det.

  • Kvar melding og kvart svar blir loggført.

    Slik fungerer det

    Når ei melding kjem inn, blir ho lagra saman med ei loggrad i same databaseoperasjon, før modellen blir kalla. Sviktar lagringa, blir ingenting send. Når svaret er ferdig, blir det skrive ei ny rad med modell, leverandør, region, tekstmengd og kostnad. Avviste meldingar får eiga rad.

    Slik kan du kontrollere det

    • Be revisor eller administrator hente loggen frå sida Revisjon som JSONL eller CSV etter nokre dagars bruk.
    • Samanlikn radene med samtalane de veit har vore.
    • Dømet under viser korleis ein eksport ser ut.

    Sjå ogsåDøme på loggeksportDatabehandlaravtale, vedlegg 4

  • Loggen kan ikkje endrast i ettertid.

    Slik fungerer det

    Tenesta kan berre leggje til nye liner i loggen. Ho har ikkje rett til å endre eller slette. Kvart døgn blir det rekna ut ein kontrollsum over linene for døgnet, og han blir kopla til kontrollsummen frå førre døgn. Endrar nokon ei line seinare, stemmer ikkje kontrollsummen lenger. Den som har full tilgang til databasen kan i prinsippet skrive om både loggen og kontrollsummane, og difor bør kommunen ta vare på kontrollsummane sjølv.

    Slik kan du kontrollere det

    • IKT kan hente kontrollsummane frå tenesta og lagre dei i systemet til kommunen sjølv.
    • Tenesta har ein kontroll som reknar kjeda på nytt og viser om noko ikkje stemmer.
    • Eit lagra kontrollpunkt hos kommunen gjer at vi ikkje kan skrive om historia utan at det blir oppdaga.

    Sjå ogsåDPIA, tiltak mot misbruk av loggenSletting og lagringstid

  • Innhaldet blir lagra i EU, og behandlingsstaden for kvart svar står i loggen.

    Slik fungerer det

    Innhaldet blir lagra hos Scaleway i Paris, med tryggingskopi i Amsterdam. Kvar modell har ein oppgitt behandlingsstad, og han blir skriven i loggrada for svaret.

    Slik kan du kontrollere det

    • Sjå på feltet region i detaljane for kvart svar i loggeksporten. Det viser behandlingsstaden.
    • Filtrer på leverandør og samanlikn med lista over underdatabehandlarar.
    • Kontroller at berre leverandørane kommunen har godkjent i avtalen, finst i loggen.

    Sjå ogsåUnderdatabehandlararRegister over underdatabehandlarar

  • Data frå kommunen blir ikkje brukte til å trene modellar.

    Slik fungerer det

    Det er forbode i databehandlaravtalen, og vi krev det same av kvar modelleverandør før han blir slått på. Dette er eit avtalekrav som ikkje kan målast i produktet.

    Slik kan du kontrollere det

    • Les punkt 3.4 i databehandlaravtalen og punkt 3 i registeret over underdatabehandlarar.
    • Be om databehandlaravtalen for kvar modelleverandør kommunen slår på.
    • Ta kravet inn som skal-krav i kravspesifikasjonen (krav P4).

    Sjå ogsåDatabehandlaravtaleKravspesifikasjon

  • Konfidensielt innhald og personopplysningar er kryptert felt for felt.

    Slik fungerer det

    Før tekst i ein konfidensiell samtale eller ein samtale med personopplysningar blir lagra, blir han kryptert. Nøkkelen blir oppbevart i Scaleway Secret Manager, ikkje i koden. Ope og internt innhald er kryptert i lagringa, men ikkje felt for felt.

    Slik kan du kontrollere det

    • Tiltaket er skildra i vedlegg 4 til databehandlaravtalen.
    • Be IKT om ein teknisk gjennomgang der vi viser eit kryptert felt i ein testdatabase utan ekte data.

    Sjå ogsåDatabehandlaravtale, vedlegg 4ROS-analyse

  • Data frå kvar kommune blir haldne for seg.

    Slik fungerer det

    Databasen avviser spørjingar som går på tvers av kommunar, same kva programmet ber om. Det gjeld også mellom kommunane i eit IKT-samarbeid.

    Slik kan du kontrollere det

    • Skiljet mellom kommunane blir testa automatisk ved kvar endring i koden.

    Sjå ogsåROS-analyseSvar på tryggleiksspørsmål

  • Dataklassen avgjer kva modellar som kan brukast.

    Slik fungerer det

    Før ei melding blir send, sjekkar tenesta dataklassen mot reglane til kommunen. Er ingen modell tillaten, eller inneheld ein open samtale personopplysningar, blir meldinga avvist og avvisinga logga.

    Slik kan du kontrollere det

    • Skriv eit gyldig, syntetisk fødselsnummer i ein samtale i dataklassen Open. Meldinga blir avvist.
    • Opne loggen. Avvisinga står der med utfallet «denied» og grunnen.
    • Same melding i dataklassen Personopplysningar går berre til modellar kommunen har tillate for den klassen.

    Sjå ogsåDataflyt per dataklasseDataklassar

  • Samtalar blir sletta etter fristane for dataklassen.

    Slik fungerer det

    Ein jobb køyrer kvar natt og slettar samtalar som er eldre enn fristen for klassen. Journalførte samtalar blir behaldne til arkivet har stadfesta mottak. Køyringa blir skriven til loggen.

    Slik kan du kontrollere det

    • Søk i loggen etter handlinga retention.sweep.completed og sjå kor mange som vart sletta.
    • Kontroller fristane i administrasjonen for eininga.
    • Ein sletta samtale kan liggje i tryggingskopiane i opptil 90 dagar før han er borte.

    Sjå ogsåLagringstid og slettingSletting og lagringstid

  • Berre leverandørane i lista blir brukte.

    Slik fungerer det

    Alle modell- og hostingleverandørar står i registeret over underdatabehandlarar. Ein ny leverandør krev skriftleg førehandsgodkjenning frå kommunen, og kommunen blir varsla minst 30 dagar før ei endring. Microsoft Azure er med berre viss kommunen har avtalt det.

    Slik kan du kontrollere det

    • Samanlikn leverandørfeltet i loggeksporten med registeret.
    • Be om endringsvarsel etter punkt 5.3 i databehandlaravtalen.

    Sjå ogsåUnderdatabehandlararDatabehandlaravtale

Slik ser ein loggeksport ut

Revisor og administrator kan hente loggen som JSONL eller CSV. Dømet under har dei same kolonnane som ein ekte eksport.

DømeSamtaleinnhaldet ligg ikkje i loggen.
Døme på loggeksport. Fiktive data frå Fjellvik kommune. Tidspunkt i UTC.
TidspunktKvenHandlingDataklasseModell, leverandør og regionUtfallKva det tyder
2026-11-03 08:14:02Kari Fjellchat.message.createIntern–okEi melding vart send. Loggen viser lengda på teksten, ikkje teksten.
2026-11-03 08:14:09Kari Fjellchat.completionInternmistral-large-4 · mistral · fr (Mistral AI, Paris)okSvaret vart ferdig. Modell, leverandør, behandlingsstad og kostnad er lagra.
2026-11-03 09:02:31Ola Dalchat.message.createOpen–denied (avvist)Meldinga vart avvist fordi ho inneheldt eit fødselsnummer i ein open samtale.
2026-11-03 09:40:12Ingrid Bergfoia.search––okRevisor søkte i samtalar i samband med eit innsynskrav.
2026-11-03 09:55:48Ingrid Bergaudit.export––okLoggen vart eksportert. Sjølve eksporten er også logga.
2026-11-04 02:15:07Systemetretention.sweep.completed––okDen nattlege slettinga vart køyrd, og resultatet vart loggført.
Sjå éi rad som JSON

Rada for svaret i dømet, slik ho ser ut i ein JSONL-eksport. Alle id-ar er dikta opp.

{
  "id": "0c4e8a52-6f3b-4d1e-9a77-2b5d1c8f4e10",
  "occurred_at": "2026-11-03T08:14:09.412+00:00",
  "actor_id": "5a9d3e71-82c4-4b0f-a1d6-73e0b4c2f958",
  "actor_name": "Kari Fjell",
  "action": "chat.completion",
  "object_type": "message",
  "object_id": "e2f7a6b3-1d48-4c95-8b02-9f6a0d3c7e21",
  "org_node_id": "b81c4d20-37fa-4e69-9c15-4a2e8f60d7b3",
  "tenant_root_id": "3f0a9c68-5d12-47be-a8e4-1c7b2d95f046",
  "data_class": "internal",
  "model_id": "mistral-large-4",
  "provider": "mistral",
  "outcome": "ok",
  "details": {
    "conversation_id": "9d2b6e04-a3c1-4f87-b5d9-0e8c71a4f263",
    "run_id": "c6a1f9d3-4e72-4b08-91ea-5d3b8f0c2a74",
    "region": "fr (Mistral AI, Paris)",
    "track": "A",
    "mocked": false,
    "tokens_in": 1840,
    "tokens_out": 410,
    "cost_nok": 0.0614,
    "fallback_from": null,
    "sources": ["chunk-7f3a", "chunk-91bc"],
    "tools": []
  }
}

Slik les du loggen

  • Loggen viser kven som gjorde kva, når, med kva dataklasse og kva modell. Han inneheld ikkje samtalen.
  • Avviste førespurnader står med utfallet «denied» og ein grunn, og blir oppbevarte i 365 dagar. Gjennomførte handlingar blir oppbevarte i 5 år.
  • Alle oppslag og eksportar i loggen blir sjølve loggførte.

Kvar dataa blir behandla

Innhaldet blir lagra hos Scaleway i Frankrike, med tryggingskopi i Nederland. Når ei melding skal svarast på, blir ho send til ein språkmodell hos ein av leverandørane under. Alle behandlar data i EU/EØS, og behandlingsstaden blir lagra på kvar melding.

Språkmodellar, leverandørar og behandlingsstad
ModellLeverandørBehandlingsstadBruk
Opne modellarGreenPTEU (Frankrike og Finland)Kan brukast for alle dataklassar, og er som standard den einaste for Konfidensiell og Personopplysningar.
Fleire modellar i éi tenestenexos.aiEUModellar frå fleire utviklarar samla i éi teneste. Blir brukt for Open og Intern som standard.
Microsoft AzureAzure OpenAIDatasona til EU (Sverige og andre EU-land)GPT-modellane. Blir berre brukte viss kommunen slår dei på, og då som standard for Open og Intern. Konfidensielt innhald og personopplysningar berre viss kommunen vel det i tillegg.
MistralMistral AIFrankrike (Mistral AI, Paris)Mistral Large 4 er standardmodellen for Open og Intern. Valfri tale til tekst og tekstgjenkjenning av skanna dokument.
NettsøkStaanEUValfritt nettsøk, av som standard. Aldri for konfidensielle samtalar eller personopplysningar.

Når ein leverandør ikkje svarar

Svarar ikkje leverandøren, prøver Målfrid ein annan modell som kommunen har tillate for same dataklasse. Finst det ingen slik modell, får brukaren ei feilmelding.

Slik går ei melding gjennom systemet

Meldinga blir lagra og ført i loggen før ho blir send til modellen. Sviktar lagringa, blir ingenting send.

Dataflyt for ei chatmeldingFrå nettlesaren går meldinga til Målfrid, som lagrar ho, fører ho i loggen, sjekkar reglane til kommunen og sender ho vidare til ein modell hos ein leverandør. Svaret kjem tilbake same veg.NettlesarNettstadMålfridRegelsjekkModell hos EU-leverandørRegion blir loggaLoggDatabaseBlir skriven førstSvaret strøymer tilbake

Stega i tekst

  1. Du skriv ei melding i nettlesaren. Ho blir send kryptert til Målfrid.
  2. Nettstaden vidaresender meldinga saman med innlogginga di. Ingen tilgangsvurdering skjer i nettlesaren.
  3. Målfrid sjekkar kven du er, kva for rolle du har og om innlogginga er sterk nok for dataklassen. Resten av behandlinga kan berre nå data som tilhøyrer kommunen.
  4. Målfrid ser etter fødselsnummer og liknande i teksten. I ein open samtale blir meldinga stoppa, elles kan Målfrid føreslå ein høgare dataklasse.
  5. Meldinga blir lagra, og loggen får ei rad om ho, før ho går vidare.
  6. Regelsjekken samanliknar dataklassen med reglane til kommunen. Brot blir avviste og logga.
  7. Meldinga blir send til ein modell som kommunen har tillate for dataklassen. Behandlingsstaden blir lagra.
  8. Svaret blir vist medan det kjem, og blir lagra i samtalen. Loggen får ei rad med modell, leverandør, behandlingsstad og kva for kjelder som vart brukte.

Innhald i konfidensielle samtalar og personopplysningar er kryptert felt for felt i databasen. Driftsstatistikken til Målfrid inneheld aldri meldingstekst eller e-postadresser.

Dataflyt per dataklasse

Kva som skjer med ei melding, avhengig av dataklassen. Verdiane er standardinnstillingane. Kommunen kan endre dei, og ei overordna eining kan låse valet.

Open

  1. 1. Sjekk før sending

    Finn Målfrid personopplysningar i teksten, blir meldinga avvist.

  2. 2. Modell og stad

    Mistral i Paris (standardmodellen) og GreenPT i EU. Microsoft Azure og nexos.ai viss kommunen slår dei på.

  3. 3. Lagring

    Hos Scaleway i Paris, kryptert lagring.

  4. 4. Innlogging

    Tofaktor.

  5. 5. Sletting

    Etter 24 månader.

Nettsøk (Staan) er av som standard. Kommunen kan slå det på for opne og interne samtalar.

Intern

  1. 1. Sjekk før sending

    Finn Målfrid personopplysningar, føreslår ho ein høgare dataklasse.

  2. 2. Modell og stad

    Som for Open: Mistral i Paris (standardmodellen) og GreenPT i EU. Microsoft Azure og nexos.ai viss kommunen slår dei på.

  3. 3. Lagring

    Hos Scaleway i Paris, kryptert lagring.

  4. 4. Innlogging

    Tofaktor.

  5. 5. Sletting

    Etter 12 månader.

Nettsøk (Staan) er av som standard. Kommunen kan slå det på for opne og interne samtalar.

Konfidensiell

  1. 1. Sjekk før sending

    Finn Målfrid personopplysningar, føreslår ho ein høgare dataklasse.

  2. 2. Modell og stad

    GreenPT i EU. Microsoft Azure, nexos.ai og Mistral berre viss kommunen slår dei på for denne klassen.

  3. 3. Lagring

    Hos Scaleway i Paris, kryptert felt for felt.

  4. 4. Innlogging

    Tryggleiksnøkkel eller Windows Hello.

  5. 5. Sletting

    Etter 90 dagar. Ein journalført samtale blir halden på til arkivet har stadfesta mottak.

Nettsøk (Staan) blir aldri brukt.

Personopplysningar

  1. 1. Sjekk før sending

    Meldinga blir avvist viss ingen modell er tillaten. Klassen kan ikkje senkast i ein samtale.

  2. 2. Modell og stad

    GreenPT i EU. Microsoft Azure, nexos.ai og Mistral berre viss kommunen slår dei på for denne klassen og inga overordna eining har låst valet.

  3. 3. Lagring

    Hos Scaleway i Paris, kryptert felt for felt.

  4. 4. Innlogging

    Tryggleiksnøkkel eller Windows Hello, og ny innlogging etter 8 timar.

  5. 5. Sletting

    Etter 30 dagar. Ein journalført samtale blir halden på til arkivet har stadfesta mottak.

Nettsøk (Staan) blir aldri brukt.

Hosting er alltid Scaleway i Frankrike. Tryggingskopi ligg i Amsterdam.

Dataklassar

Du vel dataklasse før første melding. Klassen avgjer kva for modellar som kan brukast, korleis innhaldet blir lagra, kor lenge det blir halde på og kor sterk innlogging som blir kravd. Klassen kan berre hevast i ein samtale, aldri senkast.

Dataklassar med standardinnstillingar. Kommunen kan endre dei, og ei overordna eining kan låse valet for alle under seg.
KlasseDømeModellar som kan brukastLagringStandard lagringstidKrav til innlogging
OpenOffentlege dokument, møtebøkerMistral og GreenPT. Microsoft og nexos.ai viss kommunen slår dei påStandard24 månaderTofaktor
InternInterne notat, utkastMistral og GreenPT. Microsoft og nexos.ai viss kommunen slår dei påStandard12 månaderTofaktor
KonfidensiellOpplysningar med teieplikt (forvaltningslova § 13), personalsakerGreenPT. Andre leverandørar viss kommunen har valt det.Kryptert felt for felt90 dagarTryggleiksnøkkel eller Windows Hello
PersonopplysningarPersonopplysningar om innbyggjararGreenPT. Andre leverandørar viss kommunen har valt det og inga overordna eining har låst valet.Kryptert felt for felt30 dagarTryggleiksnøkkel eller Windows Hello, ny innlogging etter 8 timar

Ei overordna eining kan til dømes avgjere at Microsoft aldri blir brukt for personopplysningar i nokon av einingane under seg.

Lagringstid og sletting

Sletting skjer automatisk etter dataklasse og blir loggført. Journalførte samtalar blir ikkje sletta i Målfrid før arkivet har stadfesta mottak.

Standard lagringstid per type data
KvaStandard lagringstidMerknad
Samtalar og innhald, open24 månaderKommunen kan velje ein annan frist.
Samtalar og innhald, intern12 månaderKommunen kan velje ein annan frist.
Samtalar og innhald, konfidensiell90 dagarEin journalført samtale blir halden på til arkivet har stadfesta mottak.
Samtalar og innhald, personopplysningar30 dagarEin journalført samtale blir halden på til arkivet har stadfesta mottak.
Lydopptak til referatSom dataklassenLyden følgjer dataklassen til transkripsjonen.
Logg over kven som gjorde kva, og når5 årInneheld metadata, ikkje samtaleinnhald.
Avviste førespurnader365 dagarKan justerast per kommune.
Tryggingskopi30 dagar (dagleg) og 90 dagar (vekentleg)Lagra i Amsterdam. Sletta data kan finnast i kopiane til fristen er ute, og blir ein kopi gjenoppretta, køyrer vi slettinga på nytt. Mål for gjenoppretting: 4 timar ved sonefeil og 8 timar ved regionfeil.
Når avtalen tek sluttEksport innan 30 dagar. Tryggingskopiane er borte seinast 90 dagar etter slettingaOpe format (JSON, PDF, Noark 5-pakke). Vi slettar når kommunen har stadfesta mottak, og stadfestar slettinga skriftleg. Fristane står i databehandlaravtalen punkt 14.

Loggen inneheld ikkje sjølve samtalen. Innhaldet kan difor slettast etter fristane, medan det framleis kan dokumenterast at samtalen skjedde.

Slik vernar vi dataa

Tiltaka er bygde inn i produktet og skildra i bilag 4 til databehandlaravtalen. Tryggleiksvurderinga (ROS) og personvernkonsekvensvurderinga (DPIA) ligg under dokument.

  • Kryptering

    All trafikk er kryptert, og data er kryptert når dei blir lagra. Innhald i konfidensielle samtalar og personopplysningar er i tillegg kryptert felt for felt. Nøkkelen blir oppbevart i Scaleway Secret Manager, skild frå databasen.

  • Tilgangsstyring

    Tilsette loggar inn med Entra ID til kommunen, og skular brukar Feide. Tofaktorautentisering blir kravd for alle dataklassar. For konfidensielt innhald og personopplysningar blir det kravd tryggleiksnøkkel eller Windows Hello. Kven som får sjå kva, blir alltid avgjort på tenaren og aldri i nettlesaren. Roller blir arva nedover i organisasjonen.

  • Kvar kommune sine data for seg

    Data frå kvar kommune er skilde frå dei andre i databasen, slik at ein kommune ikkje kan lese data frå ein annan, heller ikkje gjennom eit IKT-samarbeid. Vi testar dette automatisk ved kvar endring i koden.

  • Logg som ikkje kan endrast

    Målfrid kan leggje til nye liner i loggen, men ikkje endre eller slette gamle. Første linja blir skriven før meldinga blir send til modellen, og ei ny når svaret er ferdig. Kvart døgn blir det laga ein kontrollsum over loggen, slik at endringar i etterkant kan oppdagast. Alle administratorhandlingar blir logga, også endringar i reglar som blir arva nedover.

  • Nettverk og drift

    Tenarane ligg i eit privat nettverk, og all trafikk ut er stengd bortsett frå til leverandørane vi har godkjent. Nye versjonar blir rulla ut utan nedetid, og vi har ein rutine for å øve på gjenoppretting.

  • Våre eigne tilgangar

    Tilsette hos Schoolhub får tilgang berre når dei treng det til ei konkret oppgåve, for ei avgrensa tid, og alt blir logga. Dei har teieplikt. Vi brukar ikkje produksjonsdata i utvikling, og passord og nøklar ligg aldri i koden.

Innsyn og rettane til dei registrerte

Innsyn etter offentleglova og rettane til dei registrerte etter personvernforordninga er to ulike regelverk. Målfrid har verktøy for begge, og det er kommunen som avgjer kva som blir levert ut.

Innsyn etter offentleglova

  • Samtalar og utkast kan vere dokument som må vurderast for innsyn. Målfrid er bygd slik at dei kan finnast, vurderast og leverast ut.
  • Innsynsmodulen kan søkje i samtalar på tvers av brukarar i éin kommune, og er berre tilgjengeleg for arkivadministrator og revisor.
  • Systemet foreslår skjerming med lovheimel. Eit menneske må godkjenne før noko blir levert ut.
  • Utleveringspakka får kontrollsum og blir loggført. Samtalar kan eksporterast som PDF og som Noark 5-pakke.
  • Innsyn går aldri på tvers av kommunar.

Rettane til dei registrerte etter GDPR

  • Den registrerte kan be om innsyn, retting, sletting, avgrensing, dataportabilitet og kan protestere (art. 15 til 22).
  • Førespurnader frå enkeltpersonar som kjem til oss, sender vi til kommunen utan ugrunna opphald, normalt innan tre yrkedagar.
  • Vi gir kommunen verktøy for å hente ut og slette: eksport av samtalar, sletting og innsynsmodul.
  • Målfrid gjer ingen automatiske avgjerder med rettsleg verknad for enkeltpersonar (art. 22). Svar er utkast som eit menneske vurderer.
  • Den registrerte kan klage til Datatilsynet.

Sletting etter GDPR og arkivplikt etter arkivlova kan trekkje i ulik retning. Difor blir journalførte samtalar først sletta etter at arkivet har stadfesta mottak.

KI-forordninga

Målfrid er eit KI-system med avgrensa risiko. Schoolhub er leverandør, kommunen er idriftsetjar. Plattforma er ikkje høgrisiko i seg sjølv, men korleis ein assistent blir brukt, kan endre det.

  • Register over assistentar

    Kvar assistent har føremål, risikoklasse, dataklassar, tillatne modellar, kjelder, eigar, godkjennar og versjon. Publisering krev godkjenning (utkast, gjennomgang, publisert). Registeret kan eksporterast.

  • Menneskeleg kontroll

    Svar blir viste som utkast, med kjelder som kan opnast og kontrollerast. Eit eksportert utkast viser kven som har kvalitetssikra det, eller at det ikkje er kvalitetssikra. Brukaren kan alltid avvise eller overstyre, og det blir loggført.

  • Merking av KI-generert tekst

    Brukaren får beskjed om at ho eller han snakkar med KI. Eksport blir merkt «Utkast laga med KI-assistent, kvalitetssikra av …», og utkast har eit maskinlesbart felt som markerer KI-generert innhald. Modell, leverandør og region blir viste.

  • Forbode og høgrisiko

    Målfrid har ingen funksjon for sosial skåring eller kjenslegjenkjenning. Rangering av søkjarar og avgjerder om ytingar er utanfor det Målfrid er laga for. Føremålet med kvar assistent blir vurdert av ein annan person enn den som laga han, før han blir publisert.

  • Logging

    Loggføringa er bygd til nivået som blir kravd for høgrisikosystem, sjølv om Målfrid normalt ikkje er det. Handlingslogg blir oppbevart i fem år som standard, mot kravet om minst seks månader.

  • Opplæring

    Målfrid har eit kurs i KI-kompetanse for tilsette, mellom anna om kva språkmodellar ikkje kan og korleis svara blir kvalitetssikra. Kommunen kan gjere kurset obligatorisk, og informerer tilsette og tillitsvalde før bruk.

Dette er ikkje juridisk rådgiving. Kontroller gjeldande ordlyd med juristen i kommunen.

Tryggleiksrammeverk

Standardar og regelverk Målfrid er bygd etter.

Rammeverk og standardar
RammeverkKva det tyder
NSM grunnprinsipp for IKT-tryggleikBlir brukt som sjekkliste i utvikling og drift.
GDPRDatabehandlaravtale, DPIA, ROS og behandlingsprotokoll følgjer produktet og blir versjonerte. Kommunen eig si eiga DPIA.
KI-forordninga (EU 2024/1689)Roller, risikoklassar, register, menneskeleg kontroll og merking er beskrivne og bygde inn. Blir gjennomgått minst kvar sjette månad.

Underdatabehandlarar

Desse leverandørane kan behandle data på vegner av kommunen, avhengig av kva kommunen har slått på.

Underdatabehandlarar, teneste, stad, type og dataklassar
UnderdatabehandlarTenesteStadTypeDataklassar (standard)
Scaleway SAS (Iliad-konsernet, Frankrike)Hosting: Kubernetes, PostgreSQL, Redis, objektlagring, nøkkel- og løyndomsforvaltning, GPU for taleEU (Paris, Frankrike). Tryggingskopi i Amsterdam, NederlandHostingOpen, Intern, Konfidensiell, Personopplysningar
GreenPT BV (Nederland)Språkmodellar (opne modellar). Standard for alle dataklassarEU (Frankrike og Finland)SpråkmodellOpen, Intern, Konfidensiell, Personopplysningar
Microsoft Ireland Operations Ltd. (Azure OpenAI)Språkmodellar (GPT) i EU Data Zone. Blir berre brukt viss kommunen aktivt vel detEU Data Zone (Sverige og andre EU-land)Språkmodell (valfri)Open, InternForval. Andre klassar etter aktivt val frå kommunen
nexos.aiTilgang til fleire språkmodellar (Claude, Mistral og modellar med kinesisk opphav) gjennom éi tenesteVarierer per modellSpråkmodellOpen, InternForval. Kommunen avgjer, og behandlingsstaden varierer per modell
Mistral AI SASSpråkmodellane til Mistral, valfri tale til tekst og valfri tekstgjenkjenning av skanna dokumentFrankrike (Mistral AI, Paris)SpråkmodellOpen, InternForval. Kommunen avgjer
Sikt (Feide)Pålogging for skule og oppvekst (valfritt)NoregPåloggingIkkje innhald
Staan (europeisk søkemotor-API)Nettsøk (Staan). Av som standard og aldri for konfidensielle samtalar eller personopplysningarEUNettsøkOpen, InternBerre viss kommunen slår det på

Microsoft Entra ID er kommunen sitt eige system og står difor ikkje i lista. Hosting hos Scaleway SAS (Frankrike, EU-eigd) blir brukt av alle kommunar. Microsoft er underdatabehandlar berre viss kommunen sjølv slår på Azure OpenAI.

Kommunen får skriftleg varsel minst 30 dagar før ein ny eller endra underdatabehandlar blir teken i bruk, og kan protestere med saklege grunnar.

Avvik og tryggleikshendingar

Vi varslar kommunen utan ugrunna opphald og seinast 24 timar etter at vi har oppdaga eit brot på personopplysningstryggleiken.

  1. Vi oppdagar eller får melding om ei hending, og stansar skaden.
  2. Vi varslar kontaktpersonen til kommunen skriftleg, også når opplysningane er ufullstendige.
  3. Varselet beskriv art og omfang, berørte registrerte og tiltak, slik at kommunen kan vurdere meldeplikta til Datatilsynet innan 72 timar (art. 33).
  4. Vi hjelper kommunen med utgreiing, kommunikasjon og dokumentasjon.
  5. Vi gjer ei årsaksanalyse og følgjer opp tiltak, og hendinga går inn i risikovurderinga.

Hendingar som gjeld KI-bruk, til dømes alvorlege feil, blir meldte på same måte, slik at kommunen kan oppfylle pliktene sine som idriftsetjar.

Kontakt oss om personvern

Spørsmål om personvern, tryggleik, databehandlaravtalen eller dokumentasjon du ikkje finn her, kan sendast til oss. Merk e-posten «Personvern». Personvernombodet til Schoolhub er Fresh Compliance GmbH i Berlin, info@freshcompliance.de.

Personvern og tryggleik
personvern@malfrid.eu
Generelle førespurnader
kontakt@malfrid.eu

Som innbyggjar eller tilsett i ein kommune som brukar Målfrid, ta først kontakt med kommunen. Personvernombodet i kommunen kan hjelpe deg.

Du kan alltid klage til Datatilsynet.

Dokument

Dokumenta er skrivne på bokmål. Vi oppdaterer dei når produktet endrar seg, og viser når dei sist vart endra.

Malar og dokument til vurderinga i kommunen

Kommunen kopierer dokumenta og fyller ut felta i hakeparentes saman med personvernombodet. Kvart dokument kan lastast ned som PDF frå dokumentsida.

Avtalar

  • Databehandlaravtale

    Avtalen mellom kommunen og Schoolhub etter GDPR art. 28, med bilag om tiltak, slettefristar og underdatabehandlarar.

    Sist oppdatert 21. oktober 2026

  • Underdatabehandlarar

    Oversikt over underdatabehandlarar med teneste, stad og krav.

    Sist oppdatert 21. oktober 2026

  • Personvernerklæring for tenesta (mal)

    Mal kommunen kan bruke i si eiga informasjon til tilsette og innbyggjarar.

    Sist oppdatert 21. oktober 2026

Vurderingar

  • Personvernkonsekvensvurdering (DPIA)

    Underlag til DPIA-en til kommunen etter art. 35: behandlinga, risiko og tiltak.

    Sist oppdatert 21. oktober 2026

  • ROS-analyse

    Risikoregister for Målfrid med truslar, tiltak og restrisiko, til bruk i risikovurderinga til kommunen sjølv.

    Sist oppdatert 21. oktober 2026

  • Vurdering av overføring til tredjeland

    Vurdering av overføringsgrunnlag der ein leverandør har tilknyting til tredjeland.

    Sist oppdatert 21. oktober 2026

Rutinar

  • Behandlingsprotokoll

    Oversikt over behandlingane vi gjer som databehandlar (art. 30).

    Sist oppdatert 21. oktober 2026

  • Avvikshandtering

    Korleis vi oppdagar, varslar og følgjer opp brot på personopplysningstryggleiken.

    Sist oppdatert 21. oktober 2026

  • Rettane til dei registrerte

    Korleis vi hjelper kommunen når ein registrert vil bruke rettane sine.

    Sist oppdatert 21. oktober 2026

  • Sletting og lagringstid

    Standard lagringstid per dataklasse og korleis sletting blir gjennomført og loggført.

    Sist oppdatert 21. oktober 2026

Erklæringar

  • Personvernerklæring for nettstaden

    Korleis vi behandlar opplysningar om besøkande og dei som sender inn kontaktskjemaet på malfrid.eu.

    Sist oppdatert 21. oktober 2026

  • Informasjonskapslar

    Kva for informasjonskapslar nettstaden og tenesta brukar.

    Sist oppdatert 21. oktober 2026

  • KI-forordninga

    Roller, risikoklassar, register over assistentar, menneskeleg kontroll og logging.

    Sist oppdatert 21. oktober 2026

  • Tilgjengelegheit

    Korleis vi arbeider med universell utforming (WCAG 2.1 AA).

    Sist oppdatert 21. oktober 2026

Informasjonstryggleik

Vanlege spørsmål frå kommunar

Detaljane står i dokumenta og på sidene for kvar rolle.

Trenar de eller leverandørane på data frå kommunen?

Nei. Opplysningane blir ikkje brukte til trening av modellar, verken hos oss eller hos underdatabehandlarar. Det er eit krav i databehandlaravtalen og i krava vi stiller til kvar modellleverandør før han blir slått på.

Kvar ligg dataa våre?

Innhaldet blir lagra hos Scaleway i Paris (EU-eigd), med tryggingskopi i Amsterdam. Konfidensielt innhald og personopplysningar går som standard berre til GreenPT, som behandlar data i Frankrike og Finland. Kva andre leverandørar som kan brukast, og for kva dataklassar, avgjer kommunen.

Kan Microsoft sjå dataa våre?

Berre viss kommunen sjølv slår på Azure OpenAI. Drifta er hos Scaleway i Frankrike, og Microsoft er ikkje underdatabehandlar så lenge Azure OpenAI er av. Slår kommunen det på, går meldingar til GPT-modellane i datasona til EU. Konfidensielt innhald og personopplysningar går dit berre viss kommunen vel det i tillegg.

Kan ein annan kommune eller IKT-samarbeidet lese samtalane våre?

Nei. Data frå kvar kommune er skilde frå dei andre i databasen, og innsyn går aldri på tvers av kommunar. Administratorar i eit IKT-samarbeid kan setje felles reglar, men ikkje lese innhald.

Kan tilsette hos Schoolhub lese samtalane?

Berre når det trengst for ei konkret oppgåve, for ei avgrensa tid og med logging. Dei tilsette har teieplikt, og konfidensielt innhald og personopplysningar er i tillegg kryptert felt for felt.

Må vi lage ei DPIA?

Kommunen eig DPIA-en for si eiga bruk. Vi leverer eit ferdig underlag og ei ROS-analyse som de kan kopiere og fylle ut saman med personvernombodet.

Kan Målfrid gjere vedtak?

Nei. Svar er utkast med kjelder som ein saksbehandlar vurderer.

Kven kan søkje i samtalar når vi får eit innsynskrav?

Berre arkivadministrator og revisor, og berre innanfor eigen kommune. Systemet foreslår skjerming med lovheimel, og eit menneske godkjenner.

Kva skjer med dataa viss avtalen tek slutt?

Kommunen får dataa sine i ope format innan 30 dagar. Når kommunen har stadfesta mottak, slettar vi alt og stadfestar det skriftleg, og dei siste tryggingskopiane forsvinn innan 90 dagar. Journalførte samtalar blir ikkje sletta før arkivet har stadfesta mottak.