Databehandleravtale for Målfrid

Versjon 1.2, 21. oktober 2026. Avtale etter personvernforordningen (GDPR) art. 28 mellom en kommune eller fylkeskommune (Behandlingsansvarlig) og Schoolhub AS (Databehandler) om levering av Målfrid.

Grunnlag: KS sin databehandleravtale

Avtalen er bygget på KS (Kommunesektorens organisasjon) sin standard databehandleravtale for kommunal sektor, slik den publiseres som «Bilag 3 – Databehandleravtale til tjenesteavtale (SSA-L)»: https://www.ks.no/globalassets/bilag-3.pdf. Vi følger KS sin oppbygging og begrepsbruk: 16 hovedpunkter (formål, rangordning, omfang, partenes plikter, underleverandør, informasjonssikkerhet, dokumentasjon, risiko og avvik, revisjon, taushetsbelagt informasjon, varighet, mislighold, erstatning, opphør, meddelelser, lovvalg) og bilag for underleverandører og underleverandørers tiltredelse. Teksten er vår egen omformulering, ikke en kopi, og bilagene har innhold som er spesifikt for Målfrid. Begrepene er Rettsgrunnlaget, Informasjon, Leveranseavtalen, Behandlingsansvarlig og Databehandler, slik KS bruker dem.

Kommunen kan bruke sin egen signerte KS-versjon. Mange kommuner har en ferdig KS-basert eller egen standardavtale. Det er i orden. Da brukes hovedteksten til kommunen, og bilag 1, 3, 4 og 5 i denne avtalen (underleverandører, behandlingen, sikkerhetstiltak, oppbevaring og sletting) legges ved uendret som Målfrid-spesifikke bilag. Der kommunens tekst og våre bilag avviker, gjelder den strengeste forpliktelsen for Databehandler, med mindre partene avtaler noe annet. Schoolhub krever ikke merpris for et slikt bytte.

GDPR art. 28(3). Avtalen oppfyller også kravene i art. 28(3)(a)–(h). Se kryssreferansen i punkt 17. Avtalen er ikke satt sammen av Europakommisjonens standardavtalevilkår (gjennomføringsbeslutning (EU) 2021/915). Partene kan velge dem i stedet. Innholdet i bilagene kan da brukes som bilag I–IV til disse.

Felt i hakeparentes fylles ut av Behandlingsansvarlig.

Relaterte dokumenter: underdatabehandlere, DPIA, ROS, sletting og lagringstid, avvikshåndtering, registrertes rettigheter, TIA.

---

Parter

Behandlingsansvarlig: [Navn på kommune eller fylkeskommune], org.nr. [organisasjonsnummer], adresse [adresse], kontaktperson [kontaktperson], personvernombud [navn og kontaktinformasjon til kommunens personvernombud].

Databehandler: Schoolhub AS, org.nr. 932739798, Bryggerikaien 24, 4014 Stavanger. Kontakt for personvern og sikkerhet: personvern@malfrid.eu. Generell kontakt: kontakt@malfrid.eu. Databehandlers personvernombud er Fresh Compliance GmbH, Berlin, info@freshcompliance.de.

Leveranseavtalen: hovedavtale om bruk av Målfrid av [dato for hovedavtalen]. Denne avtalen er et vedlegg til Leveranseavtalen.

1. Formålet med avtalen

1.1 Avtalen regulerer partenes rettigheter og plikter når Databehandler behandler personopplysninger og annen taushetsbelagt informasjon («Informasjonen») på vegne av Behandlingsansvarlig, i samsvar med personvernforordningen (EU) 2016/679 og personopplysningsloven av 15. juni 2018 («Rettsgrunnlaget»). Avtalen gjelder også taushetsbelagt informasjon etter annen lov eller avtale.

1.2 Avtalen skal sikre at Informasjonen ikke brukes urettmessig eller kommer uvedkommende i hende. Den gjelder all behandling Databehandler gjør på vegne av Behandlingsansvarlig, herunder innsamling, registrering, sammenstilling, lagring, utlevering og kombinasjoner av disse.

1.3 Definisjoner. Begreper har den betydningen de har i Rettsgrunnlaget. Ved motstrid har definisjonene i forordningen forrang.

2. Rangordning

2.1 Denne avtalen går foran Databehandlers egne personvernvilkår og andre vilkår som kan påvirke avtaleforholdet, herunder avtaler mellom Databehandler og dennes underleverandører.

2.2 Ved motstrid internt i avtalen går den generelle teksten foran bilagene, med to unntak: bilag som endrer den generelle teksten og bilag med sikkerhetsbestemmelser går foran.

3. Omfanget av behandlingen

3.1 Typer personopplysninger. Beskrevet i bilag 3. Målfrid er en KI-assistent for ansatte, og brukerne kan skrive eller laste opp innhold som kan inneholde alle typer personopplysninger, også særlige kategorier (art. 9) og opplysninger om straffedommer (art. 10). Systemet krever ikke slike opplysninger. Behandlingsansvarlig avgjør gjennom innstillingene for dataklasser og modellleverandører hva som tillates (bilag 3 punkt 3).

3.2 Behandlingstyper. Beskrevet i bilag 3. Databehandler bruker fiktive testdata til utvikling og feilsøking så langt det er mulig. Brukes skarpe eller pseudonymiserte data, gjelder avtalen uavkortet. Databehandler har ingen produksjonsdata i utviklingsmiljø.

3.3 Rådighet over data. Databehandler har ikke rådighet over Informasjonen og behandler den ikke til egne formål. Behandlingen skjer bare for formålene i avtalen eller etter senere skriftlige instrukser. Instruks som endrer behandlingsformålet, legges i et endringsbilag. Behandlingsansvarlig kan gi instruks ved å endre innstillingene i Målfrid (organisasjonen og enhetene, dataklasser, tillatte modellleverandører, oppbevaringsregler, nettsøk og roller). Slike endringer er logget og regnes som skriftlig instruks. Informasjonen utleveres bare til Behandlingsansvarlig og de Behandlingsansvarlig skriftlig bemyndiger.

3.4 Ingen trening. Informasjonen brukes ikke til trening eller forbedring av modeller, verken hos Databehandler eller underleverandører, og ikke til produktanalyse som identifiserer enkeltpersoner eller innhold. Samlet statistikk (antall meldinger, forbruk og kostnad per enhet) kan brukes til drift og fakturering.

3.5 IKT-samarbeid. Er Behandlingsansvarlig medlem av et IKT-samarbeid eller fagnettverk, er samarbeidet ikke behandlingsansvarlig for Behandlingsansvarliges Informasjon. Samarbeidets administratorer kan forvalte organisasjonen og enhetene, men har ikke tilgang til innhold og kan ikke søke i eller innsynssøke på tvers av kommuner. Dette er teknisk håndhevet: hver kommunes data er skilt fra de andres i databasen. Når samarbeidet er innkjøper, signerer hver kommune sin egen avtale eller slutter seg til rammeavtalen.

4. Partenes plikter og rettigheter

4.1 Databehandlers ansatte og andre som opptrer for Databehandler

Alle som utfører oppdrag med tilgang til Informasjonen, skal kjenne Databehandlers avtalemessige og lovmessige plikter og påta seg å følge dem. Databehandler har kontrolltiltak som forebygger at medarbeidere, tredjeparter eller systemer, bevisst eller ubevisst, bidrar til sikkerhetshendelser: minste privilegium, tilgang etter tjenstlig behov, tidsbegrenset tilgang til driftsmiljøet og logging.

4.2 Databehandler skal ikke

a) behandle personopplysninger til andre formål eller i større grad enn avtalene tillater; b) behandle mer enn det som er nødvendig for å oppfylle forpliktelsene; c) utlevere, overlate eller overføre personopplysninger på eget initiativ uten forhåndsavtale eller skriftlig godkjenning (underleverandørene i bilag 1 og modellkall til leverandører Behandlingsansvarlig har slått på, er forhåndsavtalt); d) samle inn fra eller overføre til tredjepart utover dette; e) behandle opplysningene på annen måte enn avtalt.

4.3 Databehandler skal

a) ha løpende kontroll på alle kategorier av behandlingsaktiviteter for Behandlingsansvarlig; b) gi Behandlingsansvarlig tilgang til og innsyn i opplysningene (eksport, revisjonsspor); c) føre protokoll over egne behandlingsaktiviteter etter art. 30(2) (behandlingsprotokoll); d) treffe rimelige tiltak for at opplysningene er korrekte og oppdaterte; e) ha rutiner for å slette opplysningene når de ikke lenger er nødvendige (bilag 5); f) ha rutiner og teknisk mulighet til å begrense behandlingen av en registrerts opplysninger på lovlig krav; g) påse at alle med tilgang kjenner avtalen og er bundet av den; h) bygge innebygd personvern og personvern som standardinnstilling inn i løsningen, med funksjonalitet for de registrertes rettigheter; i) gi nødvendig bistand slik at Behandlingsansvarlig kan oppfylle sine plikter overfor de registrerte; j) samarbeide om de registrertes rettigheter etter forordningens kapittel III; k) omgående underrette Behandlingsansvarlig dersom en instruks etter Databehandlers syn strider mot forordningen eller annen personvernregulering; l) bistå med vurdering av personvernkonsekvenser og forhåndsdrøfting (art. 35–36). Databehandler holder et DPIA- og ROS-underlag oppdatert og versjonert (DPIA, ROS).

4.4 Rett til innsyn og tilgang

Behandlingsansvarlig har, direkte eller gjennom uavhengig tredjepartsrevisor, rett til tilgang til og innsyn i behandlingen og i systemene som brukes til den. Databehandler gir nødvendig bistand innen rimelig tid. Retten gjelder tilsvarende for tilsynsmyndigheter. Behandlingsansvarlig har dessuten tilgang til eget revisjonsspor i produktet, med eksport som JSONL eller CSV, gjennom rollene revisor og administrator for enheten.

4.5 Taushetsplikt

Databehandler har taushetsplikt om Informasjonen og relevant dokumentasjon. Plikten gjelder også etter avtalens opphør. Databehandler innhenter taushetserklæring fra egne ansatte og andre som får tilgang, før tilgang gis, og legger den fram på forespørsel.

4.6 Internkontroll og sikkerhetsdokumentasjon

Databehandler oppfyller sikkerhetskravene i Rettsgrunnlaget og har et internkontrollsystem som dokumenterer rutiner og tiltak. Behandlingsansvarlig, uavhengig revisor og tilsynsmyndigheter får tilgang til internkontrollsystemet og sikkerhetsdokumentasjonen, blant annet informasjonssikkerhetspolicy og ROS. Databehandler varsler endringer av betydning innen rimelig tid.

4.7 Overføring av data til utlandet

a) Informasjonen behandles og lagres i EU/EØS. Overføring til land utenfor EØS skjer ikke uten skriftlig godkjenning fra Behandlingsansvarlig, bortsett fra til mottakerland EU har godkjent (adekvansvedtak, herunder mottakere sertifisert under EU-US Data Privacy Framework). Der Behandlingsansvarlig godkjenner overføring på annet grunnlag, brukes standard personvernbestemmelser (SCC) og vurdering av overføringen (TIA). b) Overføring omfatter også tilgang fra land utenfor EØS og overføring av driftsoppgaver som kan gi slik tilgang. Hosting (U1, Scaleway SAS, Frankrike) har ikke amerikansk morselskap, og data behandles og lagres i EØS (Paris og Amsterdam). Underleverandøren med amerikansk morselskap, Microsoft (U7, Azure OpenAI), behandler data i EØS, men kan være underlagt tredjelands myndighetstilgang (for eksempel CLOUD Act). Vurderingen står i TIA og er oppsummert i bilag 4 punkt 9. Hosting krever ingen overføringsvurdering. Microsoft Azure OpenAI er som standard avslått for Personopplysninger, og for Konfidensiell krever det at Behandlingsansvarlig aktivt slår det på for enheten. Valget dokumenteres i innstillingene og er logget.

4.8 De registrertes rettigheter

Databehandler bistår Behandlingsansvarlig med de registrertes rettigheter (se registrertes rettigheter). Databehandler gir ikke selv innsyn og etterkommer ikke krav om retting eller sletting uten skriftlig avtale med Behandlingsansvarlig, og videresender henvendelser eller viser den registrerte til Behandlingsansvarlig senest innen 2 virkedager.

5. Bruk av underleverandør

5.1 Databehandler er ansvarlig overfor Behandlingsansvarlig for underleverandørenes behandling. Underleverandører regnes som databehandlere etter denne avtalen.

5.2 Underleverandørene som er godkjent ved avtalens start, står i bilag 1 (som er utledet av underdatabehandlere). Behandlingsansvarlig merker av hvilke modellleverandører som er slått på. Underleverandører som ikke er avmerket, er ikke godkjent og får ikke data.

5.3 Databehandler kan ikke ta i bruk nye eller utskiftede underleverandører uten Behandlingsansvarliges skriftlige forhåndsgodkjenning. Behandlingsansvarlig kan underkjenne på saklig grunnlag. Databehandler varsler skriftlig minst 30 dager før planlagt endring. Ved uløst innsigelse kan Behandlingsansvarlig si opp den berørte delen uten ekstra kostnad, og Databehandler slår av leverandøren for Behandlingsansvarliges enheter.

5.4 Databehandler fører en løpende oversikt over alle underleverandører og legger den fram på forespørsel.

5.5 Hver underleverandør skal oppfylle de samme kravene som i denne avtalen og påta seg dem skriftlig (bilag 2 brukes som tiltredelsesmal). Skriftlig tiltredelse må foreligge og være godkjent av Behandlingsansvarlig før data overføres. Etter nærmere skriftlig avtale kan underleverandørers forpliktelser oppfylles på annen lovlig måte, for eksempel gjennom leverandørens standard databehandleravtale kombinert med Databehandlers tilleggskrav: behandling i EU/EØS, ingen trening, ingen lagring av spørsmål og svar der leverandøren tilbyr det, og varsling av brudd.

5.6 Bestemmelsen gjelder tilsvarende for underleverandørenes egne underleverandører.

6. Informasjonssikkerhet

6.0 Databehandler har tilfredsstillende informasjonssikkerhet for å oppfylle Rettsgrunnlaget (art. 32) og innfører nye krav før de trer i kraft. Databehandler sikrer konfidensialitet, integritet og tilgjengelighet med planlagte og systematiske tiltak (bilag 4). Databehandler endrer ikke avtalte tiltak uten at Behandlingsansvarlig er informert og har godkjent. Godkjenning kan bare nektes på saklig grunnlag. Ved akutte endringer i trusselbildet varsles Behandlingsansvarlig uten ugrunnet opphold og får skriftlig redegjørelse innen 3 virkedager. Tiltak kan skjerpes uten godkjenning. Svekkes de, kreves godkjenning.

6.1 Autorisasjon, autentisering og logging

Databehandler har rutiner for å gi og trekke tilbake tilgang for personell, med oversikt over hvem hos Databehandler og underleverandører som har tilgang (legges fram på forespørsel). Alle med tjenstlig tilgang autentiseres med unik identitet, og oppslag, endringer og sletting logges, i tillegg til sikkerhetshendelser og forsøk på uautorisert tilgang. Loggene er beskyttet mot endring: de kan bare utvides, og de sikres med kontrollsummer (se bilag 4). Logger oppbevares minst 2 måneder (kravet i KS-malen). I Målfrid oppbevares revisjonssporet i 5 år, og avviste forespørsler i 365 dager (bilag 5).

6.2 Konfidensialitet

Informasjonen er bare tilgjengelig for dem som skal ha tilgang etter avtalen, og bare den delen de har tjenstlig behov for. Databehandler hindrer uautorisert fysisk tilgang til utstyr (dekkes for datasentre av underleverandør U1).

6.2.1 Separasjon. Informasjonen blandes ikke med informasjon for andre behandlingsansvarlige. Hver kommunes data er skilt fra de andres i databasen.

6.3 Integritet

Informasjonen endres eller slettes ikke uautorisert eller utilsiktet. Databehandler bruker og vedlikeholder anerkjente mekanismer mot ondsinnet kode og datainnbrudd: skanning av avhengigheter, hemmeligheter og programvarebilder, og skadevareskanning av opplastinger.

6.3.1 Retting. Databehandler retter Informasjon etter skriftlig pålegg.

6.4 Tilgjengelighet

Databehandler hindrer tilfeldig eller ulovlig ødeleggelse eller tap.

6.4.1 Sikkerhetskopiering. Det tas daglig automatisk sikkerhetskopi av databasen hos Scaleway, som oppbevares i 30 dager. I tillegg tar Databehandler en kryptert kopi av databasen hver uke. Den private nøkkelen oppbevares frakoblet. Ukekopiene lagres i 90 dager i Scaleway i Amsterdam, en annen fysisk lokasjon enn originaldataene i Paris, og kan ikke slettes eller endres før fristen er ute. Kopien tas med en skrivebeskyttet databaserolle som leser alle rader, også revisjonsspor. Hver kopi har en oversikt med kontrollsum og radtall som brukes til å kontrollere gjenopprettingen. Kopier av opplastede filer i Amsterdam er låst i 90 dager. Konfigurasjonen er versjonert.

6.4.2 Sletting. Sletting skjer etter skriftlig avtale og avtalte rutiner (bilag 5). Løsningen har tilgangsstyring for ulike brukergrupper over tid og automatisk sletting basert på alder (oppbevaringsregler per enhet og dataklasse, med arv og låsing).

7. Dokumentasjon

Databehandler dokumenterer alle rutiner og tiltak som oppfyller Rettsgrunnlaget og avtalen, varsler skriftlig om endringer av betydning for informasjonssikkerheten, holder alle versjoner tilgjengelige på forespørsel i avtaleperioden, og oppbevarer sikkerhetsdokumentasjonen i minst 5 år etter Leveranseavtalens utløp. Dokumentene er versjonert.

8. Håndtering av risiko og avvik

8.1 Risikohåndtering

Databehandler dokumenterer eget akseptabelt risikonivå minst hver 12. måned og gjennomfører og dokumenterer risikovurdering minst årlig, samt etter hendelser, vesentlige endringer og nye sårbarheter (ROS: akseptkriterium ≤ 6 grønn, 8–12 gul, ≥ 15 rød). Resultatet overleveres Behandlingsansvarlig uten ugrunnet opphold. Avdekkes avvik, utbedrer Databehandler for egen regning og på eget initiativ.

8.2 Avvikshåndtering og brudd på personopplysningssikkerheten

a) Databehandler registrerer og rapporterer løpende avvik, brudd og sikkerhetshendelser etter Rettsgrunnlaget. Bruk i strid med rutiner, avtalen, instrukser eller Rettsgrunnlaget, og ethvert sikkerhetsbrudd, behandles som avvik. b) Ved alvorlige avvik, brudd eller begrunnet mistanke varsles Behandlingsansvarlig umiddelbart. Databehandler rapporterer skriftlig til Behandlingsansvarlig uten ugrunnet opphold og senest innen 24 timer etter at avviket, bruddet, hendelsen eller mistanken ble oppdaget, også om informasjonen er ufullstendig. c) Rapporten beskriver avviket (art, kategorier og omtrentlig antall registrerte og poster, sannsynlige konsekvenser, kontaktpunkt) og tiltak for å gjenopprette normaltilstand, fjerne årsaken og forhindre gjentakelse. Ytterligere informasjon gis fortløpende. d) Behandlingsansvarlig har ansvaret for melding til Datatilsynet (art. 33; 72 timer fra Behandlingsansvarlig ble kjent med bruddet) og varsling av de registrerte (art. 34). Databehandler gir alle nødvendige opplysninger til dette, til å svare tilsynsmyndigheten og til å etterleve pålegg. Revisjonssporet brukes til å avgrense bruddet. e) Databehandler har rutiner for å avdekke og følge opp avvik. Prosess og maler: avvikshåndtering.

9. Revisjoner

9.1 Sikkerhetsrevisjoner

Databehandler gjennomfører sikkerhetsrevisjoner på infrastruktur, programvare og systemer som omfattes av avtalen, med tekniske tester og dokumentgjennomgang, minst årlig og etter alvorlige hendelser, større endringer og nye alvorlige sårbarheter. Resultatet forelegges Behandlingsansvarlig umiddelbart. Avdekkede mangler utbedres umiddelbart, for Databehandlers regning.

9.2 Etterlevelsesrevisjoner

Behandlingsansvarlig kan gjennom uavhengig revisor revidere Databehandler og underleverandører for å kontrollere etterlevelse. Databehandler legger fram interne og eksterne revisjonsrapporter, prosedyrer og sikkerhetsdokumentasjon. Behandlingsansvarlig kan etter avtale akseptere rapport fra anerkjent uavhengig revisor. Varsel gis minst 30 dager i forveien. Revisjon skjer normalt ikke oftere enn årlig, men oftere ved konkret mistanke eller tilsynskrav. Revisjonen gir ikke tilgang til andre kunders data.

10. Særlig om taushetsbelagt informasjon

For taushetsbelagt informasjon som ikke er personopplysninger sikrer Databehandler behandling etter de samme retningslinjene som for sensitive personopplysninger så langt de passer, uansett om taushetsplikten følger av lov eller avtale (dataklassene Konfidensiell og Personopplysninger brukes til dette).

11. Avtalens varighet

Avtalen gjelder så lenge Databehandler og underleverandører behandler Informasjon for Behandlingsansvarlig, også for Informasjon som finnes hos dem etter Leveranseavtalens opphør.

12. Mislighold og pålegg om stans

Ved brudd på avtalen eller Rettsgrunnlaget kan Behandlingsansvarlig og tilsynsmyndigheter pålegge Databehandler å stanse behandlingen med umiddelbar virkning. Ved mislighold kan Behandlingsansvarlig ved skriftlig varsel kreve retting innen rimelig frist, og heve Leveranseavtalen med umiddelbar virkning hvis fristen oversittes. Ved vesentlig mislighold kan Leveranseavtalen heves umiddelbart. Databehandler kan si opp den berørte behandlingen hvis Behandlingsansvarlig insisterer på en instruks som strider mot gjeldende rett etter at Databehandler har varslet etter 4.3 k).

13. Erstatning

Behandlingsansvarlig har krav på erstatning for tap som skyldes at Databehandler ikke har overholdt avtalen, herunder regress for erstatning utbetalt til registrerte ved solidaransvar og for overtredelsesgebyr som kan føres tilbake til forhold hos Databehandler.

14. Ved opphør av Leveranseavtalen

14.1 Databehandler tilbakelever all Informasjon til Behandlingsansvarlig (eller den som utpekes) snarest og senest innen 30 dager etter opphør, i åpent, maskinlesbart format: JSON (samtaler, kunnskapskilder, utkast), PDF og Noark 5-pakke med kontrollsum (samtaler og utkast), og revisjonsspor som JSONL eller CSV.

14.2 Sletting. Etter at Behandlingsansvarlig har bekreftet mottak, sletter Databehandler all Informasjon sikkert, også kopier. Aktive databaser og fillagring slettes innen 30 dager etter bekreftelsen. Sikkerhetskopier (daglig kopi i 30 dager, ukentlige kopier og filkopier i 90 dager) utløper av seg selv og er fullt slettet senest 90 dager etter sletting i aktive systemer. Rester i sikkerhetskopier er krypterte i hvile, og felt i dataklassene Konfidensiell og Personopplysninger er i tillegg kryptert på felt-nivå. Databehandler dokumenterer sletting skriftlig innen rimelig tid og avvikler alle tilganger.

14.3 Journalførte samtaler som arkivet ikke har bekreftet mottak av, slettes ikke før Behandlingsansvarlig har bekreftet at arkivet har mottatt dem (arkivlova, LOV-2025-06-20-96). Pålegg i lov om å lagre opplysningene (art. 28(3)(g)) går foran sletteplikten.

15. Meddelelser

Meddelelser etter avtalen sendes skriftlig til kontaktpersonene i partsoversikten over og merkes «Databehandleravtale for Målfrid». Varsel om brudd sendes i tillegg til Behandlingsansvarliges kontaktpunkt for informasjonssikkerhet: [e-post og telefon til kontaktpunkt for informasjonssikkerhet hos Behandlingsansvarlig, døgnbemannet hvis mulig].

16. Lovvalg og verneting

Norsk rett. Behandlingsansvarliges verneting, også etter avtalens opphør.

17. Kryssreferanse til GDPR art. 28(3)

---

Bilag 1. Oversikt over Databehandlers underleverandører

Fullstendig og mer detaljert liste: underdatabehandlere. Behandlingsansvarlig merker av hvilke modellleverandører som er slått på («Slått på»).

Behandlingsansvarliges eget Microsoft Entra ID, Microsoft Graph og Sikt/Feide er Behandlingsansvarliges egne leverandører, ikke Databehandlers underleverandører.

Bilag 2. Underleverandørens tiltredelse (mal)

Underleverandør [navn og org.nr.] bekrefter overfor Schoolhub AS og [Kommunens navn] at den: (1) har lest databehandleravtalen for Målfrid og oppfyller kravene i punkt 4–9 så langt de gjelder tjenesten den leverer; (2) behandler opplysninger bare i EU/EØS (region: [region]); (3) ikke trener på, bruker til andre formål eller lagrer spørsmål og svar utover det som er nødvendig for tjenesten (lagringstid: [lagringstid]; ingen lagring: [ja/nei]); (4) varsler Schoolhub om brudd uten ugrunnet opphold og senest innen 24 timer; (5) bistår ved registrertes rettigheter og tilsyn; (6) bare bruker egne underleverandører som er oppført i vedlegg, og varsler endring; (7) sletter eller tilbakeleverer opplysninger ved opphør. Alternativt: vedlegg som viser at leverandørens standard databehandleravtale (versjon og dato: [versjon og dato]) dekker punktene.

Dato og signatur underleverandør: ________ Godkjent av Behandlingsansvarlig (dato): ________

Bilag 3. Behandlingen

3.1 Kategorier av registrerte

1. Ansatte, folkevalgte, vikarer og andre brukere av Målfrid.
2. Innbyggere, brukere, pasienter, elever, foresatte, søkere og andre som omtales i dokumenter og meldinger brukerne skriver eller laster opp.
3. Ansatte og tredjepersoner som omtales i personalsaker, møter og referater.
4. Deltakere i møteopptak (stemme og det som sies).
5. Personer nevnt i offentlige dokumenter som hentes inn (møtebøker, saksframlegg).

3.2 Kategorier av personopplysninger

3.3 Særlige kategorier (art. 9) og straffedommer (art. 10)

Målfrid fungerer uten slike opplysninger, men kan ikke hindre at de forekommer, særlig i dataklassene Konfidensiell og Personopplysninger (personalsaker, helse og omsorg, barnevern, sosiale tjenester, skole). Behandlingsansvarlig avgjør hvilke fagområder og enheter som får bruke Personopplysninger. Innebygde garantier:

1. Brukeren velger dataklasse før første melding, og klassen kan bare oppgraderes.
2. Innholdsdeteksjon (fødselsnummer og D-nummer med kontrollsiffer, kontonummer, helseord på bokmål og nynorsk, adresse, telefon) foreslår oppgradering og blokkerer i Åpen.
3. Konfidensiell og Personopplysninger er kryptert på felt-nivå (AES-GCM), med nøkkel i Scaleways nøkkelforvaltning.
4. Regelsjekken ruter til den strengeste leverandøren (GreenPT som standard for Personopplysninger).
5. Standard sletting er kort: 30 dager for Personopplysninger og 90 dager for Konfidensiell.
6. Sikkerhetsnøkkel eller Windows Hello for Konfidensiell og Personopplysninger, og ny innlogging etter 8 timer for Personopplysninger.
7. Alle oppslag logges.
8. Det er forbudt å trene modeller på dataene.
9. Det fattes ingen automatiske avgjørelser.

Rettslig grunnlag for særlige kategorier (art. 9(2)(b), (g), (h) med nasjonal hjemmel) er Behandlingsansvarliges ansvar, fagområde for fagområde. Behandlingsansvarlig kan holde Personopplysninger avslått til egen DPIA er ferdig (DPIA).

3.4 Formål

Levere KI-assistent for ansatte: samtale med kilder, kunnskapsbaser, assistenter, utkast, referat fra møteopptak, revisjon og innsynsmodul, administrasjon og sikkerhet. Målfrid er ikke innbyggerrettet og fatter ikke vedtak.

3.5 Art

Lagring, strukturering, søkeindeks, søk, innholdsdeteksjon, overføring til modellleverandør for generering, søkeindeks, tekstgjenkjenning og transkripsjon, eksport (Word, PDF, Noark 5-pakke), journalføring, sletting og anonymisering, sikkerhetskopiering.

3.6 Lokasjon

EU/EØS. Primær region er Scaleway i Paris (flere tilgjengelighetssoner). Sikkerhetskopi og katastrofegjenoppretting ligger i Amsterdam. Modellkall går til de leverandørene som er slått på (bilag 1).

3.7 Avgrensning (Behandlingsansvarlig fyller ut)

Enheter som bruker tjenesten: [enheter]. Tillatte dataklasser: [dataklasser]. Behandlingsansvarlig bestemmer hvilke dataklasser hver leverandør og modell brukes til, i organisasjonstreet; Databehandler gir forvalg og opplysninger om hver leverandør, og endringer logges. Modellleverandører som skal være på: [leverandører fra bilag 1]. Nettsøk: [av / på for Åpen / på for Åpen og Intern]. Henting av møtebøker fra kommunens nettsted: [ja/nei].

Bilag 4. Tekniske og organisatoriske tiltak

Punkt 9. Tredjelandsvurdering (sammendrag)

U1 (Scaleway): alt i EØS (Paris og Amsterdam), europeisk leverandør uten amerikansk morselskap, ingen overføring og ingen TIA nødvendig for hosting. U4 (Microsoft, bare hvis valgt): data i EØS, amerikansk morselskap. Risikoen for amerikansk myndighetstilgang (CLOUD Act) reduseres med EU Data Zone, kryptering på felt-nivå og at Personopplysninger som standard ikke går til Microsoft. Microsoft er sertifisert under EU-US Data Privacy Framework, med SCC som reserve. U2 (GreenPT): nederlandsk selskap som behandler i Frankrike og Finland, ingen overføring til tredjeland forutsettes. U3 (nexos.ai) har en amerikansk underleverandør og har derfor forvalg Åpen og Intern (kommunen bestemmer). U6 (Mistral AI): fransk selskap i Paris, forvalg Åpen og Intern (kommunen bestemmer). U5 (Staan): EU-datasentre oppgitt av leverandøren. Se TIA.

Bilag 5. Oppbevaring og sletting

Handlingen «slett» fra bruker skjuler samtalen umiddelbart. Fysisk sletting skjer i den daglige kjøringen av oppbevaringsreglene eller ved manuell instruks fra Behandlingsansvarlig. Detaljer, arv og låsing: sletting og lagringstid.

---

Sted og dato: ________ For Behandlingsansvarlig: ________ For Databehandler (Schoolhub AS): ________

Kilder

• KS, Bilag 3 – Databehandleravtale til tjenesteavtale (SSA-L): https://www.ks.no/globalassets/bilag-3.pdf
• KS Digital/Fiks, SSA-L generell avtaletekst og bilag: https://ksdigital.no/wp-content/uploads/2024/10/KS-Fiks_SSA-L-generell-avtaletekst_hovedavtale.pdf
• Forordning (EU) 2016/679 art. 28, 32–36, kap. V: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Kommisjonens gjennomføringsbeslutning (EU) 2021/915 (alternativ standardavtale): https://eur-lex.europa.eu/eli/dec_impl/2021/915/oj
• Datatilsynet: https://www.datatilsynet.no
• Personopplysningsloven: https://lovdata.no/dokument/NL/lov/2018-06-15-38
• Forvaltningsloven § 13: https://lovdata.no/dokument/NL/lov/1967-02-10
• Offentleglova: https://lovdata.no/dokument/NL/lov/2006-05-19-16
• Lov om dokumentasjon og arkiv (arkivlova), LOV-2025-06-20-96, i kraft 1. januar 2026: https://lovdata.no/dokument/NL/lov/2025-06-20-96