Personvern og etterlevelse

Hva som skjer med kommunens data

Her står det hvor dataene behandles, hvilke underdatabehandlere som brukes, hvor lenge alt lagres og hvilke sikkerhetstiltak som gjelder.

Databehandler: Schoolhub
Behandling av data: EU/EØS
Trening på kundedata: Nei

Hva Schoolhub gjør og ikke gjør

Det som gjelder står i databehandleravtalen med hver kommune.

Bare etter avtalen
Vi behandler opplysninger bare slik databehandleravtalen og kommunens innstillinger i Målfrid sier. Vi bruker dem ikke til egne formål og ikke til å trene modeller.
Varsel om endringer
Kommunen får skriftlig varsel minst 30 dager før en ny underdatabehandler tas i bruk, og kan protestere.
Samarbeidets administratorer ser ikke innhold
Administratorer i et IKT-samarbeid kan sette felles regler for medlemmene. De kan ikke lese eller søke i kommunenes samtaler.

Slik kan du kontrollere det vi sier

Hver påstand har en måte å kontrolleres på. Der noe er et avtalekrav og ikke kan måles i produktet, sier vi det.

Hver melding og hvert svar blir loggført.
Slik fungerer det
Når en melding kommer inn, lagres den sammen med en loggrad i samme databaseoperasjon, før modellen kalles. Feiler lagringen, sendes ingenting. Når svaret er ferdig, skrives en ny rad med modell, leverandør, region, tekstmengde og kostnad. Avviste meldinger får egen rad.
Slik kan du kontrollere det
- Be revisor eller arkivadministrator hente loggen fra siden Revisjon som JSONL eller CSV etter noen dagers bruk.
- Sammenlign radene med samtalene dere vet er gjort.
- Eksempelet under viser hvordan en eksport ser ut.
Se ogsåEksempel på loggeksport Databehandleravtale, bilag 4
Loggen kan ikke endres i ettertid.
Slik fungerer det
Tjenesten kan bare legge til nye linjer i loggen. Den har ikke rett til å endre eller slette. Hvert døgn regnes det ut en kontrollsum over dagens linjer, og den kobles til forrige døgns kontrollsum. Endrer noen en linje senere, stemmer ikke kontrollsummen lenger. Den som har full tilgang til databasen kan i prinsippet skrive om både loggen og kontrollsummene, og derfor bør kommunen ta vare på kontrollsummene selv.
Slik kan du kontrollere det
- IKT kan hente kontrollsummene fra tjenesten og lagre dem i kommunens eget system.
- Tjenesten har en kontroll som regner kjeden på nytt og viser om noe ikke stemmer.
- Et lagret kontrollpunkt hos kommunen gjør at vi ikke kan skrive om historien uten at det blir oppdaget.
Se ogsåDPIA, tiltak mot misbruk av loggen Sletting og lagringstid
Data behandles i EU/EØS, og regionen står i loggen.
Slik fungerer det
Innholdet lagres hos Scaleway i Paris, med sikkerhetskopi i Amsterdam. Hver modell har en oppgitt region, og regionen som ble brukt, skrives i loggraden for svaret.
Slik kan du kontrollere det
- Se på feltet region i detaljene for hvert svar i loggeksporten.
- Filtrer på leverandør og sammenlign med listen over underdatabehandlere.
- Kontroller at bare leverandørene kommunen har godkjent i avtalen, finnes i loggen.
Se ogsåUnderdatabehandlere Register over underdatabehandlere
Kommunens data brukes ikke til å trene modeller.
Slik fungerer det
Det er forbudt i databehandleravtalen, og vi krever det samme av hver modellleverandør før den slås på. Dette er et avtalekrav som ikke kan måles i produktet.
Slik kan du kontrollere det
- Les punkt 3.4 i databehandleravtalen og punkt 3 i registeret over underdatabehandlere.
- Be om databehandleravtalen for hver modellleverandør kommunen slår på.
- Ta kravet inn som skal-krav i kravspesifikasjonen (krav P4).
Se ogsåDatabehandleravtale Kravspesifikasjon
Konfidensielt innhold og personopplysninger er kryptert felt for felt.
Slik fungerer det
Før tekst i en konfidensiell samtale eller en samtale med personopplysninger lagres, krypteres den. Nøkkelen kommer fra Scaleways hemmelighetsforvaltning, ikke fra koden. Åpent og internt innhold er kryptert i lagringen, men ikke felt for felt.
Slik kan du kontrollere det
- Tiltaket er beskrevet i databehandleravtalens bilag 4.
- Be IKT om en teknisk gjennomgang der vi viser et kryptert felt i en testdatabase uten ekte data.
Se ogsåDatabehandleravtale, bilag 4 ROS-analyse
Hver kommunes data holdes for seg.
Slik fungerer det
Databasen avviser spørringer som går på tvers av kommuner, uansett hva programmet ber om. Det gjelder også i et IKT-samarbeid: samarbeidets administrator kan sette regler, men ikke lese innhold.
Slik kan du kontrollere det
- Skillet mellom kommuner testes automatisk ved hver endring i koden.
Se ogsåROS-analyse Svar på sikkerhetsspørsmål
Dataklassen avgjør hvilke modeller som kan brukes.
Slik fungerer det
Før en melding sendes, sjekker tjenesten dataklassen mot kommunens regler. Er ingen modell tillatt, eller inneholder en åpen samtale personopplysninger, avvises meldingen og avvisningen logges.
Slik kan du kontrollere det
- Skriv et gyldig, syntetisk fødselsnummer i en samtale i dataklassen Åpen. Meldingen avvises.
- Åpne loggen. Avvisningen står der med utfallet «denied» og grunnen.
- Samme melding i dataklassen Personopplysninger går bare til modeller kommunen har tillatt for den klassen.
Se ogsåDataflyt per dataklasse Dataklasser
Samtaler slettes etter fristene for dataklassen.
Slik fungerer det
En jobb kjører hver natt og sletter samtaler som er eldre enn fristen for klassen. Journalførte samtaler beholdes til arkivet har bekreftet mottak. Kjøringen skrives til loggen.
Slik kan du kontrollere det
- Søk i loggen etter handlingen retention.sweep.completed og se hvor mange som ble slettet.
- Kontroller fristene i administrasjonen for enheten.
- Sikkerhetskopier utløper av seg selv, og alt er borte senest 90 dager etter sletting.
Se ogsåLagringstid og sletting Sletting og lagringstid
Bare leverandørene i listen brukes.
Slik fungerer det
Alle modell- og hostingleverandører står i registeret over underdatabehandlere. En ny leverandør krever kommunens skriftlige forhåndsgodkjenning, og kommunen varsles minst 30 dager før en endring. Microsoft Azure er med bare hvis kommunen har avtalt det.
Slik kan du kontrollere det
- Sammenlign leverandørfeltet i loggeksporten med registeret.
- Be om endringsvarsel etter punkt 5.3 i databehandleravtalen.
Se ogsåUnderdatabehandlere Databehandleravtale

Slik ser en loggeksport ut

Revisor og arkivadministrator kan hente loggen som JSONL eller CSV. Eksempelet under har de samme kolonnene som en ekte eksport.

EksempelSamtaleinnholdet ligger ikke i loggen.

Eksempel på loggeksport. Fiktive data fra Fjellvik kommune. Tidspunkt i UTC.
Tidspunkt	Hvem	Handling	Dataklasse	Modell, leverandør og region	Utfall	Hva det betyr
2026-11-03 08:14:02	Kari Fjell	chat.message.create	Intern	–	ok	En melding ble sendt. Loggen viser lengden på teksten, ikke teksten.
2026-11-03 08:14:09	Kari Fjell	chat.completion	Intern	mistral-large-4 · mistral · eu (Frankrike)	ok	Svaret ble ferdig. Modell, leverandør og region er lagret, og kostnaden.
2026-11-03 09:02:31	Ola Dal	chat.message.create	Åpen	–	denied (avvist)	Meldingen ble avvist fordi den inneholdt et fødselsnummer i en åpen samtale.
2026-11-03 09:40:12	Ingrid Berg	foia.search	–	–	ok	Arkivadministrator søkte i samtaler i forbindelse med et innsynskrav.
2026-11-03 09:55:48	Ingrid Berg	audit.export	–	–	ok	Loggen ble eksportert. Selve eksporten er også logget.
2026-11-04 02:15:07	Systemet	retention.sweep.completed	–	–	ok	Den nattlige slettingen ble kjørt, og resultatet ble loggført.

Se én rad som JSON

Raden for svaret i eksempelet, slik den ser ut i en JSONL-eksport. Alle id-er er oppdiktet.

{
  "id": "0c4e8a52-6f3b-4d1e-9a77-2b5d1c8f4e10",
  "occurred_at": "2026-11-03T08:14:09.412+00:00",
  "actor_id": "5a9d3e71-82c4-4b0f-a1d6-73e0b4c2f958",
  "actor_name": "Kari Fjell",
  "action": "chat.completion",
  "object_type": "message",
  "object_id": "e2f7a6b3-1d48-4c95-8b02-9f6a0d3c7e21",
  "org_node_id": "b81c4d20-37fa-4e69-9c15-4a2e8f60d7b3",
  "tenant_root_id": "3f0a9c68-5d12-47be-a8e4-1c7b2d95f046",
  "data_class": "internal",
  "model_id": "mistral-large-4",
  "provider": "mistral",
  "outcome": "ok",
  "details": {
    "conversation_id": "9d2b6e04-a3c1-4f87-b5d9-0e8c71a4f263",
    "run_id": "c6a1f9d3-4e72-4b08-91ea-5d3b8f0c2a74",
    "region": "eu (Frankrike)",
    "track": "D",
    "mocked": false,
    "tokens_in": 1840,
    "tokens_out": 410,
    "cost_nok": 0.0614,
    "fallback_from": null,
    "sources": ["chunk-7f3a", "chunk-91bc"],
    "tools": []
  }
}

Slik leser du loggen

Loggen viser hvem som gjorde hva, når, med hvilken dataklasse og hvilken modell. Den inneholder ikke samtalen.
Avviste forespørsler står med utfallet «denied» og en grunn, og oppbevares i 365 dager. Gjennomførte handlinger oppbevares i 5 år.
Alle oppslag og eksporter i loggen blir selv loggført.

Hvor dataene behandles

Innholdet lagres hos Scaleway i Frankrike, med sikkerhetskopi i Nederland. Når en melding skal besvares, sendes den til en språkmodell hos en av leverandørene under. Alle behandler data i EU/EØS, og regionen som ble brukt, lagres på hver melding.

Språkmodeller, leverandører og behandlingssted
Modell	Leverandør	Behandlingssted	Bruk
Åpne modeller (standard)	GreenPT	EU (Frankrike og Finland)	Forvalget er alle dataklasser.
Flere modeller i én tjeneste	nexos.ai	Varierer per modell	Modeller fra flere utviklere samlet i én tjeneste. Forvalget er Åpen og Intern.
Microsoft Azure	Azure OpenAI	EUs datasone (Sverige og andre EU-land)	GPT-modellene. Forvalget er Åpen og Intern. Konfidensielt innhold og personopplysninger hvis kommunen selv slår det på.
Mistral	Mistral AI	Frankrike (Mistral AI, Paris)	Modellene til Mistral, og valgfri tale til tekst og tekstgjenkjenning. Forvalget er Åpen og Intern.
Nettsøk	Staan	EU	Valgfritt nettsøk, av som standard. Aldri for konfidensielle samtaler eller personopplysninger.

Reglene som sjekkes før en melding sendes

Før en melding sendes til en modell, sjekker Målfrid dataklassen mot kommunens regler. Brudd avvises og logges. Hvis en leverandør faller ut, brukes bare en annen som er tillatt for samme eller en strengere dataklasse. Ingen leverandør slås på før det er bekreftet skriftlig at data behandles i EU/EØS, at det finnes en databehandleravtale og at de ikke trener på data.

Slik går en melding gjennom systemet

Meldingen lagres i loggen før den sendes til modellen. Feiler lagringen, sendes ingenting.

Stegene i tekst

Du skriver en melding i nettleseren. Den sendes kryptert til Målfrid.
Nettstedet videresender meldingen sammen med innloggingen din. Ingen tilgangsvurdering skjer i nettleseren.
Målfrid sjekker hvem du er, om du har logget inn med flerfaktor når dataklassen krever det, og hvilken rolle du har. Resten av behandlingen kan bare nå kommunens egne data.
Målfrid ser etter fødselsnummer og lignende i teksten og kan foreslå en høyere dataklasse.
Meldingen lagres i loggen før den går videre.
Regelsjekken sammenligner dataklassen med kommunens regler. Brudd avvises og logges.
Meldingen sendes til modellen hos en leverandør i EU. Regionen som ble brukt, lagres.
Svaret vises mens det kommer. Svar, kilder, leverandør og region lagres i loggen.

Innhold i konfidensielle samtaler og personopplysninger er kryptert felt for felt i databasen. Målfrids driftsstatistikk inneholder aldri meldingstekst eller e-postadresser.

Dataflyt per dataklasse

Hva som skjer med en melding, avhengig av dataklassen. Verdiene er standardinnstillingene. Kommunen kan stramme inn, og en overordnet enhet kan låse valget.

Åpen

1. Sjekk før sending
Finner Målfrid personopplysninger i teksten, avvises meldingen.
2. Modell og sted
GreenPT i EU (standard), nexos.ai, Mistral og Microsoft Azure i EU hvis kommunen har avtalt det.
3. Lagring
Hos Scaleway i Paris, kryptert lagring.
4. Innlogging
Flerfaktor.
5. Sletting
Etter 24 måneder.

Nettsøk (Staan) er av som standard. Kommunen kan slå det på for åpne og interne samtaler.

Intern

1. Sjekk før sending
Finner Målfrid personopplysninger, foreslår den en høyere dataklasse.
2. Modell og sted
Som for åpne data: GreenPT i EU (standard), nexos.ai, Mistral og Microsoft Azure i EU hvis kommunen har avtalt det.
3. Lagring
Hos Scaleway i Paris, kryptert lagring.
4. Innlogging
Flerfaktor.
5. Sletting
Etter 12 måneder.

Nettsøk (Staan) er av som standard. Kommunen kan slå det på for åpne og interne samtaler.

Konfidensiell

1. Sjekk før sending
Finner Målfrid personopplysninger, foreslår den en høyere dataklasse.
2. Modell og sted
GreenPT i EU. Microsoft Azure bare hvis kommunen slår det på for konfidensielt innhold. nexos.ai og Mistral bare hvis kommunen selv har valgt det for denne klassen.
3. Lagring
Hos Scaleway i Paris, kryptert felt for felt.
4. Innlogging
Sikkerhetsnøkkel eller Windows Hello.
5. Sletting
Etter 90 dager, eller til samtalen er journalført og arkivet har bekreftet mottak.

Nettsøk (Staan) brukes aldri.

Personopplysninger

1. Sjekk før sending
Meldingen avvises hvis ingen modell er tillatt. Klassen kan ikke senkes i en samtale.
2. Modell og sted
GreenPT i EU. Microsoft Azure bare hvis kommunen aktivt slår det på, og en overordnet enhet kan låse valget. nexos.ai og Mistral bare hvis kommunen selv har valgt det for denne klassen.
3. Lagring
Hos Scaleway i Paris, kryptert felt for felt.
4. Innlogging
Sikkerhetsnøkkel eller Windows Hello, og ny innlogging etter 8 timer.
5. Sletting
Etter 30 dager, eller til samtalen er journalført og arkivet har bekreftet mottak.

Nettsøk (Staan) brukes aldri.

Hosting er alltid Scaleway i Frankrike. Sikkerhetskopi ligger i Amsterdam.

Dataklasser

Du velger dataklasse før første melding. Klassen avgjør hvilke modeller som kan brukes, hvordan innholdet lagres, hvor lenge det beholdes og hvor sterk innlogging som kreves. Klassen kan bare heves i en samtale, aldri senkes.

Dataklasser med standardinnstillinger. Kommunen kan stramme inn, og en overordnet enhet kan låse valget for alle under seg.
Klasse	Eksempel	Modeller som kan brukes	Lagring	Standard lagringstid	Krav til innlogging
Åpen	Offentlige dokumenter, møtebøker	GreenPT. Microsoft, nexos.ai og Mistral hvis kommunen har valgt det	Standard	24 måneder	MFA
Intern	Interne notater, utkast	GreenPT. Microsoft, nexos.ai og Mistral hvis kommunen har valgt det	Standard	12 måneder	MFA
Konfidensiell	Taushetsbelagt (forvaltningsloven § 13), personalsaker	GreenPT. Andre leverandører hvis kommunen har valgt det.	Kryptert felt for felt	90 dager, eller til journalført	Sikkerhetsnøkkel eller Windows Hello
Personopplysninger	Personopplysninger om innbyggere	GreenPT. Andre leverandører hvis kommunen har valgt det og ingen overordnet enhet har låst valget.	Kryptert felt for felt	30 dager, eller til journalført	Sikkerhetsnøkkel eller Windows Hello, ny innlogging etter 8 timer

Dette er standardverdiene. Kommunen kan velge strengere, og en overordnet enhet kan låse innstillinger, for eksempel at Microsoft aldri brukes for personopplysninger.

Lagringstid og sletting

Sletting skjer automatisk etter dataklasse og logges. Journalførte samtaler slettes ikke i Målfrid før arkivet har bekreftet mottak.

Standard lagringstid per type data
Hva	Standard lagringstid	Merknad
Samtaler og innhold, åpen	24 måneder	Kommunen kan velge kortere.
Samtaler og innhold, intern	12 måneder	Kommunen kan velge kortere.
Samtaler og innhold, konfidensiell	90 dager	Eller til samtalen er journalført og arkivet har bekreftet mottak.
Samtaler og innhold, personopplysninger	30 dager	Eller til samtalen er journalført og arkivet har bekreftet mottak.
Lydopptak til referat	Som dataklassen	Lyden følger dataklassen til transkripsjonen.
Logg over hvem som gjorde hva, og når	5 år	Inneholder metadata, ikke samtaleinnhold.
Avviste forespørsler	365 dager	Kan justeres per kommune.
Sikkerhetskopi	30 dager (daglig) og 90 dager (ukentlig)	Lagret i Amsterdam. Slettede data kan finnes i kopiene til fristen er ute, og gjenopprettes en kopi, kjøres slettingen på nytt. Mål for gjenoppretting: 4 timer ved sonefeil og 8 timer ved regionfeil.
Ved avtalens opphør	Eksport innen 30 dager. Alt er slettet senest 90 dager etter sletting	Åpent format (JSON, PDF, Noark-pakke), med skriftlig bekreftelse. Sikkerhetskopier utløper av seg selv. Fristene står i databehandleravtalen punkt 14.

Loggen inneholder ikke selve samtalen. Innholdet kan derfor slettes etter fristene, mens det fortsatt kan dokumenteres at samtalen skjedde.

Slik beskytter vi dataene

Tiltakene er bygget inn i produktet og beskrevet i databehandleravtalens bilag 2. Sikkerhetsvurderingen (ROS) og personvernkonsekvensvurderingen (DPIA) ligger under dokumenter.

Kryptering
All trafikk er kryptert, og data er kryptert når de lagres. Innhold i konfidensielle samtaler og personopplysninger er i tillegg kryptert felt for felt, med nøkler i Scaleway Key Manager.
Tilgangsstyring
Ansatte logger inn med kommunens Entra ID, og skoler bruker Feide. Innlogging med flere faktorer kreves for alle dataklasser. For konfidensielt innhold og personopplysninger kreves sikkerhetsnøkkel eller Windows Hello. Hvem som får se hva, avgjøres alltid på serveren og aldri i nettleseren. Roller arves nedover i organisasjonen.
Hver kommunes data for seg
Hver kommunes data er skilt fra de andres i databasen, slik at en kommune ikke kan lese en annens data, heller ikke gjennom et IKT-samarbeid. Vi tester dette automatisk ved hver endring i koden.
Logg som ikke kan endres
Målfrid kan legge til nye linjer i loggen, men ikke endre eller slette gamle. Første linje skrives før meldingen sendes til modellen, og en ny når svaret er ferdig. Hvert døgn lages en kontrollsum over loggen, slik at endringer i ettertid kan oppdages. Alle administratorhandlinger logges, også endringer i regler som arves nedover.
Nettverk og drift
Serverne ligger i et privat nettverk, og all trafikk ut er stengt bortsett fra til godkjente leverandører i EU. Nye versjoner rulles ut uten nedetid, og vi har en rutine for å øve på gjenoppretting.
Våre egne tilganger
Ansatte hos Schoolhub får tilgang bare når de trenger det til en konkret oppgave, for en begrenset tid, og alt logges. De har taushetsplikt. Vi bruker ikke produksjonsdata i utvikling, og passord og nøkler ligger i Scaleway Secret Manager, ikke i koden.

Innsyn og de registrertes rettigheter

Det er to ulike regelsett. Offentleglova handler om allmennhetens innsyn i kommunens dokumenter. Personvernforordningen handler om hva den enkelte kan kreve av opplysninger om seg selv. Målfrid støtter begge, men kommunen avgjør.

Innsyn etter offentleglova

Samtaler og utkast kan være dokumenter som må vurderes for innsyn. Målfrid er bygget slik at de kan finnes, vurderes og leveres.
Innsynsmodulen kan søke i samtaler på tvers av brukere i én kommune, og er bare tilgjengelig for roller som arkivadministrator og revisor.
Systemet foreslår skjerming med lovhjemmel. Et menneske må godkjenne før noe utleveres.
Utleveringspakken får kontrollsum og logges. Samtaler kan eksporteres som PDF og som Noark 5-pakke.
Innsyn går aldri på tvers av kommuner.

Registrertes rettigheter etter GDPR

Den registrerte kan be om innsyn, retting, sletting, begrensning, dataportabilitet og kan protestere (art. 15 til 22).
Henvendelser fra enkeltpersoner som kommer til oss, videresender vi til kommunen uten ugrunnet opphold, normalt innen tre virkedager.
Vi gir kommunen verktøy for å hente ut og slette: eksport av samtaler, sletting og innsynsmodul.
Målfrid tar ingen automatiske avgjørelser som har rettslig virkning for enkeltpersoner (art. 22). Svar er utkast som et menneske vurderer.
Den registrerte kan klage til Datatilsynet.

Sletting etter GDPR og arkivplikt etter arkivloven kan trekke i ulik retning. Derfor slettes journalførte samtaler først etter at arkivet har bekreftet mottak.

KI-forordningen

Målfrid er et KI-system med begrenset risiko. Schoolhub er leverandør, kommunen er idriftsetter. Plattformen er ikke høyrisiko i seg selv, men hvordan en assistent brukes, kan endre det.

Register over assistenter
Hver assistent har formål, risikoklasse, dataklasser, tillatte modeller, kilder, eier, godkjenner og versjon. Publisering krever godkjenning (utkast, gjennomgang, publisert). Registeret kan eksporteres.
Menneskelig kontroll
Svar presenteres som utkast, med kilder som kan åpnes og kontrolleres. Eksport krever at brukeren fyller ut hvem som har kvalitetssikret. Brukeren kan alltid avvise eller overstyre, og det logges.
Merking av KI-generert tekst
Brukeren får beskjed om at hen snakker med KI. Eksport merkes «Utkast laget med KI-assistent, kvalitetssikret av …», og utkast har et maskinlesbart felt som markerer KI-generert innhold. Modell, leverandør og region vises.
Forbudt og høyrisiko
Målfrid har ingen funksjon for sosial scoring eller følelsesgjenkjenning. Bruk til rangering av søkere eller avgjørelse om ytelser er utenfor omfanget og blokkeres i godkjenning av assistenter.
Logging
Loggføringen er bygget til nivået som kreves for høyrisikosystemer, selv om Målfrid normalt ikke er det. Handlingslogg oppbevares i fem år som standard, mot kravet om minst seks måneder.
Opplæring
Vi lager opplæringsmateriell om begrensninger, feilsvar og faren for å stole for mye på maskinen, til brukere og administratorer. Kommunen informerer ansatte og tillitsvalgte før bruk.

Dette er ikke juridisk rådgivning. Kontroller gjeldende ordlyd med kommunens jurist.

Sikkerhetsrammeverk

Standarder og regelverk Målfrid er bygget etter.

Rammeverk og standarder
Rammeverk	Hva det betyr
NSM grunnprinsipper for IKT-sikkerhet	Brukes som sjekkliste i utvikling og drift.
GDPR	Databehandleravtale, DPIA, ROS og behandlingsprotokoll følger produktet og versjoneres. Kommunen eier sin egen DPIA.
KI-forordningen (EU 2024/1689)	Roller, risikoklasser, register, menneskelig kontroll og merking er beskrevet og bygget inn. Gjennomgås minst hver sjette måned.

Underdatabehandlere

Disse leverandørene kan behandle data på vegne av kommunen, avhengig av hva kommunen har slått på.

Underdatabehandlere, tjeneste, sted, type og dataklasser
Underdatabehandler	Tjeneste	Sted	Type	Dataklasser (standard)
Scaleway SAS (Iliad-konsernet, Frankrike)	Hosting: Kubernetes, PostgreSQL, Redis, objektlagring, nøkkel- og hemmelighetsforvaltning, GPU for tale	EU (Paris, Frankrike). Sikkerhetskopi i Amsterdam, Nederland	Hosting	Åpen, Intern, Konfidensiell, Personopplysninger
GreenPT BV (Nederland)	Språkmodeller (åpne modeller). Standard for alle dataklasser	EU (Frankrike og Finland)	Språkmodell	Åpen, Intern, Konfidensiell, Personopplysninger
Microsoft Ireland Operations Ltd. (Azure OpenAI)	Språkmodeller (GPT) i EU Data Zone. Brukes bare hvis kommunen aktivt velger det	EU Data Zone (Sverige og andre EU-land)	Språkmodell (valgfri)	Åpen, InternForvalg. Øvrige klasser etter kommunens aktive valg
nexos.ai	Tilgang til flere språkmodeller (Claude, Mistral og modeller med kinesisk opphav) gjennom én tjeneste	Varierer per modell	Språkmodell	Åpen, InternForvalg. Kommunen bestemmer, og behandlingsstedet varierer per modell
Mistral AI SAS	Mistrals språkmodeller, valgfri tale til tekst og valgfri tekstgjenkjenning av skannede dokumenter	Frankrike (Mistral AI, Paris)	Språkmodell	Åpen, InternForvalg. Kommunen bestemmer
Sikt (Feide)	Pålogging for skole og oppvekst (valgfritt)	Norge	Pålogging	Ingen innhold
Staan (europeisk søkemotor-API)	Nettsøk (Staan). Av som standard og aldri for konfidensielle samtaler eller personopplysninger	EU	Nettsøk	Åpen, InternBare hvis kommunen slår det på

Kommunens egen Microsoft Entra ID er kommunens eget system og er ikke med i listen. Hosting hos Scaleway SAS (Frankrike, EU-eid) brukes av alle kommuner. Microsoft er underdatabehandler bare hvis kommunen selv slår på Azure OpenAI.

Kommunen varsles skriftlig minst 30 dager før en ny eller endret underdatabehandler tas i bruk, og kan protestere med saklig grunn.

Avvik og sikkerhetshendelser

Vi varsler kommunen uten ugrunnet opphold, og målet er innen 24 timer etter at vi oppdager et brudd på personopplysningssikkerheten.

Vi oppdager eller får melding om en hendelse, og stopper skaden.
Vi varsler kommunens kontaktperson uten ugrunnet opphold, og med mål om innen 24 timer.
Varselet beskriver art og omfang, berørte registrerte og tiltak, så kommunen kan vurdere meldeplikten til Datatilsynet innen 72 timer (art. 33).
Vi bistår kommunen med utredning, kommunikasjon og dokumentasjon.
Vi gjør en årsaksanalyse og følger opp tiltak, og hendelsen går inn i risikovurderingen.

Hendelser som gjelder KI-bruk, for eksempel alvorlige feil, meldes på samme måte, slik at kommunen kan oppfylle sine plikter som idriftsetter.

Kontakt oss om personvern

Spørsmål om personvern, sikkerhet, databehandleravtalen eller dokumentasjonen du ikke finner her, kan sendes til oss. Merk e-posten «Personvern». Schoolhubs personvernombud er Fresh Compliance GmbH i Berlin, info@freshcompliance.de.

Personvern og sikkerhet: personvern@malfrid.eu
Generelle henvendelser: kontakt@malfrid.eu

Som innbygger eller ansatt i en kommune som bruker Målfrid, ta først kontakt med kommunen. Kommunens personvernombud kan hjelpe deg.

Du kan alltid klage til Datatilsynet.

Dokumenter

Vi oppdaterer dokumentene når produktet endres, og viser når de sist ble endret.

Maler og dokumenter til kommunens vurdering

Kommunen kopierer dokumentene og fyller ut feltene i hakeparentes sammen med personvernombudet. Hvert dokument kan lastes ned som PDF fra dokumentsiden.

Databehandleravtale
Bygget på KS sin mal, med bilag.
21. oktober 2026 · bokmål
Åpne og last ned som PDF
DPIA-underlag
Kommunen eier DPIA-en og fyller den ut.
21. oktober 2026 · bokmål
Åpne og last ned som PDF
ROS-analyse
Trusler, tiltak og restrisiko.
21. oktober 2026 · bokmål
Åpne og last ned som PDF
Behandlingsprotokoll
Behandlingene vi gjør som databehandler.
21. oktober 2026 · bokmål
Åpne og last ned som PDF

Avtaler

Databehandleravtale
Avtalen mellom kommunen og Schoolhub etter GDPR art. 28, med bilag om tiltak, slettefrister og underdatabehandlere.
Sist oppdatert 21. oktober 2026
Underdatabehandlere
Oversikt over underdatabehandlere med tjeneste, sted og krav.
Sist oppdatert 21. oktober 2026
Personvernerklæring for tjenesten (mal)
Mal kommunen kan bruke i sin egen informasjon til ansatte og innbyggere.
Sist oppdatert 21. oktober 2026

Vurderinger

Personvernkonsekvensvurdering (DPIA)
Underlag til kommunens DPIA etter art. 35: behandlingen, risiko og tiltak.
Sist oppdatert 21. oktober 2026
ROS-analyse
Risikoregister for Målfrid med trusler, tiltak og restrisiko, til bruk i kommunens egen risikovurdering.
Sist oppdatert 21. oktober 2026
Vurdering av overføring til tredjeland
Vurdering av overføringsgrunnlag der en leverandør har tilknytning til tredjeland.
Sist oppdatert 21. oktober 2026

Rutiner

Behandlingsprotokoll
Oversikt over behandlingene vi gjør som databehandler (art. 30).
Sist oppdatert 21. oktober 2026
Avvikshåndtering
Hvordan vi oppdager, varsler og følger opp brudd på personopplysningssikkerheten.
Sist oppdatert 21. oktober 2026
Registrertes rettigheter
Hvordan vi bistår kommunen når en registrert vil bruke sine rettigheter.
Sist oppdatert 21. oktober 2026
Sletting og lagringstid
Standard lagringstid per dataklasse og hvordan sletting gjennomføres og logges.
Sist oppdatert 21. oktober 2026

Erklæringer

Personvernerklæring for nettstedet
Hvordan vi behandler opplysninger om besøkende og de som sender inn kontaktskjemaet på malfrid.eu.
Sist oppdatert 21. oktober 2026
Informasjonskapsler
Hvilke informasjonskapsler nettstedet og tjenesten bruker.
Sist oppdatert 21. oktober 2026
KI-forordningen
Roller, risikoklasser, register over assistenter, menneskelig kontroll og logging.
Sist oppdatert 21. oktober 2026
Tilgjengelighet
Hvordan vi arbeider med universell utforming (WCAG 2.1 AA).
Sist oppdatert 21. oktober 2026

Informasjonssikkerhet

Informasjonssikkerhetspolicy
Overordnet policy i styringssystemet for informasjonssikkerhet.
Sist oppdatert 21. oktober 2026

Vanlige spørsmål fra kommuner

Detaljene står i dokumentene og på sidene for hver rolle.

Trener dere eller leverandørene på kommunens data?

Nei. Opplysningene brukes ikke til trening av modeller, verken hos oss eller hos underdatabehandlere. Det er et krav i databehandleravtalen og i kravene vi stiller til hver modellleverandør før den slås på.

Hvor ligger dataene våre?

Innholdet driftes hos Scaleway i Frankrike (EU-eid), region Paris, med sikkerhetskopi i Amsterdam. Konfidensielt innhold og personopplysninger sendes bare til leverandører i EU. Regionen som ble brukt, logges på hver melding. Overføring til tredjeland skjer ikke uten skriftlig godkjenning fra kommunen og gyldig overføringsgrunnlag.

Kan Microsoft se dataene våre?

Bare hvis kommunen selv slår på Azure OpenAI. Driften er hos Scaleway i Frankrike, og Microsoft er ikke underdatabehandler så lenge Azure OpenAI er av. Slår kommunen det på, går meldinger til Azure OpenAI i EUs datasone. For personopplysninger er det av som standard. Konfidensielt innhold og personopplysninger er i tillegg kryptert felt for felt, med nøkler i Scaleway Key Manager.

Kan en annen kommune eller IKT-samarbeidet lese samtalene våre?

Nei. Hver kommunes data er skilt fra de andres i databasen, og innsyn går aldri på tvers av kommuner. Administratorer i et IKT-samarbeid kan sette felles regler, men ikke lese innhold.

Kan ansatte hos Schoolhub lese samtalene?

Tilgang gis bare etter tjenstlig behov, er tidsavgrenset og logges, og de ansatte er underlagt taushetsplikt. Konfidensielt innhold og personopplysninger er kryptert på feltnivå.

Må vi lage en DPIA?

Kommunen eier DPIA-en for sin bruk. Vi leverer et ferdig underlag og en ROS-analyse som dere kan kopiere og fylle ut sammen med personvernombudet.

Kan Målfrid ta vedtak?

Nei. Svar er utkast med kilder som en saksbehandler vurderer.

Hvem kan søke i samtaler når vi får et innsynskrav?

Bare roller som arkivadministrator og revisor, og bare innenfor egen kommune. Systemet foreslår skjerming med lovhjemmel, og et menneske godkjenner.

Hva skjer med dataene hvis avtalen opphører?

Vi eksporterer kommunens data i åpent format og sletter deretter alt, med skriftlig bekreftelse. Sikkerhetskopier utløper av seg selv, og alt er borte senest 90 dager etter sletting. Journalførte samtaler slettes ikke før arkivet har bekreftet mottak.

Hva som skjer med kommunens data

Hva Schoolhub gjør og ikke gjør

Bare etter avtalen

Varsel om endringer

Samarbeidets administratorer ser ikke innhold

Slik kan du kontrollere det vi sier

Hver melding og hvert svar blir loggført.

Loggen kan ikke endres i ettertid.

Data behandles i EU/EØS, og regionen står i loggen.

Kommunens data brukes ikke til å trene modeller.

Konfidensielt innhold og personopplysninger er kryptert felt for felt.

Hver kommunes data holdes for seg.

Dataklassen avgjør hvilke modeller som kan brukes.

Samtaler slettes etter fristene for dataklassen.

Bare leverandørene i listen brukes.