Versjon 1.2, 21. oktober 2026. Dokumentet beskriver hvor lenge Målfrid beholder hva, hvordan fristene arves og låses, og hva som skjer ved sletting og avslutning. Tallene er Målfrids standard og er de samme som i databehandleravtalen bilag 5, DPIA og malen for personvernerklæring til ansatte. Dere kan stramme inn fristene for egen organisasjon.
1. Oppbevaring per dataklasse
Fristene gjelder samtaler, artefakter, transkripsjoner og vedlegg.
| Dataklasse | Standard (dager) | Handling | Merknad |
|---|---|---|---|
| Åpen | 730 (24 måneder) | Sletting | Dere kan velge anonymisering i stedet for sletting |
| Intern | 365 (12 måneder) | Sletting | |
| Konfidensiell | 90 | Sletting | Journalført og ikke bekreftet av arkivet: slettes ikke |
| Personopplysninger | 30 | Sletting | Journalført og ikke bekreftet av arkivet: slettes ikke |
- Beregning. Fristen settes når samtalen opprettes: opprettelsestidspunktet pluss antall dager for dataklassen. Hvis samtalen oppgraderes til en strengere dataklasse, kortes fristen til den strengeste. Fristen kan aldri forlenges. Hvis en samtale mangler frist, regnes den fra siste endring.
- Sletting. Samtalen fjernes med meldinger, vedlegg og lagrede filer, artefakter og transkripsjoner.
- Anonymisering. Innholdet erstattes med en plassholdertekst. Tilknytning til bruker og oppretter, tittel og sitater fjernes, og samtalen markeres som slettet.
- Lengste frist. Dere kan sette inntil 3650 dager per dataklasse.
- Daglig kontroll. En automatisk jobb går hver natt gjennom alle samtaler som har passert fristen. Hver sletting eller anonymisering føres i revisjonsloggen, og det føres en oppsummering per kommune. Loggen inneholder identifikatorer og tall, aldri innhold.
- Filer. Lagrede filer slettes først etter at databasen er oppdatert, slik at ingen filer går tapt for samtaler som fortsatt finnes.
- Endret regel. Hvis dere endrer fristen for en enhet etter at en samtale er opprettet, gjelder ikke endringen automatisk for eksisterende samtaler. Den gjelder nye samtaler. Skal eksisterende samtaler følge den nye regelen, utfører Schoolhub en engangsoppdatering på skriftlig instruks.
1.1 Frittstående elementer
Transkripsjoner som ikke hører til en samtale slettes når fristen for dataklassen er passert, regnet fra siste endring. Tilhørende lydfil slettes sammen med transkripsjonen. Frittstående artefakter slettes etter samme regel, bortsett fra artefakter som er eksportert. Disse beholdes fordi de kan være journalført andre steder.
2. Arv og låsing
Reglene gjelder fra toppen av organisasjonen og nedover. Først brukes standardverdiene, eller verdiene fra nærmeste enhet som har satt egne. Deretter brukes oppbevaringsregler satt på enheter fra toppen og nedover, og den nærmeste regelen gjelder. En overordnet enhet, for eksempel et IKT-samarbeid eller en kommune, kan låse en regel. Enhetene under kan da stramme inn, men ikke lempe på regelen. Forsøk på å lempe på en låst regel avvises. Alle endringer logges. Administrator for enheten kan se konsekvensene av en endring før den lagres.
3. Journalførte samtaler og arkiv
En samtale som er journalført, men der arkivsystemet ikke har bekreftet mottak, slettes aldri av oppbevaringsjobben, uansett regel. Bekreftelsen registreres når arkivsystemet har bekreftet mottak. Arkivlova og kommunens arkivplan avgjør hva som skal journalføres og bevares. Målfrid sletter ikke før arkivet har sagt ifra.
4. Brukerens egen sletting
Når en bruker sletter en samtale, skjules den umiddelbart for brukeren. Den fjernes fysisk når oppbevaringsfristen er ute, eller før det etter skriftlig instruks fra kommunen, se registrertes rettigheter.
5. Revisjonsspor
| Hva | Oppbevaring | Hvordan |
|---|---|---|
| Revisjonsloggen (gjennomførte handlinger) | 5 år (1826 dager) | Loggen slettes måned for måned, først når hele måneden er eldre enn fristen. Enkeltoppføringer slettes aldri |
| Avviste forespørsler | 365 dager, kan settes per kommune | Samme ordning. En måned slettes først når den er eldre enn den lengste fristen som gjelder |
| Kontrollsummer for loggen (én per dag og kommune) | Beholdes | Gjør det mulig å kontrollere at gjenværende spor ikke er endret |
| Etterforskning | Relevante deler av loggen fryses | Slettingen stoppes manuelt så lenge etterforskningen pågår |
Revisjonsspor inneholder metadata, ikke samtaleinnhold, og kan derfor bestå selv om innholdet er slettet.
6. Sikkerhetskopier
| Kopi | Oppbevaring | Ved sletting |
|---|---|---|
| Automatisk databasekopi hos Scaleway | Daglig, 30 dager. Kopien ligger i en annen region (nl-ams) | Slettede data finnes i opptil 30 dager i kopiene. Gjenopprettes en kopi, kjøres slettingen på nytt, slik at slettet innhold ikke kommer tilbake |
| Ukentlig kryptert kopi av databasen | 90 dager. Lagret i nl-ams og kan ikke slettes eller forkortes før fristen er ute | Utløper etter 90 dager |
| Fillagring (opplastinger og eksport) | Tidligere versjoner slettes etter 35 dager. En kopi i nl-ams kan ikke slettes før etter 90 dager | Slettede filer finnes i kopien i opptil 90 dager |
| Redis (mellomlager) | Flyktig | Ingen varig lagring |
Sikkerhetskopiene utløper av seg selv etter fristene over. Alt er derfor borte senest 90 dager etter sletting.
7. Bakgrunnsjobber
Systemet for bakgrunnsjobber lagrer ikke innhold i klartekst. Det lagrer bare identifikatorer, og data som sendes underveis er kryptert. Fullførte jobber og tilhørende oppføringer slettes etter 7 dager.
8. Annet
| Data | Oppbevaring |
|---|---|
| Brukere og medlemskap | Så lenge medlemskapet finnes. Fjernes ved avslutning, og brukeren kan anonymiseres på instruks |
| Hendelser i påloggingstjenesten | 90 dager |
| Telemetri | Inneholder ingen samtaleinnhold og ingen direkte personidentifikatorer |
| Henvendelser fra nettstedet | Senest 24 måneder etter siste kontakt (personvernerklæring for nettstedet) |
| Spørsmål og svar hos modellleverandør | GreenPT oppgir at API-innhold ikke lagres på varig basis. Microsoft Azure kan lagre utvalgte forespørsler for misbruksovervåking, med mindre unntak er godkjent. Hos Mistral AI er data ikke tilgjengelige 30 dager etter avtalens slutt og slettes eller returneres da |
| Nettsøk | Revisjonsloggen lagrer kontrollsum og lengde på søket. Full tekst lagres bare for dataklassen Åpen |
| Mellomlager for nettsøk | Ligger i minnet, kort levetid, adskilt per kommune |
9. Når avtalen opphører
- Dere varsler om opphør. Schoolhub planlegger avslutningen sammen med dere: hvilke enheter som er med og hva som er journalført.
- Dere får eksport i åpne formater innen 30 dager etter opphør: JSON (samtaler, kunnskapskilder og artefakter), PDF og Noark 5-pakke med kontrollsum, og revisjonsspor (JSONL og CSV). Se databehandleravtalen punkt 14.1.
- Dere bekrefter mottak skriftlig.
- For journalførte samtaler som arkivet ikke har bekreftet, bekrefter eller bestemmer dere hva som skal skje før sletting.
- Pålogging for kommunens enheter deaktiveres, og tilgangene til kommunens Microsoft 365 trekkes tilbake.
- Schoolhub sletter alle aktive data innen 30 dager etter at dere har bekreftet. Det gjelder databaser, filer, søkeindeks og kryptert innhold.
- Sikkerhetskopiene utløper på sin egen frist, senest 90 dager etter punkt 6.
- Dere får skriftlig sletteerklæring innen rimelig tid, se databehandleravtalen punkt 14.2.
- Revisjonssporet eksporteres til dere. Schoolhub sletter sin kopi når fristen er ute, og ikke før dere har bekreftet eksporten.
10. Hvem avgjør hva
- Schoolhub eier standardverdiene. Administrator for enheten setter lokale verdier, og arkivansvarlig bestemmer hva som journalføres.
- Endres standardverdiene i dette dokumentet, oppdaterer vi også databehandleravtalen bilag 5, DPIA og malen for ansatte.
Kilder
- GDPR art. 5(1)(e), 17 og 28(3)(g): https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Arkivlova (LOV-2025-06-20-96): https://lovdata.no/dokument/NL/lov/2025-06-20-96