Versjon 1.2, 21. oktober 2026. Dette er det eneste registeret over Schoolhub AS sine underdatabehandlere for Målfrid. Databehandleravtalen (bilag 1), behandlingsprotokollen, DPIA, ROS og TIA viser hit. Endringer varsles til kommunen minst 30 dager i forveien, jf. databehandleravtalen punkt 5.3.
1. Plattform og infrastruktur (alltid aktive)
| ID | Underdatabehandler | Tjeneste | Opplysninger | Lokasjon | Overføringsgrunnlag |
|---|---|---|---|---|---|
| U1 | Scaleway SAS (Frankrike), datterselskap i Iliad-konsernet. Ingen amerikansk morselskap | Hosting: applikasjonsplattform, administrert database (høy tilgjengelighet), fillagring, nøkkel- og hemmelighetsforvaltning, GPU-maskiner for tale til tekst (NB-Whisper), lastbalansering, private nettverk, tilgangsstyring, aktivitets- og plattformlogger | Alle dataklasser (kryptert i hvile, og kryptert på felt-nivå for Konfidensiell og Personopplysninger), revisjonsspor, brukerdata | Primær: Paris (flere tilgjengelighetssoner). Sikkerhetskopier og katastrofegjenoppretting: Amsterdam. Prosessering i EØS (Frankrike og Nederland) | Ingen overføring til tredjeland: alt skjer i EØS hos en europeisk leverandør uten amerikansk morselskap. Det trengs ingen TIA for hosting, se TIA |
Scaleway er bare hosting. Scaleway er ikke leverandør av språkmodeller i Målfrid. Scaleway er også underdatabehandler hos GreenPT (U2), men det er GreenPTs avtale og ikke vår.
Microsoft er ikke plattformleverandør. Microsoft er underdatabehandler (U4) når en kommune bruker Azure OpenAI. Forvalget er Åpen og Intern, og kommunen kan velge flere dataklasser (se under).
Komponenter som kjører på U1 og som ikke er egne underdatabehandlere: innloggingstjenesten, overvåking uten innhold (bruker-ID lagres som kontrollsum, og autorisasjon, informasjonskapsler og databasespørringer fjernes), tale til tekst på egne GPU-maskiner hos Scaleway, bakgrunnsjobber og mellomlager. Skanning for skadevare kjører som egen tjeneste i plattformen, uten ekstern leverandør.
2. Modellleverandører og nettsøk (kun de kommunen har slått på)
Målfrid bruker fire leverandører av språkmodeller og én leverandør av nettsøk. Kommunen bestemmer hvilke dataklasser hver leverandør og hver modell kan brukes til. Valget gjøres i organisasjonstreet (innstillingene provider_data_classes og model_data_classes), arves nedover og kan låses av en overordnet enhet, for eksempel et IKT-samarbeid. Schoolhub gir et forvalg og de faktaene vi har belagt (se ADR 0013). Forvalget er vår anbefaling, ikke et tak. Administrasjonssiden viser leverandørens navn og behandlingssted ved siden av valget, og alle endringer logges.
| ID | Underdatabehandler | Tjeneste / modeller | Lokasjon | Forvalg for dataklasser (kommunen bestemmer) | Overføringsgrunnlag |
|---|---|---|---|---|---|
| U2 | GreenPT BV, Plompetorengracht 4, 3512 CC Utrecht, Nederland (KvK 97084360) | Åpne språkmodeller: Kimi K3, GLM 5.3, MiniMax M3, DeepSeek V4.1 Flash og GLM 5.3 Flash (kinesisk opphav, kjørt av GreenPT i EU), og tekstvektormodellen Qwen3 Embedding 8B. Leverandøren oppgir at API-innhold ikke lagres på varig basis (behandles i minnet) | EU-endepunktet api.greenpt.ai: Scaleway SAS i Paris, og Inceptron, Tensorix og Melious i Finland. Daglige krypterte sikkerhetskopier i Frankrike | Åpen, Intern, Konfidensiell, Personopplysninger | EØS. GreenPTs egne underdatabehandlere: Scaleway SAS (Paris), Inceptron, Tensorix og Melious (Finland), Mollie B.V. (betaling), Moneybird (fakturering) og Cirrux (e-post). USA-endepunktet til GreenPT brukes ikke |
| U3 | nexos.ai | Én tilgang til modeller fra flere utviklere: Claude Opus 5.5, Sonnet 5.5, Haiku 5.5, Mistral Small 4, Kimi K3, GLM 5.3 og DeepSeek V4.1 Flash | Varierer per modell (EU, USA eller annet, oppgitt av nexos.ai) | Åpen, Intern. Kommunen kan velge flere | Nexos.ais underleverandørliste oppgir Amazon Web Services EMEA SARL (hosting, EØS), Fireworks AI, Inc. (språkmodelltjenester, USA) og 360 IT UAB (tilknyttet selskap, IT og sikkerhet). Se TIA 3 |
| U4 | Microsoft Ireland Operations Ltd. (Azure OpenAI, EU Data Zone). Amerikansk morselskap | GPT-6.1 Sol, GPT-5.6 Terra, GPT-5.4 mini, GPT-5 nano og Whisper | Ressurs i Sverige (Sweden Central), distribusjon «Data Zone EU»: forespørsler behandles i EU-land, lagring i hvile i valgt geografi | Åpen, Intern. Kommunen kan velge Konfidensiell og Personopplysninger, hvis ingen overordnet enhet har låst valget | EØS-prosessering i Data Zone. Amerikansk myndighetstilgang og EU-US Data Privacy Framework: TIA 2 |
| U4b | Microsoft Ireland Operations Ltd. (Azure AI Speech, valgfri opplesing av tekst). Amerikansk morselskap | Norske nevrale stemmer (Pernille, Finn, Iselin). Av som standard: standardstemmene kjører på egne GPU-maskiner | Kun EU/EØS-region | Samme valg som U4. Enheten må i tillegg ha slått på Azure Speech som stemmeleverandør | Som U4, TIA 2 |
| U5 | Staan (nettsøk) | Søk på nettet (api.staan.ai). Staan oppgir EU-datasentre, ruting bare i EU «available» og ingen eksponering mot amerikansk CLOUD Act | EU-datasentre (oppgitt av Staan) | Åpen, Intern, og bare når kommunen har slått på nettsøk. Aldri Konfidensiell eller Personopplysninger | EØS ifølge leverandørens egne opplysninger |
| U6 | Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankrike | Språkmodeller (Mistral Large 4, Medium 3.5 og Small 4), og to valgfrie tilvalg: tale til tekst (Voxtral, innstillingen speech_providers) og tekstgjenkjenning i skannede dokumenter (Mistral OCR, innstillingen ocr_providers). Tilvalgene er av som standard: Tesseract på egne maskiner er standard og reserve for tekstgjenkjenning | Frankrike (Mistral AI, Paris) | Åpen, Intern. Kommunen kan velge flere | Databehandlertillegget bruker standardavtalen (SCC) og land med tilstrekkelig vern. Underdatabehandlere: trust.mistral.ai/subprocessors. Se TIA 6 |
Tekstvektorer og kunnskapsbaser: tekstvektorer lages av Qwen3 Embedding 8B hos GreenPT (U2, EU), så kunnskapsbaser med Konfidensiell og Personopplysninger kan bygges uten Azure.
Modeller av kinesisk opphav: åpne modeller laget av kinesiske selskaper (Kimi, GLM, MiniMax, DeepSeek, Qwen) brukes bare når de kjøres av GreenPT i EU eller av nexos.ai (forvalg Åpen og Intern). Ingen forespørsel går til kinesisk drevne tjenester (DeepSeek, Moonshot, Alibaba Cloud, Zhipu, MiniMax eller Xiaomi sine egne API-er). Kommunen kan slå modellene av med innstillingen allow_chinese_origin_models, og en overordnet enhet kan låse den. For nexos.ai oppgir leverandørens modellkatalog bare vertene Fireworks AI (USA), Lyceum (Berlin), Nebius og AWS Bedrock for modellene vi bruker (Kimi K3, GLM 5.3, DeepSeek V4.1 Flash). Modeller der katalogen også nevner en kinesisk drevet vert er ikke koblet til.
Mistral AI (U6): Mistrals databehandlertillegg sier at data ikke er tilgjengelige 30 dager etter avtalens slutt og så slettes eller returneres, og tillater én revisjon på stedet i året. For tekstgjenkjenning oppgir dokumentasjonen over 40 språk, og norsk står i listen.
Tale: referat transkriberes først med NB-Whisper på egne GPU-maskiner hos Scaleway (U1, ingen ekstern mottaker). Azure Whisper (U4) brukes bare hvis kommunen har slått på Microsoft Azure OpenAI for aktuell dataklasse. Voxtral (U6) brukes bare hvis enheten har lagt det til i speech_providers, nøkkel er lagt inn og dataklassen er Åpen eller Intern.
Dokumenttekst: skannede PDF-er leses som standard med Tesseract på egne maskiner (ingen ekstern mottaker). Mistral OCR (U6) brukes bare hvis enheten har lagt det til i ocr_providers, nøkkel er lagt inn og dokumentet er Åpen eller Intern. Ved feil brukes Tesseract.
3. Krav til alle modellleverandører før aktivering
- Skriftlig bekreftelse på prosessering i EU/EØS for den aktuelle tjenesten og modellen.
- Databehandleravtale (art. 28(3) og (4)) som pålegger samme forpliktelser som i vår databehandleravtale.
- Forbud mot trening og annen sekundær bruk. Ingen eller kortest mulig lagring av spørsmål og svar (ingen lagring der leverandøren tilbyr det). Skriftlig angivelse av eventuell misbruksovervåking.
- Liste over leverandørens egne underleverandører, med varsel ved endring.
- Varsel om brudd uten ugrunnet opphold, slik at vi kan varsle kommunen innen 24 timer (se avvikshåndtering).
- Dokumentasjon om modellen og treningsdata fra leverandøren av språkmodellen (KI-forordningen art. 53 og 55, se KI-forordningen).
- Leverandør og region logges per kall, og det er satt en kostnadsgrense per enhet.
4. Valgfrie tjenester (av som standard)
Nettsøk er avslått som standard og tillates bare for Åpen og Intern. Konfidensiell og Personopplysninger er alltid utelukket. Søkespørringen kontrolleres for personopplysninger før den sendes. Kommunen slår på nettsøk og kan snevre det inn til Åpen. En leverandør av nettsøk tas bare i bruk når databehandleravtale er på plass og behandling i EU/EØS er bekreftet, og den føres inn i dette registeret med varsel etter databehandleravtalen punkt 5.3. Nettsøk leveres av Staan (U5), som er den eneste leverandøren av nettsøk.
Brave Search, Exa og Tavily brukes ikke i tjenesten, fordi de er amerikanske selskaper.
5. Mottakere som ikke er Schoolhubs underdatabehandlere
| Mottaker | Rolle | Merknad |
|---|---|---|
| Kommunens Microsoft Entra ID, kommunens egen identitetsløsning og Microsoft Graph (gruppesynkronisering, SharePoint, Teams) | Kommunens egen leverandør. Kommunen er behandlingsansvarlig, og Microsoft er kommunens databehandler | Målfrid leser gruppemedlemskap (id, e-post, visningsnavn). Avtalen mellom kommunen og Microsoft er kommunens ansvar |
| Sikt (Feide) | Identitetsleverandør for skole, i egen rolle under Feide-avtalen | Kommunen eller skoleeier har avtalen |
| KS Fiks Arkiv og kommunens arkivsystem | Kommunens arkivløsning | Journalføring forutsetter avtale mellom kommunen og arkivleverandøren |
| Lovdata (åpne data) | Offentlig kilde | Ingen personopplysninger sendes ut |
| Kommunale nettsteder (møtebokroboten MaalfridBot) | Kilde | Henter offentlige dokumenter, bare etter kommunens samtykke |
6. Endringsprosess
- Schoolhub oppdaterer registeret og varsler kommunene skriftlig minst 30 dager før ny eller endret underdatabehandler tas i bruk (databehandleravtalen punkt 5.3).
- Kommunen kan protestere med saklig grunn innen 30 dager. Ved uløst innsigelse kan kommunen si opp den berørte delen, og Schoolhub slår av leverandøren for kommunens enheter.
- En ny leverandør krever oppføring i ROS, TIA ved tilknytning til tredjeland, databehandleravtale og at kravene i punkt 3 er oppfylt.
Versjon 1.2, 21. oktober 2026.
Kilder
- Forordning (EU) 2016/679 (GDPR) art. 28(2) og (4), kap. V: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Datatilsynet, veiledning om databehandler: https://www.datatilsynet.no