Personvern og etterleving
Kva som skjer med data frå kommunen
Sida viser kvar dataa blir behandla, kva for underdatabehandlarar som blir brukte, kor lenge alt blir lagra og kva for tryggleikstiltak som gjeld.
- Databehandlar
- Schoolhub
- Lagring og behandling
- EU/EØS som standard
- Trening på kundedata
- Nei
Kva Schoolhub gjer og ikkje gjer
Det som gjeld står i databehandlaravtalen med kvar kommune.
Berre etter avtalen
Vi behandlar opplysningar berre slik databehandlaravtalen og innstillingane til kommunen i Målfrid seier. Vi brukar dei ikkje til eigne føremål og ikkje til å trene modellar.
Varsel om endringar
Kommunen får skriftleg varsel minst 30 dagar før ein ny underdatabehandlar blir teken i bruk, og kan protestere.
Tilgangen til samarbeidet blir logga
Administratorar i eit IKT-samarbeid kan setje felles reglar og forvalte medlemskommunane. For å søkje i samtalane til ein kommune må dei gi seg rolla arkivadministrator i den kommunen, og det blir logga i revisjonsloggen til kommunen.
Slik kan du kontrollere det vi seier
Kvar påstand har ein måte å kontrollerast på. Der noko er eit avtalekrav og ikkje kan målast i produktet, seier vi det.
Kvar melding og kvart svar blir loggført.
Slik fungerer det
Når ei melding kjem inn, blir ho lagra saman med ei loggrad i same databaseoperasjon, før modellen blir kalla. Sviktar lagringa, blir ingenting send. Når svaret er ferdig, blir det skrive ei ny rad med modell, leverandør, region, tekstmengd og kostnad. Avviste meldingar får eiga rad.
Slik kan du kontrollere det
- Be revisor eller administrator hente loggen frå sida Revisjon som JSONL eller CSV etter nokre dagars bruk.
- Samanlikn radene med samtalane de veit har vore.
- Dømet under viser korleis ein eksport ser ut.
Loggen kan ikkje endrast i ettertid.
Slik fungerer det
Tenesta kan berre føre nye oppføringar i loggen. Ho har ikkje rett til å endre eller slette. Kvart døgn blir det rekna ut ein kontrollsum over oppføringane for døgnet, og han blir kopla til kontrollsummen frå førre døgn. Endrar nokon ei line seinare, stemmer ikkje kontrollsummen lenger. Den som har full tilgang til databasen kan i prinsippet skrive om både loggen og kontrollsummane, og difor bør kommunen ta vare på kontrollsummane sjølv.
Slik kan du kontrollere det
- IKT kan hente kontrollsummane frå tenesta og lagre dei i systemet til kommunen sjølv.
- Tenesta har ein kontroll som reknar kjeda på nytt og viser om noko ikkje stemmer.
- Eit lagra kontrollpunkt hos kommunen gjer at vi ikkje kan skrive om historia utan at det blir oppdaga.
Sjå ogsåDPIA, tiltak mot misbruk av loggenSletting og lagringstid
Innhaldet blir lagra i EU, og behandlingsstaden for kvart svar står i loggen.
Slik fungerer det
Innhaldet blir lagra hos Scaleway i Paris, med tryggingskopi i Amsterdam. Kvar modell har ein oppgitt behandlingsstad, og han blir skriven i loggrada for svaret.
Slik kan du kontrollere det
- Sjå på feltet region i detaljane for kvart svar i loggeksporten. Det viser behandlingsstaden.
- Filtrer på leverandør og samanlikn med lista over underdatabehandlarar.
- Kontroller at berre leverandørane kommunen har godkjent i avtalen, finst i loggen.
Sjå ogsåUnderdatabehandlararRegister over underdatabehandlarar
Data frå kommunen blir ikkje brukte til å trene modellar.
Slik fungerer det
Det er forbode i databehandlaravtalen, og vi krev det same av kvar modelleverandør før han blir slått på. Dette er eit avtalekrav som ikkje kan målast i produktet.
Slik kan du kontrollere det
- Les punkt 3.4 i databehandlaravtalen og punkt 3 i registeret over underdatabehandlarar.
- Be om databehandlaravtalen for kvar modelleverandør kommunen slår på.
- Ta kravet inn som skal-krav i kravspesifikasjonen (krav P4).
Alt innhald er kryptert, med ein eigen nøkkel for kvar kommune.
Slik fungerer det
Meldingar, filer, kunnskapsbasar, transkripsjonar og anna innhald blir kryptert før det blir lagra, uansett dataklasse. Kvar kommune har sin eigen nøkkel. Nøklane er verna av ein hovudnøkkel i Scaleway Secret Manager, ikkje i koden eller databasen. Namn på einingar og assistentar og opplysningar som tidspunkt og status er ikkje kryptert.
Slik kan du kontrollere det
- Tiltaket er skildra i vedlegg 4 til databehandlaravtalen.
- Be IKT om ein teknisk gjennomgang der vi viser kryptert innhald i ein testdatabase utan ekte data.
Data frå kvar kommune blir haldne for seg.
Slik fungerer det
Databasen avviser spørjingar som går på tvers av kommunar, same kva programmet ber om. Det gjeld også mellom kommunane i eit IKT-samarbeid.
Slik kan du kontrollere det
- Skiljet mellom kommunane blir testa automatisk ved kvar endring i koden.
Dataklassen avgjer kva modellar som kan brukast.
Slik fungerer det
Før ei melding blir send, sjekkar tenesta dataklassen mot reglane til kommunen. Er ingen modell tillaten, eller har kommunen avgjort at personopplysningar skal stoppast i klassen, blir meldinga avvist og avvisinga logga.
Slik kan du kontrollere det
- Vel ein klasse der kommunen har avgjort at personopplysningar skal stoppast, og skriv eit gyldig, syntetisk fødselsnummer. Meldinga blir avvist.
- Opne loggen. Avvisinga står der med utfallet «denied» og grunnen.
- Same melding i ein klasse for personopplysningar går berre til modellar kommunen har tillate for den klassen.
Sjå ogsåDataklassar
Samtalar blir sletta etter fristane for dataklassen.
Slik fungerer det
Ein jobb køyrer kvar natt og slettar samtalar som er eldre enn fristen for klassen. Journalførte samtalar blir behaldne til arkivet har stadfesta mottak. Køyringa blir skriven til loggen.
Slik kan du kontrollere det
- Søk i loggen etter handlinga retention.sweep.completed og sjå kor mange som vart sletta.
- Kontroller fristane i administrasjonen for eininga.
- Ein sletta samtale kan liggje i tryggingskopiane i opptil 30 dagar før han er borte.
Berre leverandørane i lista blir brukte.
Slik fungerer det
Alle modell- og hostingleverandørar står i registeret over underdatabehandlarar. Ein ny leverandør krev skriftleg førehandsgodkjenning frå kommunen, og kommunen blir varsla minst 30 dagar før ei endring. Microsoft er med berre viss kommunen har slått på Azure OpenAI eller opplesing.
Slik kan du kontrollere det
- Samanlikn leverandørfeltet i loggeksporten med registeret.
- Be om endringsvarsel etter punkt 5.3 i databehandlaravtalen.
Slik ser ein loggeksport ut
Revisor og administrator kan hente loggen som JSONL eller CSV. Dømet under har dei same kolonnane som ein ekte eksport.
| Tidspunkt | Kven | Handling | Dataklasse | Modell, leverandør og region | Utfall | Kva det tyder |
|---|---|---|---|---|---|---|
| 2026-11-03 08:14:02 | Kari Fjell | chat.message.create | internal | – | ok | Ei melding vart send. Loggen viser lengda på teksten, ikkje teksten. |
| 2026-11-03 08:14:09 | Kari Fjell | chat.completion | internal | mistral-large-4 · mistral · fr (Mistral AI, Paris) | ok | Svaret vart ferdig. Modell, leverandør, behandlingsstad og kostnad er lagra. |
| 2026-11-03 09:02:31 | Ola Dal | chat.message.create | open | – | denied (avvist) | Meldinga vart avvist fordi ho inneheldt eit fødselsnummer i ein klasse der personopplysningar blir stoppa. |
| 2026-11-03 09:40:12 | Ingrid Berg | foia.search | – | – | ok | Revisor søkte i samtalar i samband med eit innsynskrav. |
| 2026-11-03 09:55:48 | Ingrid Berg | audit.export | – | – | ok | Loggen vart eksportert. Sjølve eksporten er også logga. |
| 2026-11-04 02:15:07 | Systemet | retention.sweep.completed | – | – | ok | Den nattlege slettinga vart køyrd, og resultatet vart loggført. |
Sjå éi rad som JSON
Rada for svaret i dømet, slik ho ser ut i ein JSONL-eksport. Alle id-ar er dikta opp.
{
"id": "0c4e8a52-6f3b-4d1e-9a77-2b5d1c8f4e10",
"occurred_at": "2026-11-03T08:14:09.412+00:00",
"actor_id": "5a9d3e71-82c4-4b0f-a1d6-73e0b4c2f958",
"actor_name": "Kari Fjell",
"action": "chat.completion",
"object_type": "message",
"object_id": "e2f7a6b3-1d48-4c95-8b02-9f6a0d3c7e21",
"org_node_id": "b81c4d20-37fa-4e69-9c15-4a2e8f60d7b3",
"tenant_root_id": "3f0a9c68-5d12-47be-a8e4-1c7b2d95f046",
"data_class": "internal",
"model_id": "mistral-large-4",
"provider": "mistral",
"outcome": "ok",
"details": {
"conversation_id": "9d2b6e04-a3c1-4f87-b5d9-0e8c71a4f263",
"run_id": "c6a1f9d3-4e72-4b08-91ea-5d3b8f0c2a74",
"region": "fr (Mistral AI, Paris)",
"mocked": false,
"tokens_in": 1840,
"tokens_out": 410,
"cost_nok": 0.0614,
"fallback_from": null,
"sources": ["chunk-7f3a", "chunk-91bc"],
"tools": []
}
}Slik les du loggen
- Loggen viser kven som gjorde kva, når, med kva dataklasse og kva modell. Han inneheld ikkje samtalen.
- Avviste førespurnader står med utfallet «denied» og ein grunn, og blir oppbevarte i 365 dagar. Gjennomførte handlingar blir oppbevarte i 5 år.
- Alle oppslag og eksportar i loggen blir sjølve loggførte.
Kvar dataa blir behandla
Innhaldet blir lagra hos Scaleway i Frankrike, med tryggingskopi i Nederland. Når ei melding skal svarast på, blir ho send til ein språkmodell hos ein av leverandørane under. GreenPT, Mistral og Microsoft behandlar data i EU. Behandlingsstaden blir lagra på kvar melding.
| Leverandør | Behandlingsstad | Bruk |
|---|---|---|
| GreenPT | EU (Frankrike og Finland) | GreenPT er på for alle dei fire klassane i malen, saman med Mistral. Kommunen kan endre det. |
| Microsoft Azure OpenAI | Datasona til EU (Sverige og andre EU-land) | GPT-modellane. Av for alle dataklassar til kommunen vel kva for klassar dei skal brukast for. |
| Mistral AI | Frankrike (Mistral AI, Paris) | Mistral Large 4 er standardmodellen. I malen er Mistral på for alle fire dataklassar. Valfri tale til tekst (Voxtral) og tekstgjenkjenning av skanna dokument. Kommunen avgjer kva dataklassar Mistral blir brukt for. |
| GreenPT (nettsøk og henting av nettsider) | EU | Valfritt nettsøk, av som standard. Kommunen vel kva dataklassar nettsøk gjeld for. |
Når ein leverandør ikkje svarar
Svarar ikkje leverandøren, prøver Målfrid ein annan modell som kommunen har tillate for same dataklasse. Finst det ingen slik modell, får brukaren ei feilmelding.
Slik går ei melding gjennom systemet
Meldinga blir lagra og ført i loggen før ho blir send til modellen. Sviktar lagringa, blir ingenting send.
Stega i tekst
- Du skriv ei melding i nettlesaren. Ho blir send kryptert til Målfrid.
- Nettstaden vidaresender meldinga saman med innlogginga di. Ingen tilgangsvurdering skjer i nettlesaren.
- Målfrid sjekkar kven du er, kva for rolle du har og om innlogginga er sterk nok for dataklassen. Resten av behandlinga kan berre nå data som tilhøyrer kommunen.
- Målfrid ser etter fødselsnummer og liknande i teksten. Kva som skjer då, avgjer kommunen for kvar dataklasse: meldinga blir stoppa, eller Målfrid føreslår ein høgare klasse.
- Meldinga blir lagra, og loggen får ei rad om ho, før ho går vidare.
- Regelsjekken samanliknar dataklassen med reglane til kommunen. Brot blir avviste og logga.
- Meldinga blir send til ein modell som kommunen har tillate for dataklassen. Behandlingsstaden blir lagra.
- Svaret blir vist medan det kjem, og blir lagra i samtalen. Loggen får ei rad med modell, leverandør, behandlingsstad og kva for kjelder som vart brukte.
Alt innhald er kryptert i databasen, med ein eigen nøkkel for kvar kommune. Driftsstatistikken til Målfrid inneheld aldri meldingstekst eller e-postadresser.
Dataklassar
Kommunen avgjer sjølv kva dataklassar han vil ha og kva dei heiter. Brukaren vel klasse før første melding, og klassen avgjer kva for modellar som kan brukast, kor lenge innhaldet blir halde på og kor sterk innlogging som blir kravd. Klassen kan berre hevast i ein samtale, aldri senkast.
| Klasse | Døme | Når Målfrid finn personopplysningar | Modellar som kan brukast | Lagring | Lagringstid i malen | Krav til innlogging |
|---|---|---|---|---|---|---|
| Open | Offentlege dokument, møteprotokollar | Finn Målfrid personopplysningar, blir meldinga stoppa. | Mistral og GreenPT. Microsoft viss kommunen slår det på | Kryptert | 730 dagar | Tofaktor |
| Intern | Interne notat, utkast | Finn Målfrid personopplysningar, føreslår Målfrid ein høgare klasse. | Mistral og GreenPT. Microsoft viss kommunen slår det på | Kryptert | 365 dagar | Tofaktor |
| Konfidensiell | Opplysningar med teieplikt (forvaltningslova § 13), personalsaker | Finn Målfrid personopplysningar, føreslår Målfrid ein høgare klasse. | Mistral og GreenPT. Andre leverandørar viss kommunen har valt det. | Kryptert | 90 dagar | Tryggleiksnøkkel eller Windows Hello |
| Personopplysningar | Personopplysningar om innbyggjarar | Personopplysningar er tillatne. Meldinga blir avvist viss ingen modell er tillaten for klassen. | Mistral og GreenPT. Andre leverandørar viss kommunen har valt det og inga overordna eining har låst valet. | Kryptert | 30 dagar | Tryggleiksnøkkel eller Windows Hello, ny innlogging etter 8 timar |
Nettsøk er av som standard. I startmalen kan kommunen slå det på for dei to klassane utan innhald med teieplikt og personopplysningar. Ei overordna eining kan til dømes avgjere at Microsoft aldri blir brukt for personopplysningar i nokon av einingane under seg.
Lagringstid og sletting
Sletting skjer automatisk etter dataklasse og blir loggført. Journalførte samtalar blir ikkje sletta i Målfrid før arkivet har stadfesta mottak.
| Kva | Lagringstid | Merknad |
|---|---|---|
| Samtalar og innhald | Fristen kommunen har sett for dataklassen | I startmalen frå 30 til 730 dagar, sjå tabellen over. Ein journalført samtale blir halden på til arkivet har stadfesta mottak. |
| Lydopptak til referat | Som dataklassen | Lyden følgjer dataklassen til transkripsjonen. Lyd frå direkte referat og diktering blir ikkje lagra. |
| Logg over kven som gjorde kva, og når | 5 år | Inneheld metadata, ikkje samtaleinnhald. |
| Avviste førespurnader | 365 dagar | Kan justerast per kommune. |
| Tryggingskopi | 30 dagar (daglege og vekentlege kopiar) | Lagra i Amsterdam. Sletta data kan finnast i kopiane til fristen er ute, og blir ein kopi gjenoppretta, køyrer vi slettinga på nytt. Mål for gjenoppretting: 4 timar ved sonefeil og 8 timar ved regionfeil. |
| Når avtalen tek slutt | Eksport innan 30 dagar. Tryggingskopiane er borte seinast 30 dagar etter slettinga | Éin pakke med alle tabellane som JSON-liner, originalfilene, revisjonsloggen og ei liste med kontrollsummar. Enkeltsamtalar og dokument kan kommunen eksportere som PDF eller Noark 5-pakke i Målfrid før avtalen tek slutt. Vi slettar når kommunen har stadfesta mottak, og stadfestar slettinga skriftleg. Fristane står i databehandlaravtalen punkt 14. |
Loggen inneheld ikkje sjølve samtalen. Innhaldet kan difor slettast etter fristane, medan det framleis kan dokumenterast at samtalen skjedde.
Slik vernar vi dataa
Tiltaka er bygde inn i produktet og skildra i bilag 4 til databehandlaravtalen. Tryggleiksvurderinga (ROS) og personvernkonsekvensvurderinga (DPIA) ligg under dokument.
Kryptering
All trafikk er kryptert, og alt innhald er kryptert når det blir lagra, uansett dataklasse. Kvar kommune har sin eigen nøkkel. Nøklane er verna av ein hovudnøkkel i Scaleway Secret Manager, skild frå databasen. Namn på einingar og assistentar og opplysningar som tidspunkt og status er ikkje kryptert.
Tilgangsstyring
Tilsette loggar inn med Entra ID til kommunen, og skular brukar Feide. Tofaktorautentisering blir kravd ved innlogging som standard, og kommunen avgjer sjølv om det skal gjelde. For kvar dataklasse avgjer kommunen i tillegg om det blir kravd tryggleiksnøkkel eller Windows Hello og om brukaren må logge inn på nytt etter nokre timar. I startmalen gjeld det klassane for innhald med teieplikt og personopplysningar. Kven som får sjå kva, blir alltid avgjort på tenaren og aldri i nettlesaren. Roller blir arva nedover i organisasjonen.
Kvar kommune sine data for seg
Data frå kvar kommune er skilde frå dei andre i databasen, slik at ein kommune ikkje kan lese data frå ein annan. Vi testar dette automatisk ved kvar endring i koden.
Logg som ikkje kan endrast
Målfrid kan leggje til nye oppføringar i loggen, men ikkje endre eller slette dei gamle. Den første oppføringa blir skriven før meldinga blir send til modellen, og ei ny når svaret er ferdig. Kvart døgn blir det laga ein kontrollsum over loggen, slik at endringar i etterkant kan oppdagast. Alle administratorhandlingar blir logga, også endringar i reglar som blir arva nedover.
Nettverk og drift
Tenarane ligg i eit privat nettverk, og all trafikk ut er stengd bortsett frå til leverandørane vi har godkjent. Nye versjonar blir rulla ut utan nedetid, og vi har ein rutine for å øve på gjenoppretting.
Våre eigne tilgangar
Tilsette hos Schoolhub får tilgang berre når dei treng det til ei konkret oppgåve, for ei avgrensa tid, og alt blir logga. Dei har teieplikt. Vi brukar ikkje produksjonsdata i utvikling, og passord og nøklar ligg aldri i koden.
Innsyn og rettane til dei registrerte
Innsyn etter offentleglova og rettane til dei registrerte etter personvernforordninga er to ulike regelverk. Målfrid har verktøy for begge, og det er kommunen som avgjer kva som blir levert ut.
Innsyn etter offentleglova
- Samtalar og utkast kan vere dokument som må vurderast for innsyn. Målfrid er bygd slik at dei kan finnast, vurderast og leverast ut.
- Innsynsmodulen kan søkje i samtalar på tvers av brukarar i éin kommune, og er berre tilgjengeleg for arkivadministrator og revisor.
- Systemet foreslår skjerming med lovheimel. Eit menneske må godkjenne før noko blir levert ut.
- Utleveringspakka får kontrollsum og blir loggført. Samtalar kan eksporterast som PDF og som Noark 5-pakke.
- Innsyn går aldri på tvers av kommunar.
Rettane til dei registrerte etter GDPR
- Den registrerte kan be om innsyn, retting, sletting, avgrensing, dataportabilitet og kan protestere (art. 15 til 22).
- Førespurnader frå enkeltpersonar som kjem til oss, sender vi vidare til kommunen seinast innan 2 yrkedagar.
- Vi gir kommunen verktøy for å hente ut og slette: eksport av samtalar, sletting og innsynsmodul.
- Målfrid gjer ingen automatiske avgjerder med rettsleg verknad for enkeltpersonar (art. 22). Svar er utkast som eit menneske vurderer.
- Den registrerte kan klage til Datatilsynet.
Sletting etter GDPR og arkivplikt etter arkivlova kan trekkje i ulik retning. Difor blir journalførte samtalar først sletta etter at arkivet har stadfesta mottak.
KI-forordninga
Målfrid er eit KI-system med avgrensa risiko. Schoolhub er leverandør, kommunen er idriftsetjar. Plattforma er ikkje høgrisiko i seg sjølv, men korleis ein assistent blir brukt, kan endre det.
Register over assistentar
Kvar assistent har føremål, risikoklasse, dataklassar, tillatne modellar, kjelder, eigar, den som tok han i bruk og versjon. Kvar ibruktaking blir logga. Registeret kan eksporterast.
Menneskeleg kontroll
Svar blir viste som utkast, med kjelder som kan opnast og kontrollerast. Eit eksportert utkast viser kven som har kvalitetssikra det, eller at det ikkje er kvalitetssikra. Brukaren kan alltid avvise eller overstyre, og det blir loggført.
Merking av KI-generert tekst
Brukaren får beskjed om at ho eller han snakkar med KI. Eksporterte filer har merkinga «Dokument laga med KI-assistent, kvalitetssikra av …» i eigenskapane til fila, og dokument har eit maskinlesbart felt som markerer KI-generert innhald. Modell, leverandør og region blir viste.
Forbode og høgrisiko
Målfrid har ingen funksjon for sosial skåring eller kjenslegjenkjenning. Rangering av søkjarar og avgjerder om ytingar er utanfor det Målfrid er laga for. Den som tek ein assistent i bruk, står for føremålet og risikoklassen, og alt som sender eller endrar noko, stoppar ved eit godkjenningssteg der ein person må seie ja.
Logging
Loggføringa er bygd til nivået som blir kravd for høgrisikosystem, sjølv om Målfrid normalt ikkje er det. Handlingslogg blir oppbevart i fem år som standard, mot kravet om minst seks månader.
Opplæring
Målfrid har eit kurs i KI-kompetanse for tilsette, mellom anna om kva språkmodellar ikkje kan og korleis svara blir kvalitetssikra. Kommunen kan gjere kurset obligatorisk, og informerer tilsette og tillitsvalde før bruk.
Dette er ikkje juridisk rådgiving. Kontroller gjeldande ordlyd med juristen i kommunen.
Tryggleiksrammeverk
Målfrid er bygd etter desse standardane og regelverka.
| Rammeverk | Kva det tyder |
|---|---|
| NSM grunnprinsipp for IKT-tryggleik | Blir brukt som sjekkliste i utvikling og drift. |
| GDPR | Vi leverer databehandlaravtale, DPIA-underlag, ROS og behandlingsprotokoll og held dei oppdaterte når produktet blir endra. Kommunen eig si eiga DPIA. |
| KI-forordninga (EU 2024/1689) | Roller, risikoklassar, register, menneskeleg kontroll og merking er beskrivne og bygde inn. Vi går gjennom dette minst kvar sjette månad. |
Underdatabehandlarar
Desse leverandørane kan behandle data på vegner av kommunen, avhengig av kva kommunen har slått på.
| Underdatabehandlar | Teneste | Stad | Type | Dataklassar i malen |
|---|---|---|---|---|
| Scaleway SAS (Iliad-konsernet, Frankrike) | Hosting: Kubernetes, PostgreSQL, Redis, objektlagring, nøkkel- og løyndomsforvaltning, e-postutsending | EU (Paris, Frankrike). Tryggingskopi i Amsterdam, Nederland | Hosting | Alle klassane |
| GreenPT BV (Nederland) | Språkmodellar (opne modellar), søk i kunnskapsbasar, nettsøk og henting av nettsider. Språkmodellane er på for alle dataklassar i malen, nettsøk er av til kommunen slår det på | EU (Frankrike og Finland) | Språkmodell | Alle klassane |
| Microsoft Ireland Operations Ltd. (Azure OpenAI) | Språkmodellar (GPT) i EU Data Zone. Blir berre brukt viss kommunen aktivt vel det | EU Data Zone (Sverige og andre EU-land) | Språkmodell (valfri) | Av i malen. Kommunen vel klassane |
| Microsoft Ireland Operations Ltd. (Azure AI Speech) | Opplesing av tekst med norske stemmer | EU/EØS | Språkmodell (valfri) | Av i malen. Kommunen slår det på og vel klassane |
| Mistral AI SAS | Språkmodellane til Mistral, tale til tekst (referat og diktering) og valfri tekstgjenkjenning av skanna dokument | Frankrike (Mistral AI, Paris) | Språkmodell | Alle klassanePå for alle fire klassane i malen. Kommunen avgjer |
| Sikt (Feide) | Pålogging for skule og oppvekst (valfritt) | Noreg | Pålogging | Ikkje innhald |
Microsoft Entra ID er kommunen sitt eige system og står difor ikkje i lista. Hosting hos Scaleway SAS (Frankrike, EU-eigd) blir brukt av alle kommunar. Microsoft er underdatabehandlar berre viss kommunen sjølv slår på Azure OpenAI.
Kommunen får skriftleg varsel minst 30 dagar før ein ny eller endra underdatabehandlar blir teken i bruk, og kan protestere med saklege grunnar.
Avvik og tryggleikshendingar
Vi varslar kommunen utan ugrunna opphald og seinast 24 timar etter at vi har oppdaga eit brot på personopplysningstryggleiken.
- Vi oppdagar eller får melding om ei hending, og stansar skaden.
- Vi varslar kontaktpersonen til kommunen skriftleg, også når opplysningane er ufullstendige.
- Varselet beskriv art og omfang, berørte registrerte og tiltak, slik at kommunen kan vurdere meldeplikta til Datatilsynet innan 72 timar (art. 33).
- Vi hjelper kommunen med utgreiing, kommunikasjon og dokumentasjon.
- Vi gjer ei årsaksanalyse og følgjer opp tiltak, og hendinga går inn i risikovurderinga.
Hendingar som gjeld KI-bruk, til dømes alvorlege feil, blir meldte på same måte, slik at kommunen kan oppfylle pliktene sine som idriftsetjar.
Kontakt oss om personvern
Spørsmål om personvern, tryggleik, databehandlaravtalen eller dokumentasjon du ikkje finn her, kan sendast til oss. Personvernombodet til Schoolhub er Fresh Compliance GmbH i Berlin, info@freshcompliance.de.
- E-post
- kontakt@malfrid.eu
Som innbyggjar eller tilsett i ein kommune som brukar Målfrid, ta først kontakt med kommunen. Personvernombodet i kommunen kan hjelpe deg.
Du kan alltid klage til Datatilsynet.
Dokument
Dokumenta er skrivne på bokmål. Vi oppdaterer dei når produktet endrar seg, og viser når dei sist vart endra.
Malar og dokument til vurderinga i kommunen
Kommunen kopierer dokumenta og fyller ut felta i hakeparentes saman med personvernombodet. Kvart dokument kan lastast ned som PDF frå dokumentsida.
Databehandlaravtale
Bygd på malen til KS, med vedlegg.
· bokmål
DPIA-underlag
Kommunen eig DPIA-en og fyller han ut.
· bokmål
ROS-analyse
Truslar, tiltak og restrisiko.
· bokmål
Behandlingsprotokoll
Behandlingane vi gjer som databehandlar.
· bokmål
Avtalar
Avtalen mellom kommunen og Schoolhub etter GDPR art. 28, med bilag om tiltak, slettefristar og underdatabehandlarar.
Sist oppdatert 4. november 2026
Oversikt over underdatabehandlarar med teneste, stad og krav.
Sist oppdatert 4. november 2026
Vilkåra for tenesta og nettstaden, som utfyller avtalen med kommunen.
Sist oppdatert 5. november 2026
Personvernerklæring for tenesta (mal)
Mal kommunen kan bruke i si eiga informasjon til tilsette og innbyggjarar.
Sist oppdatert 4. november 2026
Vurderingar
Personvernkonsekvensvurdering (DPIA)
Underlag til DPIA-en til kommunen etter art. 35: behandlinga, risiko og tiltak.
Sist oppdatert 5. november 2026
Risikoregister for Målfrid med truslar, tiltak og restrisiko, til bruk i risikovurderinga til kommunen sjølv.
Sist oppdatert 5. november 2026
Vurdering av overføring til tredjeland
Vurdering av overføringsgrunnlag der ein leverandør har tilknyting til tredjeland.
Sist oppdatert 4. november 2026
Rutinar
Oversikt over behandlingane vi gjer som databehandlar (art. 30).
Sist oppdatert 4. november 2026
Korleis vi oppdagar, varslar og følgjer opp brot på personopplysningstryggleiken.
Sist oppdatert 4. november 2026
Korleis vi hjelper kommunen når ein registrert vil bruke rettane sine.
Sist oppdatert 4. november 2026
Standard lagringstid per dataklasse og korleis sletting blir gjennomført og loggført.
Sist oppdatert 4. november 2026
Erklæringar
Personvernerklæring for nettstaden
Korleis vi behandlar opplysningar om besøkande og dei som sender inn kontaktskjemaet på malfrid.eu.
Sist oppdatert 4. november 2026
Kva for informasjonskapslar nettstaden og tenesta brukar.
Sist oppdatert 4. november 2026
Roller, risikoklassar, register over assistentar, menneskeleg kontroll og logging.
Sist oppdatert 5. november 2026
Korleis vi arbeider med universell utforming (WCAG 2.1 AA).
Sist oppdatert 5. november 2026
Informasjonstryggleik
Overordna policy i styringssystemet for informasjonstryggleik.
Sist oppdatert 4. november 2026
Vanlege spørsmål frå kommunar
Detaljane står i dokumenta og på sidene for kvar rolle.
Trenar de eller leverandørane på data frå kommunen?
Nei. Opplysningane blir ikkje brukte til trening av modellar, verken hos oss eller hos underdatabehandlarar. Det er eit krav i databehandlaravtalen og i krava vi stiller til kvar modellleverandør før han blir slått på.
Kvar ligg dataa våre?
Innhaldet blir lagra hos Scaleway i Paris (EU-eigd), med tryggingskopi i Amsterdam. Kva leverandørar som kan behandle innhaldet, og for kva dataklassar, avgjer kommunen. I startmalen er GreenPT og Mistral slått på for alle klassane, òg klassane for innhald med teieplikt og personopplysningar. Begge behandlar data i EU.
Kan Microsoft sjå dataa våre?
Berre viss kommunen sjølv slår på Azure OpenAI. Drifta er hos Scaleway i Frankrike, og Microsoft er ikkje underdatabehandlar så lenge Azure OpenAI er av. Slår kommunen det på, går meldingar til GPT-modellane i datasona til EU, og berre for dei dataklassane kommunen har valt.
Kan ein annan kommune eller IKT-samarbeidet lese samtalane våre?
Ein annan kommune kan ikkje det. Data frå kvar kommune er skilde frå dei andre i databasen, og innsyn gjeld alltid éin kommune. Administratorar i eit IKT-samarbeid kan gi seg rolla arkivadministrator i kommunen, til dømes for å gi brukarstøtte, og det blir logga i revisjonsloggen til kommunen.
Kan tilsette hos Schoolhub lese samtalane?
Berre når det trengst for ei konkret oppgåve, for ei avgrensa tid og med logging. Dei tilsette har teieplikt, og innhaldet er kryptert med den eigne nøkkelen til kommunen.
Må vi lage ei DPIA?
Kommunen eig DPIA-en for si eiga bruk. Vi leverer eit ferdig underlag og ei ROS-analyse som de kan kopiere og fylle ut saman med personvernombodet.
Kan Målfrid gjere vedtak?
Nei. Svar er utkast med kjelder som ein saksbehandlar vurderer.
Kven kan søkje i samtalar når vi får eit innsynskrav?
Berre arkivadministrator og revisor, og berre innanfor eigen kommune. Systemet foreslår skjerming med lovheimel, og eit menneske godkjenner.
Kva skjer med dataa viss avtalen tek slutt?
Kommunen får alt innhaldet, originalfilene og loggen i éin eksportpakke innan 30 dagar. Når kommunen har stadfesta mottak, slettar vi alt og stadfestar det skriftleg, og dei siste tryggingskopiane forsvinn innan 30 dagar. Journalførte samtalar blir ikkje sletta før arkivet har stadfesta mottak.