Databehandleravtale for Målfrid

Versjon 1.1, 5. november 2026.

Avtale etter personvernforordningen (GDPR) art. 28 mellom en kommune eller fylkeskommune (Behandlingsansvarlig) og Schoolhub AS (Databehandler) om levering av Målfrid.

Grunnlag: KS sin databehandleravtale

Avtalen er bygget på KS (Kommunesektorens organisasjon) sin standard databehandleravtale for kommunal sektor, slik den publiseres som «Bilag 3 – Databehandleravtale til tjenesteavtale (SSA-L)»: https://www.ks.no/globalassets/bilag-3.pdf. Avtalen følger KS sin oppbygging og begrepsbruk: 16 hovedpunkter (formål, rangordning, omfang, partenes plikter, underleverandør, informasjonssikkerhet, dokumentasjon, risiko og avvik, revisjon, taushetsbelagt informasjon, varighet, mislighold, erstatning, opphør, meddelelser, lovvalg) og bilag for underleverandører og underleverandørers tiltredelse. Teksten er Schoolhubs egen formulering. Bilagene beskriver Målfrid. Begrepene er Rettsgrunnlaget, Informasjon, Leveranseavtalen, Behandlingsansvarlig og Databehandler, slik KS bruker dem.

Kommunen kan bruke sin egen signerte KS-versjon. Mange kommuner har en ferdig KS-basert eller egen standardavtale. Da brukes hovedteksten til kommunen, og bilag 1, 3, 4 og 5 i denne avtalen (underleverandører, behandlingen, sikkerhetstiltak, oppbevaring og sletting) legges ved uendret som Målfrid-spesifikke bilag. Der kommunens tekst og våre bilag avviker, gjelder den strengeste forpliktelsen for Databehandler, med mindre partene avtaler noe annet. Schoolhub krever ikke merpris for et slikt bytte.

GDPR art. 28(3). Avtalen oppfyller kravene i art. 28(3)(a)–(h), se kryssreferansen i punkt 17. Avtalen bygger ikke på Europakommisjonens standardavtalevilkår (gjennomføringsbeslutning (EU) 2021/915). Partene kan velge dem i stedet, og innholdet i bilagene kan da brukes som bilag I–IV til dem.

Felt i hakeparentes fylles ut av Behandlingsansvarlig.

Relaterte dokumenter: underdatabehandlere, DPIA, ROS, sletting og lagringstid, avvikshåndtering, registrertes rettigheter, TIA.

---

Parter

Behandlingsansvarlig: [Navn på kommune eller fylkeskommune], org.nr. [organisasjonsnummer], adresse [adresse], kontaktperson [kontaktperson], personvernombud [navn og kontaktinformasjon til kommunens personvernombud].

Databehandler: Schoolhub AS, org.nr. 932739798, Bryggerikaien 24, 4014 Stavanger. Spørsmål om personvern, sikkerhet og annet: kontakt@malfrid.eu. Databehandlers personvernombud er Fresh Compliance GmbH, Berlin, info@freshcompliance.de.

Leveranseavtalen: hovedavtale om bruk av Målfrid av [dato for hovedavtalen]. Denne avtalen er et vedlegg til Leveranseavtalen.

1. Formålet med avtalen

1.1 Avtalen regulerer partenes rettigheter og plikter når Databehandler behandler personopplysninger og annen taushetsbelagt informasjon («Informasjonen») på vegne av Behandlingsansvarlig, i samsvar med personvernforordningen (EU) 2016/679 og personopplysningsloven av 15. juni 2018 («Rettsgrunnlaget»). Avtalen gjelder også taushetsbelagt informasjon etter annen lov eller avtale.

1.2 Avtalen skal sikre at Informasjonen ikke brukes urettmessig eller kommer uvedkommende i hende. Den gjelder all behandling Databehandler gjør på vegne av Behandlingsansvarlig, herunder innsamling, registrering, sammenstilling, lagring, utlevering og kombinasjoner av disse.

1.3 Definisjoner. Begreper har den betydningen de har i Rettsgrunnlaget. Ved motstrid har definisjonene i forordningen forrang.

2. Rangordning

2.1 Denne avtalen går foran Databehandlers egne personvernvilkår og andre vilkår som kan påvirke avtaleforholdet, blant annet vilkår for bruk av Målfrid, herunder avtaler mellom Databehandler og dennes underleverandører.

2.2 Ved motstrid internt i avtalen går den generelle teksten foran bilagene, med to unntak: bilag som endrer den generelle teksten og bilag med sikkerhetsbestemmelser går foran.

3. Omfanget av behandlingen

3.1 Typer personopplysninger. Beskrevet i bilag 3. Målfrid er en KI-assistent for ansatte, og brukerne kan skrive eller laste opp innhold som kan inneholde alle typer personopplysninger, også særlige kategorier (art. 9) og opplysninger om straffedommer (art. 10). Systemet krever ikke slike opplysninger. Behandlingsansvarlig avgjør gjennom innstillingene for dataklasser og modellleverandører hva som tillates (bilag 3 punkt 3).

3.2 Behandlingstyper. Beskrevet i bilag 3. Databehandler bruker fiktive testdata til utvikling og feilsøking så langt det er mulig. Brukes skarpe eller pseudonymiserte data, gjelder avtalen uavkortet. Databehandler har ingen produksjonsdata i utviklingsmiljø.

3.3 Rådighet over data. Databehandler har ikke rådighet over Informasjonen og behandler den ikke til egne formål. Behandlingen skjer bare for formålene i avtalen eller etter skriftlige instrukser som gis senere. Instruks som endrer behandlingsformålet, legges i et endringsbilag. Behandlingsansvarlig kan gi instruks ved å endre innstillingene i Målfrid (organisasjonen og enhetene, dataklasser, tillatte modellleverandører, oppbevaringsregler, nettsøk og roller). Slike endringer er logget og regnes som skriftlig instruks. Informasjonen utleveres bare til Behandlingsansvarlig og de Behandlingsansvarlig skriftlig bemyndiger.

3.4 Ingen trening. Informasjonen brukes ikke til trening eller forbedring av modeller, verken hos Databehandler eller underleverandører, og ikke til produktanalyse som identifiserer enkeltpersoner eller innhold. Samlet statistikk (antall meldinger, forbruk og kostnad per enhet) kan brukes til drift og fakturering.

3.5 IKT-samarbeid. Er Behandlingsansvarlig medlem av et IKT-samarbeid eller fagnettverk, er samarbeidet ikke behandlingsansvarlig for Behandlingsansvarliges Informasjon. Samarbeidets administratorer kan forvalte organisasjonen, enhetene og rollene i medlemskommunene, for eksempel når samarbeidet drifter IKT og gir brukerstøtte. De kan gi seg selv eller andre rollen arkivadministrator eller revisor i en medlemskommune og får da tilgang til kommunens innsynssøk og revisjonslogg. Slike tildelinger logges i kommunens revisjonslogg. Et søk gjelder alltid én kommune, og hver kommunes data er skilt fra de andres i databasen. Når samarbeidet er innkjøper, signerer hver kommune sin egen avtale eller slutter seg til rammeavtalen.

4. Partenes plikter og rettigheter

4.1 Databehandlers ansatte og andre som opptrer for Databehandler

Alle som utfører oppdrag med tilgang til Informasjonen, skal kjenne Databehandlers avtalemessige og lovmessige plikter og påta seg å følge dem. Databehandler har kontrolltiltak som forebygger at medarbeidere, tredjeparter eller systemer, bevisst eller ubevisst, bidrar til sikkerhetshendelser: minste privilegium, tilgang etter tjenstlig behov, tidsbegrenset tilgang til driftsmiljøet og logging.

4.2 Databehandler skal ikke

a) behandle personopplysninger til andre formål eller i større grad enn avtalene tillater; b) behandle mer enn det som er nødvendig for å oppfylle forpliktelsene; c) utlevere, overlate eller overføre personopplysninger på eget initiativ uten forhåndsavtale eller skriftlig godkjenning (underleverandørene i bilag 1 og modellkall til leverandører Behandlingsansvarlig har slått på, er forhåndsavtalt); d) samle inn fra eller overføre til tredjepart utover dette; e) behandle opplysningene på annen måte enn avtalt.

4.3 Databehandler skal

a) ha løpende kontroll på alle kategorier av behandlingsaktiviteter for Behandlingsansvarlig; b) gi Behandlingsansvarlig tilgang til og innsyn i opplysningene (eksport, revisjonsspor); c) føre protokoll over egne behandlingsaktiviteter etter art. 30(2) (behandlingsprotokoll); d) treffe rimelige tiltak for at opplysningene er korrekte og oppdaterte; e) ha rutiner for å slette opplysningene når de ikke lenger er nødvendige (bilag 5); f) ha rutiner og teknisk mulighet til å begrense behandlingen av en registrerts opplysninger på lovlig krav; g) påse at alle med tilgang kjenner avtalen og er bundet av den; h) bygge innebygd personvern og personvern som standardinnstilling inn i løsningen, med funksjonalitet for de registrertes rettigheter; i) gi nødvendig bistand slik at Behandlingsansvarlig kan oppfylle sine plikter overfor de registrerte; j) samarbeide om de registrertes rettigheter etter forordningens kapittel III; k) omgående underrette Behandlingsansvarlig dersom en instruks etter Databehandlers syn strider mot forordningen eller annen personvernregulering; l) bistå med vurdering av personvernkonsekvenser og forhåndsdrøfting (art. 35–36). Databehandler holder et DPIA- og ROS-underlag oppdatert og versjonert (DPIA, ROS).

4.4 Rett til innsyn og tilgang

Behandlingsansvarlig har, direkte eller gjennom uavhengig tredjepartsrevisor, rett til tilgang til og innsyn i behandlingen og i systemene som brukes til den. Databehandler gir nødvendig bistand innen rimelig tid. Retten gjelder tilsvarende for tilsynsmyndigheter. Behandlingsansvarlig har dessuten tilgang til eget revisjonsspor i produktet, med eksport som JSONL eller CSV, gjennom rollene revisor og administrator for enheten.

4.5 Taushetsplikt

Databehandler har taushetsplikt om Informasjonen og relevant dokumentasjon. Plikten gjelder også etter avtalens opphør. Databehandler innhenter taushetserklæring fra egne ansatte og andre som får tilgang, før tilgang gis, og legger den fram på forespørsel.

4.6 Internkontroll og sikkerhetsdokumentasjon

Databehandler oppfyller sikkerhetskravene i Rettsgrunnlaget og har et internkontrollsystem som dokumenterer rutiner og tiltak. Behandlingsansvarlig, uavhengig revisor og tilsynsmyndigheter får tilgang til internkontrollsystemet og sikkerhetsdokumentasjonen, blant annet informasjonssikkerhetspolicy og ROS. Databehandler varsler endringer av betydning innen rimelig tid.

4.7 Overføring av data til utlandet

a) Informasjonen behandles og lagres i EU/EØS. Overføring til land utenfor EØS skjer ikke uten skriftlig godkjenning fra Behandlingsansvarlig, bortsett fra til mottakerland EU har godkjent (adekvansvedtak, herunder mottakere sertifisert under EU-US Data Privacy Framework). Der Behandlingsansvarlig godkjenner overføring på annet grunnlag, brukes standard personvernbestemmelser (SCC) og vurdering av overføringen (TIA). b) Overføring omfatter også tilgang fra land utenfor EØS og overføring av driftsoppgaver som kan gi slik tilgang. Hosting (U1, Scaleway SAS, Frankrike) har ikke amerikansk morselskap, og data behandles og lagres i EØS (Paris og Amsterdam). Underleverandøren med amerikansk morselskap, Microsoft (U3 Azure OpenAI og U3b Azure AI Speech), behandler data i EØS, men kan være underlagt tredjelands myndighetstilgang (for eksempel CLOUD Act). Vurderingene står i TIA og er oppsummert i bilag 4 punkt 9. Hosting krever ingen overføringsvurdering. Microsoft (Azure OpenAI og Azure AI Speech) er av i startmalen til Behandlingsansvarlig slår det på og velger dataklassene. Valgene ligger i innstillingene og er logget.

4.8 De registrertes rettigheter

Databehandler bistår Behandlingsansvarlig med de registrertes rettigheter (se registrertes rettigheter). Databehandler gir ikke selv innsyn og etterkommer ikke krav om retting eller sletting uten skriftlig avtale med Behandlingsansvarlig, og videresender henvendelser eller viser den registrerte til Behandlingsansvarlig senest innen 2 virkedager.

5. Bruk av underleverandør

5.1 Databehandler er ansvarlig overfor Behandlingsansvarlig for underleverandørenes behandling. Underleverandører regnes som databehandlere etter denne avtalen.

5.2 Underleverandørene som er godkjent ved avtalens start, står i bilag 1 (som er utledet av underdatabehandlere). Behandlingsansvarlig merker av hvilke modellleverandører som er slått på. Underleverandører som ikke er avmerket, er ikke godkjent og får ikke data.

5.3 Databehandler kan ikke ta i bruk nye eller utskiftede underleverandører uten Behandlingsansvarliges skriftlige forhåndsgodkjenning. Behandlingsansvarlig kan underkjenne på saklig grunnlag. Databehandler varsler skriftlig minst 30 dager før endringen. Ved uløst innsigelse kan Behandlingsansvarlig si opp den berørte delen uten ekstra kostnad, og Databehandler slår av leverandøren for Behandlingsansvarliges enheter.

5.4 Databehandler fører en løpende oversikt over alle underleverandører og legger den fram på forespørsel.

5.5 Hver underleverandør skal oppfylle de samme kravene som i denne avtalen og påta seg dem skriftlig (bilag 2 brukes som tiltredelsesmal). Skriftlig tiltredelse må foreligge og være godkjent av Behandlingsansvarlig før data overføres. Etter nærmere skriftlig avtale kan underleverandørers forpliktelser oppfylles på annen lovlig måte, for eksempel gjennom leverandørens standard databehandleravtale sammen med Databehandlers tilleggskrav: behandling i EU/EØS, ingen trening, ingen lagring av spørsmål og svar der leverandøren tilbyr det, og varsling av brudd.

5.6 Bestemmelsen gjelder tilsvarende for underleverandørenes egne underleverandører.

6. Informasjonssikkerhet

Databehandler har tilfredsstillende informasjonssikkerhet for å oppfylle Rettsgrunnlaget (art. 32) og innfører nye krav før de trer i kraft. Databehandler sikrer konfidensialitet, integritet og tilgjengelighet med planlagte og systematiske tiltak (bilag 4). Databehandler endrer ikke avtalte tiltak uten at Behandlingsansvarlig er informert og har godkjent. Godkjenning kan bare nektes på saklig grunnlag. Ved akutte endringer i trusselbildet varsles Behandlingsansvarlig uten ugrunnet opphold og får skriftlig redegjørelse innen 3 virkedager. Tiltak kan skjerpes uten godkjenning. Svekkes de, kreves godkjenning.

6.1 Autorisasjon, autentisering og logging

Databehandler har rutiner for å gi og trekke tilbake tilgang for personell, med oversikt over hvem hos Databehandler og underleverandører som har tilgang (legges fram på forespørsel). Alle med tjenstlig tilgang autentiseres med unik identitet, og oppslag, endringer og sletting logges, i tillegg til sikkerhetshendelser og forsøk på uautorisert tilgang. Loggene er beskyttet mot endring: de kan bare utvides, og de sikres med kontrollsummer (se bilag 4). Logger oppbevares minst 2 måneder (kravet i KS-malen). I Målfrid oppbevares revisjonssporet i 5 år, og avviste forespørsler i 365 dager (bilag 5).

6.2 Konfidensialitet

Informasjonen er bare tilgjengelig for dem som skal ha tilgang etter avtalen, og bare den delen de har tjenstlig behov for. Databehandler hindrer uautorisert fysisk tilgang til utstyr (dekkes for datasentre av underleverandør U1).

6.2.1 Separasjon. Informasjonen blandes ikke med informasjon for andre behandlingsansvarlige. Hver kommunes data er skilt fra de andres i databasen.

6.3 Integritet

Informasjonen endres eller slettes ikke uautorisert eller utilsiktet. Databehandler bruker og vedlikeholder anerkjente mekanismer mot ondsinnet kode og datainnbrudd: skanning av avhengigheter, hemmeligheter og programvarebilder, og skadevareskanning av opplastinger.

6.3.1 Retting. Databehandler retter Informasjon etter skriftlig pålegg.

6.4 Tilgjengelighet

Databehandler hindrer tilfeldig eller ulovlig ødeleggelse eller tap.

6.4.1 Sikkerhetskopiering. Scaleway tar daglig automatisk sikkerhetskopi av databasen, og kopien oppbevares i 30 dager i en annen region enn databasen. I tillegg tar Databehandler en kryptert kopi av databasen hver uke. Den private nøkkelen oppbevares frakoblet. Ukekopiene lagres hos Scaleway i Amsterdam, et annet sted enn originaldataene i Paris. De er låst i 30 dager, slik at ingen kan slette eller endre dem før fristen er ute, og slettes automatisk når fristen er ute. Kopien tas med en skrivebeskyttet databaserolle som leser alle rader, også revisjonsspor. Hver kopi har en oversikt med kontrollsum og radtall som brukes til å kontrollere gjenopprettingen. Kopier av opplastede filer i Amsterdam er låst i 30 dager og slettes deretter. Overskrevne eller slettede versjoner av filer i den primære fillagringen fjernes etter 30 dager. Alle sikkerhetskopier er dermed borte senest 30 dager etter sletting i de aktive systemene. Konfigurasjonen er versjonert.

6.4.2 Sletting. Sletting skjer etter skriftlig avtale og avtalte rutiner (bilag 5). Løsningen har tilgangsstyring for ulike brukergrupper over tid og automatisk sletting basert på alder (oppbevaringsregler per enhet og dataklasse, med arv og låsing). Dataklassene og fristene er Behandlingsansvarliges valg (bilag 3 og 5).

7. Dokumentasjon

Databehandler dokumenterer alle rutiner og tiltak som oppfyller Rettsgrunnlaget og avtalen, varsler skriftlig om endringer av betydning for informasjonssikkerheten, holder alle versjoner tilgjengelige på forespørsel i avtaleperioden, og oppbevarer sikkerhetsdokumentasjonen i minst 5 år etter Leveranseavtalens utløp. Dokumentene er versjonert.

8. Håndtering av risiko og avvik

8.1 Risikohåndtering

Databehandler dokumenterer eget akseptabelt risikonivå minst hver 12. måned og gjennomfører og dokumenterer risikovurdering minst årlig, samt etter hendelser, vesentlige endringer og nye sårbarheter (ROS: akseptkriterium ≤ 6 grønn, 8–12 gul, ≥ 15 rød). Resultatet overleveres Behandlingsansvarlig uten ugrunnet opphold. Avdekkes avvik, utbedrer Databehandler for egen regning og på eget initiativ.

8.2 Avvikshåndtering og brudd på personopplysningssikkerheten

a) Databehandler registrerer og rapporterer løpende avvik, brudd og sikkerhetshendelser etter Rettsgrunnlaget. Bruk i strid med rutiner, avtalen, instrukser eller Rettsgrunnlaget, og ethvert sikkerhetsbrudd, behandles som avvik. b) Ved alvorlige avvik, brudd eller begrunnet mistanke varsles Behandlingsansvarlig umiddelbart. Databehandler rapporterer skriftlig til Behandlingsansvarlig uten ugrunnet opphold og senest innen 24 timer etter at avviket, bruddet, hendelsen eller mistanken ble oppdaget, også om informasjonen er ufullstendig. c) Rapporten beskriver avviket (art, kategorier og omtrentlig antall registrerte og poster, sannsynlige konsekvenser, kontaktpunkt) og tiltak for å gjenopprette normaltilstand, fjerne årsaken og forhindre gjentakelse. Ytterligere informasjon gis fortløpende. d) Behandlingsansvarlig har ansvaret for melding til Datatilsynet (art. 33; 72 timer fra Behandlingsansvarlig ble kjent med bruddet) og varsling av de registrerte (art. 34). Databehandler gir alle nødvendige opplysninger til dette, til å svare tilsynsmyndigheten og til å etterleve pålegg. Revisjonssporet brukes til å avgrense bruddet. e) Databehandler har rutiner for å avdekke og følge opp avvik. Prosess og maler: avvikshåndtering.

9. Revisjoner

9.1 Sikkerhetsrevisjoner

Databehandler gjennomfører sikkerhetsrevisjoner på infrastruktur, programvare og systemer som omfattes av avtalen, med tekniske tester og dokumentgjennomgang, minst årlig og etter alvorlige hendelser, større endringer og nye alvorlige sårbarheter. Resultatet forelegges Behandlingsansvarlig umiddelbart. Avdekkede mangler utbedres umiddelbart, for Databehandlers regning.

9.2 Etterlevelsesrevisjoner

Behandlingsansvarlig kan gjennom uavhengig revisor revidere Databehandler og underleverandører for å kontrollere etterlevelse. Databehandler legger fram interne og eksterne revisjonsrapporter, prosedyrer og sikkerhetsdokumentasjon. Behandlingsansvarlig kan etter avtale akseptere rapport fra anerkjent uavhengig revisor. Varsel gis minst 30 dager i forveien. Revisjon skjer normalt ikke oftere enn årlig, men oftere ved konkret mistanke eller tilsynskrav. Revisjonen gir ikke tilgang til andre kunders data.

10. Særlig om taushetsbelagt informasjon

For taushetsbelagt informasjon som ikke er personopplysninger sikrer Databehandler behandling etter de samme retningslinjene som for sensitive personopplysninger så langt de passer, uansett om taushetsplikten følger av lov eller avtale. Behandlingsansvarlig setter opp dataklasser for slik informasjon.

11. Avtalens varighet

Avtalen gjelder så lenge Databehandler og underleverandører behandler Informasjon for Behandlingsansvarlig, også for Informasjon som finnes hos dem etter Leveranseavtalens opphør.

12. Mislighold og pålegg om stans

Ved brudd på avtalen eller Rettsgrunnlaget kan Behandlingsansvarlig og tilsynsmyndigheter pålegge Databehandler å stanse behandlingen med umiddelbar virkning. Ved mislighold kan Behandlingsansvarlig ved skriftlig varsel kreve retting innen rimelig frist, og heve Leveranseavtalen med umiddelbar virkning hvis fristen oversittes. Ved vesentlig mislighold kan Leveranseavtalen heves umiddelbart. Databehandler kan si opp den berørte behandlingen hvis Behandlingsansvarlig insisterer på en instruks som strider mot gjeldende rett etter at Databehandler har varslet etter 4.3 k).

13. Erstatning

Behandlingsansvarlig har krav på erstatning for tap som skyldes at Databehandler ikke har overholdt avtalen, herunder regress for erstatning utbetalt til registrerte ved solidaransvar og for overtredelsesgebyr som kan føres tilbake til forhold hos Databehandler.

14. Ved opphør av Leveranseavtalen

14.1 Databehandler tilbakelever all Informasjon til Behandlingsansvarlig (eller den som utpekes) snarest og senest innen 30 dager etter opphør, i åpent, maskinlesbart format: én pakke med alle tabeller som JSON-linjer, originalfilene (kunnskapskilder, vedlegg og andre opplastinger), revisjonssporet og en oversikt med kontrollsum for hver fil. Samtaler og dokumenter kan i tillegg eksporteres som PDF eller Noark 5-pakke i Målfrid før opphør, og revisjonssporet som JSONL eller CSV.

14.2 Sletting. Behandlingsansvarliges administrator bestiller avslutning i Målfrid, og Databehandler godkjenner bestillingen etter at Behandlingsansvarlig har bekreftet mottak av eksporten. Databehandler sletter da all Informasjon sikkert, også kopier. Aktive databaser og fillagring slettes 30 dager etter godkjenningen. Sikkerhetskopier (daglig kopi, ukentlig kryptert kopi og filkopier, alle i 30 dager) utløper av seg selv og er fullt slettet senest 30 dager etter sletting i aktive systemer. Rester i sikkerhetskopier er krypterte i hvile, og alt innhold er i tillegg kryptert med nøkler som er egne for Behandlingsansvarlig. Databehandler sletter Behandlingsansvarliges nøkler før radene fjernes, når eksporten er lastet ned eller senest 14 dager etter at den var klar. De pakkede nøklene ligger i sikkerhetskopiene så lenge kopiene finnes, og innholdet kan ikke leses når den siste kopien med nøklene er utløpt. Gjenopprettes en sikkerhetskopi, gjennomfører Databehandler fullførte slettinger på nytt før miljøet tas i bruk. Databehandler dokumenterer sletting skriftlig innen rimelig tid og avvikler alle tilganger.

14.3 Journalførte samtaler som arkivet ikke har bekreftet mottak av, slettes ikke før Behandlingsansvarlig har bekreftet at arkivet har mottatt dem (arkivlova, LOV-2025-06-20-96). Pålegg i lov om å lagre opplysningene (art. 28(3)(g)) går foran sletteplikten.

15. Meddelelser

Meddelelser etter avtalen sendes skriftlig til kontaktpersonene i partsoversikten over og merkes «Databehandleravtale for Målfrid». Varsel om brudd sendes i tillegg til Behandlingsansvarliges kontaktpunkt for informasjonssikkerhet: [e-post og telefon til kontaktpunkt for informasjonssikkerhet hos Behandlingsansvarlig, døgnbemannet hvis mulig].

16. Lovvalg og verneting

Norsk rett. Behandlingsansvarliges verneting, også etter avtalens opphør.

17. Kryssreferanse til GDPR art. 28(3)

---

Bilag 1. Oversikt over Databehandlers underleverandører

Fullstendig og mer detaljert liste: underdatabehandlere. Behandlingsansvarlig merker av hvilke modellleverandører som er slått på («Slått på»).

Behandlingsansvarliges eget Microsoft Entra ID, Microsoft Graph og Sikt/Feide er Behandlingsansvarliges egne leverandører, ikke Databehandlers underleverandører.

Bilag 2. Underleverandørens tiltredelse (mal)

Underleverandør [navn og org.nr.] bekrefter overfor Schoolhub AS og [Kommunens navn] at den: (1) har lest databehandleravtalen for Målfrid og oppfyller kravene i punkt 4–9 så langt de gjelder tjenesten den leverer; (2) behandler opplysninger bare i EU/EØS (region: [region]); (3) ikke trener på, bruker til andre formål eller lagrer spørsmål og svar utover det som er nødvendig for tjenesten (lagringstid: [lagringstid]; ingen lagring: [ja/nei]); (4) varsler Schoolhub om brudd uten ugrunnet opphold og senest innen 24 timer; (5) bistår ved registrertes rettigheter og tilsyn; (6) bare bruker egne underleverandører som er oppført i vedlegg, og varsler endring; (7) sletter eller tilbakeleverer opplysninger ved opphør. Alternativt: vedlegg som viser at leverandørens standard databehandleravtale (versjon og dato: [versjon og dato]) dekker punktene.

Dato og signatur underleverandør: ________ Godkjent av Behandlingsansvarlig (dato): ________

Bilag 3. Behandlingen

3.1 Kategorier av registrerte

1. Ansatte, folkevalgte, vikarer og andre brukere av Målfrid.
2. Innbyggere, brukere, pasienter, elever, foresatte, søkere og andre som omtales i dokumenter og meldinger brukerne skriver eller laster opp.
3. Ansatte og tredjepersoner som omtales i personalsaker, møter og referater.
4. Deltakere i møteopptak (stemme og det som sies).
5. Personer nevnt i offentlige dokumenter som hentes inn (møteprotokoller, saksframlegg).

3.2 Kategorier av personopplysninger

3.3 Særlige kategorier (art. 9) og straffedommer (art. 10)

Målfrid fungerer uten slike opplysninger, men kan ikke hindre at de forekommer, særlig i dataklasser Behandlingsansvarlig har satt opp for dem (for eksempel personalsaker, helse og omsorg, barnevern, sosiale tjenester og skole). Behandlingsansvarlig avgjør hvilke fagområder og enheter som får bruke klassene for personopplysninger.

Dataklassene definerer Behandlingsansvarlig selv. En ny kommune får en startmal med fire klasser (bilag 5) eller en mal med én klasse, og kan endre, gi nye navn, slå sammen, slette og legge til klasser. Hver klasse har egenskaper: rekkefølge, om den er ment for personopplysninger, hva innholdsdeteksjonen gjør, krav til tofaktor og ny innlogging, lagringstid, om innholdet er søkbart og hvilke funksjoner som kan brukes. Databehandler setter ingen minstekrav til dette. Endringer logges, og en Behandlingsansvarlig som endrer startmalen, vurderer selv sitt oppsett. Punktene under beskriver startmalen, bortsett fra kryptering (punkt 3), som gjelder uansett oppsett.

Innebygde garantier:

1. Brukeren velger dataklasse før første melding (velgeren vises ikke når det bare finnes én klasse), og klassen kan bare oppgraderes.
2. Innholdsdeteksjon (fødselsnummer og D-nummer med kontrollsiffer, kontonummer, helseord på bokmål og nynorsk, adresse, telefon) følger klassens innstilling.
3. Alt innhold er kryptert (AES-GCM), uansett dataklasse, med en datanøkkel og en søkenøkkel som er egne for Behandlingsansvarlig. Nøklene er pakket med én nøkkelkrypteringsnøkkel i Scaleways hemmelighetsforvaltning. Ikke kryptert, med vilje: konfigurasjon (navn og beskrivelser av enheter, assistenter, kunnskapsbaser og flyter), metadata som trengs for spørringer, og tekstvektorer. En vektor kan delvis avsløre teksten den er laget av. For klasser Behandlingsansvarlig har gjort søkbare, lagres i tillegg kontrollsummer (HMAC) av ordene, som viser like ord og antall ord per rad, men ikke ordene.
4. Regelsjekken sender innholdet bare til leverandører og modeller Behandlingsansvarlig har valgt for dataklassen. En leverandør eller modell som ikke er valgt for klassen, avvises.
5. Lagringstiden bestemmer Behandlingsansvarlig per klasse (startmalen: bilag 5).
6. Tofaktor ved innlogging er på som standard, og Behandlingsansvarlig kan slå det av. Hver klasse kan i tillegg kreve tofaktor eller sikkerhetsnøkkel/Windows Hello, og ny innlogging etter et antall timer (i startmalen sikkerhetsnøkkel eller Windows Hello for klassene for taushetsbelagt innhold og personopplysninger, og ny innlogging etter 8 timer i klassen for personopplysninger).
7. Alle oppslag logges.
8. Det er forbudt å trene modeller på dataene.
9. Det fattes ingen automatiske avgjørelser.

Rettslig grunnlag for særlige kategorier (art. 9(2)(b), (g), (h) med nasjonal hjemmel) er Behandlingsansvarliges ansvar, fagområde for fagområde. Behandlingsansvarlig kan holde klassene for personopplysninger avslått eller skjult til egen DPIA er ferdig (DPIA).

3.4 Formål

Levere KI-assistent for ansatte: samtale med kilder, kunnskapsbaser, assistenter, flyter, visninger og verktøy som Behandlingsansvarlig bygger selv, dokumenter, referat fra møteopptak, revisjon og innsynsmodul, administrasjon og sikkerhet. Målfrid er ikke innbyggerrettet og fatter ikke vedtak.

3.5 Art

Lagring, strukturering, søkeindeks, søk, innholdsdeteksjon, overføring til modellleverandør for generering, søkeindeks, tekstgjenkjenning og transkripsjon, eksport (Word, PDF, Noark 5-pakke), journalføring, sletting og anonymisering, sikkerhetskopiering.

3.6 Lokasjon

EU/EØS. Primær region er Scaleway i Paris (flere tilgjengelighetssoner). Sikkerhetskopi og katastrofegjenoppretting ligger i Amsterdam. Modellkall går til de leverandørene som er slått på (bilag 1).

3.7 Avgrensning (Behandlingsansvarlig fyller ut)

Enheter som bruker tjenesten: [enheter]. Tillatte dataklasser: [dataklasser]. Modellleverandører som skal være på: [leverandører fra bilag 1]. Nettsøk: [av / på for utvalgte dataklasser]. Henting av møteprotokoller fra kommunens nettsted: [ja/nei].

Behandlingsansvarlig definerer dataklassene og bestemmer i administrasjonen for organisasjonen hvilke dataklasser hver leverandør og modell brukes til. Databehandler gir en startmal og opplysninger om hver leverandør, og endringer logges. Administrasjonen viser et sammendrag av oppsettet som Behandlingsansvarlig kan bruke i egen dokumentasjon.

Bilag 4. Tekniske og organisatoriske tiltak

Punkt 9. Tredjelandsvurdering (sammendrag)

U1 (Scaleway): alt i EØS (Paris og Amsterdam), europeisk leverandør uten amerikansk morselskap. Hosting innebærer ingen overføring og krever ingen TIA. U3 og U3b (Microsoft, bare hvis valgt): data i EØS, amerikansk morselskap. Risikoen for amerikansk myndighetstilgang (CLOUD Act) reduseres med EU Data Zone, kryptering av alt lagret innhold med nøkler per kommune, og at Microsoft er av i startmalen til Behandlingsansvarlig slår det på for en klasse. Microsoft er sertifisert under EU-US Data Privacy Framework, med SCC som reserve. U2 (GreenPT): nederlandsk selskap som behandler i Frankrike og Finland. Ingen overføring til tredjeland forutsettes. U4 (Mistral AI): fransk selskap i Paris, i startmalen alle dataklasser (Behandlingsansvarlig bestemmer). Se TIA.

Bilag 5. Oppbevaring og sletting

Behandlingsansvarlig definerer dataklassene og fristen for hver av dem. Startmalen, som Behandlingsansvarlig kan endre, har fire klasser (Åpen, Intern, Konfidensiell, Personopplysninger). Radene for dataklasser viser fristene i startmalen.

Når en bruker sletter en samtale, skjules den umiddelbart. Fysisk sletting skjer i den daglige kjøringen av oppbevaringsreglene eller ved manuell instruks fra Behandlingsansvarlig. Detaljer, arv og låsing: sletting og lagringstid.

---

Sted og dato: ________ For Behandlingsansvarlig: ________ For Databehandler (Schoolhub AS): ________

Kilder

• KS, Bilag 3 – Databehandleravtale til tjenesteavtale (SSA-L): https://www.ks.no/globalassets/bilag-3.pdf
• KS Digital/Fiks, SSA-L generell avtaletekst og bilag: https://ksdigital.no/wp-content/uploads/2024/10/KS-Fiks_SSA-L-generell-avtaletekst_hovedavtale.pdf
• Forordning (EU) 2016/679 art. 28, 32–36, kap. V: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Kommisjonens gjennomføringsbeslutning (EU) 2021/915 (alternativ standardavtale): https://eur-lex.europa.eu/eli/dec_impl/2021/915/oj
• Datatilsynet: https://www.datatilsynet.no
• Personopplysningsloven: https://lovdata.no/dokument/NL/lov/2018-06-15-38
• Forvaltningsloven § 13: https://lovdata.no/dokument/NL/lov/1967-02-10
• Offentleglova: https://lovdata.no/dokument/NL/lov/2006-05-19-16
• Lov om dokumentasjon og arkiv (arkivlova), LOV-2025-06-20-96, i kraft 1. januar 2026: https://lovdata.no/dokument/NL/lov/2025-06-20-96