Personvern og etterlevelse
Hva som skjer med kommunens data
Siden viser hvor dataene behandles, hvilke underdatabehandlere som brukes, hvor lenge alt lagres og hvilke sikkerhetstiltak som gjelder.
- Databehandler
- Schoolhub
- Lagring og behandling
- EU/EØS som standard
- Trening på kundedata
- Nei
Hva Schoolhub gjør og ikke gjør
Det som gjelder står i databehandleravtalen med hver kommune.
Bare etter avtalen
Vi behandler opplysninger bare slik databehandleravtalen og kommunens innstillinger i Målfrid sier. Vi bruker dem ikke til egne formål og ikke til å trene modeller.
Varsel om endringer
Kommunen får skriftlig varsel minst 30 dager før en ny underdatabehandler tas i bruk, og kan protestere.
Samarbeidets tilgang blir logget
Administratorer i et IKT-samarbeid kan sette felles regler og forvalte medlemskommunene. For å søke i en kommunes samtaler må de gi seg rollen arkivadministrator i den kommunen, og det blir logget i kommunens revisjonslogg.
Slik kan du kontrollere det vi sier
Hver påstand har en måte å kontrolleres på. Der noe er et avtalekrav og ikke kan måles i produktet, sier vi det.
Hver melding og hvert svar blir loggført.
Slik fungerer det
Når en melding kommer inn, lagres den sammen med en loggrad i samme databaseoperasjon, før modellen kalles. Feiler lagringen, sendes ingenting. Når svaret er ferdig, skrives en ny rad med modell, leverandør, region, tekstmengde og kostnad. Avviste meldinger får egen rad.
Slik kan du kontrollere det
- Be revisor eller administrator hente loggen fra siden Revisjon som JSONL eller CSV etter noen dagers bruk.
- Sammenlign radene med samtalene dere vet er gjort.
- Eksempelet under viser hvordan en eksport ser ut.
Loggen kan ikke endres i ettertid.
Slik fungerer det
Tjenesten kan bare føre nye oppføringer i loggen. Den har ikke rett til å endre eller slette. Hvert døgn regnes det ut en kontrollsum over dagens oppføringer, og den kobles til forrige døgns kontrollsum. Endrer noen en linje senere, stemmer ikke kontrollsummen lenger. Den som har full tilgang til databasen kan i prinsippet skrive om både loggen og kontrollsummene, og derfor bør kommunen ta vare på kontrollsummene selv.
Slik kan du kontrollere det
- IKT kan hente kontrollsummene fra tjenesten og lagre dem i kommunens eget system.
- Tjenesten har en kontroll som regner kjeden på nytt og viser om noe ikke stemmer.
- Et lagret kontrollpunkt hos kommunen gjør at vi ikke kan skrive om historien uten at det blir oppdaget.
Se ogsåDPIA, tiltak mot misbruk av loggenSletting og lagringstid
Innholdet lagres i EU, og behandlingsstedet for hvert svar står i loggen.
Slik fungerer det
Innholdet lagres hos Scaleway i Paris, med sikkerhetskopi i Amsterdam. Hver modell har et oppgitt behandlingssted, og det skrives i loggraden for svaret.
Slik kan du kontrollere det
- Se på feltet region i detaljene for hvert svar i loggeksporten. Det viser behandlingsstedet.
- Filtrer på leverandør og sammenlign med listen over underdatabehandlere.
- Kontroller at bare leverandørene kommunen har godkjent i avtalen, finnes i loggen.
Kommunens data brukes ikke til å trene modeller.
Slik fungerer det
Det er forbudt i databehandleravtalen, og vi krever det samme av hver modellleverandør før den slås på. Dette er et avtalekrav som ikke kan måles i produktet.
Slik kan du kontrollere det
- Les punkt 3.4 i databehandleravtalen og punkt 3 i registeret over underdatabehandlere.
- Be om databehandleravtalen for hver modellleverandør kommunen slår på.
- Ta kravet inn som skal-krav i kravspesifikasjonen (krav P4).
Alt innhold er kryptert, med en egen nøkkel for hver kommune.
Slik fungerer det
Meldinger, filer, kunnskapsbaser, transkripsjoner og annet innhold krypteres før det lagres, uansett dataklasse. Hver kommune har sin egen nøkkel. Nøklene er beskyttet av en hovednøkkel i Scaleway Secret Manager, ikke i koden eller databasen. Navn på enheter og assistenter og opplysninger som tidspunkt og status er ikke kryptert.
Slik kan du kontrollere det
- Tiltaket er beskrevet i databehandleravtalens bilag 4.
- Be IKT om en teknisk gjennomgang der vi viser kryptert innhold i en testdatabase uten ekte data.
Hver kommunes data holdes for seg.
Slik fungerer det
Databasen avviser spørringer som går på tvers av kommuner, uansett hva programmet ber om. Det gjelder også mellom kommunene i et IKT-samarbeid.
Slik kan du kontrollere det
- Skillet mellom kommuner testes automatisk ved hver endring i koden.
Dataklassen avgjør hvilke modeller som kan brukes.
Slik fungerer det
Før en melding sendes, sjekker tjenesten dataklassen mot kommunens regler. Er ingen modell tillatt, eller har kommunen bestemt at personopplysninger skal stoppes i klassen, avvises meldingen og avvisningen logges.
Slik kan du kontrollere det
- Velg en klasse der kommunen har bestemt at personopplysninger skal stoppes, og skriv et gyldig, syntetisk fødselsnummer. Meldingen avvises.
- Åpne loggen. Avvisningen står der med utfallet «denied» og grunnen.
- Samme melding i en klasse for personopplysninger går bare til modeller kommunen har tillatt for den klassen.
Se ogsåDataklasser
Samtaler slettes etter fristene for dataklassen.
Slik fungerer det
En jobb kjører hver natt og sletter samtaler som er eldre enn fristen for klassen. Journalførte samtaler beholdes til arkivet har bekreftet mottak. Kjøringen skrives til loggen.
Slik kan du kontrollere det
- Søk i loggen etter handlingen retention.sweep.completed og se hvor mange som ble slettet.
- Kontroller fristene i administrasjonen for enheten.
- En slettet samtale kan ligge i sikkerhetskopiene i opptil 30 dager før den er borte.
Bare leverandørene i listen brukes.
Slik fungerer det
Alle modell- og hostingleverandører står i registeret over underdatabehandlere. En ny leverandør krever kommunens skriftlige forhåndsgodkjenning, og kommunen varsles minst 30 dager før en endring. Microsoft er med bare hvis kommunen har slått på Azure OpenAI eller opplesing.
Slik kan du kontrollere det
- Sammenlign leverandørfeltet i loggeksporten med registeret.
- Be om endringsvarsel etter punkt 5.3 i databehandleravtalen.
Slik ser en loggeksport ut
Revisor og administrator kan hente loggen som JSONL eller CSV. Eksempelet under har de samme kolonnene som en ekte eksport.
| Tidspunkt | Hvem | Handling | Dataklasse | Modell, leverandør og region | Utfall | Hva det betyr |
|---|---|---|---|---|---|---|
| 2026-11-03 08:14:02 | Kari Fjell | chat.message.create | internal | – | ok | En melding ble sendt. Loggen viser lengden på teksten, ikke teksten. |
| 2026-11-03 08:14:09 | Kari Fjell | chat.completion | internal | mistral-large-4 · mistral · fr (Mistral AI, Paris) | ok | Svaret ble ferdig. Modell, leverandør, behandlingssted og kostnad er lagret. |
| 2026-11-03 09:02:31 | Ola Dal | chat.message.create | open | – | denied (avvist) | Meldingen ble avvist fordi den inneholdt et fødselsnummer i en klasse der personopplysninger stoppes. |
| 2026-11-03 09:40:12 | Ingrid Berg | foia.search | – | – | ok | Revisor søkte i samtaler i forbindelse med et innsynskrav. |
| 2026-11-03 09:55:48 | Ingrid Berg | audit.export | – | – | ok | Loggen ble eksportert. Selve eksporten er også logget. |
| 2026-11-04 02:15:07 | Systemet | retention.sweep.completed | – | – | ok | Den nattlige slettingen ble kjørt, og resultatet ble loggført. |
Se én rad som JSON
Raden for svaret i eksempelet, slik den ser ut i en JSONL-eksport. Alle id-er er oppdiktet.
{
"id": "0c4e8a52-6f3b-4d1e-9a77-2b5d1c8f4e10",
"occurred_at": "2026-11-03T08:14:09.412+00:00",
"actor_id": "5a9d3e71-82c4-4b0f-a1d6-73e0b4c2f958",
"actor_name": "Kari Fjell",
"action": "chat.completion",
"object_type": "message",
"object_id": "e2f7a6b3-1d48-4c95-8b02-9f6a0d3c7e21",
"org_node_id": "b81c4d20-37fa-4e69-9c15-4a2e8f60d7b3",
"tenant_root_id": "3f0a9c68-5d12-47be-a8e4-1c7b2d95f046",
"data_class": "internal",
"model_id": "mistral-large-4",
"provider": "mistral",
"outcome": "ok",
"details": {
"conversation_id": "9d2b6e04-a3c1-4f87-b5d9-0e8c71a4f263",
"run_id": "c6a1f9d3-4e72-4b08-91ea-5d3b8f0c2a74",
"region": "fr (Mistral AI, Paris)",
"mocked": false,
"tokens_in": 1840,
"tokens_out": 410,
"cost_nok": 0.0614,
"fallback_from": null,
"sources": ["chunk-7f3a", "chunk-91bc"],
"tools": []
}
}Slik leser du loggen
- Loggen viser hvem som gjorde hva, når, med hvilken dataklasse og hvilken modell. Den inneholder ikke samtalen.
- Avviste forespørsler står med utfallet «denied» og en grunn, og oppbevares i 365 dager. Gjennomførte handlinger oppbevares i 5 år.
- Alle oppslag og eksporter i loggen blir selv loggført.
Hvor dataene behandles
Innholdet lagres hos Scaleway i Frankrike, med sikkerhetskopi i Nederland. Når en melding skal besvares, sendes den til en språkmodell hos en av leverandørene under. GreenPT, Mistral og Microsoft behandler data i EU. Behandlingsstedet lagres på hver melding.
| Leverandør | Behandlingssted | Bruk |
|---|---|---|
| GreenPT | EU (Frankrike og Finland) | GreenPT er på for alle fire klassene i malen, sammen med Mistral. Kommunen kan endre det. |
| Microsoft Azure OpenAI | EUs datasone (Sverige og andre EU-land) | GPT-modellene. Av for alle dataklasser til kommunen velger hvilke klasser de skal brukes for. |
| Mistral AI | Frankrike (Mistral AI, Paris) | Mistral Large 4 er standardmodellen. I malen er Mistral på for alle fire dataklasser. Valgfri tale til tekst (Voxtral) og tekstgjenkjenning av skannede dokumenter. Kommunen bestemmer hvilke dataklasser Mistral brukes for. |
| GreenPT (nettsøk og henting av nettsider) | EU | Valgfritt nettsøk, av som standard. Kommunen velger hvilke dataklasser nettsøk gjelder for. |
Når en leverandør ikke svarer
Svarer ikke leverandøren, prøver Målfrid en annen modell som kommunen har tillatt for samme dataklasse. Finnes det ingen slik modell, får brukeren en feilmelding.
Slik går en melding gjennom systemet
Meldingen lagres og føres i loggen før den sendes til modellen. Feiler lagringen, sendes ingenting.
Stegene i tekst
- Du skriver en melding i nettleseren. Den sendes kryptert til Målfrid.
- Nettstedet videresender meldingen sammen med innloggingen din. Ingen tilgangsvurdering skjer i nettleseren.
- Målfrid sjekker hvem du er, hvilken rolle du har og om innloggingen er sterk nok for dataklassen. Resten av behandlingen kan bare nå kommunens egne data.
- Målfrid ser etter fødselsnummer og lignende i teksten. Hva som skjer da, bestemmer kommunen for hver dataklasse: meldingen stoppes, eller Målfrid foreslår en høyere klasse.
- Meldingen lagres, og loggen får en rad om den, før den går videre.
- Regelsjekken sammenligner dataklassen med kommunens regler. Brudd avvises og logges.
- Meldingen sendes til en modell kommunen har tillatt for dataklassen. Behandlingsstedet lagres.
- Svaret vises mens det kommer, og lagres i samtalen. Loggen får en rad med modell, leverandør, behandlingssted og hvilke kilder som ble brukt.
Alt innhold er kryptert i databasen, med en egen nøkkel for hver kommune. Målfrids driftsstatistikk inneholder aldri meldingstekst eller e-postadresser.
Dataklasser
Kommunen bestemmer selv hvilke dataklasser den vil ha og hva de heter. Brukeren velger klasse før første melding, og klassen avgjør hvilke modeller som kan brukes, hvor lenge innholdet beholdes og hvor sterk innlogging som kreves. Klassen kan bare heves i en samtale, aldri senkes.
| Klasse | Eksempel | Når Målfrid finner personopplysninger | Modeller som kan brukes | Lagring | Lagringstid i malen | Krav til innlogging |
|---|---|---|---|---|---|---|
| Åpen | Offentlige dokumenter, møteprotokoller | Finner Målfrid personopplysninger, stoppes meldingen. | Mistral og GreenPT. Microsoft hvis kommunen slår det på | Kryptert | 730 dager | Tofaktor |
| Intern | Interne notater, utkast | Finner Målfrid personopplysninger, foreslår Målfrid en høyere klasse. | Mistral og GreenPT. Microsoft hvis kommunen slår det på | Kryptert | 365 dager | Tofaktor |
| Konfidensiell | Taushetsbelagt (forvaltningsloven § 13), personalsaker | Finner Målfrid personopplysninger, foreslår Målfrid en høyere klasse. | Mistral og GreenPT. Andre leverandører hvis kommunen har valgt det. | Kryptert | 90 dager | Sikkerhetsnøkkel eller Windows Hello |
| Personopplysninger | Personopplysninger om innbyggere | Personopplysninger er tillatt. Meldingen avvises hvis ingen modell er tillatt for klassen. | Mistral og GreenPT. Andre leverandører hvis kommunen har valgt det og ingen overordnet enhet har låst valget. | Kryptert | 30 dager | Sikkerhetsnøkkel eller Windows Hello, ny innlogging etter 8 timer |
Nettsøk er av som standard. I startmalen kan kommunen slå det på for de to klassene uten taushetsbelagt innhold og personopplysninger. En overordnet enhet kan for eksempel bestemme at Microsoft aldri brukes for personopplysninger i noen av enhetene under seg.
Lagringstid og sletting
Sletting skjer automatisk etter dataklasse og logges. Journalførte samtaler slettes ikke i Målfrid før arkivet har bekreftet mottak.
| Hva | Lagringstid | Merknad |
|---|---|---|
| Samtaler og innhold | Fristen kommunen har satt for dataklassen | I startmalen fra 30 til 730 dager, se tabellen over. En journalført samtale beholdes til arkivet har bekreftet mottak. |
| Lydopptak til referat | Som dataklassen | Lyden følger dataklassen til transkripsjonen. Lyd fra direkte referat og diktering lagres ikke. |
| Logg over hvem som gjorde hva, og når | 5 år | Inneholder metadata, ikke samtaleinnhold. |
| Avviste forespørsler | 365 dager | Kan justeres per kommune. |
| Sikkerhetskopi | 30 dager (daglige og ukentlige kopier) | Lagret i Amsterdam. Slettede data kan finnes i kopiene til fristen er ute, og gjenopprettes en kopi, kjøres slettingen på nytt. Mål for gjenoppretting: 4 timer ved sonefeil og 8 timer ved regionfeil. |
| Ved avtalens opphør | Eksport innen 30 dager. Sikkerhetskopiene er borte senest 30 dager etter slettingen | Én pakke med alle tabellene som JSON-linjer, originalfilene, revisjonsloggen og en liste med kontrollsummer. Enkeltsamtaler og dokumenter kan kommunen eksportere som PDF eller Noark 5-pakke i Målfrid før avtalen slutter. Vi sletter når kommunen har bekreftet mottak, og bekrefter slettingen skriftlig. Fristene står i databehandleravtalen punkt 14. |
Loggen inneholder ikke selve samtalen. Innholdet kan derfor slettes etter fristene, mens det fortsatt kan dokumenteres at samtalen skjedde.
Slik beskytter vi dataene
Tiltakene er bygget inn i produktet og beskrevet i databehandleravtalens bilag 4. Sikkerhetsvurderingen (ROS) og personvernkonsekvensvurderingen (DPIA) ligger under dokumenter.
Kryptering
All trafikk er kryptert, og alt innhold er kryptert når det lagres, uansett dataklasse. Hver kommune har sin egen nøkkel. Nøklene er beskyttet av en hovednøkkel i Scaleway Secret Manager, atskilt fra databasen. Navn på enheter og assistenter og opplysninger som tidspunkt og status er ikke kryptert.
Tilgangsstyring
Ansatte logger inn med kommunens Entra ID, og skoler bruker Feide. Tofaktorautentisering kreves ved innlogging som standard, og kommunen bestemmer selv om det skal gjelde. For hver dataklasse bestemmer kommunen i tillegg om det kreves sikkerhetsnøkkel eller Windows Hello og om brukeren må logge inn på nytt etter noen timer. I startmalen gjelder det klassene for taushetsbelagt innhold og personopplysninger. Hvem som får se hva, avgjøres alltid på serveren og aldri i nettleseren. Roller arves nedover i organisasjonen.
Hver kommunes data for seg
Hver kommunes data er skilt fra de andres i databasen, slik at en kommune ikke kan lese en annens data. Vi tester dette automatisk ved hver endring i koden.
Logg som ikke kan endres
Målfrid kan legge til nye oppføringer i loggen, men ikke endre eller slette de gamle. Den første oppføringen skrives før meldingen sendes til modellen, og en ny når svaret er ferdig. Hvert døgn lages en kontrollsum over loggen, slik at endringer i ettertid kan oppdages. Alle administratorhandlinger logges, også endringer i regler som arves nedover.
Nettverk og drift
Serverne ligger i et privat nettverk, og all trafikk ut er stengt bortsett fra til leverandørene vi har godkjent. Nye versjoner rulles ut uten nedetid, og vi har en rutine for å øve på gjenoppretting.
Våre egne tilganger
Ansatte hos Schoolhub får tilgang bare når de trenger det til en konkret oppgave, for en begrenset tid, og alt logges. De har taushetsplikt. Vi bruker ikke produksjonsdata i utvikling, og passord og nøkler ligger aldri i koden.
Innsyn og de registrertes rettigheter
Innsyn etter offentleglova og de registrertes rettigheter etter personvernforordningen er to ulike regelsett. Målfrid har verktøy for begge, og det er kommunen som avgjør hva som utleveres.
Innsyn etter offentleglova
- Samtaler og utkast kan være dokumenter som må vurderes for innsyn. Målfrid er bygget slik at de kan finnes, vurderes og leveres.
- Innsynsmodulen kan søke i samtaler på tvers av brukere i én kommune, og er bare tilgjengelig for arkivadministrator og revisor.
- Systemet foreslår skjerming med lovhjemmel. Et menneske må godkjenne før noe utleveres.
- Utleveringspakken får kontrollsum og logges. Samtaler kan eksporteres som PDF og som Noark 5-pakke.
- Innsyn går aldri på tvers av kommuner.
Registrertes rettigheter etter GDPR
- Den registrerte kan be om innsyn, retting, sletting, begrensning, dataportabilitet og kan protestere (art. 15 til 22).
- Henvendelser fra enkeltpersoner som kommer til oss, videresender vi til kommunen senest innen 2 virkedager.
- Vi gir kommunen verktøy for å hente ut og slette: eksport av samtaler, sletting og innsynsmodul.
- Målfrid tar ingen automatiske avgjørelser som har rettslig virkning for enkeltpersoner (art. 22). Svar er utkast som et menneske vurderer.
- Den registrerte kan klage til Datatilsynet.
Sletting etter GDPR og arkivplikt etter arkivloven kan trekke i ulik retning. Derfor slettes journalførte samtaler først etter at arkivet har bekreftet mottak.
KI-forordningen
Målfrid er et KI-system med begrenset risiko. Schoolhub er leverandør, kommunen er idriftsetter. Plattformen er ikke høyrisiko i seg selv, men hvordan en assistent brukes, kan endre det.
Register over assistenter
Hver assistent har formål, risikoklasse, dataklasser, tillatte modeller, kilder, eier, den som tok den i bruk og versjon. Hver ibruktaking logges. Registeret kan eksporteres.
Menneskelig kontroll
Svar presenteres som utkast, med kilder som kan åpnes og kontrolleres. Et eksportert utkast viser hvem som har kvalitetssikret det, eller at det ikke er kvalitetssikret. Brukeren kan alltid avvise eller overstyre, og det logges.
Merking av KI-generert tekst
Brukeren får beskjed om at hen snakker med KI. Eksporterte filer har merkingen «Dokument laget med KI-assistent, kvalitetssikret av …» i filens egenskaper, og dokumenter har et maskinlesbart felt som markerer KI-generert innhold. Modell, leverandør og region vises.
Forbudt og høyrisiko
Målfrid har ingen funksjon for sosial scoring eller følelsesgjenkjenning. Rangering av søkere og avgjørelser om ytelser er utenfor det Målfrid er laget for. Den som tar en assistent i bruk, står for formålet og risikoklassen, og alt som sender eller endrer noe, stopper ved et godkjenningstrinn der en person må si ja.
Logging
Loggføringen er bygget til nivået som kreves for høyrisikosystemer, selv om Målfrid normalt ikke er det. Handlingslogg oppbevares i fem år som standard, mot kravet om minst seks måneder.
Opplæring
Målfrid har et kurs i KI-kompetanse for ansatte, blant annet om hva språkmodeller ikke kan og hvordan svarene kvalitetssikres. Kommunen kan gjøre kurset obligatorisk, og informerer ansatte og tillitsvalgte før bruk.
Dette er ikke juridisk rådgivning. Kontroller gjeldende ordlyd med kommunens jurist.
Sikkerhetsrammeverk
Målfrid er bygget etter disse standardene og regelverkene.
| Rammeverk | Hva det betyr |
|---|---|
| NSM grunnprinsipper for IKT-sikkerhet | Brukes som sjekkliste i utvikling og drift. |
| GDPR | Vi leverer databehandleravtale, DPIA-underlag, ROS og behandlingsprotokoll og holder dem oppdatert når produktet endres. Kommunen eier sin egen DPIA. |
| KI-forordningen (EU 2024/1689) | Roller, risikoklasser, register, menneskelig kontroll og merking er beskrevet og bygget inn. Vi går gjennom dette minst hver sjette måned. |
Underdatabehandlere
Disse leverandørene kan behandle data på vegne av kommunen, avhengig av hva kommunen har slått på.
| Underdatabehandler | Tjeneste | Sted | Type | Dataklasser i malen |
|---|---|---|---|---|
| Scaleway SAS (Iliad-konsernet, Frankrike) | Hosting: Kubernetes, PostgreSQL, Redis, objektlagring, nøkkel- og hemmelighetsforvaltning, e-postutsending | EU (Paris, Frankrike). Sikkerhetskopi i Amsterdam, Nederland | Hosting | Alle klassene |
| GreenPT BV (Nederland) | Språkmodeller (åpne modeller), søk i kunnskapsbaser, nettsøk og henting av nettsider. Språkmodellene er på for alle dataklasser i malen, nettsøk er av til kommunen slår det på | EU (Frankrike og Finland) | Språkmodell | Alle klassene |
| Microsoft Ireland Operations Ltd. (Azure OpenAI) | Språkmodeller (GPT) i EU Data Zone. Brukes bare hvis kommunen aktivt velger det | EU Data Zone (Sverige og andre EU-land) | Språkmodell (valgfri) | Av i malen. Kommunen velger klassene |
| Microsoft Ireland Operations Ltd. (Azure AI Speech) | Opplesing av tekst med norske stemmer | EU/EØS | Språkmodell (valgfri) | Av i malen. Kommunen slår det på og velger klassene |
| Mistral AI SAS | Mistrals språkmodeller, tale til tekst (referat og diktering) og valgfri tekstgjenkjenning av skannede dokumenter | Frankrike (Mistral AI, Paris) | Språkmodell | Alle klassenePå for alle fire klasser i malen. Kommunen bestemmer |
| Sikt (Feide) | Pålogging for skole og oppvekst (valgfritt) | Norge | Pålogging | Ikke innhold |
Kommunens egen Microsoft Entra ID er kommunens eget system og er ikke med i listen. Hosting hos Scaleway SAS (Frankrike, EU-eid) brukes av alle kommuner. Microsoft er underdatabehandler bare hvis kommunen selv slår på Azure OpenAI.
Kommunen varsles skriftlig minst 30 dager før en ny eller endret underdatabehandler tas i bruk, og kan protestere med saklig grunn.
Avvik og sikkerhetshendelser
Vi varsler kommunen uten ugrunnet opphold og senest 24 timer etter at vi har oppdaget et brudd på personopplysningssikkerheten.
- Vi oppdager eller får melding om en hendelse, og stopper skaden.
- Vi varsler kommunens kontaktperson skriftlig, også når opplysningene er ufullstendige.
- Varselet beskriver art og omfang, berørte registrerte og tiltak, så kommunen kan vurdere meldeplikten til Datatilsynet innen 72 timer (art. 33).
- Vi bistår kommunen med utredning, kommunikasjon og dokumentasjon.
- Vi gjør en årsaksanalyse og følger opp tiltak, og hendelsen går inn i risikovurderingen.
Hendelser som gjelder KI-bruk, for eksempel alvorlige feil, meldes på samme måte, slik at kommunen kan oppfylle sine plikter som idriftsetter.
Kontakt oss om personvern
Spørsmål om personvern, sikkerhet, databehandleravtalen eller dokumentasjonen du ikke finner her, kan sendes til oss. Schoolhubs personvernombud er Fresh Compliance GmbH i Berlin, info@freshcompliance.de.
- E-post
- kontakt@malfrid.eu
Som innbygger eller ansatt i en kommune som bruker Målfrid, ta først kontakt med kommunen. Kommunens personvernombud kan hjelpe deg.
Du kan alltid klage til Datatilsynet.
Dokumenter
Vi oppdaterer dokumentene når produktet endres, og viser når de sist ble endret.
Maler og dokumenter til kommunens vurdering
Kommunen kopierer dokumentene og fyller ut feltene i hakeparentes sammen med personvernombudet. Hvert dokument kan lastes ned som PDF fra dokumentsiden.
Databehandleravtale
Bygget på KS sin mal, med bilag.
· bokmål
DPIA-underlag
Kommunen eier DPIA-en og fyller den ut.
· bokmål
ROS-analyse
Trusler, tiltak og restrisiko.
· bokmål
Behandlingsprotokoll
Behandlingene vi gjør som databehandler.
· bokmål
Avtaler
Avtalen mellom kommunen og Schoolhub etter GDPR art. 28, med bilag om tiltak, slettefrister og underdatabehandlere.
Sist oppdatert 4. november 2026
Oversikt over underdatabehandlere med tjeneste, sted og krav.
Sist oppdatert 4. november 2026
Vilkårene for tjenesten og nettstedet, som utfyller avtalen med kommunen.
Sist oppdatert 5. november 2026
Personvernerklæring for tjenesten (mal)
Mal kommunen kan bruke i sin egen informasjon til ansatte og innbyggere.
Sist oppdatert 4. november 2026
Vurderinger
Personvernkonsekvensvurdering (DPIA)
Underlag til kommunens DPIA etter art. 35: behandlingen, risiko og tiltak.
Sist oppdatert 5. november 2026
Risikoregister for Målfrid med trusler, tiltak og restrisiko, til bruk i kommunens egen risikovurdering.
Sist oppdatert 5. november 2026
Vurdering av overføring til tredjeland
Vurdering av overføringsgrunnlag der en leverandør har tilknytning til tredjeland.
Sist oppdatert 4. november 2026
Rutiner
Oversikt over behandlingene vi gjør som databehandler (art. 30).
Sist oppdatert 4. november 2026
Hvordan vi oppdager, varsler og følger opp brudd på personopplysningssikkerheten.
Sist oppdatert 4. november 2026
Hvordan vi bistår kommunen når en registrert vil bruke sine rettigheter.
Sist oppdatert 4. november 2026
Standard lagringstid per dataklasse og hvordan sletting gjennomføres og logges.
Sist oppdatert 4. november 2026
Erklæringer
Personvernerklæring for nettstedet
Hvordan vi behandler opplysninger om besøkende og de som sender inn kontaktskjemaet på malfrid.eu.
Sist oppdatert 4. november 2026
Hvilke informasjonskapsler nettstedet og tjenesten bruker.
Sist oppdatert 4. november 2026
Roller, risikoklasser, register over assistenter, menneskelig kontroll og logging.
Sist oppdatert 5. november 2026
Hvordan vi arbeider med universell utforming (WCAG 2.1 AA).
Sist oppdatert 5. november 2026
Informasjonssikkerhet
Overordnet policy i styringssystemet for informasjonssikkerhet.
Sist oppdatert 4. november 2026
Vanlige spørsmål fra kommuner
Detaljene står i dokumentene og på sidene for hver rolle.
Trener dere eller leverandørene på kommunens data?
Nei. Opplysningene brukes ikke til trening av modeller, verken hos oss eller hos underdatabehandlere. Det er et krav i databehandleravtalen og i kravene vi stiller til hver modellleverandør før den slås på.
Hvor ligger dataene våre?
Innholdet lagres hos Scaleway i Paris (EU-eid), med sikkerhetskopi i Amsterdam. Hvilke leverandører som kan behandle innholdet, og for hvilke dataklasser, bestemmer kommunen. I startmalen er GreenPT og Mistral slått på for alle klassene, også klassene for taushetsbelagt innhold og personopplysninger. Begge behandler data i EU.
Kan Microsoft se dataene våre?
Bare hvis kommunen selv slår på Azure OpenAI. Driften er hos Scaleway i Frankrike, og Microsoft er ikke underdatabehandler så lenge Azure OpenAI er av. Slår kommunen det på, går meldinger til GPT-modellene i EUs datasone, og bare for de dataklassene kommunen har valgt.
Kan en annen kommune eller IKT-samarbeidet lese samtalene våre?
En annen kommune kan ikke det. Hver kommunes data er skilt fra de andres i databasen, og innsyn gjelder alltid én kommune. Administratorer i et IKT-samarbeid kan gi seg rollen arkivadministrator i kommunen, for eksempel for å gi brukerstøtte, og det blir logget i kommunens revisjonslogg.
Kan ansatte hos Schoolhub lese samtalene?
Bare når det trengs for en konkret oppgave, for en begrenset tid og med logging. De ansatte har taushetsplikt, og innholdet er kryptert med kommunens egen nøkkel.
Må vi lage en DPIA?
Kommunen eier DPIA-en for sin bruk. Vi leverer et ferdig underlag og en ROS-analyse som dere kan kopiere og fylle ut sammen med personvernombudet.
Kan Målfrid ta vedtak?
Nei. Svar er utkast med kilder som en saksbehandler vurderer.
Hvem kan søke i samtaler når vi får et innsynskrav?
Bare arkivadministrator og revisor, og bare innenfor egen kommune. Systemet foreslår skjerming med lovhjemmel, og et menneske godkjenner.
Hva skjer med dataene hvis avtalen opphører?
Kommunen får alt innholdet, originalfilene og loggen i én eksportpakke innen 30 dager. Når kommunen har bekreftet mottak, sletter vi alt og bekrefter det skriftlig, og de siste sikkerhetskopiene forsvinner innen 30 dager. Journalførte samtaler slettes ikke før arkivet har bekreftet mottak.