Versjon 1.1, 5. november 2026.
Svarene under dekker spørsmålene IT-sjefen og personvernombudet i en kommune vanligvis stiller før en anskaffelse. Svarene bygger på databehandleravtalen, DPIA-underlaget, ROS-analysen og de tekniske løsningene i Målfrid. Der Målfrid ikke har en funksjon, står det «Nei».
Kommunen kan bruke tabellene som et utfylt spørreskjema. Kolonnen «Dokumentasjon» viser hvor svaret kan kontrolleres.
1. Selskap og ansvar
| Spørsmål | Svar | Dokumentasjon |
|---|---|---|
| Hvem er databehandler? | Schoolhub AS, org.nr. 932739798, Bryggerikaien 24, 4014 Stavanger. Kommunen er behandlingsansvarlig | Databehandleravtale |
| Har dere personvernombud? | Ja. Fresh Compliance GmbH i Berlin, info@freshcompliance.de | Behandlingsprotokoll |
| Hvem kontakter vi om personvern og sikkerhet? | kontakt@malfrid.eu | Databehandleravtale |
| Hvilke vilkår gjelder for brukerne? | Vilkår for bruk av Målfrid. Leveranseavtalen og databehandleravtalen går foran vilkårene | Vilkår |
| Bygger avtalen på en kjent mal? | Ja, på KS sin databehandleravtale for kommunal sektor (bilag 3 til SSA-L), med tillegg for KI | Databehandleravtale |
| Bruker dere et anerkjent rammeverk? | Ja. NSMs grunnprinsipper for IKT-sikkerhet er sjekklisten vi bruker i utvikling og drift. Det er ikke en sertifisering | Informasjonssikkerhetspolicy |
2. Data, sted og leverandører
| Spørsmål | Svar | Dokumentasjon |
|---|---|---|
| Hvor lagres dataene? | Hos Scaleway SAS i Frankrike (Paris). Sikkerhetskopiene ligger i Nederland (Amsterdam) | Underdatabehandlere |
| Hvor behandles meldingene når en språkmodell svarer? | Hos modellleverandøren. I startmalen for dataklasser kan GreenPT (behandler i Frankrike og Finland) og Mistral AI (Frankrike) behandle alle fire klasser. Microsoft Azure OpenAI (EU Data Zone, ressurs i Sverige) er av til kommunen slår det på for en klasse. En leverandør eller modell som kommunen ikke har valgt for en klasse, kan ikke brukes for den. Kommunen velger dataklasser per leverandør og per modell, og en overordnet enhet kan låse valget. Regionen lagres i loggen for hvert svar | Underdatabehandlere |
| Hvem behandler lyd og tekst til opplesing? | Tale til tekst (opplastede opptak, levende referat og diktering) leveres av Mistral AI. Kommunen velger hvilke dataklasser og funksjoner som er slått på. Lyd fra levende referat og diktering lagres ikke i Målfrid. Opplesing av tekst leveres av Microsoft og er av til kommunen slår den på for en dataklasse. Om opplest lyd kan mellomlagres, er en egenskap ved klassen (i startmalen bare klassene uten taushetsbelagt innhold og personopplysninger) | Underdatabehandlere |
| Brukes nettsøk? | Bare hvis kommunen slår det på, og bare i dataklasser der kommunen tillater det (i startmalen klassene uten taushetsbelagt innhold og personopplysninger). Nettsøk leveres av GreenPT | Underdatabehandlere |
| Brukes amerikanske selskaper? | Microsoft Azure OpenAI og Azure AI Speech (opplesing) har amerikansk morselskap og behandler i EU/EØS. Begge er av i startmalen til kommunen slår dem på. Vurderingen av tilgang fra tredjeland står i overføringsvurderingen | Overføringsvurdering |
| Brukes modeller av kinesisk opphav? | Ja. Åpne modeller fra kinesiske utviklere (Kimi, GLM, MiniMax, DeepSeek og Qwen) kjøres av GreenPT og Mistral AI i EU. Ingen forespørsel går til tjenester som drives av kinesiske selskaper. Opphavet vises i modellvalget. Kommunen kan slå av alle modeller av kinesisk opphav, og en overordnet enhet kan låse valget | ROS |
| Trenes modeller på våre data? | Nei. Databehandleravtalen forbyr det, og det samme kravet stilles til hver modellleverandør. Dette er et avtalekrav som kommunen kontrollerer i avtalene. Det kan ikke kontrolleres i Målfrid | Databehandleravtale punkt 3.4, underdatabehandlere |
| Kan en ny underdatabehandler tas i bruk uten at vi vet det? | Nei. En ny eller utskiftet underdatabehandler krever kommunens skriftlige forhåndsgodkjenning, og kommunen varsles minst 30 dager før endringen | Databehandleravtale, punkt 5.3 |
| Hvilke data sendes til modellene? | Meldingen og de kildeutdragene som trengs for svaret. Før en melding sendes, sjekker Målfrid at modellen er tillatt for dataklassen etter kommunens innstillinger. En forespørsel som bryter reglene, avvises og logges | DPIA |
| Hva skjer hvis en leverandør faller ut? | Målfrid kan bare bytte til en annen modell som kommunen har tillatt for samme dataklasse. Finnes det ingen, får brukeren en feilmelding | ROS, R13 |
3. Dataklasser
| Spørsmål | Svar | Dokumentasjon |
|---|---|---|
| Kan vi skille mellom ulike typer data? | Ja. Kommunen definerer selv dataklassene. En ny kommune får en startmal, som kommunen kan endre, med fire klasser (Åpen, Intern, Konfidensiell og Personopplysninger), eller en mal med én klasse, og kan endre, gi nye navn, slå sammen, slette og legge til klasser. Brukeren velger klasse før første melding (velgeren vises ikke når det bare finnes én klasse). Klassen avgjør hvilke modeller som kan brukes, hvor lenge innholdet beholdes, om det er søkbart og hvor sterk innlogging som kreves. I en samtale kan klassen bare heves. En kommune som endrer startmalen, vurderer selv sitt oppsett | DPIA |
| Hva skjer hvis noen limer inn et fødselsnummer? | Kommunen bestemmer per klasse om meldingen tillates, gir en advarsel, avvises eller flytter samtalen til en høyere klasse. I startmalen avvises meldingen i den laveste klassen, de to klassene i midten gir en advarsel, og klassen for personopplysninger tillater den. Avvisningen logges | DPIA |
| Kan et IKT-samarbeid sette felles regler? | Ja. En overordnet enhet kan låse innstillinger, for eksempel hvilke leverandører som kan behandle personopplysninger. Administratorer i samarbeidet kan gi seg selv rollen arkivadministrator eller revisor i en medlemskommune, for eksempel for brukerstøtte. Tildelingen logges i kommunens revisjonslogg | DPIA |
4. Innlogging og tilgang
| Spørsmål | Svar | Dokumentasjon |
|---|---|---|
| Hvordan logger ansatte inn? | Med kommunens Microsoft Entra ID eller Feide. Tofaktorautentisering kreves som standard, også for lokale brukere i innloggingstjenesten (passord og engangskode). Kommunen kan velge det bort for hele kommunen, og valget logges. En dataklasse kan kreve mer, for eksempel sikkerhetsnøkkel eller Windows Hello | Databehandleravtale, bilag 4 |
| Kreves sterkere innlogging for sensitive data? | Kommunen bestemmer det per dataklasse. I startmalen kreves sikkerhetsnøkkel eller Windows Hello for klassene for taushetsbelagt innhold og personopplysninger, og i klassen for personopplysninger må brukeren logge inn på nytt etter 8 timer | Databehandleravtale, bilag 4 |
| Hvor avgjøres tilgang? | På tjenersiden, aldri i nettleseren. Roller gjelder nedover i organisasjonen, og en overordnet enhet kan låse en innstilling | Databehandleravtale, bilag 4 |
| Kan en kommune lese en annen kommunes data? | Nei. Hver kommunes data er skilt fra de andre kommunenes data i databasen. Skillet testes automatisk ved hver endring av koden | ROS |
| Hvem hos Schoolhub kan se kundedata? | Bare ansatte med et konkret oppdrag, for en begrenset tid, med logging og taushetserklæring. Produksjonsdata brukes ikke i utvikling | Databehandleravtale, punkt 4.1 og 6.1 |
5. Kryptering
| Spørsmål | Svar | Dokumentasjon |
|---|---|---|
| Er trafikken kryptert? | Ja, all trafikk er kryptert | Databehandleravtale, bilag 4 |
| Er lagrede data kryptert? | Ja. Databasen og fillagringen er kryptert hos Scaleway | Databehandleravtale, bilag 4 |
| Er innholdet kryptert med en nøkkel som er egen for kommunen? | Ja. Alt innhold krypteres før det lagres, uansett dataklasse, med en nøkkel som er egen for kommunen. Kommunens nøkler er pakket med en nøkkelkrypteringsnøkkel i Scaleway sin hemmelighetsforvaltning, ikke i koden. Konfigurasjon (navn og beskrivelser), metadata og tekstvektorer er ikke kryptert. For klasser kommunen gjør søkbare, lagres kontrollsummer av ordene; de viser like ord og antall ord per rad, men ikke ordene | Databehandleravtale, bilag 4 |
6. Logging og innsyn
| Spørsmål | Svar | Dokumentasjon |
|---|---|---|
| Logges bruken? | Ja. Hver melding, hvert svar, hver administratorhandling og hver avvist forespørsel. Loggen viser hvem, når, dataklasse, modell, leverandør og region, og inneholder ikke selve samtalen | DPIA |
| Kan loggen endres i ettertid? | Tjenesten kan bare legge til nye oppføringer, ikke endre eller slette dem. Hvert døgn lages en kontrollsum per kommune som bygger på kontrollsummen fra døgnet før, slik at en endring i ettertid kan oppdages | DPIA |
| Hvor lenge oppbevares loggen? | 5 år. Avviste forespørsler oppbevares i 365 dager som standard | Sletting og lagringstid |
| Kan vi hente ut loggen? | Ja. Revisor og administrator for enheten eksporterer loggen som JSONL eller CSV. Selve eksporten logges | DPIA |
| Kan vi svare på et innsynskrav etter offentleglova? | Ja. Målfrid søker i samtaler på tvers av brukerne i egen kommune, foreslår skjerming med lovhjemmel og lager en utleveringspakke med kontrollsum. Et menneske godkjenner skjermingen | Registrertes rettigheter |
7. Sletting, sikkerhetskopi og avvikling
| Spørsmål | Svar | Dokumentasjon |
|---|---|---|
| Hvor lenge lagres samtaler? | Kommunen setter fristen per dataklasse. Startmalen har 730, 365, 90 og 30 dager, fra den minst strenge til den strengeste klassen. Journalførte samtaler beholdes til arkivet har bekreftet mottak | Sletting og lagringstid |
| Hvordan skjer slettingen? | Automatisk, en gang i døgnet, etter reglene for dataklassen. Hver kjøring logges | Sletting og lagringstid |
| Hvilke sikkerhetskopier finnes? | Daglig kopi av databasen og en ukentlig kryptert kopi av databasen og filene. Alle sikkerhetskopier beholdes i 30 dager. Den ukentlige kopien kan ikke slettes før fristen. Kopiene lagres i Amsterdam | Databehandleravtale, bilag 5 |
| Hva er målet for gjenoppretting? | 4 timer ved feil i en sone og 8 timer ved feil i en region | Databehandleravtale, bilag 4 |
| Hva skjer ved avtalens slutt? | Vi leverer alle data i åpent format innen 30 dager: én pakke med alle tabeller som JSON-linjer, originalfilene, revisjonsloggen og en oversikt med kontrollsum. Samtaler og dokumenter kan i tillegg eksporteres som PDF eller Noark 5-pakke før opphør. Etter at kommunen har bekreftet mottak, slettes alt. Sikkerhetskopiene slettes når fristen deres går ut, og alt er borte senest 30 dager etter slettingen | Databehandleravtale, punkt 14 |
8. Hendelser og sårbarheter
| Spørsmål | Svar | Dokumentasjon |
|---|---|---|
| Hvor raskt varsler dere om brudd? | Uten ugrunnet opphold og senest 24 timer etter at vi oppdaget eller fikk mistanke om bruddet. Kommunen kan da vurdere meldeplikten til Datatilsynet innen 72 timer | Avvikshåndtering |
| Hvordan holdes programvaren oppdatert? | Vi får automatiske varsler om sårbare avhengigheter, basebildene oppdateres hver måned, og hver kodeendring skannes for sårbare avhengigheter og hemmeligheter | Informasjonssikkerhetspolicy |
| Hvordan endres koden? | Hver endring får kodegjennomgang og automatiske tester. Nye versjoner rulles ut uten nedetid | Databehandleravtale, bilag 4 |
| Skannes opplastede filer? | Ja, for skadevare. Smittede filer avvises og logges. Er skanneren nede, avvises opplastingen | Databehandleravtale, bilag 4 |
9. KI-forordningen og personvern
| Spørsmål | Svar | Dokumentasjon |
|---|---|---|
| Hva er Målfrid etter KI-forordningen? | Et KI-system med begrenset risiko. Schoolhub er leverandør, og kommunen er idriftsetter. En assistent som brukes til å rangere søkere eller avgjøre rett til ytelser, kan bli høyrisiko. Slik bruk er utenfor tjenestens bruksområde | KI-forordningen |
| Tar Målfrid avgjørelser? | Nei. Svar er forslag med kilder som et menneske vurderer. Målfrid fatter ikke vedtak | KI-forordningen |
| Merkes KI-generert innhold? | Ja, i grensesnittet og i eksport | KI-forordningen |
| Hvem eier DPIA-en? | Kommunen. Vi leverer et ferdig underlag og en ROS-analyse som kommunen kopierer og fyller ut sammen med personvernombudet | DPIA |
| Hvilke rettigheter for de registrerte støtter dere? | Innsyn, retting, sletting, begrensning, dataportabilitet og protest. Henvendelser som kommer til oss, sender vi videre til kommunen senest innen 2 virkedager | Registrertes rettigheter |
10. Tilgjengelighet
| Spørsmål | Svar | Dokumentasjon |
|---|---|---|
| Følger løsningen WCAG 2.1 nivå AA? | Løsningen er bygd for nivå AA og testes automatisk. Tilgjengelighetserklæringen beskriver hva som er testet, og hva som gjenstår | Tilgjengelighetserklæring |