Versjon 1.1, 5. november 2026.
Dokumentet beskriver hvor lenge Målfrid beholder hva, hvordan fristene arves og låses, og hva som skjer ved sletting og når avtalen opphører. Tallene er Målfrids startmal og er de samme som i databehandleravtalen bilag 5, DPIA og malen for personvernerklæring til ansatte. Kommunen setter egne frister for sine dataklasser.
1. Oppbevaring per dataklasse
Fristene gjelder samtaler, utkast, transkripsjoner og vedlegg. Kommunen definerer selv dataklassene, og for hver klasse fristen (retention_days) og handlingen ved utløp (retention_action, sletting eller anonymisering). Tabellen viser startmalen, som kommunen kan endre. Enheter under kommunen kan overstyre fristen per klasse, innenfor låsene (kapittel 2).
| Dataklasse (startmalen) | Standard (dager) | Handling | Merknad |
|---|---|---|---|
| Åpen | 730 (24 måneder) | Sletting | Kommunen kan velge anonymisering i stedet for sletting |
| Intern | 365 (12 måneder) | Sletting | |
| Konfidensiell | 90 | Sletting | Journalført og ikke bekreftet av arkivet: slettes ikke |
| Personopplysninger | 30 | Sletting | Journalført og ikke bekreftet av arkivet: slettes ikke |
- Beregning. Fristen settes når samtalen opprettes: tidspunktet for opprettelsen pluss antall dager for dataklassen. Flyttes samtalen til en klasse med kortere frist, gjelder den kortere fristen. Fristen forlenges aldri. Mangler en samtale frist, regnes den fra siste endring.
- Sletting. Samtalen fjernes med meldinger, vedlegg, lagrede filer, utkast og transkripsjoner.
- Anonymisering. Innholdet erstattes med en fast tekst. Koblingen til bruker og oppretter, tittelen og sitatene fjernes, og samtalen merkes som slettet.
- Arbeidsnotater og verktøyresultater. Modellens arbeidsnotater og resultater fra verktøy i en samtale slettes etter 30 dager som standard, selv om samtalen beholdes lenger. Kommunen kan endre fristen.
- Lengste frist. Kommunen kan sette inntil 3650 dager per dataklasse.
- Daglig kontroll. En automatisk jobb går hver natt gjennom alt som har passert fristen. Hver sletting eller anonymisering føres i revisjonsloggen med en oppsummering per kommune. Loggen inneholder identifikatorer og tall, aldri innhold.
- Filer. Lagrede filer slettes etter at databasen er oppdatert, slik at ingen filer forsvinner for samtaler som fortsatt finnes.
- Endret frist for en klasse. Lagrer kommunen en ny frist eller handling for en dataklasse, nullstilles den lagrede fristen på eksisterende samtaler og andre elementer i klassen. Den daglige jobben regner fristen ut på nytt etter reglene som gjelder (overstyringer og låser på enheter gjelder fortsatt). Den nye fristen gjelder dermed også det som allerede finnes i klassen.
- Endret frist for en enhet. Endrer kommunen en overstyring for en enhet, gjelder den nye fristen samtaler som opprettes etterpå. Skal eksisterende samtaler i enheten følge den nye fristen, gjør Schoolhub en engangsoppdatering på skriftlig instruks.
1.1 Frittstående elementer
Transkripsjoner som ikke hører til en samtale, slettes når fristen for dataklassen er passert, regnet fra siste endring. Lydfilen slettes sammen med transkripsjonen. Frittstående utkast slettes etter samme regel, unntatt utkast som er eksportert. De beholdes fordi de kan være journalført et annet sted.
Poster i verktøy (samlinger som byggeren har laget) følger de samme fristene. Den øverste posten, for eksempel en høringssak, slettes med alle underposter og filer når fristen for postens dataklasse er passert, regnet fra siste endring. Utkast til poster som byggeren lager under prøving (eksempelfiler og prøvekjøringer), slettes etter 14 dager uansett dataklasse. Filene i postene slettes sammen med postene.
2. Arv og låsing
Fristene gjelder fra toppen av organisasjonen og nedover. Utgangspunktet er fristen kommunen har satt for dataklassen. Deretter brukes oppbevaringsregler satt på enheter fra toppen og nedover, og den nærmeste regelen gjelder. En overordnet enhet, for eksempel et IKT-samarbeid eller en kommune, kan låse en regel. Da kan ingen enhet under endre den. Forsøk på å endre en låst regel avvises. Alle endringer logges. Administratoren for enheten ser konsekvensene av en endring før den lagres.
3. Journalførte samtaler og arkiv
En samtale som er journalført, men der arkivsystemet ikke har bekreftet mottak, slettes aldri av den daglige kontrollen, uansett regel. Bekreftelsen registreres når arkivsystemet har bekreftet mottaket. Arkivlova og kommunens arkivplan avgjør hva som skal journalføres og bevares. Målfrid sletter ikke før arkivet har bekreftet.
4. Brukerens egen sletting
Når en bruker sletter en samtale, skjules den straks for brukeren. Den fjernes fysisk når oppbevaringsfristen er ute, eller før det etter skriftlig instruks fra kommunen, se registrertes rettigheter.
5. Revisjonslogg
| Hva | Oppbevaring | Hvordan |
|---|---|---|
| Revisjonsloggen (gjennomførte handlinger) | 5 år (1826 dager) | Loggen slettes måned for måned, først når hele måneden er eldre enn fristen. Enkeltoppføringer slettes aldri |
| Avviste forespørsler | 365 dager som standard, kan settes per kommune | Samme ordning. En måned slettes først når den er eldre enn den lengste fristen som gjelder |
| Kontrollsummer for loggen (én per dag og kommune) | Beholdes | Gjør det mulig å kontrollere at gjenværende logg ikke er endret |
| Etterforskning | Relevante deler av loggen fryses | Slettingen stanses manuelt så lenge etterforskningen pågår |
Revisjonsloggen inneholder metadata, ikke innholdet i samtalene. Den kan derfor bli stående etter at innholdet er slettet.
6. Sikkerhetskopier
| Kopi | Oppbevaring | Ved sletting |
|---|---|---|
| Automatisk databasekopi hos Scaleway | Daglig, beholdes i 30 dager. Lagres i en annen region enn databasen | Slettede data kan finnes i kopiene i opptil 30 dager. Gjenopprettes en kopi, kjøres slettingen på nytt, slik at slettet innhold ikke kommer tilbake |
| Ukentlig kryptert kopi av databasen | Lagres i Amsterdam (nl-ams) med lås: kopien kan ikke slettes eller endres i 30 dager, og slettes automatisk når fristen er ute | Slettede data kan finnes i kopier laget før slettingen, i opptil 30 dager |
| Fillagring (opplastinger og eksport) | Overskrevne og slettede versjoner beholdes i 30 dager | Slettede filer er borte fra fillagringen etter 30 dager |
| Nattlig kopi av fillagringen | Lagres i Amsterdam (nl-ams) med lås i 30 dager, og slettes når fristen er ute | En slettet fil kan ligge i kopien i opptil 30 dager etter slettingen |
| Redis (mellomlager) | Flyktig | Ingen varig lagring |
Sikkerhetskopiene utløper av seg selv etter fristene over, så alt slettet innhold er borte fra alle kopier senest 30 dager etter sletting i de aktive systemene. Ingen kan slette en låst kopi før fristen er ute, heller ikke Schoolhub. Alt innhold i kopiene er i tillegg kryptert med nøkler som er egne for hver kommune. De pakkede nøklene ligger i kopiene, mens nøkkelkrypteringsnøkkelen som pakker dem, er lagret adskilt fra kopiene.
7. Bakgrunnsjobber
Systemet for bakgrunnsjobber lagrer ikke innhold i klartekst, bare identifikatorer. Tekst som strømmes underveis i en jobb, er kryptert med kommunens nøkkel. Fullførte jobber og oppføringene som hører til, slettes etter 7 dager.
8. Annet
| Data | Oppbevaring |
|---|---|
| Brukere og medlemskap | Så lenge medlemskapet finnes. Fjernes når avtalen opphører, og brukeren kan anonymiseres på instruks |
| Hendelser i påloggingstjenesten | 90 dager |
| Telemetri | Inneholder ikke innhold fra samtaler og ingen direkte personidentifikatorer |
| Henvendelser fra nettstedet | Lagres for å svare og følge opp henvendelsen, uten fast frist (personvernerklæring for nettstedet) |
| Spørsmål og svar hos modellleverandør | Følger leverandørens vilkår, se underdatabehandlere. GreenPT oppgir at innhold fra API-et ikke lagres varig. Microsoft Azure kan lagre utvalgte forespørsler for misbruksovervåking, med mindre unntak er godkjent. Hos Mistral AI er data utilgjengelige 30 dager etter at avtalen er slutt, og de slettes eller returneres da |
| Nettsøk | Revisjonsloggen lagrer kontrollsum og lengde på søket, aldri selve søket |
| Mellomlager for nettsøk | Ligger i minnet, har kort levetid og er adskilt per kommune |
| Søkeindeks (kontrollsummer av ord, for klasser kommunen har gjort søkbare) | Slettes sammen med innholdet, ved anonymisering og når en samtale flyttes til en klasse som ikke er søkbar. Slår kommunen av søkbarhet for en klasse, slettes indeksen for klassen |
9. Når avtalen opphører
- Kommunen varsler om opphør. Schoolhub planlegger avslutningen sammen med kommunen: hvilke enheter som er med, og hva som er journalført.
- Kommunens administrator bestiller en samlet eksport i Målfrid. Kommunen får den i åpent format innen 30 dager etter opphør: én pakke med alle tabeller som JSON-linjer, originalfilene, revisjonsloggen og en oversikt med kontrollsum for hver fil. Samtaler og dokumenter kan i tillegg eksporteres som PDF eller Noark 5-pakke før opphør. Se databehandleravtalen punkt 14.1.
- Kommunen bekrefter mottak skriftlig og bestiller avslutning i Målfrid. Schoolhub godkjenner bestillingen.
- For journalførte samtaler som arkivet ikke har bekreftet, bekrefter eller bestemmer kommunen hva som skal skje før sletting. Slettingen starter ikke så lenge slike samtaler finnes.
- Pålogging for kommunens enheter slås av, og tilgangene til kommunens Microsoft 365 trekkes tilbake.
- Schoolhub sletter alle aktive data 30 dager etter godkjenningen. Det gjelder databaser, filer, søkeindeks og kryptert innhold. Kommunens krypteringsnøkler slettes for seg før radene fjernes, når eksporten er lastet ned eller senest 14 dager etter at den var klar. Nøklene er aldri en del av eksporten.
- Sikkerhetskopiene utløper etter fristene i kapittel 6. Innholdet i dem kan ikke leses når nøklene er slettet og alle kopier som inneholder de pakkede nøklene, er utløpt. Gjenopprettes en sikkerhetskopi, gjennomføres fullførte avslutninger på nytt før miljøet tas i bruk.
- Kommunen får skriftlig sletteerklæring med antall slettede elementer og kontrollsum, se databehandleravtalen punkt 14.2.
- Revisjonsloggen eksporteres til kommunen. Schoolhub sletter sin kopi når fristen er ute, og ikke før kommunen har bekreftet eksporten.
10. Hvem avgjør hva
- Schoolhub eier startmalen. Kommunen definerer dataklassene og fristene sine, administratoren for enheten setter lokale verdier, og arkivansvarlig bestemmer hva som journalføres.
- Endres startmalen i dette dokumentet, oppdaterer vi samtidig databehandleravtalen bilag 5, DPIA og malen for ansatte.
Kilder
- GDPR art. 5(1)(e), 17 og 28(3)(g): https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Arkivlova (LOV-2025-06-20-96): https://lovdata.no/dokument/NL/lov/2025-06-20-96