Versjon 1.1, 5. november 2026.
Registeret viser underdatabehandlerne Schoolhub AS bruker for Målfrid. Databehandleravtalen (bilag 1), behandlingsprotokollen, DPIA, ROS og TIA viser hit. Kommunen får skriftlig varsel minst 30 dager før en ny eller endret underdatabehandler tas i bruk (databehandleravtalen punkt 5.3).
1. Plattform og infrastruktur (alltid i bruk)
| ID | Underdatabehandler | Tjeneste | Opplysninger | Lokasjon | Overføringsgrunnlag |
|---|---|---|---|---|---|
| U1 | Scaleway SAS (Frankrike), en del av Iliad-konsernet. Ikke amerikansk morselskap | Hosting: applikasjonsplattform (Kubernetes), administrert PostgreSQL med reserve i en annen tilgjengelighetssone, Redis, fillagring, nøkkel- og hemmelighetsforvaltning, lastbalansering, private nettverk, tilgangsstyring, plattformlogger og utsending av e-post fra tjenesten | Alle dataklasser (kryptert i hvile, og alt innhold i tillegg kryptert med en nøkkel som er egen for hver kommune), revisjonslogg, brukerdata | Primær: Paris (tre tilgjengelighetssoner). Sikkerhetskopier: Amsterdam. E-postutsending: Paris. All behandling i EØS (Frankrike og Nederland) | Ingen overføring til tredjeland. Hosting krever ingen overføringsvurdering, se TIA |
Scaleway leverer bare hosting og er ikke modellleverandør i Målfrid. GreenPT (U2) bruker også Scaleway som underleverandør. Det følger av GreenPTs avtale, ikke av vår.
Microsoft er ikke plattformleverandør. Microsoft er underdatabehandler (U3 og U3b) bare for kommuner som slår på Azure OpenAI eller opplesing.
Disse delene kjører på U1 og er ikke egne underdatabehandlere: innloggingstjenesten, overvåking uten innhold (bruker-ID lagres som kontrollsum, og autorisasjon, informasjonskapsler og databasespørringer fjernes), bakgrunnsjobber, mellomlager, skanning for skadevare og sandkassen som lager Word- og PowerPoint-filer. Skanning for skadevare og tekstgjenkjenning med Tesseract kjører i plattformen, uten ekstern leverandør.
2. Modellleverandører og nettsøk (bare de kommunen har slått på)
Målfrid bruker tre leverandører av språkmodeller: GreenPT, Mistral AI og Microsoft Azure OpenAI (bare hvis kommunen slår det på). GreenPT leverer også nettsøk, tekstvektorer og henting av nettsider, og Mistral AI leverer tale til tekst. Kommunen bestemmer hvilke dataklasser hver leverandør og hver modell kan brukes til. Valget gjøres i administrasjonen for organisasjonen (innstillingene provider_data_classes og model_data_classes, for tale nøkkelen mistral/speech). Det arves nedover og kan låses av en overordnet enhet, for eksempel et IKT-samarbeid. Klassene er kommunens egne. En ny kommune får en startmal med fire klasser og et valg av leverandører per klasse. Tabellen viser startmalen. Den er vår anbefaling og ikke et tak. En leverandør eller modell som kommunen ikke har valgt for en klasse, kan ikke brukes for den. Hvilke talefunksjoner (opplasting, levende referat, diktering, sakskontekst) som er på for hver dataklasse, velger kommunen i oppsettet av klassen (egenskapen features). Administrasjonssiden viser leverandørens navn og behandlingssted ved siden av valget, og alle endringer logges.
| ID | Underdatabehandler | Tjeneste og modeller | Lokasjon | Startmalen for dataklasser (kommunen bestemmer) | Overføringsgrunnlag |
|---|---|---|---|---|---|
| U2 | GreenPT BV, Plompetorengracht 4, 3512 CC Utrecht, Nederland (KvK 97084360) | Åpne språkmodeller: Kimi K3, GLM 5.3, MiniMax M3, DeepSeek V4.1 Flash og GLM 5.3 Flash (kinesisk opphav, kjørt av GreenPT i EU), tekstvektormodellen Qwen3 Embedding 8B, og nettsøk og henting av nettsider når kommunen har slått det på. Leverandøren oppgir at API-innhold behandles i minnet og ikke lagres varig | EU-endepunktet api.greenpt.ai: Scaleway SAS i Paris, og Inceptron, Tensorix og Melious i Finland. Daglige krypterte sikkerhetskopier i Frankrike | Alle klasser. Nettsøk bare i klassene uten taushetsbelagt innhold og personopplysninger | EØS. GreenPTs egne underdatabehandlere: Scaleway SAS (Paris), Inceptron, Tensorix og Melious (Finland), Mollie B.V. (betaling), Moneybird (fakturering) og Cirrux (e-post). GreenPTs endepunkt i USA brukes ikke |
| U3 | Microsoft Ireland Operations Ltd. (Azure OpenAI, EU Data Zone). Amerikansk morselskap | Språkmodellene GPT-6.1 Sol, GPT-5.6 Terra, GPT-5.4 mini og GPT-5 nano, og bildemodellen GPT Image 1.5 (bilder merkes som KI-generert) | Ressurs i Sverige (Sweden Central), distribusjon «Data Zone EU»: forespørsler behandles i EU-land, lagring i hvile i valgt geografi | Av i startmalen. Kommunen slår det på og velger dataklassene, hvis ingen overordnet enhet har låst valget | EØS-behandling i Data Zone EU. Amerikansk myndighetstilgang og EU-US Data Privacy Framework: TIA 2 |
| U3b | Microsoft Ireland Operations Ltd. (Azure AI Speech, opplesing av tekst). Amerikansk morselskap | Opplesing med norske nevrale stemmer (bokmål; nynorsk leses med bokmålsstemme). Eneste leverandør av opplesing | Bare regioner i EU/EØS godtas | Av i startmalen. Kommunen slår opplesing på og velger dataklassene. Om opplest lyd kan mellomlagres, er en egenskap ved klassen (i startmalen bare klassene uten taushetsbelagt innhold og personopplysninger) | Som U3, TIA 2 |
| U4 | Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankrike | Språkmodeller (Mistral Large 4, Mistral Medium 3.5, Mistral Small 4, og GLM 5.3 kjørt av Mistral på EU-endepunktet), tale til tekst (Voxtral: transkribering av opplastet lyd, levende referat og diktering, med ordliste for navn og fagord) og tekstgjenkjenning i skannede dokumenter (Mistral OCR, valgfritt). Lyd fra levende referat og diktering lagres ikke hos oss | Frankrike (Mistral AI, Paris). Mistral oppgir EU-endepunkt som standard for Voxtral | Alle klasser, også for tale til tekst (mistral/speech). Kommunen kan velge færre, og velger i tillegg per dataklasse hvilke talefunksjoner som er på. Tale i klasser med taushetsbelagt innhold eller personopplysninger bør kommunen ha vurdert i sin DPIA | Databehandlertillegget bruker standard personvernbestemmelser (SCC) og land med tilstrekkelig vern. Underdatabehandlere: trust.mistral.ai/subprocessors. Se TIA 6 |
Tekstvektorer og kunnskapsbaser: tekstvektorer lages av Qwen3 Embedding 8B hos GreenPT (U2, EU). Kunnskapsbaser i klasser med taushetsbelagt innhold eller personopplysninger kan derfor bygges uten Microsoft. Vektorene lagres ukryptert, slik at søket kan gå i databasen; teksten de er laget av, er kryptert.
Modeller av kinesisk opphav: åpne modeller laget av kinesiske selskaper (Kimi, GLM, MiniMax, DeepSeek, Qwen) kjøres bare av GreenPT og Mistral AI i EU. Ingen forespørsel går til kinesisk drevne tjenester (DeepSeek, Moonshot, Alibaba Cloud, Zhipu, MiniMax eller Xiaomi sine egne API-er). Kommunen kan slå modellene av med innstillingen allow_chinese_origin_models, og en overordnet enhet kan låse den.
Mistral AI (U4): Mistrals databehandlertillegg sier at data ikke er tilgjengelige 30 dager etter avtalens slutt og deretter slettes eller returneres, og det tillater én revisjon på stedet i året. For tekstgjenkjenning oppgir dokumentasjonen over 40 språk, og norsk står i listen. Norsk er ikke blant språkene Mistrals dokumentasjon nevner for transkribering av opplastet lyd, og bokmål og nynorsk er ikke nevnt særskilt. Kommunen bør derfor slå på talefunksjonene først etter egen test på bokmål og nynorsk. Ordlisten for navn og fagord virker best på engelsk. Opplastede opptak får talerskille. I levende referat setter referenten navn på talerne selv.
Tale: all tale til tekst går til Mistral AI (U4). Målfrid kjører ingen egne talemodeller. Opplastet lyd lagres hos oss (U1, kryptert med kommunens nøkkel) og slettes etter fristen for dataklassen til transkripsjonen. Lyd fra levende referat og diktering strømmes til Mistral og lagres ikke hos oss. Opplesing (tekst til tale) leveres bare av Azure AI Speech (U3b).
Dokumenttekst: skannede PDF-er leses som standard med Tesseract i plattformen (ingen ekstern mottaker). Mistral OCR (U4) brukes bare hvis enheten har valgt det i innstillingen ocr_providers og tillater Mistral for dokumentets dataklasse. Ved feil brukes Tesseract.
3. Krav til alle modellleverandører før de slås på
- Skriftlig bekreftelse på behandling i EU/EØS for den aktuelle tjenesten og modellen.
- Databehandleravtale (art. 28(3) og (4)) som pålegger de samme forpliktelsene som vår databehandleravtale.
- Forbud mot trening og annen sekundær bruk. Ingen eller kortest mulig lagring av spørsmål og svar (ingen lagring der leverandøren tilbyr det). Skriftlig opplysning om eventuell misbruksovervåking.
- Liste over leverandørens egne underleverandører, med varsel ved endring.
- Varsel om brudd uten ugrunnet opphold, slik at vi kan varsle kommunen innen 24 timer (se avvikshåndtering).
- Dokumentasjon om modellen og treningsdata fra leverandøren av språkmodellen (KI-forordningen art. 53 og 55, se KI-forordningen).
- Leverandør og region logges per kall, og det kan settes en kostnadsgrense per enhet.
4. Valgfrie tjenester (av som standard)
Nettsøk er av som standard. Når kommunen slår det på, kan det bare brukes i dataklasser der kommunen har tillatt nettsøk (i startmalen klassene uten taushetsbelagt innhold og personopplysninger). Søkespørringen kontrolleres for personopplysninger før den sendes, og bare spørringen sendes, aldri samtalen. Henting av lenker (nettsider brukeren limer inn) er en egen innstilling, også av som standard, med de samme reglene for dataklasser. Nettsøk og henting av nettsider leveres av GreenPT (U2).
En ny leverandør av nettsøk tas bare i bruk når databehandleravtale er på plass og behandling i EU/EØS er bekreftet. Den føres inn i dette registeret med varsel etter databehandleravtalen punkt 5.3. Nettsøk fra leverandører utenfor EU/EØS brukes ikke.
5. Mottakere som ikke er Schoolhubs underdatabehandlere
| Mottaker | Rolle | Merknad |
|---|---|---|
| Kommunens Microsoft Entra ID og Microsoft Graph (gruppesynkronisering, SharePoint, Teams, e-post) | Kommunens egen leverandør. Kommunen er behandlingsansvarlig, og Microsoft er kommunens databehandler | Målfrid leser gruppemedlemskap (id, e-post, visningsnavn), og innhold fra tilkoblinger kommunen har slått på, med brukerens egne tilganger. Avtalen mellom kommunen og Microsoft er kommunens ansvar |
| Sikt (Feide) | Identitetsleverandør for skole, i egen rolle etter Feide-avtalen | Kommunen eller skoleeieren har avtalen |
| KS Fiks Arkiv og kommunens arkivsystem | Kommunens arkivløsning | Journalføring forutsetter avtale mellom kommunen og arkivleverandøren |
| Lovdata (åpne data) | Offentlig kilde | Ingen personopplysninger sendes ut |
6. Endringer i registeret
- Schoolhub oppdaterer registeret og varsler kommunene skriftlig minst 30 dager før en ny eller endret underdatabehandler tas i bruk (databehandleravtalen punkt 5.3).
- Kommunen kan protestere med saklig grunn innen 30 dager. Ved uløst innsigelse kan kommunen si opp den berørte delen, og Schoolhub slår av leverandøren for kommunens enheter.
- En ny leverandør krever oppføring i ROS, overføringsvurdering (TIA) ved tilknytning til tredjeland, databehandleravtale og at kravene i punkt 3 er oppfylt.
Leverandøropplysningene er hentet fra leverandørenes egne sider 4. november 2026.
Kilder
- Forordning (EU) 2016/679 (GDPR) art. 28(2) og (4), kap. V: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Datatilsynet, veiledning om databehandler: https://www.datatilsynet.no