Sist oppdatert: 5. september 2026 · Versjon 1.3
Denne protokollen beskriver DMZ DATA AS (organisasjonsnummer 983 904 068, Farmannvegen 20A, 3925 Porsgrunn, Norge) sin behandling av personopplysninger i Vevet, jf. GDPR art. 30. Del 1 gjelder når DMZ DATA AS er behandlingsansvarlig. Del 2 gjelder når vi behandler personopplysninger på vegne av kunden.
Del 1 — der DMZ DATA AS er behandlingsansvarlig
Kontoadministrasjon for kunder
Opprette og administrere brukerkontoer, roller og tilganger, og levere tjenesten til den som har bestilt den.
- Kategorier
- Navn, e-postadresse, rolle, organisasjons- og avdelingstilhørighet, tidspunkt for siste innlogging.
- Registrerte
- Ansatte og andre brukere hos kunden, og våre egne administratorer.
- Rettsgrunnlag
- GDPR art. 6.1.b (avtale).
- Lagringstid
- Til kunden sletter kontoen. Etter avtaleopphør inntil 90 dager, for avslutning og dokumentasjon
- Mottakere
- Supabase (database og innlogging), Lovable Cloud (hosting og serverkjøring).
Sikkerhets- og misbrukslogg
Aktivitetslogg over viktige handlinger, og logg over stoppede forsøk i KI-hjelpen, for å oppdage og hindre misbruk og for å kunne feilsøke.
- Kategorier
- Bruker-ID, organisasjon, handling, tidspunkt. For KI-hendelser i tillegg kategori, alvorlighet og et kort tekstutdrag.
- Registrerte
- Innloggede brukere hos kunden.
- Rettsgrunnlag
- GDPR art. 6.1.f (berettiget interesse) og art. 6.1.c (sikkerhetsplikt).
- Lagringstid
- Aktivitetslogg: 180 dager. KI-hendelseslogg: 12 måneder.
- Mottakere
- Supabase Inc. brukes som databaseleverandør for denne behandlingsaktiviteten. Den fullstendige leverandørlisten står under Underdatabehandlere.
Transaksjonell e-post
Sende invitasjoner, bekreftelser, tilbakestilling av passord og varsler om skjermer som er nede.
- Kategorier
- Navn, e-postadresse, emnefelt, leveringsstatus og tidspunkt. Aldri innholdet i e-posten.
- Registrerte
- Mottakere av e-post fra tjenesten.
- Rettsgrunnlag
- GDPR art. 6.1.b (avtale) og art. 6.1.f (driftsvarsler).
- Lagringstid
- 90 dager
- Mottakere
- Lettermint B.V. (utsending), Supabase (e-postlogg).
Abonnement og prøveperiode
Holde orden på hvilken plan og betalingsperiode organisasjonen har valgt, når prøveperioden startet og slutter, og om skjermvisningen skal være aktiv.
- Kategorier
- Valgt plan og betalingsperiode, abonnementsstatus, datoer for prøveperiode, utsettelse og inneværende periode, og hvem hos kunden som gjorde endringen.
- Registrerte
- Administratorer hos kunden.
- Rettsgrunnlag
- GDPR art. 6.1.b (avtale).
- Lagringstid
- Så lenge kundeforholdet varer, og deretter inntil 90 dager. Beløp som inngår i regnskapet følger regnskapsfristen
- Mottakere
- Supabase (database), Lovable Cloud (hosting og serverkjøring).
Betaling og betalingshendelser
Starte betaling hos betalingsløsningen, ta imot tilbakemelding om betalingsstatus, og kunne dokumentere hva som skjedde med abonnementet.
- Kategorier
- Leverandørnavn, kunde- og abonnements-ID hos leverandøren, betalingsstatus, hendelsestype og hendelses-ID, tidspunkt og en hash av nyttelasten. Kortopplysninger tastes inn hos betalingsløsningen og lagres aldri i Vevet.
- Registrerte
- Kontaktpersoner og betalere hos kunden.
- Rettsgrunnlag
- GDPR art. 6.1.b (avtale) og art. 6.1.f (dokumentere og feilsøke betalinger). Interesseavveiingen for 6.1.f er et åpent kontrollpunkt.
- Lagringstid
- 24 måneder, som dokumentasjon på hva som skjedde med abonnementet
- Mottakere
- Paddle.com Market Limited og Vipps MobilePay AS som selvstendig behandlingsansvarlige betalingsmottakere, når og hvis betalingsmåten er aktivert. Supabase (database).
Rabattkoder og kreditt
Registrere at en rabattkode er løst inn, og føre kredittsaldo som trekkes fra før ordinær betaling.
- Kategorier
- Organisasjon, kode, beløp eller antall dager, begrunnelse, hvem som tildelte eller løste inn, og tidspunkt.
- Registrerte
- Administratorer hos kunden og vårt eget plattformteam.
- Rettsgrunnlag
- GDPR art. 6.1.b (avtale) og art. 6.1.c (bokføringsplikt).
- Lagringstid
- Så lenge kundeforholdet varer. Rader som har påvirket en faktura følger regnskapsfristen
- Mottakere
- Supabase (database). Kreditt- og rabattrader deles ikke med betalingsløsningene.
Fakturering og regnskap
Fakturere kunden, også ved manuell faktura, og oppfylle bokførings- og regnskapsplikt.
- Kategorier
- Kontaktperson, fakturaadresse, organisasjonsnummer, juridisk navn, faktura-e-post, eventuell PO-referanse, beløp og kjøpshistorikk.
- Registrerte
- Kontaktpersoner hos kunden.
- Rettsgrunnlag
- GDPR art. 6.1.b (avtale) og art. 6.1.c (bokføringsloven).
- Lagringstid
- 5 år etter regnskapsårets slutt, jf. bokføringsloven § 13 Regnskapsmateriale: 5 år etter regnskapsårets slutt, jf. bokføringsloven § 13.
- Mottakere
- Tripletex AS som regnskapssystem for DMZ DATA AS, og ekstern regnskapsfører som navngis på forespørsel. Fakturagrunnlaget sendes som e-post til kontoret via Lettermint B.V.
Del 2 — der DMZ DATA AS er databehandler for kunden
For disse behandlingene er organisasjonen behandlingsansvarlig, og vi behandler kun etter dokumentert instruks i databehandleravtalen.
Publisering av innhold på skjerm
Lagre, planlegge og vise innhold og kanaler på kundens skjermer, slik kunden har bestemt.
- Kategorier
- Alt kunden legger inn: tekst, bilder og video, navn i for eksempel bursdags- og ansattlister, og bilder av identifiserbare personer kunden velger å publisere.
- Registrerte
- Personer kunden velger å publisere — typisk ansatte, elever, besøkende eller gjester.
- Rettsgrunnlag
- Kundens eget grunnlag. Vevet behandler kun etter dokumentert instruks, jf. art. 28 og 29.
- Lagringstid
- Til kunden sletter det. Ved avtaleopphør slettes eller returneres det innen 30 dager
- Mottakere
- Supabase (database og filhosting), Lovable Cloud (hosting og serverkjøring).
Filer i Mine filer
Lagre og gjenbruke bilder, video og PDF som kunden laster opp.
- Kategorier
- Bilder og dokumenter som kan inneholde personopplysninger kunden har lagt inn.
- Registrerte
- Personer avbildet eller omtalt i kundens filer.
- Rettsgrunnlag
- Kundens eget grunnlag; vi behandler etter instruks.
- Lagringstid
- Til kunden sletter det. Ved avtaleopphør slettes eller returneres det innen 30 dager
- Mottakere
- Supabase (filhosting i EU).
KI-hjelp til tekst og oppsummering
Forbedre, korrekturlese og forkorte tekst, foreslå farger og temaer, og lage bildebeskrivelser. Alle kall skjer fra vår server.
- Kategorier
- Teksten brukeren sender inn, og korte utdrag av innhold som gir kontekst. Aldri bilder, aldri kamerabilder.
- Registrerte
- Personer som eventuelt er omtalt i teksten brukeren sender inn.
- Rettsgrunnlag
- Kundens eget grunnlag. Funksjonen kan slås av per organisasjon. Ingen automatiserte avgjørelser etter art. 22.
- Lagringstid
- Ikke lagret hos oss utover selve innholdet. Stoppede forsøk: 12 måneder.
- Mottakere
- Mistral AI SAS (EU-endepunktet api.eu.mistral.ai, EU/EFTA-region). Ved ordinær API-bruk brukes data ikke til å trene modeller. Oppbevaringstid hos leverandøren styres av kontoens personverninnstillinger og avtale; vi oppgir ingen fast periode.
Bildesøk via Pixabay
La brukeren søke etter frie bilder og kopiere valgte bilder inn i Mine filer.
- Kategorier
- Søkeord og IP-adressen til vår server. Ikke knyttet til brukerkontoen.
- Registrerte
- Ingen registrerte identifiseres — søket kobles ikke til person.
- Rettsgrunnlag
- Kundens eget grunnlag; funksjonen brukes bare når brukeren selv åpner den.
- Lagringstid
- Søkeresultater mellomlagres i 24 timer. Importerte filer: Til kunden sletter det. Ved avtaleopphør slettes eller returneres det innen 30 dager.
- Mottakere
- Pixabay GmbH (Tyskland).
Drift av visningsklienten på skjermene
Koble til skjermer med parringskode, levere riktig kanal til riktig skjerm, og varsle når en skjerm slutter å svare.
- Kategorier
- Skjerm-token, enhetsnøkkel og pulsdata om at skjermen lever. Ingen personopplysninger i selve tokenet.
- Registrerte
- Ingen — knyttet til utstyr, ikke til person.
- Rettsgrunnlag
- Kundens eget grunnlag; nødvendig for å levere visningen.
- Lagringstid
- Gyldig til skjermen kobles fra
- Mottakere
- Supabase (database), Lovable Cloud (hosting og serverkjøring).
Overføringer ut av EØS
Primær lagring og appregion er satt til EU/Europa. Database, filer, e-post og KI-hjelp ligger hos leverandører i EU/EØS, og hostingplattformens datalagringsregion er satt til Europe. Vi lover ikke en bestemt by, og vi utelukker ikke at en leverandør kan ha tilgang fra USA — typisk support, kontrollplan- og bruksmetadata og tekniske driftslogger. Der det skjer, skjer det på EUs standard personvernbestemmelser (SCC). Gjeldende DPA/SCC og, der det kreves, en overføringsvurdering må dokumenteres før produksjon; ingen slik vurdering er utført ennå. Leverandør for leverandør står dette i underdatabehandlerlisten.
Rettigheter etter art. 15–22
Aktivitetsloggen, e-postloggen og KI-hendelsesloggen slettes automatisk av en planlagt jobb i databasen, vevet_sletterutine, som kjører hver natt klokken 02:15 UTC. Sletting av brukerkontoer og kundeinnhold ved avtaleopphør, og kontroll av at sikkerhetskopier er overskrevet, er en dokumentert manuell rutine som utføres av oss — ikke en automatisk jobb. Kunden kan be om skriftlig bekreftelse på at slettingen er gjennomført.
Registrerte har rett til innsyn, retting, sletting, begrensning, dataportabilitet og til å protestere mot behandling basert på berettiget interesse.
- Er du avbildet eller omtalt på en skjerm, eller ansatt/elev/besøkende hos en av våre kunder, henvender du deg til organisasjonen som eier skjermen. De er behandlingsansvarlig for innholdet. Vi bistår kunden med å svare, jf. art. 28(3)(e).
- Gjelder det din egen brukerkonto i Vevet, henvender du deg til oss på kontor@dmz.no. Mye kan du også gjøre selv under Min side.
Fullstendig protokoll utleveres til tilsynsmyndigheter på forespørsel, jf. art. 30 nr. 4, og til kunder med signert databehandleravtale.