For personvernombud og informasjonssikkerhet

Tilgangskontroll

Hver organisasjon er en egen tenant. Skillet mellom organisasjoner håndheves i databasen med Row-Level Security (RLS) i PostgreSQL, ikke bare i applikasjonskoden: alle tabeller med kundedata har RLS slått på og politikker som knytter hver rad til organisasjonen den tilhører. En spørring som forsøker å lese en annen organisasjons rader, får ingen treff — også om feilen skulle ligge i appen.

• Roller: superadmin (vårt eget team), organisasjonsadministrator, avdelingsansvarlig, bruker med tilgang per avdeling eller kanal, og en enkel ekstern rolle som bare kan legge inn innhold.
• Avdelingstilgang: redaktørrettigheter kan begrenses til bestemte avdelinger og kanaler.
• Aktivitetslogg: handlinger logges. Vanlige brukere har bare leserett til loggen — det er ikke gitt rettigheter til å endre eller slette rader i den. Loggen ryddes automatisk etter 180 dager.
• Skjermer: en skjerm viser ingenting før den er paret med en kort, tidsbegrenset kode og tildelt en kanal. Skjermer kan kobles fra igjen.

Sletterutiner

Jobben vevet_sletterutine kjører hver natt klokken 02:15 UTC i databasen, ikke i applikasjonen. Den virker derfor selv om ingen er innlogget og selv om nettsiden skulle være nede. Kunden kan be om dokumentasjon på gjennomført sletting.

Teknisk beskyttelse

• Transport: trafikk mellom nettleser eller skjerm og Vevet sine egne offentlige adresser bruker HTTPS/TLS. TLS-terminering leveres av hostingplattformen; HSTS er ikke verifisert i aktiv drift, se åpne kontrollpunkter. Kundekonfigurerte lokale kameraer kan lastes direkte over HTTP på kundens lokale nettverk; strømmen går ikke via Vevet. Kundestyrt tredjepartsinnhold følger leverandørens transport og personvernvilkår.
• Kryptering ved lagring: database og filer krypteres av leverandøren (Supabase, EU-region). Vi krypterer ikke i tillegg på feltnivå.
• Sikkerhetsheadere: sikkerhetsheadere på aktiv Lovable Cloud-hosting er ikke verifisert. Dette står som et åpent kontrollpunkt, se listen nederst. Content-Security-Policy er ennå ikke innført, og vi setter bevisst ikke X-Frame-Options eller frame-ancestors, fordi tjenesten skal kunne vises i ramme i godkjente sammenhenger.
• Sikkerhetskopi: databasebackup og retensjon følger den aktive planen hos databaseleverandøren, og verifiseres i driftsprotokollen. Leverandøren dokumenterer selv at frekvens og oppbevaringstid varierer med plan, og at objekter i fillageret ikke inngår i databasebackup. Vi oppgir derfor ingen fast frekvens, ingen maksimal slettetid og ingen avtalt RPO eller RTO. Dette er et åpent kontrollpunkt, se listen nederst.
• Cookie-flagg: enhetstokenet til en skjerm lagres i en cookie med httpOnly, sameSite=lax og secure på HTTPS. Innloggingsøkter håndteres av autentiseringsleverandøren.
• Hemmeligheter: API-nøkler og servernøkler ligger som miljøvariabler i plattformens hemmelighetslager, aldri i kildekoden og aldri i nettleseren. Nøkkelen til KI-leverandøren brukes kun av serverkoden.
• Indeksering: visningsmodus og innloggede sider er merket «noindex, nofollow», og robots.txt sperrer visningssiden.

Bruk av kunstig intelligens

• Leverandør og region: kun Mistral AI SAS, mot EU-endepunktet api.eu.mistral.ai, som etter leverandørens dokumentasjon kjører i EU/EFTA-region. Ingen andre KI-leverandører er koblet til.
• Alltid server-side: nettleseren kaller aldri KI-leverandøren direkte.
• Kan slås av: KI-hjelpen kan strupes med kvoter per organisasjon og per bruker, og settes kvoten til null, brukes den ikke. Uten API-nøkkel er funksjonene helt av. Det finnes ingen bakgrunnsbruk av KI: hjelpen kjører bare når en bruker selv trykker.
• Ingen modelltrening: ved ordinær API-bruk brukes data fra Vevet ikke til å trene modeller, og inferensen skjer på EU-endepunktet api.eu.mistral.ai i EU/EFTA-region. Oppbevaringstiden hos leverandøren styres av kontoens personverninnstillinger og avtale, ikke av en fast periode vi kan garantere. Null retensjon (ZDR) er en separat kontroll som må være aktivert og dokumentert før vi kan påberope den. EU-endepunktet styrer inferenssted, men ikke nødvendigvis all kontrollplan- og bruksmetadata.
• Moderering: tekst inn og ut går gjennom både enkle regler i koden og Mistral sitt modereringsendepunkt i EU. Bilder sendes aldri til KI, og kamerabilder aldri.
• Hva som logges: vi logger stoppede forsøk (tidspunkt, bruker, kategori) i 12 måneder, samt antall kall for kvoteformål. Vi lagrer ikke fulltekst av alt som sendes til KI som en egen historikk.

Innhold på skjerm og bilder av personer

Dette er den reelle personvernrisikoen ved digital skjermvisning: skjermen er en offentlig synlig flate i et fysisk rom. Alle i rommet ser innholdet, uansett hvilke tilganger de har, og de kan fotografere det. Tilgangsstyring i verktøyet løser ikke dette — innholdsvalg og plassering gjør det.

Det Vevet gir kunden av virkemidler:

• Tidsstyring per innhold: start, slutt, ukedager og klokkeslett.
• Tilgang per avdeling og kanal, slik at bare de rette kan publisere til en gitt skjerm.
• Egen ekstern rolle som kan levere innhold uten å styre skjermer.
• Bursdagsvisning som kan begrenses til fornavn og til utvalgte skjermer.
• Aktivitetslogg som viser hvem som publiserte hva og når.
• Alt-tekst på bilder, med KI-forslag, for lesbarhet og dokumentasjon.
• Et utgangspunkt for virksomhetens DPIA på /dpia, med risikotabell og forslag til publiseringsregler.

Datalokasjon

Full oversikt med datatyper, overføringsgrunnlag og lenke til leverandørens egen databehandleravtale: /underdatabehandlere (også som JSON).

Lagringstider

Kamera

Kamerainnhold («Vindu» og «Speil») behandles lokalt på skjermen. Bildet vises i sanntid og lastes aldri opp, lagres aldri og tas aldri opp. Det gjøres ingen ansiktsgjenkjenning, ingen telling av personer og ingen bildeanalyse — kamerabilde sendes aldri til KI-leverandøren eller til andre tjenester. Et kameraikon er alltid synlig når en kameratype vises.

Status for ekstern testing og sertifisering

Status per i dag:

• Ekstern penetrasjonstest: ikke gjennomført. Ingen tredjepart har sikkerhetstestet løsningen.
• ISO 27001: ikke sertifisert.
• SOC 2: ikke sertifisert, ingen Type I eller Type II-rapport.
• Formell WCAG-revisjon: ikke gjennomført. Se tilgjengelighetserklæringen.
• Bug bounty-program: finnes ikke. Vi tar likevel imot rapporter, se under.

Det vi faktisk har gjort:

• Tenant-isolasjon håndhevet i databasen med RLS, ikke bare i koden, og rettigheter gitt eksplisitt per tabell.
• Faste sikkerhetsgjennomganger av koden ved endringer i tilgang og datamodell. Hostingplattformen kjører i tillegg et grunnleggende sikkerhetsskann ved publisering. Vi har ingen egen automatisk avhengighetsskanning, og oppgir det derfor ikke som et tiltak.
• Misbruksvern og moderering rundt KI-hjelpen, med logging av stoppede forsøk.
• Kvoter som begrenser skadeomfang ved misbruk av KI og e-post.

Det er ikke fastsatt tidspunkt for ekstern penetrasjonstest eller sertifisering.

Kontaktpunkt og personvernombud

DMZ DATA AS, organisasjonsnummer 983 904 068, Farmannvegen 20A, 3925 Porsgrunn, Norge. Telefon 35 51 23 22. Registrert i Foretaksregisteret og Merverdiavgiftsregisteret.

DMZ DATA AS har ikke plikt til å oppnevne personvernombud etter GDPR art. 37, og har ikke oppnevnt et eget ombud. Kontaktpunktet for personvern og sikkerhet er kontor@dmz.no.

Rapportere en sårbarhet

Vi følger RFC 9116 og publiserer kontaktinformasjon på /.well-known/security.txt. Send funn dit, med nok detaljer til at vi kan gjenskape problemet.

Vi bekrefter mottak og følger opp rapporter som er sendt i god tro, uten tilgang til andres data og uten forstyrrelse av tjenesten. Vi ber om at funn ikke offentliggjøres før vi har rettet dem.

Sjekkliste for anskaffelse

Spørsmålene under er dem kommuner og offentlige virksomheter faktisk stiller. Kolonnen til høyre lenker rett til kapittelet som dokumenterer svaret.

Åpne kontrollpunkter

Dokumentasjonen ble sist kontrollert mot faktisk implementasjon 5. september 2026. Punktene under er ikke gjennomført. De står her fordi vi heller vil vise dem enn å påstå noe vi ikke kan dokumentere, og de skal lukkes før personopplysninger behandles i produksjon.

Alt samlet på én utskriftsvennlig side: /for-personvernombud/utskrift.