Sist oppdatert: 5. september 2026 · Versjon 2.3
Kort fortalt: Primær lagring og appregion er satt til EU/Europa. Enkelte leverandører kan få tilgang til drifts- og bruksmetadata som beskrevet nedenfor.
Kort fortalt
Vevet leveres av DMZ DATA AS, organisasjonsnummer 983 904 068, forretningsadresse Farmannvegen 20A, 3925 Porsgrunn, Norge. Registrert i Foretaksregisteret og Merverdiavgiftsregisteret. Telefon 35 51 23 22, nettsted www.dmz.no. Kontakt i personvernsaker: kontor@dmz.no.
DMZ DATA AS har ikke plikt til å oppnevne personvernombud etter GDPR art. 37, og har ikke oppnevnt et eget ombud. kontor@dmz.no er kontaktpunktet i personvern- og sikkerhetssaker. Henvendelser besvares normalt innen 30 dager, jf. GDPR art. 12 nr. 3.
Vi er behandlingsansvarlig for brukerkontoer, fakturerings- og kundeopplysninger, driftslogger og sikkerhetslogger. For dette er denne erklæringen den gjeldende informasjonen etter GDPR art. 13.
Vi er databehandler for alt innhold kunden selv legger inn i Innholdsbiblioteket, kanaler og Mine filer. Da er organisasjonen behandlingsansvarlig, og behandlingen styres av databehandleravtalen mellom oss.
Der kunden publiserer bilder eller navn på identifiserbare personer, er det organisasjonen som må ha et eget grunnlag — se kapittel 5.
| Kategori | Eksempler | Hvem det gjelder | Grunnlag | Lagringstid |
|---|---|---|---|---|
| Brukerkonto | Navn, e-postadresse, rolle, organisasjons- og avdelingstilhørighet, tidspunkt for siste innlogging | Ansatte og andre brukere hos kunden | Art. 6.1.b | Til kunden sletter kontoen. Etter avtaleopphør inntil 90 dager, for avslutning og dokumentasjon |
| Aktivitetslogg | Hvem gjorde hva, når, i hvilken organisasjon | Innloggede brukere | Art. 6.1.f og 6.1.c | 180 dager |
| E-postlogg | Mottaker, type, emne, status, tidspunkt. Aldri innholdet i e-posten | Mottakere av e-post fra tjenesten | Art. 6.1.b og 6.1.f | 90 dager |
| KI-hendelseslogg | Tidspunkt, organisasjon, konto, kategori, alvorlighet, sted i appen og et kort tekstutdrag | Brukere som utløser misbruksvernet | Art. 6.1.f | 12 måneder |
| Skjerm-token og enhetsnøkkel | Tilfeldig identifikator for en fysisk skjerm, pulsdata om at skjermen lever | Ingen — knyttes til utstyr, ikke til person | Art. 6.1.b | Gyldig til skjermen kobles fra |
| Abonnement og prøveperiode | Valgt plan og betalingsperiode, status, datoer for prøveperiode og inneværende periode, hvem som endret | Administratorer hos kunden | Art. 6.1.b | Så lenge kundeforholdet varer, og deretter inntil 90 dager. Beløp som inngår i regnskapet følger regnskapsfristen |
| Betalingshendelser | Leverandør, kunde- og abonnements-ID hos leverandøren, status, hendelsestype og tidspunkt. Aldri kortnummer | Kontaktpersoner og betalere hos kunden | Art. 6.1.b og 6.1.f | 24 måneder, som dokumentasjon på hva som skjedde med abonnementet |
| Fakturagrunnlag | Juridisk navn, organisasjonsnummer, fakturaadresse, faktura-e-post, kontaktperson, referanse og beløp | Kontaktpersoner hos kunden | Art. 6.1.b og 6.1.c | 5 år etter regnskapsårets slutt, jf. bokføringsloven § 13 |
| Rabattkoder og kreditt | Kode, beløp eller antall dager, begrunnelse, hvem som tildelte eller løste inn, tidspunkt | Administratorer hos kunden | Art. 6.1.b og 6.1.c | Så lenge kundeforholdet varer. Rader som har påvirket en faktura følger regnskapsfristen |
| Innhold kunden laster opp | Bilder, video, PDF, tekst, navn i for eksempel bursdagslister | Personer kunden velger å publisere | Kundens eget grunnlag (vi er databehandler) | Til kunden sletter det. Ved avtaleopphør slettes eller returneres det innen 30 dager |
Organisasjonen er behandlingsansvarlig for alt den publiserer på skjerm. Bilder av identifiserbare personer krever et eget behandlingsgrunnlag, og i praksis ofte samtykke. Samtykke må være frivillig, spesifikt og mulig å trekke tilbake.
Når innhold gjelder barn, må behandlingsansvarlig vurdere behandlingsgrunnlag og hvem som kan samtykke. For publisering av bilder av mindreårige vil samtykke fra foresatte normalt være nødvendig. For bursdagslister og lignende anbefaler vi at den enkelte selv får velge om navnet skal vises.
Vevet analyserer ikke bilder for å gjenkjenne personer, og lager ingen biometriske profiler.
En fysisk skjerm kobles til med en kort, tidsbegrenset parringskode som en administrator oppretter i Vevet. Skjermen får da en tilfeldig enhetsnøkkel som lagres lokalt i nettleseren på skjermen. Nøkkelen og skjerm-token inneholder ingen personopplysninger, og kan ikke brukes til å logge inn i administrasjonen.
Visningen krever ingen innlogget bruker, og visningssiden er merket slik at søkemotorer ikke indekserer den. En skjerm viser ikke innhold før den er eksplisitt paret og tildelt en kanal.
Enkelte innhold kan bruke kameraet på selve skjermen. Kamerabildene behandles kun lokalt i nettleseren på skjermen. De sendes aldri til noen server, aldri til KI-leverandøren vår, og lagres aldri.
Kameraet brukes ikke til ansiktsgjenkjenning, publikumsmåling, aldersvurdering eller følelsesgjenkjenning. Følelsesgjenkjenning på arbeidsplass og i utdanning er dessuten forbudt etter EU AI Act art. 5, og vi tilbyr ikke slik funksjonalitet.
KI-hjelpen kan forbedre, korrekturlese og forkorte tekst, foreslå farger og temaer, og lage korte bildebeskrivelser (alt-tekst). Alle kall skjer fra vår server — aldri fra nettleseren — og nøkkelen ligger som hemmelig miljøvariabel.
Leverandøren er Mistral AI SAS. Vi kaller leverandørens EU-endepunkt api.eu.mistral.ai, som etter leverandørens dokumentasjon kjører i EU/EFTA-region, og modellene som brukes er mistral-medium-latest og mistral-small-latest. Ved ordinær API-bruk brukes innsendte data ikke til å trene modeller. Hvor lenge leverandøren oppbevarer dem, styres av personverninnstillingene og avtalen for kontoen vår — vi oppgir derfor ingen fast periode. Null retensjon (ZDR) er en egen kontroll hos leverandøren som må være aktivert og dokumentert før vi kan påberope den. EU-endepunktet styrer hvor selve behandlingen skjer, men ikke nødvendigvis all kontrollplan- og bruksmetadata.
Skjermene kan vise vær, holdeplasser, nyheter, strømpris og lignende. Slike oppslag går alltid fra vår server, aldri fra nettleseren eller skjermen, og de inneholder ingen personopplysninger fra oss. Til værvarsel sender vi avrundede koordinater, til holdeplasser koordinater eller stopp-ID, til strømpris dato og prissone. Det samme gjelder bildesøk: søkeordet sendes til Pixabay GmbH fra vår server, søket knyttes ikke til brukerkontoen, og velger brukeren et bilde kopieres filen til vårt eget lager i EU. Tjenester som dette er ikke underdatabehandlere, fordi de ikke behandler personopplysninger på våre vegne. Hele oversikten står på /underdatabehandlere.
Velger kunden selv å vise en video fra YouTube eller Vimeo, eller en ekstern nettside i en ramme, lastes innholdet direkte fra skjermens nettleser. Leverandøren kan da motta skjermens offentlige IP-adresse og nettlesertype, og kan sette egne informasjonskapsler. At Vevet ikke sporer, gjelder oss — ikke tredjepartsinnhold kunden velger å vise.
| Data | Lagringstid | Slettes |
|---|---|---|
| Brukerkonto, kontrakts- og kontaktdata (vi er behandlingsansvarlig) | Til kunden sletter kontoen. Etter avtaleopphør inntil 90 dager, for avslutning og dokumentasjon | Kunden sletter selv i appen. Ved avtaleopphør: dokumentert manuell rutine hos oss, ikke en automatisk jobb |
| Innhold kunden har lagt inn (innhold, kanaler, filer i Mine filer) — vi er databehandler | Til kunden sletter det. Ved avtaleopphør slettes eller returneres det innen 30 dager | Kunden sletter selv i appen. Ved avtaleopphør: dokumentert manuell rutine hos oss, ikke en automatisk jobb |
| Slettet innhold i papirkurven (innhold, maler, temaer, filer) | 30 dager | Ligger under «Slettet» i appen og kan hentes tilbake. Slettes for godt av databasejobben vevet_sletterutine 30 dager etter sletting |
| Aktivitetslogg | 180 dager | Slettes automatisk hver natt av databasejobben vevet_sletterutine |
| E-postlogg (mottaker, type, emne, status, tidspunkt — aldri innhold) | 90 dager | Slettes automatisk hver natt av databasejobben vevet_sletterutine |
| KI-hendelseslogg (stoppede forsøk og misbruk) | 12 måneder | Slettes automatisk hver natt av databasejobben vevet_sletterutine |
| Leverandørenes infrastruktur- og tilgangslogger | Følger leverandørens plan og vilkår — ikke en tid vi setter selv | Slettes hos hosting- og databaseleverandøren etter deres egne rutiner. Vi kontrollerer det som en del av leverandøroppfølgingen |
| Skjerm-token og enhetsnøkkel | Gyldig til skjermen kobles fra | Slettes sammen med skjermen, i samme handling i appen |
| Sikkerhetskopier som kan inneholde slettede data | Følger den aktive planen hos databaseleverandøren — vi oppgir ingen fast frist | Rulleres hos databaseleverandøren etter planens eget oppsett. Faktisk frekvens og retensjon verifiseres i driftsprotokollen, og er et åpent kontrollpunkt |
| Kamerabilder på skjermen | Lagres aldri | — (bildet forlater aldri skjermen) |
| Abonnement (valgt plan og betalingsperiode, status, prøveperiode, leverandør- og abonnements-ID hos betalingsløsningen) | Så lenge kundeforholdet varer, og deretter inntil 90 dager. Beløp som inngår i regnskapet følger regnskapsfristen | Slettes sammen med organisasjonen, eller ved dokumentert manuell rutine etter avtaleopphør |
| Abonnements- og betalingshendelser (statusendringer, hendelses-ID fra betalingsløsningen, hash av nyttelast — aldri kortnummer) | 24 måneder, som dokumentasjon på hva som skjedde med abonnementet | Manuell rutine. Ingen automatisk nattlig sletting er satt opp for disse radene |
| Rabattkodeinnløsninger og kredittsaldo med historikk | Så lenge kundeforholdet varer. Rader som har påvirket en faktura følger regnskapsfristen | Kredittboken kan ikke endres i etterkant. Radene slettes sammen med organisasjonen, eller etter regnskapsfristen |
| Fakturagrunnlag ved manuell faktura (organisasjonsnummer, juridisk navn, fakturaadresse, kontaktperson, faktura-e-post, eventuell PO-referanse, beløp) | 5 år etter regnskapsårets slutt, jf. bokføringsloven § 13 | Slettes etter lovpålagt frist, i Vevet og i regnskapssystemet |
| Faktura- og regnskapsdata | 5 år etter regnskapsårets slutt, jf. bokføringsloven § 13 | Slettes etter lovpålagt frist i regnskapssystemet |
Aktivitetsloggen, e-postloggen og KI-hendelsesloggen slettes av en planlagt jobb i databasen, vevet_sletterutine, som kjører hver natt klokken 02:15 UTC og fjerner alle rader som er eldre enn grensene i tabellen. Jobben ligger i databasen og ikke i applikasjonen, så den kjører selv om ingen er innlogget.
Ved avtaleopphør skiller vi mellom to roller, og de to fristene er derfor ikke i motstrid:
Dette er en dokumentert manuell rutine vi utfører ved avtaleopphør — ikke en automatisk jobb. Kunden kan be om skriftlig bekreftelse på at slettingen er gjennomført. Sikkerhetskopier hos databaseleverandøren rulleres etter den aktive planen der; vi oppgir ingen fast maksimal slettetid for backup, fordi vi ikke kan dokumentere den.
Primær lagring og appregion er satt til EU/Europa: databasen og filene ligger i en EU-region, og hostingplattformens datalagringsregion er satt til Europe. Vi lover ikke en bestemt by, og vi skriver ikke at behandling og support aldri kan skje utenfor EØS. Der en leverandør kan ha tilgang fra USA — typisk support, kontrollplan- og bruksmetadata og driftslogger — skjer det på EUs standard personvernbestemmelser (SCC). Gjeldende DPA/SCC og, der det kreves, en overføringsvurdering må dokumenteres før produksjon; ingen slik vurdering er utført ennå. Detaljene per leverandør står i underdatabehandlerlisten.
Vi bruker et lite antall underdatabehandlere. Hver av dem er listet med formål, type data, lokasjon, overføringsgrunnlag og lenke til databehandleravtale på /underdatabehandlere. Endringer varsles normalt minst 30 dager i forveien.
Betaling og regnskap står i en egen kategori. Betalingsløsningene er selvstendig behandlingsansvarlige for betalingen, ikke underdatabehandlere for oss, fordi de har egne plikter etter finans- og hvitvaskingsregelverket. Kortopplysninger tastes inn hos betalingsløsningen og lagres aldri i Vevet. Vi lagrer bare referansen til kunden og abonnementet hos leverandøren, samt status på betalingen. Mottakerne er listet under punkt D på /underdatabehandlere.
Vevet setter ikke egne analyse-, markedsførings- eller sporingskapsler. Lagringen som er listet nedenfor, brukes for innlogging og drift. Kundestyrt tredjepartsinnhold kan bruke egne informasjonskapsler.
| Nøkkel | Hvor | Formål | Levetid |
|---|---|---|---|
| Innloggingsøkt fra Supabase (sb-…-auth-token) | localStorage | Holder deg innlogget | Til du logger ut |
| vevet-active-org | localStorage | Husker hvilken organisasjon du jobber i | Til du logger ut |
| vevet:retur | localStorage | Sender deg tilbake dit du var etter innlogging | Til den er brukt |
| vevet:meny-apen:* | localStorage | Husker hvilke menygrupper som står åpne | Til du tømmer nettleseren |
| vevet.live.key | localStorage og sessionStorage | Enhetsnøkkel for en tilkoblet skjerm | Til skjermen kobles fra |
| vevet.live.legacyToken | localStorage | Overgangsnøkkel for eldre skjermoppsett | Til skjermen er migrert |
| vevet.live.cache.* | localStorage | Siste hentede visningsinnhold, så skjermen viser noe ved nettbrudd | Overskrives ved hver oppdatering |
| vevet-nyheter-* | localStorage | Mellomlagring av nyhetsoppslag på skjermen | Overskrives ved hver oppdatering |
| vevet-avganger-* | localStorage | Mellomlagring av avgangstider på skjermen | Overskrives ved hver oppdatering |
| vevet:react-omstart | sessionStorage | Hindrer omstartsløkke ved en teknisk feil | Til fanen lukkes |
| vevet:lastet-paa-nytt | sessionStorage | Laster siden på nytt én gang etter en oppdatering | Til fanen lukkes |
Ingen av nøklene over deles med tredjepart.
Vevet sine egne offentlige adresser betjenes over HTTPS/TLS. Et sett med sikkerhetshoder — Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy, Permissions-Policy og Cross-Origin-Opener-Policy — er forberedt i konfigurasjon for en framtidig Vercel-hosting, men er ikke implementert og målt på hostingplattformen vi kjører på i dag. Vi oppgir dem derfor ikke som verifiserte konkrete verdier eller som satt på alle ruter. Dette står som åpent kontrollpunkt på /for-personvernombud.
Content-Security-Policy er ennå ikke innført. Det står på listen over tiltak, og vi skriver det heller enn å påstå noe annet. Vi setter bevisst ikke X-Frame-Options eller frame-ancestors, fordi tjenesten skal kunne vises i ramme i godkjente sammenhenger.
Alt som sendes til KI-hjelpen sjekkes før det sendes videre, og svaret sjekkes før du ser det. Regelkontrollen skjer i Vevet sin serverkode. Kall til Mistrals moderering sendes til leverandørens EU-endepunkt. Ulovlig innhold og forsøk på misbruk stoppes og logges med et kort tekstutdrag — aldri hele teksten, og aldri bilder. Gjentatt misbruk kan føre til at KI-hjelpen settes på pause for kontoen en periode.
Etter GDPR art. 15–22 kan du, når vilkårene i den enkelte bestemmelsen er oppfylt, be om å:
Hvilke rettigheter som gjelder, avhenger av den konkrete behandlingen og behandlingsgrunnlaget.
Du kan bruke rettighetene direkte i appen under Min side, eller ved å kontakte kontor@dmz.no. Er du ansatt hos en kunde, kan vi måtte henvise deg til arbeidsgiveren din, som er behandlingsansvarlig for innholdet.
Vevet er laget for informasjon på fellesarealer, og skal som standard ikke brukes til helseopplysninger, diagnoser, pasient- eller beboeridentifikasjon, biometriske data, fødselsnummer eller andre særlige kategorier etter GDPR art. 9. Hostingleverandørens gjeldende standardvilkår åpner heller ikke for slike opplysninger uten at abonnementet eller en separat avtale uttrykkelig tillater det.
Bruk i helse- og omsorgsbygg må begrenses til generell drifts- og besøksinformasjon, uten navn, bilde eller romnummer, og uten opplysninger som avslører at en bestemt person mottar helsehjelp.
Skal dette noen gang åpnes, kreves uttrykkelig kontraktsgrunnlag hos alle relevante leverandører, ny risikovurdering og DPIA, og skriftlig godkjenning før bruk.
Vi bistår med underlag til virksomhetens egen risikovurdering og eventuell DPIA etter art. 35. Kunder som bruker Vevet til behandling av personopplysninger på egne vegne, skal inngå databehandleravtale før slik bruk.
Ved brudd på personopplysningssikkerheten varsler vi berørte kunder uten ugrunnet opphold, og normalt senest innen 24 timer etter at bruddet er bekreftet. Varselet beskriver hva som skjedde, hvilke data det gjelder, sannsynlige konsekvenser og hvilke tiltak vi har satt i verk.
Fristen på 72 timer i GDPR art. 33 er en annen frist: den gjelder organisasjonen som behandlingsansvarlig, som selv vurderer om bruddet skal meldes til Datatilsynet innen 72 timer etter at det ble kjent. Vårt varsel kommer tidlig nettopp for at kunden skal rekke den vurderingen.
Mener du at vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet: datatilsynet.no. Vi setter pris på å få høre fra deg først, så vi kan rette opp raskt.
Vi oppdaterer erklæringen når tjenesten endrer seg. Versjon og dato står øverst på siden. Vesentlige endringer varsles til kundens administratorer, normalt minst 30 dager før de trer i kraft.
Se også vilkårene for bruk.
Se også