{ "sistOppdatert": "5. september 2026", "versjon": "3.0", "underdatabehandlere": [ { "navn": "Lovable Labs Incorporated («Lovable»), Lovable Cloud", "formaal": "Hosting av applikasjonen, serverkjøring, bygg og utrulling, samt drifts- og sikkerhetslogger for plattformen.", "typeData": "Teknisk trafikkdata i driftslogger: IP-adresse, tidspunkt, forespurt adresse og nettlesertype. Plattformen kjører også serverkoden som behandler kundens innhold underveis.", "lokasjon": "Primær datalagringsregion er satt til Europe i arbeidsområdets innstilling «Default data hosting region». Vi lover ikke en bestemt by.", "overforing": "Lovable er en amerikansk juridisk leverandør med tilstedeværelse i EU. Tilgang eller overføring utenfor EØS kan forekomme ved blant annet support og drift.", "overforingsgrunnlag": "Lovables databehandleravtale med tilhørende SCC-er, og Lovables egen underleverandørliste, regulerer eventuelle overføringer og tilganger utenfor EØS.", "retensjon": "Retensjon for drifts- og sikkerhetslogger følger Lovables plattformvilkår og abonnement, ikke vår egen nattlige sletterutine.", "dokumentasjon": "Åpent kontrollpunkt: Lovables offentlige DPA-side angir at databehandleravtale følger Business- og Enterprise-abonnement. Før produksjonsbehandling må DMZ DATA AS kunne dokumentere at gjeldende abonnement eller en separat avtale omfatter DPA og SCC-er.", "dpaUrl": "https://lovable.dev/data-processing-agreement", "lenker": [ { "tittel": "Lovable underleverandører", "url": "https://lovable.dev/subprocessors" }, { "tittel": "Lovable sikkerhet og datalagringsregion", "url": "https://lovable.dev/security" } ] }, { "navn": "Supabase Inc.", "formaal": "Database, filhosting for opplastet innhold, innlogging og brukeradministrasjon.", "typeData": "Brukerkonto (navn, e-postadresse), organisasjons- og avdelingsdata, alt innhold kunden laster opp, aktivitetslogg, e-postlogg, KI-hendelseslogg og skjerm-token.", "lokasjon": "EU. Prosjektet er opprettet i en EU-region hos Supabase; gjeldende region framgår av driftsprotokollen.", "overforing": "Databehandling og lagring skjer i EU. Selskapet er amerikansk, så support- og driftstilgang utenfor EØS kan forekomme.", "overforingsgrunnlag": "EUs standard personvernbestemmelser (SCC) i Supabase sin databehandleravtale.", "retensjon": "Databasebackup og gjenoppretting følger den aktive Supabase-planen. Supabase dokumenterer at daglige sikkerhetskopier og retensjonstid varierer med plan, og at objekter i fillageret ikke inngår i databasebackup. Vi oppgir derfor ingen fast backupfrekvens eller maksimal slettetid.", "dokumentasjon": "Åpent kontrollpunkt: aktiv plan, faktisk backupoppsett og aksept av Supabase sin DPA/SCC må dokumenteres i driftsprotokollen før produksjonsbehandling.", "dpaUrl": "https://supabase.com/legal/dpa", "lenker": [ { "tittel": "Supabase regioner", "url": "https://supabase.com/docs/guides/platform/regions" }, { "tittel": "Supabase sikkerhetskopier", "url": "https://supabase.com/docs/guides/platform/backups" } ] }, { "navn": "Mistral AI SAS", "formaal": "KI-hjelpen: forbedre og forkorte tekst, foreslå farger og temaer, og lage bildebeskrivelser (alt-tekst). Kallene går kun fra vår server, aldri fra nettleseren.", "typeData": "Teksten brukeren sender til KI-hjelpen, og korte utdrag av innhold som gir kontekst. Aldri bilder, aldri kamerabilder, aldri passord eller nøkler.", "lokasjon": "EU/EFTA-region via api.eu.mistral.ai. Leverandørens dokumentasjon for EU-endepunktet oppgir flere datasentre i EU- og EFTA-land, ikke ett bestemt land. Modellene som brukes er mistral-medium-latest og mistral-small-latest.", "overforing": "EU-endepunktet styrer hvor inferensen kjøres. Kontrollplan- og bruksmetadata følger ikke nødvendigvis samme geografi, og vi påstår derfor ikke at all behandling hos leverandøren skjer i EØS.", "overforingsgrunnlag": "Mistral sin databehandleravtale (Data Processing Addendum) med tilhørende SCC-er.", "retensjon": "Ved ordinær API-bruk brukes innsendte data ikke til å trene modeller. Oppbevaringstiden styres av kontoens personverninnstillinger og avtale — ikke av en fast periode vi kan garantere. Null retensjon (ZDR) er en separat kontroll som må være aktivert og dokumentert før den kan påberopes.", "dokumentasjon": "Åpent kontrollpunkt: gjeldende personverninnstilling for kontoen, eventuell ZDR-aktivering og aksept av Mistral sin DPA må dokumenteres.", "dpaUrl": "https://legal.mistral.ai/terms/data-processing-addendum", "lenker": [ { "tittel": "Mistral regional inferens", "url": "https://docs.mistral.ai/inference/regional-inference" }, { "tittel": "Mistral personverninnstillinger", "url": "https://docs.mistral.ai/admin/monitor-comply/privacy-data-controls" }, { "tittel": "Mistral null retensjon (ZDR)", "url": "https://docs.mistral.ai/admin/monitor-comply/zero-data-retention" } ] }, { "navn": "Lettermint B.V.", "formaal": "Utsending av e-post: invitasjoner, bekreftelser, tilbakestilling av passord og varsler om skjermer.", "typeData": "Mottakerens e-postadresse og navn, emnefelt, tidspunkt og leveringsstatus. Vi sender aldri innhold fra skjermer eller særlige kategorier personopplysninger på e-post.", "lokasjon": "Primær behandling er oppgitt til Nederland/EU.", "overforing": "Eventuelle underleverandører og tilganger følger leverandørens gjeldende DPA.", "overforingsgrunnlag": "Lettermint sin databehandleravtale.", "retensjon": "Sendt e-postinnhold og metadata oppbevares etter Lettermint sin gjeldende policy; leverandørens dokumentasjon oppgir 28 dager. Vår egen epost_logg beholdes i 90 dager og inneholder aldri meldingsinnhold.", "dokumentasjon": "Åpent kontrollpunkt: aksept av Lettermint sin DPA må dokumenteres.", "dpaUrl": "https://lettermint.co/dpa", "lenker": [ { "tittel": "Lettermint oppbevaring av e-post", "url": "https://lettermint.co/docs/platform/emails/data-retention" } ] } ], "betalingsmottakere": [ { "navn": "Paddle.com Market Limited", "rolle": "Selvstendig behandlingsansvarlig som selger av abonnementet (merchant of record). Ikke underdatabehandler for kundens skjerminnhold.", "formaal": "Ta imot kortbetaling, håndtere merverdiavgift og sende kvittering. Vevet sender kunden videre til Paddles egen betalingsside, og får bare beskjed tilbake om hva som skjedde.", "typeData": "Fakturerings- og kontaktopplysninger kunden selv oppgir hos Paddle, og en referanse til organisasjonen i Vevet. Kortopplysninger tastes inn hos Paddle og passerer aldri Vevet.", "lokasjon": "Paddle er et britisk/irsk selskap med globalt driftsoppsett. Behandlingen styres av Paddles egne vilkår og personvernerklæring, ikke av en instruks fra oss.", "status": "Ikke aktivert i produksjon. Kortbetaling vises først som valgbar når API-nøkkel, pris-ID-er og webhook-hemmelighet er satt i driftsmiljøet.", "lenker": [ { "tittel": "Paddle personvern", "url": "https://www.paddle.com/legal/privacy" }, { "tittel": "Paddle som merchant of record", "url": "https://www.paddle.com/legal/checkout-buyer-terms" } ] }, { "navn": "Vipps MobilePay AS", "rolle": "Selvstendig behandlingsansvarlig som betalingsforetak. Ikke underdatabehandler for kundens skjerminnhold.", "formaal": "Faste betalingsavtaler (Vipps gjentakende betaling) for abonnementet. Vevet oppretter avtaleforespørselen og mottar status tilbake.", "typeData": "Betalers Vipps-identitet og betalingsstatus behandles hos Vipps. Vevet lagrer avtale-ID, beløp og status — aldri kortnummer eller kontonummer.", "lokasjon": "Norge/EØS.", "status": "Ikke tilgjengelig i kassa ennå. Gjentakende belastning og verifisering av signatur på tilbakemeldinger må være produksjonsklart før Vipps kan velges.", "lenker": [ { "tittel": "Vipps MobilePay personvern", "url": "https://vippsmobilepay.com/personvern" } ] }, { "navn": "Tripletex AS", "rolle": "Databehandler for DMZ DATA AS i vår rolle som behandlingsansvarlig for regnskap. Ikke underdatabehandler for kundens skjerminnhold.", "formaal": "Utstede og bokføre manuelle fakturaer.", "typeData": "Organisasjonsnummer, juridisk navn, fakturaadresse, kontaktperson, faktura-e-post og beløp.", "lokasjon": "Norge.", "status": "Fakturaen lages manuelt av plattformteamet. Vevet har ingen automatisk integrasjon mot Tripletex; bare fakturanummeret føres tilbake i Vevet.", "lenker": [ { "tittel": "Tripletex personvern", "url": "https://www.tripletex.no/personvern/" } ] } ], "datakilder": [ { "navn": "Pixabay GmbH", "vert": "pixabay.com", "formaal": "Bildesøk i bildebiblioteket, og kopiering av valgte bilder til vårt eget lager i EU.", "sender": "Søkeord og IP-adressen til vår server. Søket knyttes ikke til brukerkontoen.", "hvor": "Server-side. Nettleseren snakker aldri direkte med Pixabay.", "konsekvens": "Ingen personopplysninger behandles på våre vegne. Operatøren skal ikke søke etter navngitte personer." }, { "navn": "MET Norway (Meteorologisk institutt)", "vert": "api.met.no", "formaal": "Værvarsel på skjermen.", "sender": "Avrundede koordinater for skjermens sted, og Vevets egen User-Agent.", "hvor": "Server-side. Sluttbrukerens eller skjermens IP-adresse sendes aldri.", "konsekvens": "Ingen personopplysninger. Koordinatene gjelder et sted, ikke en person." }, { "navn": "Kartverket (Geonorge)", "vert": "ws.geonorge.no", "formaal": "Adresse- og stedsøk når en operatør setter stedet for en skjerm eller avdeling.", "sender": "Søketeksten operatøren skriver inn.", "hvor": "Server-side.", "konsekvens": "Ingen personopplysninger sendes av oss. Operatøren må ikke skrive personopplysninger i søkefeltet." }, { "navn": "Entur AS", "vert": "api.entur.io", "formaal": "Finne nærmeste holdeplass og hente sanntids avgangstider.", "sender": "Koordinater, stoppnavn eller stopp-ID, og Vevets ET-Client-Name.", "hvor": "Server-side.", "konsekvens": "Ingen personopplysninger." }, { "navn": "icanhazdadjoke", "vert": "icanhazdadjoke.com", "formaal": "Vitseoppslag på skjermen.", "sender": "Fast forespørsel uten parametre og uten kundedata.", "hvor": "Server-side. Bare Vevets server-IP og User-Agent er synlig for tjenesten.", "konsekvens": "Ingen personopplysninger." }, { "navn": "Hva koster strømmen", "vert": "hvakosterstrommen.no", "formaal": "Strømpris på skjermen.", "sender": "Dato og prissone (NO1–NO5).", "hvor": "Server-side.", "konsekvens": "Ingen personopplysninger." }, { "navn": "Wikipedia (Wikimedia Foundation)", "vert": "no.wikipedia.org, en.wikipedia.org", "formaal": "«Dette skjedde i dag»-oppslag.", "sender": "Dagens dato.", "hvor": "Server-side.", "konsekvens": "Ingen personopplysninger." }, { "navn": "NRK", "vert": "www.nrk.no", "formaal": "Nyhetsoppslag fra offentlige RSS-strømmer.", "sender": "Fast feedkall uten kundedata.", "hvor": "Server-side.", "konsekvens": "Ingen personopplysninger." }, { "navn": "Cloudflare DNS-over-HTTPS", "vert": "cloudflare-dns.com", "formaal": "Slå opp adressen til en URL operatøren har oppgitt, før vi henter den, som del av vernet mot SSRF.", "sender": "Vertsnavnet fra URL-en operatøren har lagt inn.", "hvor": "Server-side.", "konsekvens": "Kun et vertsnavn. Ingen brukerdata og ingen innhold sendes." }, { "navn": "Google Public DNS", "vert": "dns.google", "formaal": "Kontrollere TXT-oppføring ved verifisering av kundens eget domene.", "sender": "Kundens domenenavn og verifiseringstoken.", "hvor": "Server-side.", "konsekvens": "Domenenavn, ikke personopplysninger." } ], "kundestyrteTilkoblinger": [ { "navn": "YouTube (youtube-nocookie.com) og Vimeo", "hvordan": "Videoen lastes direkte fra skjermens nettleser når kunden legger inn en videolenke. Vevet formidler bare video-ID-en.", "konsekvens": "Leverandøren kan motta skjermens offentlige IP-adresse og nettlesertype, og kan sette egne informasjonskapsler. «Ingen sporing» gjelder Vevet selv, ikke tredjepartsinnhold kunden velger." }, { "navn": "Selvvalgt nettside i ramme (iframe)", "hvordan": "Nettsiden lastes direkte fra skjermens nettleser til adressen kunden har lagt inn.", "konsekvens": "Nettstedet kan motta skjermens offentlige IP-adresse og nettlesertype, og kan sette egne informasjonskapsler. Kunden er ansvarlig for personvernet i innholdet som vises." }, { "navn": "Selvvalgt kalenderkilde (iCal)", "hvordan": "Kalenderen hentes server-side fra adressen kunden har lagt inn, og mellomlagres.", "konsekvens": "En kalender kan inneholde personopplysninger, for eksempel møtedeltakere. Kunden må velge en lovlig kilde og styre tilgangen til den." }, { "navn": "Lokalt kamera eller nettverkskamera", "hvordan": "Kamerabildet lastes og vises direkte i nettleseren på skjermen, på kundens eget nettverk. Strømmen går ikke via Vevet.", "konsekvens": "Bildet forlater aldri skjermen og lagres aldri hos oss. Et lokalt kamera kan bruke HTTP på kundens interne nett; transporten styres da av kundens eget utstyr og nettverk." } ], "kontraktskontroll": [ { "omraade": "Lovable Labs Incorporated (Lovable Cloud)", "punkt": "Dokumentere at gjeldende abonnement eller en separat avtale inkluderer databehandleravtale og SCC-er, jf. Lovables egen DPA-side.", "status": "Åpent" }, { "omraade": "Supabase Inc.", "punkt": "Dokumentere aktiv plan, faktisk backupfrekvens og -retensjon, og aksept av Supabase sin DPA/SCC.", "status": "Åpent" }, { "omraade": "Mistral AI SAS", "punkt": "Dokumentere kontoens personverninnstilling, eventuell ZDR-aktivering, og aksept av Mistral sin DPA.", "status": "Åpent" }, { "omraade": "Lettermint B.V.", "punkt": "Dokumentere aksept av Lettermint sin DPA og gjeldende oppbevaringstid.", "status": "Åpent" }, { "omraade": "Overføringsvurdering (TIA)", "punkt": "Ingen overføringsvurdering er utført eller dokumentert ennå. Gjeldende DPA/SCC og, der det kreves, en overføringsvurdering for Lovable Labs (USA-morselskap), Supabase Inc. og andre relevante USA-tilganger må dokumenteres før produksjon.", "status": "Åpent" }, { "omraade": "Interesseavveiing (art. 6.1.f)", "punkt": "Behandling basert på berettiget interesse — sikkerhets- og aktivitetslogger, misbruksvern for KI-hjelpen og feilsøking — forutsetter en dokumentert interesseavveiing. Denne er ikke skrevet ennå.", "status": "Åpent" }, { "omraade": "Sikkerhetsheadere på aktiv hosting", "punkt": "HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy og Cross-Origin-Opener-Policy er forberedt i vercel.json for en framtidig Vercel-oppsett. De må implementeres og måles på aktiv Lovable Cloud-hosting før de kan oppgis som faktisk kontroll. Content-Security-Policy er ikke innført.", "status": "Åpent" }, { "omraade": "Paddle.com Market Limited", "punkt": "Avklare og dokumentere rollen som merchant of record, gjeldende avtale og vilkår, og om noen del av oppsettet medfører at Paddle behandler personopplysninger på våre vegne.", "status": "Åpent" }, { "omraade": "Vipps MobilePay AS", "punkt": "Avtale om gjentakende betaling må inngås, og verifisering av signatur på tilbakemeldinger må være produksjonsklar, før Vipps tilbys i kassa.", "status": "Åpent" }, { "omraade": "Tripletex AS", "punkt": "Dokumentere databehandleravtale for regnskapssystemet, og hvilke ansatte som har tilgang til fakturagrunnlaget.", "status": "Åpent" }, { "omraade": "Årlig kontroll", "punkt": "Gjennomgå leverandørlistene, lenkene og retensjonspåstandene minst én gang i året, og ved hver ny integrasjon.", "status": "Åpent" } ] }