Personvernerklæring

Tjenesten Utfordre leveres av DMZ DATA AS, et norsk aksjeselskap registrert i Foretaksregisteret. Når en virksomhet (f.eks. en kommune, skole eller statlig etat) bruker Utfordre til å gjennomføre en undersøkelse, er virksomheten behandlingsansvarlig for personopplysningene som samles inn. DMZ DATA AS opptrer som databehandler på oppdrag fra virksomheten, regulert av en databehandleravtale (DPA).

For tjenesten i seg selv (kontoer, fakturering, drift) er DMZ DATA AS behandlingsansvarlig.

Vi behandler personopplysninger på følgende grunnlag (GDPR art. 6):

• Avtale (art. 6.1.b): For å levere tjenesten til registrerte brukere.
• Berettiget interesse (art. 6.1.f): For sikkerhet, misbruksvern og produktforbedring.
• Samtykke (art. 6.1.a): For respondenter ved fritekstsvar, for nyhetsbrev, og der lov krever det.
• Rettslig forpliktelse (art. 6.1.c): Regnskap, sikkerhetslogg.
• For offentlig sektor: utøvelse av offentlig myndighet (art. 6.1.e) eller oppgave i allmennhetens interesse er ofte virksomhetens grunnlag — dette avklares i databehandleravtalen.

Vi samler kun inn det som er nødvendig (dataminimering, GDPR art. 5.1.c):

• Kontodata: e-post, navn (valgfritt), passordhash, organisasjonstilhørighet.
• Innholdsdata: undersøkelser, spørsmål, rapporter du oppretter.
• Respondentdata: avhenger av personvernmodus (se neste seksjon).
• Tekniske data: IP-adresse (maskeres til /24 for IPv4 og /48 for IPv6 ved innsetting i logger), nettleserversjon, sesjons-ID.
• Sikkerhetslogg (audit logs): handlinger som pålogging, eksport, endring av rettigheter. Lagres separat fra svar.

Vi behandler ikke særlige kategorier av personopplysninger (helse, religion, etnisitet o.l.) med mindre virksomheten eksplisitt aktiverer dette og har gyldig grunnlag etter GDPR art. 9.

Hver undersøkelse har én av to personvernmoduser, valgt av den som oppretter:

• Anonym: Ingen identifikator lagres sammen med svaret. Svar kan ikke kobles til person, heller ikke av oss. Anbefalt for mindreårige og for sensitive temaer.
• E-post påkrevd (med verifisering): Respondent identifiseres med verifisert e-post (engangskode). Brukes når man må sende oppfølging eller knytte svar til en konkret person. Krever eksplisitt informasjon til respondent, og delelenke/QR deaktiveres — invitasjon må sendes på e-post.

Fritekstsamtykke: Når en undersøkelse inneholder fritekstspørsmål, vises et samtykkeskjema før første fritekstsvar. Respondenten kan velge å hoppe over fritekst og likevel fullføre resten av undersøkelsen.

Personopplysningsloven § 5 setter aldersgrensen for digitalt samtykke til 13 år, men for skoleundersøkelser og kommunale tjenester anbefaler Datatilsynet og Utdanningsdirektoratet høyere terskel. Utfordre bruker 16 år som intern terskel for «barn»-modus.

Når en undersøkelse er merket med målgruppe under 16 år, aktiveres barnesikker modus automatisk:

• Fritekstspørsmål frarådes sterkt og merkes med rød advarsel i editoren.
• Personvernmodus anbefales satt til anonym.
• Live-quiz kan brukes (flervalg og quiz — ingen fri tekst).
• KI-genererte spørsmål for målgruppen utelater fritekst-forslag og tilpasser språk og kompleksitet.

Den som oppretter undersøkelsen kan overstyre anbefalingene, men må da oppgi en begrunnelse (minimum 10 tegn) som lagres i sikkerhetsloggen. Overstyring vises tydelig med rød tekst i grensesnittet, og virksomheten bærer det fulle ansvaret for vurderingen — inkludert behov for foresattes samtykke, eventuell DPIA og informasjon til respondentene tilpasset alderen.

For barn under 13 år skal foresattes samtykke alltid innhentes utenfor plattformen før undersøkelsen distribueres. Utfordre tilbyr ikke automatisert innhenting av foreldresamtykke i dag.

«Rask quiz» (også kalt Utfordre Live) er en lettvekts spillmodus der en vert starter en sesjon med kortkode, og deltakere blir med fra sin egen enhet uten å registrere seg. Modusen er utformet for å samle inn så lite personopplysninger som overhodet mulig.

Hva vi samler inn

• Pseudonymt kallenavn — deltaker velger et fritt kallenavn på maks 8 tegn. Vi ber ikke om navn, e-post, telefon, konto eller annen identifikator. Kallenavnet vises på leaderboardet og forsvinner når sesjonen avsluttes.
• Svar på flervalgsspørsmål (2 eller 4 alternativer) og poengsum basert på om svaret var korrekt og hvor raskt det kom.
• Sesjons-ID og trunkert IP for misbruksvern og rate-limiting. Full IP lagres ikke.

Vi behandler ingen fritekstsvar, ingen mikrofon-, kamera- eller plasseringsdata, og setter ingen tredjeparts sporingscookies i denne modusen.

Spørsmål og bilder

• Spørsmålene lages med KI-assistanse (Mistral, EU) etter en kategori/tema valgt av verten. En person kan når som helst redigere eller forkaste et spørsmål før publisering.
• Bilder hentes fra Openverse (WordPress Foundations åpne mediesøk) — søkeordet oversettes først til engelsk via Mistral for å gi bedre treff. Vi lagrer kun lenke, opphavsperson, lisens og lisens-URL, slik at kreditering vises korrekt. Ingen personopplysninger om deltakere sendes til Openverse.
• Innhold som beviselig krenker opphavsrett eller er upassende kan meldes til kontor@dmz.no.

Lagring og sletting

• Individuelle svar, kallenavn og poeng slettes automatisk kort tid etter at sesjonen er avsluttet (typisk innen 24 timer, styrt av en opprydningsjobb).
• Aggregert statistikk — antall deltakere, hvor mange som valgte hvert alternativ og hvor mange som svarte korrekt — kan beholdes for spørsmålskvalitet og forbedring av kategoribiblioteket. Denne statistikken inneholder ingen personopplysninger og kan ikke reverseres til enkeltdeltakere.
• Ingen leaderboard-historikk publiseres permanent utenfor sesjonen.

Musikk under presentasjon

Verten kan slå på en kort bakgrunnsmusikk-loop for stemning i live-visningen. Musikken spilles av lokalt i vertens nettleser fra kuraterte, rettighetsklarerte spor og krever et brukerklikk for å starte (autoplay-policy). Deltakere hører ingenting fra plattformen — kun det vertens skjerm/høyttalere spiller.

Barn

Modusen har ingen fritekst og ingen kontoregistrering, og egner seg derfor godt for klasserom. Skoleeier bør likevel informere elever om at kallenavn er synlig for resten av rommet og oppfordre til å ikke bruke fullt navn. For barn under 13 år gjelder de samme rammene som i § 5.

Utfordre bruker KI til to formål: (1) generere utkast til spørsmål fra dokumenter, lenker eller fri tekst som administrator laster inn, og (2) lage aggregerte oppsummeringer av svar fra en avsluttet sesjon. KI-forespørsler sendes direkte til Mistral AI (Mistral SAS, Frankrike), en europeisk leverandør med all databehandling innenfor EU/EØS. Vi benytter ikke modeller fra Google eller OpenAI, og bruker ikke en tredjeparts AI-gateway for ruting.

Risikoklassifisering under AI Act

Tjenesten faller inn under begrenset risiko i forordning (EU) 2024/1689 (AI Act). Begrunnelse: KI brukes kun til tekstgenerering og aggregert analyse, ikke til profilering, beslutningsstøtte om enkeltpersoner, eller noen av de høyrisiko-områdene som er listet i Vedlegg III. Hovedforpliktelsen er derfor transparens etter art. 50, ikke konformitetsvurdering eller registrering i EU-database.

Hva vi ikke gjør

• Ingen emosjonsgjenkjenning eller stemmeanalyse (AI Act art. 5(1)(f)).
• Ingen biometrisk kategorisering (AI Act art. 5(1)(g)).
• Ingen automatiserte avgjørelser om enkeltpersoner (GDPR art. 22).
• Ingen KI-basert scoring av elever, ansatte eller innbyggere.
• Ingen bruk av KI til adferdsmanipulering eller utnyttelse av sårbarhet (AI Act art. 5(1)(a)–(b)).
• Ingen «social scoring», prediktive risikovurderinger eller ansiktsgjenkjenning.

Transparens (art. 50)

• KI-genererte spørsmålsutkast merkes med «✨ KI-utkast» i editoren og må godkjennes av en person før publisering.
• KI-oppsummeringer starter alltid med synlig merking «[KI-generert oppsummering — modell, tidspunkt]» og lagres med maskinlesbar metadata (modell, leverandør, klassifisering).
• Når en undersøkelse har KI-oppsummering aktivert, vises en informasjonsblokk til respondenten enten i samtykkesiden eller øverst i undersøkelsen.
• Administrator må eksplisitt slå på KI-oppsummering per undersøkelse (opt-in, default av).

Menneskelig kontroll og ansvar (art. 14)

Alle KI-utkast må gjennomgås og godkjennes av en person før de tas i bruk. Verken spørsmålsforslag eller oppsummeringer publiseres automatisk. Administrator i virksomheten bærer det redaksjonelle ansvaret for endelig innhold.

Behandlingsgrunnlag og dataminimering

• Dokumenter du laster opp brukes kun til generering og slettes etter 30 dager.
• Frie tekstsvar fra mindreårige sendes ikke til KI med mindre barnesikker-modus eksplisitt overstyres med skriftlig begrunnelse.
• Respondent kan be om at egne svar utelates fra KI-oppsummering ved å kontakte arrangøren — vi har funksjon for å slette PII og ekskludere svar fra aggregering.
• Innhold sendes ikke til trening av Mistrals modeller.

AI-kompetanse (art. 4)

Administratorer som tar i bruk KI-funksjonene får et synlig påminnelses-banner om at de er ansvarlige for å vurdere innholdet før publisering. DPA-malen og DPIA-malen som tilbys virksomheter under /dpa og /dpia inneholder også en kort sjekkliste for KI-bruk i offentlig sektor.

Konformitetsvurdering eller en fullstendig AI-konsekvensvurdering (Fundamental Rights Impact Assessment, AI Act art. 27) er ikke påkrevd for begrenset risiko. Virksomheter i offentlig sektor kan likevel be om en kort KI-vurdering tilpasset egen DPIA — kontakt kontor@dmz.no.

Vi lagrer ikke personopplysninger lenger enn nødvendig (GDPR art. 5.1.e). Standard hos oss følger god praksis for spørreundersøkelser og er konfigurerbar per organisasjon og per undersøkelse — innenfor en hard øvre grense på 730 dager (2 år).

• Inaktive kontoer: Brukere som ikke har logget inn på 180 dager får varsel etter 150 dager. Konto med innhold slettes 180 dager etter siste pålogging, med mindre brukeren forlenger ved å logge inn.
• Opplastede dokumenter (KI-kilder): Slettes 30 dager etter analyse.
• Sikkerhetslogg: 365 dager. IP-adresser maskeres umiddelbart til /24 (IPv4) eller /48 (IPv6); fulle IP-er bevares kun for definerte sikkerhetshendelser (f.eks. pålogging, rolleendring, eksport).
• Fakturadata: 5 år (bokføringsloven).

Du kan når som helst be om sletting eller eksport av egne data fra kontoinnstillingene eller ved å kontakte oss.

Når personvernmodus er anonym, kobles svar ikke til respondent på databasenivå — vi lagrer kun undersøkelses-ID og selve svaret.

Ved rapportering anbefaler vi at administrator vurderer risikoen for re-identifisering i små grupper, særlig ved kombinasjon av demografi og fritekst. Eksport og deling av aggregerte resultater logges i sikkerhetsloggen. Automatisk skjuling av små grupper (k-anonymitet) er på vår plan, men er ikke håndhevet av plattformen i dag — ansvaret for forsvarlig publisering ligger derfor hos behandlingsansvarlig.

All data lagres i EU (Frankfurt, Tyskland) hos vår infrastrukturleverandør. Vi bruker ikke serverløsninger utenfor EU/EØS for lagring av kundedata.

KI-behandling skjer hos Mistral AI i Frankrike (EU). Vi overfører ikke personopplysninger til tredjeland for KI-formål. Skulle en underleverandør i fremtiden måtte behandle data utenfor EU/EØS, baseres dette på EU-Kommisjonens standardkontrakter (SCC) og en oppdatert overføringsvurdering (TIA) i lys av Schrems II, og varsles på forhånd.

Vi bruker følgende underleverandører:

• Lovable Cloud (Lovable AS, Stockholm, Sverige): Utviklings- og driftsplattform for applikasjonen, inkludert bygg-, forhåndsvisnings- og publiseringsinfrastruktur. Underliggende database, autentisering, fillagring og edge-funksjoner leveres via Supabase (EU/EØS).
• Supabase / AWS (Frankfurt, EU): Database, autentisering, fillagring, Realtime.
• Mistral AI (Frankrike, EU): KI-generering, oppsummering og innholdsmoderering.
• Resend (US-selskap, EU-region for sending): Transaksjons-e-post. Overføring av tekniske metadata til USA dekket av SCC + EU–US Data Privacy Framework.
• Cloudflare (US-selskap, globalt edge): CDN, DDoS-beskyttelse, edge-routing og Turnstile bot-vern (personvernvennlig CAPTCHA-erstatning som ikke sporer brukere på tvers av nettsteder og ikke setter reklame-cookies). Overføring av tekniske metadata til USA dekket av SCC + EU–US Data Privacy Framework.
• Paddle.com Market Limited (Storbritannia, EU-databehandling): Betalingsleverandør som opptrer som Merchant of Record for alle kjøp. Paddle håndterer fakturering, kortbetaling, mva., kvitteringer og refusjoner, og mottar derfor navn, e-post, faktura-/leveringsadresse, IP og betalingsmetadata (selve kortnummeret behandles utelukkende av Paddles PCI-DSS-sertifiserte miljø — vi ser det aldri). Behandlingen er regulert av Paddles DPA med SCC for overføringer utenfor EØS, og Paddles egen personvernerklæring gjelder for betalingsdataene.
• Openverse (WordPress Foundation, USA): Åpent bildesøk brukt av rask quiz for å finne illustrasjoner til KI-genererte spørsmål. Vi sender kun et engelsk søkeord (oversatt av Mistral) — ingen personopplysninger om deltakere, arrangører eller innhold sendes til Openverse. Bilder vises via lenke med kildekreditering og lisens (Creative Commons / Public Domain).

Full liste med formål, lokasjon, overføringsgrunnlag (SCC/DPF) og kort sammendrag av overføringsvurdering (TIA) i lys av Schrems II finnes på utfordre.no/subprocessors. Endringer varsles minst 30 dager i forveien, og virksomheten har innsigelsesrett.

• All trafikk krypteres med TLS 1.2+. Data lagres kryptert (AES-256).
• Row-level security (RLS) sikrer at brukere bare ser egne / sin organisasjons data.
• To-faktor pålogging (TOTP) er påkrevd for super-admin og valgfritt — men sterkt anbefalt — for org-admin og øvrige brukere. En administrator kan selv aktivere det under Innstillinger.
• Sikkerhetslogg over pålogginger, eksport og rettighetsendringer.
• Regelmessig sårbarhetsskanning og avhengighetsovervåkning.
• Krypterte sikkerhetskopier med point-in-time recovery (7 dager).

For å beskytte tjenesten og respondentene mot bots, spam, trakassering og ulovlig innhold gjennomfører vi flere lag med automatiserte sikkerhetstiltak. Tiltakene er forankret i berettiget interesse (GDPR art. 6.1.f) og er utformet slik at de ikke profilerer enkeltpersoner eller fører til automatiserte avgjørelser med rettsvirkning for den enkelte (GDPR art. 22).

Bot-vern (Cloudflare Turnstile)

• Vi bruker Cloudflare Turnstile ved registrering og innlogging — en personvernvennlig erstatning for CAPTCHA.
• Turnstile sporer ikke brukere på tvers av nettsteder, samler ikke biometriske data og brukes ikke til reklame.
• Den tekniske signalen (gyldig/ugyldig) vurderes lokalt i nettleseren og verifiseres mot Cloudflare. Vi lagrer ikke selve signalet.
• Cloudflare opptrer som databehandler under EU-kontrakt; trafikk håndteres innenfor EU/EØS.

Rate-limiting og misbruksignaler

• Vi setter tak på antall forespørsler per IP og per bruker (f.eks. innsendte svar, e-postutsendelser, KI-kall) for å hindre overbelastning og misbruk.
• Når et tak treffes eller mistenkelig adferd oppdages, logges et misbruksignal med IP, tidspunkt og hvilken regel som ble truffet. Innholdet i forespørselen lagres ikke i denne loggen.
• IP-adresser i misbruksloggen lagres i maskert form (/24 for IPv4, /48 for IPv6) og slettes helt etter 90 dager, med mindre en pågående hendelse krever lengre bevaring.
• Super-admin har innsyn i aggregerte tall og toppliste over IP-er — men ikke i innhold som respondenter har sendt inn.

Innholdsmoderering av fritekst

• Fritekstsvar (≥ 20 tegn) sendes asynkront til en KI-klassifiserer hos vår europeiske leverandør (Mistral AI, Frankrike) for å oppdage hatprat, trusler, doxing og åpenbart ulovlig innhold.
• Identiske tekster hashes (SHA-256) og caches i 90 dager for å unngå dobbel KI-behandling — selve teksten lagres ikke i cachen, kun hashen og resultatet.
• Innhold som flagges, settes i kø for menneskelig gjennomgang av virksomhetens administrator. Endelig vurdering tas alltid av en person (menneskelig kontroll, AI Act art. 14).
• Klassifiseringen brukes ikke til å score, rangere eller profilere respondenter, og resultatet påvirker ikke en respondents tilgang til offentlige tjenester.
• Klassifiseringen er omfattet av samme transparensblokk som annen KI-bruk (se § 6) og skjer kun når undersøkelsen åpner for fritekst.

Lenke- og filsjekk

• Lenker i e-postmaler valideres mot en hviteliste (egen organisasjons verifiserte domener + utvalgte trygge tjenester). Avvik blokkeres og logges som misbruksignal.
• Opplastede dokumenter sjekkes mot magic bytes for å verifisere reell filtype og blokkere kjørbare filer og makro-aktiverte Office-dokumenter, uavhengig av filendelse.
• Bilder valideres mot maks 5 MB / 4096 × 4096 piksler. SHA-256-hash logges for å gjenkjenne kjent ulovlig innhold (kjent CSAM-hashlister kan kobles til ved behov for offentlig sektor).

Kostnadskontroll

KI-moderering har et daglig token-budsjett per organisasjon og en global kill-switch. Når budsjettet nås, settes nye fritekstsvar i kø for senere klassifisering eller for manuell gjennomgang av administrator. Dette sikrer at sikkerhetstiltakene er forutsigbare og forholdsmessige.

Innstillinger for behandlingsansvarlig

Org-admin kan i Innstillinger → Misbruk & moderering justere: aktivering av automatisk moderering, daglig token-budsjett, modellvalg, tillatte domener for e-postlenker, og terskler for rate-limiting. Endringene logges i sikkerhetsloggen. Standardverdiene er kalibrert for offentlig sektor og kan brukes uendret av kommuner, fylkeskommuner og statlige etater.

Behov for ingen KI-moderering (f.eks. for å oppfylle særskilte taushetspliktsregler)? Org-admin kan slå av automatisk klassifisering — da går fritekstsvar direkte til menneskelig gjennomgang etter virksomhetens egne rutiner.

Etter GDPR art. 15–22 har du rett til å:

• Få innsyn i hvilke opplysninger vi behandler om deg.
• Få rettet uriktige opplysninger.
• Få slettet opplysninger («rett til å bli glemt»).
• Begrense behandlingen.
• Få utlevert dine data i et maskinlesbart format (dataportabilitet).
• Protestere mot behandling basert på berettiget interesse.
• Trekke tilbake samtykke når som helst, uten at det påvirker tidligere behandling.

Henvendelser sendes til kontor@dmz.no. Vi svarer normalt innen 30 dager. Du kan også klage til Datatilsynet.

Utfordre er utformet for å oppfylle krav som gjelder norsk offentlig sektor:

• Databehandleravtale (DPA) tilbys digitalt før første publisering, med standardvilkår basert på EU-Kommisjonens mal. Tilpasninger til SSA-D / SSA-V (Statens standardavtaler) leveres på forespørsel for stat og kommune.
• DPIA-mal kan brukes som utgangspunkt for vurdering av personvernkonsekvenser (anbefalt for undersøkelser rettet mot elever, ansatte, innbyggere).
• Underdatabehandlere & TIA — full leverandørliste, lokasjon, overføringsgrunnlag (SCC/DPF) og Schrems II-vurdering.
• Trust Center — sikkerhetsdokumentasjon, NSM 2.0-mapping, ISO 27001/SOC 2-roadmap og pen-test-status.
• Universell utforming: Respondent- og presentasjonsflater følger WCAG 2.1 AA. Se tilgjengelighetserklæringen for status, kjente avvik og forbedringsplan.
• Behandlingsoversikt (RoPA, art. 30): Offentlig sammendrag finnes på utfordre.no/ropa. Fullstendig RoPA gjøres tilgjengelig for tilsyn og kunder med DPA på forespørsel.
• Arkivlov: Eksportformater (CSV, PDF, JSON) støtter overføring til kommunens/etatens arkivsystem.
• Åpenhetsloven: Vi rapporterer årlig på leverandørkjedeansvar.

Særskilt for skoler og oppvekst

• Ingen læringsanalyse: Utfordre brukes ikke til å vurdere, score eller sortere enkeltelever. KI brukes kun til utkast og aggregerte oppsummeringer, aldri til prediksjon om elevprestasjon, frafall eller atferd.
• Anonym som standard for elever: For undersøkelser merket «under 16 år» aktiveres barnesikker modus automatisk (se § 5) — fritekst frarådes, anonym personvernmodus anbefales og KI-genererte spørsmål tilpasses alder.
• Ingen reklame eller profilering av elever, foresatte eller ansatte. Cookies brukes kun til sesjon og sikkerhet (§ 15).
• Foresattes samtykke: For barn under 13 år innhentes foresattes samtykke utenfor plattformen av skole/kommune før distribusjon.
• Sjekkliste for skoleeier: Vi tilbyr en kort sjekkliste som dekker Datatilsynets og Utdanningsdirektoratets anbefalinger for digitale tjenester i skolen (DPIA, behandlingsgrunnlag, alderssegmentering, sletterutiner) — be om PDF på kontor@dmz.no.

Be om DPA, sikkerhetspakke, skole-sjekkliste eller DPIA-mal på kontor@dmz.no.

Vi bruker kun nødvendige informasjonskapsler for innlogging, sesjonshåndtering og sikkerhet (inkludert en kortlevd cookie fra Cloudflare Turnstile for bot-vern ved registrering/innlogging). Vi bruker ikke sporings- eller markedsføringscookies, og krever derfor ikke cookie-banner etter ekomloven § 2-7b.

Ved brudd på personopplysningssikkerheten varsles behandlingsansvarlig uten ugrunnet opphold og senest innen 24 timer etter at vi blir kjent med bruddet, jf. GDPR art. 33. Vi har etablerte rutiner for håndtering, inneslutning og dokumentasjon av avvik.

Respondenter kan melde misbruk, upassende innhold eller mistanke om datalekkasje direkte til oss på kontor@dmz.no eller kontor@dmz.no — uavhengig av arrangør. Sikkerhetshull rapporteres til kontor@dmz.no (se også /.well-known/security.txt).

Erstatningsansvar ved brudd på personvernregelverdet reguleres i vår databehandleravtale (DPA), jf. GDPR art. 82. For øvrige forhold (tjenesteavbrudd, feil, manglende tilgjengelighet) gjelder generelle erstatningsregler i norsk rett, begrenset til årlig vederlag for tjenesten med mindre annet følger av ufravikelig lov eller grov uaktsomhet/forsett.

Vesentlige endringer varsles på e-post til registrerte brukere minst 30 dager før ikrafttredelse. Tidligere versjoner er tilgjengelige på forespørsel.