Underdatabehandlere
← Tilbake til dokumenter Last ned som PDF
Dette er de leverandørene som behandler personopplysninger på vegne av Språki. Listen er vedlegg C til databehandleravtalen, og den er lik for alle kunder.
Endringer varsles skriftlig til behandlingsansvarlig minst 30 dager før de trer i kraft, med rett til å protestere. Vi tar ikke i bruk en ny leverandør før fristen har løpt ut.
Underdatabehandlere på listen
Her står leverandørene vi har databehandleravtale med og som er godkjent for bruk. De som faktisk behandler personopplysninger i dag står uten merke; en leverandør vi har avtale med, men som ingen funksjon bruker akkurat nå, merkes Hvilende. Per 27. september 2026 er ingen leverandør hvilende.
| Leverandør | Land | Formål | Data som behandles | Overføringsgrunnlag |
|---|---|---|---|---|
| Google LLC | USA | KI-behandling (Gemini): tekst, tilbakemelding, oversettelse, bildegenerering, tale, OCR, uttaleanalyse og sanntidssamtale. I tillegg e-postutsending og valgfri Google-innlogging | Elevtekst, prompts, opplastede bilder, lydopptak, videobilder ved kamerabruk, e-postadresser | EU-US DPFSCCs |
| ElevenLabs Inc. | USA | Tekst-til-tale (uttale-eksempler) og tale-til-tekst (transkribering) | Tekst for talesyntese, brukerens mikrofonopptak | EU-US DPFSCCs |
| Cloudflare Inc. | USA (lagring i EU) | Fillagring (R2 med EU-jurisdiksjon), CDN/sikkerhetsproxy, KI-bildegenerering (Workers AI – FLUX) og utsending av e-post fra appen (Email Service) | Opplastede og genererte bilder, lyd, presentasjoner; tekstbeskrivelser for bildegenerering; nettverkstrafikk; e-postadresse og navn i utgående e-post fra appen (verifisering, tilbakestilling av passord, invitasjoner og varsler) | EU-US DPFSCCs |
| OpenAI Ireland Ltd / OpenAI OpCo, LLC | Irland / USA | KI-behandling av tekst: språkanalyse av elevers innsendte skrivetekster og korte veiledningstekster ut fra samlede telletall i «Skriveutvikling» (pilot); læringsveilederen (pilot, kun interne testkontoer) | Elevtekst med oppgavetekst og registrert nivå; samlede telletall per språkområde, uten tekstinnhold; i læringsveilederen også meldinger, elevprofil og vedlagte bilder. Aldri navn, e-post, bruker-ID eller organisasjon | SCCs |
| Microsoft Ireland Operations Limited (morselskap: Microsoft Corporation, USA) | Irland / USA (behandling i EU: Sweden Central) | Uttalemåling i uttaletreningen (Azure AI Speech): måler hvordan hvert ord og hver lyd ble uttalt, med tidsangivelse per lyd | Elevens lydopptak av én øvingssetning (noen sekunder) og setningsteksten; en KI-generert referanseopplesning av samme setning (syntetisk stemme, ingen personopplysninger). Aldri navn, e-post, bruker-ID eller organisasjon. Lyden behandles kun i minnet og lagres ikke hos leverandøren | EU-US DPFSCCs |
| netcup GmbH | Tyskland | Serverhosting (VPS), applikasjon og database | All brukerdata: kontoer, læringsdata, innhold | EØS |
| Stripe Payments Europe Ltd / Stripe, LLC | Irland / USA | Betalingsbehandling — kun privatkunder. Ikke relevant for organisasjonsavtaler, som faktureres direkte | Navn, e-post, betalingsinformasjon | EU-US DPFSCCs |
Hvilende og reserve — forskjellen
To ting kan se like ut utenfra, men er ikke det samme avtalemessig. Vi skiller dem med vilje.
Hvilende betyr at leverandøren står på listen over, at vi har signert databehandleravtale, og at overføringsgrunnlaget er dokumentert — men at ingen funksjon sender data dit akkurat nå. Fordi en hvilende leverandør allerede er oppført og varslet om, er det ikke et nytt varsel hvis funksjonen slås på igjen innenfor det formålet som står i tabellen. Et nytt formål er derimot en endring i listen, også for en leverandør som allerede står der. Ingen leverandør er hvilende per 27. september 2026: OpenAI var det fra 13. august 2026 (talesyntese), og brukes nå til et nytt formål, tekstanalyse — se endringsloggen.
Reserve betyr en tilkobling som ikke står på listen. KI-gatewayen har en ferdig, ubrukt tilkobling til Anthropic. Ingen funksjon peker på den, og den behandler ingen data. Å ta den i bruk krever tre ting, i denne rekkefølgen: kontroll av gjeldende databehandleravtale og treningspolicy, oppdatering av denne listen, og skriftlig varsel til alle behandlingsansvarlige minst 30 dager i forveien. Vi nevner den fordi åpenhet om hva som kan tas i bruk er en del av det å være forutsigbar.
Tjenester som ikke er underdatabehandlere
| Tjeneste | Hvorfor ikke |
|---|---|
| Apple App Store / Google Play | Selvstendige behandlingsansvarlige for appdistribusjon. Omtales i personvernerklæringen, ikke i databehandleravtalen |
| Umami (bruksstatistikk) | Selvhostet og informasjonskapselfri, på vår egen EU-server. Ingen tredjepart involvert |
| Ordbøkene.no | Rent ordoppslag — ingen personopplysninger sendes |
| Google Chat (driftsvarsler) | Interne varsler til oss selv. Feilvarsler er minimert til feiltype og request-ID; varsler om henvendelser inneholder avsenderens navn, e-post og melding. Dekkes av avtalen med Google, som allerede står i listen over |
| Postmark | Deklarert i koden, men ikke i bruk — ingen e-post sendes via Postmark i dag. Ved en eventuell aktivering behandles den som ny underdatabehandler med 30-dagers varsel |
| Vipps | Ingen integrasjon. Betalingsbekreftelse skjer manuelt |
Endringslogg
| Dato | Endring |
|---|---|
| September 2026 | Microsoft (Azure AI Speech) lagt til, for uttaletreningen. En egen måletjeneste for uttale måler nå hvordan hvert ord og hver lyd ble uttalt, og Google Gemini skriver fortsatt forklaringen. Grunnen: en språkmodell alene viste seg å rose selv stille opptak, og en målemotor pluss en språkmodell som bare forklarer, gir ærligere tilbakemelding. Microsoft får elevens opptak av én øvingssetning, setningsteksten og en KI-generert referanseopplesning — aldri navn, e-post, bruker-ID eller organisasjon. Behandlingen skjer i EU-regionen Sweden Central, og lyden lagres ikke. Kontraktspart er Microsoft Ireland Operations Limited; overføringsgrunnlaget er EU-US Data Privacy Framework med standardkontraktsklausuler. Tatt i bruk 27. september 2026, først som pilot |
| September 2026 | OpenAI tatt i bruk igjen, til et nytt formål: tekstanalyse. «Skriveutvikling» (pilot for et begrenset utvalg elever) sender elevens tekst ved første innsending til OpenAI for språkanalyse, og samlede telletall — uten tekst — for korte veiledningstekster. Læringsveilederen (pilot, kun interne testkontoer) kjører også på OpenAI. Ingen navn, e-post, bruker-ID eller organisasjon sendes. OpenAI brukes ikke lenger til talesyntese. Overføringsgrunnlaget er uendret: standardkontraktsklausuler |
| August 2026 | Utsending av e-post flyttet til Cloudflare. E-post fra appen — verifisering, tilbakestilling av passord, invitasjoner og varsler — sendes nå via Cloudflare Email Service i stedet for Google Workspace SMTP. Ingen ny underdatabehandler: Cloudflare står allerede på listen, og samme avtale dekker tjenesten. Rollebeskrivelsen er utvidet tilsvarende |
| August 2026 | OpenAI satt til hvilende. Google Gemini fikk strømmende talesyntese og dekker nå alle språkene vi trenger, inkludert bosnisk, som var det siste OpenAI dekket alene. Ingen funksjon sender lenger data til OpenAI. Leverandøren blir stående på listen med signert avtale, slik at et eventuelt gjenopptak innenfor samme formål ikke krever nytt varsel |
| August 2026 | OpenAIs rolle presisert: kun talesyntese (opplesing) — all oversettelse gjøres av Google Gemini. Google Chat og Postmark lagt til i tabellen over tjenester som ikke er underdatabehandlere |
| August 2026 | Fireworks AI fjernet. Leverandøren avviklet FLUX-modellen, og bildegenerering er flyttet til Cloudflare Workers AI — samme modell, en leverandør vi allerede bruker. Netto forbedring: én underdatabehandler færre, og overføringsgrunnlaget for bildegenerering går fra SCCs alene til DPF + SCCs |
| Juli 2026 | Fireworks (bildegenerering) og OpenAI flyttet tilbake fra reserve til aktive etter gjennomgang av faktisk bruk. Kun Anthropic igjen som reserve |
| Juli 2026 | Listen verifisert mot koden. Google Workspace (e-post) og Google-innlogging lagt til. Korrigert: OpenAI er ikke DPF-sertifisert — overføringsgrunnlaget er standardkontraktsklausuler |
| Mars 2026 | Første publiserte versjon |
Varsel om endringer
Er dere organisasjonskunde, får dere endringer varslet direkte per e-post minst 30 dager før de trer i kraft. Vil dere ha varsel uten å være kunde — for eksempel som personvernombud i en vurderingsfase — send oss en e-post, så setter vi dere på listen.
Versjon 2.6 · sist oppdatert 27. september 2026 · OpenAI-bruken verifisert mot kodebasen og live konfigurasjon 27. september 2026; Microsoft (Azure AI Speech) lagt til 27. september 2026