Databehandleravtale for Vettu
Denne databehandleravtalen («Avtalen») regulerer Enne AS sin behandling av personopplysninger på vegne av Kunden når Kunden bruker tjenesten Vettu (vettu.no). Avtalen gjelder foran bruksvilkårene for alt som angår personopplysninger. Den gjeldende versjonen og listen over underdatabehandlere er alltid publisert på vettu.no/vettu/databehandleravtale.
Behandlingsansvarlig («Kunden»)
Databehandler («Enne AS»)
1. Bakgrunn og formål
Kunden bruker Vettu til å lage quizer, gjennomføre dem live med deltakere som svarer fra egen mobil, nettbrett eller PC, og dele dem som oppgaver deltakerne løser i eget tempo. I den forbindelse behandler Enne AS personopplysninger på Kundens vegne. Avtalen skal sikre at behandlingen skjer i samsvar med personopplysningsloven og forordning (EU) 2016/679 (GDPR), særlig artikkel 28. Begreper i Avtalen har samme betydning som i GDPR artikkel 4.
2. Roller og instrukser
Kunden er behandlingsansvarlig for (a) opplysninger om elever og andre deltakere i quizer og oppgaver som Kundens brukere leder eller deler, (b) Vettu-kontoene som Kundens ansatte bruker i Kundens virksomhet – kontoer med e-postadresse på domenet oppgitt over, og andre kontoer Kunden melder inn skriftlig – og (c) innhold disse brukerne legger inn. Enne AS er databehandler for disse opplysningene og behandler dem bare etter Kundens dokumenterte instrukser. Kundens bruk av funksjonene i Vettu utgjør instruksene, sammen med denne Avtalen. Enne AS skal straks varsle Kunden dersom en instruks etter Enne AS sin vurdering er i strid med gjeldende rett.
Enne AS er selv behandlingsansvarlig for opplysninger om kundeforholdet (kontaktpersoner, henvendelser), for hjelpeassistenten Alex, ønskelista og topplistene i «Øv selv» på vettu.no, og for kontoer som ikke brukes i Kundens virksomhet. Dette er beskrevet i personvernerklæringen på vettu.no/vettu/personvern og omfattes ikke av Avtalen.
3. Enne AS sine plikter (GDPR artikkel 28 nr. 3)
- Instruks. Behandle personopplysninger bare etter Kundens dokumenterte instrukser, også ved overføring til land utenfor EØS, med mindre annet følger av lov.
- Taushetsplikt. Sikre at alle som får tilgang til personopplysningene, har taushetsplikt ved avtale eller lov, og at plikten består etter at oppdraget er avsluttet.
- Sikkerhet. Gjennomføre tiltakene i Bilag 3 og holde dem oppdatert i tråd med GDPR artikkel 32.
- Underdatabehandlere. Bare bruke underdatabehandlere i samsvar med punkt 5.
- De registrertes rettigheter. Bistå Kunden, så langt det er mulig, med å oppfylle plikten til å svare på anmodninger om innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse (GDPR kapittel III). Henvendelser Enne AS mottar direkte fra registrerte, sendes videre til Kunden uten ugrunnet opphold.
- Bistand. Bistå Kunden med pliktene i GDPR artikkel 32–36 (sikkerhet, melding om brudd, vurdering av personvernkonsekvenser og forhåndsdrøfting), ut fra behandlingens art og informasjonen Enne AS har.
- Opphør. Slette eller tilbakelevere alle personopplysninger etter Kundens valg når bruken opphører, i samsvar med punkt 10 og Bilag 4.
- Dokumentasjon og revisjon. Gjøre tilgjengelig all informasjon som trengs for å vise at pliktene er oppfylt, og muliggjøre og bidra til revisjoner i samsvar med punkt 7.
4. Behandlingens art, formål og omfang
Gjenstand, varighet, art og formål, kategorier av registrerte og typer personopplysninger står i Bilag 1. Vettu er ikke laget for særlige kategorier av personopplysninger (GDPR artikkel 9) eller opplysninger om straffedommer, og Kunden skal ikke legge inn slike opplysninger – heller ikke i spørsmål eller be deltakerne svare med slike opplysninger.
5. Underdatabehandlere
Kunden gir en generell forhåndsgodkjenning til at Enne AS bruker underdatabehandlerne i Bilag 2. Enne AS skal varsle Kunden minst 30 dager før en ny underdatabehandler tas i bruk eller en eksisterende byttes ut, ved e-post til Kundens kontaktperson og ved å oppdatere listen på vettu.no/vettu/databehandleravtale. Kunden kan innen fristen komme med en begrunnet innsigelse. Blir partene ikke enige, kan Kunden avslutte bruken av Vettu, og Enne AS sletter Kundens opplysninger etter Bilag 4, uten kostnad for Kunden.
Enne AS skal pålegge hver underdatabehandler skriftlige forpliktelser som gir minst samme beskyttelse som denne Avtalen, og er fullt ansvarlig overfor Kunden for at underdatabehandleren oppfyller dem.
6. Overføring til land utenfor EØS
Enne AS behandler personopplysninger innenfor EØS. Enkelte underdatabehandlere (Bilag 2) er etablert i, eller kan behandle opplysninger fra, land utenfor EØS. Slik overføring skjer bare på et gyldig grunnlag etter GDPR kapittel V: en beslutning om tilstrekkelig beskyttelsesnivå (herunder EU–US Data Privacy Framework for sertifiserte amerikanske virksomheter, og Kommisjonens beslutning for Sveits) eller EU-kommisjonens standardpersonvernbestemmelser (2021/914) med de supplerende tiltakene som trengs. Grunnlaget for hver underdatabehandler står i Bilag 2. Opplysninger om elever og deltakere sendes aldri til KI-funksjonene i Vettu (quizhjelpen og Alex) eller i driftsvarslene. KI-verktøyet Enne AS bruker i utvikling og drift, er ikke underdatabehandler og skal ikke få personopplysninger (Bilag 3).
7. Dokumentasjon og revisjon
Enne AS stiller til rådighet: denne Avtalen med bilag, personvernerklæringen, den til enhver tid gjeldende listen over underdatabehandlere, og på forespørsel en beskrivelse av sikkerhetskopiering og gjenoppretting og utdrag av revisjonsloggen for administrativ tilgang.
Kunden, eller en uavhengig revisor Kunden utpeker og som har taushetsplikt, kan revidere Enne AS sin etterlevelse av Avtalen inntil én gang per år med minst 30 dagers skriftlig varsel. Revisjonen gjennomføres i ordinær arbeidstid, uten unødig forstyrrelse av driften, og skal ikke gi tilgang til andres opplysninger. Enne AS besvarer skriftlige spørsmål (sikkerhetsspørreskjema) vederlagsfritt. Kostnader ved revisjon på stedet dekkes av Kunden, med mindre revisjonen avdekker vesentlige brudd på Avtalen.
8. Brudd på personopplysningssikkerheten
Enne AS skal varsle Kunden uten ugrunnet opphold og senest innen 48 timer etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører Kundens opplysninger, slik at Kunden kan overholde fristen på 72 timer til Datatilsynet (GDPR artikkel 33). Varselet sendes til Kundens oppgitte e-post og skal, så langt det er kjent, beskrive bruddets art, berørte kategorier og omtrentlig antall registrerte og opplysninger, sannsynlige konsekvenser, iverksatte og foreslåtte tiltak, og et kontaktpunkt hos Enne AS. Det som ikke er kjent innen fristen, ettersendes løpende. Enne AS bistår Kunden med melding til Datatilsynet og eventuell underretning til de registrerte.
9. Vederlag for bistand
Bistand etter punkt 3 bokstav e og f som Vettu selv ikke gir (for eksempel omfattende sammenstillinger eller dokumentasjon utover det som er publisert), kan faktureres etter medgått tid til Enne AS sin gjeldende timepris etter forhåndsavtale. Bistand ved brudd på personopplysningssikkerheten som Enne AS eller underdatabehandlerne er ansvarlige for, er alltid vederlagsfri.
10. Opphør, sletting og tilbakelevering
Når Kunden slutter å bruke Vettu, eller ber om det skriftlig, skal Enne AS etter Kundens valg tilbakelevere og/eller slette alle personopplysninger som behandles på Kundens vegne, senest 30 dager etter anmodningen, og bekrefte slettingen i en skriftlig sletterapport. Fremgangsmåten, hva som slettes automatisk underveis, og hvordan sikkerhetskopier håndteres, står i Bilag 4.
11. Varighet og endringer
Avtalen gjelder så lenge Enne AS behandler personopplysninger på vegne av Kunden i Vettu. Enne AS kan oppdatere Bilag 2 (underdatabehandlere) etter punkt 5 og Bilag 3 (sikkerhetstiltak) med 30 dagers varsel, forutsatt at beskyttelsesnivået ikke svekkes. Andre endringer krever skriftlig enighet. Punkt 3 bokstav b (taushetsplikt) gjelder også etter at Avtalen er opphørt.
12. Ansvar, lovvalg og verneting
Partenes ansvar følger av GDPR artikkel 82. Avtalen er underlagt norsk rett. Tvister løses ved Enne AS sitt hjemting, Østre Innlandet tingrett, med mindre annet følger av tvingende rett.
For behandlingsansvarlig (Kunden)
For databehandler (Enne AS)
Bilag 1 – Behandlingens art og formål
- Gjenstand
- Levering av Vettu: quizer som lages og lagres, live-quiz der deltakerne svarer fra egen mobil, nettbrett eller PC og resultatene vises på storskjerm, oppgaver i eget tempo (Egen takt), rapporter til den som leder, KI som lager quizutkast på forespørsel, og bilder i spørsmålene.
- Varighet
- Så lenge Kunden bruker Vettu. Sletting eller tilbakelevering innen 30 dager etter anmodning (Bilag 4).
- Behandlingens art
- Lagring, visning, sanntidsoverføring mellom storskjerm og deltakernes enheter, poengberegning, rapporter, filtrering av kallenavn og fritekst mot stygge ord (på egen server), generering av quizutkast med KI etter Kundens instruks, utsending av e-post, sikkerhetskopiering.
- Formål
- Å la Kundens brukere lage og gjennomføre quizer og oppgaver og se resultatene. Ingen annen bruk – ingen reklame, ingen profilering, ingen salg.
- Kategorier av registrerte
- (a) Elever og andre deltakere i quizer og oppgaver. (b) Kundens ansatte som har Vettu-konto (for eksempel lærere). (c) Personer som fremkommer i innhold Kundens brukere legger inn (tekst og bilder). (d) Kundens kontaktpersoner.
- Typer personopplysninger
- (a) Kallenavn, figur, lagnavn og lagmedlemmenes navn i lagmodus, svar (i spørsmål med åpne svar: teksten deltakeren skriver), om svarene var riktige, svartid, poeng og plassering, spørsmål og reaksjoner til den som leder, tidspunkt for oppgaveforsøk. Deltakerne oppgir ikke navn, e-post, telefon eller fødselsdato, og trenger ingen konto. (b) Navn, e-postadresse, passord (bare som hash), kontonavn, figur, quizer og bilder, og IP-adresse brukt til vern mot passordgjetting og misbruk. (c) Det Kundens brukere selv legger inn. (d) Navn og e-post.
- Særlige kategorier
- Ikke tiltenkt og skal ikke legges inn (punkt 4).
- Lagringstid
- Live-quiz: i minnet mens den pågår; resultatet slettes automatisk etter 90 dager. Oppgaver: svarene slettes automatisk 30 dager etter fristen. Øv selv: ingenting lagres for Kunden (topplista på de ferdige quizene er Enne AS sitt eget ansvar, se personvernerklæringen). Quizer, bilder og kontoer: til brukeren eller Kunden sletter dem; ubrukte bilder etter 7 dager.
Bilag 2 – Underdatabehandlere (per 1. oktober 2026)
Gjeldende liste: vettu.no/vettu/databehandleravtale. Endringer varsles 30 dager i forveien (punkt 5).
Hetzner Online GmbH
Gunzenhausen, Tyskland
- Hva
- Drift av server, database og fillager for hele Vettu
- Hvilke opplysninger
- Alle opplysningene i Bilag 1
- Sted og grunnlag
- Datasenter i Tyskland (EØS)
pCloud International AG
Sveits
- Hva
- Ekstern sikkerhetskopi av database og filer
- Hvilke opplysninger
- Alle opplysningene i Bilag 1 (i sikkerhetskopi)
- Sted og grunnlag
- Lagret i pClouds EU-region (Luxembourg). Sveits har beslutning om tilstrekkelig beskyttelsesnivå
SiteGround Spain S.L.
Madrid, Spania
- Hva
- Utsending av e-post fra Vettu (bekreftelse av e-postadresse og nytt passord)
- Hvilke opplysninger
- Navn og e-postadresse til den som har konto, og innholdet i e-posten
- Sted og grunnlag
- EU (EØS)
Anthropic Ireland, Limited
Dublin, Irland – behandlingen skjer i USA hos Anthropic, PBC
- Hva
- KI-modeller (Claude): lager quizutkast når den som har konto ber om det, og svarer i hjelpeassistenten Alex
- Hvilke opplysninger
- Grunnlaget for en KI-quiz (fra forsiden: tema og målgruppe) og spørsmål til Alex, der e-post, telefonnummer og fødselsnummer fjernes før sending. Aldri opplysninger om spillere eller elever
- Sted og grunnlag
- Avtalepart for kunder i EØS er Anthropic Ireland, Limited; opplysningene behandles i USA. EUs standardbestemmelser (SCC) i Anthropics databehandleravtale. Ingen trening på dataene; inndata slettes hos leverandøren innen 30 dager
Ikke underdatabehandlere: Bildesøket (Pexels, drevet av Canva Germany GmbH i Tyskland, og Openverse i USA) får bare søkeordet, og bare fra vår server – aldri personopplysninger. Trykker den som leder quizen «Cast til TV», henter nettleseren og TV-en Googles Cast-bibliotek fra Google, som da ser IP-adressen. Det er tredjepartsinnhold i nettleseren, ikke behandling på vegne av kunden. Enne AS sitt eget utstyr i Norge (offline sikkerhetskopi) er Enne AS selv, ikke en underdatabehandler. Interne driftsvarsler til Enne AS går via Telegram, men inneholder bare type hendelse, antall og vårt eget innhold (som navnet på en ferdig quiz) – aldri personopplysninger. Detaljene ser vi bare innlogget på vår egen server.
Bilag 3 – Tekniske og organisatoriske sikkerhetstiltak
Vettu kjører på samme infrastruktur og med de samme tiltakene som skjerm.ai fra Enne AS. Tiltakene er konkrete og etterprøvbare, og Enne AS kan på forespørsel dokumentere hvert punkt. De samme tiltakene er mappet til NSMs grunnprinsipper for IKT-sikkerhet på skjerm.ai/personvern/sikkerhet.
- Kryptering under transport
- All kommunikasjon går over TLS med HSTS. Ingen ukrypterte tjenester eksponeres.
- Autentisering
- Passord lagres bare som bcrypt-hash. Vern mot passordgjetting med hastighetsbegrensning per konto og per IP-adresse og midlertidig sperre. Innloggingskapselen er httpOnly, secure og sameSite, og settes bare ved innlogging.
- Tilgangsstyring
- Logisk skille mellom kontoer håndheves i hver databasespørring. Deltakere har ingen konto og ser bare quizen de er med i. Enne AS sin drifts- og supporttilgang er begrenset til dem som trenger den. Innlogging og endringer med vår driftsadministrator-tilgang (superadmin) i kundenes kontoer logges i en revisjonslogg (hvem, hva, når) som beholdes i 24 måneder.
- Dataminimering
- Deltakerne oppgir bare kallenavn og figur. Oppgaveforsøk identifiseres med en hemmelig nøkkel som bare ligger i deltakerens nettleser; serveren lagrer bare en hash av den. Resultater slettes automatisk (Bilag 1). Kallenavn- og fritekstfilteret kjører på egen server. Opplastede bilder kodes om, og innebygde kamera- og posisjonsdata fjernes. Hjelpeassistenten lagrer ingen samtaler, og IP-adresser brukes der bare som hash med en nøkkel som byttes ved hver oppstart.
- Ingen tredjeparter i nettleseren
- Nettsidene, spillersiden og storskjermen henter skrifter, figurer, lyder og bilder fra vår egen server. Ingen reklame, ingen analyse- eller sporingsverktøy. Unntak: Googles Cast-bibliotek, bare når brukeren selv trykker «Cast til TV».
- Infrastruktur
- Dedikert virtuell server hos Hetzner (Tyskland). Database og fillager er bare tilgjengelig lokalt på serveren. Administrativ tilgang bare med SSH-nøkler; passordinnlogging er slått av. Sikkerhetshoder på alle svar.
- Sårbarhetshåndtering
- Daglig automatisk sårbarhetsskanning av programvareavhengigheter med varsling ved alvorlige funn. Programvareoversikt (SBOM) vedlikeholdes. Intern sikkerhetsgjennomgang av Vettu (tilgangsstyring, innhold og misbruk) gjennomført september 2026, med utbedring av funnene.
- Sikkerhetskopiering og gjenoppretting
- Daglig fullstendig kopi av database og filer på tre uavhengige steder: driftsserveren, Enne AS sitt eget utstyr i Norge og pCloud (EU-region). Ukentlig gjenopprettingstest. Daglige kopier beholdes i 14 dager, offline arkivkopi i inntil 12 måneder.
- Overvåking og hendelser
- Kontinuerlig overvåking med automatiske varsler til Enne AS. Dokumentert rutine for håndtering og varsling av sikkerhetsbrudd; Kunden varsles innen 48 timer (punkt 8).
- KI-verktøy i utvikling og drift
- Enne AS bruker KI-verktøyet Claude Code (Anthropic) når vi utvikler og drifter Vettu. Det er ikke underdatabehandler og skal ikke få personopplysninger. Driftsgrensesnittet verktøyet bruker, skjuler e-postadresser, telefonnumre og IP-adresser i alle svar, viser kontoer uten navn og viser aldri tekst brukerne har skrevet i egne quizer. En automatisk test kontrollerer at ingenting av dette slipper ut, og bruken logges i revisjonsloggen. En teknisk sperre stopper databaseoppslag som henter navn, e-postadresser, IP-adresser eller fritekst om brukerne, og utskrift av hemmeligheter. Feilsøking som krever personopplysninger, gjør daglig leder selv i administrasjonsgrensesnittet, uten verktøyet. Sperrene er regelbaserte og ikke absolutte. Får verktøyet personopplysninger ved en feil, behandles det som et avvik etter hendelsesrutinen.
- Organisatoriske tiltak
- Alle med tilgang har taushetsplikt. Prinsippet om minste privilegium. Nøkler og hemmeligheter lagres bare på serveren, aldri i kildekode eller versjonskontroll. Alle endringer i programvaren er versjonskontrollert og testes før de settes i drift.
Bilag 4 – Sletting og tilbakelevering
Automatisk sletting underveis. Resultater fra live-quiz slettes 90 dager etter at quizen ble avsluttet, og svar på oppgaver 30 dager etter fristen. Den som leder, kan slette resultater og oppgaver før. Ubrukte bilder slettes etter 7 dager.
Sletting av en konto. Kundens brukere kan selv slette kontoen sin under Min konto. Da slettes kontoen og alle quizer, resultater, oppgaver og bilder i den med én gang.
Når Kunden ber om sletting eller tilbakelevering (skriftlig til hei@skjerm.ai):
- Dag 0 – bekreftelse. Vi bekrefter skriftlig til Kundens kontaktperson at rutinen er startet, og ber Kunden velge tilbakelevering og sletting eller bare sletting. Svarfrist 14 dager. Uten svar gjennomføres sletting ved dag 30.
- Tilbakelevering (innen 14 dager etter Kundens valg): quizene og de resultatene som fortsatt finnes, som JSON-filer, og bildene i originalformatet de er lagret i (WebP). Leveres via tidsbegrenset, passordbeskyttet nedlastingslenke til kontaktpersonen.
- Sletting (senest dag 30): kontoene som omfattes av Avtalen (punkt 2), med alle quizer, resultater, oppgaver med svar, bilder og figurer, fjernes fra databasen og fillageret.
- Det som beholdes, og hvorfor: revisjonsloggen over Enne AS sin administrative tilgang i inntil 24 måneder, av sikkerhetshensyn (tidspunkt, handling og identifikator – ikke innhold), og eventuelle henvendelser i Enne AS sin e-post, som Enne AS er behandlingsansvarlig for.
- Sikkerhetskopier: slettede opplysninger forsvinner fra de daglige kopiene innen 14 dager og fra offline-arkivet innen 12 måneder. Kopiene brukes bare til katastrofegjenoppretting; må vi gjenopprette, slettes tidligere slettede opplysninger igjen straks etterpå.
- Underdatabehandlere: Anthropic lagrer ikke opplysningene utover leverandørens kortvarige sikkerhetslagring (inntil 30 dager) og bruker dem ikke til trening. E-postleverandøren beholder meldingslogger etter egne, tidsbegrensede rutiner.
- Sletterapport (senest dag 30) til kontaktpersonen: hvilke kontoer, dato og tidspunkt for slettingen, hva som ble slettet med antall per kategori, hva som beholdes og på hvilket grunnlag, når sikkerhetskopiene er rullert ut, og navn på ansvarlig hos Enne AS.