Personvern og sikkerhet

Hvem har ansvar?

Den som bestemmer formålet med en undersøkelse, må avklare sitt ansvar for svarene. Ved bruk i en virksomhet er dette normalt et ansvar virksomheten må vurdere, ikke noe som automatisk overføres til den ansatte som presenterer. Tjenesteeieren må avklare sitt ansvar for konto, tilgang og drift, og om tjenesten behandler data på oppdrag fra andre.

Juridisk tjenesteeier

Ikke oppgitt ennå – må fylles ut før ekstern bruk.

Personvernkontakt

haugproductions2026@gmail.com (ikke send sensitive opplysninger).

Bruk på jobb

Avklar ansvar, behandlingsgrunnlag og nødvendige avtaler med virksomheten før bruk.

Hva behandler løsningen?

Er svarene anonyme?

I spørreundersøkelser ber vi ikke deltakere om navn, og eksporten inneholder ikke deltaker-ID-er. I quiz velger deltakeren et kallenavn (maks 12 tegn). Dette kan gjøre vedkommende gjenkjennelig og behandles derfor som mulig personopplysning. Quiz er ikke anonym: verten ser kallenavn og poeng, og topp 10 vises til deltakerne. Likevel bruker appen en tilfeldig ID for deltakelsen, og noen kan bli gjenkjent gjennom det de skriver, tidspunktet eller en liten gruppe. Vi lover derfor ikke full anonymitet.

Ikke skriv opplysninger om deg selv eller andre som kan identifisere noen. Ikke skriv sensitive opplysninger. Se eksempler og forbud i retningslinjene.

Quiz: data, synlighet og lagring

Quiz behandler kallenavn, en tilfeldig deltakeridentifikator, valgte svar, poeng, streak og plassering. Poeng beregnes på serveren etter svartid. Deltakeridentifikatoren ligger i en nødvendig HTTPS-informasjonskapsel (kadutrur_quiz_player) som JavaScript ikke kan lese; databasen bruker en hash av identifikatoren. Kallenavn og poeng vises på topplisten. Verten kan se og eksportere en liste over alle deltakerne. Hver deltaker ser egen plassering.

Quizmaler med spørsmål og bilder utløper seks kalendermåneder fra opprettelse eller siste bruk. Opprettelse av økt, start og omstart regnes som bruk; redigering alene forlenger ikke. Quizøkter med deltakerdata slettes etter 30 dager fra opprettelse. Lagrede resultatlister beholdes separat i 30 dager fra lagring. Lastet ned CSV må verten beskytte og slette selv. Quizmaler og lagrede resultatlister kan også slettes manuelt.

Bilder lagres i den eksisterende PostgreSQL-databasen. De dekodes og omkodes til WebP med begrenset oppløsning; opprinnelige metadata videreføres ikke. Bare eieren og deltakere i en tilknyttet økt får tilgang. Bilder uten tilknytning til en quiz eller økt ryddes når de er eldre enn ett døgn. Daglig opprydding er lagt til samme beskyttede Vercel-jobb som for undersøkelser; jobbfeil kan forsinke fysisk sletting.

Administrasjon og brukstall

Bare den bekreftede kontoen vlahau@innlandetfylke.no har administratortilgang. Administrasjon viser oppretterkontoens primære e-postadresse og tellere for opprettede undersøkelser, quizer og faktiske kjøringer. Den viser ikke spørsmål, titler, svar, bilder eller deltakerlister. E-post hentes fra Clerk ved visning; tellere knyttes til kontoens bruker-ID i appdatabasen. Tellerne brukes til drift og forståelse av bruken, beholdes ved innholdssletting og må slettes ved bekreftet kontosletting. Dette er ikke full anonym statistikk.

Appen begrenser innmeldingsforsøk, opprettelser og bildeopplastinger. Midlertidige tellere bruker en HMAC av IP-adresse eller eier-ID, ikke rå IP-adresse. HMAC-verdien inkluderer timevinduet og endres derfor mellom timene; dette innebærer ikke at selve serverhemmeligheten roteres hver time. App-tellerne er kvalifisert for sletting etter omtrent 24 timer og ryddes av den daglige jobben (normalt innen omtrent 49 timer fra opprettelse). Leverandørlogger har egne frister.

Hvem kan se svarene?

Verten kan se innkomne svar og laste dem ned. Når resultatvisning er på, kan de som har kommet inn i økten, se resultatene for gjeldende spørsmål. Resultatene kan også vises på vertens storskjerm. I spørreundersøkelser åpnes visning automatisk etter fem svar; verten kan vise tidligere eller skjule.

Koden er en invitasjon til økten, ikke en garanti for hvem som deltar. En person med tilgang til nettstedet og koden kan bli med. Deling med en annen oppretter gir tilgang til en kopi av spørsmålene, ikke innsyn i dine svar. Tjenestens driftsansvarlige og leverandører kan ha teknisk tilgang i forbindelse med drift og feilretting.

Deling og tilbakekalling

Kun eieren kan dele eget innhold med en registrert oppretter med bekreftet primæradresse. Mottakeren får en redigerbar kopi av malinnholdet, uten avsenders deltakere, resultater eller øktkoder. Quizbilder får egne kopier. Før deling må avsender bekrefte at tittel, spørsmål, svaralternativer og bilder ikke inneholder personopplysninger. Dette er ikke automatisk innholdskontroll.

Fra «Delinger» kan avsender trekke tilbake en ny deling. Kopien, mottakerens endringer, nye undersøkelsesøkter fra kopien, quizøkter og tilknyttede lagrede quizresultater slettes da permanent fra den aktive databasen. Originalen påvirkes ikke. Mottatt innhold kan ikke deles videre gjennom delingsfunksjonen. Mottakeren informeres om begrensningen i oversikten og på delingssiden. Delinger fra før tilbakekallingsfunksjonen ble innført har ingen registrert kobling og kan ikke trekkes tilbake automatisk.

Tilbakekalling fjerner ikke innhold som allerede er lest, nedlastede filer, skjermbilder eller tekst som er kopiert manuelt til nytt innhold. Leverandørenes eventuelle sikkerhetskopier følger egne frister. Kontroller derfor fortsatt mottaker og innhold før deling.

Vi lagrer avsenders og mottakers konto-ID, mottakeradresse, innholdstype, originalens ID, tittel og delingstid for å vise og håndtere delingen. Opplysningene beholdes mens kopien eller tilknyttede økter/resultater finnes. Daglig opprydding avslutter tomme delinger. Historikken slettes 30 dager etter tilbakekalling eller automatisk avslutning. Adressen brukes også til et eksakt oppslag hos Clerk. Deling er begrenset til 20 forsøk per time per oppretter; tilbakekalling har en separat grense. Oppslag kan fortsatt røpe om en kjent adresse er registrert. Det finnes ingen søkbar adresseliste.

Informasjonskapsler og lokal behandling

Appens nødvendige deltakerkapsel heter samspill_participant. Navnet er videreført fra den første testversjonen. Den inneholder en tilfeldig ID, er begrenset til HTTPS og kan ikke leses av vanlig JavaScript. Den brukes til deltakelse og svarstatus. Innlogging og plattformtilgang kan bruke egne nødvendige kapsler.

Appen har ikke lagt inn annonsepiksler eller egne analyseverktøy. Valgfri Clerk-SDK-telemetri er slått av. Nødvendige tekniske data for innlogging behandles fortsatt. Rapportene lages i nettleseren. Appkoden sender ikke spørsmål eller svar til en språkmodell for analyse. Dette er ikke en uttalelse om alle leverandørers øvrige behandling.

Lagring og sletting

Undersøkelser med tittel og spørsmål beholdes til eieren sletter dem. Resultater og deltakerdata har 30-dagersfrist fra opprettelse av økten eller nullstilling. Etter fristen fjernes svar og deltakere, mens undersøkelsen beholdes i lobbyen for gjenbruk. Ny bruk etter at resultatene er slettet åpner en ny 30-dagersperiode. Papirkurven beholder selve undersøkelsen i 30 dager fra sletting. Svarenes eksisterende frist gjelder også i papirkurven og forlenges ikke ved gjenoppretting. Fristen håndheves når data etterspørres; utløpte data slettes fysisk fra appdatabasen ved neste opprydding, som kjøres ved listing, opprettelse eller tilgang til en undersøkelse med utløpte resultater. I Vercel-oppsettet er det også konfigurert en daglig slettejobb. Fysisk sletting kan derfor skje inntil omtrent ett døgn etter fristen ved normal drift; jobbfeil kan gi lengre forsinkelse.

«Slett for alltid» fjerner økten med svar og deltakere fra appdatabasen. «Start økten på nytt» fjerner tidligere svar i økten. Dette sletter ikke rapporter noen har lastet ned, skjermbilder, tekniske logger eller eventuelle leverandørkopier. Slike forhold må inngå i den endelige driftsavklaringen.

Beholdte spørsmålsmaler skal være ufølsomme og ikke identifisere personer. Gå jevnlig gjennom egne maler og slett innhold du ikke trenger. Det å beholde maler til manuell sletting er ikke tillatelse til varig lagring av personopplysninger i spørsmål. Se Datatilsynets prinsipp om lagringsbegrensning.

Registreringsposter beholdes separat til registreringen slettes. Sletting av registrering må foreløpig håndteres av tjenesteeieren etter en bekreftet henvendelse; det er ikke en selvbetjent kontoslettefunksjon i testversjonen.

Behandlingsgrunnlag og rettigheter

Godkjenning av retningslinjer er en avtale om tillatt bruk. Den er ikke et generelt personvernsamtykke. Den ansvarlige må fastsette og dokumentere riktig behandlingsgrunnlag for konto, drift og hver type undersøkelse før ekstern bruk. Endelig grunnlag er ikke fastsatt i dette dokumentet.

Avhengig av behandlingen og grunnlaget kan du ha rett til informasjon, innsyn, retting, sletting, begrensning, å protestere og dataportabilitet. Dersom en behandling bygger på samtykke, kan samtykket trekkes tilbake. Du kan klage til Datatilsynet.

For spørsmål om en økt kontakter du verten. Oppgi bare nødvendig kontekst, som økttittel og tidspunkt; ikke send sensitive opplysninger på nytt. Fordi navn ikke registreres ved deltakelse, kan det være vanskelig å identifisere akkurat ditt svar. En konkret henvendelse må vurderes uten å kreve unødvendige nye personopplysninger.

Leverandører og lagringssted

Vercel drifter nettsiden, Clerk håndterer innlogging, og Neon/PostgreSQL lagrer appdata. Appkoden sender ikke spørsmål, svar, bilder, kallenavn eller poeng til Clerk som profil- eller metadata. Clerk behandler likevel tekniske opplysninger i tillegg til e-post og oppgir lagring i USA. Vercel-funksjonene er konfigurert til Stockholm, uten at dette garanterer europeisk behandling i hele leverandørkjeden.

Les dokumentert dataflyt, leverandørgjennomgang og vurdering av testen. Der skiller vi mellom verifiserte kodekontroller, leverandørenes opplysninger og konto-/avtaleforhold som fortsatt må bekreftes.

Sikkerhet og hendelser

Appen har kontroll av innlogging og eierskap, avgrensning av deltakernes innsyn, gyldighetskontroll av svar og som standard ett svar per deltaker-ID og spørsmål. Verten kan tillate flere fritekstsvar i undersøkelser; visningsterskelen teller fortsatt ulike deltakere. Forbindelsesbrudd vises, og siden forsøker å koble til igjen. Disse tiltakene reduserer risiko, men utgjør ingen garanti mot feil eller misbruk.

Ved feil deling eller uønskede opplysninger: be verten skjule resultatene og stanse innsamlingen. Verten kan deretter slette økten permanent. Den ansvarlige må vurdere hendelsen og behov for videre varsling. Kontakt haugproductions2026@gmail.com. Rutinen for henvendelser og hendelser er beskrevet i vurderingen av testen; endelig juridisk ansvar må fortsatt bekreftes.

Se ROS-vurderingen og åpne tiltak

Kontakt og oppfølging

Kontaktskjemaet kan brukes uten konto. Vi lagrer valgt kategori, e-postadressen du oppgir, melding, tilfeldig referanse, tidspunkt og behandlingsstatus for å lese og følge opp henvendelsen. Oppgitt e-postadresse er ikke identitetsbekreftet. Ikke send passord, engangskoder, aktive øktkoder, deltakerlister eller sensitive opplysninger.

Kun den særskilt autoriserte administratoren har tilgang til innboksen. Saker kan markeres nye, under behandling eller ferdige og kan slettes manuelt. De blir utilgjengelige senest etter 90 dager fra mottak, eller 30 dager etter at saken markeres ferdig dersom dette er tidligere. Fysisk opprydding skjer i den daglige jobben og når administrasjonsinnboksen åpnes. Eventuelle leverandørkopier følger leverandørenes frister.

Når e-postvarsling er konfigurert, kan Resend sende et varsel til haugproductions2026@gmail.com med kategori, referanse og lenke til administrasjonen. Selve meldingen og avsenderadressen sendes ikke med varselet. Vi sender ingen automatisk kvittering til den oppgitte adressen. Administrator kan svare manuelt gjennom sitt e-postprogram; svar og direkte e-post følger e-postleverandørens behandling og slettes ikke av appens opprydding.

Skjemaet har lengdegrenser, spamfelt, timebasert ratebegrensning og deduplisering ved gjentatt innsending. Teknisk ratebegrensning bruker samme tidsavgrensede HMAC-nøkler som øvrig misbruksvern. Meldingsinnhold og e-postadresse skal ikke legges i applikasjonslogger. Formålet er å håndtere henvendelsen du selv sender; dette er ikke et samtykke til markedsføring. Endelig behandlingsgrunnlag og leverandørforhold omfattes av avklaringene i testvurderingen.