Loading Lectora…
Norwegian translated
Lectora drives av Fjordbyte AS (org. nr. 933 773 477), Solheimsgaten 7 C, 5058 Bergen, Norge.
Denne siden lister underdatabehandlerne vi bruker for å levere Lectora, hva hver av dem gjør, og hvor de behandler data. Vi holder den i samsvar med Bilag B i databehandleravtalen vår. Institusjonelle kunder mottar det fullstendige bilaget, med vurderinger og overføringsgrunnlag per leverandør.
| Underdatabehandler | Juridisk enhet | Formål | Behandlingssted |
|---|---|---|---|
| Vercel | Vercel, Inc. (USA) | Applikasjonshosting, serverless kjøretid, edge-/proxylag, bygg og driftslogger, WAF | EU — Frankfurt (fra1). Tilgang fra USA ved drift og support, under Vercels DPA inkl. EU SCCs; Vercel er sertifisert under EU–US DPF |
| Supabase | Supabase Pte. Ltd. / Supabase, Inc. | Administrert PostgreSQL-database og objektlagring (kursfiler, kunnskapsbasemateriell, opplastinger, juridiske dokumenter), brukerkontoer og sesjoner, applikasjonslogger | EU — Frankfurt (AWS eu-central-1). Support- og administrasjonstilgang fra USA og Singapore, under Supabases DPA inkl. EU SCCs |
| Underdatabehandler | Juridisk enhet | Formål | Behandlingssted |
|---|---|---|---|
| OpenAI | OpenAI Ireland Limited (avtalepart for EØS) | KI-assistent, KI-støttet vurdering av innleveringer, spørsmåls- og quizgenerering, uttrekk av læringsmål, filkategorisering og oppsummering. Filer opplastet for vurdering og spørsmålsuttrekk er transiente og slettes etter behandling; kunnskapsbasesøk skjer i Fjordbytes egen vektorindeks i Supabase (EU) | EU (region Europe) som primært endepunkt. Globalt endepunkt kan brukes for utvikling, testing og funksjoner som ennå ikke finnes i EU-oppsettet, på grunnlag av EU SCCs i OpenAIs DPA. Ingen modelltrening på kundedata |
| Google Cloud EMEA Limited (avtalepart for EMEA) | Gemini-modeller via Vercel AI Gateway — KI-kommandoer i innholdseditoren | EU/EØS via Googles europeiske infrastruktur, under Google Clouds DPA inkl. EU SCCs. Ingen modelltrening på kundedata | |
| Anthropic | Anthropic Ireland, Limited (avtalepart for EØS) | Claude-modeller for vurderingsstøtte og innholdsgenerering. Godkjent og planlagt; ikke aktivert i produksjon per 24.08.2026 | EU/EØS som avtalepart. Overføring til USA på grunnlag av EU SCCs i Anthropics DPA. Ingen modelltrening på kundedata; API-inn- og utdata slettes innen 30 dager |
| Mistral AI | Mistral AI SAS (Frankrike) | OCR og bildeforståelse for dokumenter i kursets kunnskapsbase — uttrekk av tekst, struktur og figurbeskrivelser fra PDF-, Word-, PowerPoint- og bildefiler. Kalles statsløst; ingen filobjekter opprettes hos leverandøren | EU (Frankrike). Ingen tredjelandsoverføring. Zero Data Retention aktivert på produksjonskontoen |
| Vercel AI Gateway | Vercel, Inc. (USA) | Rutinglag for deler av KI-funksjonaliteten — videreformidler prompt, kontekst og modellsvar til valgt modellleverandør, og behandler forbruksmetadata (modell, tokenforbruk, tidsstempel) | EU/USA under Vercels DPA inkl. EU SCCs. Videre behandling skjer hos modellleverandøren som angitt over |
Tilgjengelige modeller er begrenset i kode til en fastsatt liste. Å ta i bruk en modellleverandør som ikke står her, behandles som et leverandørskifte og følger endringsprosedyren i databehandleravtalens Bilag B.
| Underdatabehandler | Juridisk enhet | Formål | Behandlingssted |
|---|---|---|---|
| Inngest | Inngest, Inc. (USA) | Workflow-orkestrering (durable execution) for bakgrunnsjobber. Mottar kun interne identifikatorer og jobbmetadata — aldri studentnavn, innleveringer, vedlegg eller vurderingsmateriale | USA (AWS). Ingen EU-region. Se overføringsnoten under |
| Resend | Plus Five Five, Inc. (USA) | Transaksjonell e-post — verifisering, invitasjoner, varsler og lenker | USA. Overføring under EU SCCs i Resends DPA; Resend oppgir EU–US DPF-sertifisering |
| Sentry | Functional Software, Inc. (USA); EU-representant Sentry Software Netherlands B.V. | Feilovervåking og ytelsessporing. Region låst i koden | EU — Frankfurt, Tyskland (Sentrys EU-region) |
| PostHog | PostHog, Inc. / PostHog GmbH | Produktanalyse, feature flags, eksperimentering, session replay og feilsporing. Region låst i koden | EU — Tyskland (PostHog Cloud EU på AWS) |
| Underdatabehandler | Juridisk enhet | Formål | Behandlingssted |
|---|---|---|---|
| Stripe | Stripe Payments Europe, Limited (avtalepart for EØS) / Stripe, Inc. | Fakturering, checkout og webhooks. Kortdata behandles og lagres kun av Stripe (PCI DSS Level 1) | EØS (Irland) som avtalepart; globalt under Stripes DPA og Stripes egen underleverandørliste |
Canvas er institusjonens eget system. Canvas-integrasjonen (LTI 1.3 og Canvas API) kjører i Fjordbytes eget miljø, og Canvas er ikke underdatabehandler under vår databehandleravtale.
Autentisering håndteres av Better Auth, et selvhostet bibliotek som lagrer brukere og sesjoner i vår egen database. Ingen ekstern autentiseringsleverandør benyttes.
Selvhostet objektlagring (Garage) driftes av Fjordbyte selv for installasjoner som krever lokal lagring, og innebærer ingen ny underdatabehandler.
Kundeinnhold — innleveringer, karakterer, tilbakemeldinger, chat og kunnskapsbasemateriell — behandles i EU/EØS.
Enkelte driftstjenester er lokalisert utenfor EØS. For hver av dem angir vi overføringsgrunnlaget i tabellene over. Der en tjeneste er USA-basert og behandler personopplysninger, bygger vi på EU-kommisjonens standardkontrakter (SCC) i leverandørens databehandleravtale (og, der leverandøren er sertifisert, EU–US Data Privacy Framework), understøttet av kryptering i transitt (TLS 1.2+) og i hvile (AES-256), og av dataminimering.
Overføringsnote — Inngest. Inngest orkestrerer bakgrunnsjobber, men behandler ikke kundeinnhold: event payloads er begrenset til interne identifikatorer og jobbmetadata — aldri studentnavn, innleveringer eller vurderingsmateriale — og er i tillegg beskyttet med ende-til-ende-kryptering, slik at Inngest ikke kan lese innholdet. Inngests databehandlingsvilkår gjelder; en databehandleravtale som inkorporerer EU SCCs er under inngåelse, og vi konsoliderer i tillegg bakgrunnskjøring på EU-basert infrastruktur.
Vi holder en oppdatert liste over alle underdatabehandlere på denne siden. Institusjonelle kunder varsles om likeverdige utskiftninger innen fem virkedager etter endringen, og om vesentlige endringer minst én måned før de trer i kraft, med innsigelsesrett på saklig grunnlag. Prosedyren er fastsatt i Bilag B til databehandleravtalen vår.
Spørsmål? Kontakt oss på lectora@fjordbyte.no.