Personvern og databehandling

Svarene innkjøp, juridisk og personvernombud spør etter før en avtale: hvilke roller vi har etter personvernforordningen, når en databehandleravtale trengs, hvor dataene ligger, hvilke underdatabehandlere vi bruker, og hva som skjer når et KI-verktøy henter data fra Placepoint.

Spørsmål som ikke besvares her sendes til support@placepoint.no.

Roller etter personvernforordningen

Er Placepoint behandlingsansvarlig eller databehandler?

Begge deler, for hver sin type data.

• For eiendoms- og selskapsdataene vi samler inn og videreformidler, blant annet fra grunnboken, matrikkelen og Brønnøysundregistrene (BRREG), er vi selvstendig behandlingsansvarlig etter GDPR artikkel 4 nr. 7. Vi bestemmer formål og midler for innsamlingen, og du får dataene utlevert fra oss. Det er ikke et databehandleroppdrag, og det gir deg ikke instruksjonsrett over registerdataene. Hvilke felt i leveransen som er personopplysninger, står i Integrasjon og sikkerhet.
• For data du selv legger inn i Placepoint, altså egne datasett, prosjekter, notater, tagger og det du skriver i et søk eller et oppslag, er du behandlingsansvarlig og vi databehandler etter artikkel 4 nr. 8. Vi behandler disse dataene bare for å levere tjenesten til deg.
• For opplysningene om deg som bruker, det vil si navn, e-post, telefonnummer og innloggings- og bruksdata, er vi behandlingsansvarlig. Det står i personvernerklæringen.

Du er på din side behandlingsansvarlig for hva du bruker registerdataene til videre. Det gjelder uansett om du henter dem i Fusion, gjennom Placepoint API eller gjennom et KI-verktøy. Gir du dem videre til andre, gjelder reglene i Utlevering av PII til tredjepart.

Hvorfor er ikke registerdataene et databehandleroppdrag?

Fordi vi ikke behandler dem på ditt oppdrag. Vi henter grunnbok, matrikkel og foretaksdata inn fra kildene, setter dem sammen og tilbyr dem til alle kundene våre likt. En databehandleravtale for registerdataene ville gitt hver enkelt kunde instruksjons- og sletterett over et datasett som er felles, og det lar seg ikke gjøre. Utleveringen skjer i stedet under avtalen vår med Kartverket og innenfor forskrift om utlevering, viderebruk og annen behandling av opplysninger fra grunnboken og matrikkelen § 4, som også krever at du som mottaker har et saklig behov.

Databehandleravtale

Trenger jeg databehandleravtale med Placepoint?

Ja, hvis du legger personopplysninger inn i Placepoint. Det gjør du i praksis når du laster opp egne datasett med navn eller kontaktopplysninger, bruker Placepoint Dataset MCP mot egne prosjekter, bestiller et uttrekk der du sender oss personopplysninger som nøkkel, eller skriver et fødselsnummer i et oppslag. Da behandler vi opplysningene på ditt oppdrag, og GDPR artikkel 28 krever en skriftlig avtale før behandlingen starter.

Persondatafeltene i Placepoint API krever også databehandleravtale. Bruker du bare registerdataene og kartet, trengs ingen databehandleravtale for det. Mange inngår den likevel, fordi innkjøp ber om det, og det går fint.

Hva inneholder databehandleravtalen til Placepoint?

Vi har en advokatgjennomgått mal etter artikkel 28, med fire bilag:

• Bilag A: hva som behandles, hvilke kategorier av registrerte det gjelder, og formålet.
• Bilag B: underdatabehandlerne vi bruker, med tjeneste og land.
• Bilag C: instruksen for behandlingen.
• Bilag D: endringslogg.

Avtalen avgrenser oppdraget til dataene du selv legger inn. Registerdataene står utenfor, av grunnen beskrevet over. Be om avtalen fra kontaktpersonen din eller support@placepoint.no, så fyller vi ut bilagene sammen.

Kan jeg bruke min egen databehandleravtale?

Ja. Vi fyller gjerne ut malen din, og har gjort det for kommuner, banker og forsikringsselskaper. To ting ber vi om å få inn i enhver mal: at registerdata fra matrikkel, grunnbok og foretaksregister leveres av oss som selvstendig behandlingsansvarlig og ikke omfattes av avtalen, og at listen over underdatabehandlere er den vi publiserer på docs, slik at den kan holdes oppdatert uten en ny signaturrunde.

Lagring og drift

Hvor lagres dataene?

I Microsoft Azure i regionen Norway East, med replikert kopi i Norway West. Det gjelder registerdataene, kartlagene, brukerdatabasen og datasettene du laster opp. Noen støttetjenester, som feillogging og kundesystem, drives av leverandører med servere i EU eller USA. Hvilke det er, hva de behandler og hvilket overføringsgrunnlag som gjelder, står i listen over underdatabehandlere.

Hvilke personopplysninger behandler Placepoint om brukerne?

Navn, e-postadresse og telefonnummer knyttet til kontoen, hvilken virksomhet brukeren tilhører, og logger over innlogginger og bruk. Bruksloggen er det som lar oss dokumentere hvem som har sett hvilke personopplysninger, som vi er pålagt for data fra grunnboken. Det er også derfor hver person må logge inn med sin egen konto.

Hvordan sikres dataene?

• Hver bruker har en personlig konto, og tilgangen til personopplysninger settes per konto etter en konkret vurdering av behandlingsgrunnlag.
• Innlogging fra land utenfor EU/EØS sperres, se Tilgang utenfor EU/EØS.
• All trafikk er kryptert med TLS, og databasene er kryptert i hvile med Azures standardkryptering.
• Produksjonsdataene replikeres til en annen Azure-region, og tilgangen til dem er begrenset til navngitte driftsansvarlige.
• Hendelser i plattformen logges, slik at vi kan ettergå hvem som har gjort hva.

Trenger innkjøp en utfylt sikkerhetsbeskrivelse eller et leverandørskjema, send det til support@placepoint.no.

Hva skjer ved et sikkerhetsbrudd?

Vi varsler deg skriftlig uten ugrunnet opphold når vi oppdager et brudd som gjelder data vi behandler for deg, med hva som skjedde, hvilke data som er berørt og hva vi gjør. Det gir deg grunnlag for din egen vurdering etter GDPR artikkel 33. Kontaktpunktet står i databehandleravtalen.

Hvor lenge lagrer Placepoint dataene?

Egne datasett, prosjekter og notater ligger til du sletter dem selv eller avtalen opphører. Ved opphør sletter eller tilbakeleverer vi dataene etter det databehandleravtalen sier, og bekrefter det skriftlig. Opplysninger om brukerne lagres så lenge kundeforholdet varer, og deretter så lenge regnskaps- og avtaleregler krever.

Placepoint AI og egne datasett

Hvem er behandlingsansvarlig når et KI-verktøy henter data fra Placepoint?

Du. Placepoint AI er MCP-servere som svarer på oppslag fra det KI-verktøyet du selv har valgt, med din innlogging og ditt tilgangsnivå. Det gjelder hver server vi tilbyr, også de som kommer til. Serverne inneholder ingen språkmodell, og vi sender ingen data til en KI-leverandør. Det er KI-verktøyet som henter data fra oss på dine vegne, og du bestemmer hvilket verktøy som brukes, hvilke spørsmål som stilles og hva svarene brukes til. Dermed er du behandlingsansvarlig for det som skjer i KI-verktøyet, og avtalen din med KI-leverandøren regulerer lagring, lokasjon og eventuell trening der.

Dette er ikke felles behandlingsansvar etter GDPR artikkel 26, siden vi verken bestemmer formål eller midler for behandlingen i KI-verktøyet. Ansvaret vårt stopper ved det som skjer i systemene vi selv drifter.

Hvilke personopplysninger kan et KI-verktøy få fra Placepoint?

Færre enn i Fusion. Placepoint MCP fjerner navn og fødselsnummer på privatpersoner før svaret forlater oss, og viser dem som Privatperson, uansett hvilken tilgang kontoen din har ellers. Den utvidede tilgangen enkelte kunder har gjennom dokumentert berettiget interesse gjelder i Fusion, ikke i Placepoint AI. Det er dataminimering etter GDPR artikkel 5 nr. 1 bokstav c og innebygd personvern etter artikkel 25, valgt fordi dataene havner i et verktøy vi ikke kontrollerer. Det som gjenstår av personopplysninger, er det som allerede er offentlig: navn på rolleinnehavere i selskaper fra Brønnøysundregistrene, altså daglig leder og styre, og navn og fødselsår på aksjonærer fra Aksjonærregisteret, som Skatteetaten offentliggjør. Aksjonærer vises som Privatperson til KI-verktøyet ber om navn. Fødselsnummer leveres aldri. Detaljer: Personopplysninger er ikke tilgjengelige.

Hva med datasett jeg laster opp via Dataset MCP?

De behandles som når du laster dem opp i Fusion: de lagres hos oss i Azure Norway East, er bare synlige for brukere du selv har gitt tilgang til prosjektet, og omfattes av databehandleravtalen. Hva du laster opp, og om det inneholder personopplysninger, styrer du selv. Inneholder det personopplysninger, må databehandleravtalen være på plass først.

Bruker Placepoint dataene til å trene modeller?

Nei. Vi trener ingen modeller på kundedata eller bruksdata, og vi deler dem ikke med tredjeparter utover driftsleverandørene i listen over underdatabehandlere. Bruker KI-verktøyet du har valgt data til trening, er det regulert av din avtale med den leverandøren, ikke av oss.

Gjelder det samme for Agenten i Fusion?

Agenten kjører i Fusion med innloggingen din og følger tilgangsnivået ditt i plattformen, slik Agent-siden beskriver. Den er i pilot, og vi aktiverer den per virksomhet.

For innkjøp og personvernombud

Hva kan jeg be Placepoint om?

• Databehandleravtalen vår, eller en utfylt versjon av din egen mal.
• Listen over underdatabehandlere, med tjeneste, land og overføringsgrunnlag.
• Personvernerklæringen og brukervilkårene.
• En beskrivelse av sikkerhetstiltakene, eller svar på et leverandørskjema.
• En redegjørelse for hvilke personopplysninger som inngår i leveransen, se Integrasjon og sikkerhet.

Hvem er kontaktpunkt for personvern?

support@placepoint.no. Henvendelsen går til riktig person hos oss, og vi svarer innen 30 dager på krav om innsyn, retting og sletting, slik personvernerklæringen beskriver.

Jeg står i grunnboken eller foretaksregisteret. Hva har Placepoint om meg?

Det kildene har registrert: for en hjemmelshaver navn, fødselsår og eierandel fra grunnboken, for en rolleinnehaver navn og rolle fra Brønnøysundregistrene. Vi samler ikke inn mer om privatpersoner enn det som står i kildene, og vi viser privatpersoner som Privatperson for kunder uten dokumentert berettiget interesse. Vil du vite hva som er registrert om deg, eller mener noe er feil, kontakt oss på support@placepoint.no. Feil i kilden rettes hos Kartverket eller Brønnøysundregistrene (BRREG), og rettingen kommer til oss ved neste oppdatering.

Underdatabehandlere

Leverandørene vi bruker for å drifte Placepoint, og som derfor behandler personopplysninger på våre vegne. Databehandleravtalen viser til denne listen, så den holdes oppdatert her.

Sist oppdatert 7. oktober 2026.

Leverandør	Tjeneste	Behandler	Land og region	Overføringsgrunnlag
Microsoft Ireland Operations Ltd. (Azure)	Drift, databaser, lagring, innlogging (Entra)	Alle data i plattformen, inkludert egne datasett og brukerdatabasen	Norge, Norway East med replika i Norway West	EØS
PostHog Inc. (EU-tjeneste)	Produktanalyse og funksjonsstyring i Fusion	Bruker-ID, hendelser i grensesnittet	EU, Tyskland	EØS
Mixpanel Inc. (EU-tjeneste)	Bruksanalyse	Bruker-ID, hendelser i grensesnittet	EU	EØS
Better Stack GmbH	Driftslogg for tjenestene	Bruker-ID, tenant-ID, forespørsler til tjenestene	EU, Tyskland	EØS
Twilio SendGrid (EU-tjeneste)	System-e-post, som invitasjoner og varsler	Navn, e-postadresse, innhold i varselet	EU, Tyskland	EØS
Functional Software Inc. (Sentry)	Feillogging	Bruker-ID, e-postadresse, IP-adresse, feilmeldinger	USA	EU-US Data Privacy Framework
HubSpot Inc.	Kundesystem, support-chat og e-post	Navn, e-postadresse, telefonnummer, henvendelser	USA	EU-US Data Privacy Framework
Slack Technologies LLC	Speiling av support-chat til supportteamet	Innholdet i chat-henvendelser	EU	Standardkontraktsklausuler

Hva som ikke står i listen

Dataleverandørene våre, som Kartverket, Brønnøysundregistrene (BRREG) og de andre på leverandørsidene, er kilder vi henter data fra, ikke databehandlere for oss. De behandler ingen opplysninger om brukerne eller datasettene dine.

Kart- og analysetjenester som reisetid og bakgrunnskart får koordinater og adresser i oppslaget, ikke hvem som spurte.

KI-verktøyet du kobler Placepoint AI til, velger du selv, og det står under din avtale med den leverandøren. Hvorfor det er slik: Placepoint AI og egne datasett.

Se også: Integrasjon og sikkerhet, Konto og innlogging, Data og kilder, Kart og eiendommer, Placepoint AI, Databehandleravtale (ordbok), GDPR (ordbok).