Barnedata blir i EØS. Punktum.

Alle data (samværskalender, barneprofiler, faste medisiner, kvitteringer, kontoinformasjon) lagres i vår egen MariaDB-database på en dedikert server vi selv drifter, i et datasenter i EØS (one.com-gruppen, Nederland). Bruker- og barnedata overføres ikke utenfor EØS, og ingen amerikansk skyleverandør inngår i lagringskjeden for disse dataene — vi har valgt bort Vercel og Supabase nettopp for å unngå et amerikansk mor-selskap. Annonse- og samtykkeverktøy fra Google er beskrevet for seg i avsnittet «Annonser og informasjonskapsler» nedenfor.

E-post fra CoParent — invitasjoner, varsler og påminnelser — sendes via e-posttjenesten til vår driftsleverandør one.com, som dermed behandler avsender- og mottakeropplysninger og innholdet i e-posten på våre vegne. Denne behandlingen skjer innenfor EØS og er regulert av en databehandleravtale.

Planlagt: flytting til norsk datasenter (Bulk Infrastructure, Vestby) er målet før full offentlig lansering. Frem til da gjelder EØS-lagring som beskrevet over, med samme GDPR-vern.

Dokumenter du tidligere har lastet opp om barnet — vaksinasjonskort, forsikringspolise, skolebrev — lagres i vår egen database på den samme serveren i EØS som resten av barnedataene, ikke i en skytjeneste og ikke hos noen tredjepart. Bilder lagres på nytt uten stedsdata (EXIF/GPS). PDF-filer lagres slik de er, så metadata inne i selve PDF-en beholdes. Filene har ingen åpen lenke: bare innloggede voksne med aktiv tilgang til barnet kan åpne dem, og et dokument du merker som helseopplysning krever i tillegg tilgang til helseopplysninger. Du kan slette et dokument når som helst. Funksjonen for dokumenter er avviklet: det kan ikke lastes opp nye, men det som er lagret kan fortsatt leses, lastes ned og slettes (se «Avviklede funksjoner»).

Kvitteringsbilder lagres bare hvis du krysser av for «Behold kvitteringsbildet» når du skanner en kvittering. Avkrysningen står tom som standard. Krysser du av, lagres bildet nedskalert og uten stedsdata i den samme databasen, er tilgjengelig for foreldrene i familien, og slettes automatisk sammen med utgiften. Lar du den stå tom, behandles bildet bare mens teksten leses, og lagres ikke.

For å beskytte kontoene mot uvedkommende og for å oppdage misbruk, loggfører vi innloggingsforsøk. For hvert forsøk lagrer vi tidspunktet, om forsøket lyktes, hvilken innloggingsmåte som ble brukt, og IP-adressen forsøket kom fra.

IP-adressen lagres på to måter: som en kryptografisk hash (med daglig salt), som brukes til å stanse automatiserte angrep og for mange feilforsøk, og som selve IP-adressen i klartekst i en innloggingsoversikt. Den rå IP-adressen er kun tilgjengelig for våre administratorer, og brukes utelukkende til å undersøke mistenkelig aktivitet og forsøk på kontoovertakelse — aldri til markedsføring, profilering eller sporing på tvers av nettsteder.

Rettslig grunnlag: berettiget interesse i å holde tjenesten og kontoene sikre (GDPR Artikkel 6 nr. 1 bokstav f).

Hvor lenge: innloggingsforsøk — inkludert IP-adressen — slettes automatisk etter 30 dager. Se «Hvor lenge vi lagrer».

Behandling av samværsdata: Artikkel 6 nr. 1 bokstav b (avtale).

Helseopplysninger om barnet (vekst og helsekontakter) deles åpent mellom barnets to foreldre med foreldreansvar. Det er ingen samtykkebarriere mellom dem for disse opplysningene. Grunnlaget er avtalen med hver forelder (Artikkel 6 nr. 1 bokstav b) og foreldreansvaret etter barnelova § 30 — åpenhet om barnets helse mellom de to som har foreldreansvaret, er selve formålet med tjenesten. Alle endringer logges og varsles til den andre forelderen. Faste medisiner har egne regler — se «Faste medisiner» nedenfor.

Tredjepersoner (for eksempel en forelders nye partner eller en besteforelder) får tilgang til barnets helseopplysninger kun etter uttrykkelig bekreftelse fra begge foreldre med foreldreansvar (Artikkel 9 nr. 2 bokstav a). Én forelder kan ikke gi slik tilgang alene, hver bekreftelse dokumenteres med tidspunkt, og hver av foreldrene kan trekke sin bekreftelse tilbake.

Registrering før medforelderen er koblet: en forelder kan ta i bruk tjenesten og registrere opplysninger om barnet før den andre forelderen har opprettet konto. Opplysninger som legges inn i denne perioden, blir synlige for medforelderen når koblingen skjer — og medforelderen får da en oversikt over hva som allerede er registrert, hvem som registrerte det, og sine rettigheter.

Blir medforelderen aldri koblet til, forblir opplysningene hos den forelderen som registrerte dem — vi tvangssletter dem ikke. Kontoen kan når som helst slettes av kontoeieren, med alle opplysninger (også barnas), og vi minner aktivt om invitasjoner som fortsatt venter, slik at en ukoblet medforelder aldri blir stående ubemerket.

DPIA + Artikkel 9-legal-opinion landes med Datatilsynet før lansering.

Du kan registrere barnets faste medisiner (navn, dose og klokkeslett) for å få påminnelser og se hvilke doser som er gitt. Dette er helseopplysninger om barnet. Vi behandler dem bare når hver av barnets foreldre som har konto hos oss, har samtykket for det aktuelle barnet (personvernforordningen artikkel 9 nr. 2 bokstav a). Samtykket gis og trekkes per barn under «Faste medisiner». Trekker én av dere samtykket, stopper påminnelser og registrering med en gang. Det som allerede er lagret, kan fortsatt leses og slettes.

Barnets foreldre ser opplysningene. Andre ser dem bare hvis begge foreldrene har gitt dem tilgang til helseopplysninger. Det finnes ikke noe felt for diagnose eller sykdom.

Selve påminnelsen inneholder bare klokkeslett og barnets fornavn — navnet på medisinen vises først når du har logget inn. Vi sender aldri medisinopplysninger på e-post. Registrerte doser slettes etter 90 dager og påminnelser etter 30 dager. Medisinlisten ligger til dere fjerner den.

Når dere legger inn et barn som ikke er født ennå, lagrer vi termindatoen. Det dere krysser av i svangerskapsoversikten (gjøremål, «Vi har snakket om det» og navnelisten), deles mellom barnets foreldre. Andre dere gir tilgang, ser bare barnets utvikling og milepælene — aldri det som gjelder mors helse eller samtalene deres. Avkrysningene slettes 30 dager etter at dere har registrert at barnet er født, eller 60 dager etter termin hvis fødselen ikke registreres.

Når du lager et arrangement, lagrer vi tittel, tidspunkt, sted, tema og hvem som kan se det. Deler du det med familien, ser skjemaet hvem det deles med før du lagrer. Gjestene svarer via lenken uten å logge inn. Vi lagrer navnet de oppgir, om de kommer, og eventuelle allergier og kosthold de selv skriver inn, slik at verten kan planlegge maten. Allergi- og kostholdssvar slettes 2 dager etter arrangementet, og gjestelisten 30 dager etter. Invitasjonssiden er ikke søkbar. Du kan slette et arrangement når som helst.

Dokumenter, Dagbok, Nødinfo, Sykdom, Allergier, Meldinger og Overlevering er avviklet. Det kan ikke registreres noe nytt der, men det som allerede er lagret, kan fortsatt leses, lastes ned og slettes — under barnets «Arkiv» og under Konto → Last ned mine data. Før innholdet slettes permanent, varsler vi i appen og på e-post minst 60 dager i forveien (90 dager for Dokumenter og Dagbok). Spørsmål kan sendes til post@coparent.no.

Vi sletter eller redigerer data automatisk etter angitte vinduer:

• Roligere ord-utkast (funksjonen er avviklet): 30 dager — deretter erstattes originalteksten med [redacted-after-30-days](vi beholder den sendte versjonen og audit-loggen). Det kan ikke lages nye utkast; historiske utkast redigeres automatisk etter samme vindu
• Skiftvakt-forslag som ikke blir godkjent: 30 dager — slettes helt
• Humør-innsjekk (funksjonen er avviklet): 90 dager (rullerende vindu) — slettes helt. Det kan ikke registreres nye humørdata; det som allerede er lagret slettes automatisk innen 90 dager etter registreringen
• Innloggingsforsøk (inkl. IP-adresse og innloggingslogg): 30 dager — slettes helt
• Tekniske feillogger (tidspunkt, side, feilmelding og ev. bruker-ID): lagres i inntil 90 dager for feilsøking — deretter slettes de automatisk
• Pseudonymisert slette-referanse i revisjonsloggen: beholdes bare så lenge det er nødvendig for sikkerhet, misbrukshåndtering og lovpålagte formål — se «Sletting av konto og revisjonslogg»
• Registrerte medisindoser: 90 dager — slettes helt. Påminnelser om medisiner: 30 dager
• Svangerskapsavkrysninger: 30 dager etter registrert fødsel, eller 60 dager etter termin
• Gjester på arrangementer: allergi- og kostholdssvar 2 dager etter arrangementet, gjestelisten 30 dager etter
• Revisjonsloggen: viser hvem som gjorde hva, og når. Den slettes ikke automatisk, med disse unntakene: registrerte medisindoser (90 dager), svangerskapsavkrysninger (se over) og innholdet i avviklede funksjoner (på slettedatoen vi varsler om)

Vinduene håndheves av en daglig automatisk cron-jobb på vår egen server (03:00 UTC). Implementert i koden, ikke bare lovet — se src/lib/retention.ts.

Vi teller besøk på de åpne sidene uten informasjonskapsler, med en tallkode laget av IP-adresse og nettleser. Tallkoden byttes hver dag og lagres aldri.

Når en konto slettes, fjerner vi personopplysningene knyttet til kontoen. Vi beholder likevel en liten pseudonymisert referanse i vår interne revisjonslogg — ikke navn eller e-post, men en enveis kryptografisk hash (SHA-256) av den slettede bruker-IDen. Sammen med referansen lagrer vi tidspunktet for slettingen, hvem som satte den i gang (kontoeieren selv eller en administrator), og utfallet (om kontoen ble fullstendig slettet eller anonymisert).

Dette er pseudonymisering, ikke full anonymisering. Referansen kan i normal drift ikke reverseres av oss til å identifisere personen — vi kan ikke regne oss tilbake fra hashen til bruker-IDen, navnet eller e-posten. Formålet er å kunne dokumentere at en sletting faktisk ble utført, oppdage og håndtere misbruk (for eksempel gjentatt oppretting og sletting av kontoer), og oppfylle rettslige forpliktelser.

Rettslig grunnlag: berettiget interesse i å holde tjenesten sikker og etterprøvbar, og å kunne dokumentere slettinger (GDPR Artikkel 6 nr. 1 bokstav f), samt overholdelse av rettslige forpliktelser (Artikkel 6 nr. 1 bokstav c) der det gjelder.

Hvor lenge: den pseudonymiserte referansen beholdes bare så lenge det er nødvendig for disse formålene — sikkerhet, misbrukshåndtering og lovpålagt dokumentasjon — og ikke lenger. Fordi den ikke inneholder navn, e-post eller andre direkte identifikatorer, er dette et vesentlig mindre inngripende spor enn de rå innloggingsdataene, som uansett slettes helt etter 30 dager.

Forumet er midlertidig stengt. Når det er åpent, er forum-innlegg synlige for andre innloggede brukere i forumet. De er ikke indeksert av søkemotorer og er ikke offentlige på åpen web.

• Skrive-regler: vi tillater aldri navn på barn, skole, barnehage eller helse-opplysninger. Et personvern-filter advarer deg før du publiserer.
• Rapportere innlegg: enhver innlogget bruker kan flagge et innlegg. Tre rapporter skjuler automatisk innlegget inntil moderator-gjennomgang.
• Moderasjon: alle skjul-/gjenopprett-handlinger logges i en audit-trail som vi kan vise på forespørsel ved klage.
• Slette eget innlegg: bruk «Slett mitt innlegg»- knappen under ditt eget innlegg. Innholdet erstattes umiddelbart med «[slettet av forfatter]». Sletter du første innlegg i en tråd du startet, skjules hele tråden — andres svar beholdes.
• AI-trening: vi bruker aldri forum-innlegg til å trene AI-modeller, og vi sender dem aldri til tredjeparts AI-tjenester for trening.

CoParent.no bruker Google AdSense, og annonser kan vises på nettstedet — både på det offentlige innholdet (for eksempel artikler under «Kunnskap») og i innloggede deler av tjenesten. Annonseskriptet fra Google lastes derfor på alle sider.

Når du besøker siden, ber en liten bunnbanner deg velge mellom «Godta» (annonser kan tilpasses interessene dine via informasjonskapsler) og «Bare nødvendige» (du får fortsatt annonser der de vises, men uten personalisering eller sporingsinformasjonskapsler fra Google). Valget ditt lagres i nettleseren og brukes automatisk på senere besøk, helt til du endrer det.

Google kan sette og lese informasjonskapsler i den grad du har samtykket til det, og kan behandle opplysninger om besøket ditt i tråd med Googles annonseringsvilkår og personvernerklæring. Vi selger aldri personopplysninger til annonsører, og vi bruker aldri det dere registrerer i appen (samvær, faste medisiner, svangerskap, kvitteringer) til annonsemålretting.

Du kan nullstille valget ditt når som helst — det fjerner det lagrede samtykket og viser samtykkebanneret på nytt slik at du kan velge på nytt.