Barnedata blir i EØS. Punktum.

Alle data (samværskalender, barneprofiler, medisin-skjema, kvitteringer, kontoinformasjon) lagres i vår egen MariaDB-database på en dedikert server vi selv drifter, i et datasenter i EØS (one.com-gruppen, Nederland). Ingen overføring utenfor EØS, og ingen amerikansk skyleverandør i datakjeden — vi har valgt bort Vercel og Supabase nettopp for å unngå et amerikansk mor-selskap.

Planlagt: flytting til norsk datasenter (Bulk Infrastructure, Vestby) er målet før full offentlig lansering. Frem til da gjelder EØS-lagring som beskrevet over, med samme GDPR-vern.

For å beskytte kontoene mot uvedkommende og for å oppdage misbruk, loggfører vi innloggingsforsøk. For hvert forsøk lagrer vi tidspunktet, om forsøket lyktes, hvilken innloggingsmåte som ble brukt, og IP-adressen forsøket kom fra.

IP-adressen lagres på to måter: som en kryptografisk hash (med daglig salt), som brukes til å stanse automatiserte angrep og for mange feilforsøk, og som selve IP-adressen i klartekst i en innloggingsoversikt. Den rå IP-adressen er kun tilgjengelig for våre administratorer, og brukes utelukkende til å undersøke mistenkelig aktivitet og forsøk på kontoovertakelse — aldri til markedsføring, profilering eller sporing på tvers av nettsteder.

Rettslig grunnlag: berettiget interesse i å holde tjenesten og kontoene sikre (GDPR Artikkel 6 nr. 1 bokstav f).

Hvor lenge: innloggingsforsøk — inkludert IP-adressen — slettes automatisk etter 30 dager. Se «Hvor lenge vi lagrer».

Vi sletter eller redagerer data automatisk etter angitte vinduer:

• Roligere ord-utkast: 30 dager — deretter erstattes originalteksten med [redacted-after-30-days] (vi beholder den sendte versjonen og audit-loggen)
• Skiftvakt-forslag som ikke blir godkjent: 30 dager — slettes helt
• Daglig humør-innsjekk (kid view): 90 dager (rullerende vindu) — slettes helt
• Innloggingsforsøk (inkl. IP-adresse og innloggingslogg): 30 dager — slettes helt
• Tekniske feillogger (tidspunkt, side, feilmelding og ev. bruker-ID): lagres i inntil 90 dager for feilsøking — deretter slettes de automatisk
• Pseudonymisert slette-referanse i revisjonsloggen: beholdes bare så lenge det er nødvendig for sikkerhet, misbrukshåndtering og lovpålagte formål — se «Sletting av konto og revisjonslogg»
• Audit-loggen: aldri slettes (compliance + årlig åpenhetsrapport)

Vinduene håndheves av en daglig automatisk cron-jobb på vår egen server (03:00 UTC). Implementert i koden, ikke bare lovet — se src/lib/retention.ts.

Når en konto slettes, fjerner vi personopplysningene knyttet til kontoen. Vi beholder likevel en liten pseudonymisert referanse i vår interne revisjonslogg — ikke navn eller e-post, men en enveis kryptografisk hash (SHA-256) av den slettede bruker-IDen. Sammen med referansen lagrer vi tidspunktet for slettingen, hvem som satte den i gang (kontoeieren selv eller en administrator), og utfallet (om kontoen ble fullstendig slettet eller anonymisert).

Dette er pseudonymisering, ikke full anonymisering. Referansen kan i normal drift ikke reverseres av oss til å identifisere personen — vi kan ikke regne oss tilbake fra hashen til bruker-IDen, navnet eller e-posten. Formålet er å kunne dokumentere at en sletting faktisk ble utført, oppdage og håndtere misbruk (for eksempel gjentatt oppretting og sletting av kontoer), og oppfylle rettslige forpliktelser.

Rettslig grunnlag: berettiget interesse i å holde tjenesten sikker og etterprøvbar, og å kunne dokumentere slettinger (GDPR Artikkel 6 nr. 1 bokstav f), samt overholdelse av rettslige forpliktelser (Artikkel 6 nr. 1 bokstav c) der det gjelder.

Hvor lenge: den pseudonymiserte referansen beholdes bare så lenge det er nødvendig for disse formålene — sikkerhet, misbrukshåndtering og lovpålagt dokumentasjon — og ikke lenger. Fordi den ikke inneholder navn, e-post eller andre direkte identifikatorer, er dette et vesentlig mindre inngripende spor enn de rå innloggingsdataene, som uansett slettes helt etter 30 dager.

Forum-innlegg er synlige for andre innloggede brukere i forumet. De er ikke indeksert av søkemotorer og er ikke offentlige på åpen web.

• Skrive-regler: vi tillater aldri navn på barn, skole, barnehage eller helse-opplysninger. Et personvern-filter advarer deg før du publiserer.
• Rapportere innlegg: enhver innlogget bruker kan flagge et innlegg. Tre rapporter skjuler automatisk innlegget inntil moderator-gjennomgang.
• Moderasjon: alle skjul-/gjenopprett-handlinger logges i en audit-trail som vi kan vise på forespørsel ved klage.
• Slette eget innlegg: bruk «Slett mitt innlegg»- knappen under ditt eget innlegg. Innholdet erstattes umiddelbart med «[slettet av forfatter]». Sletter du første innlegg i en tråd du startet, skjules hele tråden — andres svar beholdes.
• AI-trening: vi bruker aldri forum-innlegg til å trene AI-modeller, og vi sender dem aldri til tredjeparts AI-tjenester for trening.

CoParent.no viser annonser fra Google AdSense på deler av det offentlige, uinnloggede innholdet (for eksempel artikler under «Kunnskap»). Innlogget bruk av selve appen (kalender, meldinger, medisin-skjema osv.) er alltid annonsefri.

Når du besøker siden uinnlogget, ber en liten bunnbanner deg velge mellom «Godta» (annonser kan tilpasses interessene dine via informasjonskapsler) og «Bare nødvendige» (du får fortsatt annonser der de vises, men uten personalisering eller sporingsinformasjonskapsler fra Google). Valget ditt lagres i nettleseren og brukes automatisk på senere besøk, helt til du endrer det.

Google kan sette og lese informasjonskapsler i den grad du har samtykket til det, og kan behandle opplysninger om besøket ditt i tråd med Googles annonseringsvilkår og personvernerklæring. Vi selger aldri data til annonsører, og barnedata (samvær, medisin-skjema, kvitteringer) går aldri inn i annonseringssystemet — annonser vises kun på offentlig informasjonsinnhold, ikke i den innloggede appen.

Du kan nullstille valget ditt når som helst — det fjerner det lagrede samtykket og viser samtykkebanneret på nytt slik at du kan velge på nytt.