Databehandling

Viti giver jer de modeller, I allerede stoler på, med al behandling inden for EU under EU-regulerede aftaler og med personlige identifikatorer maskeret, før en forespørgsel forlader Vitis egen infrastruktur.

Hver modelleverandør nås gennem en behandlingsrute i EU, og det håndhæves i platformen, ikke kun i politikken: en leverandør, der ikke behandler i EU, kan ikke tilføjes. Førsteparts-endpoints i USA og Kina bruges aldrig:

• OpenAI (api.openai.com) — behandling i USA. GPT-modeller nås kun gennem Azure OpenAI i EU Data Zone.
• Anthropic (api.anthropic.com) — behandling i USA. Claude-modeller nås kun gennem AWS Bedrock i EU.
• Moonshot (api.moonshot.cn) — behandling i Kina. Kimi-modeller nås kun gennem Azure AI Foundry, Data Zone EUR.
• DeepSeek (api.deepseek.com) — behandling i Kina og træning på indsendte data som standard. DeepSeek-modeller nås kun gennem Azure AI Foundry, Data Zone EUR.

Flere af vores leverandører er amerikansk ejede virksomheder. Det oplyser vi bevidst: ejerskab og behandlingssted er to forskellige ting. Ejerskabet er grunden til, at maskeringen nedenfor findes; behandlingsstedet er det, de aftalte EU-ruter sikrer.

Modelkørsel leveres af Microsoft (Azure OpenAI, EU Data Zone), Amazon Web Services (Bedrock, Stockholm), Mistral AI (Frankrig) og Scaleway (Paris). Linkup (Frankrig, ingen opbevaring af data) leverer websøgning, når et arbejdsrum slår den til. Google Cloud (Vertex AI, EU-regioner) er en reserverute, som ikke er i brug. Hosting, login og platformens e-mail kører på Microsoft Azure i EU, og fakturaer udstedes gennem Visma e-conomic, Danmark.

Ingen af modelruterne er sat op til at gemme prompts eller svar til træning. Scaleway kan gemme indhold i op til to uger, udelukkende for at undersøge fejl; Scaleway betjener de suveræne niveauer og overtager standardchatten, når dens primære leverandør ikke svarer.

Ruting kan skifte til en anden udrulning af samme model, aldrig til en anden modelfamilie og aldrig til en region uden for EU.

Se den fulde liste over underdatabehandlere

Før en forespørgsel forlader Vitis infrastruktur til en modelleverandør, går den gennem en intern tjeneste, der finder personlige identifikatorer og erstatter dem med pladsholdere. Leverandøren ser en pladsholder, hvor brugeren skrev værdien, og svaret gendannes inde i Viti, før det når brugeren.

• Genkendelsen er regelbaseret og deterministisk, ikke udført af en sprogmodel, så der er ikke et ekstra dataflow at oplyse om.
• Maskeres: personnumre (herunder færøske og danske CPR-numre), IBAN, betalingskortnumre, e-mailadresser og telefonnumre. Et arbejdsrum kan indsnævre listen, men ikke udvide den.
• Maskeres ikke: navne, steder, organisationer og adresser. De behandles af leverandørerne i EU under deres databehandleraftaler. En kunde, der har brug for, at alt indhold forbliver under VITAs kontrol, kan bruge det suveræne niveau.
• Koblingen fra pladsholder til den rigtige værdi findes kun i hukommelsen under én forespørgsel og skrives aldrig til disk eller logs. Forbrugsdata gemmer kun antal og type af det fundne.
• Den lukker ved fejl: Har et arbejdsrum maskering slået til, og er maskeringstjenesten utilgængelig, afvises forespørgslen i stedet for at blive sendt ubeskyttet.

Billeder, scanninger og tale kan ikke maskeres. Hvert arbejdsrum bestemmer, om billeder blokeres, sendes med en advarsel eller tillades; billeder, der sendes, sendes umaskeret. Nye arbejdsrum tillader billeder; en administrator kan blokere dem. I webappen kan en bruger sværte dele af et billede, før det sendes; de områder flades ud i browseren, så originalen aldrig når Viti.

Maskering er en stærk beskyttelse, ikke en garanti. Genkendelsen kan overse personoplysninger i usædvanlige formater, eller hvor en person kan identificeres ud fra sammenhængen. Brug den ikke som grund til at sende følsomme oplysninger (GDPR art. 9), som I ellers ville holde tilbage.

Uploadede filer scannes for malware ved upload. De scannes ikke igen ved download.

Ingen underdatabehandler behandler personoplysninger i USA. Modelkørsel og hosting foregår i EU/EØS, og hvor en leverandør er amerikansk ejet, er aftaleparten europæisk (Microsoft Ireland, AWS EMEA SARL, Google Cloud EMEA), og behandlingen er aftalemæssigt begrænset til EU-regioner. Fakturering er aftalt med en dansk virksomhed.

Begrænset adgang kan stadig forekomme i forbindelse med support og drift, for eksempel når en leverandørs teknikere håndterer en hændelse. Det er dækket af EU's standardkontraktbestemmelser og leverandørernes tilsagn om EU-datagrænser. Skulle en amerikansk underdatabehandler nogensinde blive tilføjet, vil det ske på grundlag af standardkontraktbestemmelserne og en dokumenteret vurdering af overførslen, og den vil blive opført her først.

Vi giver 30 dages varsel, før vi tilføjer eller udskifter en underdatabehandler, der behandler kundeindhold. I kan gøre skriftlig indsigelse inden for den periode. Varsel sendes pr. e-mail til arbejdsrummets administrative kontakt og ved at offentliggøre en opdateret udgave af denne side og listen over underdatabehandlere.

Henvendelser om databeskyttelse: info@vita.fo