Personvern og sikkerhet

Sist oppdatert 5. oktober 2026

Alt en innkjøper, personvernombud eller tillitsvalgt trenger for å vurdere SimLab, samlet på én side. Vi har forsøkt å være like tydelige på hva vi ikke gjør som på hva vi gjør.

Hvordan vi behandler data

Åtte påstander vi kan dokumentere i koden eller i avtaleverket.

Vi lagrer aldri lyd

Kun tekstutskriften av samtalen lagres. Lydkolonnene er fjernet fra databasen — det finnes ingen lydfiler å be om innsyn i. Lyden strømmes til taleleverandøren mens deltakeren snakker; se underleverandørlisten.

Vi analyserer aldri stemmen

Å utlede følelser fra stemme er biometrisk behandling og forbudt i arbeidslivet etter AI-forordningen artikkel 5. Tonefall utledes fra tekst, og funksjonen krever aktivt samtykke fra den enkelte.

Treningsdata lagres i EØS

Utskrifter, tilbakemeldinger og treningshistorikk ligger på én server i Tyskland. Tale og språkmodell behandles i EU i oppsettet pilotkontoer bruker. Men ikke alt behandles i EØS: innloggingen behandles i USA. Se tabellene under.

Ledere ser aldri samtalene

Det finnes ikke noe endepunkt som lar en administrator i organisasjonen lese en annens utskrift. Individuelle resultater er skjult som standard, og i pilotmodus kan de ikke slås på. SimLabs egne ansatte med systemtilgang kan lese samtaletekst for å drifte og forbedre tjenesten. Tilbakemeldingen er formativ refleksjonsstøtte for den som øver — ikke en personalvurdering, en sertifiseringstest eller et diagnostisk verktøy.

Ingen navn sendes til KI-leverandørene

Språkmodellen og taleleverandøren får samtalen, ikke hvem som førte den. Navn, e-post og bruker-ID følger ikke med. Videoavataren er et unntak på ett punkt: leverandøren ser deltakerens IP-adresse, fordi nettleseren kobler seg direkte til den.

Opplastede dokumenter lagres aldri

Laster dere opp en hendelsesrapport for å lage et scenario, leses den i minnet, vaskes maskinelt for e-postadresser, fødselsnumre og telefonnumre før teksten sendes til en språkmodell, og forkastes.

Selvbetjent innsyn og sletting

Den enkelte kan når som helst laste ned en komplett kopi av alt vi har, eller slette kontoen permanent — uten å be noen om hjelp.

Lagringstid

Data lagres så lenge kontoen er aktiv, og slettes når kontoen slettes. Sikkerhetskopier ligger på samme server og slettes etter om lag to uker. Vi har ennå ikke konfigurerbar automatisk slettefrist; det står på veikartet, og vi sier ifra når det er på plass.

Underleverandører

Disse behandler data på våre vegne. Tabellen er den samme som i personvernerklæringen. Først kommer oppsettet pilotkontoer bruker (EØS-modus); leverandørene nederst brukes bare i andre oppsett.

Oppsettet pilotkontoer bruker (EØS-modus)

Hetzner Online GmbH

Hva den gjør: Drift av serveren der applikasjonen, databasen og sikkerhetskopiene ligger.
Hva den får: Alt SimLab lagrer: konto, tekstutskrifter, tilbakemeldinger og tekniske øktdata.
Hvor det behandles: Tyskland (Falkenstein)
Overføringsgrunnlag: Innenfor EØS. Ingen overføring.

Clerk, Inc.

Hva den gjør: Innlogging.
Hva den får: Pilotkonto: bruker-ID og passord, og IP-adresse og nettlesertype når du logger inn. Vanlig konto: også navn og e-postadresse.
Hvor det behandles: USA
Overføringsgrunnlag: EU–US Data Privacy Framework og EUs standardkontraktvilkår (SCC).

Google Cloud

Hva den gjør: Karakterens stemme (Gemini Live), talegjenkjenning (Chirp 3) og språkmodellen Claude, som kjøres på Vertex AI. Språkmodellen skriver karakterens replikker, hjelpetips underveis, tilbakemeldingsrapporten og karakterens egen opplevelse av samtalen.
Hva den får: Lyden av det du sier, mens du snakker, samtalen som tekst og beskrivelsen av scenarioet. Ikke bruker-ID, navn eller e-postadresse.
Hvor det behandles: EU (Googles flerregion «eu»; landet oppgis ikke)
Overføringsgrunnlag: Sendes til Googles EU-endepunkt.

Anam.ai Ltd

Hva den gjør: Videoavatar: lager bildet av karakteren som snakker. Er den ikke tilgjengelig, vises en 3D-figur som lages i nettleseren din uten noen leverandør.
Hva den får: Karakterens lyd (ikke stemmen din), en tilfeldig øktmerkelapp og IP-adressen din, fordi nettleseren din kobler seg direkte til leverandøren. Vi ber om at økten ikke tas opp, og sletter den hos leverandøren når samtalen er over.
Hvor det behandles: Nærmeste region: EU for alle økter vi har registrert. Kan bli USA ved høy belastning. Selskapet ligger i Storbritannia.
Overføringsgrunnlag: Storbritannia: EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå. USA: overføringsvilkårene i leverandørens databehandleravtale.

Brukes bare i andre oppsett, ikke for pilotkontoer

OpenAI

Hva den gjør: Talemotor (stemme og talegjenkjenning) i oppsett uten EØS-modus. Lager også utkast til scenarioer og demosamtaler for administratorer.
Hva den får: Lyden av det du sier, samtalen som tekst og beskrivelsen av scenarioet. Fra administratorer: teksten i et opplastet dokument etter maskinell vask.
Hvor det behandles: USA
Overføringsgrunnlag: EUs standardkontraktvilkår (SCC).

Simli AS

Hva den gjør: Videoavatar for organisasjoner som bruker denne leverandøren.
Hva den får: Karakterens lyd (ikke stemmen din) og IP-adressen din. Leverandørens vilkår tillater at den bruker innholdet til å trene egne modeller.
Hvor det behandles: Norsk selskap. Lyden sendes til et endepunkt i EØS (Nederland). Leverandøren opplyser at bildet kan lages på servere i Finland og i USA.
Overføringsgrunnlag: EØS. For USA: standardkontraktvilkårene i leverandørens databehandleravtale.

Stripe

Hva den gjør: Betaling og abonnement, bare når betaling er satt opp.
Hva den får: E-postadressen til den som betaler, og kunde- og abonnements-ID. Kortopplysninger gir du direkte til betalingsleverandøren.
Hvor det behandles: USA
Overføringsgrunnlag: EUs standardkontraktvilkår (SCC).

Resend

Hva den gjør: Utsending av e-post (invitasjoner, påminnelser, varsler), bare når e-post er satt opp. Pilotkontoer får aldri e-post.
Hva den får: Mottakerens e-postadresse og innholdet i e-posten.
Hvor det behandles: USA
Overføringsgrunnlag: EUs standardkontraktvilkår (SCC).

Cartesia

Hva den gjør: Norsk stemme for karakteren i en talemotor som bare systemadministratorer kan velge.
Hva den får: Karakterens replikker som tekst. Ikke stemmen din, og ikke bruker-ID.
Hvor det behandles: USA
Overføringsgrunnlag: EUs standardkontraktvilkår (SCC).

Leverandør	Hva den gjør	Hva den får	Hvor det behandles	Overføringsgrunnlag
Oppsettet pilotkontoer bruker (EØS-modus)
Hetzner Online GmbH	Drift av serveren der applikasjonen, databasen og sikkerhetskopiene ligger.	Alt SimLab lagrer: konto, tekstutskrifter, tilbakemeldinger og tekniske øktdata.	Tyskland (Falkenstein)	Innenfor EØS. Ingen overføring.
Clerk, Inc.	Innlogging.	Pilotkonto: bruker-ID og passord, og IP-adresse og nettlesertype når du logger inn. Vanlig konto: også navn og e-postadresse.	USA	EU–US Data Privacy Framework og EUs standardkontraktvilkår (SCC).
Google Cloud	Karakterens stemme (Gemini Live), talegjenkjenning (Chirp 3) og språkmodellen Claude, som kjøres på Vertex AI. Språkmodellen skriver karakterens replikker, hjelpetips underveis, tilbakemeldingsrapporten og karakterens egen opplevelse av samtalen.	Lyden av det du sier, mens du snakker, samtalen som tekst og beskrivelsen av scenarioet. Ikke bruker-ID, navn eller e-postadresse.	EU (Googles flerregion «eu»; landet oppgis ikke)	Sendes til Googles EU-endepunkt.
Anam.ai Ltd	Videoavatar: lager bildet av karakteren som snakker. Er den ikke tilgjengelig, vises en 3D-figur som lages i nettleseren din uten noen leverandør.	Karakterens lyd (ikke stemmen din), en tilfeldig øktmerkelapp og IP-adressen din, fordi nettleseren din kobler seg direkte til leverandøren. Vi ber om at økten ikke tas opp, og sletter den hos leverandøren når samtalen er over.	Nærmeste region: EU for alle økter vi har registrert. Kan bli USA ved høy belastning. Selskapet ligger i Storbritannia.	Storbritannia: EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå. USA: overføringsvilkårene i leverandørens databehandleravtale.
Brukes bare i andre oppsett, ikke for pilotkontoer
OpenAI	Talemotor (stemme og talegjenkjenning) i oppsett uten EØS-modus. Lager også utkast til scenarioer og demosamtaler for administratorer.	Lyden av det du sier, samtalen som tekst og beskrivelsen av scenarioet. Fra administratorer: teksten i et opplastet dokument etter maskinell vask.	USA	EUs standardkontraktvilkår (SCC).
Simli AS	Videoavatar for organisasjoner som bruker denne leverandøren.	Karakterens lyd (ikke stemmen din) og IP-adressen din. Leverandørens vilkår tillater at den bruker innholdet til å trene egne modeller.	Norsk selskap. Lyden sendes til et endepunkt i EØS (Nederland). Leverandøren opplyser at bildet kan lages på servere i Finland og i USA.	EØS. For USA: standardkontraktvilkårene i leverandørens databehandleravtale.
Stripe	Betaling og abonnement, bare når betaling er satt opp.	E-postadressen til den som betaler, og kunde- og abonnements-ID. Kortopplysninger gir du direkte til betalingsleverandøren.	USA	EUs standardkontraktvilkår (SCC).
Resend	Utsending av e-post (invitasjoner, påminnelser, varsler), bare når e-post er satt opp. Pilotkontoer får aldri e-post.	Mottakerens e-postadresse og innholdet i e-posten.	USA	EUs standardkontraktvilkår (SCC).
Cartesia	Norsk stemme for karakteren i en talemotor som bare systemadministratorer kan velge.	Karakterens replikker som tekst. Ikke stemmen din, og ikke bruker-ID.	USA	EUs standardkontraktvilkår (SCC).

Endringer varsles til organisasjonskunder før en ny underleverandør tas i bruk, i tråd med databehandleravtalen.

Hvor behandles opplysningene

Ikke alt behandles i EU/EØS. Tabellen viser hvert sted og hva som gjør behandlingen der lovlig.

Tyskland (EØS)

Hvem: Hetzner
Hva som behandles der: All lagring: database, applikasjon og sikkerhetskopier.
Rettslig grunnlag for stedet: Innenfor EØS. Ingen overføring.

EU for øvrig (EØS)

Hvem: Google, Anam
Hva som behandles der: Tale mens du snakker og samtaletekst til språkmodellen (EU-flerregion), og videoavatar (leverandøren oppgir Spania).
Rettslig grunnlag for stedet: Innenfor EØS.

Storbritannia

Hvem: Anam
Hva som behandles der: Avatarleverandøren er et britisk selskap og styrer øktene derfra.
Rettslig grunnlag for stedet: EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå for Storbritannia.

USA

Hvem: Clerk, Anam, OpenAI, Cartesia, Simli, Stripe, Resend
Hva som behandles der: Innlogging, alltid. Videoavatar ved høy belastning. I andre oppsett også talemotor, betaling og e-post.
Rettslig grunnlag for stedet: EU–US Data Privacy Framework for leverandører som er sertifisert der, og EUs standardkontraktvilkår (SCC). Se hver leverandør i tabellen over.

Sted	Hvem	Hva som behandles der	Rettslig grunnlag for stedet
Tyskland (EØS)	Hetzner	All lagring: database, applikasjon og sikkerhetskopier.	Innenfor EØS. Ingen overføring.
EU for øvrig (EØS)	Google, Anam	Tale mens du snakker og samtaletekst til språkmodellen (EU-flerregion), og videoavatar (leverandøren oppgir Spania).	Innenfor EØS.
Storbritannia	Anam	Avatarleverandøren er et britisk selskap og styrer øktene derfra.	EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå for Storbritannia.
USA	Clerk, Anam, OpenAI, Cartesia, Simli, Stripe, Resend	Innlogging, alltid. Videoavatar ved høy belastning. I andre oppsett også talemotor, betaling og e-post.	EU–US Data Privacy Framework for leverandører som er sertifisert der, og EUs standardkontraktvilkår (SCC). Se hver leverandør i tabellen over.

Dokumentasjon

Universell utforming

SimLab utvikles mot WCAG 2.1 nivå AA. Vi er ikke ferdige: tilgjengelighetserklæring er under utarbeidelse, og vi oppgir gjerne status på konkrete suksesskriterier i en anskaffelsesprosess. Ta kontakt, så svarer vi ærlig på hva som er testet og hva som ikke er det.

Selskapet

SimLab ASBergen, Norge

Spørsmål?

Personvernspørsmål og innsynsbegjæringer besvares normalt innen én måned. support@simlab.as