Databehandleravtale

Sist oppdatert 26. oktober 2026

Legger firmaet personer og prosjekter inn hos oss, behandler vi prosjektnavnet og adressen, personene firmaet legger til med navn, rolle og e-postadresse, hvem som er bas, 3D-modellene som lastes opp på prosjektet eller i firmaets egen liste, tegningene som lastes opp under «Tegninger», AR-lenkene firmaet lager, og prislisten firmaet lagrer i appen. Når appen er logget inn, sender den også registreringene på prosjektet, bildene som legges ved og bildene som tas med kameraet i AR, også rørene og kablene som registreres i veggene, plasseringen av huset, prosjektets koordinater og, fra en iPhone, kartet AR lager over byggeplassen. Lager firmaet en kode for å overlevere skjult anlegg til huseieren, behandler vi koden for firmaet. Ber en huseier firmaet om tilbud i appen, gjennom en AR-lenke firmaet har sendt, behandler vi forespørselen for firmaet. Viser firmaet modeller fra listen til kundene sine, henter huseieren dem med nøkkelen fra AR-lenken, og vi lagrer ingenting om det. Alt står i vedlegg A. KS-dokumentasjonen lager appen på telefonen, og den får vi ikke. Avtalen signeres når firmaets hovedkonto opprettes, før firmaet legger inn personer eller prosjekter hos oss.

Mellom hvem

Avtalen er mellom firmaet ditt, som er behandlingsansvarlig, og oss, som er databehandler.

Behandlingsansvarlig: Firmaet ditt, med foretaksnavn, organisasjonsnummer, adresse, kontaktperson og e-postadresse
Databehandler: Architecture Reality, Haugesund, Norge
Foretak: Ikke registrert. Architecture Reality er et arbeidsnavn, og avtalen kan derfor ikke inngås i dag.
E-post: post@architecture-reality.com

Hva avtalen gjelder

Firmaet ditt bruker AR Appen på prosjektene sine. Da legger firmaet inn opplysninger om personer hos oss: hvem som står på prosjektet og med hvilken rolle, hvem som er bas, hvem som har lastet opp en 3D-modell, lagt en modell i firmaets liste eller laget en AR-lenke, og adressen til huset. Appen sender også registreringene «I orden», «Avvik» og «Ikke relevant», rørene og kablene som registreres i veggene, bildene som legges ved eller tas med kameraet i AR, og prosjektets koordinater. Hvem som registrerte, vet serveren av innloggingen som sendte registreringen. Har firmaet sendt en huseier en AR-lenke, kan huseieren be firmaet om tilbud i appen, og forespørselen kommer til firmaet hos oss.

For de opplysningene er firmaet behandlingsansvarlig og vi databehandler. Avtalen sier hva vi har lov til å gjøre med dem. Kravet følger av personvernforordningen artikkel 28.

Avtalen gjelder sammen med avtalevilkårene for abonnementet. Er de uenige om personvern, gjelder denne avtalen.

Avtalen gjelder ikke opplysninger vi behandler for oss selv: kontoen til firmaet, betalingen, regnskapsbilagene, e-post til oss, feilloggen og feilrapportene fra appen, og 3D-filer som bare gjøres klare for AR, uten et prosjekt hos oss. Der er vi behandlingsansvarlige, og personvernerklæringen gjelder.

Kontoen og innloggingen til hver person behandler vi for firmaet, og de står i vedlegg A. Vi bruker dem også for oss selv: til å holde innloggingen sikker, og til å slette kontoen når personen selv ber om det. For den bruken er vi behandlingsansvarlige, og personvernerklæringen gjelder.

Formål, art og varighet

Vi behandler opplysningene bare for å levere AR Appen til firmaet: å vise modellen i AR, å lagre det dere registrerer, å styre hvem som har tilgang til hva, og å finne og rette feil. Har firmaet slått på «Bidra til bedre gjenkjenning», bruker vi i tillegg bildene appen tar i AR, til å lære opp gjenkjenningen i appen (se Bidra til bedre gjenkjenning).

Avtalen løper så lenge firmaet har abonnement, og til alle opplysningene er slettet eller levert tilbake etter punktet Når avtalen opphører. Hvilke opplysninger og hvilke personer det gjelder, står i vedlegg A.

Instruks

Vi behandler opplysningene bare etter skriftlig instruks fra firmaet. Denne avtalen med vedlegg er instruksen. Trenger firmaet noe utover den, avtales det skriftlig.

Vi sier fra hvis vi mener en instruks er i strid med personvernregelverket.

Vi bruker ikke opplysningene til noe eget: ikke til markedsføring og ikke til statistikk om andre firmaer. Vi lærer ikke opp modeller med dem, med ett unntak: bildene appen tar i AR, når firmaet selv har slått på «Bidra til bedre gjenkjenning» (se Bidra til bedre gjenkjenning).

Er vi pålagt ved lov å behandle opplysningene på en annen måte, sier vi fra til firmaet før vi gjør det, hvis ikke loven forbyr oss å si fra.

Bidra til bedre gjenkjenning

På firmaets prosjekter lagrer appen et utvalg bilder fra kameraet mens huset står i AR, på telefonene til firmaets egne folk. De ligger på telefonen, i mappen til prosjektet, og er firmaets egne. «Bidra til bedre gjenkjenning» er av til firmaet slår det på. Det gjør hovedkontoen eller en prosjektleder under «Konto og innstillinger» i appen, og det gjelder alle firmaets prosjekter til det slås av igjen.

Når det er på, sender iPhonene på firmaets prosjekter bildene som er tatt mens det var på, til oss på Wi-Fi. Ansikter og bilskilt telefonen finner, sløres på telefonen før bildet sendes. Android-telefoner sender ingen ennå. Vi bruker bildene bare til å lære opp gjenkjenningen i appen, så AR kjenner igjen grunnmuren, hjørnene, veggene og rørene. For den bruken er vi behandlingsansvarlige, ikke databehandler, og personvernerklæringen sier hva som sendes, hvordan det lagres og når det slettes.

Bildene lagres kryptert på vår server, utenfor nettstedet. Ingen adresse og ingen knapp henter dem ut igjen, heller ikke for firmaet. Vi gir dem ikke til andre.
Hvert bilde slettes 24 måneder etter at det ble tatt. Ber firmaet om det, sletter vi bildene fra ett prosjekt eller alle firmaets bilder, innen 30 dager. De slettes når firmaet slettes. Å slå det av stopper sendingen, men sletter ikke det som er sendt.
Firmaet sier fra til folkene på byggeplassen at appen tar bilder i AR, og om firmaet bidrar med dem.

Taushetsplikt

Bare de hos oss som trenger det for å gjøre jobben, får tilgang. De har taushetsplikt, og taushetsplikten gjelder også etter at de har sluttet.

Sikkerhet

Vi setter i verk de tekniske og organisatoriske tiltakene som står i vedlegg B, og som skal gi et sikkerhetsnivå som passer risikoen (personvernforordningen artikkel 32).

Endrer vi tiltakene slik at sikkerhetsnivået blir lavere, sier vi fra til firmaet først.

Underdatabehandlere

Firmaet gir oss et generelt samtykke til å bruke underdatabehandlere. De vi bruker i dag, står i vedlegg C.

Vil vi bytte eller legge til en, varsler vi firmaet på e-post minst 30 dager før. Firmaet kan protestere skriftlig innen 14 dager. Blir vi ikke enige, kan firmaet si opp abonnementet med virkning fra den dagen endringen trer i kraft, og få tilbake det som er betalt for tiden etterpå.

Vi inngår en avtale med hver underdatabehandler som gir minst like strenge plikter som denne, og vi svarer for det de gjør, som for vårt eget arbeid.

Overføring ut av EØS

Opplysningene behandles innenfor EØS eller i et land EU-kommisjonen har truffet en beslutning om.

I dag står serveren i London, Storbritannia. EU-kommisjonen fornyet 19. desember 2025 beslutningen om at personvernet i Storbritannia er godt nok til at opplysninger kan overføres dit fra EØS, og den varer til 27. desember 2031 (EU-kommisjonen om beslutninger om tilstrekkelig beskyttelsesnivå). Vi flytter serveren til EU, se vedlegg C.

Bruker vi en underdatabehandler utenfor EØS uten en slik beslutning, bruker vi EUs standardavtaler og gjør en vurdering av landet. Firmaet får se vurderingen når det ber om det.

Rettighetene til de registrerte

Kommer noen til oss og ber om innsyn, retting, sletting, begrensning eller dataportabilitet, eller protesterer, svarer vi ikke selv. Vi sender henvendelsen til firmaet uten ugrunnet opphold, og senest innen fem virkedager.

Vi hjelper firmaet med å svare, med de funksjonene appen har og ellers med rimelig bistand.

Brudd på personopplysningssikkerheten

Oppdager vi et brudd — at opplysninger kommer på avveier, blir endret, blir borte, eller at noen får tilgang de ikke skulle hatt — varsler vi firmaet uten ugrunnet opphold, og senest innen 24 timer etter at vi ble kjent med det.

Varselet sier hva som har skjedd, hvilke opplysninger og omtrent hvor mange personer det gjelder, hva følgene kan bli, og hva vi gjør. Vet vi ikke alt med én gang, sender vi det vi vet, og resten etter hvert.

Det er firmaet som melder bruddet til Datatilsynet innen 72 timer, og som varsler personene hvis det trengs. Vi gir firmaet den hjelpen det trenger for å gjøre det (personvernforordningen artiklene 33 og 34).

Bistand ellers

Vi hjelper firmaet med

å ivareta sikkerheten etter artikkel 32,
å gjøre en vurdering av personvernkonsekvenser etter artikkel 35, hvis firmaet trenger en,
å svare Datatilsynet.

Når avtalen opphører

Når abonnementet er avsluttet, velger firmaet om det vil ha personopplysningene levert tilbake før vi sletter dem, eller om vi bare skal slette dem. Det gjelder alt vi har behandlet for firmaet:

I 90 dager kan firmaet be oss om en eksport. Vi tar den ut med en kommando på serveren. Eksporten er én JSON-fil, et vanlig filformat andre programmer kan lese. Den har firmaet, personene med navn og rolle og når innloggingen deres begynte og sluttet, prosjektene og hvem som står på dem, 3D-modellene og firmaets egen liste over modeller, visningshusene og AR-lenkene, registreringene, bildene, prosjektets koordinater, kodene for å overlevere skjult anlegg (uten selve koden), forespørslene fra huseiere med nøklene de kom med, og revisjonsloggen.
Dette tar kommandoen ikke med: e-postadressene til personene, hvem som la til en person eller laget et visningshus, hvilken telefon som sendte en registrering, og telefonene, innloggingene og kodene. Det tar vi ut av databasen for hånd og leverer sammen med JSON-filen.
Filene til 3D-modellene og bildene står i JSON-filen med kontrollsum (SHA-256), og filene til 3D-modellene også med stien på serveren. Bildene ligger i det samme fillageret, under kontrollsummen sin. Vi kopierer ut begge og gir dem til firmaet sammen med JSON-filen.
Etter 90 dager sletter vi firmaet med en kommando på serveren. Det skjer ikke av seg selv. Kommandoen sletter kontoene og innloggingene, prosjektene og hvem som står på dem, 3D-modellene og firmaets egen liste over modeller, visningshusene og AR-lenkene, registreringene og bildene, prosjektets koordinater, kodene for å overlevere skjult anlegg, forespørslene fra huseiere med bildene, skanningene og nøklene, og revisjonsloggen. En fil blir bare liggende hvis et annet firma har nøyaktig den samme filen.
Omformeren som gjør en 3D-fil klar for AR, har sin egen kopi av 3D-modellen. Kommandoen rører ikke den kopien. Omformeren sletter kopien av seg selv 24 timer etter at filen sist ble lastet opp.
Ber firmaet om sletting tidligere, sletter vi innen 30 dager.
Sikkerhetskopien av databasen tas hver natt. Hver gang en ny kopi er tatt og sjekket, sletter serveren kopiene som er 14 dager eller eldre, men aldri de tre nyeste. Det som er slettet, kan derfor ligge i kopiene i opptil 15 dager til. Stopper kopieringen, stopper også slettingen av gamle kopier, og alle kopiene blir liggende til kopieringen går igjen.
Hver dag henter vi en kopi av sikkerhetskopien og av filene til vår egen PC. Der slettes kopiene av databasen etter den samme regelen, og en fil som er slettet på serveren, 14 dager etter at kopieringen så at den var borte. Det som er slettet, kan derfor ligge på PC-en i opptil 16 dager.
Bildene til «Bidra til bedre gjenkjenning» er ikke med i eksporten, fordi ingen kan hente dem ut. Kommandoen som sletter firmaet, sletter dem.
Firmaet får en skriftlig bekreftelse på at det er slettet, med tallene kommandoen skriver ut: hvor mange kontoer, prosjekter, 3D-modeller, registreringer, bilder, AR-lenker, linjer i revisjonsloggen og filer som ble slettet.

Vi beholder det loven krever at vi beholder, og bare så lenge loven krever det. Står en e-postadresse på sperrelista for e-post (se personvernerklæringen), blir den stående der også når firmaet slettes, til 24 måneder etter siste gang den havnet der.

Visningshusene og AR-lenkene slettes med firmaet. En AR-lenke firmaet har sendt til en huseier eller en gjest, slutter da å virke. Har huseieren eller gjesten trykket «Behold huset» i appen, ligger 3D-modellen og firmanavnet på telefonen til den som trykket. Det er ikke hos oss, og det slettes ikke med firmaet. Det samme gjelder huset, rørene, kablene og bildene en huseier har hentet med en kode for overleveringen. En kode som ikke er brukt, slutter å virke når firmaet slettes.

Det som ligger på telefonene til personene i firmaet, er ikke hos oss. Hver person kan slette det med «Slett kontoen» i appen, men bare før firmaet er slettet hos oss. Når firmaet er slettet, virker ikke innloggingen lenger, og knappen ligger bak innloggingen. Da sletter personen det ved å slette appen. «Logg ut» sletter ikke det som er registrert på telefonen.

Revisjon

Firmaet kan be om dokumentasjon på at vi følger avtalen. Vi svarer skriftlig innen 30 dager.

Firmaet kan kreve en revisjon hos oss én gang i året, og ellers etter et brudd. Revisjonen varsles minst 30 dager før, gjennomføres i arbeidstiden, og forstyrrer ikke driften mer enn nødvendig. Firmaet dekker sine egne kostnader.

Ansvar

Hver part svarer for sin del etter personvernforordningen artikkel 82. Ellers gjelder ansvarsbegrensningen i avtalevilkårene for abonnementet, så langt regelverket tillater det. Ansvaret overfor personene opplysningene gjelder, kan ikke begrenses av denne avtalen.

Norsk rett

Norsk rett gjelder. Verneting er Haugaland og Sunnhordland tingrett.

Avtalen signeres av begge parter med sted, dato, navn, stilling og signatur.

Vedlegg A: hva vi behandler

Personer opplysningene gjelder

Personer i firmaet: prosjektleder, bas og arbeider
Huseieren eller byggherren, gjennom adressen til huset, og gjennom prosjektets koordinater og numrene til eiendommen
Gjester firmaet sender en AR-lenke til. Om dem lagrer vi bare når lenken ble åpnet.
Huseiere firmaet overleverer skjult anlegg til. Om dem lagrer vi bare når koden ble brukt.
Huseiere som ber firmaet om tilbud i appen, gjennom en AR-lenke firmaet har sendt, eller fordi de fant firmaet under «Finn firma»
Personer firmaet inviterer til visning på e-post. Om dem lagrer vi ingenting.

Opplysninger

Konto: navn, rolle, e-postadresse hvis den er lagt inn, hvilket firma, når personen ble lagt til og av hvem, og når innloggingen begynte og sluttet. Det finnes ikke noe felt for telefonnummer.
Innlogging: for hver telefon et kryptografisk avtrykk av innloggingsnøkkelen, id-en appen laget for installasjonen, om det er Android, iPhone eller noe annet, og når innloggingen ble laget, sist ble brukt, går ut og ble avsluttet. For Min side det samme, uten telefonen. For innloggingskoder og lenker på e-post et avtrykk av koden, hvem som laget den, og når den ble laget, går ut, ble brukt eller ble trukket tilbake. En kode trekkes tilbake når det lages en ny kode til den samme personen, og når firmaet avslutter innloggingen til personen. Logger personen inn for firmaet med Apple eller Google: hvilken av dem, bruker-id-en derfra, og når innloggingen ble koblet til kontoen og sist ble brukt. Tokenet fra Apple eller Google lagres ikke. Ikke telefonmodell og ikke appversjon.
Prosjekt: prosjektnavnet, adressen hvis den er skrevet inn, og hvem som laget prosjektet og når. Hvem som står på prosjektet, med navn, fra og til når, hvem som la dem til, og hvem som er bas.
3D-modeller: 3D-filen som lastes opp på prosjektet, med filformat, størrelse, enheten hvis den er valgt, hvem som lastet den opp og når, og om omformingen lyktes. Selve filen slettes når den er gjort om, også når det ikke lykkes. Filen kan ha navn, adresse og koordinater som tegneprogrammet la inn. 3D-modellen serveren lager av den, en GLB-fil og listene over konstruksjonsdeler og åpninger, ligger til firmaet slettes. Omformeren som lager den, har sin egen kopi i 24 timer etter at filen sist ble lastet opp. Hva den tar med fra filen, står i personvernerklæringen.
Firmaets egne modeller: 3D-filen firmaet legger i sin egen liste, behandlet som en 3D-modell på et prosjekt, med navnet firmaet gir modellen, hva den er (hus, tilbygg, garasje, bod eller levegg), om kundene skal se den, og hvem som la den inn og når. Firmaet og prosjektlederne ser listen, og et annet firma ser den aldri. Viser firmaet en modell til kundene, kan en huseier med nøkkel fra en AR-lenke firmaet har sendt, hente navnet, typen og GLB-filen. Vi lagrer ingenting om at den ble hentet. Mapper og delinger: navnet firmaet gir en mappe, hvilken mappe en modell ligger i, og hva firmaet deler med en kunde, med hvilken sak eller AR-lenke, hvem i firmaet som delte og når. Det som er delt, kan hentes på samme måte av kunden i saken, eller av den som har nøkkel fra lenken. En deling ligger til firmaet trekker den tilbake, til saken eller lenken slettes, eller til firmaet slettes. En modell ligger til firmaet sletter den fra listen, eller firmaet slettes. Et prosjekt som bruker modellen, beholder sin egen kopi av raden. Filene slettes et døgn etter at ingen modell eller noe prosjekt viser til dem.
Visningshus og AR-lenker: navnet firmaet gir lenken, hvilket prosjekt og hvilken 3D-modell visningshuset viser, og hvem som laget det og når. Visningshuset har ikke noe felt for adressen. Serveren sier nei til et navn med et ord på fire tegn eller flere fra adressen til prosjektet. Har prosjektet ingen adresse, sjekker den ingenting, og da er det firmaet som passer på at adressen ikke står i navnet. For hver lenke et avtrykk av koden og de fire siste tegnene, hvem som laget lenken, og når den ble laget, går ut, ble åpnet og ble trukket tilbake. For gjesten som åpner lenken, en økt med et avtrykk av nøkkelen og når den begynte og slutter, uten noe om gjesten. Gjesten får en liste over konstruksjonsdelene i 3D-modellen, med hva hver av dem er, hvor den står og leverandørens mål, som serveren lager av 3D-modellen, og tilvalgene firmaet har slått på for kunder, med pris inkl. mva.
Prislisten: tilvalgene firmaet legger inn i appen, med navnet, hva satsen gjelder, satsen eks. mva, om tilvalget er standard og om kunder med AR-lenke ser det. Hver lagring blir en ny versjon, med hvem som lagret den og når. Alle versjonene ligger til firmaet slettes. Revisjonsloggen får versjonen, hvor mange tilvalg den har og hvor mange av dem kunder ser.
Saker med huseiere: meldingene mellom firmaet og huseieren, med hvem som skrev og når, om de kom fra appen eller som svar på en e-post, og når de ble lest. Hver versjon av tilbudet firmaet sender, med linjene, prisene, forbeholdene, betalingsplanen, hvem i firmaet som sendte det, og huseierens svar med tidspunktet. Fremdriftsplanen med milepælene, beløpet ved en milepæl når firmaet skriver det, når de er nådd, en linje om hvor mange bilder, signerte sjekklister, sjekkpunkter i orden og avvik prosjektet har, hvilke av prosjektets bilder som er lagt ved en milepæl (huseieren ser dem), og hvem som endret den sist. Hvilket prosjekt saken er koblet til. Svaradressene i e-postene bare som et kryptografisk avtrykk. Firmaet og prosjektlederne kan lese saken, og basen på prosjektet saken er koblet til ser fremdriftsplanen og legger ved bilder. Saken slettes med forespørselen, 12 måneder etter siste endring, og med én gang når huseieren trekker forespørselen.
Firmaets profil: det firmaet skriver om seg selv (om firmaet, antall ansatte, etablert, telefon, e-post, nettside, adresse, område, hvor firmaet står på kartet og hva firmaet bygger), logoen, opptil seks bilder av tidligere jobber med hvem som la dem til og når, om den vises for kunder, og hvem som lagret den sist og når. Når «Vis firmaet for kunder i appen» er på, er profilen offentlig i appen, og en gjest med AR-lenke får telefon, e-post, nettside og fagområder med visningen. Den ligger til firmaet endrer den eller firmaet slettes.
Revisjonsloggen: når, hvilken konto og hvilket firma, hva som ble gjort og med hva, og små detaljer som rollen eller hvor mange dager en lenke virker. Aldri navn, og aldri koder.
Tegninger: hver side av en tegning som et bilde, med navnet, typen og datoen firmaet gir den, hvem som lastet den opp og når, og de tidligere revisjonene. Står navn, adresse eller gårds- og bruksnummer i tegningshodet, står de i bildene. Alle på prosjektet kan hente dem. En tegning som fjernes, slettes 30 dager etter, og et bilde ingen tegning bruker, etter 2 døgn. Ellers ligger de til firmaet slettes.
En vegg som deles: prosjektet, hvilken vegg i 3D-modellen og navnet på den, hvem som sendte den til hvem, når, og når den ble lest. Bare mottakeren ser den. Den slettes 30 dager etter at den ble sendt, eller når en av kontoene slettes.
Registreringer: «I orden», «Avvik» eller «Ikke relevant», målet, merknaden, måleutstyret og rommet, slik appen sendte dem. Navnet på den som registrerte, står ikke i registreringen. Serveren kjenner kontoen som sendte den, og viser navnet derfra til de andre på prosjektet, som henter registreringen til telefonen sin. Hvilken konstruksjonsdel eller hvilket punkt det gjelder, hvilken versjon av 3D-modellen, hvilken konto og hvilken telefon som sendte det, og når det ble registrert og mottatt. Et avvik lukkes ved at noen registrerer «I orden» eller «Ikke relevant» på den samme konstruksjonsdelen eller det samme punktet, og begge registreringene blir stående. Plasseringen av huset sendes på samme måte, når noen trykker «Lagre plassering» eller «Del plasseringen», og av seg selv når plasseringen stemmer godt og ikke har en advarsel: hvordan huset ble satt på byggeplassen (to hjørner, merkene, koordinatene eller en skanning), punktene i AR sitt eget koordinatsystem og i 3D-modellen, grunnflatens mål og justeringene, uten navnet på den som delte. Har personen gitt appen lov til posisjonen, og hadde telefonen en posisjon da, følger husets sted med: midten av huset med bredde- og lengdegrad, og kompassretningen. Det er ett punkt for hver plassering, aldri et spor, og det er husets sted, ikke personens. Med det kan de andre telefonene på prosjektet vise huset omtrentlig, innen 5–10 m. De andre på prosjektet, og en gjest med en AR-lenke fra firmaet, henter den nyeste, så huset kan settes på samme sted. En gjest får aldri husets sted: serveren tar det ut før gjesten får plasseringen.
Kartet over byggeplassen: fra en iPhone, kartet ARKit lager over stedet, og hvor huset sto i det, når en plassering er kommet til firmaet. Det kan være opptil 8 kart for hver plassering, hvert med hvor i huset telefonen sto da kartet ble tatt, i husets egne mål og aldri i bredde- og lengdegrad. Telefonen tar et nytt kart når huset står riktig, høyst ett hver halvtime på prosjektet. Når plasseringen har 8, gir det eldste kartet telefonen tok av seg selv plass. Kartet er punktene AR kjenner igjen stedet på, og det har ingen bilder. Det lagres med prosjektet, med hvilken konto som sendte det og når. Bare firmaets egne folk på prosjektet kan hente det, så en annen iPhone kan sette huset på samme sted. En gjest med en AR-lenke, en privat konto og andre firmaer får det aldri. Det slettes med prosjektet når firmaet slettes.
Prosjektets koordinater: på et prosjekt firmaet har, punktlisten fra landmåleren slik den ble limt inn eller lest fra filen, med punktnavn, nord, øst, høyde og kode. Koordinatsystemet, hvilke punkter som er hjørner av huset, koten under bunnsvillen, hvilke to punkter huset plasseres fra, og punktenes nøyaktighet. Fra «Fra grensemerkene»: avstanden mellom de to grensemerkene, avstandene fra veggen til grensen, hvilken side av grensen huset står på, og kvaliteten på merkene. Er merkene hentet fra Kartverket, også kommunenummeret, gårds-, bruks-, feste- og seksjonsnummeret og de to grensemerkene med koordinatene. Punktene som lagres med «Koordinat» i AR: navnet, hvor punktet er i 3D-modellens egne koordinater, nord, øst og kote i EUREF89 når prosjektet har koordinater, koordinatsystemet, usikkerheten i plasseringen i mm, og når punktet ble tatt. Navnet på den som gjorde det, står ikke der. Appen sender det når noen på prosjektet endrer punktlisten eller avstandene, eller lagrer eller sletter et punkt, og telefonene på prosjektet henter det. Serveren lagrer ett sammenslått dokument per prosjekt, med et revisjonsnummer, når det ble endret og hvilken konto som endret det. Et slettet punkt står merket som slettet. Bare firmaets egne personer på prosjektet kan sende og hente det. En gjest med en AR-lenke, en privat konto og andre firmaer får det aldri. Det ligger til firmaet slettes.
Spørsmål om materialer: serveren lagrer ikke spørsmålet en person stiller i «Spør om materialer». Loggen får bare hvor mange tegn og etasjer det hadde, om det ble forstått, og hvor mye av språkmodellen det brukte.
Bilder: bildet slik telefonen lagret det, med filformat og størrelse, og hvem som lastet det opp og når. Et bilde fra kameraet i AR viser byggeplassen, med modellen i eller uten, og har med seg når det ble tatt og hvor i huset: etasjen og konstruksjonsdelen midt i bildet, med ord og ikke på kartet. Et bilde kan vise personer, og det kan ha tidspunkt og posisjon som kameraet skrev inn i filen. Serveren fjerner dem ikke.
Skjult anlegg: rørene og kablene som registreres i veggene, slik appen sendte dem: hva det er, punktene i 3D-modellens mål, veggen, usikkerheten og når det ble registrert, uten navnet på den som registrerte. Bildene av de åpne veggene, med hvor telefonen sto og hvilken vei den pekte i 3D-modellens mål, veggen, når bildet ble tatt, og fra en telefon som måler dybde et grovt nett av avstander til veggen. Kodene for å overlevere skjult anlegg til huseieren: koden og nøkkelen bare som et kryptografisk avtrykk, de fire siste tegnene i koden, hvilket prosjekt, hvem som laget koden og når, når den ble brukt, og hvilken 3D-modell nøkkelen henter. Ingenting om huseieren.
Forespørsler fra huseiere: navnet, og telefonnummeret eller e-postadressen huseieren skrev. Forespørselen slik appen sendte den: hva huseieren vil bygge, målene, stedet med huseierens egne ord, ønsket, budsjettet som et bånd, når huseieren tenker å bygge, og om modellen ble satt på tomten i AR. Gjelder det skannede eller målte rom, rommene med navn, vegger, areal og notater, og for et rom målt i appen eller skannet med Apples RoomPlan på iPhone formen: hjørnene, takhøyden og døråpningene og vindusåpningene, i meter fra et hjørne i rommet, uten posisjon på kartet. Bildene, filmene fra AR (høyst 2 på høyst 1 minutt og 60 MB hver) og skanningene som fulgte med, slik telefonen sendte dem, også med tidspunkt og posisjon kameraet eller telefonen skrev inn. Status og tidspunkter: når forespørselen kom, ble åpnet, besvart, avslått eller trukket, og befaringen firmaet foreslo med huseierens svar. Hvilket prosjekt og hvilket hus AR-lenken viste. Nøkkelen fra AR-lenken lagres bare som et kryptografisk avtrykk. Bare firmaet og prosjektlederne kan lese forespørselen. Den slettes 12 måneder etter siste endring. Trekker huseieren den, sletter serveren navnet, nummeret, e-postadressen, linjene, bildene, filmene og skanningene med én gang, og status og tidspunkter står til fristen. Nøkkelen slettes 210 dager etter at lenken ble åpnet.

Det som blir på telefonen. Det kameraet og dybdebildet viser i AR, skanningen av fundamentet og avlesningen av gulvet sender appen ikke til oss. Unntakene er plasseringen av huset, som står under Registreringer, kartet fra en iPhone, som står under Kartet over byggeplassen, og bildene av de åpne veggene, med det grove nettet av avstander, som står under Skjult anlegg over. Bildene appen lagrer i AR, blir på telefonen til firmaet slår på «Bidra til bedre gjenkjenning», og da behandler vi dem ikke for firmaet (se Bidra til bedre gjenkjenning). Feilloggen fra appen kan ha tall fra plasseringen, skanningen og gulvet. Den er vår egen behandling, og personvernerklæringen sier hva den har.

Særlige kategorier som helseopplysninger og fagforeningsmedlemskap behandles ikke. Firmaet skal ikke legge inn slike opplysninger i appen. Skjer det likevel, i et fritekstfelt eller på et bilde, er det firmaets ansvar.

Bilder av personer er en personopplysning. Firmaet bestemmer selv om personene på byggeplassen skal fotograferes, og har ansvaret for å si fra til dem.

Behandlingen er lagring, omforming av 3D-filer for AR, visning i appen, å vise gjestene tilvalgene firmaet har slått på for dem, tilgangsstyring, å ta imot forespørsler fra huseiere og gi dem til firmaet, utsending av innloggingslenker og invitasjoner på e-post, sikkerhetskopiering, eksport og sletting når avtalen opphører, og feilsøking. Hvor opplysningene ligger på signeringsdagen, skrives inn i vedlegget.

Vedlegg B: sikkerhetstiltak

Vedlegg B er listen over sikkerhetstiltak. Den fylles ut og signeres sammen med firmaet, og vi skriver bare inn tiltak som faktisk er innført den dagen avtalen signeres. Et tiltak som står der uten å være innført, er et avtalebrudd fra dag én.

Listen dekker disse områdene, og for hvert av dem står det hva som er gjort:

Overføring: trafikken mellom app, nettsted og server, og hvilken versjon av TLS.
Innlogging: at det ikke finnes passord, og hvordan innloggingslenker og tokener lagres.
Tilgang: hvordan det avgjøres hvem som ser hva, og at huseier og gjest aldri ser innkjøpspris eller avvik.
Opphevelse: hva som skjer med telefonen når en innlogging avsluttes.
Lagring: hvor databasen ligger, og om disken er kryptert.
Sikkerhetskopi: hvor ofte, hvor den lagres, hvordan den er kryptert, og når gjenoppretting sist ble testet.
Adgang til serveren: hvem som har den, og med hvilken nøkkel eller tofaktor.
Logging: hva serveren skriver ned, og når loggene slettes.
Oppdatering: hvor raskt sikkerhetsoppdateringer legges inn.
Sletting: hvordan sletting gjennomføres, også fra sikkerhetskopiene, og innen hvilken frist.
Personell: taushetserklæring fra alle med tilgang.
Avvikshåndtering: skriftlig rutine for hva vi gjør ved et brudd, og hvem som varsler firmaet.

Firmaet får vedlegg B før det signerer, og kan be om dokumentasjon på hvert enkelt tiltak.

Vedlegg C: underdatabehandlere

Akamai Technologies (Linode): serveren med nettstedet, Min side, databasen, filene og omformeren som gjør 3D-filer klare for AR. Sikkerhetskopien av databasen ligger på den samme serveren. Storbritannia. Grunnlag: EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå, fornyet 19. desember 2025.
Sentry (Functional Software, Inc.): feilrapporter fra appen. Feilrapportene er vår egen behandling, men teksten i en feilmelding sendes slik appen skrev den, og kan ha med en e-postadresse eller en kode. Lagret i Sentrys EU-region i Tyskland. Sentry er et amerikansk selskap. Grunnlag: Sentrys databehandleravtale med EUs standardavtaler.
Stripe: betaling og fakturaer. Betalingen er vår egen behandling, men Stripe får e-postadressen til hovedkontoen. Irland og USA. Grunnlag: EUs standardavtaler. Hvilket Stripe-selskap som er avtalepart, skrives inn før avtalen signeres.
Anthropic PBC: når «Spør om materialer» med språkmodell slås på: leser spørsmålet en person stiller i mengdelisten, når appen ikke forstår det selv. Bare ordene i spørsmålet og etasjenavnene i 3D-modellen går dit, aldri prosjektet, personen eller 3D-modellen. Anthropic svarer bare hva det spørres etter, og lagrer det etter sine vilkår. USA. Grunnlag: Anthropics databehandleravtale med EUs standardavtaler. Den er ikke slått på ennå, og firmaet varsles etter punktet Underdatabehandlere før den slås på.
Namecheap: e-posten vår, Namecheap Private Email. Namecheap sender også innloggingslenkene, invitasjonene til personer firmaet legger til, e-postene i sakene med huseierne og de andre e-postene fra serveren, og tar imot svarene på e-postene i en sak. Serveren sender ingen e-post før vi har satt opp utsendingen der. USA. Grunnlag: EUs standardavtaler.

Apple og Google er ikke underdatabehandlere. Logger en person inn med Apple eller Google, er det personens egen konto der, og serveren vår sjekker bare tokenet de gir. Den innloggingen er ikke slått på ennå.

Planlagt endring: vi flytter serveren fra London til EU. Firmaet varsles etter punktet Underdatabehandlere før flyttingen.

Personvern Avtalevilkår for abonnementet