Personvernerklæring for GPT UiO

1. Hva er en personvernerklæring?

En personvernerklæring beskriver hvilke personopplysninger som behandles, hvordan de behandles, hvem som er ansvarlig for behandlingen, hvilke rettigheter du har og hvem du kan kontakte om personopplysningene dine. Denne personvernerklæringen beskriver hvordan UiO håndterer personopplysningene dine når du bruker Tjenesten og utgjør et supplement til UiOs generelle personvernerklæring som er tilgjengelig her: https://www.uio.no/om/regelverk/personvern/personvernerklering.html

2. Formålene med, samt rettslig grunnlag for behandling av personopplysninger i Tjenesten

2.1 Formål

Formålene med å behandle dine personopplysninger i Tjenesten er:

• Tilby, administrere, vedlikeholde og/eller analysere Tjenesten
• Kontakt
• Administrasjon av bruker
• Sikker identifikasjon
• Fakturering
• Tjenestekvalitet
• Oppetid
• Feilsøking
• Forhindre svindel, kriminell aktivitet eller misbruk av tjenestene våre, og for å sikre sikkerheten til våre IT-systemer, arkitektur og nettverk
• Overholde juridiske forpliktelser og for å beskytte rettighetene våre, personvernet, sikkerheten vår og/eller til våre underleverandører, deg eller andre tredjeparter.
• Hindre misbruk av tjenesten
• I noen tilfeller formål knyttet til regnskapsrapportering

2.2 Rettslig grunnlag

For formål knyttet til Tjenestens behov for riktig fakturering og å kunne ta kontakt med deg i forbindelse med prosjekter du administrerer eller i forbindelse med administrasjon av din bruker i Tjenesten, vil dette være i forbindelse med vår forpliktelse til å levere tjenesten til deg og/eller din institusjon i henhold til tjeneste- og databehandleravtale. Rettslig grunnlag for denne behandlingen vil derfor være personvernforordningen art. 6(1)(b).

For formål knyttet til regnskapsrapportering er behandlingsgrunnlaget personvernforordningen art. 6(1)(c) i kombinasjon med reglementet for økonomistyring i staten. Dine opplysninger vil kun bli behandlet for dette formålet hvis du står oppgitt som kontaktperson, fakturamottaker eller annet i en avtale med Tjenesten.

For formål knyttet til sikker identifikasjon, er dette basert på UiOs berettigede interesse i å gjøre Tjenesten sikker og unngå misbruk. Rettslig grunnlag for denne behandlingen vil derfor være personvernforordningen art. 6(1)(f).

For formål knyttet til ytterligere sikkerhet, tjenestekvalitet, oppetid og feilsøking er dette basert på UiOs berettigede interesse i forbedring, feilretting og deteksjon av kritiske forhold i tjenesten ved å føre nødvendig logging av data ved bruk. Rettslig grunnlag for denne behandlingen vil derfor være personvernforordningen art. 6(1)(f). Sikkerhet er en anerkjent berettiget interesse og en nødvendighet ved leveranse av solide tjenester. UiO vurderer det derfor slik at den registrertes interesser ikke går foran den behandlingsansvarliges interesser for disse behandlingene.

For formål knyttet til å overholde juridiske forpliktelser og for å beskytte rettighetene våre, personvernet, sikkerheten vår og/eller til våre underleverandører, deg eller andre tredjeparter, samt for å hindre misbruk av tjenesten, er dette basert på UiOs berettigede interesse i å kunne tilby tjenesten til våre brukere, og for å overholde juridiske forpliktelser. Rettslig grunnlag for denne behandlingen vil være personvernforordningen art. 6(1)(f). Interessen UiO søker å forfølge er å oppfylle våre juridiske forpliktelser overfor tredjeparter og å hindre misbruk. Oppfyllelse av disse forpliktelsene er nødvendig for å kunne tilby tjenesten. UiO vurderer det derfor at den registrertes interesser ikke går foran den behandlingsansvarliges interesser for disse behandlingene.

For formål knyttet til å tilby tjenesten til våre brukere, er personvernforordningen art. 6(1)(b) «avtale» rettslig grunnlag.

For formål knyttet til behandling av personopplysninger i spørringer ("input"), ledetekster ("output") og filopplastinger, må behandlingsgrunnlag i personvernforordningen art. 6 vurderes konkret. Evenutuelt unntak fra forbudet mot å behandle særlige kategorier personopplysninger i art. 9 må også vurderes konkret basert på formålet med behandlingen av personopplysninger i "input", "output" og filopplastinger.  

Bruk av store språkmodeller, slik som de som tilbys i GPT UiO, gir betydelige fordeler, herunder hjelper folk med å lage innhold, forbedre service, utvikle programvare, tilpasse utdanning, støtte forskning og mye mer. Disse fordelene kan ikke realiseres uten en stor mengde informasjon for å lære modellene. UiO er ikke selvstendig behandlingsansvarlig for selve treningsinformasjonen, men behandlingansvarlig for "output" basert på treningsinformasjonen. UiOs bruk av "output" basert på treningsinformasjon er ikke ment å påvirke enkeltpersoner negativt. Av disse grunnene baserer UiO sin bruk av personopplysninger som er inkludert i "output" basert på treningsinformasjonen på behandlingsgrunnlaget berettiget interesse.

Formålet med behandling av «cookies» er for å forbedre brukeropplevelsen for brukeren. Det rettslige grunnlaget for behandlingen av personopplysningene i «cookies» er basert på UiOs «berettiget interesse» i å kunne tilby tjenester med gode brukeropplevelser til våre brukere. Behandlingen av opplysningene er begrenset til det som er nødvendig for å bedre bruksopplevelsen i applikasjonen, i form av å lagre login-sesjon, husker brukers språkvalg, og for å holde rede på brukersesjonen. Behandlingen vil ikke medføre ulemper for den registrerte. UiO vurderer det derfor at den registrertes interesser ikke går foran den behandlingsansvarliges interesser for disse behandlingene.

3. Hvilke personopplysninger blir behandlet om deg i Tjenesten?

Tjenesten behandler kun opplysninger om deg for formålene og behandlingsgrunnlagene som angitt under pkt. 2 i denne personvernerklæringen, med mindre annet fremgår av databehandleravtalen inngått med din organisasjon.

3.1 Opplysninger som kan behandles

• Kontoinformasjon: UiO må behandle informasjon knyttet til kontoen din for å kunne levere Tjenesten, herunder navn, brukernavn,
• Brukerinnhold: når du bruker Tjenesten, kan vi samle inn personopplysninger som er inkludert i spørringer og ledetekst ("Input"), filopplastinger eller tilbakemeldinger som du gir til Tjenesten, samt fullføringer og svar fra tjenesten ("Output")
• Loggdata: om blant annet innlogginger, spørringstidspunkt, tidsforbruk, IP-adresse, enhetsinformasjon, inkludert navnet på enheten, operativsystemet og nettleseren du bruker
• Cookies: for å lagre login-sesjon, for lagring av språkvalg, og for å ta brukeren tilbake til riktig side hvis de blir bedt om å logge inn for å få tilgang til noe
• Kundeinfo: Opplysninger om kundekontakt, signeringsmyndig, fakturamottaker. Kundeinfo gjelder kontaktpersoner hos institusjoner som kjøper tjenesten. 

Opplysningene innhentes fra deg og via bruk av tjenesten.

UiO mottar innloggingsdetaljer fra Sikt ved innlogging meg Feide.

4. Hvor lenge lagrer vi personopplysningene dine?

Opplysningene oppbevares så lenge de er nødvendige for å oppfylle formålene som er listet opp under pkt. 2. Opplysninger om deg som bruker av Tjenesten og loggdata vil oppbevares i 12 måneder. Opplysninger om kundekontakt, signeringsmyndig og fakturamottaker vil oppbevares i inntil 10 år.

Samtaler kan slettes av bruker etter 30 dager. Dersom bruker sletter samtaler før det har gått 30 dager vil samtalen skjules for brukeren inntil sletting skjer. Samtaler slettes automatisk etter ett år. Input og output ved API-kall kan lagres av tjenesten i 30 dager og blir deretter slettet automatisk. 

Kundeinfo vil oppbevares i inntil 10 år. 

5. Hvem deles personopplysningene med?

Personopplysninger som inngår i "input", "output" og filopplastinger kan bli delt med UiOs underleverandører avhengig av hvilken modell du bruker i GPT UiO.

Ved bruk av modeller utviklet av OpenAI deles data med Microsoft Ireland Operations Limited ("Microsoft"), med mindre annet er presisert i modellens beskrivelse i GPT UiO. Disse dataene deles med Microsoft med behandlingssted i EU/EØS og i Sveits. EU-kommisjonen har besluttet at Sveits er et land med tilstrekkelig beskyttelsesnivå, ettersom landet har regler som ivaretar personvernet på en tilsvarende måte som land i EØS-området (adekvansbeslutning). Personopplysningene behandles bare midlertidig og vil ikke lagres hos Microsoft.

Ved bruk av ulike andre modeller i GPT UiO deles data med NTNU og data behandles i Norge. Modeller som deler data med NTNU er markert med dette i modellens beskrivelse i GPT UiO. Personopplysningene behandles bare midlertidig og vil ikke lagres hos NTNU. 

6. Sikkerheten rundt personopplysningene dine

UiO gjennomfører regelmessig risiko- og sårbarhetsanalyser av datasystemene vi benytter, for å sikre personopplysningene dine. Informasjonssikkerhet er høyt prioritert i Tjenesten og UiO gjennomfører regelmessig Risiko- og sårbarhetsanalyser og vurdering av innebygd personvern i tjenesten(e). Sikkerhet er alltid en prioritert og pågående prosess.

7. Dine rettigheter

Du har krav på å få informasjon om hvordan UiO behandler personopplysningene dine. Denne informasjonsplikten oppfylles gjennom denne personvernerklæringen. Du har også følgende rettigheter:

• Rett til innsyn
• Rett til retting
• Rett til begrensing av behandling
• Rett til sletting
• Rett til å klage over behandlingen

8. Kontakt

Universitetet i Oslo (UiO) er behandlingsansvarlig for personopplysninger i Tjenesten. Du kontakte oss på behandlingsansvarlig@uio.no.

Du kan også kontakte UiOs personvernombud på personvernombud@uio.no.