Integritetspolicy för LärarKoll

1. Vem ansvarar för uppgifterna?

Tjänsten LärarKoll drivs av Robin Hellqvist, som är personuppgiftsansvarig för behandlingen av personuppgifter som behövs för att skapa och administrera användarkonton, tillhandahålla tjänsten, hantera betalningar, skydda tjänsten samt hantera support- och avtalsärenden.

När en skola använder LärarKoll för identifierbara elevuppgifter är skolans huvudman normalt personuppgiftsansvarig och LärarKoll personuppgiftsbiträde. Då behandlar LärarKoll elevuppgifterna enligt huvudmannens dokumenterade instruktioner och ett personuppgiftsbiträdesavtal.

2. Vilka omfattas av policyn?

Policyn gäller besökare på lararkoll.com, personer som skapar eller använder ett LärarKoll-konto, betalande kunder, personer som kontaktar supporten samt elever vars uppgifter registreras i tjänsten av en behörig användare.

Elevuppgifter kommer normalt från läraren eller skolans huvudman och samlas inte in direkt från eleven av LärarKoll.

3. Vilka personuppgifter behandlar vi?

Konto och profil

• e-postadress, användar-id, visningsnamn och kontoinställningar,
• valda årskurser, ämnen och klasser,
• språkval och andra personliga inställningar,
• säkerhetsuppgifter, exempelvis sessionsinformation och en hash av användarens återställningskod. Den läsbara återställningskoden lagras inte av LärarKoll.

Planering och arbetsmaterial

• veckoschema, planeringsblock, årshjul och undervisningsanteckningar,
• mötesanteckningar, snabblänkar och ämnesplanering,
• arbetsgrupper, medlemskap, delade dokument och uppladdade filer,
• gruppindelningar och regler som användaren själv registrerar.

Betalning och abonnemang

• provperiodens start- och slutdatum, abonnemangsstatus, prisnivå, eventuell kostnadsfri åtkomst samt datum för uppsägning och avslutad åtkomst,
• Stripe-kund-id, Stripe-abonnemangs-id samt teknisk information om betalnings- och abonnemangshändelser,
• e-postadress och de fakturerings- och kontaktuppgifter som användaren själv lämnar i Stripes kassa eller kundportal,
• betalningsstatus, kvitton, fakturor, återbetalningar och andra uppgifter som behövs för bokföring, kundservice och hantering av tvister.

Fullständiga kortnummer, bankkontouppgifter och säkerhetskoder hanteras av Stripe och lagras inte i LärarKolls databas. LärarKoll kan få begränsad information från Stripe, exempelvis betalningsmetodens typ och de sista siffrorna, när sådan information visas i Stripes kundportal eller behövs för support.

Support och teknisk information

• frågor, förbättringsförslag och buggrapporter som skickas genom funktionen ”Kontakta utvecklarna”, tillsammans med aktuell sida och webbläsarinformation som bifogas för att underlätta support och felsökning,
• tekniska loggar som kan innehålla IP-adress, tidpunkt, enhetstyp, webbläsare och information om fel eller säkerhetshändelser,
• nödvändig information i webbläsarens lokala lagring och IndexedDB för inloggning, språk, användarinställningar och snabbare laddning. Den lokala cachen kan innehålla kopior av exempelvis klasser, planeringar och resultat.

LärarKoll använder för närvarande inte lokala lagringsmekanismer för beteendebaserad annonsering eller marknadsföringsspårning.

5. Varför behandlar vi uppgifterna?

6. Leverantörer, mottagare och överföringar

Uppgifter lämnas endast till leverantörer som behövs för att driva, betala och skydda tjänsten, till personer som användaren aktivt delar innehåll med eller när utlämnande krävs enligt lag. De viktigaste leverantörerna är:

• Supabase för databas, autentisering, fillagring, säkerhetskopiering och serverfunktioner. Supabase behandlar bland annat konto-, planerings-, elev-, support- och tekniska uppgifter.
• Netlify för webbhosting, distribution och serverfunktioner. Netlify kan behandla tekniska anslutnings- och logguppgifter.
• Stripe för kassa, återkommande betalningar, kundportal, fakturering, återbetalningar och bedrägeribekämpning. Stripe behandlar betalnings- och faktureringsuppgifter och kan för vissa delar vara självständigt personuppgiftsansvarig enligt sin egen integritetspolicy.

Mer information om Stripes behandling finns i Stripes integritetspolicy.

Leverantörer som behandlar uppgifter för LärarKolls räkning ska omfattas av avtal och får endast använda uppgifterna enligt avtalade instruktioner. En leverantör kan samtidigt vara självständigt personuppgiftsansvarig för vissa egna skyldigheter, exempelvis betalningssäkerhet, bedrägeribekämpning och regelefterlevnad.

Om uppgifter behandlas utanför EU/EES ska överföringen omfattas av en tillämplig överföringsmekanism, exempelvis beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler, och kompletterande säkerhetsåtgärder när det behövs. Kontakta LärarKoll om du vill ha mer information om en viss leverantör eller överföring.

Innehåll som användaren aktivt delar i en arbetsgrupp blir tillgängligt för gruppens medlemmar. LärarKoll säljer inte personuppgifter.

7. Hur länge sparas uppgifterna?

• Konto-, planerings- och elevuppgifter sparas medan kontot finns eller tills användaren, en behörig administratör eller skolans huvudman raderar dem. En avslutad provperiod eller uppsagt abonnemang raderar inte kontot automatiskt; kontot kan ligga kvar i läsläge.
• LärarKolls återställningsbara säkerhetskopior av användarens arbete skapas normalt en gång per dygn och de senaste tre dygnens kopior behålls. Leverantörens separata infrastrukturkopior kan ha en annan, begränsad lagringstid enligt den aktuella Supabase-planen.
• När ett konto raderas tas uppgifterna bort från den aktiva tjänsten. Raderade uppgifter kan finnas kvar tillfälligt i leverantörernas säkerhetskopior tills dessa skrivs över enligt respektive säkerhetskopieringscykel. Sådana kopior används endast för återställning efter tekniska fel och inte för ordinarie behandling.
• Betalnings- och bokföringsunderlag sparas så länge som krävs enligt bokförings-, skatte- och annan tillämplig lagstiftning. I Sverige innebär det normalt sju år efter utgången av det kalenderår då räkenskapsåret avslutades. Stripe kan bevara uppgifter längre när det krävs för deras egna rättsliga skyldigheter eller tvister.
• Supportärenden sparas medan ärendet hanteras och därefter så länge de behövs för uppföljning, felsökning eller för att fastställa rättsliga anspråk. Avslutade ärenden kan raderas från supportinkorgen.
• Material som redan har delats med en arbetsgrupp kan finnas kvar hos gruppen efter att den ursprungliga användaren har lämnat eller raderat sitt konto.
• Tekniska loggar sparas enligt tjänstens och leverantörernas aktuella inställningar och endast så länge de behövs för drift, säkerhet, felsökning och rättsliga skyldigheter.
• Den lokala datacachen i webbläsaren har normalt en giltighetstid på upp till 30 dagar. LärarKoll försöker rensa kontobunden lokal data vid utloggning och kontoradering. Användaren kan också rensa webbplatsdata i webbläsarens inställningar.

8. Hur skyddar vi uppgifterna?

LärarKoll använder skyddsåtgärder som är avsedda att minska risken för obehörig åtkomst, förändring, förlust och spridning. Det omfattar bland annat åtkomstkontroller, databasregler, krypterad överföring, säkra inloggningsflöden, hashade återställningskoder, begränsning av upprepade försök, säkerhetskopiering och begränsad administrativ åtkomst.

Skyddsåtgärderna granskas och förbättras fortlöpande. Ingen digital tjänst kan garantera fullständig säkerhet, och beskrivningen innebär inte att varje del av tjänsten är externt säkerhetsgranskad. Misstänkta incidenter ska bedömas och hanteras enligt tillämpliga dataskyddsregler.

Användaren ansvarar för att skydda sitt lösenord och sin återställningskod, inte dela sitt konto och endast registrera elevuppgifter när skolan har godkänt användningen.

9. Dina rättigheter

Beroende på situationen kan du ha rätt att:

• få information om och en kopia av dina personuppgifter,
• få felaktiga uppgifter rättade,
• begära radering eller begränsning av behandling,
• invända mot behandling som grundas på berättigat intresse,
• få ut uppgifter som du själv har lämnat i ett portabelt format,
• återkalla ett samtycke när en behandling grundas på samtycke,
• lämna klagomål till Integritetsskyddsmyndigheten (IMY).

Rättigheterna är inte absoluta. LärarKoll kan exempelvis behöva behålla vissa betalningsuppgifter för att följa bokföringslagstiftning eller för att hantera rättsliga anspråk.

För elevuppgifter ska eleven eller vårdnadshavaren i första hand vända sig till skolans huvudman eller dataskyddsombud. LärarKoll hjälper huvudmannen att hantera begäran när LärarKoll är personuppgiftsbiträde.

Du kan läsa mer och lämna klagomål på imy.se.

10. Automatiserade beslut

LärarKoll fattar inte automatiserade beslut som har rättsliga eller motsvarande betydande konsekvenser för användare eller elever. Resultat, grupperingar och sammanställningar i tjänsten är arbetsunderlag. Läraren och skolan ansvarar alltid för pedagogiska beslut och betygsbeslut.

Stripe kan använda automatiserade metoder för att förebygga bedrägerier och skydda betalningar. Information om denna behandling finns hos Stripe.

11. Ändringar i policyn

Policyn kan uppdateras när tjänsten, leverantörerna eller lagkraven förändras. Datumet högst upp visar när den senast uppdaterades. Vid väsentliga förändringar informeras registrerade användare i tjänsten eller på annat lämpligt sätt innan ändringen börjar gälla, när det krävs.