Personvern for skoler og kommuner

Denne siden er skrevet for skoler, kommuner, innkjøpere og personvernombud som vurderer å bruke Læringsressurser.no. Den beskriver rollefordelingen mellom oss og din virksomhet etter EUs personvernforordning (GDPR) og personopplysningsloven.

Læringsressurser.no er en åpen markedsplass der en enkelt lærer eller pedagog selv oppretter en konto og kjøper eller selger digitale læringsressurser. For opplysningene knyttet til denne kontoen er vi selvstendig behandlingsansvarlig – vi bestemmer selv hvorfor og hvordan opplysningene behandles, på samme måte som en nettbutikk er behandlingsansvarlig for sine egne kunder.

Vi behandler ikke personopplysninger på skolens eller kommunens vegne eller etter deres instruks. Vi er derfor ikke databehandler for din virksomhet.

Tjenesten er rettet mot lærere, pedagoger og andre voksne fagpersoner. Det finnes ingen elevkontoer på plattformen, og ingen opplysninger om elever sendes til oss eller lagres hos oss.

• Man må være minst 18 år for å opprette konto.
• Ressursene som selges, er ferdiglagde undervisningsmaterialer – ikke verktøy for elevbesvarelser, innlevering eller vurdering.
• Vi ber aldri om, og lagrer aldri, klasselister, elevnavn, fødselsnummer eller andre elevopplysninger.

Ett sted kan en lærer likevel skrive inn elevnavn: de gratis klasseromsverktøyene på /verktoy. Se avsnittet under – de er bygd slik at opplysningene aldri når oss.

Selgere har dessuten et uttrykkelig forbud i brukervilkårene mot å laste opp materiell som inneholder personopplysninger om elever eller andre tredjepersoner.

Vi tilbyr en samling gratis klasseromsverktøy på /verktoy – klassekart, gruppegenerator, ordbingo og flere. Noen av dem er til liten nytte uten en klasseliste, så læreren kan skrive inn elevnavn og eventuelt kjønn.

Disse opplysningene sendes aldri til oss. De lagres i nettleserens lokale lager (localStorage) på lærerens egen enhet, og forlater den ikke. Det finnes ingen serverfunksjon, database eller API-rute som tar imot dem, og de havner heller ikke i feillogger eller driftsovervåking. Verktøyene virker uten innlogging, og vi kan ikke se hva som er skrevet inn – heller ikke om noe er det.

Konsekvensen for rollefordelingen: for disse opplysningene er vi verken behandlingsansvarlig eller databehandler, fordi vi ikke behandler dem. Det læreren skriver inn på egen enhet, håndteres på samme måte som et regneark eller et notat på arbeids-PC-en – innenfor virksomhetens egne rutiner for personopplysninger, og med virksomheten som behandlingsansvarlig.

Det ene unntaket er årsplanleggeren: for innloggede brukere lagres årsplaner hos oss. Den lagringen inneholder kun fag, trinn, perioder og henvisninger til kompetansemål – aldri elevnavn eller notater om enkeltelever. Verktøyet har ingen felter for det, og skal ikke få det.

En oversikt over hvilke nøkler som lagres lokalt i nettleseren, finnes i cookie-policyen. Læreren tømmer dem ved å slette nettstedsdata i nettleseren, eller ved å fjerne klassen i verktøyet.

En databehandleravtale etter GDPR artikkel 28 inngås mellom en behandlingsansvarlig og en databehandler – altså en leverandør som behandler personopplysninger på oppdrag fra og etter instruks fra den ansvarlige.

Fordi vi opptrer som selvstendig behandlingsansvarlig for kontoopplysningene, og ikke behandler personopplysninger på din virksomhets vegne, er en artikkel 28-avtale ikke det riktige juridiske instrumentet mellom oss. Vi kan derfor ikke inngå en databehandleravtale der vi påtar oss plikter – for eksempel å bare behandle opplysninger etter deres dokumenterte instruks – som vår faktiske rolle ikke gir oss grunnlag for å oppfylle.

I stedet dokumenterer vi behandlingen vår i denne oversikten og i personvernerklæringen, slik at din virksomhet har det den trenger for egen etterlevelse. Kort oppsummert:

Når en av deres ansatte oppretter en konto, behandler vi opplysningene som er nødvendige for å drifte kontoen og gjennomføre kjøp eller salg:

• Kontoinformasjon: navn, e-postadresse og passord (lagret kryptert)
• Profilinformasjon (for selgere): brukernavn, biografi, trinn den ansatte jobber på, sted, profil- og bannerbilde, lenker til egne nettsteder og de valgfrie tekstene om bakgrunn og undervisningssyn
• Kjøps- og nedlastingshistorikk for ressursene den ansatte får tilgang til
• Betalings- og utbetalingsopplysninger (håndteres av Stripe – vi lagrer aldri kortnumre)
• Teknisk informasjon som IP-adresse og nettlesertype

En fullstendig beskrivelse av formål, rettslig grunnlag og lagringstid finnes i personvernerklæringen.

Kjøper en ansatt en team- eller skolelisens, kan de invitere kolleger til å bruke ressursen. Da behandler vi kollegenes e-postadresser for å sende invitasjonen, og navn dersom kollegaen oppretter en konto og innløser plassen sin.

Dette er fortsatt opplysninger om voksne ansatte – ikke elever – og vi behandler dem som selvstendig behandlingsansvarlig, på linje med øvrige kontoopplysninger. Vi bruker ikke e-postadressene til noe annet enn å administrere lisensen, og en invitert kollega som ikke innløser plassen, blir ikke registrert som bruker.

Vi bruker et utvalg underleverandører for å drifte tjenesten. For dem som behandler personopplysninger på våre vegne, har vi databehandleravtaler etter personvernforordningen artikkel 28. Stripe og Vipps MobilePay er derimot selvstendig behandlingsansvarlige for betalingsdelen – de er lovpålagt å behandle opplysningene på egne premisser – og for dem gjelder deres egne vilkår og personvernerklæringer. For leverandører utenfor EØS er overføringen sikret gjennom EUs standardkontraktklausuler (SCC).

Den til enhver tid oppdaterte listen med formål for hver leverandør finnes i personvernerklæringen.

Vi beskytter opplysningene med bransjestandarder: kryptert overføring (TLS/HTTPS), krypterte passord, tilgangsstyring og regelmessige sikkerhetsgjennomganger.

• Kontoinformasjon lagres så lenge kontoen er aktiv. Ved sletting anonymiseres profilen umiddelbart, og gjenværende data slettes permanent etter 30 dager.
• Kjøps- og transaksjonsdata lagres i 5 år av hensyn til bokføringsloven.
• Nedlastingslogg (IP-adresse og nettleserinformasjon) fjernes når kontoen slettes.

Fullstendige lagringstider står i personvernerklæringen.

Din virksomhet er behandlingsansvarlig for egne ansatte og gjør eventuelt sin egen risiko- og sårbarhetsvurdering (ROS) før dere tar i bruk et verktøy. Vi bistår gjerne med informasjon til dette arbeidet.

Momenter som ofte er relevante for en slik vurdering:

• Ingen særlige kategorier personopplysninger og ingen elevopplysninger behandles.
• Opplysningene begrenser seg til alminnelige kontaktopplysninger om voksne ansatte.
• Overføring utenfor EØS er sikret med standardkontraktklausuler (SCC).
• Betalingsdata håndteres av Stripe, som er PCI-DSS-sertifisert; vi lagrer ikke kortnumre.
• De ansatte kan når som helst få innsyn i, rette og slette opplysningene sine selv.

Trenger du ytterligere dokumentasjon til en anskaffelse eller personvernvurdering, ta kontakt, så hjelper vi deg.

Skulle vi i framtiden tilby funksjonalitet der personopplysninger om elever eller andre sendes til oss – for eksempel elevkontoer, innlevering av besvarelser eller lagring av klasselister på våre servere – vil vi for den behandlingen opptre som databehandler og inngå en databehandleravtale etter artikkel 28 med dere før funksjonen tas i bruk. Slik funksjonalitet finnes ikke i dag. Klasselistene i klasseromsverktøyene er ikke et unntak fra dette: de blir liggende i lærerens egen nettleser, se avsnittet om verktøyene over.

Har du spørsmål om personvern, trenger dokumentasjon til en anskaffelse, eller ønsker å drøfte rollefordelingen? Kontakt oss på kontakt@laringsressurser.no. Mener du at vi ikke behandler personopplysninger i samsvar med regelverket, kan du klage til Datatilsynet (datatilsynet.no).