Personvern
Personvern og databehandling
Skoleklokka er bygget for skoler, og det stiller høyere krav til personvern enn de fleste systemer. Her er hva vi lover, hvor dataene bor, og hvem som behandler hva.
- Skolens data lagres i EU (Stockholm), aldri utenfor EU/EØS uten et gyldig overføringsgrunnlag.
- Signert databehandleravtale (GDPR art. 28) FØR noen elevdata flyttes inn, uten unntak.
- DPIA-støtte inngår i etableringen: underlag for skolens egen risikovurdering (DPIA/ROS) utarbeides sammen med dere, klart for styret.
- Fortrolig adresse og foreldreansvar håndteres i systemet: skjerming er innebygd, ikke en manuell rutine.
- Rollestyrt tilgang og revisjonslogg: læreren ser sitt, kontoret sitt, foresatte kun egne barn.
- Demoskolen inneholder kun fiktive data. Ingen ekte elevdata, noensinne.
Hvor dataene lagres
Produksjonsdataene lagres hos Supabase i Stockholm (AWS eu-north-1, EU/EØS). Applikasjonen kjøres på Vercel med serverfunksjoner i samme region (Stockholm/arn1).
Databehandleravtale og DPIA-støtte
Før en skole flytter ekte elevdata inn i Skoleklokka, signeres en databehandleravtale etter GDPR artikkel 28. Som del av etableringen utarbeides en DPIA-støttepakke: dokumentasjon av behandlingene, sikkerhetstiltakene og underleverandørene, som skolen bruker i sin egen vurdering (DPIA/ROS). Skoleeier er behandlingsansvarlig; iBithun er databehandler.
Underleverandører
Fullstendig og oppdatert underleverandørliste følger databehandleravtalen. Dagens liste:
| Leverandør | Rolle | Sted | Merknad |
|---|---|---|---|
| Supabase | Database og lagring av skolens data | Data lagres i Stockholm (AWS eu-north-1); selskapet er amerikansk | All persondata lagres i EU/EØS. Databehandleravtale med SCC. |
| Vercel Inc. | Applikasjonsdrift (hosting og serverfunksjoner) | Serverfunksjoner i Stockholm (arn1); selskapet er amerikansk | Overføringsgrunnlag: EU-U.S. Data Privacy Framework / SCC. |
| Anthropic (via Vercel AI Gateway) | KI-funksjoner (oversettelse, tekstutkast) | USA | Behandler kun tekst læreren selv sender inn, aldri data hentet fra elevregisteret. Kun aktiv med KI-modulen. Overføringsgrunnlag: EU-U.S. Data Privacy Framework / SCC. |
| Resend | E-postutsending (varsler) | USA | Ikke aktiv i dag. Tas i bruk når e-postvarsler lanseres, og varsles i underleverandørlisten først. Overføringsgrunnlag ved aktivering: EU-U.S. Data Privacy Framework / SCC. |
KI og personopplysninger
Tekst en lærer selv sender til KI-funksjonene (for eksempel en melding som skal oversettes) kan i seg selv inneholde personopplysninger. Slik tekst overføres under overføringsgrunnlaget over, brukes ikke til å trene KI-modeller, og lagres ikke i Skoleklokka utover selve forespørselen. KI-tjenestene henter aldri data fra elevregisteret.
Informasjonskapsler og sporing
skoleklokka.no bruker ikke informasjonskapsler og driver ikke sporing av besøkende. Selve skolesystemet bruker kun nødvendige innloggingskapsler, ingen tredjeparts sporing, ingen annonser.
Demoskolen
Demoskolen (Orkanger Friskole) er en fiktiv skole. Alle navn, adresser og tall er konstruerte. Ingen ekte persondata finnes i demoen.
Spørsmål om personvern?
Send en e-post, så svarer vi, også gjerne på de vanskelige spørsmålene før styremøtet. bithun@skoleklokka.no