Så behandlar vi personuppgifter

Vem som är personuppgiftsansvarig

GADDR AB, organisationsnummer 559123-4567, med säte i Stockholm, är personuppgiftsansvarig för den här sajten, för konton som någon själv skapar hos oss, och för kurser som en privatperson köper direkt av oss.

När en skola, ett lärosäte eller ett företag är kund byter rollerna plats. Då är kunden personuppgiftsansvarig för sina deltagares uppgifter och vi är personuppgiftsbiträde. Vad det betyder i praktiken står i avsnitt 3, och det är den vanligaste situationen i Gaddr Academy.

Frågor om personuppgifter, och begäranden enligt avsnitt 7, tas emot via kontaktsidan. Skriv Dataskydd i ämnesraden, så hamnar ärendet direkt hos den som hanterar det. Vi bekräftar inom en arbetsdag.

Verksamheten kräver inget dataskyddsombud enligt artikel 37. Vi är varken myndighet, behandlar känsliga uppgifter i stor omfattning för egen räkning eller övervakar människor regelbundet och systematiskt. Är kunden en offentlig huvudman har den däremot ett eget dataskyddsombud, och vi svarar den funktionen direkt när den hör av sig.

Vad vi behandlar, varför, med vilken grund och hur länge

Varje rad nedan är en egen behandling. Slutar ändamålet gälla raderas uppgifterna, även om tiden i sista kolumnen inte har gått ut.

Varifrån uppgifterna kommer

Från dig, från din skola eller arbetsgivare när den skapar ditt konto, och från det som skapas när du använder plattformen. Vi köper inga register, vi hämtar inga uppgifter från sociala medier och vi bygger inga profiler.

Automatiserade beslut och AI

Vi fattar inga automatiserade beslut med rättslig verkan eller liknande betydande följder enligt artikel 22. Ett betyg sätts alltid av en människa. Systemet ställer fram underlaget per kursmål och säger vad som saknas, och det är också skälet till att vi inte bygger något som bedömer studieresultat: sådana system räknas upp i bilaga III till AI-förordningen, förordning (EU) 2024/1689, alltså bland de som klassas som högrisk.

Ingen elevdata används för att träna någon modell, varken vår egen eller någon annans. Vi profilerar inte deltagare, förutspår inte studieavbrott och rangordnar inte deltagare mot varandra.

Elevdata, minderåriga och vårdnadshavare

Vem som ansvarar när en skola är kund

Är kunden en huvudman, en skola, en folkhögskola, ett lärosäte eller ett företag är kunden personuppgiftsansvarig för deltagarnas uppgifter. Vi är personuppgiftsbiträde och behandlar bara enligt kundens dokumenterade instruktioner, under ett skriftligt biträdesavtal enligt artikel 28.

Det betyder tre saker som är värda att säga rakt ut:

• Vi bestämmer inte vilka uppgifter som samlas in om en elev, och vi kan inte lämna ut dem till någon annan än kunden.
• Den rättsliga grunden för behandlingen i skolan är skolans, inte vår. För en offentlig huvudman vilar den normalt på rättslig förpliktelse eller uppgift av allmänt intresse, artikel 6.1 c och 6.1 e, med stöd i skollagen (2010:800). Skolan beskriver den i sin egen information till elever och vårdnadshavare.
• En begäran om registerutdrag, rättelse eller radering som gäller elevuppgifter ska lämnas till skolan. Kommer den till oss hjälper vi skolan att svara, och vi säger till dig samma dag vart du ska vända dig.

Åldersgränsen för samtycke

När vi erbjuder tjänsten direkt till ett barn och behandlingen vilar på samtycke går gränsen vid tretton år i Sverige. Det följer av artikel 8 i dataskyddsförordningen tillsammans med 2 kap. 4 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, som sänker huvudregelns sexton år. Är barnet under tretton krävs vårdnadshavarens godkännande, och vi vidtar rimliga åtgärder för att kontrollera att godkännandet kommer därifrån.

I en skola är läget ett annat. Där skapas kontot av huvudmannen, behandlingen vilar på allmänt intresse eller rättslig förpliktelse och inte på barnets samtycke, och då finns ingen åldersgräns att passera. Ett konto för en förskolebarnsgrupp bärs av personalen, inte av barnet.

Vårdnadshavarens insyn

En vårdnadshavare ser sitt eget barns kurser, uppgifter, inlämningar, närvaro, omdömen och utvecklingskurva. Inte klasskamraternas, inte gruppens genomsnitt och inte lärarens interna anteckningar.

Insynen vilar på vårdnadshavarens rätt och skyldighet att bestämma i barnets personliga angelägenheter enligt 6 kap. 11 § föräldrabalken (1949:381), och den rätten trappas ned i takt med barnets stigande ålder och mognad. Skolan bestämmer själv vilka delar som öppnas för vårdnadshavare i varje skolform, och kan ge en äldre elev egen kontroll över sitt konto. Vårdnadshavarkonton kostar ingenting och räknas inte som platser, så ingen skola behöver välja bort insyn av prisskäl.

Särskilt känsliga uppgifter i skolan

Anpassningar, åtgärdsprogram och uppgifter om hälsa ligger bakom behörighetsstyrd åtkomst och syns bara för den som skolan har gett behörighet. Åtkomsten loggas. Vi läser dem inte, och en supportåtgärd som skulle kräva det görs bara på skolans uttryckliga begäran, med loggning, och avslutas när ärendet är stängt.

Betygshandlingar och arkivering

Skyldigheten att bevara betygskatalog och andra betygshandlingar ligger hos huvudmannen eller lärosätet, enligt de arkivregler som gäller för verksamheten. Vi är ingen arkivmyndighet. Exporten i kontoinställningarna finns för att huvudmannen ska kunna uppfylla den skyldigheten, och den fungerar också under de nittio dagar kontot ligger i läsläge efter en uppsägning.

Mottagare, biträden och underbiträden

Uppgifterna når följande kategorier av mottagare, och inga andra:

• Driftleverantör för servrar och lagring, inom EU
• Leverantör av e-post för utskick som tjänsten skickar, till exempel lösenordsåterställning
• Leverantör av betalning och fakturering
• Gaddr Log, för fel- och driftövervakning inom samma koncern
• Redovisningsbyrå och revisor
• Den huvudman eller det lärosäte som deltagaren tillhör
• Myndighet, när lag kräver att vi lämnar ut uppgifter

Varje leverantör som behandlar personuppgifter åt oss gör det som personuppgiftsbiträde under ett skriftligt avtal enligt artikel 28. I ett skolavtal är de i stället underbiträden till oss. Listan över underbiträden är skriftlig och versionerad, och byts ett underbiträde får kunden besked innan bytet sker, med tid att invända.

Vi säljer inga personuppgifter. Vi lämnar inga uppgifter till annonsnätverk, och det finns inga spårningsskript i plattformen. Vad som lagras i din webbläsare står i kakpolicyn.

Överföring till tredje land

Uppgifterna behandlas inom EU och EES, med ett undantag som vi skriver ut i stället för att gömma i en fotnot.

Google Fonts

Sidans typsnitt hämtas från Google Fonts. Hämtningen gör att din IP-adress och uppgifter om din webbläsare når Google. Överföringen vilar på Europeiska kommissionens beslut om adekvat skyddsnivå för EU:s och USA:s ramverk för dataskydd, och i andra hand på standardavtalsklausuler enligt artikel 46.2 c. Ingen kaka sätts av hämtningen.

Ska en leverantör utanför EES tas in för något annat ändamål gör vi bedömningen av överföringen först, och den skrivs in här innan behandlingen börjar. Är kunden en offentlig huvudman meddelas ändringen dessutom i förväg enligt biträdesavtalet, så att kunden hinner göra sin egen bedömning.

Säkerhet och personuppgiftsincidenter

• All trafik går krypterad, och kursmaterial och inlämningar lagras krypterat.
• Åtkomst ges efter behov och roll, och en administratör hos kunden ser själv vilka behörigheter som är utdelade.
• Lösenord lagras som hash med eget salt per konto, aldrig i klartext.
• Fält som ser ut som personuppgifter, kortnummer eller nycklar maskas innan en felrapport lämnar din enhet, inte efter att den har kommit fram.
• Ändringar av ett satt betyg loggas med tidpunkt och användare.

Sker en personuppgiftsincident hos oss anmäler vi den till Integritetsskyddsmyndigheten inom sjuttiotvå timmar från att vi fick kännedom om den, enligt artikel 33. Rör incidenten en kunds elevdata är vi biträde, och då underrättar vi kunden utan onödigt dröjsmål så att kunden hinner göra sin egen anmälan i tid. Är risken för dig som enskild hög får du besked direkt, enligt artikel 34, med vad som hände och vad du kan göra.

Dina rättigheter

• Tillgång. Du har rätt att få veta om vi behandlar uppgifter om dig, och att få en kopia av dem, artikel 15.
• Rättelse. Är något fel eller ofullständigt rättar vi det, artikel 16.
• Radering. Du har rätt att få uppgifter raderade när ändamålet är uppfyllt, när du återkallar ett samtycke eller när behandlingen saknar grund, artikel 17. Räkenskapsinformation kan vi inte radera före arkiveringstidens slut, och en betygshandling hos en huvudman kan huvudmannen vara skyldig att bevara.
• Begränsning. Du kan begära att behandlingen begränsas medan en fråga om riktighet eller grund utreds, artikel 18.
• Dataportabilitet. Uppgifter du själv har lämnat och som behandlas med stöd av samtycke eller avtal får du ut i ett maskinläsbart format, artikel 20.
• Invändning. Behandling som vilar på berättigat intresse kan du invända mot, artikel 21. Då upphör behandlingen om vi inte kan visa tvingande berättigade skäl som väger tyngre.
• Återkalla samtycke. Ett samtycke kan du ta tillbaka när som helst, artikel 7.3. Att du återkallar påverkar inte lagligheten av behandlingen dessförinnan.

Gäller din begäran uppgifter i en skolas eller ett lärosätes konto ska den lämnas dit, eftersom de är ansvariga och vi är biträde. Kommer den till oss svarar vi inom en arbetsdag med vem du ska vända dig till, och vi hjälper dem att svara dig.

I övriga fall svarar vi inom en månad. Är frågan komplicerad får svarstiden förlängas med två månader, och då hör vi av oss inom den första månaden och säger varför. Det kostar ingenting. Är en begäran uppenbart ogrundad eller orimligt upprepad får vi ta ut en avgift eller avstå från att agera, och då motiverar vi det skriftligt.

Vi kan behöva säkerställa att det är du som frågar innan vi lämnar ut uppgifter, och vi ber då om så lite information som möjligt.

Klagomål till Integritetsskyddsmyndigheten

Är du inte nöjd med hur dina personuppgifter behandlas kan du lämna klagomål till Integritetsskyddsmyndigheten, som är tillsynsmyndighet i Sverige. Myndigheten nås på imy.se och på imy@imy.se.

Du behöver inte höra av dig till oss först. Vi vill gärna få chansen att rätta till det, men rätten att klaga är din och den är inte villkorad av att du har talat med oss eller med din skola.