Personvernerklæring for Myntland

1. Hvem er ansvarlig for personopplysningene?

Når Myntland brukes i undervisningssammenheng, har skoleeier og leverandøren ulike roller:

Behandlingsansvarlig: Skoleeier (kommunen, eller den enkelte private skolen) som tar i bruk Myntland. Skoleeier bestemmer formålet med behandlingen og hvilke elever som får tilgang.

Databehandler: [SELSKAPSNAVN] (org.nr. [ORG.NR]), heretter omtalt som «Myntland». Vi behandler personopplysninger på vegne av skoleeier, regulert i en databehandleravtale.

Kontaktinformasjon for spørsmål om personvern:
E-post: kontakt@myntland.no
Postadresse: [POSTADRESSE]

2. Hvilke personopplysninger behandler vi?

Myntland samler bevisst inn et minimum av opplysninger. Vi lagrer ikke fullt navn, fødselsdato, adresse, e-post eller annen direkte identifiserende informasjon om elever. Tjenesten er utformet slik at dataene som lagres ikke kan identifisere en bestemt elev uten skolens egne lister over koblingen mellom kallenavn og elev. Slike lister oppbevares lokalt hos læreren og lastes aldri opp til tjenesten.

Om elever

Om lærere

• Navn og e-postadresse (for innlogging via Firebase Authentication, eventuelt med Google-konto)
• Klasser og klassedata (med elevenes kallenavn) som læreren oppretter
• Tilbakemeldinger læreren selv sender inn via «Meld inn feil eller forslag» (meldingstekst, navn, klasse og hvilken side meldingen gjaldt)
• Tidspunkter for innlogging og bruk, til drifts- og sikkerhetsformål

Om foresatte

Foresatte som bruker foresatt-innsynet logger inn med en tilfeldig kode fra et brev skolen deler ut. Vi lagrer ingen navn, e-postadresser eller andre opplysninger om foresatte. Bekreftelser en foresatt gjør i barnets arbeidsplan registreres uten identitet.

3. Hvorfor behandler vi opplysningene?

Personopplysningene brukes utelukkende til å levere Myntland som pedagogisk tjeneste. Konkret:

• Gi elever sikker tilgang til sin egen profil med kallenavn og PIN
• La lærere administrere klasser, oppgaver og hendelser — også sammen med inviterte medlærere
• Lagre elevens fremgang slik at den er tilgjengelig neste gang eleven logger inn
• Kjøre tjenestens automatikk (lønn, renter, hendelser og fondskurser beregnes automatisk hver natt)
• Følge opp feilmeldinger og forslag som lærere sender inn
• Drifte tjenesten teknisk, oppdage feil og beskytte den mot misbruk

Vi bruker ikke opplysningene til markedsføring, profilering, reklame eller salg til tredjepart. Aktivitetsdata brukes ikke til å rangere eller sammenligne enkeltelever på tvers av klasser eller skoler.

4. Hva er det rettslige grunnlaget?

Behandlingen skjer på grunnlag av personvernforordningen (GDPR):

• Artikkel 6 nr. 1 bokstav e (utførelse av oppgave i allmennhetens interesse) – grunnlaget for skoleeiers bruk av digitale læringsressurser i undervisningen, jf. opplæringsloven.
• Artikkel 6 nr. 1 bokstav b (oppfyllelse av avtale) – grunnlaget for behandlingen mellom Myntland og skoleeier, regulert i databehandleravtalen.

Myntland behandler ikke særlige kategorier av personopplysninger (sensitive opplysninger) som definert i GDPR art. 9, herunder helseopplysninger, religiøs overbevisning eller etnisk opprinnelse.

5. Hvor og hvor lenge lagres opplysningene?

Lagringssted

Myntland bruker Google Firebase som teknisk plattform. Data lagres i regionen europe-west, det vil si innenfor EU/EØS. Tjenestens automatiske jobber kjører i Google Cloud Functions i regionen europe-west1 (Belgia). Elevdata overføres ikke til land utenfor EØS som ledd i den ordinære driften av tjenesten.

Google Ireland Ltd. og Google LLC, som leverer Firebase-tjenestene, er underdatabehandlere. Eventuell teknisk støttebehandling som måtte involvere Google LLC i USA er regulert av EU-kommisjonens standardkontrakter (SCC) og Google Cloud Data Processing Addendum.

Lagringstid

• Elevdata (kallenavn, PIN, aktivitetsdata) lagres så lenge eleven er aktiv i en klasse på Myntland.
• Når en lærer fjerner en elev fra klassen, slettes elevdataene innen 30 dager.
• Inaktive kontoer (ingen pålogging på 12 måneder) slettes automatisk.
• Når en skoleeier avslutter avtalen, slettes alle data fra primærdatabasen innen 90 dager. Eventuelle sikkerhetskopier overskrives senest 30 dager etter dette.
• Tekniske logger (innloggingstidspunkter, feilmeldinger) lagres i opptil 12 måneder, til drifts- og sikkerhetsformål.

6. Deler vi opplysningene med andre?

Vi selger eller utleverer ikke personopplysninger. Opplysningene deles kun med:

• Underdatabehandlere som leverer den tekniske infrastrukturen (Google Firebase). En oppdatert liste finnes i databehandleravtalen.
• Skoleeier som har opprettet kontoen, der lærere ser klassens egne data.
• Offentlige myndigheter dersom det foreligger en lovpålagt plikt til utlevering.

7. Hvordan sikres opplysningene?

Myntland bruker tekniske og organisatoriske tiltak for å beskytte opplysningene mot uautorisert tilgang, endring og sletting:

• All trafikk mellom enhet og server er kryptert med HTTPS/TLS.
• Data lagres kryptert i hvile i Firebase, med tilgangsregler som hindrer at en bruker leser data utenfor sin egen klasse. Hver klasse er teknisk adskilt fra andre klasser.
• PIN-koder lagres aldri i klartekst.
• Tilgang til administrative systemer hos leverandøren er begrenset og logges.
• Ved sikkerhetsbrudd som rammer personopplysninger, varsles behandlingsansvarlig uten ugrunnet opphold, og senest innen 24 timer etter at bruddet er oppdaget, slik at skoleeier kan oppfylle sin meldeplikt til Datatilsynet (innen 72 timer).

8. Hvilke rettigheter har du?

Elever og foresatte har rettigheter etter GDPR. Henvendelser om disse rettighetene rettes til skoleeier, som er behandlingsansvarlig:

• Innsyn – få vite hvilke opplysninger som er registrert.
• Retting – få korrigert feilaktige opplysninger.
• Sletting – få opplysninger slettet når de ikke lenger er nødvendige.
• Begrensning – be om at behandlingen begrenses i visse tilfeller.
• Klage – klage til Datatilsynet hvis man mener behandlingen er i strid med personvernregelverket.

Skoleeier kontakter Myntland ved behov for å gjennomføre slike forespørsler i systemet.

9. Informasjonskapsler og lokal lagring

Myntland bruker ikke informasjonskapsler (cookies) for sporing eller markedsføring, og vi bruker ikke analyseverktøy som Google Analytics eller lignende.

Tjenesten bruker nettleserens lokale lagring til to formål: å huske innloggingen mellom økter på samme enhet, og å mellomlagre appens egne programfiler slik at elevappen åpner raskt (en såkalt service worker). Denne informasjonen forlater aldri enheten utover det som er nødvendig for å snakke med Firebase.

Nettsidene laster skrifttyper fra Google Fonts. Når en side åpnes, henter nettleseren skriftfilene fra Googles servere, og Google mottar da enhetens IP-adresse som en del av vanlig internett-trafikk. Det overføres ingen informasjon om hvem brukeren er eller hva som gjøres i tjenesten.

10. Endringer i erklæringen

Denne personvernerklæringen kan oppdateres ved endringer i tjenesten eller regelverket. Vesentlige endringer varsles til skoleeiere som bruker Myntland, i god tid før endringen trer i kraft. Dato for siste oppdatering står øverst i dokumentet.