Personvern­erklæring for Myntland

1. Hvem er ansvarlig for personopplysningene?

Når Myntland brukes i undervisningssammenheng, har skoleeier og leverandøren ulike roller:

Behandlingsansvarlig: Skoleeier (kommunen, eller den enkelte private skolen) som tar i bruk Myntland. Skoleeier bestemmer formålet med behandlingen og hvilke elever som får tilgang.

Databehandler: [SELSKAPSNAVN], heretter omtalt som «Myntland». Vi behandler personopplysninger på vegne av skoleeier, regulert i en databehandleravtale.

2. Hvilke personopplysninger behandler vi?

Myntland samler bevisst inn et minimum av opplysninger. Vi lagrer ikke fullt navn, fødselsdato, adresse, e-post eller annen direkte identifiserende informasjon om elever. Tjenesten er utformet slik at dataene som lagres ikke kan identifisere en bestemt elev uten skolens egne lister over koblingen mellom kallenavn og elev.

Om elever

Om lærere

• Navn og e-postadresse (for innlogging via Firebase Authentication)
• Klassenavn og klasselister (kallenavn) som læreren oppretter
• Tidspunkter for innlogging og bruk, til drifts- og sikkerhetsformål

3. Hvorfor behandler vi opplysningene?

Personopplysningene brukes utelukkende til å levere Myntland som pedagogisk tjeneste. Konkret:

• Gi elever sikker tilgang til sin egen profil med kallenavn og PIN
• La lærere administrere klasser, oppgaver og hendelser
• Lagre elevens fremgang slik at den er tilgjengelig neste gang eleven logger inn
• Drifte tjenesten teknisk, oppdage feil og sikre at den fungerer
• Beskytte tjenesten mot misbruk og uautorisert tilgang

Vi bruker ikke opplysningene til markedsføring, profilering, reklame eller salg til tredjepart. Aktivitetsdata brukes ikke til å rangere eller sammenligne enkeltelever på tvers av klasser eller skoler.

4. Hva er det rettslige grunnlaget?

Behandlingen skjer på grunnlag av personvernforordningen (GDPR):

• Artikkel 6 nr. 1 bokstav e (utførelse av oppgave i allmennhetens interesse) – grunnlaget for skoleeiers bruk av digitale læringsressurser i undervisningen, jf. opplæringsloven.
• Artikkel 6 nr. 1 bokstav b (oppfyllelse av avtale) – grunnlaget for behandlingen mellom Myntland og skoleeier, regulert i databehandleravtalen.

Myntland behandler ikke særlige kategorier av personopplysninger (sensitive opplysninger) som definert i GDPR art. 9, herunder helseopplysninger, religiøs overbevisning eller etnisk opprinnelse.

5. Hvor og hvor lenge lagres opplysningene?

Lagringssted

Myntland bruker Google Firebase som teknisk plattform. Data lagres i Firebase-prosjektets database i regionen europe-west, det vil si innenfor EU/EØS. Elevdata overføres ikke til land utenfor EØS som ledd i den ordinære driften av tjenesten.

Google Ireland Ltd. og Google LLC, som leverer Firebase-tjenestene, er underdatabehandlere. Eventuell teknisk støttebehandling som måtte involvere Google LLC i USA er regulert av EU-kommisjonens standardkontrakter (SCC) og Google Cloud Data Processing Addendum.

Lagringstid

• Elevdata (kallenavn, PIN, aktivitetsdata) lagres så lenge eleven er aktiv i en klasse på Myntland.
• Når en lærer fjerner en elev fra klassen, slettes elevdataene innen 30 dager.
• Inaktive kontoer (ingen pålogging på 12 måneder) slettes automatisk.
• Når en skoleeier avslutter avtalen, slettes alle data fra primærdatabasen innen 30 dager. Eventuelle sikkerhetskopier overskrives senest 30 dager etter dette.
• Tekniske logger (innloggingstidspunkter, feilmeldinger) lagres i opptil 12 måneder, til drifts- og sikkerhetsformål.

6. Deler vi opplysningene med andre?

Vi selger eller utleverer ikke personopplysninger. Opplysningene deles kun med:

• Underdatabehandlere som leverer den tekniske infrastrukturen (Google Firebase). En oppdatert liste finnes i databehandleravtalen.
• Skoleeier som har opprettet kontoen, der lærere ser klassens egne data.
• Offentlige myndigheter dersom det foreligger en lovpålagt plikt til utlevering.

7. Hvordan sikres opplysningene?

Myntland bruker tekniske og organisatoriske tiltak for å beskytte opplysningene mot uautorisert tilgang, endring og sletting:

• All trafikk mellom enhet og server er kryptert med HTTPS/TLS.
• Data lagres kryptert i hvile i Firebase, med tilgangsregler som hindrer at en bruker leser data utenfor sin egen klasse.
• PIN-koder lagres aldri i klartekst.
• Tilgang til administrative systemer hos leverandøren er begrenset og logges.
• Ved sikkerhetsbrudd som rammer personopplysninger, varsles behandlingsansvarlig uten ugrunnet opphold, og senest innen 24 timer etter at bruddet er oppdaget, slik at skoleeier kan oppfylle sin meldeplikt til Datatilsynet (innen 72 timer).

8. Hvilke rettigheter har du?

Elever og foresatte har rettigheter etter GDPR. Henvendelser om disse rettighetene rettes til skoleeier, som er behandlingsansvarlig:

• Innsyn – få vite hvilke opplysninger som er registrert.
• Retting – få korrigert feilaktige opplysninger.
• Sletting – få opplysninger slettet når de ikke lenger er nødvendige.
• Begrensning – be om at behandlingen begrenses i visse tilfeller.
• Klage – klage til Datatilsynet hvis man mener behandlingen er i strid med personvernregelverket.

Skoleeier kontakter Myntland ved behov for å gjennomføre slike forespørsler i systemet.

9. Informasjonskapsler og lokal lagring

Myntland bruker ikke informasjonskapsler (cookies) for sporing eller markedsføring. Tjenesten kan bruke nettleserens lokale lagring for å huske eleven mellom økter på samme enhet, slik at innloggingen blir enklere. Denne informasjonen forlater aldri elevens enhet utover det som er nødvendig for å snakke med Firebase.

Vi bruker ikke analyseverktøy som Google Analytics eller lignende.

10. Endringer i erklæringen

Denne personvernerklæringen kan oppdateres ved endringer i tjenesten eller regelverket. Vesentlige endringer varsles til skoleeiere som bruker Myntland, i god tid før endringen trer i kraft. Dato for siste oppdatering står øverst i dokumentet.

11. Kontakt

Spørsmål om personvern eller bruk av Myntland kan rettes til: