Integritetspolicy

Den här integritetspolicyn beskriver hur personuppgifter behandlas när vektr (www.vektr.se) används — en digital läromiljö för matematik på gymnasiet. Vi värnar om din integritet och behandlar aldrig personuppgifter för andra ändamål än att tillhandahålla och förbättra tjänsten åt den skola eller huvudman som ansvarar för ditt konto. Policyn är skriven för att vara tydlig och lättläst även för dig som är elev; hör av dig om något är oklart.

1. Personuppgiftsansvarig och personuppgiftsbiträde

vektr tillhandahålls till elever och lärare genom ett avtal med en huvudman (kommun, region eller enskild huvudman, till exempel en friskola). I detta upplägg är huvudmannen personuppgiftsansvarig för elevernas och lärarnas personuppgifter och bestämmer ändamålen med behandlingen. vektr är personuppgiftsbiträde och behandlar uppgifterna enbart enligt huvudmannens dokumenterade instruktioner och det personuppgiftsbiträdesavtal (art. 28 i dataskyddsförordningen, GDPR) som ingåtts med huvudmannen.

Det innebär att om du är elev eller lärare ska du i första hand vända dig till din huvudman — och dess dataskyddsombud — när du vill utöva dina rättigheter (se avsnitt 12). vektr bistår alltid huvudmannen med detta.

För personuppgifter som rör besökare på vår webbplats utanför ett sådant skolavtal är vektr själv personuppgiftsansvarig. Vem som driver vektr och hur du når oss framgår av avsnitt 14.

2. Vilka personuppgifter vi behandlar

Beroende på din roll kan följande kategorier av uppgifter behandlas:

• Kontouppgifter: namn, e-postadress, roll (elev, lärare eller skoladministratör), skoltillhörighet och eventuell klassbeteckning.
• Autentiseringsuppgifter: lösenord lagras aldrig i klartext utan endast som kryptografiskt salt- och hashat värde, samt tidsbegränsade tokens för lösenordsåterställning.
• Studie- och resultatdata: dina svar och försök på uppgifter, rätt- eller fel-utfall, diagnos- och kunskapsnivå, repetitioner samt återkommande feltyper som tjänsten identifierar för att kunna ge dig riktad träning.
• Inskannade lösningar: om du fotograferar en handskriven lösning behandlas bilden för att ge automatiserad återkoppling (se avsnitt 5).
• Teknisk användningsdata: tidpunkt för senaste aktivitet, val av färgtema samt felloggar som hjälper oss att rätta tekniska fel.

Vi efterfrågar aldrig känsliga personuppgifter (art. 9 GDPR), och du ska inte lämna sådana uppgifter i fritextsvar eller inskannade lösningar.

3. Varifrån uppgifterna kommer

En del uppgifter lämnar du själv när du använder tjänsten, till exempel dina svar på uppgifter. Övriga uppgifter — framför allt kontouppgifterna — får vi från din huvudman, eftersom det är skolan som skapar konton och lägger upp klasser. Det finns ingen öppen självregistrering.

4. Ändamål och rättslig grund

Personuppgifterna behandlas för att tillhandahålla läromiljön: skapa och administrera konton, visa och rätta uppgifter, ge återkoppling, följa kunskapsutveckling samt för säkerhet, support och felsökning.

Den rättsliga grunden fastställs och bärs av huvudmannen. För en skola är grunden normalt att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (art. 6.1 e GDPR), inom ramen för det utbildningsuppdrag som följer av skollagen. I skolans verksamhet är samtycke i regel inte en lämplig grund. När vektr är personuppgiftsansvarig för rena webbplatsbesök, är grunden vårt berättigade intresse (art. 6.1 f) av att driva och säkra tjänsten.

Vi behandlar aldrig elevdata för egna ändamål. Vi använder inte personuppgifter för marknadsföring, försäljning, kommersiell profilering eller för att träna AI-modeller.

5. Automatiserad rättning med AI

För att ge snabb återkoppling på handskrivna lösningar behandlas inskannade bilder av en språkmodell. Behandlingen sker hos en leverantör inom EU/EES, och uppgifterna används enbart för att generera återkoppling till dig — de sparas inte hos leverantören för andra ändamål och används inte för att träna modeller.

Återkopplingen är ett pedagogiskt stöd. Den slutliga bedömningen görs alltid av din lärare. Det är därför inte fråga om ett sådant helt automatiserat beslutsfattande med rättsliga följder eller liknande betydande inverkan som avses i art. 22 GDPR.

6. Var uppgifterna lagras

All behandling och lagring av personuppgifter sker inom EU/EES. Uppgifter lagras krypterat, och överföringen mellan din enhet och tjänsten sker över krypterad anslutning (TLS).

7. Underbiträden

Vi anlitar ett begränsat antal leverantörer som behandlar personuppgifter för vår räkning. Samtliga behandlar uppgifterna inom EU/EES och är bundna av biträdesavtal med oss:

• Drift och hosting — körning av applikationen (EU-region).
• Databas — lagring av konto- och studiedata (EU-region).
• Fillagring — lagring av inskannade lösningar (EU-region).
• AI-rättning — automatiserad återkoppling på inskannade lösningar (EU-region).
• E-post — utskick av kontorelaterade meddelanden, till exempel inbjudningar och lösenordsåterställning (EU-region).

En aktuell och fullständig förteckning över underbiträden — med namn, behandlingsändamål och lokalisering — lämnas till huvudmannen som bilaga till biträdesavtalet och uppdateras vid förändringar. Huvudmannen underrättas i förväg om byte av underbiträde och kan invända.

8. Lagringstid

Kontouppgifter och studiedata behandlas så länge kontot är aktivt inom ramen för huvudmannens avtal. När avtalet upphör, eller när huvudmannen begär det, raderas eller anonymiseras uppgifterna utan onödigt dröjsmål. Felloggar gallras löpande, senast inom 30 dagar. Inskannade lösningar som inte kan kopplas till rätt uppgift raderas direkt vid behandlingen.

9. Mottagare och överföring till tredjeland

Personuppgifter delas endast med de underbiträden som anges ovan och med din huvudman. Vi överför inte personuppgifter till land utanför EU/EES, och uppgifter säljs aldrig vidare.

10. Säkerhet

Vi vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter (art. 32 GDPR), däribland krypterad lagring och överföring, behörighetsstyrd åtkomst, hashade lösenord samt loggning som gör att vi själva kan upptäcka och utreda incidenter. Vid en personuppgiftsincident underrättar vi den personuppgiftsansvarige (huvudmannen) utan onödigt dröjsmål, så att huvudmannen i sin tur kan fullgöra sina skyldigheter gentemot tillsynsmyndigheten och de registrerade.

11. Barns personuppgifter

Många av tjänstens användare är minderåriga. Barns personuppgifter är särskilt skyddsvärda, och vi behandlar dem därför med extra försiktighet: vi samlar in så få uppgifter som möjligt, skriver informationen i klart och tydligt språk och använder aldrig barns uppgifter för kommersiella ändamål, profilering eller modellträning.

12. Dina rättigheter

Du har rätt att begära tillgång till dina personuppgifter samt rättelse, radering eller begränsning av behandlingen. Du har även rätt att invända mot behandling och, i tillämpliga fall, rätt till dataportabilitet. Eftersom din huvudman normalt är personuppgiftsansvarig, ska sådana begäranden i första hand riktas till huvudmannen och dess dataskyddsombud; vi bistår huvudmannen med att tillgodose dem.

Du har alltid rätt att lämna klagomål till tillsynsmyndigheten, Integritetsskyddsmyndigheten (IMY). IMY nås på imy@imy.seeller via Integritetsskyddsmyndigheten, Box 8114, 104 20 Stockholm (www.imy.se).

13. Cookies och lokal lagring

vektr använder endast nödvändiga och funktionella cookies och lokal lagring — sådant som krävs för att den tjänst du själv valt att använda ska fungera. Vi använder inga cookies för spårning, annonsering eller analys, och vi bäddar inte in tredjepartsskript som sätter cookies på de öppna sidorna.

Om du bara besöker sidan utan att logga in lagras ingenting på din enhet (om du inte själv aktivt byter färgtema). Eftersom all lagring vi använder är strikt nödvändig eller funktionell för en tjänst du uttryckligen begärt, kräver lagen om elektronisk kommunikation (2022:482) inget samtycke för den — och därför visar vi ingen cookie-banner.

Nödvändiga cookies (sätts först när du loggar in):

• session — håller dig inloggad (krypterad sessionstoken). Varar i upp till 30 dagar, eller tills du loggar ut.
• prev-admin-session — sparar en administratörs egen session medan hen är inloggad som en annan användare, så att hen kan återgå. Sätts bara för admin och skol-admin.
• impersonating — låter en lärare se en elevs vy (skrivskyddat). Sätts bara för inloggade lärare.
• mobile_session — kopplar din mobil som miniräknare när du scannar QR-koden i appen.

Funktionell lagring (kommer ihåg dina val):

• vektr-theme (cookie + lokal lagring) — ditt val av färgtema. Sätts bara när du själv byter tema.
• Lokal lagring i webbläsaren — kommer ihåg om sidomenyn är hopfälld, miniräknarens position, valt formelblad och om du stängt QR-rutan. Detta lagras bara på din egen enhet och används aldrig för att spåra dig.

Du kan när som helst radera cookies och lokal lagring via din webbläsares inställningar. Då loggas du ut och dina sparade gränssnittsval nollställs.

14. Ändringar och kontakt

Vi kan komma att uppdatera den här policyn. Väsentliga ändringar kommuniceras till berörda huvudmän.

vektr tillhandahålls av Vektr Utveckling(enskild firma), Lagmansvägen 19, 821 51 Bollnäs. Det är denna verksamhet som är personuppgiftsansvarig för webbplatsbesök och personuppgiftsbiträde i förhållande till huvudmän. Frågor om behandlingen av personuppgifter besvaras på kontakt@vektr.se.