Personvernerklæring

PedTek AS er behandlingsansvarlig for personopplysningene vi selv samler inn om deg som bruker av Personvernkompasset («tjenesten»). Denne personvernerklæringen forklarer hvilke opplysninger vi samler inn, hvorfor, og hvilke rettigheter du har.

Det er ett viktig skille å være klar over i denne tjenesten:

• For opplysninger om deg som bruker (f.eks. innlogging, navn, rolle) er PedTek AS behandlingsansvarlig.
• For innholdet du registrerer i tjenesten på vegne av din virksomhet, kommune eller fylkeskommune - f.eks. behandlingsoversikter, DPIA- og ROS-vurderinger, som kan omhandle personopplysninger om tredjeparter som elever, ansatte, kunder eller innbyggere - er det din arbeidsgiver som er behandlingsansvarlig, og PedTek AS er databehandler etter en signert databehandleravtale.

Personopplysninger vi samler inn og behandler

Om deg som bruker av tjenesten

• Navn og e-postadresse
• Hvilken organisasjon (virksomhet, kommune eller fylkeskommune) du er knyttet til, og hvilken rolle du har (admin, saksbehandler eller leser)
• Tidspunkt for når brukerkontoen din ble opprettet

Vi får disse opplysningene direkte fra deg - enten ved at en administrator i din organisasjon legger deg til manuelt, eller ved at du selv logger inn med en Microsoft- eller Google-konto tilknyttet din arbeidsgivers organisasjon (selvregistrering). Vi mottar aldri passordet ditt - innloggingen skjer hos Microsoft eller Google, ikke hos oss.

Innhold du registrerer i tjenesten

Når du fyller ut en behandlingsoversikt, DPIA- eller ROS-vurdering, lagres innholdet du skriver inn. Dette kan i noen tilfeller inneholde personopplysninger om andre - f.eks. hvilke grupper av personer (elever, innbyggere, ansatte) en behandling gjelder. Dette er innhold din arbeidsgiver er behandlingsansvarlig for, ikke PedTek AS (se over).

Dersom du laster opp et dokument til en tjeneste - f.eks. en databehandleravtale - lagres filen slik den er. Slike dokumenter kan inneholde personopplysninger om kontaktpersoner hos din arbeidsgiver eller dennes leverandører (f.eks. navn, stilling, e-postadresse og telefonnummer). Som med annet innhold du registrerer, er det din arbeidsgiver som er behandlingsansvarlig for dette.

Informasjonskapsler (cookies)

Tjenesten bruker én nødvendig informasjonskapsel for å holde deg innlogget mens du bruker tjenesten. Ved innlogging med Microsoft eller Google brukes i tillegg noen korte, nødvendige informasjonskapsler for å sikre at innloggingen er ekte og ikke kan forfalskes. Vi bruker ikke informasjonskapsler til analyse, annonsering eller sporing.

Hvordan vi bruker personopplysningene

• For å gi deg tilgang til tjenesten: vi bruker navn, e-post og rolle for å vite hvem du er og hva du skal ha tilgang til. Behandlingsgrunnlag: oppfyllelse av avtalen mellom PedTek AS og din arbeidsgiver (GDPR art. 6(1)(b)).
• For å bekrefte identiteten din ved innlogging: når du logger inn med Microsoft eller Google, mottar vi e-postadressen din, navnet ditt, og en identifikator for hvilken organisasjon (tenant/domene) kontoen din tilhører, for å avgjøre om du kan gis tilgang. Behandlingsgrunnlag: avtaleoppfyllelse og berettiget interesse i å sikre at bare rette personer får tilgang (art. 6(1)(b) og (f)).
• For feilsøking og sikkerhet: vi kan behandle opplysninger om innlogging og bruk for å oppdage og forhindre uautorisert tilgang og misbruk. Behandlingsgrunnlag: berettiget interesse (art. 6(1)(f)).

Hvem vi deler opplysninger med

• Microsoft og Google: når du logger inn med en av disse, behandler de opplysningene som en del av selve innloggingen, i tråd med sine egne personvernvilkår.
• Driftsleverandør: tjenesten driftes hos Microsoft Azure, som er vår databehandler for drift av applikasjon, database og lagring. Applikasjonen kjører i Azure sin Sverige-region (Sweden Central), mens databasen med innholdet ditt lagres i Azure sin Norge-region (Norway East). Begge regionene er innenfor EØS.
• Transaksjonelle e-postvarsler: enkelte varsler (f.eks. når en vurdering sendes til personvernombudet, eller når det legges til en kommentar) sendes som e-post til din registrerte e-postadresse via Azure Communication Services - samme leverandør (Microsoft) som allerede drifter applikasjonen og databasen, altså ingen ny underleverandør.
• KI-assistert utfylling (Anthropic): enkelte valgfrie funksjoner - å hente forslag fra en tjenestes nettside, å laste opp et eksisterende ROS/DPIA-dokument for automatisk import, og å la KI-en foreslå innhold til ROS/DPIA basert på en opplastet databehandleravtale - bruker en språkmodell fra Anthropic for å foreslå eller trekke ut innhold. Disse funksjonene brukes kun når du selv aktivt velger dem (for databehandleravtalen: et eget avkrysningsvalg ved opplasting), og innholdet sendes da til Anthropic sin API for behandling. Anthropic er vår databehandler for dette formålet og lagrer ikke innholdet utover det som er nødvendig for å behandle forespørselen.
• Automatisk overvåking av leverandørsider (Anthropic): dersom du velger å sette opp overvåking for en tjeneste (ved å legge inn tjenestens nettadresse på tjenestesiden), henter vi med jevne mellomrom (i dag: månedlig) offentlig tilgjengelig tekst fra denne nettadressen og sender den til en språkmodell fra Anthropic, som vurderer om innholdet tyder på ny personvern- eller sikkerhetsrelevant funksjonalitet siden forrige sjekk. I motsetning til funksjonene over skjer dette automatisk i bakgrunnen når overvåking er slått på for en tjeneste, uten at du aktivt trigger hver enkelt sjekk - selve oppsettet er likevel alltid et aktivt valg, og du kan når som helst slå av overvåkingen på tjenestesiden. Anthropic er vår databehandler for dette formålet på samme vilkår som over.
• Vi selger eller deler ikke personopplysninger med noen for markedsføringsformål.

Hvor lenge vi lagrer opplysningene

Kontoopplysningene dine lagres så lenge du er bruker av tjenesten på vegne av din organisasjon. En administrator i din organisasjon kan be om at brukerkontoen din fjernes.

Innholdet du registrerer i tjenesten (behandlingsoversikter, DPIA- og ROS-vurderinger, samt arkiverte tjenester) lagres så lenge din organisasjon - som er behandlingsansvarlig for dette innholdet - har bruk for det, i tråd med organisasjonens egne rutiner for arkivering og sletting.

Dine rettigheter

Du har rett til å:

• få innsyn i hvilke opplysninger vi har om deg
• få rettet feilaktige opplysninger
• be om at opplysninger slettes, med de begrensninger lovverket setter
• be om begrensning av behandlingen
• protestere mot behandlingen
• få utlevert opplysningene i et strukturert format (dataportabilitet), der det er aktuelt
• klage til Datatilsynet dersom du mener vi behandler opplysningene dine i strid med regelverket (www.datatilsynet.no)

For å utøve disse rettighetene, ta kontakt med en administrator i din organisasjon, eller kontakt oss direkte - se kontaktinformasjon under.

Sikkerhet

Vi bruker tilgangsstyring, kryptert overføring og etablerte innloggingsleverandører (Microsoft og Google) for å beskytte opplysningene. Vi lagrer aldri passord selv - all innlogging skjer via Microsoft eller Google sine egne, sikre innloggingstjenester.

Kontakt oss

Har du spørsmål om denne personvernerklæringen eller vår behandling av personopplysninger, kontakt:

PedTek AS
Org.nr: 931 994 042
E-post: jon.erik@pedtek.no