Personvern­erklæring.

Behandlingsansvarlig og databehandler

Når Matheasy brukes av en skole som en del av opplæringen, er skoleeier (kommunen eller privatskolen) behandlingsansvarlig, mens Matheasy (Dot AS v/ Samuel Krippendorf) er databehandler — vi behandler opplysningene på skolens vegne og etter skolens instruks, i samsvar med databehandleravtale inngått før oppstart. Dette følger GDPR artikkel 28.

Kontaktinformasjon for Matheasy som databehandler:
Dot AS v/ Samuel Krippendorf · samuel@klaride.no

Hvilke opplysninger vi behandler

Vi samler kun det vi trenger for å kunne levere tjenesten. Opplysningene kan grupperes slik:

A. Identitet og skoletilhørighet

• Fornavn og første bokstav i etternavnet (eleven), eller fullt navn (læreren) — hentet fra Feide ved første innlogging
• Feide-ID (en stabil, anonymisert brukeridentifikator fra Feide)
• Skole og klasse (hvilken Feide-organisasjon og trinn/klasse brukeren tilhører)
• E-postadresse (kun for lærere som bruker e-post-innlogging i stedet for Feide)
• Rolle (elev eller lærer, hentet fra Feide-affiliation)

B. Læringsaktivitet og progresjon

• Ferdighetsnivå per emne (f.eks. multiplikasjon, addisjon): nåværende nivå, høyeste låst opp nivå, stjerner oppnådd
• Økthistorikk: hvor mange oppgaver som ble besvart, antall riktige svar, varighet av hver runde
• Aktiv treningstid: kumulativ tid eleven har vært aktiv i øvelsene
• Tidsstempler for når aktivitet skjedde (for å vise progresjon over tid)

C. Belønning og tilpasning (valgfritt spillelement)

• Saldo av virtuelle «orber» eleven har tjent gjennom trening
• Transaksjonslogg for kjøp av visuelle elementer (avatarer, tilpasninger)
• Eide og utstyrte kosmetiske elementer

D. Samarbeidsmodus (valgfri)

• Offentlig IP-adresse og visningsnavn — brukes til å koble to elever som øver sammen over internett, og slettes automatisk når økten avsluttes
• Sesjons-ID som knytter to elever til samme treningsøkt

E. Teknisk og sikkerhet

• Innloggingshendelser (suksess/feil, uten passord): lagres i revisjonslogg for sikkerhetsformål
• Autentiseringstokener fra Feide: lagres kryptert og kun så lenge økten varer
• Informasjonskapsler (cookies) fra Feide og Supabase er strengt nødvendige for at innloggingen skal fungere — vi bruker ingen sporingscookies

Vi samler ikke inn: fødselsdato, fødselsnummer, adresse, telefonnummer, foreldres kontaktinformasjon, helseopplysninger eller sensitive kategorier av personopplysninger. Vi bruker ikke analytics-verktøy som sporer brukere på tvers av nettsteder.

Formål med behandlingen

Levere tjenesten

Vise riktige oppgaver tilpasset elevens nivå, huske fremdrift mellom økter

Vise fremgang

La eleven se egen progresjon og læreren se klassens oversikt

Tilpasse vanskelighetsgrad

Automatisk justere oppgavene etter mestringsnivå, slik at trening blir verken kjedelig eller for vanskelig

Koble elever i parøvelse

Finne en medelev å trene sammen med i samarbeidsmodus

Ivareta sikkerhet

Oppdage misbruk, feilsøke innloggingsproblemer, beskytte mot uautorisert tilgang

Forbedre produktet

Aggregerte, anonymiserte tall om hvilke oppgavetyper som fungerer. Aldri koblet til enkeltelever utad

Rettslig grunnlag

Behandlingen skjer på følgende grunnlag etter GDPR artikkel 6:

• Utførelse av en oppgave i allmennhetens interesse (art. 6 nr. 1 bokstav e), jf. opplæringsloven — når elever i offentlig grunnskole bruker Matheasy som en del av opplæringen
• Avtale med skolen (art. 6 nr. 1 bokstav b) — for levering av tjenesten til skoler som har aktivert Matheasy gjennom Feide
• Berettiget interesse (art. 6 nr. 1 bokstav f) — for sikkerhetslogging og feilsøking, der interessen er avveid mot den registrertes rettigheter

Vi baserer oss ikke på barns samtykke som rettslig grunnlag for opplæringsformål i offentlig skole. Der samtykke brukes (f.eks. for valgfrie funksjoner), innhentes dette eksplisitt.

Hvor lenge vi oppbevarer opplysningene

Elevdata og progresjon

Så lenge eleven er aktiv bruker ved skolen. Slettes når skolen avslutter tjenesten eller på forespørsel

Samarbeidsøkter (IP, lobby)

Slettes automatisk når økten avsluttes, senest innen 24 timer

Autentiseringstokener

Slettes når økten utløper (typisk innen 24 timer)

Innloggingslogger

Inntil 90 dager for sikkerhetsformål, deretter slettes de

Ved oppsigelse

All skoledata slettes innen 30 dager, med mindre lov krever lengre oppbevaring

Hvem får tilgang til opplysningene

Personopplysninger deles kun med de aktørene som er nødvendige for å drifte tjenesten, som våre underdatabehandlere:

Supabase

Database- og autentiseringstjeneste, lagring i EU-region (Irland). Underlagt egen databehandleravtale

Vercel

Hosting av nettsiden og serverløse funksjoner, med EU-lokasjoner der mulig

Feide (Sikt)

Levert av Sikt – Kunnskapssektorens tjenesteleverandør. Håndterer selve innloggingen og videresender minimum nødvendig informasjon til oss

Vi selger ikke personopplysninger. Vi deler ikke data med tredjeparter for markedsføring eller analyse. Eventuelle nye underdatabehandlere varsles til skolen med rimelig frist.

Overføring utenfor EU/EØS

Vår primære databehandling skjer i EU-region (Irland). Enkelte underleverandører kan ha hovedkontor utenfor EU/EØS (f.eks. Supabase Inc. i USA). For slike tilfeller bruker vi EU-kommisjonens standardkontrakter (SCC) som overføringsgrunnlag, i kombinasjon med tekniske tiltak slik at data lagres og behandles i EU.

Informasjonssikkerhet

Vi bruker anerkjente tekniske og organisatoriske tiltak for å beskytte opplysningene:

• All kommunikasjon skjer over HTTPS/TLS
• Databasen er sikret med radnivåsikkerhet (Row Level Security) — lærere ser kun sin egen klasse, elever ser kun egne data
• Passord lagres aldri i klartekst; autentisering går gjennom Feide eller hash-basert lagring hos Supabase
• Tilgang til produksjonssystemer er begrenset til autoriserte utviklere med tofaktorpålogging
• Innloggingshendelser logges for å oppdage uvanlig aktivitet

Ved mistanke om sikkerhetsbrudd varsles skolen så snart som mulig, og senest innen 72 timer etter at vi er blitt klar over bruddet, jf. GDPR artikkel 33. Alvorlige brudd meldes også til Datatilsynet etter gjeldende regler.

Dine rettigheter

Som registrert har du etter personopplysningsloven og GDPR rett til:

• Innsyn — å få vite hvilke opplysninger vi behandler om deg (art. 15)
• Retting — å få korrigert uriktige opplysninger (art. 16)
• Sletting — «retten til å bli glemt» når vilkårene er oppfylt (art. 17)
• Begrensning — å be om at behandlingen begrenses mens en sak avklares (art. 18)
• Dataportabilitet — å få utlevert opplysninger i et maskinlesbart format (art. 20)
• Protestere — mot behandling basert på berettiget interesse (art. 21)
• Klage til tilsynsmyndighet: Datatilsynet (datatilsynet.no)

For elever i skolen rettes henvendelser normalt gjennom skolen, som behandlingsansvarlig. Du kan også kontakte oss direkte på samuel@klaride.no. Vi svarer uten ugrunnet opphold og senest innen 30 dager.

Informasjonskapsler

Matheasy bruker kun strengt nødvendige informasjonskapsler og lokal lagring (localStorage) for å holde brukeren innlogget og huske oppsett som avatar og fremdrift lokalt. Vi bruker ingen sporingscookies, ingen reklame-cookies, og ingen tredjeparts analysecookies.

Endringer i erklæringen

Vi oppdaterer erklæringen når tjenesten utvikles eller lovgivningen endres. Vesentlige endringer varsles til skolens kontaktperson, og dato for siste oppdatering vises øverst på siden.