Personvernerklæring

PedTek AS er behandlingsansvarlig for personopplysningene vi selv samler inn om deg som bruker av Personvernkompasset («tjenesten»). Denne personvernerklæringen forklarer hvilke opplysninger vi samler inn, hvorfor, og hvilke rettigheter du har.

Det er ett viktig skille å være klar over i denne tjenesten:

• For opplysninger om deg som bruker (f.eks. innlogging, navn, rolle) er PedTek AS behandlingsansvarlig.
• For innholdet du registrerer i tjenesten på vegne av din virksomhet, kommune eller fylkeskommune - f.eks. behandlingsoversikter, DPIA- og ROS-vurderinger, som kan omhandle personopplysninger om tredjeparter som elever, ansatte, kunder eller innbyggere - er det din arbeidsgiver som er behandlingsansvarlig, og PedTek AS er databehandler etter en signert databehandleravtale.

Personopplysninger vi samler inn og behandler

Om deg som bruker av tjenesten

• Navn og e-postadresse
• Hvilken organisasjon (virksomhet, kommune eller fylkeskommune) du er knyttet til, og hvilken rolle du har (admin, saksbehandler eller leser)
• Tidspunkt for når brukerkontoen din ble opprettet

Vi får disse opplysningene direkte fra deg - enten ved at en administrator i din organisasjon legger deg til manuelt, eller ved at du selv logger inn med en Microsoft- eller Google-konto tilknyttet din arbeidsgivers organisasjon (selvregistrering). Vi mottar aldri passordet ditt - innloggingen skjer hos Microsoft eller Google, ikke hos oss.

Innhold du registrerer i tjenesten

Når du fyller ut en behandlingsoversikt, DPIA- eller ROS-vurdering, lagres innholdet du skriver inn. Dette kan i noen tilfeller inneholde personopplysninger om andre - f.eks. hvilke grupper av personer (elever, innbyggere, ansatte) en behandling gjelder. Dette er innhold din arbeidsgiver er behandlingsansvarlig for, ikke PedTek AS (se over).

En saksbehandler eller administrator på et høyere nivå i virksomheten kan løfte en vurdering opp i virksomhetens lokale tjenestebibliotek. Da lagres en kopi av vurderingen, som er synlig for brukerne på det nivået og i avdelingene under. Kopien deles bare innad i samme virksomhet, og bare navnet på saksbehandleren som gjorde den opprinnelige vurderingen står på den, med mindre den som delte valgte å ta med navn på deltakere og ansvarlige.

Dersom du laster opp et dokument til en tjeneste - f.eks. en databehandleravtale - lagres filen slik den er. Slike dokumenter kan inneholde personopplysninger om kontaktpersoner hos din arbeidsgiver eller dennes leverandører (f.eks. navn, stilling, e-postadresse og telefonnummer). Som med annet innhold du registrerer, er det din arbeidsgiver som er behandlingsansvarlig for dette.

Dersom du melder et avvik, lagres meldingen (tittel, beskrivelse og tidspunkter) sammen med navnet og e-postadressen din, og med den vurderingen, de tiltakene og den historikken saksbehandlere og personvernombud legger til. Formålet er virksomhetens plikt til å følge opp og dokumentere avvik, blant annet brudd på personopplysningssikkerheten. Avvik slettes ikke i tjenesten, men lukkes. Meldingen kan leses av melderen selv, av saksbehandlere og administratorer i avdelingen avviket gjelder og avdelingene over, og av virksomhetens personvernombud. PedTek leser ikke avvik. Vi ber deg om ikke å skrive navn, fødselsnummer eller helseopplysninger i meldingen. Som med annet innhold du registrerer, er det din arbeidsgiver som er behandlingsansvarlig for dette.

Dersom du ber om en ny tjeneste, lagres forespørselen (navn, lenke, formål og en beskrivelse av hvem som skal bruke tjenesten og hvilke typer personopplysninger den behandler) sammen med navnet og e-postadressen din, og med tilbakemeldingen og historikken saksbehandlerne legger til. Forespørselen kan leses av deg, av saksbehandlere og administratorer i avdelingen den ligger hos, og av virksomhetens personvernombud. PedTek leser ikke forespørsler. Vi ber deg om ikke å skrive navn på enkeltpersoner i forespørselen.

Informasjonskapsler (cookies)

Tjenesten bruker én nødvendig informasjonskapsel for å holde deg innlogget mens du bruker tjenesten. Ved innlogging med Microsoft eller Google brukes i tillegg noen korte, nødvendige informasjonskapsler for å sikre at innloggingen er ekte og ikke kan forfalskes. Vi bruker ikke informasjonskapsler til analyse, annonsering eller sporing.

Hvordan vi bruker personopplysningene

• For å gi deg tilgang til tjenesten: vi bruker navn, e-post og rolle for å vite hvem du er og hva du skal ha tilgang til. Behandlingsgrunnlag: oppfyllelse av avtalen mellom PedTek AS og din arbeidsgiver (GDPR art. 6(1)(b)).
• For å bekrefte identiteten din ved innlogging: når du logger inn med Microsoft eller Google, mottar vi e-postadressen din, navnet ditt, og en identifikator for hvilken organisasjon (tenant/domene) kontoen din tilhører, for å avgjøre om du kan gis tilgang. Behandlingsgrunnlag: avtaleoppfyllelse og berettiget interesse i å sikre at bare rette personer får tilgang (art. 6(1)(b) og (f)).
• For feilsøking og sikkerhet: vi kan behandle opplysninger om innlogging og bruk for å oppdage og forhindre uautorisert tilgang og misbruk. Behandlingsgrunnlag: berettiget interesse (art. 6(1)(f)).

Hvem vi deler opplysninger med

• Microsoft og Google: når du logger inn med en av disse, behandler de opplysningene som en del av selve innloggingen, i tråd med sine egne personvernvilkår.
• Driftsleverandør: tjenesten driftes hos Microsoft Azure, som er vår databehandler for drift av applikasjon, database og lagring. Applikasjonen kjører i Azure sin Sverige-region (Sweden Central), mens databasen med innholdet ditt lagres i Azure sin Norge-region (Norway East). Begge regionene er innenfor EØS.
• Transaksjonelle e-postvarsler: enkelte varsler (f.eks. når en vurdering sendes til personvernombudet, når det legges til en kommentar, når et avvik er meldt, når fristen for å melde et brudd til Datatilsynet nærmer seg, når et avvik du har meldt er lukket, når noen ber om en ny tjeneste, eller når du har fått en tilbakemelding på en forespørsel du har sendt) sendes som e-post til din registrerte e-postadresse via Azure Communication Services - samme leverandør (Microsoft) som allerede drifter applikasjonen og databasen, altså ingen ny underleverandør.
• KI-assistert utfylling (Anthropic): enkelte valgfrie funksjoner - å hente forslag fra en tjenestes nettside, å laste opp et eksisterende ROS/DPIA-dokument for automatisk import, og å la KI-en foreslå innhold til ROS/DPIA basert på en opplastet databehandleravtale - bruker en språkmodell fra Anthropic for å foreslå eller trekke ut innhold. Disse funksjonene brukes kun når du selv aktivt velger dem (for databehandleravtalen: et eget avkrysningsvalg ved opplasting), og innholdet sendes da til Anthropic sin API for behandling. Når du henter forslag fra en nettside, leses sidene både direkte og med en nettleser som kjører i vår egen jobb hos Microsoft Azure. Teksten fra nettleseren lagres bare midlertidig (høyst en time) og slettes når forslagene er laget. Det er offentlige sider, ikke personopplysninger om deg. Anthropic er vår databehandler for dette formålet og lagrer ikke innholdet utover det som er nødvendig for å behandle forespørselen.
• UU-sjekk av nettsteder: i en UU-vurdering av en nettside eller en app kan du trykke «Kjør automatisk sjekk». Da besøker en jobb hos oss i Microsoft Azure adressen du har oppgitt og noen få andre sider på samme nettsted (opptil fem sider til sammen), og tester dem automatisk for tilgjengelighet. Jobben oppgir åpent at den er en automatisk sjekk fra Personvernkompasset. Det lagres bare resultatet av sjekken (hvilke krav som kan være brutt, og hvilke sider som ble testet), ikke innholdet på sidene og ikke skjermbilder. Sjekken skjer bare når du selv trykker på knappen, og gjelder offentlige sider, ikke personopplysninger om deg.
• UU-sjekk av dokumenter: i en UU-vurdering av et dokument kan du laste opp en Word-fil, en PowerPoint, en Excel-fil eller en PDF som sjekkes automatisk for struktur og språk. Sjekken skjer i vår egen tjeneste. Selve dokumentet lagres ikke, bare filnavnet og resultatet av sjekken, som kan inneholde korte utdrag fra dokumentet (for eksempel navnet på en overskrift eller et lysbilde) for å vise hvor et funn er. Dersom du i tillegg krysser av for at KI skal vurdere språket (klarspråk), sendes teksten fra dokumentet til Anthropic sin API for behandling, på samme vilkår som for funksjonene over. Uten avkryssing sendes ingenting ut.
• Automatisk overvåking av leverandørsider (Anthropic): dersom du velger å sette opp overvåking for en tjeneste (ved å legge inn tjenestens nettadresse på tjenestesiden), henter vi med jevne mellomrom (i dag: månedlig) offentlig tilgjengelig tekst fra denne nettadressen (for sider som bygges med JavaScript leses siden i en nettleser i vår egen jobb hos Microsoft Azure, og teksten lagres bare midlertidig) og sender den til en språkmodell fra Anthropic, som vurderer om innholdet tyder på ny personvern- eller sikkerhetsrelevant funksjonalitet siden forrige sjekk. I motsetning til funksjonene over skjer dette automatisk i bakgrunnen når overvåking er slått på for en tjeneste, uten at du aktivt trigger hver enkelt sjekk - selve oppsettet er likevel alltid et aktivt valg, og du kan når som helst slå av overvåkingen på tjenestesiden. Anthropic er vår databehandler for dette formålet på samme vilkår som over.
• Vi selger eller deler ikke personopplysninger med noen for markedsføringsformål.

Hvor lenge vi lagrer opplysningene

Kontoopplysningene dine lagres så lenge du er bruker av tjenesten på vegne av din organisasjon. En administrator i din organisasjon kan be om at brukerkontoen din fjernes.

Innholdet du registrerer i tjenesten (behandlingsoversikter, DPIA- og ROS-vurderinger, samt arkiverte tjenester) lagres så lenge din organisasjon - som er behandlingsansvarlig for dette innholdet - har bruk for det, i tråd med organisasjonens egne rutiner for arkivering og sletting.

Dine rettigheter

Du har rett til å:

• få innsyn i hvilke opplysninger vi har om deg
• få rettet feilaktige opplysninger
• be om at opplysninger slettes, med de begrensninger lovverket setter
• be om begrensning av behandlingen
• protestere mot behandlingen
• få utlevert opplysningene i et strukturert format (dataportabilitet), der det er aktuelt
• klage til Datatilsynet dersom du mener vi behandler opplysningene dine i strid med regelverket (www.datatilsynet.no)

For å utøve disse rettighetene, ta kontakt med en administrator i din organisasjon, eller kontakt oss direkte - se kontaktinformasjon under.

Sikkerhet

Vi bruker tilgangsstyring, kryptert overføring og etablerte innloggingsleverandører (Microsoft og Google) for å beskytte opplysningene. Vi lagrer aldri passord selv - all innlogging skjer via Microsoft eller Google sine egne, sikre innloggingstjenester.

Kontakt oss

Har du spørsmål om denne personvernerklæringen eller vår behandling av personopplysninger, kontakt:

PedTek AS
Org.nr: 931 994 042
E-post: jon.erik@pedtek.no