Personvernerklæring

Lærerro er en tjeneste levert av Bringebærstedet AS (org.nr. 932000075). Bringebærstedet AS er behandlingsansvarlig for personopplysninger som samles inn gjennom tjenesten Lærerro (laererro.no). Vi er forpliktet til å beskytte personvernet ditt i henhold til personopplysningsloven og EUs personvernforordning (GDPR).

Kontakt: kontakt@laererro.no

Vi samler inn følgende opplysninger:

2.1 Kontoinformasjon

• Navn
• E-postadresse
• Passord (lagres kryptert med bcrypt, aldri i klartekst)

2.2 Bruksdata

• Kredittbeholdning og kredittforbruk per generering
• Antall lagrede ressurser
• Tidspunkt for innlogging
• Når du er inne i appen, hvor lenge, og hvilke sider du besøker

Bruksmålingen viser oss hvilke deler av tjenesten som faktisk hjelper, og hvilke som ikke gjør det. Vi lagrer sidenavn, ikke innhold: en side som «/oppgaver/12345» lagres som «/oppgaver/:id», uten hvilken oppgave det var. Vi bruker ingen tredjeparts sporingsverktøy til dette, og dataene deles ikke med noen.

2.3 Innhold du oppretter

• Undervisningsopplegg, quizer, prøver, differensieringsplaner og tverrfaglige opplegg
• Presentasjoner generert via tjenesten
• Kommentarer og vurderinger i fellesskapet

2.4 Elevinformasjon (valgfritt)

• Elevnavn
• Karakterer og faglig progresjon
• Vurderingsnotater

2.5 Meldinger til kundeservice

• Meldingene du sender oss i chatten, og svarene våre
• Tidspunkt for hver melding, og om den er lest

Skriv helst ikke elevnavn eller andre opplysninger om enkeltelever i chatten. Trenger vi det for å hjelpe deg, avtaler vi en tryggere vei.

2.6 Betalingsinformasjon

• Stripe kunde-ID (betalingsinformasjon håndteres direkte av Stripe og lagres aldri hos oss)
• Abonnementsstatus

Vi behandler personopplysninger for følgende formål:

• Levering av tjenesten: Opprette og administrere brukerkonto, generere pedagogisk innhold, lagre og hente ressurser.
• Abonnementshåndtering: Administrere betalinger, oppgradere/nedgradere kontoer, håndtere kanselleringer.
• Bruksbegrensninger: Holde oversikt over daglige og månedlige kvoter for gratisbrukere.
• Forbedring av tjenesten: Anonymisert statistikk for å forstå hvordan tjenesten brukes og forbedre funksjonaliteten.
• Sikkerhet: Forebygge misbruk, håndtere innloggingsforsøk og beskytte kontoen din.

Vi behandler personopplysninger basert på:

• Avtale (GDPR art. 6(1)(b)): Nødvendig for å levere tjenesten du har registrert deg for.
• Berettiget interesse (GDPR art. 6(1)(f)): Sikkerhetstiltak, misbruksforebygging og tjenestforbedring.
• Samtykke (GDPR art. 6(1)(a)): Der vi ber om eksplisitt samtykke, for eksempel for markedsføring.

5.1 Generering av innhold

Når du bruker AI-funksjonene i Lærerro (generering av opplegg, quizer, presentasjoner, flashcards etc.), sendes følgende til AI-modellen:

• Fag og trinn
• Tema og emne
• Kompetansemål fra LK20
• Dine instruksjoner og valg

5.2 AI-vurdering av elevbesvarelser

Når du bruker AI-vurdering, sendes følgende til AI-modellen:

• Elevens besvarelsestekst (innholdet i oppgaven)
• Oppgavebeskrivelse og vurderingskriterier
• Fag og trinn, for eksempel «Historie, Vg2»

Følgende sendes ALDRI til AI-modellen:

• Elevnavn eller andre personidentifiserende opplysninger
• Klassenavn. «2KDA» peker sammen med skolenavn på en avgrenset gruppe, og trinnet er tilstrekkelig for å vurdere på riktig nivå
• Fødselsdato
• Karakterer eller tidligere vurderingsdata
• Kontaktinformasjon til elever eller foresatte

Fjerningen av navn skjer automatisk, ikke ved at læreren husker det: alle navn på elever i klassen byttes ut med «[ELEV 1]», «[ELEV 2]» og så videre før teksten forlater serveren. Hele klasselisten slås opp, ikke bare eleven som leverte, fordi gruppearbeid ofte nevner medelever.

AI-behandling leveres av Anthropic (Claude API). Data som sendes via API-et brukes ikke til å trene modellen og kan ikke brukes til andre formål. Anthropic kan oppbevare inn- og utdata i inntil 30 dager for å avdekke misbruk av tjenesten, og sletter dem deretter. Anthropic sin databehandleravtale med Standard Contractual Clauses er inkludert i deres API-vilkår.

• Lagring: All data lagres i EU (Frankfurt, Tyskland) hos Neon (PostgreSQL).
• Kryptering i transit: TLS mellom alle ledd.
• Kryptering på disk: AES-256 hos databaseleverandøren.
• Kryptering av elevbesvarelser: Besvarelsestekst krypteres i tillegg felt for felt med AES-256-GCM, med egen nøkkel som ikke ligger i databasen. Diskkryptering beskytter mot at noen får tak i maskinvaren; dette beskytter også mot at en tilkoblingsstreng kommer på avveie.
• Passord: Lagres som bcrypt-hash (salt factor 12), aldri i klartekst.
• Tilgangskontroll: Innlogging med sikker sesjonsforvaltning via NextAuth.js. Ratebegrensning på innloggingsforsøk (5 forsøk per 15 minutter).
• CSRF-beskyttelse: Origin-sjekk på alle muterende forespørsler.
• Betalingssikkerhet: All betalingsbehandling håndteres av Stripe (PCI DSS Level 1-sertifisert). Vi lagrer aldri kortnumre.

Vi benytter følgende underdatabehandlere. Databehandleravtale (DPA) er inngått med alle:

Vi selger aldri personopplysninger til tredjeparter. Endringer i underdatabehandlere varsles via oppdatering av denne erklæringen.

Du har følgende rettigheter i henhold til GDPR:

• Innsyn (art. 15): Du kan se all lagret data i tjenesten. Lærere kan se all elevdata direkte i Lærerro.
• Retting (art. 16): Du kan rette opplysninger direkte i tjenesten, eller kontakte oss.
• Sletting (art. 17): Du kan slette enkeltelever, elevdata eller hele kontoen via Innstillinger. Kontosletting fjerner alle data innen 30 dager.
• Dataportabilitet (art. 20): Du kan eksportere alle elevdata som CSV-fil via Innstillinger → «Eksporter elevdata».
• Begrensning (art. 18): Du kan be om at behandlingen begrenses ved å kontakte oss.
• Innsigelse (art. 21): Du kan protestere mot behandling basert på berettiget interesse.

De fleste rettigheter kan utøves direkte i tjenesten via Innstillinger → Datasikkerhet og GDPR. For øvrige henvendelser, kontakt oss på kontakt@laererro.no. Vi svarer innen 30 dager.

Når du publiserer innhold til fellesskapet (deler opplegg, quizer, etc.), blir følgende synlig for andre registrerte brukere:

• Ditt navn (som registrert på kontoen)
• Innholdet du har delt
• Tidspunkt for publisering
• Kommentarer du skriver

Du kan når som helst trekke tilbake innhold fra fellesskapet.

Nødvendige

Disse må være der for at tjenesten skal virke, og settes uten samtykke:

• Sesjonsforvaltning: For å holde deg innlogget (next-auth.session-token).
• CSRF-beskyttelse: For å beskytte mot ondsinnede forespørsler (next-auth.csrf-token).

Markedsføring — kun med ditt samtykke

Vi annonserer for Lærerro, og vil gjerne vite hvilke annonser som faktisk fører lærere hit. Til det bruker vi Microsoft Advertising (UET-tagg). Den settes bare hvis du har sagt ja i samtykkebanneret. Sier du nei, lastes taggen i en modus der den ikke lagrer noe om deg.

Vi bruker ingen informasjonskapsler for markedsføring inne i selve verktøyet der du arbeider med elevopplysninger, og annonsemålingen kobles aldri mot elevdata.

Du kan ombestemme deg når som helst: endre valget ditt.

Lærerro er en tjeneste for lærere, ikke for elever. Vi samler ikke bevisst inn personopplysninger fra personer under 16 år.

Læreren godtar databehandleravtalen ved registrering, for sin egen bruk av tjenesten. Skoler som vil inngå avtalen med skolen som part, kan gjøre det ved å kontakte oss. Læreren og skolen er behandlingsansvarlig for elevdata og har ansvar for å informere elever og foresatte i henhold til gjeldende regler.

For elever under 16 år krever GDPR at foresatte er informert om behandlingen. Vi anbefaler at skolen håndterer dette som del av sine ordinære rutiner for informasjon til foresatte.

Vi kan oppdatere denne personvernerklæringen ved behov. Ved vesentlige endringer vil vi varsle registrerte brukere via e-post. Den gjeldende versjonen er alltid tilgjengelig på denne siden.

Dersom du mener at behandlingen av dine personopplysninger ikke er i samsvar med regelverket, kan du klage til Datatilsynet:

Datatilsynet
Postboks 458 Sentrum, 0105 Oslo
postkasse@datatilsynet.no
www.datatilsynet.no

Databehandleravtalen godtas ved registrering av konto, og tidspunkt og versjon lagres. Avtalen er tilgjengelig på /databehandleravtale og kan skrives ut. Skoler som ønsker avtalen signert med skolen som part, kan be om det på kontakt@laererro.no.

Har du spørsmål om personvern? Kontakt oss:

E-post: kontakt@laererro.no