Hur Aritmetik hanterar dina personuppgifter

1. Personuppgiftsansvarig

Aritmetik är en matematikövningsplattform som används i skolan. För studerande och lärare är din skola (eller skolans huvudman/utbildningsanordnare) personuppgiftsansvarig för behandlingen som sker inom ramen för undervisningen. Skolan bestämmer ändamål och vilka uppgifter som behandlas.

Plattformen utvecklas och drivs av Jonas Westerlund (lärare), en fysisk person, inte av ett bolag. Jonas Westerlund behandlar personuppgifter på skolans uppdrag som personuppgiftsbiträde. Skolor kan vid behov begära ett standardiserat biträdesavtal (DPA). Vid frågor om integritet, vänd dig i första hand till din skola, eller kontakta oss på kontakt@aritmetik.fi.

2. Vilka personuppgifter vi behandlar

• Konto- och inloggningsuppgifter: namn, e-postadress och Google-konto-ID (från din Google-inloggning).
• Skoltillhörighet och roll: vilken skola och roll (studerande eller lärare) din inbjudningskod kopplar dig till, samt startår (årskurs) om skolan registrerat det.
• Studieresultat: dina svar på övningar och kartläggningar, resultat, framsteg och statistik. För lärare även uppgift om vilka studerande som finns i deras skola.
• Tekniska uppgifter: sessionsinformation (se avsnitt 8 om cookies).

Resultat från kartläggningar kan delas inom skolan via delningskoder. Vi samlar inte in uppgifter om hälsa, etnicitet, religion eller andra känsliga personuppgifter, och vi spårar inte användare i reklamsyfte.

3. Ändamål och rättslig grund

• Utbildning och undervisning – att skapa konton, genomföra övningar och kartläggningar, följa framsteg och ge lärare insyn i sina studerandes resultat. Rättslig grund: fullgörande av skolans lagstadgade utbildningsuppdrag (GDPR art. 6.1 e), eller för privata skolor avtalet med skolan (GDPR art. 6.1 b).
• Drift, säkerhet och support – att hålla tjänsten säker, fungerande och åtkomlig. Rättslig grund: berättigat intresse (GDPR art. 6.1 f).
• Rättsliga skyldigheter – t.ex. skolans arkiveringsskyldigheter för betyg och studieresultat. Rättslig grund: rättslig förpliktelse (GDPR art. 6.1 c).

Behandlingen av studerandes uppgifter sker inom ramen för skolans uppdrag och bedöms vara nödvändig för att bedriva undervisning. Vi använder inte samtycke som rättslig grund och säljer aldrig personuppgifter. Inget automatiserat beslutsfattande eller profilering sker (GDPR art. 22).

4. Lagring, överföring och säkerhet

Uppgifterna lagras i en molnbaserad databas hos Turso med serverregion i Irland (AWS eu-west-1), och applikationen körs hos Railway i Amsterdam (Nederländerna), båda inom EU/EES. Bilder och media lagras hos Cloudflare (R2).

Tjänsteleverantörerna (Google, Railway och Cloudflare) har sitt säte i USA. Överföring till USA kan ske vid inloggning, lagring eller teknisk support och skyddas av EU-U.S. Data Privacy Framework samt EU-kommissionens standardavtalsklausuler (SCC) enligt GDPR. Personuppgiftsbiträdesavtal (DPA) har tecknats med berörda underleverantörer.

All trafik skyddas med kryptering (TLS). Åtkomst till uppgifter är strikt begränsad: studerande ser bara sitt eget resultat, lärare bara resultat för studerande i sin egen skola, och all data är tekniskt isolerad per skola. Åtkomst kräver inloggning, och inloggningssessioner förfaller automatiskt. Vid en personuppgiftsincident kontaktar Jonas Westerlund den ansvariga skolan utan onödigt dröjsmål.

5. Delning med tredje part

• Google – för inloggning med Google-konto (namn, e-postadress och Google-konto-ID överförs vid inloggning). Google behandlar dessa uppgifter enligt sin egen integritetspolicy.
• Turso – som värd för databasen (servrar i Irland inom EU).
• Railway – som värd för applikationen (servrar i Nederländerna inom EU).
• Cloudflare – för lagring och distribution av bilder/media (R2).

Uppgifterna delas endast inom din skola och med ovanstående leverantörer. Inga uppgifter säljs eller överförs till annonsnätverk.

6. Lagringstid och radering

Uppgifter sparas så länge kontot är aktivt och skolan behöver dem för undervisningen. När en studerande utexamineras sparas uppgifterna tills kontot tas bort eller skolan begär radering.

Om en studerande tas bort från skolan behålls kontot och uppgifterna så att kontot kan återanslutas. Radering utförs manuellt av Jonas Westerlund på begäran av skolan eller den registrerade (se avsnitt 7). Raderade uppgifter kan finnas kvar i återställningskopior (point-in-time restore) i upp till tio (10) dagar.

7. Dina rättigheter

Du har rätt att:

• Få tillgång till de uppgifter vi behandlar om dig (registerutdrag),
• Få felaktiga uppgifter rättade,
• Få uppgifter raderade (”rätten att bli glömd”),
• Begränsa behandlingen i vissa fall,
• Få ut dina uppgifter i ett maskinläsbart format (dataportabilitet),
• Invända mot behandling som grundas på berättigat intresse,
• Lämna klagomål till dataombudsmannen i Finland (Tietosuojavaltuutetun toimisto, tietosuoja.fi) om du anser att behandlingen strider mot GDPR.

Kontakta din skola för att utöva dina rättigheter. Skolan kan även vända sig till oss på kontakt@aritmetik.fi. Vi svarar inom en månad.

8. Cookies

Aritmetik använder endast nödvändiga cookies för inloggning och session (sessionscookie samt tillfälliga cookies under Google-inloggningen). Vi använder inga cookies för analys, marknadsföring eller spårning av tredje part.

9. Barns integritet

Aritmetik används av studerande i skolan. Eftersom behandlingen sker inom ramen för skolans uppdrag är det skolan som ansvarar för att vårdnadshavare informerats. Vårdnadshavare som har frågor eller vill utöva rättigheter för sitt barn bör kontakta skolan i första hand.

10. Ändringar av denna policy

Denna policy kan komma att uppdateras. Vid väsentliga ändringar meddelar vi genom tjänsten eller via skolan. Datum för senaste uppdatering visas högst upp på sidan.