Kuinka Aritmetik käsittelee henkilötietojasi

1. Rekisterinpitäjä

Aritmetik on matematiikan harjoittelualusta, jota käytetään koulussa. Opiskelijoiden ja opettajien osalta koulusi (tai koulutuksen järjestäjä) on rekisterinpitäjä opetuksen yhteydessä tapahtuvalle henkilötietojen käsittelylle. Koulu määrittelee käsittelyn tarkoitukset ja käsiteltävät tiedot.

Alustan on kehittänyt ja sitä ylläpitää Jonas Westerlund (opettaja), luonnollinen henkilö, ei yhtiö. Jonas Westerlund käsittelee henkilötietoja koulun toimeksiannosta henkilötietojen käsittelijänä. Koulut voivat tarvittaessa pyytää vakiomuotoisen tietojenkäsittelysopimuksen (DPA). Tietosuojaan liittyvissä kysymyksissä ota ensisijaisesti yhteyttä kouluusi, tai meihin osoitteessa kontakt@aritmetik.fi.

2. Mitä henkilötietoja käsittelemme

• Tili- ja kirjautumistiedot: nimi, sähköpostiosoite ja Google-tilin tunniste (Google-kirjautumisesta).
• Koulu ja rooli: mihin kouluun ja rooliin (opiskelija tai opettaja) kutsukoodisi sinut liittää, sekä aloitusvuosi (vuosikurssi), jos koulu on sen rekisteröinyt.
• Opintotulokset: vastauksesi harjoituksiin ja kartoituksiin, tulokset, edistyminen ja tilastot. Opettajien osalta käsitellään myös tietoa oman koulun opiskelijoista ja heidän tuloksistaan.
• Tekniset tiedot: istuntotiedot (ks. evästeet, kohta 8).

Kartoitusten tuloksia voidaan jakaa koulun sisällä jakokoodien avulla. Emme kerää tietoja terveydestä, etnisyydestä, uskonnosta tai muita erityisiin henkilötietoryhmiin kuuluvia tietoja, emmekä seuraa käyttäjiä mainostarkoituksessa.

3. Käsittelyn tarkoitukset ja oikeusperusteet

• Opetus ja koulutus – tilien luominen, harjoitusten ja kartoitusten suorittaminen, edistymisen seuranta ja opettajien pääsy opiskelijoidensa tuloksiin. Oikeusperuste: koulun lakisääteisen koulutustehtävän suorittaminen (GDPR 6 art. 1 e kohta), tai yksityisten koulujen osalta sopimus koulun kanssa (GDPR 6 art. 1 b kohta).
• Palvelun toiminta, tietoturva ja tuki – palvelun pitäminen turvallisena, toimivana ja saavutettavana. Oikeusperuste: oikeutettu etu (GDPR 6 art. 1 f kohta).
• Lakisääteiset velvoitteet – esim. koulun arkistointivelvoitteet arvosanojen ja opintotulosten osalta. Oikeusperuste: lakisääteinen velvoite (GDPR 6 art. 1 c kohta).

Opiskelijoiden tietojen käsittely tapahtuu koulun tehtävän puitteissa ja katsotaan tarpeelliseksi opetuksen järjestämiseksi. Emme käytä suostumusta oikeusperusteena emmekä koskaan myy henkilötietoja. Automaattista päätöksentekoa tai profilointia ei tapahdu (GDPR 22 art.).

4. Säilytys, siirrot ja tietoturva

Tiedot tallennetaan Turso-pilvitietokantaan, jonka palvelinalue on Irlanti (AWS eu-west-1), ja sovellus toimii Railwaylla Amsterdamissa (Alankomaat), molemmat EU/ETA-alueella. Kuvat ja mediatallenteet säilytetään Cloudflarella (R2).

Palveluntarjoajat (Google, Railway ja Cloudflare) ovat yhdysvaltalaisia yhtiöitä. Tietojen siirto Yhdysvaltoihin voi tapahtua kirjautumisen, tallennuksen tai teknisen tuen yhteydessä, ja se suojataan EU:n ja Yhdysvaltojen välisen Data Privacy Framework -järjestelyn sekä GDPR:n mukaisten vakiosopimuslausekkeiden (SCC) avulla. Kaikkien alihankkijoiden kanssa on solmittu GDPR:n mukaiset tietojenkäsittelysopimukset (DPA).

Kaikki liikenne on salattu (TLS). Pääsy tietoihin on tiukasti rajattu: opiskelija näkee vain omat tuloksensa, opettaja vain oman koulunsa opiskelijoiden tulokset, ja kaikki tieto on teknisesti eristetty koulukohtaisesti. Pääsy vaatii kirjautumisen, ja istunnot vanhenevat automaattisesti. Henkilötietojen tietoturvaloukkauksesta Jonas Westerlund ilmoittaa rekisterinpitäjänä toimivalle koululle ilman aiheetonta viivytystä.

5. Luovuttaminen kolmansille osapuolille

• Google – Google-tilillä kirjautumista varten (nimi, sähköpostiosoite ja Google-tilin tunniste siirretään kirjautumisen yhteydessä). Google käsittelee näitä tietoja oman tietosuojakäytäntönsä mukaisesti.
• Turso – tietokannan ylläpitäjänä (palvelimet Irlannissa, EU-alueella).
• Railway – sovelluksen ylläpitäjänä (palvelimet Alankomaissa, EU-alueella).
• Cloudflare – kuvien ja median tallennuksessa sekä jakelussa (R2).

Tietoja jaetaan vain koulusi sisällä ja yllä mainittujen palveluntarjoajien kanssa. Tietoja ei myydä eikä luovuteta mainosverkostoille.

6. Säilytysaika ja poistaminen

Tietoja säilytetään niin kauan kuin tili on aktiivinen ja koulu tarvitsee niitä opetukseen. Kun opiskelija valmistuu, tiedot säilytetään, kunnes tili poistetaan tai koulu pyytää poistamista.

Jos opiskelija poistetaan koulusta, tili ja tiedot säilytetään, jotta tili voidaan liittää uudelleen. Poistamisen suorittaa manuaalisesti Jonas Westerlund koulun tai rekisteröidyn pyynnöstä (ks. kohta 7). Poistetut tiedot voivat säilyä palautuskopioissa (point-in-time restore) enintään kymmenen (10) päivän ajan.

7. Oikeutesi

Sinulla on oikeus:

• saada pääsy sinua koskeviin tietoihin (tarkastusoikeus),
• saada virheelliset tiedot oikaistuiksi,
• saada tiedot poistetuiksi (”oikeus tulla unohdetuksi”),
• rajoittaa käsittelyä tietyissä tapauksissa,
• saada tietosi koneellisesti luettavassa muodossa (tietojen siirrettävyys),
• vastustaa oikeutettuun etuun perustuvaa käsittelyä,
• tehdä valitus tietosuojavaltuutetun toimistolle (tietosuoja.fi), jos katsot, että käsittely rikkoo GDPR:ää.

Ota yhteyttä kouluusi käyttääksesi oikeuksiasi. Koulu voi myös olla meihin yhteydessä osoitteessa kontakt@aritmetik.fi. Vastaamme kuukauden kuluessa.

8. Evästeet

Aritmetik käyttää vain kirjautumiseen ja istuntoon tarvittavia evästeitä (istuntoeväste sekä väliaikaiset evästeet Google-kirjautumisen aikana). Emme käytä evästeitä analytiikkaan, markkinointiin tai kolmannen osapuolen seurantaan.

9. Lasten yksityisyys

Aritmetikia käyttävät koulun opiskelijat. Koska käsittely tapahtuu koulun tehtävän puitteissa, koulu vastaa huoltajien tiedottamisesta. Huoltajien, joilla on kysymyksiä tai jotka haluavat käyttää lapsensa oikeuksia, tulee ottaa ensisijaisesti yhteyttä kouluun.

10. Tämän selosteen muutokset

Tätä selostetta voidaan päivittää. Merkittävistä muutoksista ilmoitetaan palvelussa tai koulun kautta. Viimeisimmän päivityksen päivämäärä näkyy sivun yläosassa.