Slik jobber vi med GDPR

Pomelo er utformet med personvern som et grunnprinsipp. Her beskriver vi hvordan vi håndterer personopplysninger, hvor data lagres og hvilke tiltak vi iverksetter for å beskytte personvernet til brukerne våre.

Ettersom mange av brukerne våre er barn, har vi lagt ekstra vekt på å holde datainnsamlingen minimal og på at informasjonen skal være forståelig også for yngre elever.

Hvilke personopplysninger lagrer vi?

Vi lagrer bare de opplysningene som trengs for at tjenesten skal fungere:

• Navn — for å identifisere brukeren i systemet
• E-postadresse — for innlogging og varslinger
• Fødselsdato (valgfritt) — hvis skolen oppgir det, for å tilpasse innhold etter aldersgruppe

Vi samler ikke inn særlige kategorier av personopplysninger (såkalte sensitive personopplysninger) som helseopplysninger, etnisk opprinnelse eller politisk oppfatning. Det finnes ingen profilbilder, hjemmeadresser eller telefonnumre i systemet.

Hvorfor behandles opplysningene?

Personopplysninger behandles for å:

• Muliggjøre innlogging og identifisere unike brukere
• Sikre at avstemninger skjer korrekt (én stemme per elev)
• Sende varslinger på e-post
• Tilpasse innhold etter aldersgruppe

Skolen behandler personopplysninger med grunnlag i sin oppgave av allmenn interesse etter den svenske skoleloven (artikkel 6 nr. 1 bokstav e i GDPR). Pomelo behandler opplysningene som databehandler på oppdrag fra skolen.

Hvordan håndteres elevenes svar?

Elevenes personvern er sentralt i måten Pomelo er bygget på:

• Anonyme spørreskjemaer — Når elever svarer på undersøkelser om læringsmiljøet ("Exit ticket"), lagres svarene helt uten kobling til den enkelte eleven. Læreren ser bare aggregerte resultater for klassen som helhet.
• Anonyme avstemninger — Klasseavstemninger lagres uten brukerinformasjon. Det er ikke mulig å se hvem som har stemt på hva.
• Klasseprosjekt — I det strukturerte arbeidet med klasseprosjekt kan svar kobles til enkeltelever internt i systemet for å muliggjøre oppfølging. Læreren ser likevel bare sammenstilte resultater på gruppenivå i grensesnittet.

Hvor lenge lagres opplysningene?

Personopplysninger lagres så lenge skolen har avtale med oss. Når avtalen opphører, slettes alle data.

I avtaleperioden er skolen ansvarlig for å administrere elevopplysninger, inkludert å fjerne elever som slutter eller bytter skole.

Hvor lagres data?

Hele Pomelo-plattformen driftes hos Elastx, et svensk hostingselskap med datasentre i Sverige. Det innebærer at:

• Alle data blir værende i Sverige
• Driften håndteres av et svensk selskap som er underlagt svensk lov
• Ingen data omfattes av utenlandsk lovgivning som den amerikanske CLOUD Act

Vi bruker ingen utenlandske skytjenester for drift eller datalagring av plattformen.

Underleverandører

Tjeneste	Leverandør	Formål	Datasted	Delte opplysninger
Hosting og database	Elastx (Sverige)	Drift av plattformen	Sverige	Alle
E-postutsending	Brevo (EU)	Transaksjonsmeldinger, f.eks. innloggingskoder	EU	Kun e-postadresse

Hvem er behandlingsansvarlig?

Skolen som bruker Pomelo er behandlingsansvarlig for personopplysningene som håndteres i systemet. Yuzu Educational Thinking AB (svensk org.nr. 559558-8137), som utvikler og drifter Pomelo, opptrer som databehandler.

Det inngås en databehandleravtale med hver kunde.

Rettighetene dine

Som bruker har du rett til å:

• Få innsyn i opplysningene vi lagrer om deg
• Be om retting av uriktige opplysninger
• Be om sletting av opplysningene dine

Avhengig av hvilket rettslig grunnlag som gjelder, kan du også ha rett til å be om begrensning av behandlingen eller protestere mot den. Kontakt skolen din for mer informasjon.

Er du misfornøyd med hvordan personopplysningene dine håndteres, har du rett til å klage til tilsynsmyndigheten. I Norge er det Datatilsynet; for behandlingen hos Yuzu er den svenske tilsynsmyndigheten Integritetsskyddsmyndigheten (IMY).

Kontakt skolens administrator eller oss direkte på support@hejpomelo.se for å utøve rettighetene dine.

Informasjonskapsler

Vi bruker én teknisk nødvendig informasjonskapsel for å holde deg innlogget. Ingen sporingskapsler eller tredjepartskapsler brukes.

Automatiserte avgjørelser

Pomelo tar ingen automatiserte avgjørelser som påvirker brukere. All aggregering og sammenstilling av resultater skjer for å gi lærere og skoleledelse et beslutningsgrunnlag – ikke for å ta avgjørelser automatisk.

Dokumentasjon for IT og personvernombud

Underlaget som etterspørres ved anskaffelse og gjennomgang, er offentlig tilgjengelig uten innlogging:

• Tekniske og organisatoriske sikkerhetstiltak (TOM) — tilgangskontroll, kryptering, drift og datasted, sikkerhetskopiering, logging, hendelseshåndtering og underdatabehandlere. Utgjør vedlegg til databehandleravtalen.
• Behovsvurdering av konsekvensvurdering (DPIA) — screening mot artikkel 35 nr. 1 i GDPR, med vurdering mot EDPBs ni høyrisikokriterier. Underlag til dere som behandlingsansvarlig; avgjørelsen er deres.
• Anonymitet og datahåndtering i spørreskjemaer — hva som faktisk lagres når elever svarer, og hvorfor svarene ikke kan kobles til en elev.

Trenger dere databehandleravtalen eller den utfyllbare versjonen av DPIA-screeningen, kontakt oss på support@hejpomelo.se.

Har du spørsmål?

Kontakt oss på support@hejpomelo.se hvis du har spørsmål om hvordan vi håndterer personopplysninger.