Personvernerklæring ved innlogging via Feide
Kortversjon
- Du (Brukeren) logger inn i Deploii med Feide-brukeren din fra skolen.
- Vi får navnet ditt, e-postadressen tilknyttet Feide-kontoen din, Feide-IDen din, hvilken skole og fylkeskommune du tilhører, og hvilke fag eller grupper du er med i. Vi får ikke fødselsnummeret ditt.
- Disse opplysningene brukes til å gi deg tilgang til tjenesten Deploii, vise hvem data kommer fra når du/dere deler data internt i fylket eller på skolen (om aktivert av administrator), og sende deg viktige beskjeder om tjenesten.
- Det er ikke tillatt å bruke Deploii til å måle eller registrere sensitive opplysninger om deg selv eller andre. Dette kan være personalia, helseopplysninger, video og/eller lydopptak og lignende.
- Du har rett til innsyn, retting og mer angående dine opplysninger i Deploii. Ta fortrinnsvis kontakt med skolen eller skoleeieren din, eller eventuelt med oss direkte.
1. Om denne Persornvernerklæringen
Denne personvernerklæringen forklarer hvordan personopplysninger behandles når elever, studenter, lærere, undervisere og andre ansatte («Brukeren», «du») ved skoler, skoleeiere og høyere utdanningsinstitusjoner («Organisasjonen») bruker IoT-plattformen Deploii («Tjenesten»). Deploii er en skytjeneste for å samle inn, visualisere og lagre sensordata fra mikrokontrollere og andre datakilder, og for å styre mikrokontrollere og andre elektroniske enheter trådløst.
Tjenesten leveres av Company of Things AS («CoT», «vi», «oss»). Erklæringen gjelder for bruk av tjenesten med innlogging via Feide. Den utfyller, men erstatter ikke, personvernerklæringen til organisasjonen du tilhører.
2. Hvem er ansvarlig for personopplysningene dine?
Organisasjonen din er behandlingsansvarlig: Når tjenesten brukes i Organisasjonen, er det Organisasjonen som bestemmer formålet med behandlingen og hvilke midler som skal brukes. Organisasjonen har derfor ansvaret for at behandlingen er lovlig, og er den du i første omgang skal henvende deg til om personvern. Kontaktinformasjon til Organisasjonens personvernombud finner du som oftest på nettsidene deres.
Company of Things er databehandler: Vi behandler personopplysningene på vegne av Organisasjonen og bare etter Organisasjonens dokumenterte instrukser, slik de fremgår av databehandleravtalen mellom oss og Organisasjonen. Vi har ikke rett til å bruke opplysningene til egne formål.
Feide er Kunnskapsdepartementets felles løsning for innlogging i utdanningssektoren og driftes av Sikt. Feide er ikke en del av Deploii. Når du logger inn, overfører Feides bestemte opplysninger om deg fra Organisasjonens brukerkatalog til Tjenesten. Hvilke opplysninger dette er, er godkjent av Organisasjonen i Feides kundeportal.
3. Hvilke personopplysninger behandles?
Tjenesten behandler bare de opplysningene som er nødvendige for å levere den. Oversikten nedenfor viser hvilke opplysninger det gjelder, hvor de kommer fra og hvorfor de trengs.
| Opplysning | Kilde | Hvorfor vi trenger opplysningen |
|---|---|---|
| Navn | Feide | Identifisere deg i tjenesten, tilpasse tjenesten til deg, og vise hvem data kommer fra når lærere og elever deler data med hverandre internt i Organisasjonen. |
| Feide-ID (unik bruker-ID) | Feide | Skille brukere fra hverandre på en sikker måte og knytter deg til riktig konto og lisens. |
| E-postadresse | Feide | Sende deg viktig informasjon om tjenesten, for eksempel planlagt nedetid, sikkerhetsvarsler eller vesentlige endringer. |
| Organisasjonstilhørighet | Feide | Tildele lisenser per organisasjon og sørge for at data bare deles innenfor din egen vertsorganisasjon. |
| Gruppetilhørighet for undervisning (fag, klasser, grupper) | Feide | Reservere lisenser til fag eller grupper, og avgrense datadeling til det enkelte faget. |
| IP-adresse | Din enhet | Sikker drift av tjenesten, feilsøking og oppdaging av misbruk og angrep. |
| Aktivitetslogger (f.eks. tidspunkt for innlogging, oppsett av ny mikrokontroller) | Tjenesten | Sikkerhet, feilsøking, brukerstøtte og dokumentasjon av hvem som har gjort hva. |
| Sensordata, enheter og annet innhold knyttet til kontoen din | Dine enheter | Levere selve tjenesten: innsamling, visualisering, lagring og styring. Se punkt 4. |
Vi behandler ikke fødselsnummer, og tjenesten er ikke laget for å behandle særlige kategorier av personopplysninger, som helseopplysninger, jf. personvernforordningen artikkel 9.
4. Sensordata og innhold du legger inn
Data fra sensorer som måler temperatur, fuktighet, lys, bevegelse og lignende, sier vanligvis ingenting om en person. Når slike data er lagret på kontoen din, eller deles med deg, behandler vi dem likevel med samme beskyttelse som øvrige personopplysninger.
Du skal ikke bruke Deploii til å samle inn opplysninger om personer. Det betyr at du ikke skal lagre data som kan anses som sensitive personopplysninger, f.eks. helsedata, videodata, mikrofondata eller posisjonsdata (GPS) om deg selv eller andre. Tjenesten er ikke vurdert eller sikret for slike data. Likevel kan f.eks. posisjonsdata for en sensorstasjon lagres, eller lydopptak av natur eller generelt støynivå gjøres. Tjenesten skal ikke brukes til å lagre kommunikasjon mellom Brukere. Navn og andre personopplysninger skal ikke manuelt legges ved sensordata sendt til Tjenesten fra en mikrokontroller/kort. Er du usikker spør en ansatt i Organisasjonen din.
5. Formålene med behandlingen
Personopplysningene behandles for følgende formål:
- å gi Brukerne tilgang til tjenesten gjennom Feide, og å administrere lisenser for enkeltbrukere, fag og Organisasjonen;
- å levere tjenestens funksjoner for innsamling, visualisering og lagring av sensordata og for trådløs styring av mikrokontrollere og andre enheter;
- å gjøre det mulig for Brukerne å dele data med hverandre innenfor egen Organisasjon og eget fag, slik administratoren har bestemt;
- å gi administratorer ved Organisasjonen mulighet til å aktivere og deaktivere Brukere og fag/grupper;
- å informere brukerne om nedetid, oppdateringer og annen viktig informasjon om tjenesten;
- å sikre tjenesten, oppdage og håndtere feil, sikkerhetshendelser og misbruk, og gi brukerstøtte.
Opplysningene brukes ikke til markedsføring, reklame, salg til tredjeparter, profilering eller læringsanalyse, og de brukes ikke til å trene kunstig intelligens.
6. Rettslig grunnlag
Organisasjonen behandler personopplysningene for å utføre en oppgave i allmennhetens interesse, nemlig å gi opplæring etter opplæringsloven, jf. personvernforordningen artikkel 6 nr. 1 bokstav e. Det supplerende rettsgrunnlaget, jf. artikkel 6 nr. 3, er opplæringsloven (lov 9. juni 2023 nr. 30) med forskrifter og læreplanverket, som gir Organisasjonen adgang til å behandle personopplysninger når det er nødvendig for å utføre oppgaver etter loven. Bruk av digitale verktøy i opplæringen, herunder programmering og teknologi, er en del av dette.
Fordi behandlingen ikke bygger på samtykke, er det ikke nødvendig at du (eller foresatte) samtykker for at du skal kunne bruke tjenesten i undervisningen. Organisasjonen har ansvaret for å vurdere at behandlingen er nødvendig og forholdsmessig.
7. Hvem kan se opplysningene dine?
Andre brukere ved samme Organisasjon: Når læreren/underviseren eller administratoren har åpnet for deling i et fag eller ved en skole, kan Brukerne i faget eller ved skolen se navnet ditt ved siden av data du deler. Det er alltid ditt valg om du vil dele data, og hvem du vil dele den med. Deling kan ikke gjøres på tvers av Organisasjoner, men der hvor en Organisasjon eier/drifter flere skoler kan deling aktiveres mellom skolene også.
Administratorer ved Organisasjonen: Har tilgang til brukerkatalog og kan se hvilke Brukere som har lisens, og kan aktivere og deaktivere Brukere og grupper. Kan se rolle til Bruker.
Company of Things: Et fåtall autoriserte administratorer hos oss, som har signert taushetserklæring, har tilgang til databasen. De bruker bare tilgangen når det er nødvendig for drift, feilretting, sikkerhet eller brukerstøtte. All tilgang til databasen krever tofaktorautentisering.
Underdatabehandlere: Vi bruker følgende underleverandør, godkjent av Organisasjonen din i databehandleravtalen:
| Navn Org nr. | Adresse og kontaktinfo | Beskrivelse av behandling | Behandlingssted |
|---|---|---|---|
| Dedia AS 918 050 744 | Løkkeveien 115, 9510 Alta Markedsgata 3, 9510 Alta 23 65 25 25 https://www.dedia.no/ | Oppbevaring av data. Tjenesten fra denne underleverandøren er en såkalt VPS – Virtual Private Server. | Oslo, Norge (fysiske servere) Norge (digital tilgang) Norge (backup) |
Nye underleverandører tas bare i bruk etter at fylkeskommunen er varslet og har fått anledning til å protestere, slik databehandleravtalen krever.
Offentlige myndigheter: Opplysninger utleveres bare dersom vi er rettslig forpliktet til det, for eksempel etter pålegg fra politi eller domstol. Organisasjonen blir i så fall varslet så langt loven tillater det.
Vi selger aldri personopplysninger og deler dem ikke med annonsører.
8. Hvor lagres opplysningene?
Alle personopplysninger lagres og behandles i Norge. Opplysningene overføres ikke til land utenfor EØS. Dersom dette noen gang skulle bli aktuelt, krever det skriftlig godkjenning fra Organisasjonen og et gyldig overføringsgrunnlag etter personvernforordningen kapittel V. I et slikt tilfelle ville denne erklæringen bli oppdatert på forhånd.
9. Informasjonssikkerhet
Vi har iverksatt tekniske og organisatoriske tiltak som er tilpasset risikoen ved behandlingen, blant annet:
- all trafikk mellom nettleseren din og Tjenesten er alltid kryptert med TLS;
- all trafikk mellom mikrokontrolleren din og Tjenesten kan ved riktig bruk krypteres med TLS;
- innlogging skjer via Feide, slik at vi ikke lagrer passordet ditt;
- tilgangskontroll i tjenesten sikrer at brukere bare ser data de har rett til å se, og forsøk på å hente ut andre data avvises;
- administratorkontoer med tilgang til lister over Brukere er beskyttet med tofaktorautentisering, og alle med tilgang har taushetsplikt;
- regelmessige sikkerhetskopier lagret i Norge, og periodisk vurdering og testing av sikkerhetstiltakene;
- rutiner for å håndtere avvik. Ved brudd på personopplysningssikkerheten varsler vi Organisasjonen uten ugrunnet opphold, slik at Organisasjonen kan varsle Datatilsynet og deg når det er påkrevd.
10. Hvor lenge lagres opplysningene?
Personopplysninger lagres ikke lenger enn nødvendig for formålene i punkt 5:
- Brukerkonto og profilopplysninger lagres så lenge du har tilgang til tjenesten gjennom Organisasjonen. Opplysningene fra Feide oppdateres hver gang du logger inn. Når Organisasjonen fjerner tilgangen din, slettes kontoen etter Organisasjonens instruks.
- Sensordata og annet innhold lagres til du sletter det, eller til kontoen slettes.
- IP-adresser og aktivitetslogger lagres i inntil 12 måneder og slettes deretter fortløpende, med mindre de trengs lenger for å håndtere en konkret sikkerhetshendelse.
- Sikkerhetskopier av databasen overskrives fortløpende og inneholder bare data for noen dager tilbake i tid.
- Når avtalen med Organisasjonen opphører, tilbakeleveres opplysningene etter Organisasjonens ønske, og alle personopplysninger slettes uten ugrunnet opphold og senest 90 dager etter opphøret. Vi bekrefter slettingen skriftlig overfor Organisasjonen.
11. E-post og varsler
Tjenesten har et internt varslingssystem som du ser når du er logget inn. I tillegg kan vi sende e-post til adressen du har i Feide når det gjelder informasjon du trenger å vite, som planlagt nedetid, sikkerhet eller vesentlige endringer i tjenesten eller i denne erklæringen. Vi sender ikke nyhetsbrev eller markedsføring til Brukerne gjennom tjenesten.
12. Informasjonskapsler (cookies)
Tjenesten bruker bare informasjonskapsler og lignende teknologi som er strengt nødvendige for at den skal fungere, for eksempel for å holde deg innlogget og beskytte mot forfalskede forespørsler. Slike informasjonskapsler krever ikke samtykke etter ekomloven. Vi bruker ikke informasjonskapsler til analyse, sporing eller markedsføring, og vi bruker ingen sporingsverktøy fra tredjeparter.
13. Automatiserte avgjørelser
Det tas ingen avgjørelser om deg som utelukkende er basert på automatisert behandling, og det gjøres ingen profilering, jf. personvernforordningen artikkel 22.
14. Dine rettigheter
Du har følgende rettigheter etter personvernforordningen:
- Innsyn (artikkel 15): du kan få vite hvilke opplysninger som er registrert om deg, og få en kopi.
- Retting (artikkel 16): du kan kreve at uriktige opplysninger rettes. Opplysninger som kommer fra Feide, som navn og skoletilhørighet, må rettes av Organisasjonen i Feide, og blir da oppdatert i tjenesten neste gang du logger inn.
- Sletting (artikkel 17): du kan be om at opplysninger slettes, for eksempel når de ikke lenger er nødvendige. Retten gjelder ikke dersom opplysningene fortsatt er nødvendige for opplæringen.
- Begrensning (artikkel 18): i visse tilfeller kan du kreve at behandlingen begrenses, for eksempel mens det undersøkes om opplysningene er riktige.
- Protest (artikkel 21): du kan protestere mot behandlingen på grunn av din særlige situasjon. Organisasjonen må da vurdere om det finnes tungtveiende grunner til å fortsette.
Retten til dataportabilitet (artikkel 20) gjelder ikke når behandlingen bygger på artikkel 6 nr. 1 bokstav e, men du kan når som helst laste ned dine egne sensordata fra tjenesten.
Slik bruker du rettighetene dine: Kontakt Organisasjonen som er behandlingsansvarlig. Henvendelser som kommer til oss, sender vi videre til Organisasjonen uten ugrunnet opphold, og vi hjelper Organisasjonen med å besvare dem. Du skal få svar uten ugrunnet opphold og som hovedregel innen én måned. Det er gratis å bruke rettighetene dine.
Er du under 18 år, kan du bruke rettighetene dine selv. Foreldre eller foresatte kan også hjelpe deg eller henvende seg på dine vegne.
15. Klage til datatilsynet
Mener du at personopplysningene dine behandles i strid med regelverket, kan du klage til Datatilsynet, jf. personvernforordningen artikkel 77. Vi anbefaler at du først tar kontakt med Organisasjonens personvernombud eller med oss, slik at vi kan prøve å løse saken. Datatilsynet: www.datatilsynet.no, postboks 458 Sentrum, 0105 Oslo.
16. Når Company of Things selv er behandlingsansvarlig
I noen få tilfeller behandler vi personopplysninger for egne formål og er da selv behandlingsansvarlig. Dette gjelder kontaktopplysninger til kontaktpersoner hos Organisasjoner, skoler og andre kunder og samarbeidspartnere, som vi bruker for å inngå og følge opp avtaler, fakturere og kommunisere med kunden. Rettslig grunnlag er vår berettigede interesse i å administrere kundeforholdet, jf. personvernforordningen artikkel 6 nr. 1 bokstav f, og regnskapsloven og bokføringsloven for fakturagrunnlag, jf. artikkel 6 nr. 1 bokstav c. Slike opplysninger lagres så lenge kundeforholdet varer og deretter så lenge lovgivningen krever. Opplysninger om Brukerne som bruker tjenesten, brukes aldri til dette.
17. Endringer i personvernerklæringen
Vi oppdaterer erklæringen når tjenesten, underleverandørene eller regelverket endres. Datoen øverst viser når den sist ble endret. Ved vesentlige endringer varsler vi Organisasjonen og Brukerne i Tjenesten eller på e-post før endringene trer i kraft.
18. Kontakt
Spørsmål om personvern ved Organisasjonen din bør i første omgang rettes til Organisasjonens personvernombud. Du kan også kontakte oss:
Company of Things AS
Org. nr.: 925 604 879
Generelle henvendelser e-post: post@cot.as
Sikkerhetsbrudd eller andre kritiske hendelser:
E-post: adrian@cot.as
Telefon: 984 53 353
Developed with in Trondheim by
