Personvernerklæring for SkoleChat

1. Om Tjenesten

SkoleChat er en AI-basert chatbot utviklet for å støtte læring. Målgruppen er:

• Elever i videregående skole
• Studenter ved universitet og høyskole
• Lærere

Tjenesten selges direkte til sluttbruker (B2C) og leveres ikke gjennom skoler eller utdanningsinstitusjoner. SkoleChat opptrer som selvstendig behandlingsansvarlig for alle personopplysninger som behandles gjennom Tjenesten, og ikke som databehandler for skoler.

2. Personopplysninger vi behandler

2.1 Kontoopplysninger

Når du oppretter en bruker, behandler vi følgende opplysninger:

• E-postadresse
• Navn (kun dersom du logger inn med Google og deler navnet ditt)
• En systemgenerert bruker-ID

Vi lagrer ikke passord. Innloggingsdetaljer håndteres av vår autentiseringsleverandør, Supabase Auth.

2.2 Bruksdata

Når du bruker Tjenesten, behandler og lagrer vi:

• Innholdet i meldingene du sender til chatboten
• AI-genererte svar som returneres til deg
• Tidspunkt for meldinger
• Brukerpreferanser (for eksempel valg av AI-modell og lyst/mørkt tema)

2.3 Opplysninger vi ikke samler inn

Vi har bevisst begrenset hvilke data vi samler inn. Vi behandler ikke:

• IP-adresser
• Enhetsinformasjon
• Nettleserinformasjon (user agent, operativsystem og lignende)
• Analyse- eller sporingsdata
• Markedsførings- eller annonseidentifikatorer

3. Formål og rettslig grunnlag for behandlingen

Vi behandler personopplysninger kun for følgende formål, og hvert formål er forankret i et eget rettslig grunnlag etter GDPR artikkel 6:

Vi bruker ikke personopplysningene dine til:

• Trening, finjustering eller forbedring av AI-modeller (verken egne eller tredjeparts)
• Markedsføring eller reklame
• Profilering eller automatiserte avgjørelser med rettsvirkning eller tilsvarende betydelig virkning for deg
• Analyse eller atferdssporing

4. Slik flyter dataene gjennom Tjenesten

For å være åpne om hvordan Tjenesten fungerer teknisk, beskriver vi her hvordan en chat-melding behandles:

1. Du skriver en melding i SkoleChats nettløsning (frontend).
2. Meldingen sendes til en edge-funksjon hos Netlify (serverløs funksjon basert på AWS Lambda-infrastruktur).
3. Edge-funksjonen videresender meldingsinnholdet til en av våre AI-leverandører (OpenAI eller Anthropic), avhengig av hvilken modell du har valgt.
4. AI-leverandøren genererer et svar som streames tilbake via edge-funksjonen til nettleseren din.
5. Meldingen din og AI-svaret krypteres deretter og lagres i Supabase-databasen vår.

Viktige presiseringer:

• Vi gjennomfører ikke server-side streaming på egne servere. Streaming skjer direkte mellom edge-funksjonen og nettleseren din.
• Vi sender ikke personidentifiserbare opplysninger (som e-postadresse eller navn) til OpenAI eller Anthropic. Det er kun innholdet i selve meldingen som sendes. Det er brukers ansvar å sørge for å unngå å dele personopplysninger til Tjenesten.
• AI-leverandørene kan behandle meldingsinnholdet midlertidig for å generere svar. I henhold til deres standard API-vilkår brukes ikke API-input til å trene modellene.

5. Lagring og sikkerhet

5.1 Hvor dataene lagres

Kontodata og samtalehistorikk lagres i en Supabase-database som hostes i Sverige (EU/EØS). For overføring av data til tredjeland se under § 7.

5.2 Kryptering

Chat-meldinger krypteres før de skrives til databasen. Dette betyr at meldingsinnhold ikke vil være lesbart for utenforstående selv om noen skulle få uautorisert tilgang til databasen.

Viktig presisering: Kryptering skjer i dag med en statisk krypteringsnøkkel. Nøkkelen er tilgjengelig for utviklerne som drifter Tjenesten. Det innebærer at:

• Meldingene dine er beskyttet mot eksterne lekkasjer og uautorisert tilgang fra tredjepart.
• Behandlingsansvarlig har imidlertid teknisk mulighet til å dekryptere og lese meldingsinnhold dersom det er nødvendig (for eksempel for å besvare en lovlig anmodning, etterforske misbruk eller yte brukerstøtte).

5.3 Øvrige sikkerhetstiltak

• All trafikk mellom nettleseren din og infrastrukturen vår krypteres under overføring med TLS (HTTPS).
• Autentisering håndteres av Supabase Auth med bransjestandard JWT-tokens.
• Tilgang til produksjonssystemer er begrenset til autorisert personell.

Ingen sikkerhetsløsning kan garantere fullstendig beskyttelse. Dersom du oppdager en sikkerhetsfeil, ber vi deg kontakte aleksander@skolechat.no umiddelbart.

5.4 Varsling ved brudd på personopplysningssikkerheten

Ved brudd på personopplysningssikkerheten som kan medføre risiko for dine rettigheter og friheter, vil vi varsle Datatilsynet uten ugrunnet opphold, jf. GDPR artikkel 33. Dersom bruddet medfører høy risiko for deg som er registrert, vil du også få direkte varsel, jf. GDPR artikkel 34.

6. Tredjeparter og databehandlere

Vi benytter følgende tredjepartsleverandører for å levere Tjenesten. Disse behandler personopplysninger på våre vegne, eller, når det gjelder AI-leverandører, mottar innholdet i meldinger du sender.

6.1 Infrastrukturleverandører

• Supabase Inc. – Autentisering, database (kontodata, samtalehistorikk, preferanser). Lagringsregion: Sverige (EU/EØS).
• Netlify Inc. – Hosting av frontend og edge-funksjoner (serverløs ruting av meldinger). Hvor edge-funksjonene kjører bestemmes automatisk av Netlify og kan skje utenfor EU/EØS.

6.2 AI-leverandører

• OpenAI, L.L.C. – Genererer AI-svar når du velger en OpenAI-modell. Behandler kun meldingsinnhold.
• Anthropic, PBC – Genererer AI-svar når du velger en Anthropic-modell. Behandler kun meldingsinnhold.

6.3 Databehandleravtaler

Vi har inngått databehandleravtaler (Data Processing Agreements / DPA-er) etter GDPR artikkel 28 med samtlige leverandører ovenfor (Supabase, Netlify, OpenAI og Anthropic). Avtalene fastsetter blant annet at leverandøren opptrer som databehandler og kun behandler personopplysninger etter våre dokumenterte instruksjoner, leverandørens taushetsplikt, krav til tekniske og organisatoriske sikkerhetstiltak, bruk av underleverandører (med rett for oss til å protestere), bistand ved henvendelser om de registrertes rettigheter, varsling ved brudd på personopplysningssikkerheten, samt sletting eller tilbakelevering av data ved opphør av avtalen. Avtalene inneholder også EUs standard personvernbestemmelser (SCC) som overføringsgrunnlag for behandling utenfor EØS.

7. Overføring av personopplysninger til tredjeland

Kontodata og samtalehistorikk lagres innenfor EØS, nærmere bestemt i Sverige.

Enkelte deler av behandlingen innebærer likevel overføring til land utenfor EØS, blant annet USA:

• OpenAI og Anthropic behandler API-forespørsler i infrastruktur som kan ligge utenfor EØS, herunder i USA.
• Netlify sine edge-funksjoner kan kjøre i regioner utenfor EØS avhengig av geografisk nærmeste punkt.

Når personopplysninger overføres til tredjeland, baserer vi oss på følgende overføringsgrunnlag etter GDPR kapittel V:

• Standard personvernbestemmelser (SCC) fastsatt av EU-kommisjonen (gjennomføringsbeslutning (EU) 2021/914), som inngår i databehandleravtalene vi har inngått med Supabase, Netlify, OpenAI og Anthropic.
• EU-U.S. Data Privacy Framework, der mottakeren er sertifisert under rammeverket.
• Supplerende tekniske og organisatoriske tiltak, herunder at vi ikke sender personidentifiserbare opplysninger (som e-postadresse) til AI-leverandørene.

Du kan be om mer informasjon om disse garantiene ved å kontakte aleksander@skolechat.no.

8. Lagringstid og sletting

Vi har per i dag ikke etablert automatiske lagringsperioder. Kontoen og samtalehistorikken din vil derfor bli lagret inntil:

• Du selv ber om sletting av kontoen eller bestemte opplysninger, eller
• Behandlingsansvarlig sletter inaktive kontoer (med rimelig forhåndsvarsel der det er mulig).

Du kan når som helst be om sletting ved å sende e-post til aleksander@skolechat.no. Sletteforespørsler behandles manuelt og besvares uten ugrunnet opphold, og senest innen én måned etter at vi mottok forespørselen, jf. GDPR artikkel 12 nr. 3.

Enkelte opplysninger kan likevel oppbevares lenger dersom det følger av lov, for eksempel regnskapsloven, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.

9. Dine rettigheter etter GDPR

Som registrert har du følgende rettigheter:

• Rett til informasjon og innsyn (art. 13–15): Du kan be om en kopi av personopplysningene vi behandler om deg.
• Rett til retting (art. 16): Du kan be om at uriktige eller ufullstendige opplysninger rettes.
• Rett til sletting («retten til å bli glemt») (art. 17): Du kan be om at personopplysningene dine slettes.
• Rett til begrensning av behandlingen (art. 18): Du kan be om at vi begrenser behandlingen av opplysningene dine.
• Rett til dataportabilitet (art. 20): Du kan be om å få utlevert opplysningene i et strukturert, maskinlesbart format.
• Rett til å protestere (art. 21): Du kan protestere mot behandling som er basert på berettiget interesse.
• Rett til å trekke samtykke (art. 7 nr. 3): Der behandlingen er basert på samtykke, kan du når som helst trekke samtykket tilbake. Tilbakekall påvirker ikke lovligheten av behandlingen som ble utført før tilbakekallet.
• Rett til ikke å være gjenstand for automatiserte avgjørelser (art. 22): Vi tar ikke avgjørelser med rettslig eller tilsvarende vesentlig virkning utelukkende basert på automatisert behandling.

For å utøve rettighetene dine, ta kontakt på aleksander@skolechat.no. Vi kan be om at du bekrefter identiteten din før vi besvarer forespørselen. Vi svarer uten ugrunnet opphold og senest innen én måned.

Klage til Datatilsynet

Dersom du mener at vi behandler personopplysninger i strid med personvernregelverket, har du rett til å klage til Datatilsynet:

Vi setter pris på at du kontakter oss først, slik at vi kan forsøke å løse saken direkte.

10. Informasjonskapsler (cookies) og lokal lagring

10.1 Cookies

Vi bruker informasjonskapsler kun til strengt nødvendige formål, nærmere bestemt:

• Autentiserings- og sesjonshåndtering (JWT-tokens) slik at du forblir innlogget.

Vi bruker ikke cookies til analyse, sporing, reklame eller profilering.

Etter ekomloven § 2-7b og personvernforordningen kreves det ikke aktivt samtykke for strengt nødvendige informasjonskapsler, men du har likevel krav på å bli informert om bruken. Denne erklæringen oppfyller den informasjonsplikten. En informasjonskapsel-banner med detaljert oversikt vil bli innført i Tjenesten.

10.2 Lokal lagring (local storage)

Vi lagrer enkelte data lokalt i nettleseren din for å gi deg en bedre brukeropplevelse. Lokal lagring brukes ikke til sporing eller identifikasjon på tvers av nettsteder.

11. Barn og mindreårige

Tjenesten er rettet mot brukere som er 16 år eller eldre. Vi oppretter ikke bevisst brukerkontoer for barn under 13 år.

Etter personopplysningsloven § 5 er aldersgrensen for å kunne samtykke til behandling av personopplysninger i forbindelse med informasjonssamfunnstjenester satt til 13 år i Norge. For behandling som baseres på samtykke for barn under denne alderen, kreves samtykke fra den som har foreldreansvar.

Tjenesten leveres direkte til sluttbruker (ikke gjennom skole), og vi forutsetter derfor at brukere som registrerer seg er minst 16 år gamle og selv kan inngå brukeravtalen. Dersom du er under 16 år og har opprettet en konto uten foreldres samtykke, ber vi deg kontakte aleksander@skolechat.no, så bistår vi deg.

Dersom du blir oppmerksom på at et barn under 13 år har opprettet en konto, ber vi deg ta kontakt slik at vi kan slette kontoen.

12. Forbehold om AI-generert innhold

Tjenesten benytter store språkmodeller (LLM-er) fra OpenAI og Anthropic for å generere svar. Du bør være oppmerksom på følgende:

• AI-genererte svar kan være unøyaktige, ufullstendige eller misvisende.
• Tjenesten gir ikke juridisk, medisinsk, finansiell, psykologisk eller annen profesjonell rådgivning.
• Du bør ikke basere deg på AI-genererte svar som erstatning for verifiserte kilder, kvalifiserte fagpersoner eller egen vurdering.
• For skole- og studiearbeid må du følge utdanningsinstitusjonens regler om bruk av AI-verktøy.

13. Sikkerhet og misbruk

Per i dag bruker vi ikke:

• Hastighetsbegrensning (rate limiting) på API-forespørsler
• Automatisk deteksjon av misbruk
• Logging av IP-adresser

Dette er et bevisst valg for å begrense datainnsamlingen. Vi kan komme til å innføre begrensede, personvernvennlige tiltak mot misbruk i fremtiden, og denne erklæringen vil i så fall bli oppdatert. Dersom du oppdager misbruk av Tjenesten, ber vi deg melde fra til aleksander@skolechat.no.

14. Endringer i denne erklæringen

Vi kan oppdatere denne personvernerklæringen ved behov, for eksempel som følge av endringer i Tjenesten, infrastrukturen eller gjeldende regelverk. Ved vesentlige endringer vil vi:

• Oppdatere datoen for «Sist oppdatert» øverst i dokumentet.
• Varsle deg via e-post eller en tydelig melding i Tjenesten dersom endringene har vesentlig betydning for rettighetene dine.

Fortsatt bruk av Tjenesten etter at endringene har trådt i kraft, anses som brukerens aksept av den oppdaterte personvernerklæringen. Dersom brukeren ikke motsetter seg endringene ved å varsle Skolechat skriftlig innen 14 dager fra endringenes ikrafttredelse, regnes endringene som akseptert av brukeren.

15. Behandlingsansvarlig

Behandlingsansvarlig for personopplysningene som behandles gjennom Tjenesten er:

SkoleChat drives per i dag som enkeltpersonforetak og er ikke etablert som aksjeselskap (AS). Vi har ikke utpekt et personvernombud (DPO), da vi ikke er rettslig forpliktet til dette etter GDPR artikkel 37. Henvendelser om personvern rettes til behandlingsansvarlig på e-postadressen ovenfor.

16. Kontakt

Spørsmål, henvendelser eller klager knyttet til denne personvernerklæringen eller behandlingen av personopplysningene dine rettes til: