Personvern i VOKZ

Kort fortalt

• Skolen din (kommunen eller fylkeskommunen) bestemmer hvorfor og hvordan opplysningene brukes. VOKZ drifter verktøyet på skolens vegne.
• Vi behandler ikke fødselsnummer og ikke hjemmeadresse.
• Opplysninger selges aldri, brukes ikke til reklame og brukes ikke til å trene KI-modeller.
• Når KI foreslår en karakter, er det bare et forslag. En lærer vurderer og bestemmer alltid selv.
• Prøve- og skriveøktbesvarelser slettes automatisk 14 dager etter at de er levert eller låst. Besvarelser som verken er levert eller låst, omfattes ikke av fristen.
• Flagger KI-moderasjonen alvorlig bekymringsinnhold, lagres kategori, tidspunkt og en intern kobling til eleven, aldri elevteksten. Læreren varsles, men får ikke vite hvem det gjelder.

Rollefordeling

Ved skoleavtale er skolen eller kommunen behandlingsansvarlig, mens VOKZ (enkeltpersonforetak, org.nr 837 538 742) er databehandler. VOKZ behandler personopplysninger bare etter dokumenterte instrukser fra skoleeier, regulert i databehandleravtale etter personvernforordningen artikkel 28.

Rettslig grunnlag

Behandlingen bygger på personvernforordningen artikkel 6 nr. 1 bokstav e: skolens lovpålagte oppgave med å gi opplæring, jf. opplæringslova. Den bygger ikke på samtykke. 13-årsgrensen for samtykkebaserte nettjenester er derfor ikke avgjørende her. Foresatte har rett til informasjon og kan bruke rettighetene sine gjennom skolen.

Opplysninger som behandles

• Navn, skole-e-post, Feide-tilknytning, rolle og klasse eller gruppe.
• Det eleven selv skriver i oppgaver, skriveøkter og dialog med språkroboter.
• KI-genererte vurderingsforslag som læreren bekrefter eller forkaster.
• Moderasjonsvarsler når KI-moderasjonen flagger alvorlig bekymringsinnhold: kategori, tidspunkt og skole, med en intern kobling til eleven. Se eget punkt under.
• Tilretteleggingsprofil for elever der læreren har satt den opp: opplesing på eller av, utvidet tid (25, 50 eller 100 prosent), dysleksivennlig skrift på eller av, fargefilter, hvilken lærer som satte profilen, og når den sist ble endret.
• Bruks- og aktivitetsdata for framdrift, drift og feilsøking.

Tilretteleggingsprofilen brukes bare til å gi eleven de innstillingene som er avtalt, automatisk i prøver og skriveøkter. Den inneholder ingen diagnose og ingen begrunnelse, og det er ikke mulig å skrive fritekst i den. Innstillingene kan likevel si noe om at eleven har behov for tilrettelegging, og profilen har derfor begrenset innsyn: den er synlig for eleven selv og for elevens lærer, ikke for medelever.

Vi behandler ikke fødselsnummer og ikke hjemmeadresse, og vi ber ikke om helseopplysninger eller andre særlige kategorier personopplysninger. Elever og lærere skal ikke skrive sensitive opplysninger om seg selv eller andre i fritekstfelt eller til språkroboter. Ett unntak oppstår likevel automatisk: et moderasjonsvarsel om alvorlig bekymringsinnhold er i seg selv en opplysning om elevens helse etter personvernforordningen artikkel 9. Hvordan det behandles, står i punktet om moderasjonsvarsler under.

KI uten automatiske avgjørelser

KI brukes til veiledning, språkroboter og retteforslag. Tekst sendes server-til-server til KI-leverandøren for behandling og brukes ikke til å trene modeller. Karakterforslag er ikke en automatisert avgjørelse etter personvernforordningen artikkel 22: en lærer vurderer alltid forslaget og setter selv karakteren. Plattformen har i tillegg innholdsmoderering med varsling ved bekymringsinnhold, og KI-kvoter per bruker og skole som begrenser misbruk. Moderasjonsvarsler er beskrevet i eget punkt under.

Moderasjonsvarsler ved bekymringsinnhold

Det en elev skriver til en språkrobot, kontrolleres automatisk av KI-leverandørens moderasjonstjeneste før eleven får svar. Selve elevteksten lagres ikke i denne kontrollen. Svarer ikke moderasjonstjenesten, går meldingen videre uten kontroll, slik at undervisningen ikke stopper opp. Er innholdet alvorlig, for eksempel om selvskading, seksuelt innhold om mindreårige eller grov vold, lagrer VOKZ et varsel med moderasjonskategori, tidspunkt og skole, samt en intern kobling til eleven. Elevteksten lagres aldri i varselet.

Alt flagget innhold, også det som ikke regnes som alvorlig, skrives i tillegg til driftsloggen hos driftsleverandøren (Vercel), med bruker-id og moderasjonskategori, aldri med elevtekst. Driftsloggen brukes bare til drift og feilsøking, er tilgjengelig for VOKZ som databehandler, og oppbevares etter driftsleverandørens standard loggtid.

Formålet er barnesikkerhet: et alvorlig signal skal ses av et menneske samme dag. En slik konklusjon om en elev er en særlig kategori personopplysning (helseopplysning) etter personvernforordningen artikkel 9. Skoleeier behandler den etter artikkel 6 nr. 1 bokstav e og artikkel 9 nr. 2 bokstav g, jf. personopplysningsloven § 9 og skolens plikt til å følge med og gripe inn for et trygt og godt skolemiljø etter opplæringslova. Grunnlaget fastsettes av skoleeier og dokumenteres i databehandleravtalen.

Varselet er anonymt for læreren. Læreren ser at en elev blant sine egne elever er flagget, med kategori og tidspunkt, men ikke hvem det er. Den interne koblingen brukes bare til å avgjøre hvilken lærer som skal se varselet, og hentes ikke fram i lærerens visning. Det sendes i tillegg et e-postvarsel til en fast varslingsadresse, ikke til lærerens egen e-post, med kategori og tidspunkt og uten navn, klasse eller elevtekst, slik at signalet fanges opp samme dag. Læreren kvitterer for at varselet er sett, og kvitteringen lagres. Oppfølgingen av den enkelte eleven skjer gjennom skolens egen rutine for bekymringsmeldinger, ikke i VOKZ.

Moderasjonsvarsler har i dag ingen automatisk slettefrist. De slettes på instruks fra skoleeier, og en fast frist fastsettes sammen med skoleeier. Varselet inneholder ingen elevtekst.

Underleverandører

VOKZ deler ikke personopplysninger med tredjeparter for deres egne formål. Disse underdatabehandlerne brukes for å drifte tjenesten:

Skoleeier varsles ved endringer i listen, i tråd med databehandleravtalen.

I tillegg mottar noen tjenester opplysninger uten å være databehandlere for VOKZ. Når læreren kjører kildesjekk på en levering, sendes utdrag av elevteksten, inntil seks nøkkelord eller én frase på inntil tolv ord, til Store norske leksikon (snl.no, Norge) og til Wikipedia (Wikimedia Foundation, USA) for å finne mulige kilder, og til OpenAI, som i dag kjører nettsøk ved hver kildesjekk. Frasen avkortes til 500 tegn i kallet til OpenAI. Elevens navn og hele besvarelsen sendes aldri.

I voksenliv-simuleringen kan eleven be om å få beregnet reisevei mellom boligadressen og jobbadressen hen selv har skrevet inn i oppdraget. De to adressene sendes da fra VOKZ-serveren til Nominatim hos OpenStreetMap Foundation for å finne koordinater, og koordinatene videre til den åpne rutetjenesten OSRM (router.project-osrm.org). Elevens navn og IP-adresse sendes ikke. Klikker eleven selv lenken til reiseruten i Google Maps, mottar Google begge adressene og elevens IP-adresse. Adressefeltene er ment for oppdragets adresser, ikke for elevens egen bostedsadresse. Behandlingssted og overføringsgrunnlag for Nominatim og OSRM er under avklaring, og opplyses her så snart det er på plass.

Enkelte sider laster også innhold direkte i elevens nettleser: skrifttyper fra Google Fonts på språkrobotsidene og på Min VOKZ-siden «Åpnet av lærer», og foto fra Pexels i Quiz-Bot. Disse mottar da elevens IP-adresse og nettlesertype, men ikke navn, innlogging eller besvarelser.

Overføring utenfor EØS

Hovedregelen er behandling og lagring i EU/EØS. Supabase og Vercel er satt opp med EU-lagring. For KI-behandling hos OpenAI er EU-datalagring under oppsett og ennå ikke aktiv. Inntil den er på plass, kan OpenAIs globale endepunkt (USA) benyttes. Slik overføring skjer på grunnlag av EU-kommisjonens standardavtaler (SCC) supplert med en overføringsvurdering (TIA). Skoleeier kan be om mer informasjon om overføringsgrunnlaget.

All e-post fra tjenesten sendes i dag gjennom Resend (USA) på leverandørens globale endepunkt. Under avklaring: overføringsgrunnlaget for Resend er ikke ferdig dokumentert, og hvilken region Upstash-databasen kjører i, er ikke bekreftet i denne oversikten. Begge deler opplyses her så snart de er på plass. Skoleeier kan be om status før avtaleinngåelse.

Lagring og sletting

• Når en prøve eller skriveøkt er levert eller låst, slettes elevteksten, skriveloggen fra økten og KI-rettingene automatisk 14 dager etter levering eller låsing. Ryddingen kjøres av en jobb som går hvert døgn, normalt ved første kjøring etter at fristen er passert.
• Igjen står en rad uten tekst: tidspunkt, ordtall, tegntall og aktiv skrivetid. VOKZ er ikke lagringssted for innleveringer; det som skal dokumenteres, må læreren hente ut før fristen.
• Når læreren avslutter økten, låses besvarelser som ikke er levert, og fristen løper fra låsingen. Besvarelser som verken blir levert eller låst, for eksempel i en økt som aldri avsluttes, omfattes ikke av 14-dagersfristen. De slettes når læreren sletter økten, eller når elevens konto eller klassen slettes.
• Kvitteringen som beholdes for verifisering, inneholder ikke elevtekst, men elevens navn, klasse, oppgavetittel, ordtall og tidspunkt. Den har ingen automatisk slettefrist og slettes på instruks fra skoleeier.
• Konto- og aktivitetsdata, tilretteleggingsprofiler og moderasjonsvarsler har i dag ingen automatisk slettefrist. De slettes etter skoleeiers instruks, og det skjer ingen automatisk opprydding ved skoleårsslutt.
• Ved avsluttet avtale slettes eller tilbakeleveres personopplysninger, også hos underdatabehandlere.

Sikkerhet

• Feide-innlogging der skolen har aktivert det.
• Radnivåsikkerhet (RLS) i databasen: brukere ser bare data de skal se.
• Kryptert kommunikasjon med HTTPS/TLS.
• Hastighetsbegrensning og KI-kvoter per bruker og skole.
• Tilgang etter tjenstlig behov, ingen annonser og ingen videresalg av elevdata.

Informasjonskapsler

Plattformen bruker bare nødvendige informasjonskapsler: innloggings- og øktkapsler samt sikkerhetskapsler. Disse krever ikke samtykke. Det brukes ikke kapsler til markedsføring eller sporing på tvers av nettsteder.

Dine rettigheter

Elever, og foresatte på vegne av mindreårige, har rett til innsyn, retting, sletting, begrensning og protest. Fordi skoleeier er behandlingsansvarlig, rettes henvendelser som hovedregel til skolen eller skoleeiers personvernombud. VOKZ bistår skoleeier med å oppfylle rettighetene. Du kan også klage til Datatilsynet: datatilsynet.no.