Databehandleraftale

Parter og formål

Skolen er dataansvarlig for elevdata. Q-Analytics ApS, CVR 42163627, Allerød Stationsvej 4, 3450 Allerød, er databehandler ved levering af skole.bot til skolen.

Aftalen skal beskrive behandling efter GDPR artikel 28: levering af AI-chat og undervisningsstøtte, generering af quizzer og forløbsplaner samt nødvendig drift, adgangsstyring og sikkerhed. Skolen fastlægger de tilladte formål og instrukser. Oplysningerne må ikke bruges til egne, uforenelige formål eller til træning af AI-modeller.

Registrerede og kategorier af data

Aftalens bilag skal afgrænse, hvilke oplysninger om elever, lærere og skolens administratorer der må behandles:

• Identifikations- og adgangsoplysninger, herunder navn, e-mail, bruger-id, rolle og skoletilknytning.
• Indhold, som skolen tillader i tjenesten: spørgsmål, svar, samtaler, undervisningsmaterialer, quizzer og forløbsplaner.
• Nødvendige drifts- og sikkerhedsdata, herunder forbrug, tidsstempler, samtykkeindstillinger og AI-sikkerhedsregistreringer.

Skolen skal tage stilling til dataminimering, elevernes alder og eventuelle særlige datakategorier. CPR-numre, helbredsoplysninger og andre følsomme oplysninger skal ikke indgå, medmindre en særskilt vurdering og instruks udtrykkeligt giver grundlag for det.

Underdatabehandlere og EU-hosting

EU-hosting af skoledata er et krav i aftalen. Løsningen anvender Lovable Cloud til konti og datalagring samt Lovable AI via Lovable (Stockholm) til AI-generering og modelbaserede sikkerhedskontroller.

Skolen skal inden underskrift modtage et aktuelt bilag med de konkrete juridiske leverandører, deres opgaver, datakategorier, behandlingslande og EU-hostingsteder. E-mailleverandører og øvrige leverandører med adgang til skoledata skal også være omfattet. Et leverandørnavn eller en europæisk ejer er ikke i sig selv dokumentation for, hvor data behandles.

Aftalen skal fastlægge skolens godkendelse af underdatabehandlere, varsling af ændringer og mulighed for indsigelse. Behandling eller adgang uden for EU må ikke ske uden særskilt afklaring med skolen og et gyldigt retligt grundlag. Den aktuelle leverandørliste og dokumentation fås via hello@skole.bot.

Sikkerhed og bistand til skolen

Sikkerhedsbilaget skal beskrive de tekniske og organisatoriske foranstaltninger: adgang efter bruger og rolle, fortrolighed, beskyttelse af transport og lagring, logning, sikkerhedskopier samt håndtering af hændelser. Sikkerhedsniveauet skal passe til de oplysninger og risici, skolen har vurderet.

Aftalen skal også regulere vores bistand ved anmodninger om indsigt og sletning, vurdering af risici og konsekvenser samt dokumentation og tilsyn. Ved et brud på persondatasikkerheden skal skolen underrettes uden unødig forsinkelse med de oplysninger, der er nødvendige for skolens videre håndtering.

Varighed, tilbagelevering og sletning

Behandlingens varighed og opbevaringsfrister fastlægges i aftalen. Ved ophør skal skoledata efter skolens valg tilbageleveres eller slettes, medmindre lovgivningen kræver fortsat opbevaring.

Bilagene skal beskrive format og fremgangsmåde for tilbagelevering, frister for sletning, dokumentation for gennemført sletning samt håndtering af kopier hos underdatabehandlere og i sikkerhedskopier. Der angives ikke en generel slettefrist på denne side; skolen skal have de konkrete frister skriftligt.

Få standard-DPA'en til underskrift

Skriv til hello@skole.bot med skolens navn, CVR og kontaktperson. Bed om standarddatabehandleraftalen, underdatabehandlerlisten og sikkerheds- og slettebilagene.

Skolens ledelse eller databeskyttelsesrådgiver kan gennemgå materialet med os, afklare instrukser og få aftalen til underskrift. Del ikke elevdata i henvendelsen. Skolen skal have aftalen og de nødvendige vurderinger på plads, før elevdata tages i brug.