Personvern og sikkerhet
Personvern i Mattetime
Roller etter personvernforordningen, hvilke opplysninger som behandles, hvor de lagres, og hva vi bevisst ikke gjør.
2 min lesetidOppdatert 8. sep. 2026For skoleadministrator, it-ansvarlig
Innhold
#Roller
- Skoleeier (kommune, fylkeskommune eller privat skoleeier) er behandlingsansvarlig. Rettslig grunnlag er normalt opplæringsloven og offentlig myndighetsutøvelse.
- NiceLab AS er databehandler og behandler bare etter instruks i databehandleravtalen og innstillingene i tjenesten.
For de åpne spillene uten innlogging behandles ingen personopplysninger hos oss: alt skjer i nettleseren.
#Hva som behandles
| Kategori | Eksempler | Retensjon (standard) |
|---|---|---|
| Kundeadministrasjon | Organisasjonsnavn, org.nr, fakturaadresse, kontaktperson | Avtaletid + 5 år (bokføring) |
| Voksne brukere | Navn, e-post, passordhash, kryptert tofaktorhemmelighet, roller, innlogginger | Til bruker slettes + 30 dagers karantene |
| Elevprofil | Fornavn, trinn, klasse, kortkode-hash, tilpasninger | Skoleår + 12 måneder, konfigurerbart |
| Læringsdata | Svar, forsøk, tid og resultat per oppgave | Som elevprofil (rådata 365 dager) |
| Gjestedeltakelse | Selvvalgt alias i én aktivitet | Anonymiseres 24 timer etter avsluttet aktivitet |
| Eksterne identiteter | Feide-id eller Google-id, hvis skolen bruker det | Som bruker |
| Revisjonslogg | Aktør, handling, mål, IP, tidspunkt | 24 måneder |
| Tekniske logger | Request-id, feil, ytelse | 30 dager |
Ingen særlige kategorier. Ingen fødselsnummer, fødselsdato eller e-post for elever.
#Dataminimering som er bygget inn
- Elever registreres med fornavn. Import avviser e-post og tall.
- Kortkoder lagres som hash med skolens id som salt, og kan trekkes tilbake.
- Overordnede nivåer ser aggregater per skole, ikke enkeltbarns svar.
- Fritekst fra elever begrenses til alias ved gjestedeltakelse (maks 30 tegn).
- Ingen automatisert profilering, ingen diagnose, ingen adaptiv «vurdering» av barnet.
#Hvor data lagres
All behandling og lagring skjer i Hetzners datasenter i Helsinki, Finland: applikasjon, database, mellomlager og sikkerhetskopier. Ingen overføring til tredjeland. Underdatabehandlere står i Databehandleravtale, og gjeldende avtaletekst på /personvern/databehandleravtale.
#Det vi ikke gjør
- Ingen annonser.
- Ingen sporingspiksler eller produktanalyse fra tredjepart.
- Ingen salg eller deling av data.
- Ingen innlogging som en annen bruker («impersonering»), heller ikke for NiceLab.
#Rettigheter
| Rettighet | Slik løses den |
|---|---|
| Innsyn | Voksne: selvbetjent eksport. Elever: skolen eksporterer klassen |
| Retting | Navn endres av lærer eller administrator |
| Sletting | Voksne: selvbetjent med 30 dagers karantene. Elever: skolen fjerner eleven |
| Dataportabilitet | JSON-eksport |
Detaljer i Innsyn, eksport og sletting. Foresatte henvender seg til skolen, se Hva lagres om barnet?.
#DPIA
NiceLab leverer et underlag for skoleeiers personvernkonsekvensvurdering: beskrivelse av behandlingen, dataflyt, risikoer og tiltak. Be om det på [email protected].