Personvernerklæring

Skolebooking leveres av Codemore AS og er en tjeneste for reservasjon av rom og utstyr for lærere og ansatte. Denne erklæringen beskriver hvordan personopplysninger behandles når du bruker tjenesten eller kontakter oss.

For opplysninger som behandles i skolens kalender, er skoleeieren, for eksempel kommunen, fylkeskommunen eller virksomheten som driver en privat skole, behandlingsansvarlig. Codemore AS er databehandler og behandler opplysningene etter kundens instrukser.

Codemore AS er behandlingsansvarlig for opplysninger vi bruker til å administrere selvopprettede brukerkontoer, håndtere kundehenvendelser, administrere kundeforhold og ivareta sikkerheten på nettstedet.

Reservasjoner og brukerkontoer

Hvilke opplysninger vi behandler, avhenger av hvordan du bruker tjenesten og hvilke tilgangsinnstillinger skolen har valgt:

• Kontoopplysninger: navn, e-postadresse, innloggingsmåte og passord i form av en hash ved vanlig innlogging.
• Tilgangsopplysninger: tilknytning til skoler og hvilken rolle du har, for eksempel bruker eller skoleadministrator.
• Tidspunkt for siste vellykkede innlogging, som brukes til automatisk sletting av inaktive kontoer.
• Reservasjoner: rom eller utstyr, tittel, tidspunkt, eventuelle ukedager for faste reservasjoner og antall ved reservasjon av utstyr. Reservasjoner opprettet av innloggede brukere knyttes til brukerkontoen.
• Innstillinger: valg av e-postvarsling og skolens oppsett for ressurser, kategorier, kalender og tilgang.

Obligatoriske felt fremgår av reservasjonskjemaet og er nødvendige for å opprette en reservasjon. Slettepassord er valgfritt.

Innlogging med Feide

Ved innlogging med Feide mottar vi navn, e-postadresse, brukeridentifikator og opplysninger om organisasjons- og ansattilhørighet. Opplysningene brukes til å opprette eller oppdatere brukerkontoen og kontrollere tilgangen til skolens kalender.

Feide-passordet ditt oppgis til Feide og lagres ikke hos oss. Nødvendig innloggingsinformasjon oppbevares i sesjonen for å håndtere innlogging og utlogging.

Kundeopplysninger

Om kunder lagrer vi organisasjonsnavn, organisasjonsnummer og skolens oppsett for ressurser, kategorier, kalender og tilgang.

Henvendelser og prøveperiode

Når du kontakter oss eller ber om en prøveperiode, behandler vi kontaktopplysningene og informasjonen du oppgir. Kontaktskjemaet inneholder navn, e-postadresse, valgt skole, intervall for antall ansatte og en melding. Obligatoriske felt fremgår av skjemaet.

Ved skolesøk i kontaktskjemaet bruker vi offentlige opplysninger fra Nasjonalt skoleregister (NSR), blant annet skolens navn, organisasjonsnummer, kommune, fylke og skoletype.

Unngå å skrive sensitive personopplysninger eller informasjon om enkeltpersoners private forhold i reservasjonstitler eller kontaktskjemaet.

Tekniske opplysninger

For sikkerhet, drift og feilsøking registrerer vi enkelte tekniske opplysninger, som IP-adresse, nettleserinformasjon, tidspunkt, innloggingshendelser, endringer i tjenesten, opplysninger om feil og behandling av forespørsler samt leveringsstatus for e-post.

Reservasjoner og tilgang

Opplysningene brukes til å vise tilgjengelige rom og utstyr, opprette og administrere reservasjoner og kontrollere tilgangen til riktig kalender.

Hvem som kan se kalenderen, avhenger av skolens tilgangsoppsett:

• Innlogging: brukere må være innlogget og ha tilgang til skolen.
• Tilgangspassord: kalenderen kan åpnes med skolens felles tilgangspassord. Innloggede brukere med tilknytning til skolen kan også ha tilgang.
• Åpen tilgang: kalenderen og reservasjonene kan ses av alle som besøker kalenderens adresse, uten innlogging.

Skolen bestemmer om navnet på den som har reservert skal vises til andre brukere. Skolens administratorer kan se hvem som har opprettet reservasjoner og hvilke brukere som er tilknyttet skolen.

Kalendersidene ber søkemotorer om å ikke indeksere innholdet. Dette erstatter ikke tilgangskontroll, og en kalender med åpen tilgang er fortsatt tilgjengelig for alle som kjenner adressen.

Slettepassord for gjester

På kalendere med åpen tilgang eller tilgangspassord kan gjester opprette reservasjoner uten brukerkonto. Hvis skolen har aktivert funksjonen, kan gjesten velge et slettepassord til reservasjonen. Vi lagrer bare en hash av passordet. Passordet gir mulighet til å slette den aktuelle reservasjonen. For faste reservasjoner slettes hele serien. Det gir ikke tilgang til å redigere reservasjonen eller administrere kalenderen.

E-postvarsler

E-postvarsler om reservasjoner er avslått som standard og kan aktiveres i kontoinnstillingene. Varslene kan inneholde reservasjonens tittel, ressurs og tidspunkt. Kontobekreftelse, tilbakestilling av passord og nødvendige tjenestemeldinger kan sendes uavhengig av denne innstillingen.

Demo

Demoen bruker eksempeldata og en separat økt for hver besøkende. Endringer i demoen lagres midlertidig i økten og påvirker ikke skolenes kalendere. Demodata nullstilles når du velger «Start på nytt» eller «Avslutt demo», og økten utløper ved inaktivitet. Vanlige tekniske opplysninger kan registreres også ved bruk av demoen.

Sikkerhet og feilsøking

Tekniske opplysninger brukes til å sikre tjenesten, undersøke feil og følge opp drift og levering av e-post. Avviste og sperrede innloggingsforsøk kan registreres med forsøkt e-postadresse, tidspunkt, IP-adresse og nettleserinformasjon. Skjemainnhold i kalenderen og kontaktskjemaet fjernes fra forespørselsdata før de registreres i Laravel Nightwatch.

Skolens kalender

Skoleeieren fastsetter formålet og behandlingsgrunnlaget for opplysninger som behandles gjennom skolens kalender. Codemore AS behandler disse opplysningene etter skoleeierens instrukser og databehandleravtalen.

Codemore AS som behandlingsansvarlig

For behandling der Codemore AS selv er behandlingsansvarlig:

Administrasjon av en brukerkonto du selv oppretter, bygger på at behandlingen er nødvendig for å levere den avtalte kontotjenesten, jf. personvernforordningen artikkel 6 nr. 1 bokstav b.

For kundehenvendelser og kontaktopplysninger til representanter hos kunder og potensielle kunder bygger behandlingen på vår berettigede interesse i å besvare henvendelser, gi informasjon om tjenesten og administrere kundeforhold, jf. personvernforordningen artikkel 6 nr. 1 bokstav f.

For sikkerhetslogging bygger behandlingen på vår berettigede interesse i å beskytte tjenesten og brukernes opplysninger, forebygge misbruk og undersøke feil og sikkerhetshendelser, jf. artikkel 6 nr. 1 bokstav f. Vi begrenser opplysningene og lagringstiden til det som er nødvendig for disse formålene.

Personopplysninger i fakturaer og regnskapsbilag behandles og oppbevares for å oppfylle våre rettslige forpliktelser etter bokføringsregelverket.

Skolebooking benytter følgende tjenesteleverandører:

• Feide (Sikt): innlogging og kontroll av ansattrolle og organisasjonstilhørighet. Se Feides personvernerklæring.
• Laravel: Laravel Cloud brukes til hosting og lagring av tjenestens data. Applikasjonen driftes på server i Frankfurt, Tyskland. Laravel Nightwatch brukes til driftsoppfølging, logging og feilsøking. Se Laravel Trust Center for informasjon om sikkerhet, personvern og databehandleravtaler.
• Mailgun (Sinch): utsending av e-post og behandling av informasjon om leveringsstatus. Se Sinchs databehandleravtale og Mailguns personvernerklæring.
• Microsoft (Microsoft 365): behandling og lagring av kundehenvendelser og annen kundekorrespondanse på e-post. Se Microsofts databehandleravtale.

Databehandleravtaler

Databehandleravtaler med Laravel, Mailgun (Sinch) og Microsoft inngår i tjenesteavtalene med leverandørene. Oversikten over underdatabehandlere og vilkårene for deres behandling inngår i databehandleravtalen med kunden.

Overføring utenfor EØS

Eventuelle overføringer av personopplysninger til land utenfor EØS reguleres av leverandørenes databehandleravtaler og må ha et gyldig overføringsgrunnlag. EU-U.S. Data Privacy Framework kan benyttes for overføringer til USA når mottakeren har gyldig sertifisering og behandlingen omfattes av ordningen. Et annet overføringsgrunnlag er EUs standard personvernbestemmelser (SCC), med nødvendige supplerende tiltak.

Laravel og Mailgun opplyser om deltakelse i EU-U.S. Data Privacy Framework. Sertifiseringen beskriver et mulig overføringsgrunnlag og betyr ikke i seg selv at opplysninger i tjenesten overføres til USA. Se Laravel Trust Center og Sinchs databehandleravtale for leverandørenes informasjon om behandling og overføring av opplysninger.

Brukerkontoer og reservasjoner

Kontoopplysninger lagres så lenge kontoen er aktiv. Skolens oppsett lagres frem til det slettes etter skoleeierens instrukser.

Brukerkontoer som bare er tilknyttet deaktiverte eller slettede skoler, slettes automatisk etter ett år uten innlogging. Kontoer med tilknytning eller reservasjoner hos en aktiv skole beholdes. Oppryddingen kjøres daglig.

Reservasjoner slettes automatisk 3, 6, 9 eller 12 måneder etter at de er avsluttet, avhengig av lagringstiden skolens administrator har valgt. Standard lagringstid er 12 måneder, og opprydding skjer daglig. For faste reservasjoner regnes perioden fra seriens sluttdato, og hele serien slettes samlet. Dette gjelder også kalendere som er deaktivert.

Reservasjoner kan også slettes tidligere av en bruker med nødvendig tilgang eller etter skoleeierens instrukser. Hvis administratoren velger en kortere lagringstid, omfattes også eksisterende reservasjoner av den nye perioden.

Når en brukerkonto slettes, fjernes kontoen, skoletilknytningene og reservasjonene som er knyttet til kontoen fra den aktive databasen. Tidligere aktivitetslogger, sikkerhetskopier og e-poster omfattes av sine egne lagringstider.

Et slettepassord kan ikke hentes frem igjen. Hashen fjernes sammen med reservasjonen. Uten passord, eller hvis skolen slår av funksjonen, må skolens administrator hjelpe med sletting av gjestereservasjoner.

Slettingen i Skolebooking omfatter ikke e-post eller andre kopier mottakerne allerede har mottatt eller lagret. Skoleeieren og mottakerne er ansvarlige for håndteringen av disse kopiene.

Sikkerhetskopier

Databasesikkerhetskopier hos Laravel Cloud oppbevares i 7 dager. Opplysninger som er slettet fra den aktive databasen, kan derfor fortsatt finnes i eldre sikkerhetskopier frem til disse utløper.

Logger og driftsdata

Tekniske logger hos Laravel Cloud oppbevares i 7 dager.

Tekniske logger hos Laravel Nightwatch oppbevares i 90 dager.

Meldingslagring hos Mailgun er deaktivert. Mailgun behandler e-postinnholdet for å levere meldingene, og leveringslogger oppbevares i 5 dager.

Aktivitetslogger for innlogging, innloggingsforsøk og endringer i tjenesten ryddes daglig for opplysninger som er eldre enn 30 dager. Disse kan inneholde navn og tidligere reservasjonstitler.

Kundeopplysninger og henvendelser

Informasjon knyttet til organisasjoner med kundeavtale slettes når avtalen opphører, med unntak av opplysninger vi må oppbevare etter loven. Tilbakelevering og sletting av skolens data håndteres etter avtalen med skoleeieren. Deaktivering av en kalender stenger tilgangen, men sletter ikke i seg selv dataene.

Kundehenvendelser slettes senest 12 måneder etter at henvendelsen er avsluttet. Korrespondanse som er nødvendig for å administrere et løpende kundeforhold, oppbevares så lenge kundeforholdet varer. Opplysninger vi må oppbevare etter loven, beholdes i den lovpålagte perioden.

Vi bruker nødvendige informasjonskapsler for innlogging, sesjonshåndtering, tilgangspassord, demoøkter og teknisk drift. Disse brukes ikke til markedsføringssporing.

Kommunikasjonen med tjenesten er kryptert med HTTPS. Passord lagres som hasher, tilganger kontrolleres på serveren og passordforsøk begrenses for å redusere misbruk.

Avhengig av behandlingen og vilkårene i regelverket kan du ha rett til:

• Innsyn i dine personopplysninger.
• Retting av uriktige opplysninger.
• Sletting eller begrensning av behandlingen.
• Å protestere mot behandlingen.
• Dataportabilitet der denne retten gjelder.

For opplysninger i skolens kalender kan du kontakte skoleeieren. For opplysninger Codemore AS er behandlingsansvarlig for, kan du kontakte oss på [email protected]. Vi hjelper også med å videreformidle henvendelser til riktig skoleeier.

Retten til å protestere

Når Codemore AS behandler opplysninger på grunnlag av berettiget interesse, kan du protestere mot behandlingen av grunner knyttet til din særlige situasjon. Kontakt oss på [email protected], så vurderer vi innsigelsen. Du kan også kontakte oss for mer informasjon om interesseavveiningene som ligger til grunn for behandlingen.

Du har rett til å klage til Datatilsynet.

For spørsmål om personvern eller hjelp med å utøve dine rettigheter, kontakt Codemore AS på [email protected].

Erklæringen oppdateres ved behov. Ved vesentlige endringer varsler vi berørte kunder via e-post eller i tjenesten. Datoen øverst viser når erklæringen sist ble oppdatert.