Databehandleraftale

Denne databehandleraftale (“Aftalen”) indgås mellem:

Ved at registrere en lærerkonto og knytte elever til en klasse på almenviden.dk accepterer Skolen disse standardvilkår. Skolen kan til enhver tid anmode om en individuel, underskrevet aftale ved at kontakte os på kontakt@alvin.dk.

Aftalen regulerer Alvins behandling af personoplysninger på vegne af Skolen i forbindelse med brug af almenviden.dk-platformen.

• Formål: Levering af en digital læringsplatform med quizzer, klasseadministration og læringsanalyse til elever og lærere på Skolen.
• Varighed: Aftalen er gældende, så længe Skolen har en aktiv konto på almenviden.dk. Aftalen ophører automatisk, når Skolens konto slettes eller spærres.
• Behandlingens art: Oprettelse, opbevaring, visning og sletning af elevers og læreres kontodata samt quiz- og læringsresultater.

Alvin behandler følgende kategorier af personoplysninger på Skolens vegne:

Der behandles ingen CPR-numre, rigtige navne, adresser, fotos eller særlige kategorier af personoplysninger (GDPR art. 9) medmindre Skolen eksplicit opretter sådanne data i fri tekst (anbefales ikke og er ikke nødvendigt).

Alvin forpligter sig til at:

• Behandle personoplysninger udelukkende på dokumenteret instruks fra Skolen — medmindre EU-ret eller dansk ret kræver andet, i hvilket tilfælde Alvin underretter Skolen herom (GDPR art. 28, stk. 3, litra a).
• Sikre, at de medarbejdere og underleverandører, der har adgang til oplysningerne, har forpligtet sig til fortrolighed (GDPR art. 28, stk. 3, litra b).
• Træffe alle passende tekniske og organisatoriske sikkerhedsforanstaltninger i henhold til GDPR art. 32 (se afsnit 5 nedenfor).
• Overholde betingelserne for brug af underdatabehandlere (se afsnit 6) og opnå Skolens godkendelse — herunder via disse standardvilkår — inden underdatabehandlere tages i brug (GDPR art. 28, stk. 2).
• Bistå Skolen, så vidt muligt, med at opfylde Skolens forpligtelse til at besvare anmodninger om udøvelse af den registreredes rettigheder (art. 15–21).
• Bistå Skolen med at sikre overholdelse af GDPR art. 32–36 (sikkerhed, brud på persondatasikkerhed, konsekvensanalyse, forudgående høring).
• Efter Skolens valg slette eller tilbagelevere alle personoplysninger, når behandlingstjenesten ophører, og slette eksisterende kopier (GDPR art. 28, stk. 3, litra g). Data slettes senest 30 dage efter kontoens ophør.
• Stille alle oplysninger til rådighed for Skolen, som er nødvendige for at påvise overholdelse af GDPR art. 28, og give mulighed for revision (GDPR art. 28, stk. 3, litra h). Anmodning om revision sendes til kontakt@alvin.dk.

Alvin har implementeret følgende foranstaltninger:

• Kryptering i transit: Al kommunikation sker over HTTPS/TLS 1.2+.
• Kryptering i hvile: Databasen hostes hos Railway/Turso på europæiske servere med kryptering aktiveret.
• Adgangskontrol: Kodeord hashes med bcrypt. Sessioner håndteres via NextAuth med kortlivede tokens. Lærere har kun adgang til egne klasser.
• Minimeret dataindsamling: Ingen CPR, rigtige navne eller adresser. Eleverne identificeres med pseudonymer.
• Begrænset intern adgang: Kun nøglepersonale med behov har adgang til produktionsdata.
• Automatisk sletning: Inaktive konti (2 år) slettes automatisk efter forudgående varsel på 30 dage (GDPR art. 5, stk. 1, litra e).
• Logning: Revisionslog (gdpr_audit_log) registrerer samtykker, sletninger og dataeksporter for accountability (GDPR art. 5, stk. 2).
• Content Security Policy: Strenge CSP-headers forhindrer tredjeparts scripts, tracking-pixels og kamera-/mikrofon-adgang uden brugersamtykke.

Skolen giver ved accept af disse vilkår generel tilladelse til, at Alvin anvender følgende underdatabehandlere:

Alvin underretter Skolen om planlagte ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere med mindst 14 dages varsel, så Skolen har mulighed for at gøre indsigelse (GDPR art. 28, stk. 2). Underretning sker via e-mail til den registrerede lærerkonto og/eller via synlig besked på platformen.

Visse underdatabehandlere (Vercel, Resend, OpenRouter/Google) er etableret i USA. Overførsler til disse behandlere sker udelukkende på grundlag af EU-standardkontraktbestemmelser (SCC — Kommissionens afgørelse 2021/914), som sikrer et tilstrækkeligt beskyttelsesniveau.

Elevernes e-mailadresser og quizresultater videregives ikke til AI-udbydere. Til AI-funktioner sendes kun den tekst, som brugeren skriver i det pågældende øjeblik — ingen vedvarende profildata.

• Alvin underretter Skolen uden unødigt ophold — og senest inden for 48 timer — efter at have fået kendskab til et brud på persondatasikkerheden, der involverer Skolens elevers data.
• Underretningen indeholder mindst: brudets beskaffenhed, de berørte kategorier og ca. antal registrerede og registreringer, sandsynlige konsekvenser samt trufne og planlagte afhjælpende foranstaltninger.
• Skolen er herefter ansvarlig for at foretage anmeldelse til Datatilsynet inden for 72 timer (GDPR art. 33), hvis bruddet ikke med sandsynlighed vil medføre ringe risiko for de registrerede.
• Alvin bistår Skolen med nødvendig dokumentation til brug for anmeldelsen.

Skolen er ansvarlig for at opfylde de registreredes rettigheder (GDPR art. 15–21). Alvin bistår Skolen ved at:

• Gøre det muligt for lærere at slette elevers konti direkte via administratoroversigten.
• Tilbyde elever (og forældre på vegne af elever under 15) mulighed for at downloade alle personoplysninger (dataportabilitet) via Profilindstillinger.
• Behandle anmodninger om indsigt, berigtigelse eller sletning modtaget via kontakt@alvin.dk inden for 30 dage.

Aftalen er underlagt dansk ret. Tvister søges løst i mindelighed. Kan enighed ikke opnås, afgøres tvisten ved de ordinære danske domstole med Retten i Aarhus som værneting i første instans.

Klager over Alvins behandling af personoplysninger kan indgives til Datatilsynet — Carl Jacobsens Vej 35, 2500 Valby, tlf. +45 33 19 32 00.

Alvin kan opdatere disse standardvilkår med mindst 30 dages varsel. Varslingen sker via e-mail til den registrerede lærerkonto og/eller via synlig besked ved login. Fortsætter Skolen med at bruge platformen efter varslingsfristens udløb, betragtes de nye vilkår som accepteret. Skolen kan til enhver tid opsige aftalen ved at slette skole-kontoen.