Persónuverndarstefna Námfúss

Námfús ehf., kt. 410702-4440, Höfðabakka 9b, 110 Reykjavík, rekur skólakerfið Námfús fyrir leikskóla, grunnskóla, frístundaheimili og sveitarfélög. Þessi stefna lýsir því hvernig farið er með persónuupplýsingar í kerfinu, í snjallforritunum og á vefnum namfus.is.

Foreldri sem vill vita hvað skóli barnsins skráir, eða nota réttindi sín, snýr sér fyrst til skólans eða sveitarfélagsins. Námfús aðstoðar skólann við að svara (sjá 6. kafla).

Skólinn ákveður hvað er skráð og hvaða einingar kerfisins eru í notkun, svo listinn hjá einstaka skóla getur verið styttri.

Viðkvæmar upplýsingar. Skólinn getur skráð upplýsingar um stuðning, sérþarfir eða heilsu nemanda, til dæmis einstaklingsnámskrá, úrræði eða ofnæmi. Aðgangur að þeim er þrengri og hver uppfletting er skráð.

Upplýsingar í skólakerfinu eru unnar til að skólinn geti sinnt lagaskyldum sínum og daglegu starfi. Þar undir fellur skráning nemenda, stundaskrár, mæting, námsmat, samskipti við heimili og skýrslur til sveitarfélags. Heimildin er skólans sem ábyrgðaraðila, oftast lagaskylda eða verkefni í þágu almennings samkvæmt lögum um grunnskóla og leikskóla (c- og e-liður 1. mgr. 6. gr.). Námfús notar gögnin ekki í eigin tilgangi, selur þau ekki og notar þau ekki til markaðssetningar.

Upplýsingar sem Námfús ber ábyrgð á sjálft eru unnar svona:

Kerfið, gagnagrunnurinn, skrár og afrit eru hýst hjá Open Telekom Cloud í Þýskalandi, innan EES. Námfús miðlar ekki persónuupplýsingum til annarra en þeirra undirvinnsluaðila sem taldir eru upp á lista Námfúss yfir undirvinnsluaðila, nema lagaskylda krefjist þess.

Listinn, með hlutverki og staðsetningu hvers aðila, er í viðauka neðst á þessari síðu. Þar eru líka taldar upp þjónustur fyrir rafrænar undirskriftir, sem skólar tengja með eigin aðgangi.

Gervigreind. Gervigreindarlausnir eru valkvæðar og ábyrgðaraðili ræður hvort þær eru virkar. Kerfið sendir hvorki nafn, kennitölu, netfang, símanúmer né mynd nemanda, heldur nafnlaust auðkenni. Texti sem starfsfólk skrifar sjálft er sendur eins og hann er skrifaður, svo það á ekki að setja persónuupplýsingar í hann. Í framburðarmati ÍSAT-einingarinnar er hljóðupptaka nemanda send til OpenAI til umritunar. Samkvæmt skilmálum OpenAI eru gögnin ekki notuð til þjálfunar. Gervigreind tekur engar ákvarðanir um nemendur.

Skólar og sveitarfélög fá tilkynningu fyrir fram um nýja undirvinnsluaðila og geta andmælt.

Gögn hvers skóla eru aðskilin frá gögnum annarra skóla, og hver notandi sér aðeins það sem hlutverk hans leyfir. Kennari sér þá nemendur sem hann kennir, forráðamaður sín eigin börn og nemandi eigin upplýsingar. Heimildir eru athugaðar á netþjóni við hverja aðgerð.

• Samskipti eru dulkóðuð (HTTPS) og afrit eru dulkóðuð.
• Hver breyting á persónuupplýsingum og hver uppfletting í þeim er skráð á nafngreindan notanda.
• Öryggisstjórnun fylgir upplýsingaöryggisstjórnkerfi sem byggir á ISO/IEC 27001.
• Verði öryggisbrestur er skóla eða sveitarfélagi tilkynnt án ótilhlýðilegrar tafar, svo það geti tilkynnt Persónuvernd innan 72 klst.

Varðveisla. Gögn í skólakerfinu eru varðveitt eftir ákvörðun skólans og skyldum hans samkvæmt lögum um opinber skjalasöfn nr. 77/2014. Þegar samningi lýkur skilar Námfús gögnunum til skólans eða eyðir þeim, eftir því sem vinnslusamningur segir til um. Gögnum sem Námfús ber ábyrgð á sjálft er eytt þegar tilgangi vinnslunnar er náð, nema lög krefjist lengri varðveislu, til dæmis bókhaldslög.

Þú átt rétt á að fá aðgang að upplýsingum um þig, fá þær leiðréttar, þær takmarkaðar eða þeim eytt, fá þær afhentar á tölvutæku formi og andmæla vinnslu (15.–21. gr.). Forráðamenn fara með þessi réttindi fyrir hönd barna sinna. Það kostar ekkert að nota þá.

Berist Námfúsi beiðni um skólagögn er hún framsend til skólans, sem tekur ákvörðun. Námfús aðstoðar skólann við að taka gögnin saman eða eyða þeim.

Vafrakökur. Skólakerfið notar aðeins nauðsynlegar vafrakökur, til dæmis til að halda notanda innskráðum. Vefurinn namfus.is notar engar greiningar- eða auglýsingakökur. Vefurinn er hýstur hjá Vercel, sem skráir tæknilegar upplýsingar eins og IP-tölu í stuttan tíma vegna reksturs og öryggis.

Breytingar. Stefnan er endurskoðuð þegar vinnslan breytist og að minnsta kosti árlega. Nýjasta útgáfan er alltaf á namfus.is/privacy, með dagsetningu síðustu breytingar. Skólum er tilkynnt um verulegar breytingar.

Samband. Fyrirspurnir um upplýsingar sem skóli eða leikskóli skráir fara til skólans eða sveitarfélagsins (sjá 6. kafla). Námfús svarar aðeins fyrir eigin vinnslu, sem er ytri vefurinn namfus.is og samskipti við viðskiptavini: Námfús ehf., Höfðabakka 9b, 110 Reykjavík. Dótturfélag í Þýskalandi: Namfus Deutschland GmbH, Königstraße 5, Stuttgart. Persónuverndarfulltrúi: Oddur Hafsteinsson, personuvernd@namfus.is. Almenn aðstoð: support@namfus.is.

Námfús notar þessa undirvinnsluaðila við rekstur skólakerfisins. Skólar og sveitarfélög fá tilkynningu fyrir fram um nýja aðila og geta andmælt.

Skóli sem notar rafrænar undirskriftir tengir eigin aðgang hjá einni af þessum þjónustum. Samningurinn er milli skólans og þjónustunnar, og Námfús sendir skjöl til undirritunar með aðgangi skólans. Þjónusturnar eru því ekki undirvinnsluaðilar Námfúss.