Databehandleravtale

Databehandleravtale for skoler

Mellom skolen, skoleeieren eller skoledistriktet som bruker Mindomo, eller læreren som bruker Mindomo med en klasse («skolen»), og Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Romania («Mindomo», «vi»).

1. Parter og omfang

• Skolen er behandlingsansvarlig. Mindomo er databehandler.
• Denne avtalen gjelder personopplysningene i kontoene og innholdet til skolens elever, lærere og ansatte, og til elevene i en lærers klasse, så lenge vi behandler dem for skolen.
• Vedlegg 1 beskriver dataene. Der denne avtalen og bruksvilkårene avviker fra hverandre når det gjelder personopplysninger, går denne avtalen foran.

2. Instrukser

Vi behandler dataene bare for å levere Mindomo til skolen, elevene og de ansatte, slik administratorene og lærerne har satt det opp, og etter skolens øvrige dokumenterte instrukser, med mindre loven krever noe annet; da sier vi fra til skolen først, med mindre loven forbyr det. Vi sier fra til skolen hvis vi mener at en instruks er i strid med personvernregelverket. Vi selger aldri dataene, bruker dem aldri til reklame og bruker dem aldri til å trene AI-modeller.

3. Taushetsplikt

Alle hos Mindomo som har tilgang til dataene, har taushetsplikt, og bruker tilgangen bare når det trengs for å levere tjenesten eller gi kundestøtte.

4. Sikkerhet

Vi beskytter dataene med de tekniske og organisatoriske tiltakene som er beskrevet på siden Sikkerhet. Mindomo er sertifisert etter ISO/IEC 27001 og ISO/IEC 27701.

5. Underdatabehandlere

• Skolen godkjenner underdatabehandlerne i vedlegg 2. Hver av dem er bundet av en avtale med de samme personvernforpliktelsene som denne avtalen.
• Vi kunngjør en ny underdatabehandler minst 30 dager på forhånd, på denne siden og på e-post til skolens administratorer. Skolen kan motsette seg dette av en rimelig personverngrunn; hvis vi ikke kan imøtekomme innvendingen, kan skolen avslutte lisensen og få tilbake den ubrukte delen av vederlaget.
• Overføringer ut av EU bygger på EU-US Data Privacy Framework eller Europakommisjonens standard personvernbestemmelser.

6. Bistand

Vi hjelper skolen med å svare på forespørsler fra elever, foreldre og ansatte (innsyn, retting, sletting, eksport), for det meste gjennom verktøyene i Mindomo og administratorkonsollen, og med skolens egne vurderinger, for eksempel en vurdering av personvernkonsekvenser. Vi videresender til skolen alle forespørsler vi mottar om skolens data, også fra en forelder.

7. Brudd på personopplysningssikkerheten

Vi varsler skolen om et brudd på personopplysningssikkerheten som berører skolens data, uten ugrunnet opphold etter at vi har fått kjennskap til det, med det vi vet og hva vi gjør med det, og holder skolen oppdatert etter hvert som vi får vite mer.

8. Når lisensen utløper

Skolen bestemmer hva som skjer med dataene. Den kan når som helst be om eksport eller sletting, gjennom kundestøtte eller administratorkonsollen. Hvis den ikke gir noen instruks når lisensen utløper, gjelder følgende, og skolen velger dette ved å godta denne avtalen:

• Kontoer der brukerne selv har godtatt bruksvilkårene våre (lærere, ansatte og elever som har registrert seg på egen hånd), fortsetter som brukernes egne kontoer, med innholdet deres. Fra lisensens utløp er Mindomo behandlingsansvarlig for dem, etter personvernerklæringen sin.
• Kontoer skolen har opprettet (med en PIN-kode, en CSV-import eller en klasseliste, eller gjennom Clever, Skolon eller LTI), forblir skolens data, uendret, slik at en fornyelse fortsetter der det stoppet. Vi kan slette en slik konto som ingen har logget inn på i 12 måneder etter at lisensen utløp, etter å ha varslet skolens administratorer. Vi gjør aldri en slik konto om til en personlig konto på eget initiativ: en elev som vil fortsette å bruke den, må først godta vilkårene våre selv.
• Skolen kan i stedet be om at alle kontoene slettes, eller bare kontoene den har opprettet.

9. Revisjoner

Vi viser at vi overholder denne avtalen, gjennom ISO/IEC 27001- og 27701-sertifikatene våre og revisjonsrapportene for dem, og ved å svare på skolens rimelige spørsmål. Revisjoner på stedet gjennomføres bare der loven krever det, med rimelig varsel, på skolens bekostning.

Vedlegg 1. Hva vi behandler

• Registrerte: skolens elever, lærere og ansatte; foreldre, der en elev oppgir en forelder for godkjenning; andre personer skolen inviterer.
• Data: kontodata (navn, e-postadresse eller brukernavn, rolle, aldersgruppe, klasse- og gruppetilhørighet); innholdet de lager, laster opp og deler; kommentarer, oppgaver, tilbakemeldinger og karakterer; forespørsler til Mindomo AI og assistentsamtaler, der skolen tillater Mindomo AI; sikkerhetslogger (IP-adresse, nettleser, innlogginger).
• Formål: å levere Mindomo til skolen, elevene og de ansatte, til utdanningsformål.
• Varighet: så lenge skolen bruker Mindomo, deretter slik §8 beskriver.
• Sted: driftes i Tyskland, med sikkerhetskopier i Tyskland.

Vedlegg 2. Underdatabehandlere

Tjenester skolen selv kobler til, som Clever, Skolon, Yilan, skolens læringsplattform (LTI), skolens felles pålogging (single sign-on, SAML) eller Google Classroom, er skolens egne tjenester, ikke våre underdatabehandlere.

Når en funksjon søker på nettet eller etter bilder via Microsoft, går søket til Microsofts søketjeneste, som kan behandle det utenfor EU. For disse søkene er Microsoft ikke vår underdatabehandler: Microsoft behandler søket på eget ansvar, etter Microsoft Privacy Statement.

Vedlegg 3. Landvilkår for skoler

USA

• Mindomo opptrer som «school official» (en som utfører oppgaver på vegne av skolen) med en legitim utdanningsinteresse etter FERPA, under skolens direkte kontroll over bruken og vedlikeholdet av elevenes utdanningsopplysninger (education records).
• Skolen autoriserer elevenes kontoer etter COPPA, bare til utdanningsformål, og ikke til noe annet kommersielt formål.
• Ingen reklame til elever, ikke noe salg av elevdata og ingen profilering av elever.
• Med en betalt lisens signerer vi på forespørsel et skoledistrikts eller en delstats egen personvernavtale.

Canada

• Skoleeieren (school board) har fortsatt forvaringen av og kontrollen over elevenes personopplysninger, etter Ontarios Municipal Freedom of Information and Protection of Privacy Act (MFIPPA) og de tilsvarende lovene i de andre provinsene, som British Columbias FOIPPA, Québecs lov 25 og Albertas personvernlover.
• Dataene lagres i Tyskland.
• Når avtalen opphører, leverer vi tilbake eller sletter dataene slik skoleeieren instruerer (§8).
• Med en betalt lisens signerer vi på forespørsel en skoleeiers egen avtale.

Storbritannia

• UK GDPR og Data Protection Act 2018 gjelder, i stedet for personvernforordningen der det er relevant.
• Vår representant i Storbritannia: Silvana Carpineanu, dpo@mindomo.com.
• Overføringer fra Storbritannia følger britiske regler: den britiske utvidelsen (UK Extension) av EU-US Data Privacy Framework, eller det britiske tillegget (UK Addendum) til standard personvernbestemmelser.

Slik godtar skoler denne avtalen

• Alle skoler og lærere, på alle abonnementer, gratis eller betalt: denne avtalen gjelder når en administrator godtar bruksvilkårene for skolen, eller når en lærer bruker Mindomo med en klasse. Ingenting må signeres.
• Med en betalt lisens gir vi også en kontrasignert kopi av denne avtalen, eller signerer skolens, skoledistriktets eller skoleeierens egen avtale. Spør support@mindomo.com.

Databehandleravtale for bedrifter

Mellom bedriften, teamet eller den andre organisasjonen som bruker Mindomo for medlemmene sine («organisasjonen»), og Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Romania («Mindomo», «vi»). Skoler bruker versjonen for skoler.

1. Parter og omfang

• Organisasjonen er behandlingsansvarlig. Mindomo er databehandler.
• Denne avtalen gjelder personopplysningene i kontoene og innholdet til organisasjonens medlemmer (ansatte, oppdragstakere og de andre personene den legger til i teamet sitt), så lenge vi behandler dem for organisasjonen.
• Vedlegg 1 beskriver dataene. Der denne avtalen og bruksvilkårene avviker fra hverandre når det gjelder personopplysninger, går denne avtalen foran.
• For organisasjonens kjøp og fakturaer, og for kontaktopplysningene til administratorene som vår kunde, er Mindomo behandlingsansvarlig, etter personvernerklæringen sin.

2. Instrukser

Vi behandler dataene bare for å levere Mindomo til organisasjonen og medlemmene, slik administratorene har satt det opp, og etter organisasjonens øvrige dokumenterte instrukser, med mindre loven krever noe annet; da sier vi fra til organisasjonen først, med mindre loven forbyr det. Vi sier fra til organisasjonen hvis vi mener at en instruks er i strid med personvernregelverket. Vi selger aldri dataene, bruker dem aldri til reklame og bruker dem aldri til å trene AI-modeller.

3. Taushetsplikt

Alle hos Mindomo som har tilgang til dataene, har taushetsplikt, og bruker tilgangen bare når det trengs for å levere tjenesten eller gi kundestøtte.

4. Sikkerhet

Vi beskytter dataene med de tekniske og organisatoriske tiltakene som er beskrevet på siden Sikkerhet. Mindomo er sertifisert etter ISO/IEC 27001 og ISO/IEC 27701.

5. Underdatabehandlere

• Organisasjonen godkjenner underdatabehandlerne i vedlegg 2. Hver av dem er bundet av en avtale med de samme personvernforpliktelsene som denne avtalen.
• Vi kunngjør en ny underdatabehandler minst 30 dager på forhånd, på denne siden og på e-post til organisasjonens administratorer. Organisasjonen kan motsette seg dette av en rimelig personverngrunn; hvis vi ikke kan imøtekomme innvendingen, kan organisasjonen avslutte lisensen og få tilbake den ubrukte delen av vederlaget.
• Overføringer ut av EU bygger på EU-US Data Privacy Framework eller Europakommisjonens standard personvernbestemmelser.

6. Bistand

Vi hjelper organisasjonen med å svare på forespørsler fra medlemmene (innsyn, retting, sletting, eksport), for det meste gjennom verktøyene i Mindomo og administratorkonsollen, og med organisasjonens egne vurderinger, for eksempel en vurdering av personvernkonsekvenser. Vi videresender til organisasjonen alle forespørsler vi mottar om organisasjonens data.

7. Brudd på personopplysningssikkerheten

Vi varsler organisasjonen om et brudd på personopplysningssikkerheten som berører organisasjonens data, uten ugrunnet opphold etter at vi har fått kjennskap til det, med det vi vet og hva vi gjør med det, og holder organisasjonen oppdatert etter hvert som vi får vite mer.

8. Når lisensen utløper, eller et medlem forlater teamet

Organisasjonen bestemmer hva som skjer med dataene. Den kan når som helst be om eksport eller sletting, gjennom kundestøtte eller administratorkonsollen. Hvis den ikke gir noen instruks når lisensen utløper, gjelder følgende, og organisasjonen velger dette ved å godta denne avtalen:

• Kontoer der brukerne selv har godtatt bruksvilkårene våre, fortsetter som brukernes egne kontoer, med innholdet deres utenfor teamets delte mapper. Fra lisensens utløp er Mindomo behandlingsansvarlig for dem, etter personvernerklæringen sin.
• Alle kontoer organisasjonen selv har opprettet, forblir organisasjonens data, uendret, slik at en fornyelse fortsetter der det stoppet. Vi kan slette en slik konto som ingen har logget inn på i 12 måneder etter at lisensen utløp, etter å ha varslet organisasjonens administratorer.
• Organisasjonen kan i stedet be om at alle kontoene slettes, eller bare kontoene den har opprettet.

Når et medlem forlater teamet mens lisensen løper, blir innholdet medlemmet har laget i teamets delte mapper, værende hos teamet hvis en administrator fjerner medlemmet; et medlem som forlater teamet selv, kan ta det med seg når medlemmet fortsetter med et eget betalt abonnement, og ellers blir det værende hos teamet. Hele regelen står i del B i bruksvilkårene.

9. Revisjoner

Vi viser at vi overholder denne avtalen, gjennom ISO/IEC 27001- og 27701-sertifikatene våre og revisjonsrapportene for dem, og ved å svare på organisasjonens rimelige spørsmål. Revisjoner på stedet gjennomføres bare der loven krever det, med rimelig varsel, på organisasjonens bekostning.

Vedlegg 1. Hva vi behandler

• Registrerte: organisasjonens ansatte, oppdragstakere og andre medlemmer, og personene den inviterer til å arbeide sammen med dem.
• Data: kontodata (navn, e-postadresse, rolle, gruppetilhørighet); innholdet de lager, laster opp og deler; kommentarer og oppgaver; forespørsler til Mindomo AI og assistentsamtaler, der organisasjonen tillater Mindomo AI; sikkerhetslogger (IP-adresse, nettleser, innlogginger).
• Formål: å levere Mindomo til organisasjonen og medlemmene.
• Varighet: så lenge organisasjonen bruker Mindomo, deretter slik §8 beskriver.
• Sted: driftes i Tyskland, med sikkerhetskopier i Tyskland.

Vedlegg 2. Underdatabehandlere

Tjenester organisasjonen selv kobler til, som organisasjonens felles pålogging (single sign-on, SAML), er organisasjonens egne tjenester, ikke våre underdatabehandlere.

Når en funksjon søker på nettet eller etter bilder via Microsoft, går søket til Microsofts søketjeneste, som kan behandle det utenfor EU. For disse søkene er Microsoft ikke vår underdatabehandler: Microsoft behandler søket på eget ansvar, etter Microsoft Privacy Statement.

Vedlegg 3. Landvilkår for bedrifter

Storbritannia

• UK GDPR og Data Protection Act 2018 gjelder, i stedet for personvernforordningen der det er relevant.
• Vår representant i Storbritannia: Silvana Carpineanu, dpo@mindomo.com.
• Overføringer fra Storbritannia følger britiske regler: den britiske utvidelsen (UK Extension) av EU-US Data Privacy Framework, eller det britiske tillegget (UK Addendum) til standard personvernbestemmelser.

USA

• Der en personvernlov i en amerikansk delstat, som California Consumer Privacy Act, gjelder for organisasjonen, opptrer Mindomo som dens «service provider» (tjenesteleverandør) eller «processor» (databehandler): vi bruker dataene bare til å levere Mindomo til organisasjonen, og vi selger eller deler dem ikke, og kombinerer dem ikke med data fra andre kilder for egne formål.

Slik godtar organisasjoner denne avtalen

• Alle organisasjoner, på alle abonnementer, gratis eller betalt: denne avtalen gjelder når en administrator godtar bruksvilkårene for organisasjonen. Ingenting må signeres.
• Med en betalt lisens gir vi også en kontrasignert kopi av denne avtalen, eller signerer organisasjonens egen databehandleravtale. Spør support@mindomo.com.