Integritetspolicy & Dataskydd

Tjänsten Bladbanken (https://bladbanken.se) tillhandahålls av ANAN AB (organisationsnummer 559607-6058, Sågverksvägen 3, 152 55 Södertälje).

När Bladbanken används skiljer vi på personuppgiftsansvar beroende på vilken relation du har till tjänsten:

• För lärares och skolors kontouppgifter: Bladbanken är personuppgiftsansvarig för de uppgifter som registreras vid skapande av användarkonto, prenumeration eller beställning av skollicens (såsom e-postadress och fakturainformation).
• För skolans elever och undervisningsverksamhet: Skolan eller huvudmannen (kommunen eller den fristående skolan) är personuppgiftsansvarig för sin egen verksamhet. Eftersom Bladbanken är byggt med principen om inbyggt dataskydd (Privacy by Design) behandlar Bladbanken inte personuppgifter om elever i våra molndatabaser.
• Personuppgiftsbiträdesavtal (PUB-avtal): För skolor och kommuner som kräver ett formellt avtal enligt GDPR artikel 28 tillhandahåller vi ett standardiserat biträdesavtal på /pub-avtal.

Vi samlar endast in uppgifter som är nödvändiga för att leverera tjänsten:

I enlighet med Skollagen, GDPR och offentlighets- och sekretesslagen (OSL) skyddas elever genom en strikt arkitektur:

• Klasslistor i Min klass: Om du matar in elevernas förnamn i verktyget Min klass (för att skriva ut diplom, namnlappar eller scheman) sparas dessa uteslutande lokalt i din egen webbläsare (Web Storage). Uppgifterna skickas aldrig till våra servrar, lagras aldrig i vår databas och är fullständigt otillgängliga för Bladbanken.
• Automatisk rensning (Privacy Sanitization): När en lärare sparar en mall i molnet eller delar ett häfte med sitt arbetslag, rensas automatiskt alla elev- och klassuppgifter bort (via vår funktion stripPII) innan datan lagras. Endast den generiska uppgiftskonfigurationen bevaras.
• Inga elevkonton: Elever behöver aldrig registrera sig, ladda ner en app eller logga in. När elever använder QR-kod för självrättande facit öppnas en statisk facitsida helt utan inloggning, kakor eller registrering.

Bladbanken anlitar endast underbiträden som uppfyller kraven i GDPR och garanterar datalagring inom EU/EES:

• Databas och användarautentisering: Supabase / Lovable Cloud, med datacenter beläget i Frankfurt, Tyskland (EU).
• Infrastruktur och hosting: Europeiska datacenter med kryptering i vila och under transit.
• Inga tredjelandsöverföringar (Schrems II): Vi överför inga personuppgifter till USA eller andra länder utanför EU/EES. Typsnitt och resurser serveras direkt från vår egen domän och inga externa anrop görs till Google Fonts eller externa CDN:er.

För att skydda personuppgifter mot obehörig åtkomst, förlust eller manipulering tillämpar vi moderna tekniska och organisatoriska säkerhetsåtgärder enligt GDPR artikel 32:

• Kryptering vid överföring: All kommunikation sker via HTTPS med TLS 1.3 och tvångsstyrd HSTS (HTTP Strict Transport Security).
• Kryptering i vila: Databaser och backuper är krypterade med AES-256.
• Isolering på radnivå (Row Level Security - RLS): Databasen tillämpar RLS så att varje användare endast kan läsa och redigera sina egna uppgifter.
• Webbsäkerhetsheaders: Våra servrar skickar strikta headers, inklusive X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Content-Security-Policy och Permissions-Policy för att förhindra clickjacking, kodinjektion och tjuvlyssning.
• Lösenordssäkerhet: Lösenord hashas med starka kryptografiska algoritmer och sparas aldrig i klartext.

• Kontouppgifter: Sparas så länge ditt användarkonto är aktivt. Om du avslutar ditt konto eller begär radering, raderas dina uppgifter och sparade mallar inom 30 dagar.
• Fakturaunderlag: Sparas i 7 år i enlighet med kraven i den svenska bokföringslagen (1999:1078).
• Användningsloggar: Tekniska felloggar gallras löpande och raderas senast efter 90 dagar.

Du som registrerad har följande rättigheter gentemot oss:

• Rätt till registerutdrag (Art 15): Du har rätt att få bekräftelse på om vi behandlar dina personuppgifter och begära en kostnadsfri kopia.
• Rätt till rättelse (Art 16): Du har rätt att få felaktiga eller ofullständiga uppgifter rättade.
• Rätt till radering (Art 17): Du har rätt att begära att dina uppgifter raderas ("rätten att bli bortglömd").
• Rätt till begränsning (Art 18) och dataportabilitet (Art 20): Du har rätt att begära begränsning av behandlingen och få ut dina data i ett maskinläsbart format.
• Rätt att invända (Art 21): Du har rätt att invända mot behandling som stödjer sig på berättigat intresse.
• Klagomål till tillsynsmyndighet: Om du anser att vi behandlar dina uppgifter i strid med dataskyddsförordningen har du rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY, www.imy.se (öppnas i ny flik)).

Bladbanken värnar om en ren och spårningsfri webbupplevelse:

• Nödvändig lagring: Vi använder nödvändig webbläsarlagring för att hålla dig inloggad (sessionsnyckel) och komma ihåg dina val av årskurs och verktyg.
• Inga tredjepartscookies: Vi använder inga cookies från annonsnätverk, sociala medier eller tredjepartsanalys.

Har du frågor om Bladbankens personuppgiftsbehandling, vill teckna biträdesavtal för din skola eller utöva någon av dina rättigheter? Kontakta oss gärna: