Databehandleravtale

Mellom skolen og GloseMester etter GDPR artikkel 28 · Versjon 2.1 · 25. oktober 2026

Avtalen er gratis. Fyll inn skolens opplysninger, skriv ut eller lagre som PDF (Ctrl + P), og send den signert til oyvind.nilsoks@gmail.com. Du får den signert tilbake fra GloseMester.

1. Parter

Rolle	Part
Behandlingsansvarlig	Skolen / skoleeieren: ________________________ (org.nr. ______________)
Databehandler	Øyvind Nilsen Oksvold, som driver GloseMester (privatperson) · oyvind.nilsoks@gmail.com

2. Formål

Databehandleren leverer GloseMester, en nettbasert tjeneste for gloseøving. Personopplysninger behandles bare for å:

la lærere lage klasser, elevkontoer og prøver,
la elever øve, ta prøver, samle og bytte kort, og ta med fremgangen sin til andre enheter,
gi lærere oversikt over elevenes resultater og fremgang.

Opplysningene brukes ikke til andre formål, ikke til reklame og ikke til profilering, og de selges ikke.

3. Opplysninger og registrerte

Registrerte	Opplysninger
Elever med elevkonto	Fornavn, alias, PIN-kode, kortsamling, nivå, poeng, øvingsfremgang, bytter av kort, teknisk økt-ID
Elever som tar prøver	Navnet eleven skriver, svar, poengsum, tidsbruk og tidspunkt
Lærere	Navn, e-post, ev. profilbilde fra Google, prøver, klasser, innloggingstidspunkt

Det behandles ikke særlige kategorier av personopplysninger (GDPR art. 9) og ikke fødselsnummer.

4. Databehandlerens plikter

Behandle opplysningene bare etter skolens dokumenterte instrukser, slik de står i denne avtalen.
Sørge for at alle som har tilgang til opplysningene, har taushetsplikt.
Gjennomføre sikkerhetstiltakene i punkt 5 (GDPR art. 32).
Hjelpe skolen med å besvare forespørsler fra de registrerte (innsyn, retting, sletting) og med vurderinger av personvernkonsekvenser.
Gi skolen informasjonen som trengs for å vise at avtalen følges, og gi mulighet for revisjon etter rimelig varsel.
Varsle skolen uten ugrunnet opphold, og senest innen 24 timer, hvis det skjer et brudd på personopplysningssikkerheten.

5. Sikkerhetstiltak

Tiltak	Slik er det gjort
Lagring i EU/EØS	All lagring skjer i Supabase i Irland (AWS eu-west-1). Serverfunksjonene er låst til samme region. Den nattlige sikkerhetskopien ligger på databehandlerens egen server i Norge.
Sikkerhetskopi	Hver natt, kryptert med AES-256 før lagring. Nøkkelen oppbevares atskilt fra serveren. Kopien hentes av en databasebruker som bare kan lese. Daglige kopier slettes etter 14 dager, månedskopier etter 12 måneder.
Kryptering	HTTPS (TLS) for all trafikk. Databasen er kryptert når den lagres. Passord og PIN-koder for innlogging lagres som hash.
Tilgangsstyring	Radnivåsikkerhet i databasen: lærere ser bare egne klasser og resultater, elever bare egen konto, klassekamerater bare alias.
Innlogging	Lærere: e-post og passord eller Google. Elever: klassekode, alias og PIN, med sperre etter fem feil.
Administrasjon	Bare databehandleren har administratortilgang. Den krever tofaktorinnlogging, og handlinger logges.
Sletting	Automatisk sletting etter tidene i punkt 7.

6. Underleverandører

Skolen godkjenner at disse underleverandørene brukes:

Leverandør	Hva de gjør	Hvor dataene er	Grunnlag for overføring
Supabase Inc.	Database, innlogging og serverfunksjoner. Alle personopplysninger GloseMester lagrer, ligger her.	EU – Irland (AWS eu-west-1). Serverfunksjonene er låst til samme region.	Databehandleravtale med EUs standardkontraktsklausuler (Supabase er et amerikansk selskap).
Netlify Inc.	Leverer nettsidens filer (HTML, bilder, kode). Lagrer ingen kontoer eller elevdata, men behandler IP-adresse og nettleserinformasjon i tekniske logger.	Globalt leveransenettverk; selskapet er i USA.	Databehandleravtale med EUs standardkontraktsklausuler.
Google	Bare hvis en lærer velger «Logg inn med Google». Google bekrefter hvem læreren er og sender navn, e-post og profilbilde.	Googles egne systemer.	Google er selvstendig ansvarlig for sin innloggingstjeneste.

Databehandleren varsler skolen minst 30 dager før en ny underleverandør tas i bruk. Skolen kan da si opp avtalen.

7. Lagringstid og sletting

Opplysninger	Slettes automatisk
Prøveresultater (navn, svar, poeng)	12 måneder etter at prøven ble levert
Elevkonto med kortsamling og fremgang	Etter 12 måneder uten bruk
Logg over bytter av kort	12 måneder etter forslaget
Lærerkonto med prøver, klasser og elevkontoene i klassene	Etter 24 måneder uten innlogging
Henvendelser fra skoler	12 måneder
Logg over administratorhandlinger	24 måneder
Tekniske innloggingsøkter for elever som ikke ble med i en klasse	30 dager

Læreren kan i tillegg slette elever og klasser når som helst. Når avtalen opphører, slettes skolens elevopplysninger senest 30 dager etter skriftlig beskjed. Skolen kan be om å få dem utlevert først.

8. Varighet og oppsigelse

Avtalen gjelder fra signering og så lenge skolen bruker GloseMester. Begge parter kan si den opp med 30 dagers skriftlig varsel.

9. Lovvalg

Avtalen følger norsk rett. Tvister som ikke løses i minnelighet, avgjøres ved den behandlingsansvarliges alminnelige verneting.

10. Signatur

Behandlingsansvarlig (skolen)

Skole og org.nr.

Navn og stilling

Sted, dato og underskrift

Databehandler (GloseMester)

Øyvind Nilsen Oksvold

Sted, dato og underskrift