Integritetspolicy

1. Introduktion

Ablas ("vi", "oss", "vår") värnar om din integritet och är transparent med hur vi samlar in, använder och skyddar dina personuppgifter. Denna integritetspolicy förklarar hur vi behandlar dina personuppgifter i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (nedan "GDPR") samt lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

Denna policy beskriver hur vi behandlar dina personuppgifter. De rättsliga grunderna för vår behandling specificeras i sektion 4 nedan.

2. Personuppgiftsansvarig

Notering: Om och när Ablas registreras som aktiebolag kommer den juridiska personen att uppdateras i denna policy med organisationsnummer och registrerat firmanamn.

3. Vilka personuppgifter samlar vi in?

3.1 Uppgifter du tillhandahåller

När du registrerar ett konto via en inbjudningskod samlar vi in:

• Kontaktuppgifter: Förnamn, efternamn, e-postadress
• Kontoinformation: Användarnamn, lösenord (krypterat med bcrypt)
• Profilinformation: Användartyp (elev/lärare/admin), skoltillhörighet

3.2 Automatiskt insamlade uppgifter

När du använder Ablas samlar vi automatiskt in:

• Användningsdata: Videor du tittar på, kursframsteg, quiz-resultat, favoritmarkerat innehåll
• Teknisk data: IP-adress (vid inloggning och vid missbruksskydd, se nedan), webbläsartyp, enhet, operativsystem
• Missbruksskydd: Vid inloggning, registrering, lösenordsåterställning och kodvalidering lagras din IP-adress tillfälligt (i upp till 15 minuter) för att begränsa antalet försök och förhindra automatiserade attacker. Dessa uppgifter kopplas inte till ditt konto och raderas automatiskt efter tidsfönstret.
• Sessionscookies: Strikt nödvändiga cookies för att upprätthålla din inloggningssession (se sektion 8)
• Logginformation: Inloggningstidpunkt, aktivitetsloggar

4. Varför samlar vi in dina uppgifter?

4.1 Rättslig grund (GDPR artikel 6)

Vi behandlar dina personuppgifter baserat på följande rättsliga grunder:

• Fullgörande av avtal (art. 6.1 b): För att tillhandahålla den utbildningstjänst du registrerat dig för enligt våra användarvillkor, inklusive tillgång till videokurser, quiz och framstegsrapportering.
• Rättslig förpliktelse (art. 6.1 c): För att uppfylla krav enligt bokföringslagen (1999:1078) och andra tillämpliga lagkrav.
• Berättigat intresse (art. 6.1 f): För att förbättra och säkerställa tjänstens funktionalitet och säkerhet, exempelvis genom loggning av inloggningsförsök för att förhindra obehörig åtkomst. Vi har genomfört en intresseavvägning och bedömt att dessa behandlingar inte väger tyngre än dina rättigheter och friheter. Med hänsyn till att en stor del av våra användare är minderåriga (i enlighet med GDPR skäl 38) tillämpar vi extra återhållsamhet vid åberopande av berättigat intresse.

4.2 Ändamål

Vi använder dina uppgifter för att:

• Skapa och hantera ditt konto
• Tillhandahålla tillgång till kurser och videomaterial
• Spåra din kursframsteg och quiz-resultat
• Skicka viktiga meddelanden om ditt konto (t.ex. lösenordsåterställning)
• Ge teknisk support
• Förbättra och utveckla plattformen
• Förhindra missbruk och säkerhetshot
• Uppfylla lagkrav

5. Hur länge sparar vi dina uppgifter?

Vi sparar dina personuppgifter i enlighet med principen om lagringsminimering (GDPR artikel 5.1 e) och endast så länge som nödvändigt för respektive ändamål:

• Aktivt konto: Så länge ditt konto är aktivt.
• Efter radering: 30 dagar för att möjliggöra återställning. Under denna period är uppgifterna inaktiverade och behandlas inte för något annat ändamål. Därefter raderas all data permanent.
• Inaktiva konton: Efter 2 års inaktivitet skickar vi en påminnelse via e-post. Om ingen aktivitet sker inom 3 månader därefter raderas kontot.
• Bokföringsuppgifter: 7 år efter utgången av det kalenderår då räkenskapsåret avslutades, i enlighet med 7 kap. 2 § bokföringslagen (1999:1078).
• Loggar och säkerhetsdata: Maximalt 12 månader.
• Missbruksskydd (rate limiting): IP-adresser raderas automatiskt inom 1–15 minuter beroende på typ av åtgärd.

6. Vem delar vi dina uppgifter med?

6.1 Vi säljer aldrig dina uppgifter

Vi säljer eller hyr aldrig ut dina personuppgifter till tredje part.

6.2 Delning när nödvändigt

Vi kan dela dina uppgifter med:

• Tjänsteleverantörer: Vår hostingleverantör Strato (inom EU), Stripe för betalningshantering samt PHPMailer/SMTP-tjänst för e-postutskick. Samtliga tjänsteleverantörer är bundna av personuppgiftsbiträdesavtal i enlighet med GDPR artikel 28.
• Din skola: Om du är kopplad till en skola via inbjudningskod kan behöriga lärare vid den skolan se din kursframsteg och quiz-resultat. Denna behandling grundas på fullgörande av avtal (art. 6.1 b), eftersom framstegsrapportering till lärare är en del av den utbildningstjänst som Ablas tillhandahåller. Skolans åtkomst till dina uppgifter regleras genom ett separat avtal om gemensamt personuppgiftsansvar eller personuppgiftsbiträdesavtal beroende på den aktuella skolans roll.
• Myndigheter: Vid lagkrav, exempelvis vid polisutredning eller domstolsbeslut, i enlighet med rättslig förpliktelse (art. 6.1 c).

6.3 Internationella överföringar

Dina uppgifter lagras inom EU/EES hos vår hostingleverantör Strato. Stripe, som hanterar betalningar, kan behandla uppgifter i USA. Vid eventuell överföring av personuppgifter till tredjeland utanför EU/EES säkerställer vi adekvat skyddsnivå genom EU-kommissionens standardavtalsklausuler (Standard Contractual Clauses, SCC) antagna genom kommissionens genomförandebeslut (EU) 2021/914 av den 4 juni 2021, samt genom att genomföra en konsekvensbedömning avseende överföringen (Transfer Impact Assessment) i enlighet med EU-domstolens dom i mål C-311/18 (Schrems II).

7. Hur skyddar vi dina uppgifter?

Vi tillämpar tekniska och organisatoriska säkerhetsåtgärder i enlighet med GDPR artikel 32:

• Kryptering: SSL/TLS för all datatrafik, bcrypt för lösenordshashning
• Åtkomstkontroll: Endast auktoriserad personal har tillgång till personuppgifter
• SQL-injektionsskydd: Prepared statements för all databasåtkomst
• Inloggningsskydd: Begränsning av inloggningsförsök (rate limiting) och IP-loggning
• Säkerhetskopiering: Regelbundna backups
• Säkerhetsuppdateringar: Regelbundna systemuppdateringar

Trots våra åtgärder kan ingen säkerhet garanteras till 100 %. Vid personuppgiftsincident meddelar vi Integritetsskyddsmyndigheten (IMY) utan onödigt dröjsmål och senast inom 72 timmar i enlighet med GDPR artikel 33. Om incidenten sannolikt medför en hög risk för dina rättigheter och friheter meddelar vi även dig utan onödigt dröjsmål i enlighet med GDPR artikel 34.

8. Cookies

8.1 Vad är cookies?

Cookies är små textfiler som lagras i din webbläsare. De kan vara nödvändiga för att en webbplats ska fungera korrekt.

8.2 Vilka cookies använder vi?

Ablas använder enbart strikt nödvändiga sessionscookies. Vi använder inga analytiska, funktionella eller marknadsföringscookies.

Eftersom vi enbart använder strikt nödvändiga cookies som krävs för att tillhandahålla den tjänst du uttryckligen begärt kräver dessa inte samtycke enligt 9 kap. 28 § lagen (2003:389) om elektronisk kommunikation (LEK). Vi visar därför ingen cookie-banner.

9. Dina rättigheter enligt GDPR

Du har följande rättigheter avseende dina personuppgifter:

9.1 Hur utövar du dina rättigheter?

Kontakta oss på kontakt@ablas.se med ditt önskemål. Vi besvarar din begäran utan onödigt dröjsmål och senast inom 30 dagar i enlighet med GDPR artikel 12.3. Om din begäran är komplex eller om vi har mottagit ett stort antal begäranden kan vi förlänga svarstiden med ytterligare 60 dagar, varvid vi informerar dig om förseningen inom den första 30-dagarsperioden.

9.2 Klagomål

Du har rätt att lämna klagomål till tillsynsmyndigheten om du anser att vi behandlar dina personuppgifter i strid med GDPR (art. 77):

10. Barn och ungas integritet

Ablas riktar sig till gymnasieelever, varav en del kan vara under 18 år. Vi tar särskild hänsyn till minderåriga användares integritet i enlighet med GDPR skäl 38 och artikel 8:

• För användare under 16 år krävs vårdnadshavares samtycke vid behandling som grundas på samtycke, i enlighet med GDPR artikel 8.1. Sverige har inte sänkt denna åldersgräns från det i förordningen angivna 16 år.
• Registrering på Ablas sker uteslutande genom inbjudningskoder kopplade till skolor, vilket innebär att registreringen sker i ett utbildningssammanhang.
• Vi tillämpar principen om uppgiftsminimering (GDPR artikel 5.1 c) och samlar endast in de personuppgifter som är nödvändiga för att tillhandahålla utbildningstjänsten.
• Vi behandlar aldrig minderårigas personuppgifter i marknadsföringssyfte.
• Vi tillämpar extra återhållsamhet vid åberopande av berättigat intresse som rättslig grund för behandling av minderårigas uppgifter.

11. Ändringar av integritetspolicyn

Vi kan komma att uppdatera denna policy. Vid väsentliga ändringar:

• Meddelar vi dig via e-post minst 30 dagar i förväg
• Visar en notifiering på plattformen
• Uppdaterar datumet "Senast uppdaterad" överst i policyn

Om ändringarna kräver nytt samtycke enligt GDPR inhämtar vi detta innan den nya policyn träder i kraft.

12. Kontakta oss

Vid frågor om din integritet eller denna policy: