Integritetspolicy

Skolan (eller kommunen som huvudman) är personuppgiftsansvarig för alla uppgifter om elever och personal som läggs in i Behovstrappan. Behovstrappan är personuppgiftsbiträde och behandlar uppgifterna endast enligt skolans instruktioner och det personuppgiftsbiträdesavtal (PUB-avtal) som skolan godkänner vid registrering.

Tjänsten innehåller dokumentation om elevers stödbehov: pedagogiska kartläggningar, extra anpassningar, särskilt stöd, åtgärdsprogram och uppföljning. Det kan röra sig om känsliga personuppgifter (t.ex. hälsa) enligt GDPR artikel 9. Personnummer lagras aldrig – tjänsten är byggd för att inte ta emot dem.

För personal lagras namn, e-postadress, roll och tillhörighet till skolan, samt en logg över vilka åtgärder som utförts i tjänsten (audit-logg).

Behandlingen av elevuppgifter sker med stöd av allmänt intresse / myndighetsutövning (GDPR art. 6.1 e) med stöd i skollagen 3 kap. om ledning och stimulans, extra anpassningar och särskilt stöd. Känsliga uppgifter behandlas med stöd av art. 9.2 g i kombination med skollagen och OSL.

• Åtkomst ges endast genom inbjudan eller tilldelning – ingen kan registrera sig själv till en skola.
• Lärare ser bara de elever de är tilldelade; rektor och specialpedagog ser skolans elever.
• Alla visningar och ändringar av elevärenden loggas och kan granskas i en spårbarhetslogg.
• Automatisk utloggning vid inaktivitet.
• All data lagras inom EU.
• AI-funktioner får aldrig elevens namn – namnet ersätts med ”[elev]” innan något skickas.
• E-post till externa mottagare (t.ex. BUP) innehåller aldrig elevuppgifter – endast skolans namn, ett slumpat ärendenummer och en fast statusfras.

Behovstrappan använder underbiträden för drift (databas och lagring inom EU) och för AI-stöd. En aktuell förteckning över underbiträden tillhandahålls skolan på begäran. AI-tjänster kan innebära överföring till tredje land; därför skickas aldrig namn eller andra direkt identifierande uppgifter till AI.

Elevärenden sparas så länge skolan har ett aktivt abonnemang och behöver dokumentationen för sitt arbete. När ett abonnemang avslutas kan skolan begära export eller radering av sina uppgifter. Offentliga skolor ska dessutom följa gällande arkivregler och gallringsbeslut – Behovstrappan ersätter inte skolans arkivansvar.

Vårdnadshavare och elever har rätt att begära tillgång till, rättelse av eller radering av uppgifter. Sådana begäranden ska alltid riktas till skolan (den personuppgiftsansvarige). Behovstrappan bistår skolan med teknisk hjälp för att uppfylla begäranden.

Vid en personuppgiftsincident som rör skolans data underrättar Behovstrappan skolan utan onödigt dröjsmål, så att skolan kan fullgöra sin anmälningsplikt till Integritetsskyddsmyndigheten (IMY) inom 72 timmar.

Frågor om hur tjänsten behandlar personuppgifter besvaras av Behovstrappans support. Frågor om skolans behandling besvaras av skolans dataskyddsombud.