Personvern for skoler

Informasjon om personopplysninger, formål og ansvar ved skolebruk av 321skole. Et samlet underlag for skolens og skoleeiers vurdering.

Arbeidsutkast v0.12. Innhold revidert: 12. november 2026.

Leverandør

321skole leveres av Fjord Service. Foretaksopplysninger og personvernkontakt finner du nedenfor.

Elevtilgang

Elever kan delta med personlig kode uten privat e-post. Deltakelsen knyttes til en teknisk bruker-ID.

KI i undervisningen

KI brukes blant annet til språkstøtte og forslag til tilbakemeldinger. Relevant tekst og elevarbeid kan sendes til OpenAI.

Dokumentasjon for skoleeier

Siden beskriver dagens løsning, foreslåtte tilpasninger og forhold som må avklares før avtale.

Kommunenes vurdering og funksjonsomfang

Generelt vurderingsgrunnlag for kommuner og skoler som vurderer 321school. Dokumentasjonen beskriver plattformen, dataflyter, begrensninger og åpne spørsmål. Den er ikke en ferdig kommuneavtale eller bekreftelse på at alle funksjoner er godkjent for skolebruk.

Fjord Service arbeider systematisk med internkontroll, personvern og informasjonssikkerhet som en fast del av driften. Tilgangskontroll, privat filflyt, godkjenning av deltakerbindinger, skolegrenser for invitasjoner, tidsbegrenset vikartilgang og daglig sikkerhetskopiering er innført og kontrollert. Kartlegging av dataflyter, leverandøravklaringer, oppbevaringsrutiner og dokumentasjon vedlikeholdes videre, med tydelig ansvar og kontroll av hvert tiltak.
Modell for skolebruk: Lærere har KI-verktøy til å lage og utvikle undervisningsinnhold og få forslag til tilbakemeldinger, innenfor lisensen. Elever i Spaces har oversettelse, ordstøtte, opplesing og lærerstyrt KI-hjelp i aktiviteter. De har ikke fri tilgang til KI-generatorer gjennom skolebruken. Tilgangen til støttefunksjonene følger aktiviteten og gyldig romtilgang, enten eleven bruker personlig kode, Feide eller annen innlogging.
Fra 11. november 2026 kan plattformadministrator sperre KI-forslag til Lessons-besvarelser og KI-hjelp i skriveaktiviteter for alle Spaces-rom med bekreftet tilknytning til én skole, også nye rom. Rom kan ha strengere egne valg; et rom kan ikke oppheve skolens sperre. Innstillingene er ikke automatisk slått på for alle skoler. Rom uten bekreftet skolekobling omfattes ikke. Andre KI-funksjoner og felles styring på skoleeiernivå inngår ikke i disse to sperrene.
Dette er 321skoles modell for skolebruk. Skole- og romsperrer for de to angitte Spaces-funksjonene er innført. Den tekniske kontogrensen mellom skolebruk og individuell egenstudie er også innført og kontrollert med syntetiske kontoer 11. november 2026. Øvrig samlet KI-håndheving og skoleeierbegrensninger vurderes videre. Dette er ikke en bekreftelse på at alle KI-sperrer er implementert.
Kontogrensen mellom skolebruk og individuell egenstudie er innført og kontrollert med syntetiske kontoer 11. november 2026. Feide-koblet eller aktivt skolekoblet elevkonto kan ikke aktiveres for individuell egenstudie, også når et eldre profilvalg peker mot egenstudie. Egenstudie krever en separat individuell konto; skoledata og elevarbeid overføres ikke automatisk. Lærere kan fortsatt bruke Feide til undervisningsverktøyene. Faktisk Feide-innlogging prøves når skoleeier har aktivert tjenesten.
Mulige skoleeiertilpasninger konsentreres om behandling av elevinnhold med KI, lagring av medier, produktanalyse og offentlig deling. Live, språkstøtte og lærerens generelle KI-verktøy presenteres ikke som en meny av kommunevalg. Særskilte sperrer må avklares, utvikles og testes før de kan tilbys.

Leverandør og ansvar ved skolebruk

321skole leveres av Fjord Service. Foretaksopplysninger, kontaktinformasjon og ansvar ved skolebruk følger nedenfor.

Fjord Service Jan Hogne Christiansen (ENK), org.nr. 968 400 789. Adresse: Røysegata 19, 6003 Ålesund. Kontakt for personvern og avtale: post@321skole.no. Kommunens avtalepart og ansvarlige kontaktpersoner fylles inn i den konkrete avtalen.
Ved kommunal skolebruk er avtaleoppsettet at kommunen/skoleeier bestemmer formål og behandlingsgrunnlag, og at Fjord Service behandler skoledata på kommunens dokumenterte instrukser. Egne leverandørformål, som fakturering og nødvendig drift av egne kundeforhold, må beskrives separat.

Formål og brukergrupper

Skoleformålet er lærerstyrt undervisning: dele læringsinnhold, gjennomføre aktiviteter, motta elevarbeid, gi tilbakemelding og administrere skolens bruk. Live inngår i foreslått skoleomfang. KI-hjelp, analyse, publisering, lesetester og egenstudie har egne vurderingspunkter; foreslåtte begrensninger er ikke automatisk teknisk håndhevet.

Lærere oppretter undervisningsrom, aktiviteter og oppgaver. Elever deltar med personlig kode eller en konto avklart med skolen. Foresatte får informasjon om skolebruken gjennom skolen.
Avtalt rollemodell: skoleadministrator administrerer bare egen skoles lærere innenfor lisensen og får aggregert skolestatistikk. Rollen alene skal ikke gi tilgang til individuelle elevsvar, KI-feedback eller undervisningsrom. En administrator som også er lærer får egne undervisningsrettigheter gjennom lærerrollen.
Skoleeier må avklare elevkontoer, deltakelse med kode og KI for den aktuelle aldersgruppen og undervisningen. En generell 13-årsgrense eller foresattes aksept erstatter ikke kommunens vurdering av behandlingsgrunnlag, avtale og risiko ved skolebruk.

Elevtilgang og kontoer

Elever kan delta med kode/QR uten privat e-post eller personlig Feide-innlogging. Deltakelsen knyttes til en teknisk bruker-ID, valgt visningsnavn, romtilknytning og innsendt arbeid. Dette kan være personopplysninger; «anonym innlogging» betyr ikke at arbeidet er anonymisert.

Godkjenningsflyten for nye kontotilknytninger i Spaces er innført. Personlig deltakerkode alene gir ikke en ny konto/enhet tilgang til eksisterende deltakerarbeid. En lærer med nødvendig administrasjonstilgang godkjenner tilknytningen med deltakerens midlertidige bekreftelseskode. Tilgang kan tilbakekalles uten at arbeidet slettes. Flyten er kontrollert med syntetiske kontoer og testrom. Kode/QR krever ikke privat e-post, men innebærer ikke at elevdata er anonymisert.
Ved deltakelse uten personlig konto kan elevens tekniske identitet være knyttet til nettleseren. Ny enhet, privat nettlesing eller slettet nettleserlagring kan opprette en ny identitet. Kobling til en innlogget konto kan videreføre tilknyttet arbeid.
Skoleopprettede elevkontoer kan bruke skolebestemt påloggingsidentitet i stedet for privat e-post. Kontotype og rutine for utlevering/tilbakestilling av innlogging må avklares med skolen.

Personopplysninger per brukergruppe

Opplysningene avhenger av kontotype og funksjoner som faktisk brukes. Skoleavtalens behandlingsbilag skal avgrense kategoriene til kommunens bruk.

Lærer: bruker-ID, navn/visningsnavn, e-post når tilgjengelig, innloggingsleverandør, rolle, eventuell skoletilknytning, rom, oppgaver, innhold, bruks-/kvoteinformasjon og tidsstempler.
Elev med konto: bruker-ID, navn/visningsnavn, eventuell e-post eller skolebestemt påloggingsidentitet, rolle, romtilknytning, svar, resultater og lærer-/KI-feedback. Autentiseringsleverandøren behandler nødvendige innloggingsopplysninger.
Elev uten personlig konto: teknisk bruker-ID, valgt visningsnavn, rom-/aktivitetstilknytning, innsendt arbeid, eventuelle vedlegg og tidsstempler. Tekst og vedlegg kan inneholde personopplysninger selv om e-post ikke samles inn.
Skoleadministrator: konto-/kontaktopplysninger, skole, medlems-/lisensadministrasjon, administrasjonshendelser og aggregert statistikk for egen skole. Individuelle elevsvar inngår ikke i administratorrollens avtalte tilgang.

Elevarbeid, medier og tekniske data

Elevinnhold kan inneholde personopplysninger selv om skjemaet ikke ber om dem. Bruk bare opplysninger og medier som er nødvendige for skoleformålet.

Arbeid: fritekst, oppgavesvar, skriveprodukter, innleveringsstatus, resultater, lese-/aktivitetstider og tilbakemeldinger. Lesetestsignaler er pedagogisk støtte, ikke en offisiell diagnose.
Medier: elevlyd, lydinnlesing, podcastsegmenter, skrivebilder og delte tavlebilder, med kobling til relevant bruker, rom eller aktivitet. Stemmer og bilder kan identifisere eleven.
Automatisk/teknisk: autentiseringsmetadata, tidsstempler, side-/hendelsesdata og nødvendige drifts-/sikkerhetslogger. Infrastrukturleverandører kan behandle IP-adresse og nettleser-/enhetsopplysninger. Omfang og lagringstid må dokumenteres per tjeneste.

KI og behandling av elevarbeid

Når læreren ber om KI-feedback, kan elevsvar, oppgavetekst, relevant lesetekst, resultater og annen nødvendig oppgavekontekst sendes til OpenAI. At eleven ikke chatter direkte med KI betyr derfor ikke at elevarbeid holdes utenfor KI-behandlingen. Fritekst kan inneholde personopplysninger.

Lærere har KI-verktøy til undervisningsinnhold og forslag til tilbakemeldinger. Elever i Spaces bruker oversettelse, ordstøtte, opplesing og lærerstyrt KI-hjelp i aktiviteter. Elevenes frie KI-generering hører til individuell egenstudie utenfor skolekontoen. Kontogrensen er innført og prøvd med syntetiske kontoer; øvrig samlet KI-håndheving vurderes videre.
Oversettelse, ordstøtte og tekst-til-tale er KI-baserte støttefunksjoner i 321skole. Tekst som skal oversettes eller leses opp, og relevant språkkontekst, kan sendes til OpenAI. Funksjonene kan støtte forståelse, språklæring og tilgang til undervisningsinnhold. De vurderes særskilt fra fri KI-generering og KI-feedback. Vanlige elevopptak og avspilling av lyd innebærer ikke i seg selv KI-behandling.
321school bruker OpenAI Platform/API. Produkteier opplyser at DPA er signert 23. oktober 2026. Kontobilder viser alle tre delingsvalg deaktivert, API call logging Enabled per call og Project Residency Global. OpenAI oppgir at API-data ikke brukes til trening uten aktiv tilslutning. Global er ingen EU-avgrensning eller angivelse av ett bestemt behandlingsland. Svarlagring, Files, prompt-cache og sikkerhetslogger har ulike regler; ingen generell nullagringsgaranti gis. Eksplisitt store:false i de utvalgte tekstkallene er innført 28. oktober 2026. Dette endrer ikke de øvrige lagringsreglene.
KI-feedback er forslag. Læreren må vurdere innholdet før det brukes som lærerens tilbakemelding eller vurdering. Unngå unødvendige navn, helseopplysninger og private familieforhold i prompter og fritekst.

Feide og kontotilgang

Tjenesten er registrert i Feide kundeportal som Innlogging 321skole, tjeneste-ID 2196690, med Fjord Service som oppgitt leverandør og OpenID Connect som autentiseringstype. Innloggingen bruker Firebase Authentication. Registreringen er dokumentert i konsollbilder 25. oktober 2026. Den enkelte skoleeiers aktivering og faktisk innlogging kontrolleres før Feide tas i bruk der. Lisens, roller og romtilgang styres i 321school.

Feide-portalen viser tre attributtgrupper/scopes: navn (userinfo-name), brukeridentifikatorer hos organisasjonen (userid-feide) og e-post (email). Oppgitte formål er gjenkjenning, riktig kontokobling, sikker innlogging, kontoadministrasjon og nødvendig kommunikasjon. Faktisk utlevering avhenger av organisasjonskatalogen og oppsettet. Kontoflyten kan lagre navn og e-post fra Firebase. Eventuell datakildedeling og faktisk feltbruk avstemmes særskilt.
Attributter oppført i Feide-portalen: userinfo-name omfatter givenName, sn, norEduPersonLegalName, displayName og cn; userid-feide omfatter eduPersonPrincipalNamePrior, eduPersonPrincipalName, uid, eduPersonTargetedID og eduPersonUniqueId; email omfatter mail. Dette er konfigurerte forespurte felt, ikke dokumentasjon på at alle feltene mottas eller lagres. Feide-identifikatorer må skilles fra Firebase UID.
Feide-godkjenning er ikke en databehandleravtale, kjøpt lisens eller tildeling av administratorrettigheter. Det er ikke funnet automatisk skoleadministratortildeling basert bare på Feide-innlogging i den gjennomgåtte koden. Det bes ikke om fødselsnummer i den ordinære klientflyten; full attributtkonfigurasjon skal bekreftes.

Lagring, mottakere og overføringer

321skole bruker Google Cloud Firestore og Firebase Storage i prosjektet skole-c09b8. Firestore-databasen (default) og Storage-bøtten skole-c09b8.firebasestorage.app ligger begge i europe-west1 (Belgia). Bøtten har regional lagring. Plasseringene er kontrollert av Fjord Service i Firebase Console og Google Cloud Console 18. oktober 2026.

Lagring i en europeisk region betyr ikke at all behandling skjer i EØS. Autentisering, serverbehandling, support, logger, KI og e-post må vurderes hver for seg. Avtalepart, behandlingsland, relevant overføringsgrunnlag og eventuelle tilleggstiltak skal bekreftes per leverandør.
Google/Firebase, Vercel og OpenAI har ulike oppgaver. E-post, betaling, Feide og eksternt video-/kursinnhold må også avgrenses. Ikke alle tjenester på leverandørlisten er nødvendigvis underdatabehandlere for elevdata i den konkrete skoleavtalen.

Nettleserlagring og analyse

Google Analytics og egen produktanalyse er deaktivert i den publiserte løsningen, uavhengig av rolle. Nødvendig drifts-/sikkerhetslogging og pedagogisk statistikk er egne formål og er ikke slått av gjennom dette tiltaket. Aggregert statistikk er ikke nødvendigvis anonym, særlig i små grupper.

Google Analytics og egen produktanalyse er slått av i den publiserte kodepolicyen for alle roller, innført 28. oktober 2026. Dette er kontrollert i kilde og tester og ved en utvalgt offentlig sidevisning. Nødvendig drifts-/sikkerhetslogging og pedagogiske resultater beskrives separat. Eventuell senere aktivering av produktanalyse krever en egen vurdering og dokumentert endring.
Firebase-innlogging og funksjoner kan bruke cookies, IndexedDB, localStorage og sessionStorage. Nettleseren kan også inneholde teknisk brukeridentitet, visningsvalg og ulagrede utkast. Sletting av nettleserdata sletter ikke arbeidet som er lagret på serveren.
Skoledata skal ikke selges eller brukes til tredjepartsannonsering eller reklameprofiler. Analyse, drift og eventuell produktforbedring må ha uttrykkelig beskrevet formål og grunnlag; dette er ikke en generell tillatelse til gjenbruk av elevarbeid.

Oppbevaring, rettigheter og sletting

Avtaleutkastet foreslår målfrister som må fastsettes med skoleeier: elevarbeid og tilhørende lyd/filer under aktivt undervisningsløp og sletting innen 90 dager etter avtalt avslutning, drifts-/feillogger 30 dager og sikkerhetslogger 90 dager. Skolens instruks, tidligere sletting og tilbakelevering avklares i bilag D. Konkret hendelsesmateriale kan bevares særskilt med dokumentert grunnlag og ny vurderingsdato. Fristene er ikke samlet verifisert håndhevet i drift; rutiner, eksport, kopier og leverandørfrister ferdigstilles separat.

Daglig sikkerhetskopiering er etablert for Firestore, Firebase Authentication-kontoer og ferdig lagrede filer, med lagring i Belgia. Auth- og filkopiene kontrolleres separat. Ved feil eller uteblitt helsekontroll sendes varsel til driftsansvarlig og reserveperson. Første planlagte automatiske Auth-/filrunde ble gjennomført og separat verifisert 4. november 2026. Uferdige filopplastinger inngår ikke i filkopien.
Firestore-kopier har 14 dagers oppbevaring. Auth- og filbackupområdet har en livssyklusregel som gjør kopier kvalifisert for sletting etter 14 dager og sju dagers soft delete etter faktisk sletting. Tidspunktet for sletting avhenger av når livssyklusregelen kjøres. Oppbevaring av sikkerhetskopier er forskjellig fra fristene for elevarbeid og logger i bilag D.
Avgrensede gjenopprettingsprøver for Firestore, filer og Auth-kontoer er gjennomført med syntetiske data i isolerte skymiljøer. Rutinen dokumenterer kontroll av data og tilgang før gjenåpning. Samlet gjenoppretting av en Spaces-fil sammen med tilhørende dokumentreferanser er et eget gjenstående kontrollsteg. Dataimport gjenoppretter ikke nødvendigvis tidligere innloggingsøkter.
Fjerning fra et Space, kontodeaktivering, arkivering og sletting er ulike handlinger. Tilgang kan stoppes uten at innhold slettes. Sletting må også håndtere vedlegg, referanser, leverandørkopier og eventuelle gamle tilgangslenker; arkivering alene dokumenterer ikke sletting.
Ved skolebruk går forespørsler fra elever/foresatte normalt til skolen/kommunen. Fjord Service bistår etter avklart instruks og identitetskontroll. Rettigheter og eventuelle unntak vurderes konkret av behandlingsansvarlig; klage kan sendes til Datatilsynet.

Sikkerhet og dokumentasjonsstatus

Tilgangskontroll, privat filflyt og godkjenning av deltakerbindinger ble satt i drift 28. oktober 2026. Firestore-/Storage-regler og appflyt er kontrollert med syntetiske kontoer, et eget testrom og avvisning av uvedkommende tilgang. Gamle direkte downloadtoken er tilbakekalt for hele det kartlagte utvalget på 128 lydfiler, etterkontrollert 29. oktober. Filer, besvarelser og medlemskap er bevart. Skolegrensen for nye invitasjoner ble innført 6. november og tidsbegrenset vikartilgang 7. november 2026, begge med dokumentert funksjonskontroll. Kontrollgrunnlaget gjelder de undersøkte flytene og filutvalget.

Synlighetskontrollen for leksjonspublisering er innført og verifisert i produksjon 12. november 2026 med syntetiske data. Publisering krever et uttrykkelig synlighetsvalg: offentlig, ulistet eller privat. Biblioteket viser bare aktive offentlige kopier. Ulistede kopier kan åpnes av alle som har lenken; dette er ikke privat tilgang. Private kopier krever eier- eller plattformadministratortilgang og holdes utenfor offentlig listing og sidemetadata. Ved avpublisering stenges offentlig tilgang til kopien, mens innholdet og eierens tilgang beholdes.
Godkjenningsflyten for nye kontotilknytninger i Spaces er innført. Personlig deltakerkode alene gir ikke en ny konto/enhet tilgang til eksisterende deltakerarbeid. En lærer med nødvendig administrasjonstilgang godkjenner tilknytningen med deltakerens midlertidige bekreftelseskode. Tilgang kan tilbakekalles uten at arbeidet slettes. Flyten er kontrollert med syntetiske kontoer og testrom. Kode/QR krever ikke privat e-post, men innebærer ikke at elevdata er anonymisert.
Skolegrensen for nye medlærer- og observatørinvitasjoner til skolerom er innført og kontrollert 6. november 2026. Lærere som inviteres, må ha aktiv tilknytning til samme skole. Skoleadministratorrollen gir ikke i seg selv innsyn i individuelle elevsvar eller rett til å invitere på vegne av romeier.
Tidsbegrenset vikartilgang er innført og kontrollert 7. november 2026. Skoleadministrator kan gi en lærer med aktiv tilknytning til samme skole tilgang til et bestemt skolerom, også ved lærerfravær. Vikaren kan lese oppgaver og elevsvar og gi skriftlig tilbakemelding gjennom en egen avgrenset visning. Tilgangen kan trekkes tilbake og utløper automatisk. Tildeling, utløpsfrist og tilbakekalling loggføres. Tilgangen gir ikke ordinære administrasjonsrettigheter i rommet eller generell tilgang til skolens øvrige rom.
Fra 11. november 2026 kan plattformadministrator sperre KI-forslag til Lessons-besvarelser og KI-hjelp i skriveaktiviteter for alle Spaces-rom med bekreftet tilknytning til én skole, også nye rom. Rom kan ha strengere egne valg; et rom kan ikke oppheve skolens sperre. Innstillingene er ikke automatisk slått på for alle skoler. Rom uten bekreftet skolekobling omfattes ikke. Andre KI-funksjoner og felles styring på skoleeiernivå inngår ikke i disse to sperrene.
Kontroller med syntetiske kontoer og testrom har bekreftet avvisning over skolegrensen, fortsatt ordinær elev- og medlærertilgang og at tilbakekalling og utløp stenger videre vikartilgang. Eksisterende elevarbeid er bevart. Kontrollgrunnlaget gjelder de prøvde flytene.
Planner er satt på pause i den publiserte løsningen. Navigasjon, direkte sider, Planner-API-er, KI-/kalenderinnganger og vanlig klienttilgang til originalplanene er sperret. Selvstendige oppgavekopier som tidligere er delt til Spaces følger fortsatt ordinær Spaces-tilgang. Pausen sletter eller migrerer ikke eksisterende innhold.
Vercel Functions i produksjon kjører i Frankfurt (fra1), kontrollert ved innføringen 28. oktober 2026. Flyttingen endrer ikke automatisk behandlingssted hos Firebase Authentication, OpenAI, Resend eller øvrige tjenester, og avgrenser heller ikke all logging, CDN-, bygge- og supportbehandling til EØS.
Den avtalte tilgangsmodellen skiller undervisningsrettighet, Space-medlemskap, skolelisens og global kontostatus. Små grupper og sammenstilling av statistikk må vurderes slik at enkeltpersoner ikke avsløres utilsiktet.
Sikkerhetsbilaget skal samle de dokumenterte tiltakene og beskrive ansvar, tilgang til driftslogger, oppbevaring, gjenoppretting og håndtering av sikkerhetsbrudd. Gjennomførte kontroller og videre oppfølging beskrives hver for seg.

Kontakt om personvern og skolebruk

Kontakt Fjord Service på post@321skole.no med spørsmål om personvern, databruk eller behov for tilpasninger. Omfang og gjennomføring av eventuelle tilpasninger avklares i dialog med skoleeier.

Kontakt Fjord Service Leverandører og behandlingssteder Innsyn og sletting DBA-utkast og bilag KI og dataflyt