INTEGRITETSPOLICY

Innehåll

1. Vad denna policy omfattar
2. Personuppgiftsansvarig och kontakt
3. Dataskyddsombud
4. När Gradr är ansvarig och när Gradr är biträde
5. Behandlingar som Gradr ansvarar för
6. Varifrån uppgifterna kommer
7. Mottagare
8. Var uppgifterna behandlas
9. Kakor och spårning på gradr.se
10. Säkerhet
11. Dina rättigheter
12. Klagomål
13. Ändringar i denna policy
14. Kontakt
15. Revisionshistorik

1. Vad denna policy omfattar

Denna policy beskriver den behandling av personuppgifter där Gradr AB är personuppgiftsansvarig, alltså där Gradr själv bestämmer ändamålen med och medlen för behandlingen. Policyn omfattar Gradrs kundregister, Gradrs egna utskick, avtalsadministration, bokföring, rekrytering, förfrågningar från andra än användare av Gradrs plattform samt webbplatsen gradr.se.

Policyn omfattar inte behandlingen av elevers och lärares uppgifter i Gradrs plattform. Där är skolhuvudmannen personuppgiftsansvarig och Gradr är personuppgiftsbiträde. Den behandlingen regleras av det personuppgiftsbiträdesavtal som huvudmannen har ingått med Gradr, och informationen till elever, lärare och vårdnadshavare lämnas av huvudmannen. Avsnitt 4 anger vad som gäller och vart du ska vända dig.

Gradr lämnar informationen i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679, dataskyddsförordningen.

2. Personuppgiftsansvarig och kontakt

Gradr AB, organisationsnummer 559475-9630, Brännkyrkagatan 103 B, 117 26 Stockholm.

Dataskyddsfrågor som rör Gradrs egen behandling: privacy@gradr.se

Misstänkt obehörig åtkomst eller säkerhetsproblem: security@gradr.se

3. Dataskyddsombud

Gradr har inte utsett något dataskyddsombud. Bedömningen har gjorts enligt artikel 37.1 i dataskyddsförordningen och avser båda Gradrs roller, alltså både den egna behandlingen och behandlingen som personuppgiftsbiträde.

Gradr är inte en myndighet eller ett offentligt organ, och artikel 37.1 a är därför inte tillämplig. Gradrs bedömning är att behandlingen varken innefattar regelbunden och systematisk övervakning av registrerade i stor omfattning enligt artikel 37.1 b, eller behandling i stor omfattning av uppgifter som omfattas av artikel 9 enligt artikel 37.1 c. Underlaget för den bedömningen, alltså vilka uppgifter plattformen behandlar och hur den loggar åtkomst, framgår av personuppgiftsbiträdesavtalets Bilaga 1 punkt 2 och punkt 6 och av Gradrs DPIA-underlag.

Gradr omprövar bedömningen om behandlingens omfattning ändras. Bedömningen avser Gradrs egen skyldighet enligt artikel 37 och ersätter inte skolhuvudmannens bedömning enligt artiklarna 24, 35 och 37, som huvudmannen gör i egenskap av personuppgiftsansvarig.

4. När Gradr är ansvarig och när Gradr är biträde

Åtskillnaden mellan dessa två roller är avgörande och bestämmer vart du ska vända dig.

Är du osäker på vilken situation som gäller, kontakta privacy@gradr.se, så utreder Gradr frågan.

5. Behandlingar som Gradr ansvarar för

Uppgifterna som omfattas av denna policy är i allt väsentligt kontaktuppgifter i yrkesrollen, alltså namn, titel, arbetsgivare och kontaktuppgifter i tjänsten för personer hos kommuner, skolhuvudmän och skolor. Gradr behandlar inga uppgifter om elever, provsvar eller återkoppling inom ramen för denna policy.

Utskick till dig som använder plattformen. Information om plattformen som skickas till lärare och skoladministratörer i deras egenskap av användare är inte Gradrs egen behandling. Den sker på skolhuvudmannens instruktion enligt personuppgiftsbiträdesavtalets Bilaga 1 punkt 1 b led 7 och beskrivs i avsnitt 7 i Gradrs användarvillkor. Gradr använder inte uppgifter om användare i plattformen för sina egna utskick enligt tabellen ovan, vilket följer av Bilaga 1 punkt 9 b i samma avtal, och håller de två mottagarkretsarna åtskilda.

Samtycke till Gradrs egna utskick. Gradr skickar inte utskick av marknadsföringskaraktär med elektronisk post till en fysisk person som inte i förväg har samtyckt till det, utom där 19 § andra stycket marknadsföringslagen är tillämpligt. Samtycket inhämtas när mottagaren själv anmäler sig till Gradrs utskick och kan återkallas när som helst.

Om berättigat intresse. Där Gradr stödjer sig på berättigat intresse har Gradr gjort en avvägning mellan sitt intresse och den registrerades intressen och grundläggande rättigheter. Behandlingarna avser personer i deras yrkesroll, omfattar inga särskilda kategorier av personuppgifter och innebär ingen profilering. För rekrytering gäller att ansökningshandlingar kan innehålla uppgifter som den sökande själv har lämnat och som omfattas av artikel 9. Gradr efterfrågar inte sådana uppgifter. Du har rätt att invända, se avsnitt 11. Gradr lämnar på begäran en redogörelse för en enskild avvägning.

Om du måste lämna uppgifterna. Du är inte skyldig att lämna personuppgifter till Gradr. För att Gradr ska kunna administrera ett avtal med din organisation, hantera ett ärende eller pröva din ansökan behövs dock de uppgifter som anges i tabellen ovan. Lämnas de inte, kan Gradr inte utföra åtgärden i fråga.

Vad Gradr inte gör. Gradr säljer inte personuppgifter. Gradr använder inte personuppgifter för annonsering. Gradr fattar inga automatiserade beslut med rättsliga följder eller liknande betydande verkan för dig enligt artikel 22 i dataskyddsförordningen inom ramen för sin egen behandling. Förbudet mot att använda personuppgifter från plattformen för att träna eller finjustera AI-modeller följer av personuppgiftsbiträdesavtalets Bilaga 1 punkt 9 a och gäller även underbiträdena.

6. Varifrån uppgifterna kommer

Från dig själv, när du kontaktar Gradr, anmäler dig till ett utskick, söker en tjänst eller lämnar uppgifter i ett ärende.

Från din organisation, när den ingår avtal med Gradr eller utser dig till kontaktperson.

Från offentliga källor, för uppgifter om kontaktpersoner i yrkesrollen hos kommuner, skolhuvudmän och skolor.

7. Mottagare

Följande leverantörer behandlar personuppgifter för Gradrs räkning inom ramen för Gradrs egen behandling.

Gradr anlitar rapidmail i två skilda egenskaper. För Gradrs egna utskick enligt avsnitt 5 är leverantören personuppgiftsbiträde åt Gradr. För utskick av icke transaktionell information om plattformen till lärare och skoladministratörer är leverantören i stället underbiträde under det personuppgiftsbiträdesavtal som skolhuvudmannen har ingått, och förtecknas där i Bilaga 2. De två behandlingarna har skilda ändamål, skilda mottagarkretsar och skilda rättsliga grunder.

De leverantörer som anlitas för behandlingen i plattformen, alltså där Gradr är biträde åt en skolhuvudman, är delvis andra och förtecknas i Bilaga 2 till personuppgiftsbiträdesavtalet.

Utöver leverantörerna ovan kan Gradr lämna personuppgifter till

1. myndigheter, exempelvis Skatteverket, Integritetsskyddsmyndigheten eller Polismyndigheten, när det krävs enligt lag eller myndighetsbeslut,
2. kundorganisationen, alltså din skolhuvudman eller arbetsgivare, i frågor som rör avtalet, och
3. revisorer och juridiska rådgivare, inom ramen för deras uppdrag.

Var och en hos Gradr som behandlar personuppgifter har åtagit sig att iaktta sekretess. Åtagandet gäller även efter det att anställningen eller uppdraget har upphört.

8. Var uppgifterna behandlas

Personuppgifterna i Gradrs plattform behandlas inom EU och EES. Det följer av personuppgiftsbiträdesavtalets Bilaga 1 punkt 7, och redovisningen finns i Bilaga E till Gradrs DPIA-underlag.

Denna policy avser Gradrs egna verktyg för kundkontakt och administration. Uppgift om var en enskild leverantör behandlar uppgifterna, och om vilka skyddsåtgärder som tillämpas om behandlingen sker utanför EU och EES, lämnas på begäran till privacy@gradr.se.

9. Kakor och spårning på gradr.se

Webbplatsen sätter inga kakor. Den laddar inga skript från tredje part, alltså inga verktyg för besöksstatistik eller spårning. Webbplatsen har inte heller någon mätpixel eller någon chattfunktion från tredje part. De enda skript som förekommer är inbäddade block med strukturerade metadata om webbplatsens eget innehåll.

Eftersom inga kakor sätts, uppkommer ingen fråga om samtycke enligt 6 kap. 18 § lagen (2022:482) om elektronisk kommunikation. Skulle detta ändras, förser Gradr webbplatsen med en funktion för samtycke innan kakor som inte är nödvändiga för att tillhandahålla den begärda tjänsten sätts, och uppdaterar denna policy.

10. Säkerhet

Gradr vidtar tekniska och organisatoriska åtgärder för att skydda personuppgifter enligt artikel 32 i dataskyddsförordningen, anpassade till de uppgifter denna policy omfattar. Åtgärderna omfattar bland annat kryptering under överföring med TLS, rollbaserad behörighet och loggning av åtkomst. För de leverantörer som anges i avsnitt 7 svarar respektive leverantör för åtgärderna i sin egen tjänst.

De säkerhetsåtgärder som gäller för behandlingen i plattformen anges i personuppgiftsbiträdesavtalets Bilaga 1 punkt 5 och i Del 6 av Gradrs DPIA-underlag.

11. Dina rättigheter

Rättigheterna nedan gäller den behandling där Gradr är personuppgiftsansvarig. Rör din begäran uppgifter i plattformen, ska du vända dig till din skolhuvudman, som är personuppgiftsansvarig där. Gradr bistår huvudmannen enligt personuppgiftsbiträdesavtalet.

Tillgång, artikel 15. Du har rätt att få veta om Gradr behandlar dina personuppgifter, att få en kopia av dem och att få information om behandlingen.

Rättelse, artikel 16. Du har rätt att få felaktiga uppgifter rättade och ofullständiga uppgifter kompletterade.

Radering, artikel 17. Du har i vissa fall rätt att få dina uppgifter raderade, exempelvis när de inte längre behövs för det ändamål de samlades in för, eller när du har invänt mot en behandling som stödjer sig på berättigat intresse och Gradr inte har tvingande berättigade skäl som väger tyngre. Rätten gäller inte där Gradr är skyldig att bevara uppgifterna, exempelvis enligt bokföringslagen.

Begränsning, artikel 18. Du har rätt att begära att behandlingen begränsas, exempelvis medan en invändning eller en uppgifts riktighet prövas.

Dataportabilitet, artikel 20. Du har rätt att få ut de uppgifter du själv har lämnat till Gradr i ett strukturerat, allmänt använt och maskinläsbart format och att få dem överförda till en annan personuppgiftsansvarig där det är tekniskt möjligt. Rätten gäller behandling som stödjer sig på samtycke eller avtal och som sker automatiserat. Den gäller därmed inte den behandling som stödjer sig på berättigat intresse eller på rättslig förpliktelse.

Invändning mot direktmarknadsföring, artikel 21.2. Invänder du mot att dina uppgifter används för direktmarknadsföring, upphör Gradr med den behandlingen. Du behöver inte ange något skäl. Du anmäler det till privacy@gradr.se.

Invändning i övrigt, artikel 21.1. Du har rätt att av skäl som hänför sig till din specifika situation när som helst invända mot behandling som stödjer sig på berättigat intresse. Gradr upphör då med behandlingen om det inte finns tvingande berättigade skäl som väger tyngre än dina intressen, rättigheter och friheter.

Återkalla samtycke, artikel 7.3. Bygger en behandling på ditt samtycke, kan du när som helst återkalla det. Återkallelsen påverkar inte lagligheten av behandling som redan har skett.

Du utövar dina rättigheter genom att kontakta privacy@gradr.se. Gradr besvarar en begäran utan onödigt dröjsmål och senast inom en månad. Är begäran komplicerad, kan Gradr förlänga tiden med två månader, och du får då besked om det inom den första månaden. Gradr kan behöva begära ytterligare information för att kunna identifiera dig innan begäran verkställs.

12. Klagomål

Är du missnöjd med hur Gradr behandlar dina personuppgifter, har du rätt att lämna in ett klagomål till Integritetsskyddsmyndigheten.

Integritetsskyddsmyndigheten, Box 8114, 104 20 Stockholm. E-post imy@imy.se, telefon 08-657 61 00, webbplats imy.se.

Du är välkommen att kontakta Gradr först, men du behöver inte göra det innan du klagar.

13. Ändringar i denna policy

Gradr kan komma att uppdatera policyn. Den senaste versionen publiceras på gradr.se med datum för senaste uppdatering. Vid väsentliga ändringar informerar Gradr berörda registrerade särskilt, där det är möjligt.

14. Kontakt

Dataskyddsfrågor som rör Gradrs egen behandling: privacy@gradr.se.

Frågor om Gradrs användarvillkor: privacy@gradr.se.

Misstänkt obehörig åtkomst eller säkerhetsproblem: security@gradr.se.

Frågor om behandlingen i plattformen: din skolhuvudmans dataskyddsombud.

15. Revisionshistorik