ANVÄNDARAVTAL

Innehåll

• 1. Om dessa villkor
• 2. Ditt konto och dina inloggningsuppgifter
• 3. Administratörsrollen hos din huvudman
• 4. Så fungerar AI-stödet
• 5. Din granskningsskyldighet
• 6. Begränsningar i din användning
• 7. Behandling av personuppgifter
• 8. Träning av AI
• 9. Ansvarsbegränsningar
• 10. Immateriella rättigheter
• 11. När din åtkomst upphör
• 12. Tillgänglighet och AI-kunnighet
• 13. Tillämplig lag och tvister
• 14. Kontakt

1. Om dessa villkor

Detta användaravtal (villkoren) gäller för dig som slutanvändare av Gradrs tjänster, alltså i normalfallet för dig som är lärare eller skoladministratör.

Din användning regleras också av avtalet mellan Gradr och din huvudman, alltså din arbetsgivare eller organisation. I den mån ett sådant avtal har träffats är dessa villkor underordnade det. Behandlingen av personuppgifter i tjänsten regleras dessutom av det personuppgiftsbiträdesavtal som din huvudman har ingått med Gradr. Om dessa villkor avviker från något av de avtalen gäller avtalen.

Elever använder tjänsten men är inte mottagare av dessa villkor, eftersom eleven inte har någon avtalsrelation med Gradr. Information till elever och vårdnadshavare finns i de mallar som Gradr tillhandahåller din huvudman, Bilaga B till Gradrs DPIA-underlag.

Ändringar. Gradr får revidera dessa villkor. Uppdaterade villkor publiceras på https://gradr.se/terms/user-agreement med datum för senaste uppdatering, och meddelas din huvudman skriftligen minst trettio dagar innan de träder i kraft med angivande av vad som ändras. En ändring som inskränker huvudmannens eller din rätt, eller som utökar era skyldigheter, gäller mot huvudmannen först sedan huvudmannen skriftligen godkänt den. En ändring får aldrig inskränka det som följer av personuppgiftsbiträdesavtalet eller av avtalet mellan Gradr och huvudmannen.

2. Ditt konto och dina inloggningsuppgifter

Du ansvarar för att skydda dina inloggningsuppgifter till Gradrs tjänster och för att inte dela dem med andra, inklusive kollegor.

Logga in via din huvudmans egen inloggningslösning där det är möjligt. Skälet är att tvåfaktorsautentisering inte är tillgänglig för huvudmannens användarroller i tjänsten. Vid inloggning via huvudmannens lösning tillämpas i stället huvudmannens egen policy för flerfaktorsautentisering. Tjänsten stödjer inloggning via Microsoft Entra ID och Google Workspace for Education.

Vad som gäller för konton med lokalt lösenord. Lösenordet ska vara mellan åtta och trettiotvå tecken och innehålla minst en versal, en gemen och en siffra. Kravet tvingas av tjänsten vid registrering, vid inbjudan och vid lösenordsbyte, och lösenordet lagras som saltat hashvärde. Det går inte att skapa ett konto på egen hand: konton skapas genom inbjudningslänkar. Samma uppgifter anges i personuppgiftsbiträdesavtalets Bilaga 1 punkt 5.

Sessioner. När du har loggat in gäller din session tills du har varit inaktiv i 72 timmar. Sessionen förlängs så länge du är aktiv, men upphör alltid senast 30 dagar efter inloggningen, och därefter måste du logga in på nytt. När du loggar ut avslutas den session du loggar ut från; är du inloggad på flera enheter påverkas inte de andra. Logga därför alltid ut när du har använt en dator som andra också använder.

Säkerhetsunderlag vid inloggning. Vid varje inloggning sparas din IP-adress och uppgift om din webbläsare (user-agent) tillsammans med sessionen, som underlag för att kunna utreda obehörig åtkomst. Uppgifterna används aldrig för att avgöra åtkomst, och sessionen gäller från vilket nätverk som helst. Detta är skilt från loggningen i avsnitt 3, där IP-adressen sparas bara om din skola har valt det; som standard är det avstängt. Någon gallringsfrist för säkerhetsunderlaget finns i dag inte: avslutade och utgångna sessioner sparas tills vidare, och Gradr utfäster därför ingen gallringsfrist för dessa uppgifter.

Funktionella kakor för val av inloggningssätt. Tjänsten använder två egna funktionella kakor (cookies) för att komma ihåg hur du loggar in:

Ingen av kakorna är en inloggningsuppgift, ingen innehåller personuppgifter och ingen av dem avgör vem som får åtkomst.

Inget skydd mot upprepade inloggningsförsök. Gradr utfäster inte något skydd mot upprepade inloggningsförsök. Någon anropsbegränsning på inloggningen är inte konfigurerad, och tjänsten har ingen egen begränsning av antalet försök. Eftersom tvåfaktorsautentisering samtidigt inte är tillgänglig för huvudmannens användarroller är detta ett skäl att använda huvudmannens egen inloggningslösning där den finns, och att välja ett lösenord som är avsevärt längre och svårare att gissa än minimikravet. Förhållandet redovisas öppet i personuppgiftsbiträdesavtalets Bilaga 1 punkt 5, i DPIA-underlagets Del 6.2 och som utvecklingsområde i Del 9.3.

Om inloggningsuppgifter inte skyddas kan det leda till skada för dig, för din huvudman och för de elever vars uppgifter du har åtkomst till. Gradr ansvarar inte för skada som orsakas av att inloggningsuppgifter inte har skyddats, med de undantag som anges i avsnitt 9.

Rapportera säkerhetsproblem. Kontakta omgående Gradr på security@gradr.se och din huvudmans egen incidentfunktion om du

1. misstänker eller upptäcker obehörig åtkomst till tjänsterna eller till dina inloggningsuppgifter,
2. ser uppgifter om elever, klasser eller kollegor som du inte ska ha åtkomst till, eller
3. upptäcker något annat som kan innebära att uppgifter har röjts eller ändrats obehörigt.

Punkt 2 är särskilt viktig. En felaktig behörighet är svår att upptäcka på annat sätt än att en användare säger till.

3. Administratörsrollen hos din huvudman

Tjänsten har en administratörsroll som din huvudman förfogar över för att hantera konton. Rollen omfattar befogenhet att

• lägga till, ta bort och begränsa slutanvändares åtkomst till tjänsterna,
• konfigurera klasser, grupper och skoltillhörighet, och
• ta del av administrativ statistik och kontoinformation.

En avgränsning som är viktig för dig att känna till. Åtkomsten till elevers texter, provsvar och din återkoppling är avgränsad serversidan till de prov som är kopplade till användarens egen skoltillhörighet. Avgränsningen kan inte konfigureras bort av dig som användare eller av din huvudmans administratör. Vilka roller hos din huvudman som därutöver har åtkomst till enskilda elevers texter framgår av plattformens behörighetsmodell, och Gradr lämnar på begäran en redogörelse för den.

Tre förhållanden hör till bilden och Gradr redovisar dem hellre än att låta avgränsningen framstå som starkare än den är. Behörighetskontrollen utförs i applikationslagret före varje databasoperation, vilket innebär att avgränsningen upprätthålls av programkoden och att den kan ändras av Gradr genom en kodändring. Underlaget är Gradrs egen kodgranskning; någon granskning av oberoende part finns inte. Och användare med Gradrs interna försäljningsroll går förbi den serversidiga skolavgränsningen i exportfunktionen för elevsvar, vilket innebär att den rollen kan exportera elevsvar och återkoppling bortom skolavgränsningen; tvåfaktorsautentisering är tvingad för den rollen, och varje sidvisning av exportfunktionen loggas i revisionsloggen. Detta redovisas i DPIA-underlagets Del 6.2.3.

Din huvudman är däremot personuppgiftsansvarig för behandlingen och kan i den rollen instruera Gradr att lämna ut eller radera uppgifter, enligt personuppgiftsbiträdesavtalet. Det är alltså skillnad mellan vad en administratör kan se i tjänsten och vad huvudmannen kan begära av Gradr som personuppgiftsbiträde.

Åtkomst och åtgärder i tjänsten loggas enligt personuppgiftsbiträdesavtalets Bilaga 1 punkt 6. Huvudmannen har rätt att begära ut loggarna, som tillhandahålls inom sju arbetsdagar enligt samma punkt. Under en pågående personuppgiftsincident lämnas de loggutdrag huvudmannen behöver skyndsamt, enligt Bilaga 1 punkt 4 c i samma avtal.

Hur länge loggarna finns kvar. Loggarna gallras vid sex kalendermånader räknat från loggningstillfället, med en säkerhetsmarginal om en dag, genom ett dagligt jobb. De driftloggar Gradr för för operativ felsökning gallras efter sju dygn. Fristerna anges i personuppgiftsbiträdesavtalets Bilaga 1 punkt 6. En följd som är värd att känna till: rätten att granska loggar i efterhand är därmed begränsad till sex månader bakåt i tiden.

4. Så fungerar AI-stödet

Gradrs tjänster är ett hjälpmedel vid återkoppling och rättning och används i första hand för formativ återkoppling. Du kan också välja att göra en summativ bedömning i tjänsten, i fältet Slutbedömning. Den bedömningen gör du själv. AI-assistenten tar fram utkast till formativ återkoppling, inte betyg eller poäng, och ett AI-utkast ersätter aldrig din egen bedömning av elevens prestation. Detta följer av personuppgiftsbiträdesavtalets Bilaga 1 punkt 1 a.

Tre förhållanden är avtalade i personuppgiftsbiträdesavtalets Bilaga 1: de två första i punkt 1 a och punkt 9 c, den tredje i punkt 9 d. Gradr åtar sig i samma punkter att säkerställa dem. Inget av dem kan konfigureras bort av dig som användare.

1. Ingen AI-genererad återkoppling i fritext kan nå eleven utan att du aktivt godkänt den. Elevens vy är åtskild från lärargränssnittet, och det finns ingen väg genom systemet där ett ogranskat utkast når eleven.
2. AI-assistenten kan inte skriva till fältet Slutbedömning. Det fältet fyller du i. Det finns ingen funktion som förifyller fältet eller föreslår ett värde för godkännande med ett klick.
3. AI-assistentens systeminstruktioner förbjuder den att sätta eller föreslå betyg, poäng, betygsliknande omdömen, även om du ber om det. Om du trots detta ser ett betygsförslag i ett utkast, rapportera det till Gradr.

Vad de tre begränsningarna vilar på. De två första är spärrar i tjänstens uppbyggnad. Att AI-assistenten inte kan skriva till fältet Slutbedömning är en sådan spärr: du som lärare är den enda som kan fylla i fältet. Den tredje är en systeminstruktion, vilket är en svagare form av spärr, eftersom den styr modellens beteende och inte vad tjänsten tekniskt tillåter. Den är avtalad i personuppgiftsbiträdesavtalets Bilaga 1 punkt 9 d, som gör samma anmärkning om spärrens styrka. Samma beskrivning återfinns i Bilaga C avsnitt 3.1 och i Bilaga D avsnitt 4.2.

Självrättande frågetyper. För frågor med givna svarsalternativ, alltså kryssfrågor och andra slutna frågetyper, jämförs svaren automatiskt mot det facit du själv har angett. Rättningen sker när du initierar den, är regelbaserad och utförs inte av AI-assistenten. Tjänsten kräver inte att du granskar varje enskilt resultat innan det publiceras, men du kan ändra varje resultat i efterhand, och om du ändrar facit nollställs tidigare satta resultat för den frågan. Din huvudman kan ha beslutat att varje resultat ändå ska granskas före publicering, eller att självrättande frågetyper inte ska användas. Följ i så fall huvudmannens instruktion.

Artificiell intelligens kan producera felaktiga svar. De språkmodeller tjänsten använder kan i vissa fall generera återkoppling som är felaktig, missvisande eller inte förankrad i elevens text. Sådana fel kan vara svåra att upptäcka, och en felaktig formulering kan framstå som korrekt. Tjänsten är utformad för att minska risken, bland annat genom att modellen får uppgiftens material och de bedömningskriterier du har angett, men risken kan inte elimineras. Vad som skickas framgår i sin helhet av personuppgiftsbiträdesavtalets Bilaga 1 punkt 5.

5. Din granskningsskyldighet

Innan AI-genererad återkoppling publiceras till en elev ska du läsa både elevens svar och utkastet och bedöma om utkastet är sakligt korrekt och förankrat i elevens svar. Du ska granska varje utkast för sig.

Tjänsten har ingen funktion för automatisk, schemalagd eller samlad publicering av flera utkast, och du får inte kringgå kravet på granskning på annat sätt. Granskningen ska utföras av den lärare som undervisar eleven i ämnet, eller av annan behörig person som huvudmannen utsett.

Den återkoppling eleven får är din, den går ut i ditt namn och du svarar för dess innehåll i förhållande till din huvudman. Granskningsskyldigheten är ett villkor för din användning av tjänsten och omfattas av avsnitt 6 sista stycket.

Gradr mäter i dag inte i vilken omfattning lärare redigerar utkast före publicering. Uppföljningen av att granskning faktiskt sker är därför huvudmannens. Detta redovisas i Bilaga C avsnitt 6.2.2 och i DPIA-underlagets Del 9.4.

6. Begränsningar i din användning

Du ansvarar för att du har rätt att ladda upp material till tjänsten, att dela material med Gradr och att använda material i tjänsten.

Du får använda det material och den information som tjänsten genererar inom huvudmannens verksamhet. Du får inte sälja eller kommersiellt exploatera material från tjänsten. Denna punkt begränsar inte huvudmannens skyldigheter enligt tryckfrihetsförordningen, offentlighets- och sekretesslagen (2009:400) eller arkivlagen (1990:782).

Vad du inte får skriva in. Skriv inte in personnummer, uppgifter om hälsa, funktionsnedsättning, åtgärdsprogram, elevhälsa, religion, etniskt ursprung, sexuell läggning, politiska åsikter eller andra uppgifter som omfattas av artikel 9 i dataskyddsförordningen. Detta gäller uppgiftsinstruktioner, bedömningskriterier, bedömningspreferenser, kommentarer och bifogade referensfiler. Tjänsten har inga fält avsedda för sådana uppgifter, men de fält du skriver fritt i skickas vidare till Gradrs underbiträde för AI-inferens och omfattas inte av någon teknisk filtrering. Skriv inte heller in uppgifter om andra elever än den vars svar du bedömer, och skriv inte in uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen.

Vid användning av tjänsterna är det förbjudet att

1. använda tjänsterna på ett sätt som inkräktar på andras rättigheter,
2. överlåta din åtkomst genom underlicensiering, uthyrning eller försäljning, eller ge någon som inte har rätt till åtkomst hos huvudmannen tillgång till tjänsterna genom dina inloggningsuppgifter,
3. dekompilera, disassemblera eller på annat sätt bakåtutveckla tjänsterna, om inte lagen tillåter det,
4. skapa derivatverk genom modifiering, anpassning, översättning eller lokalisering,
5. använda automatiserade metoder för att extrahera data ur tjänsterna, såvida Gradr inte uttryckligen tillåtit det, exempelvis genom ett av Gradr tillhandahållet programmeringsgränssnitt,
6. försöka få obehörig åtkomst till Gradrs system, nätverk eller databaser,
7. använda tjänsterna för att utveckla konkurrerande produkter eller tjänster,
8. införa skadlig programvara i Gradrs nätverk eller system,
9. registrera eller ansöka om patent, varumärke eller mönsterskydd som omfattar tjänsterna eller delar av dessa,
10. störa eller försöka störa den normala funktionen av tjänsterna, eller
11. använda tjänsterna för att skapa, dela eller lagra material som är olagligt eller som utgör hot, förtal eller trakasserier.

Punkt 2 hindrar inte att material från tjänsten delas inom huvudmannens verksamhet eller med elever och vårdnadshavare, vilket är förutsatt i personuppgiftsbiträdesavtalets Bilaga 1 punkt 5, som beskriver lärarens möjlighet att exportera elevsvar till fil.

Om reglerna i detta avsnitt eller granskningsskyldigheten i avsnitt 5 inte följs kan Gradr begränsa eller avsluta din åtkomst. Gradr underrättar då huvudmannen samtidigt och anger skälet. Utom vid pågående allvarlig säkerhetsrisk ska du och huvudmannen först ges skälig tid att vidta rättelse. Åtgärden ska stå i proportion till överträdelsen.

7. Behandling av personuppgifter

För att tillhandahålla tjänsterna behandlar Gradr personuppgifter. Behandlingen sker i enlighet med dataskyddsförordningen, förordning (EU) 2016/679.

Rollfördelningen. Din huvudman är personuppgiftsansvarig för de uppgifter som behandlas i tjänsten, alltså både elevernas uppgifter och dina egna uppgifter som användare. Gradr AB är personuppgiftsbiträde och behandlar uppgifterna på huvudmannens uppdrag och enligt huvudmannens instruktion. De leverantörer som Gradr i sin tur anlitar är underbiträden och framgår av personuppgiftsbiträdesavtalets Bilaga 2.

Detaljerna framgår av det personuppgiftsbiträdesavtal som din huvudman har ingått med Gradr. Vill du veta vilka uppgifter som behandlas, på vilken rättslig grund och hur länge de sparas, vänder du dig i första hand till din huvudmans dataskyddsombud.

Sekretess och allmänna handlingar. Du omfattas i ditt arbete av offentlighets- och sekretesslagen (2009:400). Material i tjänsten kan bli allmän handling hos din huvudman, och en exporterad fil blir en del av huvudmannens dokumenthantering. Dessa villkor inskränker inte huvudmannens skyldighet att lämna ut allmänna handlingar och inte din tystnadsplikt.

Exporterade filer. När du exporterar en elevs inlämning och återkoppling till fil lämnar filen tjänsten. Gradr kan därefter inte radera den. Följ din huvudmans instruktion om var sådana filer får sparas, vem som får åtkomst och när de ska gallras.

Gradrs egen behandling. För sådan behandling där Gradr är personuppgiftsansvarig, exempelvis uppgifter om besökare på Gradrs webbplats och kontaktuppgifter i Gradrs kundregister, gäller Gradrs integritetspolicy, som du får från Gradr på begäran.

Utskick om tjänsten. Information om nya och ändrade funktioner, användningsstöd och driftinformation kan skickas till din e-postadress hos huvudmannen. Sådana utskick avser tjänsten och används inte för marknadsföring av andra tjänster. Vill du inte få dem kan du avanmäla dig i utskicket eller kontakta Gradr.

8. Träning av AI

Gradr använder inte elevdata eller annan data som härstammar från dig, från dina elever eller från din huvudman för att träna, utveckla eller förbättra AI-modeller. Förbudet gäller utan undantag och löper under hela avtalsförhållandet.

All data som behandlas inom ramen för tjänsterna, inklusive det du laddar upp och det tjänsten genererar, hanteras uteslutande för de ändamål som uttryckligen anges i personuppgiftsbiträdesavtalet mellan Gradr och din huvudman.

Gradr anlitar en tredjepartsleverantör för AI-funktionalitet: Microsoft, genom tjänsten Azure OpenAI. Förbudet gäller även detta underbiträde och är inskrivet i personuppgiftsbiträdesavtalets Bilaga 1 punkt 9 a. Gradr har inte lämnat och lämnar inte något tillstånd som skulle upphäva förbudet. Ett sådant tillstånd skulle kräva skriftlig instruktion från huvudmannen.

Var behandlingen sker. Uppgifterna lagras i Sverige, och själva AI-bearbetningen kan ske i vilken EU-medlemsstat som helst. Inga personuppgifter förs över till länder utanför EU för denna behandling.

Tillfällig lagring hos leverantören för att granska missbruk. När en text analyseras kan den lagras tillfälligt hos Microsoft för att granska misstänkt missbruk av Microsofts egen tjänst. De som får granska sådana texter finns inom EES. Microsofts villkor anger ingen bestämd tid för lagringen, och Gradr anger därför ingen tid här. Vilken modell som används styrs per funktion och per skola genom en konfiguration i tjänsten.

Sådan lagring används inte för att träna AI-modeller. Gradr anger på din huvudmans begäran vilka modeller som är konfigurerade för varje funktion, och underrättar huvudmannen innan en modell tas i bruk som medför andra villkor för lagring eller granskning. Gradr anlitar ingen annan leverantör för AI-inferens. Om en ny leverantör ska anlitas underrättas huvudmannen minst trettio dagar innan ändringen träder i kraft, enligt personuppgiftsbiträdesavtalets punkt 12.6. Uppgifter om detta finns i personuppgiftsbiträdesavtalets Bilaga 1 punkt 7 a och 7 b, punkt 8 och punkt 9 a och 9 e samt i Bilaga 2.

9. Ansvarsbegränsningar

Tjänsterna ska användas som ett hjälpmedel. Gradr ansvarar inte för riktigheten i det innehåll tjänsterna genererar, och Gradr bär inget ansvar för beslut som fattas på grundval av sådant innehåll. Din granskning enligt avsnitt 5 är förutsättningen för att tjänsten ska kunna användas i undervisningen.

Om lagstiftning eller myndighetsbeslut ändras så att tillhandahållandet av tjänsterna blir olagligt eller otillåtet får Gradr begränsa eller avsluta de berörda delarna av tjänsterna. Gradr ska då underrätta huvudmannen skriftligen så snart det är möjligt och senast trettio dagar innan åtgärden verkställs, om inte lagen kräver kortare frist, och under den tiden bereda huvudmannen möjlighet att få ut uppgifter enligt personuppgiftsbiträdesavtalets avsnitt 17. Gradrs ansvar gentemot huvudmannen vid begränsning eller upphörande regleras i avtalet mellan Gradr och huvudmannen.

Vad dessa begränsningar inte omfattar. Ansvarsbegränsningarna i detta avsnitt inskränker inte

• ansvar enligt artikel 82 i dataskyddsförordningen,
• Gradrs skyldigheter enligt personuppgiftsbiträdesavtalet, inklusive sekretessåtagandet i dess avsnitt 8,
• Gradrs ansvar enligt avtalet mellan Gradr och huvudmannen,
• ansvar vid uppsåt eller grov vårdslöshet,
• ansvar för personskada, eller
• ansvar som enligt tvingande lag inte kan begränsas.

Vad avtalet reglerar om ansvar för skada. Personuppgiftsbiträdesavtalets avsnitt 14 reglerar ansvar för skada i samband med behandlingen. Punkt 14.1 anger att artikel 82 i dataskyddsförordningen tillämpas på ersättning som genom fastställd dom eller förlikning ska utgå till en registrerad. Punkt 14.2 anger att sanktionsavgifter bärs av den part som påförs dem. Punkt 14.4 anger att punkterna 14.1 och 14.2 gäller före andra regler om fördelning av krav mellan parterna, oavsett vad avtalet mellan Gradr och huvudmannen anger. Avtalet reglerar däremot inte hur dessa villkor förhåller sig till ansvaret enligt artikel 82, och det är därför uppräkningen ovan står i villkoren.

Ditt personliga ansvar. Dessa villkor innebär inte att du som handlar i tjänsten hos din huvudman tar på dig ett personligt skadeståndsansvar. Ansvarsfördelningen mellan dig och huvudmannen följer av skadeståndslagen (1972:207) och av ditt anställningsförhållande. Där dessa villkor anger att du ansvarar avses dina skyldigheter gentemot din huvudman.

10. Immateriella rättigheter

Äganderätten och samtliga immateriella rättigheter till tjänsterna, inklusive programvara och källkod samt ändringar, uppdateringar och uppgraderingar av dem, tillhör Gradr. Dessa villkor innebär ingen överlåtelse eller licensiering av dessa rättigheter utöver vad som uttryckligen anges här.

Gradr gör inte anspråk på rättigheter till det material som laddas upp i tjänsten, till elevernas svar, till din återkoppling eller till det som tjänsten genererar på huvudmannens uppdrag, inbegripet AI-utkast, resultat på självrättande frågetyper, sammanställd analys och exporterade filer. Sådant material tillhör huvudmannen eller den som annars innehar rättigheterna till det. Huvudmannen får använda materialet fritt inom sin verksamhet, vilket omfattar dokumentation, arkivering, delgivning till vårdnadshavare, överlämning vid lärarbyte, tillsyn och utlämnande av allmän handling.

Om du lämnar synpunkter, idéer eller förslag på förbättringar får Gradr använda själva synpunkten i sitt produktarbete utan ersättning. Detta innebär ingen överlåtelse av immateriella rättigheter, varken dina egna eller huvudmannens, och omfattar inte material eller metoder som huvudmannen har tagit fram. Du är inte skyldig att lämna synpunkter.

11. När din åtkomst upphör

Din åtkomst till tjänsterna upphör när din huvudman avslutar den, när avtalet mellan Gradr och din huvudman upphör, eller om åtkomsten begränsas enligt avsnitt 6 eller 9.

Uppgifter i tjänsten tillhör inte dig personligen utan behandlas för din huvudmans räkning. Vad som händer med uppgifterna framgår av personuppgiftsbiträdesavtalets avsnitt 17. Radering eller återlämning sker enligt huvudmannens val och ska vara utförd senast trettio kalenderdagar räknat från tidpunkten för uppsägningen, om inte lagring krävs enligt lag. Raderingen omfattar personuppgifter i tjänstens aktiva datalager.

Hur åtagandena fullgörs, och var stödet saknas. Tjänsten har en funktion för radering av en enskild elevs medlemskap, som beställs av en skoladministratör eller sker genom huvudmannens identitetsleverantör vid avetablering, och som därefter verkställs automatiskt efter en fördröjning om trettio dagar. Någon automatiserad radering av samtliga personuppgifter för ett helt konto eller för en hel huvudman finns däremot inte. Åtagandet om trettio dagar gäller alltså utan att det finns en mekanism som verkställer det, och Gradr verkställer raderingen i den delen genom manuell åtgärd inom samma frist. Detsamma gäller återlämning: någon exportfunktion på huvudmannanivå finns inte.

Säkerhetskopior. Förekomster av personuppgifter i säkerhetskopior kan inte raderas selektivt, eftersom kopiorna lagras som sammanhållna kopior av datamängden vid en given tidpunkt. Sådana förekomster upphör när kopian gallras. Gradr har i personuppgiftsbiträdesavtalets Bilaga 1 punkt 8 åtagit sig att gallra säkerhetskopior sex månader efter att kopian skapades, vilket innebär att en uppgift som raderats i det aktiva datalagret upphör att förekomma i säkerhetskopior senast sex månader efter raderingen. Även detta åtagande saknar i dag automatiserat stöd: någon rutin som gallrar kopiorna finns ännu inte, och speglingen till den externa lagringen sker med ett verktyg som enbart kopierar och aldrig raderar. Båda gapen i detta avsnitt redovisas i DPIA-underlagets Del 9.3.

12. Tillgänglighet och AI-kunnighet

Tjänstens digitala tillgänglighet, alltså hur väl den kan användas av personer med funktionsnedsättning, redovisas i Bilaga G till Gradrs DPIA-underlag. Den förteckningen är inte uttömmande. Skyldigheten att upprätta och publicera en tillgänglighetsredogörelse enligt lagen (2018:1937) om tillgänglighet till digital offentlig service ligger på din huvudman för huvudmannens digitala service.

Artikel 4 i AI-förordningen ålägger både Gradr och din huvudman att vidta åtgärder som stödjer AI-kunnighet hos den personal som hanterar AI-system för deras räkning. Din huvudmans skyldighet avser de lärare som använder tjänsten och kan inte fullgöras av Gradr i huvudmannens ställe. Gradr tillhandahåller introduktionsmaterial till lärare. Om materialet i sin nuvarande form täcker vad artikel 4 kräver är ännu inte fastställt. Frågan behandlas i Bilaga C avsnitt 8.

13. Tillämplig lag och tvister

Svensk rätt är tillämplig på dessa villkor, med undantag för dess lagvalsregler. Tvister med anledning av dessa villkor ska avgöras av behörig svensk allmän domstol.

14. Kontakt

• Frågor om dessa villkor: privacy@gradr.se
• Misstänkt obehörig åtkomst eller säkerhetsproblem: security@gradr.se
• Dataskyddsfrågor som rör Gradrs egen behandling: privacy@gradr.se
• Dataskyddsfrågor som rör behandlingen i tjänsten: din huvudmans dataskyddsombud.