1. Avtalens parter

2. Bakgrunn og formål

Denne databehandleravtalen regulerer Databehandlers behandling av personopplysninger på vegne av Behandlingsansvarlig i forbindelse med bruk av tjenesten Timeplaner.no.

Timeplaner.no er et digitalt planleggingsverktøy for lærere som gjør det mulig å:

• Opprette og administrere ukeplaner og årsplaner
• Lagre undervisningsnotater og lekser
• Organisere undervisningsmateriell
• Bruke klasseromsskjerm for visning til elever
• AI-assistert leksjonsplanlegging (valgfritt, lærer-aktivert)
• Skylagring via Google Drive eller Microsoft OneDrive (valgfritt, lærer-aktivert)
• Deling av planer med vikar via tidsbegrenset lenke (valgfritt)
• Deling av kalender via offentlig lenke (valgfritt)

3. Kategorier av personopplysninger

3.1 Opplysninger som behandles

Kategori	Opplysninger	Kilde
Identifikasjon	Navn, e-postadresse	Feide / Google / Microsoft
Autentisering	Feide-ID, Google-ID, Microsoft-ID	Feide / Google / Microsoft
Organisasjonstilhørighet	Skole/kommune, rolle ved organisasjonen (lærer/ansatt/elev). Rollen brukes kun til å avvise elev-innlogginger ved registrering, og lagres ikke i tjenestens database	Feide
Brukerinnhold	Ukeplaner, årsplaner, notater, bilder læreren laster opp (typisk skjermbilder av nettsider og undervisningsmateriell)	Opprettet av bruker
Teknisk	Innloggingstidspunkt, språkvalg	Systemgenerert
Elevidentifikatorer	Kallenavn/nummer/initialer, kjønn (valgfritt), bursdag (MM-DD, valgfritt), lærerens egne notater og merkelapper om eleven (fritekst, valgfritt)	Registrert av lærer
Elevaktivitet	Leksestatus (levert/ikke levert/forsinket), prøveresultater læreren registrerer, vurdering uten karakter (bestått/ikke bestått, poeng, prosent, måloppnåelse) og lærerens kommentar til resultatet (fritekst, valgfritt)	Registrert av lærer / systemgenerert
Sikkerhetslogging	IP-adresse, brukeragent (oppbevares 12 mnd)	Systemgenerert
Aktivitetslogging	Sidebesøk, handlinger i tjenesten (aggregert)	Systemgenerert
AI-leksjonskontekst	Skoletype, trinn, skolenavn, fagnavn, klassenavn, uke og dag, årsplaninnhold (tema, kompetansemål, læringsmål, aktiviteter, ressurser), lærerens faglenker, rutiner og egendefinerte kolonner, samt lærerens egne notater og meldinger (kun ved bruk av AI-assistent). Læreren ser hva som følger med hver melding og kan velge bort enkeltdeler før den sendes. Elevlister, elevidentifikatorer, leksestatus og prøveresultater sendes aldri til AI-tjenesten	Lærer-aktivert
Skylagret innhold	Dokumenter opprettet av lærer (kun ved Drive/OneDrive-tilkobling)	Lærer-aktivert

3.2 Opplysninger som IKKE behandles

• Diagnoser, sykmeldinger eller spesifikke helseopplysninger
• Religion, etnisitet eller andre særlige kategorier etter GDPR artikkel 9
• Personnummer eller fødselsnummer
• Formelle karakterer (1-6) eller standpunktvurderinger

4. Registrerte personer

Avtalen gjelder behandling av personopplysninger om:

• Lærere ansatt hos Behandlingsansvarlig som bruker Timeplaner.no
• Elever som læreren registrerer i klasseoversikten. Læreren gjør dette på vegne av Behandlingsansvarlig, som også er behandlingsansvarlig for disse opplysningene. Hva som legges i identifikatorfeltet, er beskrevet i punkt 3.1

Antall registrerte vil variere basert på hvor mange lærere som velger å ta tjenesten i bruk og hvor mange elever de registrerer.

5. Formål og behandlingsgrunnlag

Databehandler behandler personopplysninger utelukkende for følgende formål:

1. Autentisering: Verifisere brukerens identitet via Feide, Google eller Microsoft
2. Tjenesteleveranse: Levere funksjonaliteten beskrevet i punkt 2
3. AI-assistert planlegging: Generere forslag til leksjonsinnhold når læreren aktivt benytter AI-assistenten
4. Skylagring: Lagre lærerens dokumenter i Google Drive eller Microsoft OneDrive når læreren har aktivert tilkoblingen
5. Brukerstøtte: Hjelpe brukere med tekniske problemer
6. Sikkerhet: Beskytte mot uautorisert tilgang og misbruk

Behandlingsgrunnlag er GDPR artikkel 6(1)(b), oppfyllelse av avtale med den registrerte.

6. Databehandlers plikter

6.1 Generelle plikter

Databehandler skal:

1. Kun behandle personopplysninger i samsvar med dokumenterte instrukser fra Behandlingsansvarlig
2. Sikre at personer med tilgang til personopplysningene har forpliktet seg til konfidensialitet
3. Treffe alle tiltak som kreves etter GDPR artikkel 32 (sikkerhet)
4. Bistå Behandlingsansvarlig med å oppfylle registrertes rettigheter etter GDPR kapittel III (artikkel 12 til 23), jf. artikkel 28 nr. 3 bokstav e
5. Bistå Behandlingsansvarlig med å etterleve GDPR artikkel 32 til 36, herunder sikkerhet, avvikshåndtering, vurdering av personvernkonsekvenser og forhåndsdrøfting med tilsynsmyndigheten, jf. artikkel 28 nr. 3 bokstav f
6. Slette eller tilbakelevere personopplysninger ved avtalens opphør
7. Gjøre tilgjengelig all informasjon som er nødvendig for å påvise etterlevelse

6.2 Sikkerhetstiltak

Databehandler har implementert følgende sikkerhetstiltak:

• Kryptert dataoverføring (HTTPS/TLS)
• Sikker autentisering via Feide, Google eller Microsoft OAuth 2.0
• Tilgangskontroll basert på brukeridentitet
• Regelmessig sikkerhetskopiering
• Logging av sikkerhetshendelser
• Datalagring i Norden (server i Finland, EU/EØS)

6.3 Bistand ved vurdering av personvernkonsekvenser (DPIA)

Vurdering av personvernkonsekvenser etter GDPR artikkel 35 er Behandlingsansvarliges ansvar. Databehandler skal bistå med grunnlaget for en slik vurdering, og ved eventuell forhåndsdrøfting med Datatilsynet etter artikkel 36.

Bistanden er gratis for Behandlingsansvarlig, og omfatter:

• Et DPIA-grunnlag som beskriver formål, datakategorier, registrerte, underleverandører med lokasjon, lagringstid, sikkerhetstiltak, tredjelandsoverføringer og hvilke kontrollmuligheter Behandlingsansvarlig har på organisasjonsnivå
• Transfer Impact Assessment for overføringer til tredjeland, jf. punkt 8
• Skriftlig svar på spørsmål fra Behandlingsansvarliges personvernombud, normalt innen 10 virkedager
• Et møte der dataflyten i tjenesten vises i praksis, dersom Behandlingsansvarlig ønsker det

Dokumentene fås ved henvendelse til [email protected]. Endrer vi behandlingen slik at en gjennomført vurdering må oppdateres, varsler Databehandler Behandlingsansvarlig om det.

7. Underleverandører (underdatabehandlere)

Databehandler benytter følgende underleverandører:

7.1 Alltid aktive underleverandører

Underleverandør	Tjeneste	Lokasjon
Hetzner Online GmbH	Webhosting, database og fillagring	Server i Finland (Norden, EU/EØS)
Cloudflare, Inc.	CDN og DDoS-beskyttelse, samt lagring av krypterte sikkerhetskopier (AES-256, nøkkelen finnes kun hos Databehandler)	EU/USA*
SMTP2GO	E-postutsendelse (transaksjonelle e-poster, ingen elevdata)	EU (Amsterdam, Nederland)**
Sikt, Kunnskapssektorens tjenesteleverandør	Feide-autentisering (når Feide-innlogging brukes)	Norge
Google LLC	Google OAuth 2.0 (når Google-innlogging brukes)	EU/USA*
Microsoft Corporation	Microsoft OAuth 2.0 (når Microsoft-innlogging brukes)	EU/USA*

7.2 Valgfrie underleverandører (lærer-aktiverte)

Følgende underleverandører behandler personopplysninger kun når den enkelte læreren aktivt aktiverer en valgfri funksjon:

Underleverandør	Tjeneste / data	Lokasjon	Aktiveres ved
Google LLC	Gemini AI: leksjonskontekst (skoletype, trinn, skolenavn, fagnavn, klassenavn, uke og dag, årsplaninnhold, faglenker, rutiner, egendefinerte kolonner og lærerens egne notater og meldinger). Læreren kan velge bort enkeltdeler før hver melding. Ingen elevopplysninger fra elevregisteret (elevlister, identifikatorer, leksestatus, prøveresultater) sendes til AI-tjenesten. Betalt plan; data brukes ikke til trening av Googles modeller.	USA*	Lærer benytter AI-assistenten
Google LLC	Google Drive: dokumentlagring (lærerens egne dokumenter)	USA*	Lærer kobler til Google Drive
Microsoft Corporation	Microsoft Graph / OneDrive: dokumentlagring (lærerens egne dokumenter)	USA*	Lærer kobler til OneDrive

* Overføring til USA er sikret gjennom EU-US Data Privacy Framework og Standard Contractual Clauses (SCC).
** Timeplaners SMTP2GO-konto er hostet i SMTP2GOs europeiske datasenter i Amsterdam. All e-post sendes, lagres og behandles på servere innenfor EU/EØS. SMTP2GO er ISO 27001-sertifisert og GDPR-samsvarende; det europeiske datasenteret er i tillegg SOC 2 Type II- og ISAE 3402-sertifisert. Morselskapet SMTP2GO Pty Ltd er registrert i New Zealand; EU-kommisjonen har adekvansbeslutning for New Zealand (2013/65/EU), og Standard Contractual Clauses (SCC) gjelder i tillegg for konsernrelasjonen.

Databehandler vil informere Behandlingsansvarlig om eventuelle planlagte endringer i underleverandører minimum 30 dager før endringen trer i kraft.

7.3 Delingsfunksjoner aktivert av læreren

Tjenesten inneholder to valgfrie delingsmekanismer som læreren selv aktiverer:

• Offentlig kalenderlenke gir lesetilgang til lærerens kalender via et tilfeldig generert token. Læreren kan tilbakekalle den.
• Vikarplan-lenke gir lesetilgang til én bestemt vikarplan via et tidsbegrenset token med utløpsdato.

All deling kan tilbakekalles av læreren, og tokens er tilfeldige og uangripelige.

8. Overføring av personopplysninger

Personopplysninger lagres primært på servere i Norden (server i Finland, EU/EØS).

E-post sendes via SMTP2GOs europeiske datasenter i Amsterdam, slik at innholdet i transaksjonelle e-poster lagres og behandles innenfor EU/EØS.

Data overføres til USA kun ved bruk av Google-, Microsoft- eller Cloudflare-tjenester (sikret gjennom EU-US Data Privacy Framework og Standard Contractual Clauses).

Overføring utenfor EU/EØS sikres gjennom:

• EU-US Data Privacy Framework (for amerikanske leverandører)
• Standard Contractual Clauses (SCC) godkjent av EU-kommisjonen
• EU-kommisjonens adekvansbeslutning for New Zealand (2013/65/EU)

Transfer Impact Assessment (TIA) for overføringer til tredjeland er utarbeidet og kan fås ved henvendelse til [email protected].

9. Rettigheter for registrerte

Databehandler skal bistå Behandlingsansvarlig med å oppfylle registrertes rettigheter:

• Innsyn: Registrerte kan se sine egne data i tjenesten
• Retting: Brukere kan oppdatere sine opplysninger
• Sletting: Brukere kan slette sin konto via Innstillinger
• Dataportabilitet: Eksport av data er tilgjengelig på forespørsel

Henvendelser om registrertes rettigheter kan rettes til: [email protected]

10. Avvikshåndtering

Ved brudd på personopplysningssikkerheten skal Databehandler:

1. Varsle Behandlingsansvarlig uten ugrunnet opphold og senest innen 24 timer
2. Dokumentere alle brudd, inkludert omstendigheter, konsekvenser og tiltak
3. Bistå Behandlingsansvarlig med varsling til Datatilsynet og registrerte ved behov

Varsel sendes til kontaktperson angitt i punkt 1, samt til: [email protected]

11. Revisjonsrett

Behandlingsansvarlig har rett til å:

• Gjennomføre revisjoner av Databehandlers behandling
• Motta dokumentasjon på sikkerhetstiltak og rutiner
• Kreve bekreftelse på etterlevelse av denne avtalen

Revisjon skal varsles minimum 14 dager i forveien og gjennomføres på en måte som ikke forstyrrer normal drift.

12. Lagring og sletting

12.1 Lagringsperiode

• Brukerdata lagres så lenge kontoen er aktiv
• Inaktive kontoer (ingen innlogging på 24 måneder) varsles før sletting
• Sikkerhetslogger oppbevares i 12 måneder

12.2 Ved avtalens opphør

Ved oppsigelse av avtalen skal Databehandler:

1. Gi Behandlingsansvarlig mulighet til å hente ut data (30 dager)
2. Slette alle personopplysninger, inkludert sikkerhetskopier (90 dager)
3. Bekrefte skriftlig at sletting er gjennomført

13. Avtalens varighet

Denne avtalen trer i kraft ved signering og gjelder så lenge Behandlingsansvarlig har brukere som benytter Timeplaner.no via Feide.

Avtalen kan sies opp av begge parter med 3 måneders skriftlig varsel.

14. Ansvar

Databehandler er ansvarlig for:

• Skade som følge av behandling i strid med denne avtalen
• Skade som følge av behandling i strid med GDPR eller Behandlingsansvarligs instrukser

Databehandler fritas for ansvar dersom det bevises at Databehandler ikke er ansvarlig for hendelsen som førte til skaden.

15. Lovvalg og verneting

Avtalen reguleres av norsk rett. Eventuelle tvister skal søkes løst gjennom forhandlinger. Dersom forhandlinger ikke fører frem, avgjøres tvisten av norske domstoler med Bergen tingrett som verneting.