Senast uppdaterad: 2026-04-28. Version 1.0. Nästa granskning: 2027-04-28.
Detta är en publik sammanfattning av Skolkolls behandlingsförteckning (Records of Processing Activities, ROPA) enligt GDPR artikel 30. Den fullständiga interna ROPA finns i versionskontroll och kan begäras som utdrag av Kommunlicens-kunder. Sammanfattningen är strukturerad så att en kommun-jurist eller upphandlare kan få en komplett bild utan att behöva infrastruktur-detaljer.
1. Roller — kommun vs Skolkoll
- För kommunlicens-data (användarkonton inom organisationen, faktureringsuppgifter, bevakningar): kommunen är personuppgiftsansvarig, Skolkoll är personuppgiftsbiträde.
- För egen-data (besökare på skolkoll.se utan inloggning, anonyma analytics, supportförfrågningar): Skolkoll är personuppgiftsansvarig.
- Inga gemensamt ansvariga: vi delar inte data med tredje part i ett gemensamt ansvar.
2. Datakategorier i översikt
| Kategori | Innehåll | Laglig grund | Lagringstid |
|---|---|---|---|
| Användarkonton | E-post, namn, organisationstillhörighet, roll, inloggningstidsstämplar | Avtal (art. 6.1.b) | Tills kontot raderas; 36 mån inaktivitet → automatisk radering |
| Organisationsdata | Organisationsnamn, organisationsnummer, faktureringsadress, kundnummer (SK-NNNNN) | Avtal (art. 6.1.b) | Aktiv så länge prenumeration finns |
| Faktureringshistorik | Fakturor, betalningsmetadata (kortuppgifter passerar aldrig Skolkolls servrar) | Rättslig förpliktelse (art. 6.1.c) — bokföringslagen | 7 år |
| Bevakningar (watchers) | Vald skola/kommun, händelsetyp, e-post för digest | Avtal (art. 6.1.b) | Tills användaren tar bort bevakningen |
| Mail-kontakter (nyhetsbrev) | E-post, namn, listmedlemskap, opt-in-token | Samtycke (art. 6.1.a) för nyhetsbrev; avtal (6.1.b) för transaktionella | Tills avregistrering; anonymiserat hash 24 mån |
| Analytics-events (rådata) | Slumpmässig sessionId, sidsökväg, händelsenamn — inga personuppgifter, ingen IP, ingen UA | Berättigat intresse (art. 6.1.f) — produktutveckling | 90 dagar; aggregerad summering bevaras indefinitivt (utan PII) |
| Granskningslogg (audit log) | Admin-åtgärder med tidsstämpel, mål och before/after | Berättigat intresse (art. 6.1.f) — säkerhet/spårbarhet | 90 dagar |
| API-kvot | Antal anrop per organisation per månad | Rättslig förpliktelse (art. 6.1.c) — faktureringsrekonciliering | 13 månader |
| AI-chattkonversation | Endast i webbläsarens sessionStorage — aldrig på vår server | Samtycke (art. 6.1.a) | Raderas när webbläsarfliken stängs |
Den fullständiga interna ROPA innehåller per Firestore-kollektion: exakt fältlista, exakt subprocessor-koppling, exakt retention-mekanism. Kommunlicens-kunder kan begära utdraget som bilaga via info@skolkoll.se; det levereras inom 5 arbetsdagar.
3. Underbiträden
Aktuell lista publicerad på Dataskydd och underbiträden avsnitt 2 — fyra primära underbiträden (Google Cloud, Stripe, Resend, Anthropic/OpenAI vid samtycke). 30 dagars förhandsmeddelande om ändring av underbiträde till Kommunlicens-administratörer.
4. Internationella överföringar
Primärt inom EU/EES. Vid överföring till tredjeland (USA): Standard Contractual Clauses (SCC) per EU-kommissionens beslut 2021/914 och, där tillämpligt, EU-US Data Privacy Framework. Transfer Impact Assessment (TIA) genomförd per leverantör — sammanfattning på begäran från Kommunlicens-kunder.
5. Registrerades rättigheter — operativ ägare
| Rättighet | Kontakt | Tidslinje |
|---|---|---|
| Tillgång (art. 15) | info@skolkoll.se | 14 dagar (GDPR-gräns 30) |
| Rättelse (art. 16) | info@skolkoll.se | 14 dagar |
| Radering (art. 17) | Självservice i portalen, eller info@skolkoll.se | Självservice: omedelbart. Via support: 14 dagar. |
| Portabilitet (art. 20) | info@skolkoll.se | 14 dagar |
| Invändning (art. 21) | info@skolkoll.se | 14 dagar |
| Begränsning (art. 18) | info@skolkoll.se | 14 dagar |
6. DPIA-bedömning
En förenklad DPIA (DPIA-light) finns publicerad på Dataskydd och underbiträden avsnitt 5. Fullständig DPIA krävs inte eftersom behandlingen inte uppfyller höga risk-kriterier (ingen storskalig övervakning, inga särskilda kategorier, ingen automatiserad beslutsfattande som har rättsliga konsekvenser för individer).
7. Incidenthantering
Incident Response runbook (intern process) följs vid personuppgiftsincident:
- 72-timmars-anmälan till Integritetsskyddsmyndigheten (IMY) per GDPR art. 33.
- Kunder informeras direkt via e-post — för Kommunlicens-kunder också till organisationsadministratörer.
- Roller: Incident Commander, Communications Lead, Legal/Compliance Lead (alla samordnas av Skolkoll).
- Post-mortem publiceras inom 14 dagar efter incident.
Den fullständiga IR-runbooken levereras som bilaga till Kommunlicens-avtalet och kan begäras inför signering via info@skolkoll.se.
8. Granskning och uppdatering
Denna ROPA-sammanfattning granskas och uppdateras:
- Kvartalsvis — översyn av underbiträdeslistan mot faktiska systemanrop.
- Pre-release — varje feature som lägger till ny kollektion eller underbiträde uppdaterar ROPA i samma PR.
- Efter incident — uppdateras med lärdomar.
- Årligen — fullständig genomläsning med datumstämpel.
Relaterade dokument
- Dataskydd och underbiträden — operativa GDPR-detaljer.
- PuB-mall — personuppgiftsbiträdesavtal.
- SLA — uptime, support, eskalering.
- Integritetspolicy — för slutanvändare och anonyma besökare.