Senast uppdaterad: 2026-07-08. Version 1.6. Nästa granskning: 2027-07-06.
Detta är en publik sammanfattning av Skolkolls behandlingsförteckning (Records of Processing Activities, ROPA) enligt GDPR artikel 30. Den fullständiga interna ROPA finns i versionskontroll och kan begäras som utdrag av Kommunlicens-kunder. Sammanfattningen är strukturerad så att en kommun-jurist eller upphandlare kan få en komplett bild utan att behöva infrastruktur-detaljer.
1. Roller — kommun vs Skolkoll
- För kommunlicens-data (användarkonton inom organisationen, faktureringsuppgifter, bevakningar och supportärenden som rör kundens användare eller organisation): kommunen är personuppgiftsansvarig, Skolkoll är personuppgiftsbiträde.
- För egen-data (besökare på skolkoll.se utan inloggning, anonyma analytics, publika support-/säljfrågor och journalistiska databeställningar som inte avser kommunlicens-data): Skolkoll är personuppgiftsansvarig.
- Inga gemensamt ansvariga: vi delar inte data med tredje part i ett gemensamt ansvar.
2. Datakategorier i översikt
| Kategori | Innehåll | Laglig grund | Lagringstid |
|---|---|---|---|
| Användarkonton | E-post, namn, organisationstillhörighet, roll, inloggningstidsstämplar | Avtal (art. 6.1.b) | Tills kontot raderas; 36 mån inaktivitet → automatisk radering |
| Organisationsdata | Organisationsnamn, organisationsnummer, faktureringsadress, kundnummer (SK-NNNNN) | Avtal (art. 6.1.b) | Aktiv så länge prenumeration finns |
| Faktureringshistorik | Fakturor, betalningsmetadata (kortuppgifter passerar aldrig Skolkolls servrar) | Rättslig förpliktelse (art. 6.1.c) — bokföringslagen | 7 år |
| Bevakningar (watchers) | Vald skola/kommun/huvudman, e-postadress, e-posthash, frekvens, bekräftelse-/avregistreringstokens och bevakningshändelser för digest | Samtycke (art. 6.1.a) för anonym dubbel opt-in; avtal (art. 6.1.b) för inloggade kontofunktioner | Aktiva bevakningar tills användaren tar bort dem. Väntande bekräftelser har 48 timmars tokenfönster och rensas av cleanup-flödet. Bevakningshändelser rensas löpande, normalt efter högst 35 dagar. |
| Mail-kontakter (nyhetsbrev) | E-post, namn, listmedlemskap, opt-in-token | Samtycke (art. 6.1.a) för nyhetsbrev; avtal (6.1.b) för transaktionella | Tills avregistrering; anonymiserat hash 24 mån |
| Analytics-events (rådata) | Slumpmässig sessionId, sidsökväg, händelsenamn — inga personuppgifter, ingen IP, ingen UA | Berättigat intresse (art. 6.1.f) — produktutveckling | 90 dagar; aggregerad summering bevaras indefinitivt (utan PII) |
| Zoho PageSense (samtyckesbaserad webbanalys) | Sidvisningar, klick/scroll, heatmaps, sessionsinspelning, experimentvariant, enhets- och webbläsarinfo på publika sidor. PageSense körs inte på noindex-/konto-/admin-sidor. | Samtycke (art. 6.1.a) | Enligt vald PageSense-plan, högst 12 månader för Skolkolls användning |
| Zoho Desk (kundsupport) | Supportärenden från betalande kunder: namn, e-postadress, organisationstillhörighet, ärendeinnehåll, ärendehistorik och frivilligt bifogade tekniska underlag. | Avtal (art. 6.1.b) och berättigat intresse (art. 6.1.f) — support, felsökning och avtalsuppföljning | Högst 36 månader efter avslutat ärende, eller kortare vid kundens begäran när ingen rättslig skyldighet kräver bevarande |
| Kommersiella leadformulär (Zoho CRM) | Formulärpost i leadSubmissions med namn, e-post, organisation, telefon, meddelande, spår/sida, samtyckesmetadata, UTM-fält och sparad Zoho CRM-post. Kollektionen är endast åtkomlig via Admin SDK; klienter kan inte läsa eller skriva den direkt. | Föravtalsåtgärder där tillämpligt (art. 6.1.b), samtycke för marknadsföringssamtycket (art. 6.1.a) och berättigat intresse (art. 6.1.f) för missbruksförebyggande och operativ återställning | Varje post skrivs med purgeAfter för mål 90 dagar från inskick och rensas via Firestore TTL när policyn är aktiv. Automatiskt Zoho-återspel sker bara för nya poster som markerats som säkra att återspela; oklara CRM-utfall blockeras för manuell avstämning. Zoho CRM-posten granskas minst årligen och används inte för nyhetsbrev/kampanjer utan separat samtycke. |
| Journalistiska databeställningar | Formulärpost i journalist_orders med redaktion/outlet, bevakningsområde, namn, e-post, beställningsmeddelande, samtyckesversion/tidpunkt och Zoho Desk/CRM-status. När Zoho-intaget är godkänt skapas en Desk-biljett av typen Databeställning och en minimal Zoho CRM-kontakt. | Samtycke (art. 6.1.a) för lagring/kontakt via formuläret; hantering av begäran/föravtalsåtgärder där tillämpligt (art. 6.1.b); berättigat intresse (art. 6.1.f) för missbruksförebyggande, operativ återställning och redaktionell relationshandoff | FAS-0-beslut: varje Firestore-post skrivs med purgeAfter för mål 180 dagar från inskick. Firestore TTL ska vara deployad och verifierad före full go-live; tills TTL är aktiv krävs namngiven manuell månadsrensning. Olösta ärenden kräver dokumenterad förlängning och har absolut tak 12 månader. Desk-biljett max 12 månader efter stängning; CRM-kontakt granskas minst årligen och används inte för kampanjer/nyhetsbrev utan separat samtycke. |
| Granskningslogg (audit log) | Admin-åtgärder med tidsstämpel, mål och before/after | Berättigat intresse (art. 6.1.f) — säkerhet/spårbarhet | 2 år via expiresAt och Firestore TTL när policyn är aktiv |
| Kontoraderingslogg (account deletion audit) | uid, e-posthash (SHA-256), raderingsstatus och tidsstämplar — ingen rå e-postadress | Berättigat intresse (art. 6.1.f) — ansvarsskyldighet (art. 5.2) att en raderingsbegäran genomförts | 12 månader via expiresAt och Firestore TTL när policyn är aktiv |
| API-kvot | Antal anrop per organisation per månad | Rättslig förpliktelse (art. 6.1.c) — faktureringsrekonciliering | 13 månader |
| AI-chattkonversation | Endast i webbläsarens sessionStorage — aldrig på vår server | Samtycke (art. 6.1.a) | Raderas när webbläsarfliken stängs |
| Lane-D dokumentextraktion (internt AI-stöd) | Råtext ur officiella handlingar (allmän handling) skickas till OpenAI (gpt-4o-mini) för strukturerad extraktion, i första hand statistik om kränkande behandling. Råtexten kan innehålla elevuppgifter före maskering; anropen görs med lagring avstängd (no-store). Endast maskerade, människogranskade värden kan publiceras — auto-publicering är avstängd. | Berättigat intresse (art. 6.1.f) — sammanställa uppgifter ur offentliga handlingar för skoltransparens | Extraherade kandidater ligger i en människogranskad kö tills de godkänns eller avvisas; avvisade rensas. Godkända värden ingår i skoldata och uppdateras när källan uppdateras. |
| Journalistmail-utkast (internt AI-stöd) | Inkommande journalistmails innehåll (namn, e-post, redaktion, meddelandetext) skickas till Anthropic (Claude) för att klassificera frågan och föreslå ett svarsutkast. En människa granskar och skickar; inget skickas automatiskt. Anthropic tränar inte på API-innehåll som standard. | Berättigat intresse (art. 6.1.f) — effektivt och korrekt pressbesvarande | Utkast skapas i Gmail för granskning; själva mailet lagras enligt e-postkontots retention. Uppgifterna används inte för utskick eller CRM utan separat samtycke och proveniens. |
Den fullständiga interna ROPA innehåller per Firestore-kollektion: exakt fältlista, exakt subprocessor-koppling, exakt retention-mekanism. Kommunlicens-kunder kan begära utdraget som bilaga via support@skolkoll.se; det levereras inom 5 arbetsdagar.
3. Underbiträden
Aktuell lista publicerad på Dataskydd och underbiträden avsnitt 2 — inkluderar Google Cloud, Stripe, Resend, Sentry, Zoho PageSense, Zoho Desk, Zoho CRM samt Anthropic och OpenAI. AI-chatt och skolbild kräver samtycke; Lane-D-dokumentextraktion (OpenAI) och journalistmail-utkast (Anthropic) grundas på berättigat intresse — se avsnittet Internt AI-stöd på dataskyddssidan. 30 dagars förhandsmeddelande om ändring av underbiträde till Kommunlicens-administratörer.
4. Internationella överföringar
Primärt inom EU/EES, inklusive Firestore i Google Cloud europe-west1 (Belgien). Vid överföring till tredjeland (USA): Standard Contractual Clauses (SCC) per EU-kommissionens beslut 2021/914 och, där tillämpligt, EU-US Data Privacy Framework. Transfer Impact Assessment (TIA) genomförd per leverantör — sammanfattning på begäran från Kommunlicens-kunder.
5. Registrerades rättigheter — operativ ägare
| Rättighet | Kontakt | Tidslinje |
|---|---|---|
| Tillgång (art. 15) | info@skolkoll.se | 14 dagar (GDPR-gräns 30) |
| Rättelse (art. 16) | info@skolkoll.se | 14 dagar |
| Radering (art. 17) | Självservice i portalen, eller support@skolkoll.se | Självservice: omedelbart. Via support: 14 dagar. |
| Portabilitet (art. 20) | info@skolkoll.se | 14 dagar |
| Invändning (art. 21) | info@skolkoll.se | 14 dagar |
| Begränsning (art. 18) | info@skolkoll.se | 14 dagar |
6. DPIA-bedömning
En förenklad DPIA (DPIA-light) finns publicerad på Dataskydd och underbiträden avsnitt 5. Dess slutsats — att en fullständig DPIA inte krävs, eftersom behandlingen inte uppfyller höga risk-kriterier (ingen storskalig övervakning, inga särskilda kategorier av personuppgifter sparas systematiskt, inget automatiserat beslutsfattande som har rättsliga konsekvenser för individer) — gäller behandlingen inom kommunlicensen, där Skolkoll är personuppgiftsbiträde. För den publika granskningsverksamheten, där Skolkoll är personuppgiftsansvarig, pågår ett separat, fullständigt DPIA-arbete (2026). DPIA-light avsnitt 5 tar upp den tillfälliga exponeringen av råtext vid Lane-D-dokumentextraktion.
7. Incidenthantering
Incident Response runbook (intern process) följs vid personuppgiftsincident:
- 72-timmars-anmälan till Integritetsskyddsmyndigheten (IMY) per GDPR art. 33.
- Kunder informeras direkt via e-post — för Kommunlicens-kunder också till organisationsadministratörer.
- Roller: Incident Commander, Communications Lead, Legal/Compliance Lead (alla samordnas av Skolkoll).
- Post-mortem publiceras inom 14 dagar efter incident.
Den fullständiga IR-runbooken levereras som bilaga till Kommunlicens-avtalet och kan begäras inför signering via info@skolkoll.se.
8. Granskning och uppdatering
Denna ROPA-sammanfattning granskas och uppdateras:
- Kvartalsvis — översyn av underbiträdeslistan mot faktiska systemanrop.
- Pre-release — varje feature som lägger till ny kollektion eller underbiträde uppdaterar ROPA i samma PR.
- Efter incident — uppdateras med lärdomar.
- Årligen — fullständig genomläsning med datumstämpel.
Relaterade dokument
- Dataskydd och underbiträden — operativa GDPR-detaljer.
- PuB-mall — personuppgiftsbiträdesavtal.
- SLA — uptime, support, eskalering.
- Integritetspolicy — för slutanvändare och anonyma besökare.