Dataskydd för skolor
Den här sidan är skriven för dig som är lärare, rektor eller dataskyddsombud och vill veta hur elevernas personuppgifter hanteras när skolan använder Kraftsmedjan. Den kompletterar vår integritetspolicy.
Senast uppdaterad: 5 november 2026
I korthet
- Vi samlar bara in det som behövs: namn, e-post och studiedata. Inget personnummer, ingen adress, inget elevregister.
- Databasen ligger i EU (Frankfurt). Vi säljer aldrig uppgifter och visar ingen reklam.
- Läraren ser bara de elever som gått med via skolans egen länk.
- AI-handledaren får aldrig elevens namn eller e-post – och skolan kan stänga av den helt.
- Vi tecknar personuppgiftsbiträdesavtal med skolor och kommuner som behöver det.
Vem ansvarar för vad
Kraftsmedjan drivs av CodeCentra Sweden AB (org.nr 559374-5770, Borås).
När skolan tecknar skollicens och bjuder in sina elever är skolans huvudman personuppgiftsansvarig för det skolan gör med licensen: vilka elever som får plats, att läraren följer deras framsteg och exporterar dem. För den delen är vi personuppgiftsbiträde och behandlar uppgifterna bara enligt skolans instruktioner och vårt personuppgiftsbiträdesavtal.
Eleven har samtidigt ett eget konto hos oss. För sådant som eleven själv väljer utanför licensen – till exempel egna köp eller nyhetsmejl – är vi personuppgiftsansvariga enligt integritetspolicyn.
Vilka uppgifter om eleven vi behandlar
| Uppgift | Varför |
|---|---|
| Förnamn, efternamn och e-post | Inloggning, och så att läraren känner igen sina elever |
| Lösenord (lagras bara som en saltad bcrypt-hash) | Inloggning – vi kan aldrig se lösenordet |
| Studiedata: lektioner, kontrollfrågor, mastery, studietid, slutprovsförsök | Spara elevens framsteg och visa klassöversikten |
| Två välkomstfrågor: förkunskaper och studiemål, roll och hur eleven hittade hit | Anpassa kursen; statistik på gruppnivå |
| Frågor till AI-handledaren (om den är påslagen) | Svara eleven; raderas efter 90 dagar |
| Vilken skollicens eleven gått med via och när | Ge åtkomst via skolan och visa eleven för läraren |
Det vi inte samlar in: personnummer, adress, telefonnummer, foto, klasslistor, betyg eller uppgifter från skolans elevregister. Inga känsliga personuppgifter. Vi rekommenderar att eleverna använder sin e-postadress från skolan.
Tjänsten är inte avsedd för barn under 16 år. Gymnasieelever och vuxenstuderande skapar sina konton själva via skolans inbjudningslänk.
Vad läraren ser
På lärarsidan ser läraren de elever som gått med via skolans egen inbjudningslänk – aldrig andra användare. För varje elev visas namn, e-post, när eleven gick med och senast var aktiv, studietid, klara lektioner per modul och resultat på slutprovet. Allt kan exporteras till ett kalkylark.
Läraren ser inte elevens frågor till AI-handledaren, anteckningar, lösenord eller eventuella egna köp.
AI-handledaren Smedjan
Smedjan svarar på frågor om kursinnehållet och räknar exempel steg för steg. Till AI-leverantören skickas elevens fråga, texten i lektionen eleven läser, vad som syns i simuleringen och – om eleven frågar om sina egna framsteg – progression och provresultat. Aldrig elevens namn eller e-post.
Vi anlitar bara leverantörer som enligt sina villkor inte använder uppgifterna för att träna sina modeller. Smedjan är pausad under slutprov. Konversationerna raderas efter 90 dagar.
Skolan bestämmer. Följer skolan en AI-policy som inte tillåter det stänger läraren av Smedjan för alla elever i licensen med ett klick på lärarsidan. Då skickas ingenting till AI-leverantören från de eleverna.
Var uppgifterna lagras – underbiträden
| Underbiträde | Uppgift och plats |
|---|---|
| Neon | Databas – här lagras konton och studiedata. EU – AWS eu-central-1, Frankfurt. |
| Vercel | Drift av webbplatsen och servrarna. Servrar i Frankfurt (EU). Bolaget är amerikanskt – överföring enligt EU-US Data Privacy Framework eller standardavtalsklausuler. |
| Resend | Utskick av tjänstemejl, t.ex. inbjudningar och återställning av lösenord. Kan behandla uppgifter i USA – Data Privacy Framework eller standardavtalsklausuler. |
| AI-leverantör (t.ex. OpenAI eller Anthropic) | Språkmodellen bakom AI-handledaren – bara om den är påslagen för skolan. Kan behandla uppgifter i USA – Data Privacy Framework eller standardavtalsklausuler. Används inte för att träna modeller. |
| Stripe | Fakturor till skolan (inga elevuppgifter). EU och USA – Data Privacy Framework eller standardavtalsklausuler. |
Vi informerar skolor med personuppgiftsbiträdesavtal innan vi byter eller lägger till ett underbiträde som behandlar elevuppgifter, så att skolan kan invända.
Hur länge uppgifterna sparas
| Uppgift | Lagringstid |
|---|---|
| Elevens konto och studiedata | Tills eleven raderar kontot (Inställningar → Radera konto). Kontot är elevens eget och kan användas vidare. |
| Elevens plats i skollicensen | Upphör när licensen går ut eller när läraren frigör platsen – då ser läraren inte längre eleven. Kopplingen mellan eleven och skolan raderas automatiskt 90 dagar senare. |
| Frågor till AI-handledaren | Raderas automatiskt 90 dagar efter att konversationen startade (nattlig gallring). |
| Kontaktmeddelanden och anmälningar | Raderas automatiskt senast 12 månader efter att de kom in. |
| Fakturaunderlag till skolan | 7 år enligt bokföringslagen. |
Säkerhet
- All trafik är krypterad med TLS (https). Lösenord lagras bara som saltade bcrypt-hashar.
- Varje anrop kontrollerar behörighet på servern: en lärare kommer bara åt sin egen licens, och exporten kräver samma behörighet.
- Provens facit lämnar aldrig servern. Värdena slumpas per försök och rättningen sker på servern.
- Inloggning, registrering och formulär är skyddade mot överbelastning och automatiserade försök.
- Exporten till Excel skyddas mot formelinjektion, så att ett elevnamn aldrig kan köras som en formel.
- Administrativ åtkomst är begränsad till ett fåtal konton och kontrolleras mot databasen vid varje anrop.
Vid en personuppgiftsincident som rör skolans elever meddelar vi skolan utan onödigt dröjsmål, med det underlag skolan behöver för att kunna anmäla till Integritetsskyddsmyndigheten (IMY) inom 72 timmar.
Elevens rättigheter
Eleven kan själv ändra sitt namn under Inställningar och radera sitt konto med all studiedata. Begäran om registerutdrag eller dataportabilitet hjälper vi till med inom en månad, och vi hjälper skolan att besvara sådana begäranden som gäller licensen.
Personuppgiftsbiträdesavtal
Vi tecknar personuppgiftsbiträdesavtal (PUB-avtal) med skolor och kommuner. Har er kommun en egen mall utgår vi gärna från den; annars skickar vi vår. Avtalet beskriver ändamål, uppgifter, underbiträden, säkerhet, incidenthantering och vad som händer när licensen upphör.
Hör av dig via kontaktsidan eller ange det i anmälan, så skickar vi avtalet och svarar på dataskyddsombudets frågor.