Persónuverndarstefna fyrir skóla

Síðast uppfært: 2026-10-28

Þessi stefna á við um notkun skóla, sveitarfélaga og kennara (sameiginlega „Skólinn”) á þjónustu Alfa, sem rekin er af Alfa Kennsla ehf., kt. 481225-1320 („Alfa”, „við”, „okkur”).

Ef þú ert einstaklingsáskrifandi (foreldri eða nemandi sem notar Alfa utan skóla) gildir almenn persónuverndarstefna okkar þess í stað, á alfalearning.app/privacy.

Þessi stefna er almennt upplýsingaskjal um vinnslu persónuupplýsinga sem fer fram samkvæmt almennri persónuverndarreglugerð Evrópusambandsins (GDPR) og lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Skólar fá sérstakan vinnslusamning samkvæmt 28. gr. GDPR við undirritun.

1. Skilgreiningar

• Ábyrgðaraðili: Skólinn, sem ákveður tilgang og aðferðir við vinnslu persónuupplýsinga.
• Vinnsluaðili: Alfa Kennsla ehf., sem vinnur persónuupplýsingar fyrir hönd Skólans.
• Undirvinnsluaðili: Þriðji aðili sem Alfa nýtir til að veita þjónustuna.
• Skráður einstaklingur: Nemandi eða kennari sem notar Alfa.
• Persónuupplýsingar: Allar upplýsingar um auðkenndan eða auðkennanlegan einstakling.
• Þjónustan: Alfa-vefurinn, nemendaappið, nemendavefurinn (nemandi.alfakennsla.is), kennarakerfið og bakendi.

2. Hlutverk aðila

Skólinn er ábyrgðaraðili persónuupplýsinga nemenda og kennara. Skólinn ákveður tilgang og aðferðir við vinnslu, þar á meðal hvaða nemendur fá aðgang að þjónustunni, hvaða verkefni þeir leysa og hvernig árangur þeirra er metinn.

Alfa er vinnsluaðili og vinnur persónuupplýsingar einungis samkvæmt skjalfestum fyrirmælum Skólans, sem koma fram í þessari stefnu og í gildandi samningi við Skólann.

3. Persónuupplýsingar sem unnið er með

Nemendur

• Auðkenni: Innra auðkenni sem Alfa býr til, innskráningarkóði sem skólinn úthlutar (aldrei geymdur sjálfur, eingöngu sem tætigildi) og heiti aðgangs á borð við „Nemandi 0142“. Alfa tekur ekki við nöfnum, netföngum né kennitölum nemenda. Nafn nemanda er eingöngu á útprentuðum innskráningarmiða og, kjósi kennari það, í vafra kennarans sjálfs
• Námsgögn: Svör við stærðfræðiverkefnum, allt að þrjár myndir af handskrifaðri úrlausn með hverju svari, niðurstaða kennara á hverju dæmi (rétt/rangt), stig á verkefnum og prófum, og endurgjöf. Nemandi getur skorið myndina til áður en hún er send, til að skilja eftir næstu dæmi eða blað bekkjarfélaga
• Spurningar til kennara: Spurning nemanda um tiltekið dæmi og svar kennarans, þar sem kennari hefur virkjað það fyrir verkefni. Engin gervigreind kemur að þessu
• Skráningar: Hvaða námskeið og verkefni nemandi er skráður í
• Viðveruskráning, þar sem skólinn hefur valið hana: Skráning kennara á viðveru nemanda (mætt, of seint, fjarverandi, veikindi, leyfi)
• Tæknigögn: Tímastimplar tilrauna, atvikaskýrslur og innskráningarlotur. Um hverja lotu er varðveitt tætigildi (hash) lotutáknsins, hvaða viðmót skapaði lotuna, hvort nemandinn merkti tækið sem sitt eigið, upplýsingar um vafra og styttur hluti IP-tölu

Kennarar

• Auðkenni: Nafn og netfang. Google-auðkenni eingöngu þar sem kennari skráir sig inn með Google; kennari getur einnig skráð sig inn með kóða sem sendur er á netfang hans
• Aðgangsgögn: Dulkóðuð Google OAuth-tákn, vegna Google-innskráningar kennara
• Stjórnsýslugögn: Skólatenging, námskeið, athugasemdir kennara og yfirferð
• Notkun kennaravefs: Hvaða síður kennari opnar og hvaða aðgerðir hann framkvæmir, án sjálfvirkrar skráningar smella og án skjáupptöku

Alfa vinnur ekki viðkvæmar persónuupplýsingar (t.d. um heilsu, kynþátt eða stjórnmálaskoðanir), að undanskildu tvennu: skráningu um veikindi þar sem skólinn hefur valið viðveruskráningu, og því sem nemandi kann að skrifa sjálfur í spurningu til kennara.

4. Tilgangur og tímalengd vinnslu

Tilgangur: Að veita stærðfræðikennsluþjónustu: nemendur leysa verkefni og skila úrlausnum, kennarar útbúa verkefni, fara yfir úrlausnir og gefa endurgjöf, og þar sem skólinn velur það fer gervigreind yfir handskrifaðar úrlausnir fyrir kennarann.

Lagagrundvöllur Skólans: Lögbundið hlutverk grunnskólans samkvæmt lögum nr. 91/2008 um grunnskóla og almennum reglum um skólastarf.

Tímalengd: Vinnslan varir á meðan samningur við Skólann er í gildi. Vinnslunni lýkur þegar samningi er sagt upp.

5. Geymslutími og eyðing

Skólinn getur hvenær sem er óskað eftir eyðingu gagna með því að senda beiðni á alfa@alfakennsla.is. Tímamörk og verklag eru útfærð í vinnslusamningi við Skólann.

6. Undirvinnsluaðilar

Eftirfarandi undirvinnsluaðilar eru notaðir við veitingu þjónustunnar. Sami listi er í 7. gr. vinnslusamnings við hvern skóla.

Alfa tilkynnir Skólanum skriflega með a.m.k. 30 daga fyrirvara áður en nýjum undirvinnsluaðila er bætt við eða undirvinnsluaðila skipt út. Skólinn getur gert athugasemd innan þess frests. Ef ekki tekst að leysa ágreining getur Skólinn sagt upp þeim hluta þjónustunnar sem undirvinnsluaðilinn þjónar.

7. Flutningur gagna utan ESB/EES

Persónuupplýsingar nemenda eru geymdar og unnar innan Evrópska efnahagssvæðisins (EES). Nokkrir undirvinnsluaðilar hafa staðfestu utan EES og geta fengið aðgang að gögnum vegna reksturs og þjónustu, þótt gögnin séu geymd innan EES. Slíkur aðgangur byggist á stöðluðum samningsákvæðum ESB (SCC) eða EU–U.S. Data Privacy Framework.

Raunveruleg vinnsla utan EES á sér einungis stað í þremur flæðum: annálum Resend um tölvupóst til kennara, Google-innskráningu kennara, og greiningu verkefnablaða sem kennari hleður upp. Ekkert þeirra ber gögn nemenda.

Yfirferð Alfa á handskrifaðri vinnu er valkvæð og fer eingöngu fram innan EES. Skólinn velur hana í vinnslusamningi. Alfa les úrlausnina með eigin líkani hjá RunPod á Íslandi og, þar sem þess þarf, aftur með líkani í gegnum Amazon Bedrock hjá Amazon Web Services innan ESB. Alfa velur hvaða líkan les hverja úrlausn.

• Einungis myndin af úrlausninni, texti dæmisins og svarform eru send til líkananna. Ekkert nafn, netfang, auðkenni, skóli, námskeið eða verkefni fylgir.
• Hugbúnaður Alfa hafnar allri vinnslu á svæðum AWS utan ESB.
• Alfa notar Amazon Bedrock samkvæmt vinnslusamningi Amazon Web Services (GDPR Data Processing Addendum), sem inniheldur stöðluð samningsákvæði ESB. Bedrock er stillt á að geyma engin gögn (zero data retention), framleiðendur líkananna hafa engan aðgang að þeim og þau eru aldrei notuð til þjálfunar.
• Gögn nemenda eru aldrei notuð til að þjálfa líkön þriðju aðila. Afmáð eintök til þjálfunar á eigin líkani Alfa verða einungis til ef Skólinn heimilar það sérstaklega í vinnslusamningi; sjálfgefið er það ekki heimilað.
• Skólinn getur hvenær sem er óskað eftir því að einungis eigin líkön Alfa séu notuð. Yfirferðin verður þá að jafnaði ónákvæmari og getur tafist í þau einstöku skipti sem eigin innviðir Alfa eru óaðgengilegir.

8. Öryggisráðstafanir

Alfa beitir viðeigandi tæknilegum og skipulagslegum öryggisráðstöfunum samkvæmt 32. gr. GDPR, þar á meðal:

• Öll samskipti dulkóðuð með HTTPS/TLS
• Forritskerfis-aðgangur er takmarkaður þannig að kennarar og nemendur sjá einungis sín eigin gögn
• Row-Level Security (RLS) virk á töflum í gagnasafni sem viðbótaröryggi á dýptina
• Google OAuth-tákn dulkóðuð í geymslu með AES-256-GCM
• Innskráningarlotur nemenda eru vistaðar á þjónustuhlið og hverri þeirra má loka fyrir sig. Einungis tætigildi (hash) lotutáknsins er varðveitt, táknið endurnýjast við hverja notkun og útskráning fellir lotuna úr gildi. Á tækjum sem fleiri en einn nemandi notar gildir lotan í mest 12 klukkustundir og fellur úr gildi eftir 45 mínútur án notkunar
• Innskráningarkóðar nemenda og kennara eru aldrei geymdir sjálfir, eingöngu sem tætigildi (hash)
• Lokað og einkavarið geymslusvæði fyrir myndir af handskrift hjá Supabase á Írlandi; aðgangur einungis með skammtíma undirrituðum slóðum
• Aðgangsstýring starfsmanna að framleiðslukerfum byggð á starfsskyldu
• Reglulegt öryggiseftirlit, atvikaskráning og afritun
• Enginn greiningar- eða markaðshugbúnaður er notaður fyrir nemendur. Á kennaravef er notkun greind með PostHog innan ESB, án sjálfvirkrar skráningar smella og án skjáupptöku. Engin markaðstól þriðja aðila (t.d. Google Analytics, Meta) eru notuð. Villuvöktun fer fram með dulnefndum auðkennum (auðkenni og hlutverk; netföng eru ekki send)

Allir starfsmenn og verktakar með aðgang að persónuupplýsingum eru bundnir trúnaðarskyldu.

9. Notkun gervigreindar

Eftirfarandi sérstök ákvæði eiga við um gervigreindarþætti Alfa:

• Líkön innan EES: Yfirferð Alfa á handskrift fer fram á gervigreindarlíkönum innan EES, eigin líkani Alfa á Íslandi og líkönum í gegnum Amazon Bedrock innan ESB, eins og lýst er í 7. kafla. Hún er einungis notuð þar sem skólinn hefur valið hana, og kennari ræður hvort Alfa fer yfir myndir um leið og þær berast eða þegar hann óskar þess.
• Niðurstaðan er einungis fyrir kennarann: Yfirferð gervigreindar á handskrift birtist eingöngu kennaranum. Nemandi fær enga umsögn og enga niðurstöðu frá gervigreind um myndina sína. Svör sem nemandi slær inn eru yfirfarin með fastri reglu í bakendanum, ekki með gervigreind.
• Mannleg yfirferð (22. gr. GDPR): Niðurstöður gervigreindarinnar hafa ekki lagagildi sem sjálfvirk ákvarðanataka. Kennari ber endanlega ábyrgð á einkunnagjöf og ber að yfirfara niðurstöður gervigreindar áður en þær eru notaðar í formlegt námsmat. Nemandi getur óskað eftir mannlegri yfirferð á hvaða niðurstöðu sem er.
• Engar auðkenningarupplýsingar sendar líkani: Einungis mynd af úrlausn nemanda, texti dæmisins og svarform eru send til gervigreindarlíkansins. Rétta svarið er ekki sent með myndinni. Engin auðkenni nemandans eru send.
• Myndir sem eru ekki skólaverkefni: Greinist mynd ekki sem handskrifuð stærðfræði er henni eytt sjálfkrafa og einungis skráning um höfnunina varðveitt.
• Ekkert spjall við gervigreind: Nemendur geta ekki spjallað við gervigreind í þjónustunni.

Um spurningar til kennara. Nemandi skrifar spurninguna sjálfur í frjálsan texta og hún fer eingöngu til kennarans. Nemendur ættu ekki að deila viðkvæmum persónuupplýsingum (t.d. um heilsu, fjölskylduaðstæður eða annað utan stærðfræðiverkefnisins) í spurningum. Skólinn er ábyrgur fyrir því að upplýsa nemendur um þetta, t.d. í notkunarleiðbeiningum eða kennslustundakynningu.

Ákvæði um þjálfun gervigreindar á gögnum Skólans eru útfærð í vinnslusamningi við hvern skóla.

10. Réttindi hinna skráðu

Skráðir einstaklingar (nemendur og kennarar) eiga eftirfarandi réttindi samkvæmt GDPR:

• Réttur til aðgangs að persónuupplýsingum
• Réttur til leiðréttingar á röngum upplýsingum
• Réttur til eyðingar
• Réttur til takmörkunar á vinnslu
• Réttur til flytjanleika gagna
• Réttur til andmæla

Þar sem Skólinn er ábyrgðaraðili skal beiðnum um þessi réttindi beint til Skólans. Alfa aðstoðar Skólann við að uppfylla þessar skyldur innan hæfilegs tíma og án aukakostnaðar að því marki sem hægt er.

Skráðir einstaklingar geta sent kvörtun til Persónuverndar: personuvernd.is.

11. Tilkynning um öryggisbrest

Verði Alfa vart við öryggisbrest sem snertir persónuupplýsingar Skólans tilkynnir Alfa það Skólanum innan 48 klukkustunda frá uppgötvun brestsins. Tilkynningin inniheldur:

• Eðli brestsins
• Fjölda og flokka skráðra einstaklinga og persónuupplýsinga
• Líklegar afleiðingar
• Þær ráðstafanir sem Alfa hefur gert eða hyggst gera til að bregðast við

Alfa aðstoðar Skólann við að uppfylla tilkynningarskyldu Skólans gagnvart Persónuvernd og hinum skráðu, eftir atvikum. Nánara verklag er útfært í vinnslusamningi við Skólann.

12. Lok þjónustu

Meðferð gagna við lok samnings, þar á meðal endurheimt gagna, eyðing og geymsla afrita, er ákveðin í vinnslusamningi við hvern skóla fyrir sig.

13. Upplýsingar til foreldra og forráðamanna

Skólar sem nota Alfa eru hvattir til að upplýsa foreldra og forráðamenn um lausnina í skólanámskrá eða með öðrum hætti sem skólinn telur viðeigandi. Alfa veitir skólum tilbúna upplýsingatexta á íslensku til notkunar í slíkri kynningu að beiðni.

14. Breytingar á stefnu

Alfa getur uppfært þessa stefnu. Verulegum breytingum verður tilkynnt Skólanum í samræmi við vinnslusamning. Aðrar breytingar, svo sem orðalagsbreytingar, má gera án sérstakrar tilkynningar. Nýjasta útgáfan er ávallt aðgengileg á þessari síðu.

15. Lagaval og lögsögurnar

Þessi stefna lýtur íslenskum lögum. Ágreiningi er vísað til íslenskra dómstóla, og Héraðsdómur Reykjavíkur hefur fyrstu lögsögu.

16. Hafa samband

Alfa Kennsla ehf.
Kt. 481225-1320
Netfang: alfa@alfakennsla.is

Persónuvernd: personuvernd.is