# xRex - Personuppgiftshantering och Dataskydd

För visning på: www.xrex.se/dataskydd
Målgrupp: Lärare, skolledning, IT-ansvariga, vårdnadshavare
Syfte: Transparent information om hur vi hanterar personuppgifter
Version: 1.0
Datum: 2026-01-28

Vi tar din integritet på allvar

xRex och tRex är digitala läromedel som hjälper elever att lära sig genom interaktiv AI-coachning. Vi vet att förtroende bygger på transparens - därför förklarar vi här öppet hur vi hanterar personuppgifter.

Vårt löfte:

• [x] Pedagogiskt ändamål - Vi använder data endast för lärande, aldrig för kommersiella syften
• [x] Minimal datainsamling - Vi samlar bara in det som behövs för funktionaliteten
• [x] Starkt skydd - Kryptering, pseudonymisering och EU-hosting som standard
• [x] Full kontroll - Du kan när som helst begära ut, rätta eller radera dina uppgifter

🎯 Vad är xRex/tRex?

xRex - Läromedelsverktyg för lärare

Ett verktyg där lärare skapar övningar, utmaningar och instruktioner för sina elever. Lärare kan följa elevernas framsteg och ge pedagogisk feedback.

tRex - AI-coach för elever

En AI-driven studieassistent som hjälper elever genom dialog, frågor och uppgifter. Eleven får personligt pedagogiskt stöd dygnet runt, anpassat efter sin nivå.

👥 Vilka personuppgifter samlar vi in?

För elever

I "PUB-läge" (när skolan har PUB-avtal med oss):

OBS: Elevens namn ersätts automatiskt med "jag" innan data skickas till AI-leverantörer (privacy-by-design).

I "Integritetsläge" (när skolan INTE har PUB-avtal):

Skillnad: I integritetsläge sparas elevens namn ALDRIG på servern eller i AI-systemet, vilket ger maximal integritet men begränsar pedagogisk kontinuitet.

För lärare

🔒 Hur skyddar vi dina uppgifter?

Tekniska säkerhetsåtgärder

✅ Kryptering överallt
All kommunikation sker via HTTPS med TLS 1.2+ (bank-nivå-kryptering)

✅ Pseudonymisering
Elever får automatiskt pseudonyma ID (anon_id) som används internt

✅ Namnscrubbing (Bas)
Elevens namn ersätts automatiskt med "jag" innan data skickas till AI-leverantörer

✅ Smart namnanonymisering
Om eleven skriver sitt eget namn i ett svar ersätts det med "jag", UTOM när samma namn finns i det rekommenderade svaret (då antas namnet avse en person i svaret, inte eleven själv)

✅ IP-trunkering
IP-adresser maskeras till x.x.x.0 (IPv4) eller x:x:x::0 (IPv6) för att skydda identitet

✅ Säkra lösenord
Lärarlösenord krypteras med bcrypt/Argon2 (omöjligt att återställa)

✅ Sessionshantering
Säkra cookies med HttpOnly + Secure + SameSite-flaggor mot sessionkapning

Organisatoriska säkerhetsåtgärder

✅ Rollbaserad åtkomst
Lärare ser endast sina egna klassrum, aldrig andra lärares data

✅ Personalsekretess
Alla anställda har undertecknat sekretessavtal (NDA)

✅ GDPR-utbildning
Regelbunden utbildning för personal om dataskydd

✅ Incidenthantering
Formaliserad rutin för rapportering av säkerhetsincidenter (12h till kommun)

✅ Årlig säkerhetsgranskning
Extern eller intern granskning av säkerhetsrutiner (Q1 varje år)

Fysiska säkerhetsåtgärder

✅ EU-hosting
Servrar hos Strato AG i Tyskland med ISO 27001-certifiering

✅ Skyddat datacenter
Fysiskt skyddade serverhall med begränsad åtkomst, videoövervakning, brandskydd

✅ Krypterade backups
Dagliga och månadsbackups med samma skyddsnivå som produktionsdata

🌍 Behandling utanför EU (AI-leverantörer)

Varför används AI i USA?

Vi använder världsledande AI-teknologi för bästa pedagogiska resultat:

• OpenAI (ChatGPT/GPT-4) - USA
• Anthropic (Claude) - USA
• Google (Gemini) - Irland (EU)

Hur skyddas data vid USA-överföring?

✅ Standard Contractual Clauses (SCC)
Alla USA-leverantörer har EU-godkända standardavtalsklausuler

✅ Namnscrubbing
Elevens namn ersätts automatiskt med "jag" innan AI-anrop (både bas och smart anonymisering)

✅ Minimal data
Endast fritextsvar skickas till AI, aldrig email/personnummer

✅ Kortvarig retention

• OpenAI: 30 dagar
• Anthropic: 90 dagar
• Google: Ephemeral (raderas omedelbart)

✅ Ingen AI-träning
Vi har avtal som förbjuder användning av elevdata för AI-träning

📊 Hur länge sparas data?

Elevdata

Aktivitetsdata: Innevarande läsår + 1 läsår (raderas automatiskt)
Exempel: Data från 2025/2026 raderas sommaren 2027

Fritextsvar: Följer samma retention som aktivitetsdata

Loggdata: 30 dagar (därefter automatisk gallring)

Lärardata

Användarkonton: Under anställning + 2 år (för ev. administration)

Klassrum och övningar: Så länge kontot är aktivt

Backups

Dagliga backups: 7 dagar
Månadsbackups: 12 månader
Årliga backups: Anonymiserade eller raderade beroende på lagkrav

🗑️ Dina rättigheter enligt GDPR

För elever (via vårdnadshavare under 18 år)

✅ Rätt till tillgång (artikel 15)
Be om kopia av alla personuppgifter vi lagrar

✅ Rätt till rättelse (artikel 16)
Rätta felaktiga eller ofullständiga uppgifter

✅ Rätt till radering (artikel 17)
"Rätten att bli glömd" - be om radering när som helst

✅ Rätt till begränsning (artikel 18)
Begränsa behandling under utredning

✅ Rätt till dataportabilitet (artikel 20)
Få data i maskinläsbart format (JSON/CSV)

✅ Rätt att göra invändningar (artikel 21)
Invända mot specifik behandling

Hur begär jag ut mina uppgifter?

För elever i skola med PUB-avtal:

1. Kontakta er skolas dataskyddsansvariga
2. Skolan vidarebefordrar begäran till oss
3. Vi svarar inom 30 dagar med komplett export

För lärare eller elever utan PUB-avtal:

1. Kontakta oss direkt via privacy@inducera.eu
2. Vi verifierar identitet (BankID eller motsvarande)
3. Vi svarar inom 30 dagar med komplett export

Format: JSON eller CSV med alla personuppgifter
Kostnad: Gratis (första begäran per år)

📤 Vad händer när kontot avslutas?

För elever

Automatisk radering: Efter innevarande + 1 läsår
På begäran: Omedelbar radering (via vårdnadshavare)

Vad raderas:

• Namn och email (hash)
• Alla fritextsvar och aktivitetsdata
• Loggposter
• Molnsynkad data (V3 storage)
• Backups flaggas för radering

Bekräftelse: Vi kan utfärda intyg om radering på begäran

För lärare

Vid slutad anställning: Kontot inaktiveras efter 2 år (retention för ev. administration)

På begäran: Omedelbar radering av konto och personuppgifter

Klassrum och övningar: Kvarstår anonymt (utan koppling till lärare) för skolans fortsatta användning

📋 PUB-avtal för kommuner

Vad är ett PUB-avtal?

PUB-avtal (Personuppgiftsbiträdesavtal) är ett juridiskt avtal mellan Inducera AB och kommuner som reglerar hur vi behandlar personuppgifter enligt GDPR artikel 28.

Fördelar med PUB-avtal: ✅ Fullständig funktionalitet (personlig AI-dialog med elevens namn)
✅ Transparent personuppgiftshantering
✅ Juridisk trygghet enligt SKR:s standardmall
✅ Kommunens rätt att granska våra system

Utan PUB-avtal: ⚠️ Integritetsläge (begränsad funktionalitet)
⚠️ AI kan inte använda elevens namn
⚠️ Aktivitetsdata anonymiserad

Kostnad: Ingår utan extra kostnad i xRex/tRex-licens

➡️ Mer information: Se Kundguide: Så fungerar PUB-avtalet

🚨 Incidenthantering

Vad gör vi vid säkerhetsincident?

Inom 12 timmar:

• Upptäckt och klassificering (Kritisk/Hög/Medel/Låg)
• Omedelbar åtgärd för att begränsa skada
• Rapportering till berörd kommun

Inom 72 timmar:

• Fullständig incidentrapport enligt GDPR artikel 33
• Anmälan till Integritetsskyddsmyndigheten (IMY) vid behov

Långsiktig:

• Förebyggande åtgärder
• Dokumentation i incidentregister

Incidentrapportering: incident@inducera.eu (24/7)

🔍 Transparens och kontroll

Vilka underbiträden använder vi?

Hosting:

• Strato AG (Tyskland, EU) - Primär lagring och hosting

AI-leverantörer:

• OpenAI (USA) - ChatGPT/GPT-4
• Anthropic (USA) - Claude
• Google Ireland Limited (Irland, EU) - Gemini

Alla underbiträden har GDPR-kompatibla avtal med Standard Contractual Clauses (SCC) för USA-överföringar.

Extern granskning

Årlig säkerhetsgranskning: Q1 varje år (enligt PUB-avtal)

Certifieringar (frivilligt för kommuner):

• ISO 27001 (Informationssäkerhet)
• SOC 2 Type II (Kontroller för tjänsteleverantörer)
• Penetration testing (Säkerhetstest av system)

🌱 Privacy-by-design

Inbyggd integritet från start

xRex/tRex är designat med privacy-by-design som grundprincip:

✅ Dataminimering: Vi samlar endast nödvändig data
✅ Pseudonymisering: Automatiska pseudonyma ID för elever
✅ Namnscrubbing: Namn ersätts med "jag" innan AI-anrop (inkl. smart kontextmedveten anonymisering)
✅ Integritetsläge: Fungerar utan personuppgifter om PUB-avtal saknas
✅ Automatisk retention: Data raderas automatiskt efter retention-period

Resultat: Även utan PUB-avtal är systemet GDPR-compliant!

📞 Kontakta oss

Frågor om dataskydd

Dataskyddsombud: Sonny Andersson
Email: privacy@inducera.eu
Telefon: [XXX-XXX XX XX]

Allmänna frågor

Kundservice: kontakt@inducera.eu
Telefon: [XXX-XXX XX XX]
Hemsida: www.xrex.se

Incidentrapportering (brådskande)

Email: incident@inducera.eu
Telefon: [XXX-XXX XX XX] (24/7)

📚 Mer information

Detaljerad dokumentation

För tekniskt intresserade och revisorer finns fullständig dokumentation:

📄 Kundguide: Så fungerar PUB-avtalet
Förklaring av PUB-avtal, driftlägen och GDPR-efterlevnad

📄 Teknisk specifikation
Detaljerad teknisk dokumentation för revisorer

📄 FAQ: Vanliga frågor om dataskydd
Svar på vanliga frågor från lärare, vårdnadshavare och elever

📄 PUB-avtal (ifyllt exempel)
Komplett PUB-avtal enligt SKR:s standardmall

Externa referenser

GDPR: EUR-Lex
IMY (Integritetsskyddsmyndigheten): imy.se
SKR (Sveriges Kommuner och Regioner): skr.se/juridik/dataskyddsforordningen

✨ Vårt engagemang

Inducera AB är dedikerade till att bygga pedagogiska verktyg som respekterar elevernas integritet samtidigt som vi levererar värdefull lärande-teknologi.

Vi tror på:

• 🔒 Transparent dataskydd - Ingen dold datainsamling
• 🎯 Pedagogiskt fokus - Data används endast för lärande
• 🌍 Etisk AI - Ingen kommersiell användning av elevdata
• 💚 Förtroende först - Vi förtjänar er tillit genom våra handlingar

Tack för att ni litar på oss!

Dokument ägs av: Inducera AB
Senast uppdaterad: 2026-01-28
Nästa granskning: 2027-01-28
Version: 1.0

Kontakt: privacy@inducera.eu | www.xrex.se/dataskydd