Personvernerklæring

Sist oppdatert 08.10.2026. Denne siden er informasjon, ikke juridisk rådgivning.

1. Hvem vi er

Graidable drives av Lukas Thrane (enkeltpersonforetak), org.nr 936 043 925, Vegamot 1N, 7049 Trondheim («vi»). Spørsmål om personvern: [email protected]. Vi har ikke utpekt personvernombud (ikke påkrevd for virksomheten).

2. Vår rolle

Når en lærer bruker Graidable for elevene sine, er skolen eller institusjonen som har ansvaret for elevene, behandlingsansvarlig, og Graidable er databehandler. Vi handler etter institusjonens dokumenterte instrukser og databehandleravtalen (GDPR art. 28). Læreren godtar den avtalen, sammen med vilkårene og denne erklæringen, når kontoen opprettes, på vegne av institusjonen som har ansvaret for elevene hvis arbeid lastes opp. I denne erklæringen betyr «elever» også studenter ved universiteter og høyskoler.

For besøkende på nettsiden og kontoinnehavere er vi behandlingsansvarlig for konto-, betalings- og bruksdata.

3. Hva vi behandler

• Kontodata: navn, e-post, rolle og institusjon. Logger du inn med Google, deler Google navnet ditt, e-posten og profilbildet ditt med oss. Logger du inn med Feide (levert av Sikt), deler skolen din gjennom Feide navnet ditt, e-posten din, en tilfeldig bruker-ID og tilhørigheten din (ansatt, student eller elev, og hvilken skole eller hvilket universitet). Tilhørigheten bruker vi bare til å avgjøre hvem som slipper inn: ansatte og studenter i høyere utdanning, ikke elever i skolen. Vi lagrer den ikke. Skolens navn lagres i profilen din. Vi lagrer også innloggingsbeviset fra Feide, slik at utlogging hos oss også logger deg ut av Feide. Vi henter ikke klasselister, fødselsnummer eller bilde fra Feide. Se Graidable med Feide.
• Klasselister: elevenes navn og, der læreren legger dem inn, e-post, elevnummer og kandidatnummer.
• Elevarbeid og lærerens filer: filene som lastes opp (maskinskrevne eller håndskrevne, i alle fag), bilder av sidene og teksten som leses fra dem. De kan inneholde personopplysninger, for eksempel et navn skrevet på en side.
• Vurderingsdata: poeng, KI-ens utkast, lærerens godkjente resultater og tilbakemelding.
• Betalingsdata: planen, betalinger og vurderingene som er brukt. Kortopplysningene legger du inn hos Stripe; vi ser dem aldri og lagrer dem ikke.
• Tekniske data: logger, for sikkerhet og drift.

4. Formål og behandlingsgrunnlag

Vi behandler data for å levere Tjenesten (lese arbeidet, sortere det til elevene, lage utkast til kriterier og vurderinger, tilbakemelding), for å ta betalt for den, for å sikre og drifte plattformen og for å kommunisere med brukerne.

Markedsføring (for eksempel produktnyheter) sendes bare til brukere som har samtykket ved registrering. Du kan trekke samtykket tilbake når som helst under Kontoinnstillinger («Produktnyheter») eller ved å kontakte oss.

For behandling på vegne av en institusjon fastsetter institusjonen behandlingsgrunnlaget (typisk GDPR art. 6(1)(e) eller (f), eller (a)). For våre egne konto-, betalings- og bruksdata er grunnlaget oppfyllelse av avtalen med deg og vår berettigede interesse i å drifte Tjenesten.

5. Hvordan KI brukes, og hva den får

KI-en lager utkast. Læreren går gjennom dem, kan endre alt og godkjenner hvert resultat. Vi bruker ikke innhold fra kunder eller elever til å trene KI-modeller.

Graidable velger KI-modellene. Det finnes ikke noe valg av modell eller datapolicy per konto. Hvert KI-kall går fra våre servere til OpenRouter (et amerikansk selskap), som sender det videre til modelleverandøren. KI brukes i fire steg:

Hva koden vår krever av hvert KI-kall. Rutingen er fastsatt i koden, og ingen innstilling endrer den:

• bare endepunktene som står over, og ingen reserve hos en annen leverandør;
• bare endepunkter som OpenRouter oppgir har null datalagring;
• bare leverandører som etter OpenRouters datapolicy ikke lagrer eller trener på kallene (data_collection: deny);
• et kall med en annen ruting enn den fastsatte stoppes før det sendes;
• serverne våre logger ikke innholdet i KI-kall eller svar.

Disse reglene binder modelleverandørene OpenRouter sender kallet til. Hva OpenRouter selv beholder av et kall, styres av OpenRouters egne vilkår og vår konto der.

Utenfor EU. To databehandlere arbeider utenfor EU:

• OpenRouter (USA): alle KI-kall går gjennom selskapet, med teksten og sidebildene de inneholder;
• TypeSafe (USA): Jev sorterer arbeidet og får derfor elevenes navn og teksten i arbeidet deres.

For begge bygger vi på EUs standardvilkår (SCC) (punkt 7).

Koden vår har én vurderingsmodell til, Gemini 3.8 Flash, som kjører på Googles globale endepunkt utenfor EU. Vi bruker den bare i våre egne testkjøringer, aldri på kundenes data. Før det endres, oppdaterer vi denne erklæringen og varsler behandlingsansvarlige (punkt 6).

6. Underdatabehandlere

Vi bruker TypeSafe, Microsoft og Google bare gjennom OpenRouter og har ingen direkte avtale med dem: OpenRouter sender kallene våre videre til dem.

Vi holder listen oppdatert og varsler behandlingsansvarlig om endringer i den.

7. Overføring til tredjeland

Lagring, databasen, e-post og lesing (OCR) skjer i EU/EØS, og det gjør også modellene som finner oppgavene, lager kriterier og vurderer. To ting skjer utenfor EØS: alle KI-kall går gjennom OpenRouter i USA, og Jev kjører hos TypeSafe i USA (punkt 5). Railway er et amerikansk selskap som lagrer dataene våre i EU. For disse overføringene bygger vi på EUs standardvilkår (SCC).

8. Lagringstid og sletting

Vi beholder data så lenge klassen eller kontoen finnes. Det er ingen automatisk sluttdato: dataene ligger til læreren sletter dem, eller vi sletter dem på forespørsel.

• Slettede klasser og oppgaver ligger i «Nylig slettet» i 30 dager og slettes deretter sammen med filene sine.
• Når du sletter kontoen (Kontoinnstillinger), slettes klassene, elevene, filene, resultatene og kontodataene dine med én gang, og planen din avsluttes. Systemet vårt fjerner de lagrede filene kort tid etter.
• Når en plan eller en pilot er over, ligger dataene til de slettes.

Du eller behandlingsansvarlig kan når som helst be oss slette data.

9. Sikkerhet

Vi bruker kryptering under overføring (HTTPS), tilgangsstyring og logging, og hoster i EU. Filene i lagringen er kryptert. Vi varsler behandlingsansvarlig uten ugrunnet opphold når vi blir kjent med et brudd på personopplysningssikkerheten.

10. Dine rettigheter

De registrerte har rett til innsyn, retting, sletting, begrensning, innsigelse og dataportabilitet etter GDPR. Under Kontoinnstillinger kan du be om en kopi av dataene dine (vi sender den på e-post innen en måned) og slette kontoen din. Der institusjonen er behandlingsansvarlig, rettes henvendelser dit, og vi hjelper institusjonen med å svare på dem. Du kan også klage til Datatilsynet.

Informasjonskapsler (cookies) og analyse

Nettsiden bruker kun nødvendige informasjonskapsler, for innlogging, økt og språkvalg. Vi bruker for tiden ingen markedsførings- eller sporingsverktøy (som Meta Pixel). Hvis vi senere tar i bruk slik analyse, settes sporingskapsler bare etter ditt samtykke, og du kan når som helst trekke det tilbake. Vi bruker ingen sporing inne i selve vurderingsverktøyet eller på elevarbeid.

11. Endringer og kontakt

Vi kan oppdatere denne erklæringen, og vi varsler vesentlige endringer. Kontakt: Lukas Thrane (Graidable), [email protected].