Databeskyttelse i Simulant
Simulant bruges af danske handelsskoler, og derfor behandler vi persondata på vegne af elever, undervisere og skoler. Her kan I se, hvad det indebærer, og hvad I kan forvente af os.
Kort version: data ligger i EU, behandlingen følger GDPR, vi har en databehandleraftale klar til underskrift, og vores underdatabehandlere er listet nedenfor. Hvis I har spørgsmål, ring eller skriv.
GDPR
Lovgrundlag
Når en skole bruger Simulant, opretter vi konti, gemmer elevernes arbejde og logger handlinger, og det er persondata. Vi behandler dem som databehandler på skolens vegne, og I forbliver dataansvarlige for jeres elevers data.
Behandlingen er beskrevet i vores databehandleraftale, som vi sender til underskrift i forbindelse med onboarding. Aftalen er bygget på Datatilsynets standardskabelon og kan tilpasses efter jeres skoles eksisterende politikker.
Hvor ligger data
Servere i EU
Databaserne for hver Simulant-app er hostet på servere i EU (Contabo, Frankrig), og det gælder elevernes konti, deres arbejde i platformen, logs og uploadede filer. Backups gemmes også i EU.
Underdatabehandlere
Underdatabehandlere
Vi bruger en håndfuld underdatabehandlere til at drive platformen, og hver enkelt har tegnet en databehandleraftale med os. Listen opdateres her, hvis den ændrer sig, og I bliver varslet, hvis en ny underdatabehandler tilføjes.
Hvis I ønsker den fulde liste over underdatabehandlere med tilhørende databehandleraftaler, kan vi sende den som vedhæftning til jeres egen aftale.
Sikkerhed
Sikkerhedsforanstaltninger
Krypteret transport
Al kommunikation mellem browseren og Simulant er krypteret (HTTPS/TLS). Intet sendes i klartekst over netværket.
Kryptering af lagrede data
Databaser og backup-snapshots er krypteret på serveren, også når de ikke er i brug.
Adgangskontrol
Hver bruger logger ind via Simulant Console (SSO). Roller styrer, hvad den enkelte må se og ændre.
Tofaktorgodkendelse
Lærer- og admin-konti kan kræve SimID-godkendelse på telefonen for følsomme handlinger.
Log over handlinger
Hver væsentlig handling i platformen logges med tidspunkt og bruger, så I kan spore tilbage, hvis noget ser forkert ud.
Daglige backups
Hver database sikkerhedskopieres hver nat. Vi gemmer mindst 30 dage, så I kan rulle tilbage, hvis det er nødvendigt.
Patching og opdateringer
Operativsystemer, runtime og afhængigheder opdateres løbende. Sårbarheder håndteres så hurtigt som muligt efter offentliggørelse.
Adskilte miljøer
Udvikling og produktion kører i adskilte miljøer. Rigtige elevdata findes ikke i udviklingsdatabaserne.
Elever og skoler
Særligt om elevdata
De fleste data i Simulant er elevernes arbejde, fx kontering, kundesvar, kontrakter og indberetninger, som eleven selv har udført, og som læreren bruger til vurdering. Det er ikke følsomme persondata i GDPR-forstand, men det er stadig persondata, og vi behandler det med samme omhu.
Eleven kan til enhver tid eksportere sine egne data via Simulant Console, eller bede skolen om det på sine vegne. Når eleven forlader skolen, kan I slette eller arkivere elevens konto fra Console.
Vi opretter ikke skyggekonti, sender ikke markedsføringsmails til elever og deler ikke elevdata med tredjepart ud over de underdatabehandlere, der er listet ovenfor. Eleven kan ikke kontaktes af os direkte uden om skolen.
Rettigheder
Jeres rettigheder
Indsigt
Få en kopi af alle persondata, vi har om en elev eller en bruger, i et læsbart format.
Rettelse
Ret forkerte oplysninger med det samme via Simulant Console eller ved at kontakte os.
Sletning
Slet en bruger og brugerens data permanent. Vi behandler anmodningen inden for rimelig tid.
Begrænsning
Begræns behandlingen, mens en uenighed afklares. I kan fryse en konto uden at slette den.
Dataportabilitet
Eksportér data i et almindeligt maskinlæsbart format (CSV/JSON), så det kan bruges andre steder.
Indsigelse
Sig nej til specifik behandling, fx AI-evaluering, og vi finder en løsning, der respekterer det.
Databehandleraftale (DPA)
Databehandleraftale klar til underskrift
Inden vi går i drift hos en ny skole, sender vi en databehandleraftale (DPA) til underskrift. Aftalen er bygget på Datatilsynets standardskabelon, så den passer ind i jeres eksisterende GDPR-dokumentation.
Hvis I bruger en bestemt tilpasset DPA-skabelon i jeres kommune eller skole, kan vi tage stilling til den i stedet. Send den til os.
Bed om DPA'enHvis der sker noget
Sikkerhedshændelser
Hvis vi opdager, eller bliver gjort opmærksomme på, at uautoriserede har fået adgang til data, en database er blevet eksponeret, eller en alvorlig sikkerhedsfejl er fundet, så følger vi en fast proces:
- 1 Begræns: vi lukker hullet og afbryder eventuel igangværende adgang.
- 2 Vurdér: vi finder ud af præcis, hvad der er sket, hvilke data der er berørt, og hvor mange brugere det rammer.
- 3 Underret: vi kontakter berørte skoler inden for 72 timer fra opdagelse, sammen med en beskrivelse af hændelsen, og hvad vi gør for at forhindre gentagelse.
- 4 Dokumentér: hver hændelse logges internt med en post-mortem, så vi løbende kan styrke vores sikkerhedsforanstaltninger.
Har I selv opdaget en sikkerhedsfejl? Skriv til hej@simulant.shop. Vi tager den seriøst og svarer så hurtigt, som vi kan.
Spørgsmål om data
Hvis jeres GDPR-ansvarlige eller IT-afdeling har konkrete spørgsmål til, hvordan Simulant håndterer data, så ring eller skriv. Vi har som regel et svar samme dag.