GDPR-briefing: FlowCAS
Opdateret 9. juli 2026. En samlet oversigt over alt GDPR-relevant ved FlowCAS' behandling — til skoler, kommuner og deres databeskyttelsesrådgivere (DPO'er). Korte, opslagsvenlige svar pr. emne.
Kort om FlowCAS
Matematikværktøj til grundskolen (7.-9. klasse). Lærere opretter hold, elever afleverer besvarelser, lærere retter og giver feedback. Under pilotafprøvning. Enkeltmandsvirksomhed (CVR 46574427).
Roller
FlowCAS er DATABEHANDLER for elevdata (art. 28) — skolen/kommunen er DATAANSVARLIG. For lærerkonti (login, ikke børnedata) er FlowCAS selv dataansvarlig. Skolen/kommunen bruger sin EGEN databehandleraftale (typisk Datatilsynets standard-DPA, art. 28 stk. 3, nyeste version okt. 2025) — FlowCAS tilpasser sig kommunens aftale frem for at kræve en egen skabelon.
Hvilke data behandles
Almindelige persondata: elevnavn, klassetilhørsforhold, opgavebesvarelser, lærerens rettelser/feedback. INGEN følsomme oplysninger (art. 9), INTET CPR-nummer. Elevens ID pseudonymiseres (envejs-HMAC — Hash-based Message Authentication Code, en kryptografisk metode der gør ID'et uigenkendeligt og ikke kan regnes tilbage) i browseren, før noget sendes til serveren. Elev-diktering (talestemme) er bygget men GATED for rigtige elever — se Google Cloud-rækken i underbehandler-tabellen.
Hold-import fra STIL/UNI-Login — planlagt, endnu ikke aktiv
Teknisk lag bygget og bevist end-til-ende mod STILs (Styrelsen for It og Læring — den statslige myndighed bag UNI-Login) produktionsmiljø (wsiINST til klasseliste, wsiEKSPORTlille til elevliste — bevidst CPR-fri variant, aldrig Mellem/Fuld). INGEN persondata behandlet endnu. Afventer (a) STILs godkendelse af tilslutningen og (b) en dataaftale med skolen/kommunen. Indtil begge dele er på plads, behandles ingen elevdata ad denne vej.
Teknisk sikkerhed (art. 32)
Row Level Security (RLS — en database-mekanisme der begrænser, hvilke rækker en bruger kan se/ændre): en lærer kan kun tilgå egne/delte klassers data. Kryptering under transport (HTTPS) og hvile (AES-256 — Advanced Encryption Standard, en anerkendt krypteringsstandard). MFA (multifaktorautentifikation — login kræver mere end kun adgangskode) aktiveret på alle administrative konti (Supabase, GitHub, Resend, Netlify). Ingen cookies, analytics eller tracking.
DPIA (konsekvensanalyse)
Findes og opdateres løbende for FlowCAS' behandling — kan udleveres. Den formelle DPIA-pligt ligger hos skolen/kommunen som dataansvarlig, men FlowCAS' dokumentation kan indgå direkte i deres, så de ikke skal starte fra bunden. En separat elev-DPIA (tale-til-tekst) er også klar til DPO-høring.
Opbevaring og sletning
Automatisk retention-job kører dagligt i produktion. Almindelige elevafleveringer: slettes ved skoleårets udgang (31. august) eller senest 12 måneder efter aflevering (dog aldrig før 30 dage, dækker klagefristen). Prøve-/eksamensbesvarelser: mindst 3 måneder efter bedømmelse eller til en klagesag er afsluttet. Elev-kladder (ikke afleveret): 90 dages inaktivitet. Adgangslogs: senest 6 måneder.
Ved aftaleophør
Dedikeret, manuelt udløst funktion sletter ALT data for kommunen — testet ende-til-ende i produktion (forhåndsvisning → faktisk sletning → verifikation, inkl. selve kontiene). Skriftlig bekræftelse med antal slettede enheder pr. type og dato. En verserende klagesag eller lovpligtig prøveopbevaring blokerer sletning af den specifikke besvarelse, indtil den ophører.
Brud på persondatasikkerheden
Automatisk alarm overvåger adgangen til klasselister, advarer internt inden for en time ved unormal aktivitet fra én lærerkonto. Skriftlig intern beredskabsplan findes. Underretning til kommunen senest 24 timer efter FlowCAS er blevet opmærksom på et brud (så I kan nå Datatilsynets 72-timers-frist).
Underdatabehandlere (fuld liste)
Alle har egne databehandleraftaler med FlowCAS. Ingen af dem ser CPR-numre eller følsomme oplysninger (art. 9) — FlowCAS behandler ikke den slags data overhovedet.
| Underbehandler | Rolle / hvad de gør | Placering | Data de har adgang til (+ FlowCAS' værn) | Følsomhed | Overførselsgrundlag |
|---|
| Supabase | Database + login/autentificering | EU (Frankfurt, kører på AWS-infrastruktur) | Elevnavn, klasse, opgavebesvarelser, lærerens login/rettelser. Begrænset af: underskrevet DPA (kun behandling efter instruks) · Row Level Security (lærer kan kun tilgå egne/delte klassers data) · kryptering i transit+hvile · MFA på admin-konto · ingen cookies/tracking | Almindelig persondata (elever = børnedata) | EU-hosting (Frankfurt) — ingen rutinemæssig tredjelandsoverførsel. Amerikansk moderselskab → teoretisk restrisiko (FISA/CLOUD Act), afdækket af SCC i DPA'en. Uddybet i egen TIA* |
| AWS | Infrastruktur under Supabase (databasen kører fysisk her) | EU (eu-central-1, Frankfurt) | Samme som Supabase — al data ligger på AWS' infrastruktur. Begrænset af: ren infrastruktur-udbyder uden applikationsadgang, dækket af Supabases egen DPA med AWS + samme kryptering | Almindelig persondata (børnedata) | EU-hosting — samme forbehold som Supabase (amerikansk moderselskab, SCC som supplerende værn, jf. TIA) |
| Netlify | Statisk hosting/CDN for selve webappen | USA | Besøgs-IP i serverlogs (er persondata, men ikke knyttet til navn/konto) — INGEN elevnavne, opgavebesvarelser eller andre app-data. Begrænset af: underskrevet DPA · leverer kun statisk app-kode, rammer aldrig databasekald | Lav (IP-adresse — ikke børnedata, ikke knyttet til identitet) | DPF (EU-US Data Privacy Framework) + SCC som sikkerhedsnet |
| Resend | Transaktionsmail (fx sletningsvarsler til lærere) | USA | Kun lærerens e-mailadresse — INGEN elevdata. Begrænset af: underskrevet DPA · rammer kun lærerens mail ved en varsling, aldrig elevdata | Almindelig persondata (lærer, ikke børnedata) | DPF + SCC som sikkerhedsnet |
| Google Cloud | Tale-til-tekst (STT) + oplæsning (TTS) | EU-endpoints (eu-speech/eu-texttospeech.googleapis.com) | TTS: opgavetekst (ikke persondata). STT lærer: lærerens stemme (LIVE). STT elev: elevstemme — børnedata, GATED indtil DPO-godkendelse. Begrænset af: rent relæ — lyd/transskript gemmes ALDRIG, kun en forbrugslog (sekunder + tidspunkt, ikke indhold) · data logging bekræftet SLÅET FRA hos Google (ingen modeltræning/deling med tredjepart) · elev-siden forbliver lukket til DPO har godkendt | Opgavetekst = ikke persondata · lærerstemme = almindelig persondata · elevstemme (ved fremtidig åbning) = børnedata | SCC (+ valgfri DPF); EU-kontraktpart Google Cloud EMEA Limited (EMEA = Europe, Middle East & Africa — Googles europæiske selskab, Dublin) |
Google-login for lærere: Google bruges desuden som valgfri identitetsudbyder, når en lærer aktivt vælger “Fortsæt med Google”. Google modtager ingen elevdata; FlowCAS modtager lærerens kontoidentitet (typisk e-mail, navn og profilbillede) via Supabase. Forløbet kan ikke oprette nye lærerkonti, og e-mail/adgangskode er fortsat et alternativ. Google-kontoens egen loginbehandling følger Googles vilkår og privatlivspolitik og er derfor beskrevet særskilt fra underdatabehandler-tabellen.
Kort sagt: ingen af underbehandlerne kan "frit" gøre, hvad de vil med data — de er bundet af signerede databehandleraftaler (kun behandling efter FlowCAS' instruks, art. 28-krav), og adgangen er teknisk begrænset (RLS, kryptering, MFA), ikke kun aftalemæssigt. De grønne noter i tabellen ovenfor viser det konkrete værn pr. leverandør.
Ordforklaringer: SCC = EU's standardkontraktbestemmelser · DPF = EU-US Data Privacy Framework · TIA = overførselsvurdering (egen udførlig analyse findes) · FISA/CLOUD Act = amerikanske love om myndighedsadgang til data hos amerikanske virksomheder.
Hvorfor Supabase/AWS' amerikanske moderselskab kun er en teoretisk restrisiko:
- Sandsynligheden for at en dansk folkeskoles matematik-app bliver mål for en amerikansk efterretnings-/myndighedsanmodning vurderes reelt meget lav.
- SCC giver et kontraktuelt lag, hvor Supabase forpligter sig til at anfægte/underrette, hvor det er juridisk muligt, før data udleveres.
- Det er samme eksponering, enhver europæisk skole har, uanset hvilken cloud-udbyder (AWS/Google/Microsoft) de bruger.
Dokumentation og revision
FlowCAS stiller nødvendig dokumentation til rådighed og muliggør inspektion.
Forretningskontinuitet (hvis FlowCAS lukker, går konkurs eller ejeren bliver uarbejdsdygtig)
FlowCAS har en intern nødplan: en betroet kontaktperson med forsinket nødadgang til de tekniske systemer, så data kan slettes eller udleveres selv i en nødsituation. Ordningen sikrer kontinuitet og datatilgængelighed for skolen, også hvis virksomheden ophører.
Ikke juridisk rådgivning. Den fulde databehandleraftale, DPIA og øvrig dokumentation udleveres gerne på forespørgsel — kontakt@flowskole.dk.