Säkerhet & dataskydd

Senast uppdaterad: 2026-10-21

1. Grundprincipen: skolans data stannar hos skolan

Simple Schedules är byggt kring en ovanlig utgångspunkt: vi lagrar inga elev- eller lärardata. Skolans underlag — elever, lärare, kurser, tjänstefördelning — sparas i användarens webbläsare och, om ni vill, i ert eget Google Drive (under ert eget avtal med Google). Det färdiga schemat laddar ni ner som fil och för in i ert befintliga system.

Konsekvensen för er granskning: den personuppgiftsbehandling ni behöver genomlysa hos oss är liten, eftersom behandlingen i sig är liten. Mindre data hos leverantören betyder mindre risk, mindre avtalsyta och färre frågor att ställa.

2. Vad vi faktiskt lagrar

• Kontouppgifter för skolans användare av verktyget: namn, e-postadress, inloggningsuppgifter.
• Koppling till Google Drive, om ni väljer att koppla det: Google-kontots e-postadress och en åtkomstnyckel så att verktyget kan spara i ert Drive.
• Licens- och avtalsmetadata: vilken skolenhet som har vilken licens.

Det är allt. Ingen elevdata, ingen frånvaro, inga betyg, inga scheman i vila hos oss. Detaljer om rättslig grund och lagringstider finns i vår integritetspolicy.

3. Var och hur driften sker

• Vår databas för konto- och licensdata är self-hostad inom EU (Sverige) — inte hos en amerikansk molndatabastjänst.
• Åtkomstkontrollen sker med radnivåsäkerhet (Row Level Security) i databasen: varje förfrågan prövas mot rättighetsregler på servern, inte i klienten. Administratörsbehörighet kan bara tilldelas på serversidan — aldrig av en användare själv.
• Webbplatsen och applikationen levereras via Cloudflare, med botskydd och TLS-kryptering på all trafik.
• Även vår mötesbokning är self-hostad på egen underdomän — ingen bokningsdata delas med externa bokningstjänster.
• Integrationen med skolans administrativa system (t.ex. Skola24) är i dag filbaserad: vi gör inga live-anrop mot era verksamhetskritiska system och kan aldrig belasta eller störa dem. Simple Schedules arbetar som en isolerad miljö vid sidan av er drift — det färdiga schemat läses tillbaka som en validerad fil, på ert initiativ.

4. Var sker själva beräkningen?

Frågan varje säkerhetsgranskare ställer om ett "vi lagrar inget"-löfte är: men var räknar ni, och vad ser beräkningsservern? Vårt svar:

• Schemat räknas fram på vår beräkningsserver hos Google Cloud i Stockholm (region europe-north2).
• Det som skickas dit: antal lektioner, lektionslängder, tider, gruppstorlekar, salarnas platser, kurskoder och namnen på klasser, elevspår, salstyper och byggnader. Lärare och salar skickas som nummer.
• Det som aldrig skickas: elevers och lärares namn, lärarnas signaturer och personnummer. Namn som skolan själv skriver, som gruppkoder och namn på fasta tider, skickas som de är skrivna — skriv därför inte personnamn där.
• Underlaget sparas inte. Det finns i serverns minne medan schemat räknas; sedan går schemat tillbaka till webbläsaren. Serverns logg har tid och IP-adress per anrop, och om en beräkning kraschar kan felmeddelandet innehålla ett grupp- eller klassnamn. Inget annat sparas.

5. Underleverantörer

Listan är kort med avsikt. Vi tecknar personuppgiftsbiträdesavtal med skolhuvudmän i samband med avtal och redovisar underleverantörer öppet — förändringar meddelas innan de sker.

6. Ingen spårning

Webbplatsen använder inga spårningscookies, ingen tredjepartsannonsering och ingen profilering. Besöksstatistiken är cookiefri och respekterar Global Privacy Control och Do Not Track. Hela redovisningen finns i vår cookiepolicy. Vi publicerar också en tillgänglighetsredogörelse enligt WCAG 2.1 AA.

7. För er IT-avdelning och säkerhetsgranskning

Genomför ni en leverantörsgranskning? Vi svarar gärna på ert säkerhetsfrågeformulär, går igenom arkitekturen i detalj och tar fram det underlag er granskning kräver. Det är så vi vill bli köpta: efter en granskning, inte trots en.

Har du hittat en sårbarhet eller har frågor om säkerheten? Kontakta oss direkt på team@simpleschedules.se eller 076-343 44 80 — säkerhetsrapporter läses med förtur.