Privaatsuspoliitika

1. Vastutav töötleja

OÜ Susilaane
E-post: taavi.tamkivi@gmail.com
Telefon: +372 56634636

Isikuandmete kaitsega seotud küsimuste ja päringutega pöörduge ülaltoodud e-posti aadressil.

2. Milliseid andmeid töödeldakse

Töötleme järgmisi isikuandmeid:

• •Kasutajakonto andmed: nimi, e-posti aadress, krüpteeritud parool, kasutajaroll (õpetaja/õpilane/lapsevanem).
• •Seanssiandmed: autentimistoken küpsisena, seansi aegumisaeg.
• •Kontrolltööde fotod: üleslaaditud pildid (base64 formaadis), mis võivad sisaldada õpilase nime, käekirja ja vastuseid. Fotod salvestatakse meie andmebaasi ning kustutatakse automaatselt pärast seda, kui õpetaja on tulemuse kinnitanud (APPROVED / SHARED staatus).
• •AI-genereeritud tagasiside: kontrolltöö analüüsi tulemused salvestatakse andmebaasi (rawFeedback, editedFeedback väljad) ja kustutatakse automaatselt 13 kuud pärast jagamist. Tähtis: enne Anthropic API-le saatmist asendatakse õpilase nimi pseudonüümiga „Õpilane" — pärisnimi ei lahku meie serverist.
• •Nõusolekuandmed: lapsevanema antud AI-analüüsi nõusolekud koos kuupäeva, e-posti aadressi ja IP-aadressiga (audit trail GDPR tõendamiseks).
• •Audit-logi kirjed: kasutajate toimingud (sisselogimine, tulemuste kinnitamine, andmete eksport/kustutamine) säilitatakse 90 päeva.
• •Küpsiste nõusolek: nõusoleku aeg ja kasutaja ID (kui sisselogitud).
• •Tagasiside arendajale (vabatahtlik): tüüp, kirjeldus, e-posti aadress vastuse jaoks.

3. Töötlemise eesmärgid

• •Kasutajakonto haldamine ja autentimine.
• •Kontrolltöödele isikustatud hariduslike tagasiside genereerimine AI abil.
• •Teenuse turvalisuse tagamine ja väärkasutuse ennetamine.
• •Seadusest tulenevate kohustuste täitmine.
• •Teenuse arendamine kasutajate tagasiside põhjal.

4. Töötlemise õiguslik alus

• •GDPR art 6(1)(a) — Nõusolek: küpsiste kasutamiseks, vabatahtlike andmete töötlemiseks ning alaealiste õpilaste kontrolltööde AI-analüüsimiseks (lapsevanema kirjalik nõusolek).
• •GDPR art 6(1)(b) — Lepingu täitmine: kasutajakonto loomine ja teenuse osutamine.
• •GDPR art 6(1)(e) — Avaliku ülesande täitmine: riikliku õppekava raames hariduslike eesmärkide toetamine (PGS alusel).
• •GDPR art 6(1)(f) — Õigustatud huvi: teenuse turvalisuse tagamine, pettuste ennetamine ja audit-logi säilitamine.
• •GDPR art 9 ei kohaldu: töötlemise käigus ei koguta eriliiki isikuandmeid (terviseandmeid, biomeetrilisi andmeid vms).

5. Andmete säilitamine

• •Kasutajakonto: kuni konto kustutamise taotluseni. Kustutamisel anonümiseeritakse nimi ja e-post (kirje säilib audit-logi viidete jaoks).
• •Seanssiandmed: 30 päeva, seejärel automaatne kustutamine. Aegunud seansid kustutatakse igaöise cronjobiga 7-päevase järelannetähtajaga.
• •Kontrolltööde fotod (base64): kustutatakse automaatselt, kui tulemus saab staatuse APPROVED, SHARED või ARCHIVED. Maksimaalne säilitusaeg on seega üks õppeaasta.
• •AI-genereeritud tagasiside tekst: kustutatakse automaatselt 13 kuud pärast jagamist (ligikaudselt: jooksev õppeaasta + 1 kuu).
• •Nõusolekuandmed: kustutatakse koos lapse profiiliga (konto kustutamisel).
• •Audit-logi kirjed: 90 päeva, seejärel automaatne kustutamine.
• •Küpsiste nõusolek: 12 kuud.

6. Kolmandad osapooled

Edastame andmeid ainult järgmistele partneritele teenuse osutamiseks:

• •Anthropic (Claude API): kontrolltööde fotod saadetakse analüüsimiseks. Enne saatmist pseudonümiseeritakse õpilase nimi — Anthropic API ei saa pärisnime. Anthropic ei kasuta API andmeid mudelite treenimiseks (API kasutustingimuste §4 kohaselt). Andmeedastus USA-sse toimub EL–USA andmekaitse raamistiku alusel. Pseudonümiseerimine rakendab GDPR art 25 (lõimitud andmekaitse) nõuet minimeerida isikuandmete edastamist kolmandatele osapooltele.
• •Vercel: hosting ja serveritaristu (Euroopa piirkond).

Andmeid ei jagata turunduslikel eesmärkidel ega müüda kolmandatele osapooltele.

7. Teie õigused

GDPR alusel on teil järgmised õigused:

• •Juurdepääsu õigus (art 15): saate küsida, milliseid andmeid teie kohta töödeldakse. Sisselogitud kasutajad saavad oma andmed alla laadida otse oma profiililehelt (JSON-formaadis).
• •Parandamise õigus (art 16): saate lasta oma andmeid parandada.
• •Kustutamise õigus (art 17): saate nõuda oma andmete kustutamist ("õigus olla unustatud"). Sisselogitud kasutajad saavad konto kustutamise käivitada otse oma profiililehelt.
• •Töötlemise piiramise õigus (art 18): teatud juhtudel saate töötlemist piirata.
• •Nõusoleku tagasivõtmine: lapsevanemad saavad AI-analüüsi nõusoleku igal ajal tühistada oma profiililehel. Nõusoleku tagasivõtmine ei mõjuta enne tühistamist toimunud töötlust.
• •Andmete ülekandmise õigus (art 20): saate oma andmed masinloetavas formaadis kätte (JSON allalaadimine profiililehel).
• •Vastuväite esitamise õigus (art 21): saate esitada vastuväite õigustatud huvi alusel töötlemisele.

Õiguste kasutamiseks kirjutage: taavi.tamkivi@gmail.com. Vastame 30 päeva jooksul.

Kui leiate, et teie andmete töötlemine rikub teie õigusi, on teil õigus esitada kaebus Andmekaitse Inspektsioonile (aki.ee).

8. Tehisintellekti kasutamine ja EL AI Act

Õpetaja Tagasiside kasutab tehisintellekti (Anthropic Claude API) õpilaste kontrolltööde analüüsimiseks ja tagasiside genereerimiseks. Süsteem on klassifitseeritud kõrge riskiga AI-süsteemiks vastavalt EL määrusele 2024/1689 (AI Act), lisa III, punkt 3(a).

• •Inimjärelevalve: AI ei tee iseseisvaid otsuseid. Kõik AI-genereeritud tagasiside mustandid vaatab üle ja kinnitab õpetaja enne õpilasele jagamist.
• •Läbipaistvus: kõik AI-genereeritud väljundid on märgistatud. Õpilased ja lapsevanemad on teadlikud AI kasutamisest.
• •Andmekaitsemõjude hindamine: on läbi viidud DPIA vastavalt GDPR artiklile 35, mis hõlmab AI-spetsiifilisi riske, alaealiste kaitse riske ja andmete konfidentsiaalsuse riske.
• •Keelatud praktikad: süsteem ei tuvasta emotsioone, ei kategoriseeri biomeetriliselt, ei loo sotsiaalset hindamisskoori ega suhtle otse õpilastega.
• •Riskijuhtimine: riskihinnangut uuendatakse iga 6 kuu tagant. AI väljundite kvaliteeti auditeeritakse regulaarselt.

9. Küpsised

Kasutame ainult seansi haldamiseks vajalikke küpsiseid (ot_session). Need on funktsionaalsed küpsised, mis on vajalikud teenuse toimimiseks. Jälgimisküpsiseid ega reklaamiküpsiseid ei kasutata.

Küpsise sisu on krüpteeritud autentimistoken; see ei sisalda isikuandmeid otse.

10. Kontakt ja päringud

Privaatsusküsimuste, andmetega tutvumise taotluste ja kustutamistaotluste jaoks:

E-post: taavi.tamkivi@gmail.com
Telefon: +372 56634636