Personvernerklæring for søkere og elever til U19

Når du søker om plass ved våre opplærings- og talenttilbud, behandler vi personopplysninger fordi det er nødvendig for å vurdere søknaden og inngå avtale om plass (GDPR art. 6(1)(b)). Vi kan også behandle opplysninger for å oppfylle lovpålagte plikter (art. 6(1)(c)).

Kategorier av personopplysninger
Personopplysninger som blir behandlet i søknadsprosessen er

• navn elev
• navn
• epost
• fødselsdato
• personnummer
• adresse
• navn på nåværende skole og klasse
• kontaktinformasjon til nåværende skole
• tillatelse til overføring av mappe fra tidligere skole
• tillatelse til nødvendig informasjonsdeling mellom Majorstuen skole og Barratt Due musikkinstitutt
• navn og kontaktinformasjon til nåværende musikkskole/-lærer
• informasjon om foreldreansvar.

Hvor er opplysningene hentet fra?

• deg selv

Utlevering
For søkere og elever ved Musikk på Majorstuen skole og Edvard Munch vg kan opplysninger utleveres til Majorstuen skole, Edvard Munch VGS og elevens lærere.

I hvilket system behandles personopplysningene?

• Nettskjema
• MS Office 365
• BizView
• Websak (sistnevnte gjelder elever ved Musikk på Majorstuen og Edvard Munch VGS)

Overføring til utlandet?
Personopplysninger behandlet i forbindelse med søknadsprosessen overføres ikke til internasjonale organisasjoner eller virksomheter utenfor EU/EØS.

Lagring
Vi lagrer opplysningene så lenge det er nødvendig for å behandle søknaden din. Dersom du får innvilget elevplass, lagrer vi opplysningene så lenge du er tilknyttet et utdanningsforløp ved BD. Arkivregler kan imidlertid pålegge virksomheten en plikt til å lagre personopplysninger for en lengre periode.

For å tilby undervisning behandler vi nødvendige personopplysninger til timeplanlegging, kommunikasjon, registrering av oppmøte og vurdering (GDPR art. 6(1)(b)). Der lov krever det kan vi også behandle opplysninger etter art. 6(1)(c).

Kategorier av personopplysninger
Personopplysningene som behandles i undervisningssammenheng er

• navn
• e-post
• adresse
• telefonnummer
• oppmøtestatistikk
• timeplan
• i enkelte tilfeller helserelaterte opplysninger

Hvor er opplysningene hentet fra?

• deg selv
• Bizview
• Asimut

Utlevering
I BD sitt timeplansystem, Asimut, vil for- og etternavn og timeplan være tilgjengelig for instituttets lærere og elever som benytter Asimut.

I hvilket system behandles personopplysningene?

• Nettskjema
• MS office365
• Asimut (For- og etternavn, epost, lokasjonsinformasjon, oppmøte)
• BizView (For- og etternavn, adresse, epost, telefon, fakturaopplysninger)
• MITOP (Elever ved Musikk på Majorstuen, for- og etternavn, timeplan)

Overføring til utlandet?
Personopplysninger behandlet i forbindelse med søknadsprosessen overføres ikke til internasjonale organisasjoner eller virksomheter utenfor EU/EØS.

Lagring
Personopplysninger innhentet i forbindelse med undervisning lagres så lenge du er tilknyttet et undervisningsforløp ved BD. Personopplysninger innhentet ved registrering av fremmøte (ASIMUT), slettes automatisk etter 18mnd. Personopplysninger innhentet i forbindelse med undervisning blir slettet når eleven er ferdig, diplom for fullført deltakelse lagres på ubestemt tid.

Når du kontakter oss, behandler vi nødvendige personopplysninger for å besvare og følge opp henvendelsen. Rettlig grunnlag: berettiget interesse (GDPR art. 6(1)(f)). Dersom henvendelsen gjelder opptak eller gjennomføring av tilbud/undervisning, kan avtale være grunnlaget (art. 6(1)(b)). Der lov krever det, bruker vi rettslig plikt (art. 6(1)(c)). Vi ber om at du ikke sender helseopplysninger. Dersom slik informasjon er nødvendig for tilrettelegging, behandler vi den kun med ditt uttrykkelige samtykke (art. 9(2)(a)).

Kategorier av personopplysninger

Personopplysninger som behandles i forbindelse med studenthenvendelser kan være

• navn
• telefonnummer
• epost
• studieprogram
• permisjoner
• informasjon som gis i forbindelse med henvendelsen

Hvor er opplysningene hentet fra?

• Deg selv

I hvilket system behandler vi dine personopplysninger?

• MS Office365

Overføring til utlandet?
Personopplysninger behandlet i forbindelse med studenthenvendelser overføres ikke til internasjonale organisasjoner eller virksomheter utenfor EU/EØS.

Overføring til utlandet?

Personopplysninger behandlet i forbindelse med personaloppfølging overføres ikke til internasjonale organisasjoner eller virksomheter utenfor EU/EØS.

Lagring

Vi lagrer opplysningene så lenge det er nødvendig for å behandle henvendelsen din. I enkelte tilfeller vil saksbehandling lagres til du har avsluttet ditt elevforhold ved BD.

Vi behandler nødvendige personopplysninger for å vurdere søknad og gjennomføre utveksling på grunnlag av avtale (GDPR art. 6(1)(b)). Der vi må oppfylle lovkrav – for eksempel regnskapsplikt eller visum-/innreiseregler – behandler vi opplysninger etter rettslig plikt (art. 6(1)(c)).

Kategorier av personopplysninger

Personopplysninger som blir behandlet i denne sammenheng er

• navn
• telefonnummer
• adresse
• fødselsnummer
• studieinformasjon
• informasjon du selv gir oss i forbindelse med reisen

Hvor er opplysningene hentet fra?

• deg selv
• Bizview

Hvor behandles personopplysningene?
Personopplysninger i forbindelse med utveksling behandles i

• Nettskjema
• Microsoft365 for BDM
• Berg Hansen reisebyrå

Utlevering

Opplysningene kan utleveres til partnerinstitusjonen hvor utvekslingen foregår, samt aktuelt reisebyrå.

Overføring til utlandet?

Opplysningene utleveres til utdanningsinstitusjonene du har søkt opptak hos, BDM samarbeider i utgangspunktet kun med institusjoner tilknyttet EU/EØS.

Lagring

Opplysninger innhentet i forbindelse med reise og utveskling slettes når formålet med behandlingen er oppnådd.

• Planlegging og gjennomføring (reiserute, kontaktinfo, pass/visum-data): til reisen/utvekslingen er avsluttet + inntil 12 mnd. for oppfølging/forespørsler.

• Helseopplysninger for tilrettelegging/sikkerhet: slettes straks etter hjemkomst. Med mindre det pågår sak/krav.

• Forsikring, avvik, klager/krav: til saken er avsluttet; kan oppbevares så lenge som nødvendig for å ivareta rettskrav (normalt etter 3 år).

• Økonomi (billetter, faktura, reiseregning/refusjon): oppbevares i 5 år etter regnskapsårets slutt

Vi bruker kortlesere ved innganger for å sikre personer og eiendom og for å kontrollere adgang til våre lokaler. Vi behandler da, kort-ID/elevnummer og hendelseslogger (dør, dato/klokkeslett). Rettslig grunnlag er GDPR art. 6(1)(f) (berettigede interesser – sikkerhet og adgangskontroll).

Kategorier av personopplysninger

• Fødselsdato
• elevnummer

Når adgangskort registreres i kortleser loggføres kortnummer og passeringsdata ved ankomst.

Hvor behandles personopplysningene

Personopplysninger i forbindelse med adgang til BD lokaler behandles i

• Cardexchange
• Infratec HiSec AIMS

Utlevering

Opplysningene utleveres ikke til andre aktører. Infratec og Securitas kan få innsyn ved behov for brukerstøtte ev. feilretting i systemet.

Overføring til utlandet?

Personopplysninger behandlet i forbindelse med adgangskontroll overføres ikke til internasjonale organisasjoner eller virksomheter utenfor EU/EØS.

Lagring

Opplysninger innhentet i forbindelse med adgang til BD lokaler lagres så lenge du er tilknyttet et studieforløp ved BD. Adgang til BD lokaler og historikk fjernes ved studieslutt.

Vi er til stede på sosiale medier, og vi bruker sosiale medier til å nå ut med informasjon om vår virksomhet. Vi bruker også informasjonskapsler og lignende teknologi (for eksempel Meta Pixel) for å måle effekt og målrette annonser.

Hva vi gjør

• Vi publiserer innhold og annonser på Meta sine tjenester (f.eks. Facebook og Instagram).

• Vi kan vise annonser til:

  • personer som følger oss eller har engasjert seg med innholdet vårt (likt, kommentert, delt, besøkt profilen)

  • besøkende på våre nettsider som har samtykket til markedsføringskapsler.

• Vi mottar aggregert statistikk fra Meta (såkalt Page Insights) om hvordan innholdet vårt blir sett og brukt. Disse statistikkene er ikke identifiserbare for oss på individnivå, men bygger på personopplysninger Meta behandler.

• Vi administrerer våre profiler/sider, svarer på henvendelser, og modererer innlegg og kommentarer.

Rettslig grunnlag

• Samtykke: Når vi bruker markedsføringskapsler (f.eks. Meta Pixel) på våre nettsider for å spore atferd og bygge målgrupper for annonsering. Dette omfatter både det å sette og lese slike kapsler (ekomloven § 2-7 b) og videre behandling av disse opplysningene (GDPR art. 6(1)(a)). Du kan når som helst trekke samtykket ditt i våre innstillinger for informasjonskapsler.

• Berettiget interesse: For å drifte og beskytte våre profiler/sider i sosiale medier, for å motta og bruke aggregert innsikt/statistikk om rekkevidde og målgrupper, og for å dokumentere kommunikasjon/markedsføring (GDPR art. 6(1)(f)). Vi har vurdert at dette er nødvendig for å nå ut med informasjon om vår virksomhet, og at behandlingen utgjør en lav personvernrisiko for den enkelte.

Hvilke personopplysninger kan inngå

• Bruker-ID, profilinformasjon, handlinger på våre profiler (for eksempel at du liker eller kommenterer et innlegg)

• Tekstinnhold du selv publiserer til oss i kommentarfelt eller direktemeldinger

• Nett- og enhetsdata knyttet til besøk på våre nettsider dersom du har godtatt markedsføringskapsler (for eksempel hvilke sider du har sett, tidspunkt, cirka lokasjon, nettleser)

• Aggregert innsikt (statistikk om rekkevidde, demografi m.m.) levert av Meta. Vi kan normalt ikke identifisere enkeltpersoner fra denne innsikten.

Hvilke personopplysninger Meta selv behandler om deg for å levere annonser, måle rekkevidde og lage målgrupper er beskrevet i Metas egne retningslinjer.

Hvor får vi opplysningene fra?

• Fra din aktivitet på våre profiler i sosiale medier (f.eks. Facebook og Instagram).

• Fra besøk på våre nettsider dersom du har samtykket til markedsføringskapsler.

• Fra Meta i form av aggregert innsikt/statistikk om hvordan våre sider og kampanjer presterer.

Hvem har tilgang hos oss / leverandører

• Våre administratorer i Meta Business Manager har tilgang til annonseverktøy og innsikt.

• Ved behov for teknisk bistand kan vår leverandør (Dinamo) få tilgang til vår Business Manager-konto for å hjelpe oss med annonsering og feilsøking. De opptrer da som databehandler etter avtale med oss.

Overføring til land utenfor EØS
Meta Platforms, Inc. er etablert i USA. Når vi bruker Meta sine tjenester (for eksempel ved annonsering eller Page Insights), kan personopplysninger overføres til USA.

Meta er per i dag sertifisert under EU–US Data Privacy Framework (DPF). Dette rammeverket er anerkjent av EU-kommisjonen som et tilstrekkelig beskyttelsesnivå (“adequacy decision”) for overføring av personopplysninger til USA. Det betyr at overføring av personopplysninger til Meta i USA kan skje på et lovlig grunnlag etter personvernregelverket i EU/EØS.

(Privacy Shield var den tidligere ordningen mellom EU og USA. Privacy Shield er kjent ugyldig av EU-domstolen og brukes ikke lenger som overføringsgrunnlag. Meta viser fortsatt til Privacy Shield i enkelte av sine tekster som en del av historiske forpliktelser og klagemekanismer i USA, men vårt rettslige grunnlag for overføring bygger nå på EU–US Data Privacy Framework, ikke Privacy Shield.)

Lagring

• Innhold du selv publiserer (kommentarer, meldinger til oss i sosiale medier) følger plattformens egne regler for visning, sletting og arkiv.

• Annonseringsdata og innsiktsrapporter lagres så lenge vi har behov for å dokumentere kommunikasjon/markedsføring og evaluere effekt, og slettes eller anonymiseres der det er mulig.

• For øvrig viser vi til Metas egne retningslinjer for hvor lenge de lagrer personopplysninger.

Du kan be oss bekrefte om vi behandler personopplysninger om deg, få vite hvilke opplysninger vi har og hvordan de brukes, og få en kopi av opplysningene.

Du kan kreve at vi retter feilaktige personopplysninger om deg og supplerer ufullstendige opplysninger. Mener du noe er feil, kontakt oss og forklar hva som bør endres – legg gjerne ved dokumentasjon.

Du kan i noen tilfeller be oss slette personopplysninger om deg. Retten er ikke absolutt og vurderes opp mot gjeldende lovkrav.

Oppgi gjerne hvilke opplysninger du vil slette og hvorfor. Vi vurderer om vilkårene er oppfylt. Merk at vi ikke kan slette der lov krever lagring, eller der opplysninger må bevares av hensyn til viktige samfunnsinteresser som arkivering, forskning og statistikk.

Du kan i noen tilfeller be oss begrense behandlingen av personopplysningene dine. Da lagrer vi opplysningene, men bruken begrenses til det som er nødvendig.

Du kan kreve midlertidig begrensning hvis du mener opplysningene er feil/ufullstendige, eller hvis du har protestert mot behandlingen. Begrensningen gjelder til vi har rettet opplysningene eller vurdert innsigelsen.

I andre tilfeller kan du be om en mer varig begrensning. Vi vurderer alle henvendelser opp mot vilkårene i personopplysningsloven og GDPR art. 18.

Du kan protestere mot at vi behandler personopplysningene dine, for eksempel hvis du har beskyttelsesbehov eller fortrolig adresse. Oppgi gjerne årsaken når du kontakter oss.

Vi stanser behandlingen mens vi vurderer innsigelsen. Hvis vilkårene er oppfylt, stopper vi videre behandling for de aktuelle formålene. Du kan også be om sletting.

Merk at vi kan fortsette behandlingen hvis vi kan vise til tvingende berettigede grunner som veier tyngre enn dine interesser, eller hvis det er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav, eller for å oppfylle lovpålagte plikter/viktige samfunnsinteresser.

Du kan be om å få utlevert personopplysninger du selv har gitt oss, i et strukturert, vanlig brukt og maskinlesbart format, og be oss overføre dem til en annen leverandør når det er teknisk mulig.

Retten gjelder bare opplysninger som behandles på grunnlag av samtykke eller avtale, og omfatter ikke interne vurderinger vi har laget.

Hvis du mener at vi behandler personopplysningene dine i strid med regelverket, eller ikke oppfyller rettighetene dine, kan du klage til oss. Du kan også klage direkte til Datatilsynet. Dersom vi ikke gir medhold i klagen, kan du likevel bringe saken inn for Datatilsynet. Datatilsynet fører tilsyn med at norske virksomheter følger personopplysningsloven og GDPR.