Skolans data är känslig.
Vi behandlar den så.
Vklass bär uppgifter om barn, elever, vårdnadshavare och personal, från närvaro till elevhälsodokumentation. Säkerheten är en del av hur plattformen är byggd.
Svensk drift med redundans och högsta skyddsnivå
Vklass driftas i Sverige. Uppgifterna lagras och behandlas inom EU/EES, med servrar i Sverige, och driften är redundant för att skolvardagen ska fungera även när enskilda komponenter fallerar. Serverhallen är byggd för högsta skyddsnivå enligt MSB:s specifikationer, och även backuperna stannar i Sverige. Aktuell driftinformation publiceras öppet på supportwebben.
Inträffar en incident utreder och åtgärdar vi den. Vi informerar berörda huvudmän enligt personuppgiftsbiträdesavtalet och GDPR:s krav på incidentrapportering, så att huvudmannen kan uppfylla sina skyldigheter mot tillsynsmyndigheten och de registrerade.
Systematiskt arbete med informationssäkerhet
Vklass arbetar systematiskt med informationssäkerhet. Arbetet styrs av vår informationssäkerhetspolicy och leds av informationssäkerhetsansvarig, med stöd av dataskyddsombudet.
Vi arbetar riskbaserat: vi identifierar, analyserar och hanterar risker löpande och följer upp åtgärder i ett riskregister. Säkerhetsarbetet omfattar bland annat säker utveckling, säker drift, åtkomst och behörighet, leverantörsstyrning, personalens IT-säkerhet, incidenthantering och kontinuitet.
Säkerhetsmognaden mäts löpande under hela året. Det är den nivån som krävs när skolans data ska skyddas enligt NIS2 och annan tillämplig lagstiftning.
GDPR, NIS2 och andra säkerhetskrav
Vklass arbetar riskbaserat och systematiskt med informationssäkerhet. Säkerhetsarbetet omfattar bland annat riskhantering, incidenthantering, kontinuitet, säker utveckling, åtkomstkontroll och leverantörssäkerhet. Arbetet utvecklas löpande utifrån tillämplig lagstiftning, kundkrav och etablerad säkerhetspraxis, inklusive krav som följer av NIS2 och cybersäkerhetslagen.
Privacy by design, med tydlig rollfördelning
Hanteringen av personuppgifter bygger på en tydlig rollfördelning: skolhuvudmannen (kommunen eller den fristående huvudmannen) är personuppgiftsansvarig, och Vklass är personuppgiftsbiträde som behandlar uppgifter på huvudmannens uppdrag och enligt huvudmannens instruktioner.
- Behandlingen regleras i ett personuppgiftsbiträdesavtal (PUB-avtal/DPA) mellan huvudmannen och Vklass. Branschgemensamma avtalsmallar från SKR används med fördel.
- Vklass behandlar uppgifter enligt instruktion och endast för att leverera tjänsten. Uppgifter säljs aldrig vidare.
- Roller och behörigheter avgör vem som ser vad: en lärare ser sina elever och en vårdnadshavare sina barn.
- De registrerades begäran om registerutdrag, rättelse eller radering ställs till skolan eller huvudmannen, som hämtar underlag ur Vklass.
- Som personuppgiftsansvarig ansvarar huvudmannen för att fastställa hur länge olika personuppgifter ska behandlas. Vklass tillhandahåller funktioner och processer för gallring och radering och behandlar uppgifterna i enlighet med huvudmannens dokumenterade instruktioner och personuppgiftsbiträdesavtalet. Ett avslutat konto innebär därför inte automatiskt att alla uppgifter raderas.
Leverantörssäkerhet
Leverantörer som kan påverka tjänstens säkerhet eller behandla personuppgifter genomgår riskbaserade säkerhets- och dataskyddsbedömningar. Kritiska leverantörer följs upp återkommande under avtalsperioden.
Vklass omfattas av Visma Security Program
Vklass är en del av Visma och omfattas av Visma Security Program. Programmet sätter samma säkerhetsbaslinje för varje bolag och produkt i koncernen.
Säkerhetskulturen byggs av medarbetare som fattar medvetna beslut varje dag, med stöd av dedikerade säkerhetsingenjörer och Visma Security Guild. Mognaden mäts löpande. Sårbarheter hittas av egna system, av oberoende team och av säkerhetsforskare runt om i världen, så att de kan åtgärdas innan någon utnyttjar dem. En säkerhetsoperation arbetar dygnet runt med att upptäcka och begränsa incidenter. Den som vill lyfta en oro kan använda en konfidentiell visselblåsarkanal.
Skyddad identitet och känsliga uppgifter i produkten
Skyddet för de mest utsatta uppgifterna är inbyggt i plattformen:
- Vklass har stöd för elever med skyddade personuppgifter, så att skolan kan hantera dem utan att uppgifterna syns i vardagsflödena.
- Uppgifter om särskilt stöd och elevhälsa skyddas i flera lager, av roller på skolnivå och av behörighet per enskilt ärende. Rätt personer kan arbeta effektivt, och inga fler än nödvändigt får insyn.
- För känsliga vyer kan skolan kräva förstärkt inloggning (step-up-verifiering) med till exempel BankID, Freja eID eller organisationens identitetsleverantör med förhöjd tillitsnivå.
- Läshistoriken i känsliga delar ger spårbarhet vid granskning.
Forskningssamarbete med integriteten i första rummet
Vklass deltar i en forskningsstudie om skolfrånvaro som drivs av Handelshögskolan i Stockholm och finansieras av Vetenskapsrådet. Det är ett trippel helix-samarbete mellan akademi, skolhuvudmän och Vklass. Uppgifterna anonymiseras innan de delas: namn och personnummer tas bort, och inga fritextanteckningar eller känsliga kommentarer ingår. När socioekonomiska faktorer tas med sker det i ett samarbete mellan Handelshögskolan och SCB via en särskild nyckel, så att enskilda individer aldrig kan identifieras. Studien är prövad och godkänd av Etikprövningsmyndigheten (dnr 2025-03539-01).
Integritet, cookies, tillgänglighet och drift
De samlade texterna (integritetspolicy, cookiepolicy, tillgänglighetsredogörelse, driftstatus och kontaktvägar) ligger på en egen sida.
Integritetspolicy
Hur Vklass behandlar personuppgifter som biträde och som personuppgiftsansvarig.
Cookiepolicy
Vilka cookies och liknande tekniker företagswebben använder, och vilka den inte använder.
Tillgänglighet och drift
Tillgänglighetsredogörelse, aktuell driftstatus och kontakt för säkerhet och dataskydd.
Frågor om säkerhet i er upphandling?
Vi går gärna igenom drift, personuppgiftsbiträdesavtal och arkitektur med er dataskyddsorganisation.