Målgruppe: Denne vejledning er skrevet til EU-distributører, skolers databeskyttelsesansvarlige (DPO), brandejeres juridiske teams og OEM-indkøbere, der skal forsvare GDPR-positionen for en forbundet læsepen, der er udrullet i en eller flere EU-medlemsstater. Den forudsætter kendskab til GDPR-terminologien (dataansvarlig, databehandler, behandlingsgrundlag, DPIA) og forankrer hver påstand i de elleve produktionsmodeller B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2 og Y6.
En læsepen, der sælges til EU, er underlagt GDPR for alle data, der berører en identificeret eller identificerbar mindreårig. Pennen indsamler læseadfærd, score fra ordforrådsquizzes, stemmeoptagelser på F8 og K7 samt et Wi-Fi-forbindelsessignal, der kan korreleres til en husstand. Alt dette er personoplysninger i henhold til artikel 4(1), og en del af det er en særlig kategori af oplysninger i henhold til nationale skoledataregler. Arkitekturen skal derfor designes med GDPR for øje fra dag ét, ikke eftersættes ved den første henvendelse fra en DPO.
Vi har sendt læsepenne til 23 EU-medlemsstater siden 2023 og driver en EU-baseret cloud-klynge i Frankfurt siden 2024. Denne artikel gennemgår matricen for behandlingsgrundlag, konsekvensanalysen vedrørende databeskyttelse, forpligtelsen til EU-dataplacering, mekanismen for grænseoverskridende overførsler, forpligtelserne i henhold til artikel 25 om indbygget databeskyttelse, implementeringen af de registreredes rettigheder samt de felt-KPI'er, vi rapporterer til EU-DPO'er.
1. GDPR-rollerne i et læsepen-program
I henhold til GDPR er den enhed, der fastlægger formålene og midlerne til behandling, den dataansvarlige; den enhed, der behandler på vegne af den dataansvarlige, er databehandleren. Rollerne skifter afhængigt af programmet. Ved et husholdningssalg er forælderen den dataansvarlige, og vi (fabrikken) er databehandleren. I et skoleprogram er skolen (eller distriktet) den dataansvarlige, OEM-distributøren kan være en fælles dataansvarlig for faktureringsdata, og vi er databehandleren. I et private-label-program for en brandejer er brandet den dataansvarlige, og vi er databehandleren.
Rollefordelingen driver alle efterfølgende forpligtelser. Den dataansvarlige fastlægger behandlingsgrundlaget, gennemfører DPIA'en, underskriver databehandleraftalen (DPA) og besvarer anmodninger fra registrerede om deres rettigheder. Databehandleren behandler kun data efter dokumenterede instrukser, fører artikel 30-posterne og underretter den dataansvarlige om eventuelle brud på persondatasikkerheden inden for 36 timer i henhold til artikel 33(2). Vores standard-DPA, der er tilgængelig i OEM-portalen, kodificerer alle disse forpligtelser og er tilpasset EDPB's 2024-standardkontrakt for databehandlere.
| Programtype | Dataansvarlig | Fælles dataansvarlig | Databehandler |
|---|---|---|---|
| Husholdning (EU) | Forælder | Ingen | Fabrik |
| Skoledistrikt | Skole eller distrikt | OEM-distributør (fakturering) | Fabrik |
| Private-label-brand | Brand | Ingen | Fabrik |
| Skole (ingen cloud) | Skole | Ingen | Fabrik (ingen cloud) |
2. Behandlingsgrundlagsmatrix pr. datakategori
GDPR-artikel 6 kræver et behandlingsgrundlag for hver behandlingsaktivitet. Vi kortlægger hver datakategori til et specifikt behandlingsgrundlag i pennens privatlivsmeddelelse. Læseadfærd under cloud-synkronisering bruger artikel 6(f) legit interesse til forælderens dashboard og artikel 6(a) samtykke til tværgående enhedsfunktioner. Stemmememoer på F8 og K7 bruger artikel 6(a) udtrykkeligt samtykke pr. optagelse. OID-bog DRM-tællerdata bruger artikel 6(b) opfyldelse af kontrakt med udgiveren.
For skoleprogrammer er behandlingsgrundlaget typisk artikel 6(e) offentlig opgave eller artikel 6(f) legit interesse, afhængigt af om skolen er en offentlig myndighed. Skolens privatlivsmeddelelse skal angive behandlingsgrundlaget; pennens privatlivsmeddelelse skal henvise til skolen for skoleadministrerede data. Vi leverer en skolespecifik skabelon til privatlivsmeddelelse til vores skoleprogramdistributører på fem EU-sprog.
| Datakategori | Behandlingsgrundlag | Opbevaring | Noter |
|---|---|---|---|
| Læsesessionslogfiler | Art 6(f) / Art 6(a) | 24 måneder | Forældersamtykke til tværgående enheder |
| Stemmemoer (F8/K7) | Art 6(a) udtrykkeligt | Indtil forælder sletter | Samtykke pr. optagelse |
| OID-bog DRM-tællere | Art 6(b) kontrakt | 7 år | Udgiverrevision |
| Wi-Fi BSSID (geohash) | Art 6(f) | 30 dage, sløret | 25 km præcision |
| Forældrekonto | Art 6(b) kontrakt | Kontoniveau + 30 dage | Sletnings-SLA 30 dage |
| VPC-post | Art 6(c) retlig forpligtelse | 7 år | COPPA-sammenfald |
3. Konsekvensanalyse vedrørende databeskyttelse
GDPR-artikel 35 kræver en DPIA, hvor behandling sandsynligvis vil medføre en høj risiko for de registreredes rettigheder og frihedsrettigheder. En forbundet læsepen, der bruges af børn i skoler, ligger klart inden for artikel 35(3)-kategorierne: systematisk overvågning af børn, innovativ brug af teknologi og behandling af personoplysninger om sårbare registrerede. Vi gennemførte vores første DPIA i 2023 og opdaterer den årligt; 2026-DPIA'en blev gennemgået af en ekstern DPO og indeholdt ingen kritiske fund.
DPIA'en dækker syv behandlingsaktiviteter: cloud-synkroniseret læseadfærd, stemmememoer, Wi-Fi-baseret lokationsudledning, administration af skoledistriktets lejer, forældrekontoadministration, OTA-firmwaretelemetri og fejlrapportering. For hver aktivitet dokumenterer DPIA'en det retlige grundlag, nødvendigheden, proportionaliteten, risiciene, afbødningerne, den resterende risiko og høringen af samarbejdsudvalget, hvor det er relevant. DPIA'en er tilgængelig for OEM-partnere og skole-DPO'er under NDA.
Tip til indkøbere: Når du vurderer en leverandør af læsepenne, skal du bede om den seneste DPIA. En leverandør, der aldrig har udført en DPIA for en skoleudrulning, signalerer, at de ikke har internaliseret GDPR artikel 35. Gå din vej.
4. EU-bopæl og cloud-klyngens grænse
Alle personoplysninger for EU-bosatte brugere gemmes i vores Frankfurt-klynge. Klyngen er fysisk placeret i Tyskland og drives af et datterselskab inkorporeret i Tyskland. Klyngen replikerer ikke personoplysninger uden for EU; den eneste udgående trafik fra klyngen er den anonymiserede, aggregerede analyse, der sendes til vores globale datavarehus til produktforbedring, og denne analyse indeholder ingen personoplysninger.
Klyngen er certificeret under ISO 27001 (siden 2024) og er på vej mod SOC 2 Type II-attestering i Q4 2026. Klyngen kører den samme MQTT 5.0-broker-stack som den globale platform, men med en separat lejerdatabase, separat objektlager og en separat Kafka-klynge. Krysregional replikering er deaktiveret på lagerniveau for EU-lejere; selv intern replikering forlader ikke EU.
5. Mekanismer for grænseoverskridende overførsler
Schrems II-afgørelsen erklærede EU-US Privacy Shield for ugyldigt og skærpede kravene til Standard Contractual Clauses (SCC'er). Vores overførselsmekanisme for alle data, der krydser EU-grænsen, er 2021-SCC'erne (Modul 2 for dataansvarlig-til-databehandler, Modul 3 for databehandler-til-databehandler). Vi gennemførte en Transfer Impact Assessment (TIA) i 2024 og opdaterede den i 2026. TIA'en konkluderede, at de supplerende foranstaltninger er tilstrækkelige: data er krypteret ved lagring med AES-128-XTS, under transport med TLS 1.3, og den amerikanske adgang er begrænset til et navngivent team på fire ingeniører, der arbejder under en dokumenteret adgangspolitik med kvartalsvis revision.
For overførsler til andre regioner (UK, Schweiz, Brasilien) bruger vi henholdsvis UK-tilføjelsen, den schweiziske FDPIC-SCC-variant og den brasilianske LGPD-SCC-variant. Standard-DPA'en inkluderer alle fire SCC-varianter som bilag; OEM-partnere kan vælge det relevante bilag for deres distributionsområde.
6. Artikel 25 Databeskyttelse gennem design og standardindstillinger
Artikel 25 kræver, at den dataansvarlige implementerer tekniske og organisatoriske foranstaltninger, der er designet til at gennemføre databeskyttelsesprincipperne på en effektiv måde. Vores designmæssige foranstaltninger omfatter: dataminimering i telemetri-skemaet, ingen indsamling af GPS, geohash-forsløring af Wi-Fi BSSID, kryptering hvile med XST-tilstand, kryptering under transport med TLS 1.3 og lejerisolation i broker-ACL'en.
Standardforanstaltninger fra aktivering omfatter: cloud-synkronisering slået fra for B1, B2, P2; stemmememo i cloud slået fra for F8, K7; telemetri-felter begrænset til det minimum, der er nødvendigt pr. model (4 felter for B1, 11 for L5); opbevaringsperioder indkodet i datalagerets skema; forældredashboardet er som standard indstillet til de mest konservative privatlivsindstillinger; og forældredashboardets førstegangsguide fører forælderen igennem hvert enkelt tilvalg i stedet for at skjule knapperne.
7. Implementering af registreredes rettigheder
GDPR giver de registrerede (i denne sammenhæng barnet via forælderen) syv rettigheder: indsigt, berigtigelse, sletning, begrænsning, dataportabilitet, indsigelse og automatiseret beslutningstagning. Vores forældredashboard implementerer de første seks som selvbetjeningsforløb. Indsigt (artikel 15) genererer en JSON-eksport inden for 24 timer. Berigtigelse (artikel 16) er et manuelt redigeringsforløb med en SLA på 7 dage. Sletning (artikel 17) er sletningskaskaden med en SLA på 30 dage i henhold til GDPR (forlænget fra COPPA's SLA på 7 dage). Begrænsning (artikel 18) er et flag på kontoen med en SLA på 7 dage. Dataportabilitet (artikel 20) genbruger indsigts-eksporten i en maskinlæsbar JSON. Indsigelse (artikel 21) er samtykkeknappen for hvert behandlingsformål.
Automatiseret beslutningstagning (artikel 22) finder ikke anvendelse, fordi vi ikke træffer beslutninger udelukkende baseret på automatiseret behandling, der har retsvirkninger for barnet. Ordforrådsanbefalingsmotoren er vejledende, ikke afgørende; forælderen eller læreren har altid den endelige beslutning.
8. Artikel 30 fortegnelser over behandlingsaktiviteter
Fabrikken fører artikel 30-fortegnelser som databehandler. Fortegnelserne opbevares i et versionsstyret JSON-dokument i OEM-portalen. Fortegnelserne indeholder den dataansvarliges navn, kategorierne af behandling, kategorierne af registrerede, kategorierne af modtagere, overførsler uden for EU, opbevaringsperioder og sikkerhedsforanstaltninger. Fortegnelserne opdateres inden for 30 dage efter enhver væsentlig ændring. OEM-partnere får læseadgang til fortegnelserne under NDA.
Vi hjælper også dataansvarlige med at føre deres egne artikel 30-fortegnelser. Skole-DPA'en indeholder en skabelon til dataansvarliges fortegnelser, som forudfylder kategorierne af behandling og modtagere; skolens DPO skal kun tilføje skolens identifikationsoplysninger og den retlige grundlag-matrix, der er specifik for skolens program.
9. Anmeldelse af persondatabrud
GDPR artikel 33 kræver, at den dataansvarlige underretter tilsynsmyndigheden inden for 72 timer efter at være blevet opmærksom på et persondatabrud; artikel 34 kræver, at den dataansvarlige meddeler bruddet til de registrerede, hvor der er høj risiko. Som databehandler underretter vi den dataansvarlige inden for 36 timer efter at være blevet opmærksomme. 36-timers-uret starter, når vores interne incidentrespons-hold åbner en sag klassificeret som PII-relateret.
Vi har gennemført to tabletop-øvelser i 2025, der simulerede en fejlkonfiguration af en mægler og tyveri af en udviklerbærbar. Begge øvelser gennemførte anmeldelsen til den dataansvarlige inden for 36-timersmålet. Den første reelle hændelse i 2026 var en fejlkonfigureret S3-bucket-politik, der eksponerede en enkelt lejers objektlager i 41 minutter; den dataansvarlige blev underrettet efter 19 timer, tilsynsmyndigheden blev underrettet af den dataansvarlige efter 52 timer, og de berørte forældre blev underrettet via e-mail efter 96 timer.
10. Feltrelaterede KPI'er og EU-position
Vi rapporterer seks EU-specifikke KPI'er kvartalsvist til OEM-partnere og skole-DPO'er: median eksportbehandlingstid for indsigt (8,4 timer), median sletningsbehandlingstid (6,8 dage, inden for SLA), aktualitet af artikel 30-registreringer (100 % inden for 30-dages opdateringsvindue), MTTA for brud på persondata (median 4,2 timer), aktualitet af DPIA-gennemgang (seneste gennemgang Q1 2026) og tilgængelighed for EU-klyngen (99,97 % over de seneste 90 dage). Alle seks har været stabile over de seneste fire kvartaler.
| KPI | Mål | 2026 Q1 faktisk |
|---|---|---|
| Behandlingstid for indsigtseksport | <= 24 t | 8,4 t median |
| Behandlingstid for sletning | <= 30 d | 6,8 d median |
| Artikel 30-fortegnelsers aktualitet | 100 % | 100 % |
| MTTA for brud | <= 8 t | 4,2 t median |
| DPIA-aktualitet | <= 12 md. | Q1 2026-gennemgang |
| EU-klyngens tilgængelighed | >= 99,9 % | 99,97 % |
GDPR-arkitekturen er det dyreste compliance-lag i vores stack, fordi dokumentationen, SCC'erne, DPIA'en og den dataansvarlige-specifikke DPA-forhandling alle kræver erfaren juridisk tid. Vi estimerer de løbende omkostninger til cirka $0,86 pr. EU-bundet pen, fordelt over juridisk, teknik og infrastruktur. Investeringen er ikke til forhandling for enhver leverandør, der har til hensigt at levere til EU-skoler.
FAQ: Læsepen og GDPR / EU-databeskyttelse
Relateret læsning
- Forældrekontrol og COPPA for læsepen
- Datakryptering i læsepen: AES-128 vs AES-256
- GDPR-compliance for læsepen: apps og cloud
- Import af læsepen til EU — CE RED-vejledning
- IoT-cloud-arkitektur for læsepen
- OEM Private Label-service for læsepen
- Anmod om tilbud på GDPR-kompatible læsepenne
Hvis dit program kræver en EU-only-bopælslejer, en dataansvarlig-specifik DPA eller en ny DPIA medunderskrevet af din DPO, svar på en hvilken som helst e-mail fra vores team med ordet GDPR, så sender vi et en-sides GDPR-arkitekturnotat tilpasset din flåde.