Spring til indhold
Du får en forhåndsvisning af det nye Puzzel.org Tilbage til den nuværende side
Juridisk

Alt, en it-afdeling spørger om, besvaret ud fra den kørende kode.

Hosting, underdatabehandlere, de domæner der skal åbnes, hvilke data der gemmes, og hvor de ligger. Det ordrette indkøbsspørgeskema er kun et klik væk.

Leverandøroplysninger · opdateret august 2026
Kort fortalt
Et websted, ikke en installation
Enhver moderne browser, enhver enhed. Ingen plugin, ingen app, ingen konto nødvendig for at spille.
Hosting
Vercel foran, Google Firebase bagved
Vercel leverer applikationen; konti, aktiviteter og resultater ligger i en Firebase-realtidsdatabase.
Dataplacering
USA som standard, EU tilgængeligt
Filer og kontodata er to separate regionsindstillinger. Uploadede filer kan omdirigeres af enhver konto; at flytte selve kontodataene kræver et aktivt abonnement.
Firewall
En kort tilladelsesliste — websocket inklusive
Databasen kommunikerer via wss://, som er den regel, strenge skolefiltre oftest bryder.
1

Hvem I køber af

Puzzel.org er en hollandsk enkeltmandsvirksomhed, så salgskontakten, den tekniske kontakt og personen, der skriver koden, er den samme. Det er de oplysninger, en indkøbsafdeling skal bruge for at registrere leverandøren.

Support er ubegrænset og foregår via e-mail — svarene kommer fra udvikleren, ikke fra en supportkø.
Kontakten nedenfor er også sikkerheds- og databrudskontakten; der er ingen separat eskaleringsvej.
Juridisk navn
Puzzel.org
Kontakt og kontaktperson
Daan Weustenraad
Adresse
Sneekermeer 13, 3825XT Amersfoort, The Netherlands
Handelskammer (KvK)
66090091
Momsnummer
NL002191535B44
Support
Ubegrænset, via e-mail, 09.00–22.00 CET
2

Hvad en skole reelt tager i brug

Der installeres ikke noget. Lærere åbner puzzel.org i den browser, de allerede har, og spillerne åbner et link eller en aktivitet indlejret på jeres egen side — ingen konto, ingen download, ingen administratorrettigheder.

Chrome, Firefox, Safari og Edge understøttes; Internet Explorer gør ikke.
Der er hverken Flash, Java eller browserudvidelser involveret, og der gemmes ikke noget på enheden.
Siderne er små — typisk godt under 1 MB — så trådløst er tilstrækkeligt; der kræves ingen kabelforbindelse.
At spille fungerer på telefoner og tablets; at lave en aktivitet er mere behageligt på en tablet eller en computer.
Chromebooks og lukkede, administrerede enheder er fint: alt kører inde i browseren.
3

Firewall, tilladelsesliste og sidehoveder

Tillad domænerne nedenfor. Realtidsdatabasen forbinder via en websocket, som er det, et strengt indholdsfilter har en tendens til at droppe stille og roligt — hvis aktiviteter åbner, men resultaterne aldrig gemmes, er det den regel, man først skal kigge på.

Kun den region, jeres konto bruger, er nødvendig: en amerikansk konto kontakter aldrig EU-databasen, og omvendt.
Stripe kontaktes kun, når man køber eller fornyer et abonnement — det kan forblive blokeret på klasseværelsets enheder.
Domæner der skal tillades gennem filteret
puzzel.org Selve applikationen
puzzelorg-cdn.s3.us-west-1.amazonaws.com Billeder og lyd uploadet af konti gemt i USA
puzzelorg-image-cdn.s3.eu-north-1.amazonaws.com Billeder og lyd uploadet af konti gemt i EU
*.googleapis.com Login og token-fornyelse (Firebase Authentication)
puzzelorg.firebaseapp.com Pop op-vinduet til login med Google- og Microsoft-konti
wss://puzzelorg.firebaseio.com Realtidsdatabase — konti gemt i USA wss
wss://puzzelorg-2.europe-west1.firebasedatabase.app Realtidsdatabase — konti gemt i EU wss
fonts.googleapis.com, fonts.gstatic.com Webskrifttyper
checkout.stripe.com Kun ved køb eller fornyelse af abonnement

Wildcards er Googles egne hosts til Firebase Authentication; resten er nøjagtige.

Svarheadere sat på hver side
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
Tvinger HTTPS i et år, inklusive underdomæner
X-Content-Type-Options: nosniff
Forhindrer browseren i at gætte indholdstyper
Referrer-Policy: strict-origin-when-cross-origin
Sender kun oprindelsen, aldrig den fulde URL, til andre sider
X-Frame-Options: SAMEORIGIN
Blokerer framing af platformen — indlejrede aktiviteter er den bevidste undtagelse
Content-Security-Policy: frame-ancestors 'self'; upgrade-insecure-requests;
Gentager framing-reglen og opgraderer enhver almindelig http-forespørgsel
4

Login, roller og single sign-on

Lærere logger ind med en e-mailadresse og adgangskode, eller med den Google- eller Microsoft-konto, jeres skole allerede administrerer. Spillerne forbliver anonyme, medmindre en lærer bevidst slår tilmelding til for en aktivitet.

Hver lærer har sit eget login; skolekontoens ejer inviterer kolleger til den og kan tage en plads tilbage.
Rollerne er bevidst flade: ejeren administrerer pladser, og hver lærer ser kun nogensinde sine egne aktiviteter.
Indlejrede aktiviteter understøtter OIDC single sign-on: jeres portal sender et signeret token, som tjekkes mod jeres identitetsudbyders offentliggjorte nøgler, før en spiller lukkes ind. Udstedere sættes på en tilladelsesliste pr. konto, opsat efter aftale.
Der findes i dag ingen Clever-, ClassLink- eller SAML-konnektor — spørg, før I regner med det.
5

Hvilke data platformen gemmer

Som standard registrerer en aktivitet intet om spilleren: ingen konto, intet navn, ingen score. At registrere resultater og at spørge en spiller, hvem de er, er to separate indstillinger, en lærer slår til pr. aktivitet, og hvert felt, der spørges om, vælges manuelt fra listen nedenfor.

Lærerkonto: e-mailadresse, navn, de aktiviteter der er lavet, samt eventuelle billeder eller lyd, der er uploadet.
Spillerdata: kun de tilmeldingsfelter, læreren har valgt, samt de svar, der er givet i netop den aktivitet.
Ingen reklame- eller analysetrackere nogen steder på platformen, og ingen tredjepartsscripts på spilskærmen.
AI-assistenten bruges pr. forespørgsel: det, en lærer skriver, sendes til OpenAI for at generere indhold. Spillerdata bliver det aldrig.
Felter en lærer kan vælge at spørge en spiller om
NavnFornavnEfternavnE-mailTelefonnummerElev-idMedarbejder-idOrganisationKlasseLandAndre oplysningerAdgangskodeEt spørgsmål, du selv skriver

Ingen af disse spørges om, medmindre læreren tilføjer det til netop den aktivitet.

6

Isolation, kryptering og hvem der kan se jeres data

Hver læsning og skrivning går gennem Firebase Security Rules: en konto kan kun tilgå sine egne data og de resultater, der er indsendt til dens egne aktiviteter. Det tjek kører på Googles servere, ikke i browseren, så det holder selv for en, der omskriver siden foran sig.

Trafikken er HTTPS hele vejen, og data krypteres både under overførsel og i hvile af Google Firebase.
Uploadede billeder og lyd leveres fra en offentlig S3-URL. Betragt dem som offentlige: hold alt fortroligt væk fra aktiviteters medier.
Puzzel.org åbner kun en konto, når dens ejer beder om hjælp til noget i den.
Underdatabehandlere
Vercel Hosting og levering af applikationen
Google Firebase Autentificering og realtidsdatabasen, der rummer kontodata
Amazon S3 Lagerplads til uploadede billeder og lyd
Stripe Abonnementsbetalinger og fakturering
OpenAI Genererer indhold, når en lærer bruger AI-assistenten

Alt platformen afhænger af. Ingen andre parter modtager konto- eller spillerdata.

7

Hvor data er gemt

To indstillinger, bevidst uafhængige af hinanden: den ene afgør, hvilken S3-region der rummer uploadede filer, den anden hvilken databaseregion der rummer kontodata. En ny konto starter i den region, browserens tidszone foreslår — Europa og Afrika får EU-databasen — og begge kan ændres bagefter.

Kontodata: en Google Firebase-realtidsdatabase i USA (standard) eller i europe-west1, Belgien.
Filer: en Amazon S3-bucket i us-west-1 (Californien) eller eu-north-1 (Stockholm). Eksisterende filer bliver ved med at virke efter et skift.
At flytte kontodata til den anden region kører som en baggrundsmigrering og kræver et betalt abonnement.
8

Sletning, datas levetid og underretning om brud

Alt en lærer laver, kan læreren slette — med det samme, uden en supportanmodning. Sletter man en aktivitet, slettes også det, spillerne har indsendt til den.

Slet ét resultat, og det er væk; slet en aktivitet, og dens indhold, statistik og spillertilmeldinger følger med.
Sletter man kontoen, fjernes dens aktiviteter, mapper, forudindstillinger, betalingsoplysninger og selve loginet.
Der er ingen fast levetid for data: de forbliver, indtil kontoindehaveren fjerner dem.
Efter et brud får kontoindehavere en e-mail fra kontakten ovenfor med, hvad der skete, hvem der er berørt, og hvad det betyder for dem.
9

Indlejring, LMS og API'et

De fleste skoler bruger Puzzel.org indlejret i noget, de allerede kører — en Canvas-side, en skoles hjemmeside, en blog. Aktivitetssider er de eneste, en anden side må frame; resten af platformen afviser framing helt.

Canvas: en LTI-lancering lader en lærer vælge en af sine egne aktiviteter og placere den på siden som en indlejring.
Alt andet: kopiér indlejringskoden, og indsæt den på en hvilken som helst side — ingen integrationsarbejde nødvendigt.
Et REST-API kan lave aktiviteter fra jeres egne systemer, med et loft på 10 forespørgsler om dagen pr. nøgle.
Der skal ikke importeres noget til Puzzel.org først — ingen synkronisering af klasselister, ingen upload af elever.
10

Licens, indkøb og betaling

Skoleabonnementet er en årlig licens til én skolekonto med plads til kolleger, tilpasset efter det antal spilsessioner, I forventer om måneden. Det skalerer aldrig automatisk til en ekstraregning: I vælger størrelsen og kan hæve den, når I har brug for det.

En indkøbsordre fungerer, når den kan betales med kort eller bankoverførsel. Checks kan ikke accepteres — virksomheden er ikke amerikansk.
Betalinger foregår via Stripe, så kortoplysninger aldrig når Puzzel.orgs egne systemer.
Har I brug for et formelt dokument, før I bestiller? Tilbudsværktøjet laver et PDF-tilbud med jeres skoles oplysninger på.
Skoleabonnementet i overblik
Pris pr. år
€125 / $150
Lærerkonti inkluderet
5
Spilsessioner pr. måned
5.000
Opskalering
1.000 flere sessioner om måneden for €25 / $30 om året
Uden abonnement
2 aktiviteter og 60 spilsessioner om måneden, gratis
Er noget her stadig uklart? Så spørg i stedet — juridiske sider, der kræver en opfølgende e-mail, er dårligt skrevet.