Privacyverklaring

Dit Privacybeleid legt uit hoe persoonsgegevens worden verzameld, gebruikt, beschermd en gedeeld op het platform dat wordt geëxploiteerd door Haakje B.V. (KvK-nummer 42160038, btw-nummer NL869977817B01, Haarlem, Nederland) onder de handelsnaam Aqlemy. Het beleid is opgesteld in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG.

Wat dit document is — en wat het niet is.

Dit is een informatiedocument (AVG art. 12 tot en met 14), geen toestemmingsformulier. Door het te lezen geeft u geen toestemming, en door het platform te gebruiken evenmin. Waar wij ons wél op toestemming baseren, vragen wij die apart en kunt u die apart intrekken. Dat onderscheid staat hier vooraan omdat het in privacyverklaringen vaak wordt vervaagd — en een toestemming die als voorwaarde voor de dienst wordt gepresenteerd, is geen geldige toestemming (AVG art. 7 lid 4).

Twee verschillende rollen — en het maakt uit welke geldt.

Voor de gegevens van leden, leerlingen, ouders en leerkrachten is de organisatie die het platform gebruikt de verwerkingsverantwoordelijke: zij bepaalt waarvoor die gegevens worden verwerkt. Wij treden daarbij op als verwerker, namens die organisatie. Vragen over die gegevens stelt u daarom in de eerste plaats aan uw eigen organisatie; onze verhouding is vastgelegd in de verwerkersovereenkomst.

Daarnaast zijn wij zélf verwerkingsverantwoordelijke voor onze eigen klantrelatie: de contactpersoon van de organisatie, de facturatie, de bezoekers van onze website, en onze eigen beveiligings- en systeemlogging. Artikel 2 werkt die verdeling per situatie uit, inclusief de grensgevallen.

Grondslag.

De meeste verwerkingen in dit beleid berusten niet op toestemming maar op de uitvoering van een overeenkomst (het lidmaatschap of de onderwijsrelatie), op een wettelijke plicht, of op een gerechtvaardigd belang. Toestemming gebruiken wij alleen waar u werkelijk een vrije keuze heeft — bijvoorbeeld bij het delen van foto's. Die toestemming kunt u op elk moment intrekken; dat raakt niet de rechtmatigheid van de verwerking daarvóór.

Reikwijdte.

Dit beleid geldt voor het beheerportaal, de mobiele applicaties, de publieke organisatiepagina's, de informatieschermen en onze eigen website aqlemy.com. Voor cookies en vergelijkbare technieken op de website geldt daarnaast het Cookiebeleid.

Versie.

Dit beleid draagt een versienummer en een ingangsdatum. Bij een wijziging informeren wij zoals beschreven in artikel 18; wij vragen daarbij geen nieuw akkoord, omdat een informatiedocument niet geaccepteerd hoeft te worden — dat zou juist ten onrechte suggereren dat toestemming de grondslag is.

Geen functionaris voor gegevensbescherming, wel een vast aanspreekpunt.

Wij zijn niet verplicht een functionaris voor gegevensbescherming aan te wijzen (AVG art. 37): wij zijn geen overheidsinstantie, en onze kernactiviteit bestaat niet uit grootschalige regelmatige en stelselmatige observatie of uit grootschalige verwerking van bijzondere categorieën gegevens. Er is wél één vast aanspreekpunt voor privacyvragen: privacy@aqlemy.com. Uw eigen organisatie kan op grond van haar eigen omvang of aard wél een functionaris moeten aanwijzen; dat staat los van ons.

De AVG kent twee rollen. De verwerkingsverantwoordelijke bepaalt waarom en hoe er verwerkt wordt. De verwerker verwerkt uitsluitend in opdracht. Bij ons ligt die grens niet op één plek, dus hieronder staat hij per situatie.

Wij zijn VERWERKER — de organisatie is verantwoordelijke.

• - Leden-, leerling-, ouder- en leerkrachtgegevens: namen, contactgegevens, geboortedatum, adres, klasindeling.
• - Onderwijsgegevens: huiswerk, cijfers, examenresultaten, aanwezigheid, voortgang, dossieraantekeningen, certificaten.
• - Lidmaatschapsgegevens: lidmaatschapstype en -status, contributie, betalingsgeschiedenis binnen de organisatie.
• - Communicatie binnen de organisatie: mededelingen, evenementen, nieuwsbrieven, chatberichten, klachten en meldingen.
• - Financiële administratie van de organisatie: kasboek, facturen, declaraties, donaties, subsidies.
• - Eigen velden die de organisatie zelf inricht.

Voor al deze gegevens geldt: de organisatie bepaalt waarvoor ze gebruikt worden, hoe lang ze bewaard blijven en wie ze mag zien. Wij voeren uit. Wilt u inzage, correctie of verwijdering van deze gegevens, wend u dan tot uw organisatie; wij verwijzen een verzoek dat rechtstreeks bij ons binnenkomt onverwijld naar haar door.

Wij zijn VERWERKINGSVERANTWOORDELIJKE.

• - Onze klantrelatie: de contactpersoon en de beheerders van de organisatie waarmee wij een overeenkomst hebben, de facturatie, de correspondentie over de dienst en de ondersteuning.
• - Bezoekers van aqlemy.com: bezoekgegevens, contactformulier, aanvragen voor een proefperiode of demonstratie, downloads van sjablonen, de bestuursscan en de nieuwsbrief. Deze gegevens hebben bewust géén organisatiekoppeling; zie artikel 10.
• - Beveiligingslogging: aanmeldingen, bekende apparaten, mislukte pogingen en het intrekken van sessies. Wij bepalen zelf dát dit gelogd wordt, hoe lang en wanneer er gewaarschuwd wordt, omdat het onze eigen verplichting is om het platform passend te beveiligen (AVG art. 32). Voor die verwerking treden wij dus als verantwoordelijke op, niet als verwerker.
• - Systeemmetingen en foutrapportages: technische metingen over geheugen, processorgebruik en fouten in de applicatie. Deze bevatten geen inhoudelijke gegevens van uw leden of leerlingen; ze kunnen wel incidenteel een identificatienummer of een e-mailadres in een foutmelding bevatten. Bewaartermijn 30 dagen.
• - Het bewijs van acceptatie van de voorwaarden en de verwerkersovereenkomst, met versienummer, controlesom, tijdstip en — versleuteld — het IP-adres van die handeling.

De grensgevallen, expliciet.

Adverteerders. Verkoopt een organisatie advertentieruimte via het platform, dan is de overeenkomst er één tussen de adverteerder en die organisatie. Voor de bedrijfs- en contactgegevens van de adverteerder is die organisatie de verantwoordelijke en zijn wij verwerker; de gegevens zijn dan ook per organisatie gescheiden opgeslagen. Voor twee zaken zijn wíj verantwoordelijke: het bewijs dat de adverteerder onze platformvoorwaarden accepteerde (versie, tijdstip, versleuteld IP-adres), en de bemiddelingsvergoeding die wij aan de organisatie factureren.

Marketingleads. Iemand die op onze eigen website een formulier invult, een sjabloon downloadt of de bestuursscan doet, is een contact van óns. Die gegevens staan in een aparte administratie zonder organisatiekoppeling, en daarvoor zijn wíj verantwoordelijke. Zij worden nooit vermengd met de gegevens van een organisatie op het platform.

Systeem- en beveiligingslogs. Zie hierboven: verantwoordelijke, niet verwerker. Wij delen die logs niet met andere organisaties, en een organisatie krijgt uit ons systeemlog uitsluitend wat haar eigen omgeving betreft.

Uw eigen actielog. Het actielog in het beheerportaal — wie welke handeling verrichtte binnen uw organisatie — is wél gegevens waarvoor uw organisatie verantwoordelijke is. U kunt het zelf inzien en exporteren.

Publieke pagina's van uw organisatie. Publiceert uw organisatie namen, foto's of contactgegevens op haar publieke pagina, dan is zij daarvoor verantwoordelijke. Wij bepalen niet wat daar komt te staan.

Hieronder staan de categorieën gegevens die op het platform verwerkt kunnen worden. Wat er in uw geval daadwerkelijk verwerkt wordt, hangt af van het pakket van uw organisatie, van de modules die zij gebruikt en van wat zij zelf invult — een moskee met alleen een ledenadministratie verwerkt aanzienlijk minder dan een school met leerlingdossiers.

Klap een categorie open voor de afzonderlijke gegevens.

Bijzondere categorieën persoonsgegevens.

Het platform is niet ingericht op het verwerken van bijzondere categorieën persoonsgegevens als bedoeld in AVG artikel 9 — gegevens over gezondheid, religieuze overtuiging, etnische afkomst of strafrechtelijke gegevens. Er is geen veld voor, en er zijn geen extra waarborgen voor ingebouwd. Vult een organisatie zulke gegevens toch in een vrij tekstveld of een zelf aangemaakt eigen veld in, dan is zij daarvoor verantwoordelijke en moet zij zelf over een geldige uitzonderingsgrond beschikken. Wij raden het af.

Twee dingen verdienen daarbij een kanttekening. Het enkele feit dát iemand lid is van een religieuze organisatie kan in de context een gegeven over godsdienst zijn; de organisatie heeft daarvoor doorgaans de uitzondering van AVG artikel 9 lid 2 sub d (verwerking door een stichting of vereniging met een religieuze doelstelling, over haar eigen leden). En een absentie met de reden "ziek" is in de kern een gegeven over gezondheid; het platform kent daarvoor een enkel statusveld en geen medische registratie.

Wat wij bewust NIET verzamelen.

• - Geen burgerservicenummer of paspoortkopie.
• - Geen biometrische kenmerken op onze servers: gebruikt u gezichts- of vingerafdrukherkenning om in te loggen, dan blijft dat kenmerk in de beveiligde omgeving van uw eigen telefoon. Wij ontvangen alleen de bevestiging dat de ontgrendeling geslaagd is.
• - Geen locatiegegevens op onze servers: de gebedstijden en de qibla-richting worden op uw toestel zelf berekend.
• - Geen advertentieprofiel, geen trackingpixel van een advertentienetwerk, geen interessesegmenten.
• - Geen volledig IP-adres in leesbare vorm: waar wij een IP-adres bewaren is dat versleuteld, en in overzichten ziet u een gemaskeerde weergave.

Voor elke verwerking geldt precies één primaire grondslag. Hieronder staan zij per verwerking, met het artikel uit de AVG erbij.

Uitvoering van een overeenkomst — AVG art. 6 lid 1 sub b

• - Het aanmaken en beheren van een account, en het verlenen van toegang tot het platform.
• - Ledenadministratie: inschrijving, lidmaatschapstype, contributie en opzegging.
• - Onderwijsadministratie: inschrijving in een klas, huiswerk, aanwezigheid, cijfers, voortgang en certificaten.
• - Communicatie die bij de dienst hoort: roosterwijzigingen, mededelingen over de les of de vereniging, evenementbevestigingen, betaalverzoeken en herinneringen.
• - Het afhandelen van betalingen die de organisatie int bij haar leden.
• - Onze eigen dienstverlening aan de organisatie: het abonnement, de facturatie en de ondersteuning.

Wettelijke verplichting — AVG art. 6 lid 1 sub c

• - De financiële en fiscale administratie, en de bewaarplicht van 7 jaar die daarop rust (art. 52 Algemene wet inzake rijksbelastingen).
• - Het bewaren van het bewijs van acceptatie van de voorwaarden (art. 6:234 BW).
• - Het voldoen aan een verzoek van een bevoegde autoriteit of een rechterlijk bevel.
• - Het vastleggen en kunnen aantonen van gegeven en ingetrokken toestemming (AVG art. 7 lid 1).

Gerechtvaardigd belang — AVG art. 6 lid 1 sub f

• - De beveiliging van het platform: aanmeldlogging, herkenning van onbekende apparaten, begrenzing van aanmeldpogingen, en het waarschuwen van een gebruiker bij een verdachte aanmelding. Belang: het voorkomen van accountovername. Afweging: de verwerking is beperkt tot tijdstip, apparaat, versleuteld IP-adres en locatie op stad- en landniveau, de gebruiker wordt er zélf over geïnformeerd en krijgt een knop om alle sessies te beëindigen. Zonder deze verwerking is een overname pas achteraf en vaak te laat te ontdekken.
• - Het oplossen van storingen en fouten, en het meten van de capaciteit van de servers. Belang: continuïteit. Afweging: de metingen bevatten geen inhoudelijke gegevens en verdwijnen na 30 dagen.
• - Het voorkomen van misbruik van formulieren en van het e-mailkanaal.
• - Het actielog in het beheerportaal, zodat een organisatie kan vaststellen wie welke wijziging aanbracht. Belang: verantwoording en fraudepreventie binnen de organisatie.
• - Onze eigen bedrijfsvoering: het bijhouden van klantcontact, het beantwoorden van vragen en het verbeteren van de dienst aan de hand van geaggregeerde, niet-herleidbare statistiek.

U kunt tegen een verwerking op grond van gerechtvaardigd belang bezwaar maken; zie artikel 14. Bij beveiligingslogging zal dat bezwaar doorgaans niet slagen, omdat het loggen zelf een wettelijke beveiligingsplicht uitvoert.

Toestemming — AVG art. 6 lid 1 sub a

• - Het publiceren van foto's waarop u herkenbaar bent, en het delen daarvan op sociale media. Dit zijn de enige twee toestemmingen in de mobiele applicatie die werkelijk een vrije keuze zijn; alle andere schuifjes daar zijn kennisgevingen bij een verwerking die op de overeenkomst berust.
• - Niet-noodzakelijke cookies en meetinstrumenten op onze website.
• - Onze eigen commerciële e-mail aan iemand die daar zelf om vroeg.

Een gegeven toestemming kunt u op elk moment intrekken, en dat moet net zo eenvoudig zijn als het geven ervan (AVG art. 7 lid 3). Intrekken werkt vooruit: wat daarvóór rechtmatig gebeurde blijft rechtmatig.

Vitaal belang — AVG art. 6 lid 1 sub d

• - Het gebruik van noodcontactgegevens bij een acute situatie tijdens een les of activiteit.

Wat wij niet als grondslag gebruiken.

Wij baseren geen enkele verwerking op "u heeft het platform gebruikt, dus u stemt in". Dat is geen grondslag.

Onderwijs.

Leerlingen worden ingedeeld in klassen. Leerkrachten registreren aanwezigheid, geven huiswerk op, houden voortgang bij en voeren cijfers in. Ouders zien de gegevens van hun eigen kinderen — en alleen die. Zijn er twee ouderaccounts aan een leerling gekoppeld, dan hebben die gelijke rechten; er is geen "hoofdouder" die meer ziet dan de ander.

Leerkrachten zien alleen hun eigen klassen.

Een leerkracht die in het beheerportaal werkt, krijgt uitsluitend de leerlingen en klassen te zien waaraan hij is gekoppeld. Dat is geen instelling die per organisatie aan of uit staat, maar een grens die op elk betrokken onderdeel afzonderlijk wordt afgedwongen. Contactgegevens van ouders worden voor de AI-assistent van een leerkracht bovendien gemaskeerd.

Ledenbeheer.

De organisatie houdt lidmaatschappen bij, verstuurt contributiefacturen en incasseert. Leden kunnen in de applicatie hun eigen gegevens inzien en bijwerken, en afhankelijk van de instellingen zelf een abonnement kiezen.

Communicatie.

Mededelingen, evenementen en nieuwsbrieven worden gericht op een doelgroep: iedereen, alleen ouders, alleen leerkrachten, of een specifieke klas of afdeling. Die afbakening wordt aan de serverkant afgedwongen, niet pas in de weergave: een bericht dat voor één klas bedoeld is, wordt ook alleen aan die klas verzonden en is voor de rest niet op te vragen.

Meldingen.

U kunt per soort melding kiezen via welk kanaal u die ontvangt: in de applicatie, per pushbericht of per e-mail. Twee soorten kunt u niet uitzetten op in-app en e-mail: beveiligingsmeldingen over uw eigen account, en meldingen die de dienst onbruikbaar zouden maken als u ze mist. Pushmeldingen kunt u altijd uitzetten.

Betalingen.

Contributies, donaties en tickets lopen via de betaaldienstverlener van uw eigen organisatie. Wij zien of een betaling geslaagd is, om welk bedrag het ging en waarvoor — niet uw volledige rekeningnummer of kaartgegevens. Die blijven bij de betaaldienstverlener.

Beveiliging.

Zie artikel 6 en de meldingen bij aanmelden die daar beschreven staan.

AI-functies.

Zie artikel 12.

Wat er niet gebeurt.

• - Wij verkopen geen persoonsgegevens. Niet aan adverteerders, niet aan databrokers, niet aan wie dan ook.
• - Wij gebruiken de gegevens van uw organisatie niet om onze eigen diensten aan u of aan anderen te verkopen.
• - Wij gebruiken de gegevens van de ene organisatie nooit voor de andere. De scheiding tussen organisaties wordt op elke opvraging afgedwongen.
• - Wij lezen berichten of dossiers niet uit nieuwsgierigheid. Toegang door ons gebeurt alleen voor het oplossen van een storing of op verzoek van de organisatie, en is beperkt tot wat daarvoor nodig is.

Wij nemen passende technische en organisatorische maatregelen als bedoeld in AVG artikel 32. Hieronder staat wat die maatregelen concreet zijn — en, even belangrijk, wat zij níét zijn.

Onderweg:

• - Al het verkeer loopt over een versleutelde verbinding (TLS), met een certificaat van Let's Encrypt.

In rust:

• - Contactgegevens en andere gevoelige velden worden versleuteld opgeslagen met AES-256-CBC, met een sleutel die buiten de programmacode wordt bewaard.
• - Back-ups worden versleuteld vóórdat ze onze server verlaten en staan in een tweede regio.
• - Wachtwoorden worden niet opgeslagen maar gehasht met bcrypt; wij kunnen uw wachtwoord dus niet uitlezen, ook niet als wij dat zouden willen.

Geen end-to-end encryptie, en geen database-brede versleuteling.

Wij zeggen dit expliciet omdat het vaak anders wordt gesuggereerd. Uw organisatie kan uw gegevens inzien, en wij kunnen dat technisch ook. Zonder die toegang kan de dienst niet geleverd worden — een leerkracht moet een cijfer kunnen invoeren en een beheerder een contributie kunnen innen. Bovendien geldt de versleuteling in rust voor de daarvoor aangewezen velden, niet voor de hele database: namen van leerlingen, cijfers, absenties en berichtinhoud staan als gewone tekst op een versleutelde schijf achter een afgeschermde server.

Toegang:

• - De gegevens van elke organisatie zijn gescheiden; elke opvraging wordt tot de eigen organisatie beperkt.
• - Binnen een organisatie geldt een fijnmazig rechtenmodel: een beheerder krijgt precies de onderdelen waarvoor hij een recht heeft.
• - Een leerkracht ziet alleen zijn eigen klassen en leerlingen.
• - Beheerders kunnen tweestapsverificatie inschakelen met een authenticatie-app.
• - Wachtwoorden moeten ten minste 8 tekens lang zijn en een hoofdletter, een kleine letter, een cijfer en een leesteken bevatten; veelgebruikte wachtwoorden en opeenvolgende cijferreeksen worden geweigerd.
• - Aan onze kant geldt het need-to-know-beginsel: toegang tot de productieomgeving alleen wanneer een storing of een verzoek dat vereist.

Beheer:

• - Afhankelijkheden worden periodiek bijgewerkt tegen bekende kwetsbaarheden.
• - Een Content Security Policy beperkt wat er in de browser geladen mag worden.
• - Aanmeldpogingen worden begrensd op tien per kwartier per IP-adres.
• - Houden mislukte aanmeldpogingen aan, dan wordt het IP-adres waarvandaan die komen tijdelijk geweigerd. Die weigering geldt het adres, nooit uw account.
• - Handelingen in het beheerportaal worden vastgelegd in een actielog dat de organisatie zelf kan inzien; beveiligingsrelevante regels worden onbeperkt bewaard.
• - Onze hostingpartij verzorgt de fysieke beveiliging van het datacentrum.

Waarop onze beveiliging berust.

Op de maatregelen hierboven en op de beveiligingsbijlage bij de verwerkersovereenkomst, niet op een externe certificering. Wij voeren geen ISO 27001-certificering, geen SOC 2-rapportage en laten geen periodieke externe penetratietest uitvoeren; er draait ook geen geautomatiseerde beveiligingsscanner op de code. Wij zeggen dat erbij omdat uw organisatie het bij een inkooptoets vraagt en omdat het bepaalt welke weg openstaat om onze naleving te controleren: de auditregeling in de verwerkersovereenkomst.

Meldingen bij aanmelden.

Wij waarschuwen u wanneer er op uw account wordt ingelogd vanaf een apparaat of land dat wij niet eerder hebben gezien, wanneer er herhaaldelijk mislukte inlogpogingen zijn, en wanneer uw wachtwoord of tweestapsverificatie wijzigt. Die melding bevat het tijdstip, het apparaat en de browser, een gemaskeerd IP-adres en de locatie op stad- en landniveau.

De locatie wordt bepaald met een lokale database op onze eigen server; uw IP-adres wordt hiervoor niet naar een derde partij verzonden. De grondslag is gerechtvaardigd belang op grond van onze beveiligingsplicht (AVG art. 32). Via de link in de melding kunt u direct al uw sessies beëindigen. Die link werkt pas na een uitdrukkelijke bevestiging op de pagina zelf, zodat een e-mailscanner hem niet per ongeluk activeert, en hij is eenmalig bruikbaar.

Uw eigen aandeel.

Deel uw inloggegevens niet, gebruik een wachtwoord dat u nergens anders gebruikt, zet tweestapsverificatie aan als u beheerder bent, en meld een verdachte melding meteen. Een groot deel van de incidenten begint niet bij het platform maar bij een gedeeld of hergebruikt wachtwoord.

Een datalek is de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of toegang tot persoonsgegevens.

Als het lek gegevens van een organisatie betreft (waarvoor wij verwerker zijn), informeren wij die organisatie onverwijld en in elk geval binnen 48 uur nadat wij ervan op de hoogte zijn geraakt. Die termijn is zo gekozen dat de organisatie ruimschoots binnen haar eigen meldtermijn van 72 uur bij de Autoriteit Persoonsgegevens blijft (AVG art. 33). De melding aan de toezichthouder en, waar vereist, aan de betrokkenen is een taak van de organisatie; wij leveren daarvoor de informatie en de ondersteuning.

Wij verstrekken daarbij: de aard van het lek, hoe en wanneer het is ontdekt, de vermoedelijke oorzaak, welke categorieën gegevens en welke groepen betrokkenen het raakt en om hoeveel personen het ongeveer gaat, of de betrokken gegevens versleuteld of gehasht waren, de waarschijnlijke gevolgen, de genomen en voorgenomen maatregelen, en een contactpersoon.

Als het lek gegevens betreft waarvoor wij zelf verantwoordelijke zijn — onze klantrelatie, onze website, onze beveiligingslogging — melden wij dat waar vereist binnen 72 uur bij de Autoriteit Persoonsgegevens, en informeren wij de betrokkenen zelf wanneer het lek waarschijnlijk een hoog risico voor hun rechten en vrijheden oplevert (AVG art. 34).

Registratie.

Elk datalek wordt vastgelegd in een incidentenregister met de feiten, de gevolgen en de genomen corrigerende maatregelen, ook wanneer het niet aan de toezichthouder gemeld hoeft te worden.

Een kwetsbaarheid melden.

Ontdekt u een kwetsbaarheid, meld die dan bij support@aqlemy.com. De voorwaarden waaronder wij geen juridische stappen ondernemen tegen een melder staan in artikel 11 van de Algemene Voorwaarden.

Wij verkopen uw persoonsgegevens niet en delen ze niet met derden, behalve in de gevallen hieronder.

Dienstverleners (subverwerkers).

Om het platform te kunnen leveren schakelen wij andere partijen in, bijvoorbeeld voor hosting, betalingen, e-mail en meldingen. De meeste van die partijen zijn verwerker: zij verwerken de gegevens uitsluitend in onze opdracht, op grond van een verwerkersovereenkomst conform AVG artikel 28, en mogen ze niet voor eigen doeleinden gebruiken.

Een aantal partijen is dat niet. Een betaaldienstverlener bijvoorbeeld verwerkt betalingen in onze opdracht, maar gebruikt dezelfde gegevens daarnaast voor zijn eigen wettelijke plichten rond fraude, sanctiescreening en het kennen van zijn klant; voor dat deel is hij zelfstandig verwerkingsverantwoordelijke en gelden zijn eigen voorwaarden. Publiceert een organisatie een bericht op sociale media, dan bepaalt dat platform zelf wat het daarmee doet. Met zulke partijen bestaat geen verwerkersovereenkomst en kan die er ook niet zijn.

Het register hieronder vermeldt per partij welke rol zij vervult, zodat u kunt zien waar wij de instructie geven en waar een partij op eigen grondslag handelt.

In plaats van hier een handvol namen te noemen, verwijzen wij naar de actuele lijst — een vaste opsomming raakt onvermijdelijk achter op de werkelijkheid:

aqlemy.com/nl/subprocessors

Op die pagina staat per partij het doel, welke gegevenscategorieën er heen gaan, het land en op welke grondslag de doorgifte rust. Er staat ook bij welke koppelingen optioneel zijn: staat een koppeling in uw organisatie uit, dan gaat er ook niets naartoe.

Wat wij bewust NIET uitbesteden.

• - De bepaling van de locatie bij een IP-adres gebeurt met een bestand op onze eigen server. Er gaat geen enkel IP-adres naar een externe dienst.
• - De database draait op dezelfde server als de applicatie, niet bij een externe databankaanbieder.
• - Het taalmodel achter de AI-functies draait op onze eigen hardware. Er gaan geen gegevens naar OpenAI, Google, Anthropic of een andere aanbieder.

Verwijderd in augustus 2026.

Twee koppelingen zijn geschrapt en horen daarom niet meer in de lijst: een sms-dienst die leerling-, leerkracht- en klasnamen ontving, en een externe dienst die het IP-adres van elke websitebezoeker naar de Verenigde Staten stuurde nog vóórdat die bezoeker een cookiekeuze had gemaakt.

Binnen uw organisatie.

Gegevens zijn zichtbaar voor de rollen die daarvoor een recht hebben: beheerders binnen hun rechten, leerkrachten binnen hun eigen klassen, ouders voor hun eigen kinderen. Dat is geen delen met een derde maar de werking van de dienst zelf.

Koepelorganisaties.

Valt uw organisatie onder een koepel, dan ziet die koepel geaggregeerde cijfers en kan zij gezamenlijke mededelingen en evenementen versturen. Volledige contactgegevens van uw leden en leerlingen worden aan de koepel gemaskeerd getoond, en de koepel kan geen ledengegevens, betalingen of lessen van uw organisatie wijzigen.

Wettelijke verplichtingen.

Bij een wettelijke plicht, een gerechtelijk bevel of een gerechtvaardigd verzoek van een bevoegde autoriteit. Wij toetsen zo'n verzoek op grondslag en bevoegdheid, verstrekken niet meer dan gevorderd wordt, en informeren de betrokken organisatie vooraf — tenzij de wet ons dat verbiedt.

Verzekeraars.

Bij een (dreigende) aansprakelijkstelling of een beveiligingsincident delen wij de gegevens die daarvoor nodig zijn, voor zover wij daarvan zelf verwerkingsverantwoordelijke zijn, met onze verzekeraars, onze verzekeringstussenpersoon en de deskundigen en advocaten die zij inschakelen. Onze verzekeringsovereenkomsten verplichten ons daartoe, en wij verstrekken niet meer dan voor de afhandeling nodig is. Grondslag: gerechtvaardigd belang (AVG art. 6 lid 1 sub f), namelijk het laten afhandelen van de aanspraak of het incident door onze verzekeraar.

Bedrijfsoverdracht.

Bij een fusie of overname, met behoud van hetzelfde beschermingsniveau en met voortzetting van de verwerkersovereenkomst. Wij melden dat vooraf.

Dit artikel gaat over onze eigen website aqlemy.com en over de publieke pagina's van organisaties. Het volledige overzicht staat in het Cookiebeleid.

Noodzakelijke cookies worden altijd geplaatst: zij houden uw sessie in stand, onthouden uw taalkeuze en beschermen formulieren tegen misbruik. Daarvoor is geen toestemming vereist (art. 11.7a lid 3 Telecommunicatiewet).

Alle andere cookies en meetinstrumenten worden pas geplaatst nadat u daarvoor toestemming heeft gegeven. Weigeren is even eenvoudig als aanvaarden, en de weigerknop staat op hetzelfde niveau als de aanvaardknop. Doet u niets, dan wordt er niets geplaatst.

Wat wij van uw keuze bewaren.

Een toestemmingsregistratie bevat een willekeurig gegenereerd identificatienummer, de categorieën die u aanvaardde of weigerde, het tijdstip en de versie van de tekst die u zag. Uw IP-adres wordt daarbij niet opgeslagen. De registratie is een jaar geldig; daarna wordt u opnieuw gevraagd, en de registratie zelf wordt kort daarna verwijderd. Dit bewaren is nodig om te kunnen aantonen dát u een keuze heeft gemaakt (AVG art. 7 lid 1).

Uw keuze wijzigen.

Dat kan op elk moment via de link onderaan de website.

Statistiek.

Als u analytische cookies aanvaardt, meten wij welke pagina's bezocht worden, om de site te verbeteren. Meetgegevens worden niet gebruikt om u persoonlijk te volgen over andere websites.

In de mobiele applicatie worden geen advertentie- of trackingcookies gebruikt.

Dit artikel gaat over de gegevens die u aan óns geeft — niet aan een organisatie op het platform. Hiervoor zijn wij verwerkingsverantwoordelijke.

Wanneer dit speelt.

Als u het contactformulier invult, een proefperiode of demonstratie aanvraagt, een sjabloon downloadt, de bestuursscan doet of zich aanmeldt voor onze nieuwsbrief.

Wat wij vastleggen.

Uw naam, e-mailadres, eventueel telefoonnummer en organisatienaam, uw bericht, welk formulier u invulde, en waar u vandaan kwam. De inhoud van uw bericht en de aantekeningen die wij erbij maken worden versleuteld opgeslagen. In onze eigen inbox worden die gegevens gemaskeerd getoond; volledig zichtbaar maken kan alleen met opgave van een reden, en die handeling wordt zelf vastgelegd.

Grondslag.

Voor het beantwoorden van uw vraag of het bezorgen van een gevraagd bestand: de uitvoering van uw verzoek. Voor het toesturen van nieuws en updates: uw toestemming, via een apart vinkje dat standaard leeg staat.

Twee dingen houden wij strikt gescheiden.

Een bestand per e-mail bezorgen is uitvoering van uw verzoek en levert geen nieuwsbriefinschrijving op. Wilt u ook op de hoogte blijven, dan is dat een aparte keuze die u zelf aanvinkt. Een gratis download is geen bestaande klantrelatie, en toestemming voor het één mag niet worden gekoppeld aan het ander (AVG art. 7 lid 4, art. 11.7 Telecommunicatiewet).

Afmelden.

Elke commerciële e-mail van ons bevat een afmeldlink en de technische afmeldkoppen die uw e-mailprogramma daarvoor gebruikt. Afmelden geldt voor uw e-mailadres in zijn geheel en werkt onmiddellijk; alleen een nieuwe, uitdrukkelijke aanmelding heft het weer op. Transactionele berichten — een wachtwoordherstel, een bevestiging, een factuur — bevatten geen afmeldlink, omdat die bij de dienst zelf horen.

De bestuursscan.

De scan is anoniem af te ronden. Vult u geen e-mailadres in, dan wordt er geen contactregistratie aangemaakt. Uw score wordt aan onze kant berekend; uw antwoorden gaan niet naar een derde partij.

Bewaartermijn.

Wij bewaren deze gegevens zolang het contact actueel is en daarna niet langer dan nodig. Een afmelding en het bewijs van uw toestemming bewaren wij wel, omdat wij anders niet kunnen aantonen dat wij uw keuze respecteren.

Wat hier niet gebeurt.

Deze gegevens worden nooit vermengd met de gegevens van een organisatie op het platform, en ze worden niet doorverkocht.

Een organisatie op het Platform kan advertentieruimte verkopen aan bedrijven. Verschijnt er een advertentie in de app, op een informatiescherm, op de website van de organisatie of in haar nieuwsbrief, dan geldt het volgende.

Niet gepersonaliseerd: Advertenties worden niet op individuele gebruikers afgestemd. Verkoopt een organisatie dezelfde plek aan meer dan één adverteerder, dan roteert een informatiescherm door alle advertenties en kiest de app er willekeurig één per schermbezoek. Welke advertentie je ziet hangt dus niet af van wie je bent, van wat je eerder hebt gedaan, of van welk apparaat je gebruikt.

Geen profilering: Er wordt geen advertentieprofiel van je opgebouwd. We leiden geen interesses, kenmerken of segmenten af uit je gedrag in de app of op de site, en we gebruiken je gegevens niet om te bepalen welke advertentie je te zien krijgt.

Geen advertentie-SDK van derden: De app en de website bevatten geen advertentienetwerk, geen ad-exchange en geen trackingpixel van een advertentiepartij.

Geen deling met adverteerders: Adverteerders krijgen geen persoonsgegevens. Zij zien uitsluitend geaggregeerde totalen over hun eigen advertentie.

Alleen geaggregeerde tellers: We houden per advertentie bij hoe vaak die in totaal is getoond en aangeklikt. Daarbij wordt geen gebruikers-id, apparaat-id, IP-adres of cookie opgeslagen; het is een enkele optelling en niet te herleiden tot een persoon. Een klik gaat rechtstreeks naar de website van de adverteerder en niet via een tussenliggende meet-URL van ons.

Op een website telt een vertoning pas als de advertentie zichtbaar is. Op een informatiescherm is alles wat getoond wordt ook zichtbaar; op een website staat een advertentie vaak onder de vouw. De teller loopt daar pas op wanneer de advertentie daadwerkelijk voor de helft in beeld staat, en per bezoek één keer. In een nieuwsbrief telt een vertoning bij het openen van de e-mail, via de openingsmeting die de organisatie zelf al gebruikt; staat die uit, dan telt het blok niet mee. Er wordt daarvoor geen nieuwe meting toegevoegd.

Herkenbaarheid: Elke advertentie draagt zichtbaar het label "Advertentie", de naam van de adverteerder en een uitleg waarom je hem ziet. Dat volgt uit artikel 26 van de Digital Services Act en uit de herkenbaarheidseis van de Nederlandse Reclame Code, en is niet uit te zetten.

Gegevens van de adverteerder: Van de adverteerder zelf verwerken we bedrijfsgegevens en de contactgegevens van zijn contactpersoon, om de advertentie te kunnen beoordelen, factureren en bezorgen. Grondslag: uitvoering van de overeenkomst. Verantwoordelijke daarvoor is de organisatie waarbij hij adverteert; zie artikel 2. De adverteerder kan die gegevens inzien en bijwerken in zijn eigen adverteerdersportaal. Zijn e-mailadres kan hij niet zelf wijzigen — dat is de sleutel van zijn account — en het bewijs van de advertentievoorwaarden die hij accepteerde ligt onveranderlijk vast.

Geen geautomatiseerde besluiten met rechtsgevolg.

Er worden op het platform geen besluiten genomen die uitsluitend op geautomatiseerde verwerking berusten en die voor u rechtsgevolgen hebben of u in aanmerkelijke mate treffen (AVG art. 22). Cijfers worden door een leerkracht ingevoerd, een absentie door een mens vastgesteld, een lidmaatschap door een beheerder beoordeeld. Wat het platform doet is rekenen, sorteren en signaleren — beslissen doet een mens.

Wat er wél automatisch gebeurt, en wat dat betekent.

• - Het platform kan signaleren dat een leerling meerdere keren afwezig was of dat huiswerk achterloopt. Dat is een signaal aan de leerkracht, geen oordeel over de leerling.
• - Bij een gezinskorting wordt het contributiebedrag berekend aan de hand van het aantal ingeschreven kinderen. Wijzigt dat aantal later, dan toont het portaal een signaal "korting herzien" in plaats van stilzwijgend het bedrag aan te passen — een mens beslist.
• - Betalingsherinneringen volgen een vaste trap. Ze leiden nooit vanzelf tot uitschrijving.
• - Bij een aanmelding vanaf een onbekend apparaat krijgt u een waarschuwing. Uw account wordt daardoor niet geblokkeerd.

AI-functies.

Het platform heeft drie soorten AI-functies. Voor alle drie geldt:

• - Het taalmodel draait op onze eigen hardware. Er gaan geen gegevens naar OpenAI, Google, Anthropic of een andere externe aanbieder.
• - Uw gegevens worden niet gebruikt om modellen te trainen, te verfijnen of te evalueren.
• - U ziet altijd dat u met een AI-functie te maken hebt, en u kunt altijd een mens inschakelen.
• - De uitvoer van een taalmodel kan onjuist zijn. Gebruik die als hulpmiddel en niet als vaststelling; controleer een uitkomst voordat u er een besluit op baseert.

De AI-assistent voor gegevens. Deze beantwoordt vragen over gegevens waartoe de gebruiker al toegang heeft, en maakt samenvattingen en analyses. Hij staat standaard uit en wordt per organisatie aangezet. Voor een leerkracht is hij beperkt tot onderwijsgegevens binnen zijn eigen klassen. Financiële gegevens, ledenadministratie, registraties en exports zijn voor hem uitgesloten, en contactgegevens van ouders worden gemaskeerd.

De help-assistent. Deze beantwoordt in het beheerportaal vragen over het gebruik van het platform, uitsluitend uit de handleiding van Aqlemy. Hij leest geen gegevens van uw organisatie. Hij is beschikbaar voor beheerders en leerkrachten; een organisatie kan hem laten uitzetten, en een beheerder kan hem per beheerder uitzetten. Daarvoor geldt:

• - Uw vragen worden opgeslagen zonder e-mailadressen, telefoonnummers, IBAN's, burgerservicenummers en de combinatie van postcode en huisnummer: die worden vóór het opslaan vervangen door een aanduiding. Een gesprek wordt 90 dagen na het laatste bericht automatisch verwijderd.
• - Wilt u uw vraag aan een medewerker stellen, dan gaat er een kopie van het gesprek, met dezelfde vervangingen, mee met uw supportverzoek. Die kopie blijft bewaard zolang het supportverzoek bestaat.
• - Uw beoordeling van een antwoord (duim omhoog of omlaag) en het aantal vragen zonder antwoord gebruiken wij uitsluitend om de handleiding te verbeteren. Ze worden niet gebruikt om een model te trainen of te evalueren.

Conceptantwoorden bij supportverzoeken. Een medewerker van Aqlemy kan bij uw supportverzoek een conceptantwoord laten maken. Het model krijgt daarvoor het onderwerp en de laatste berichten van het verzoek, met dezelfde vervangingen als hierboven, en nooit de interne notities van onze medewerkers. Het concept wordt altijd door een mens gelezen, zo nodig aangepast en door een mens verstuurd; het telt nooit als onze reactie zolang een mens het niet verstuurt. De tekst van het concept bewaren wij niet. Om te meten of een concept bruikbaar was, bewaren wij 180 dagen een niet-terug te rekenen vingerafdruk ervan.

Vertaling.

Laat een beheerder een tekst automatisch vertalen, dan gebeurt dat met hetzelfde taalmodel op onze eigen hardware. De tekst verlaat onze server niet. Zet geen persoonsgegevens in een tekst die u laat vertalen als dat niet nodig is.

Wat automatisch verdwijnt. De volgende gegevens worden na het verstrijken van de termijn vanzelf verwijderd:

• - Aanmeldingen en bekende apparaten: 24 maanden
• - Registratie van een tijdelijk geweigerd IP-adres: tot uiterlijk circa 31 dagen na de laatste weigering. Een adres dat wij handmatig op een uitzonderingslijst zetten blijft staan totdat wij het weghalen
• - Actielog: 18 maanden voor gewone handelingen en 24 maanden voor handelingen die aandacht verdienen. Beveiligingsrelevante regels — aanmelden, verwijderen, wijzigen van rechten, exporteren, het zichtbaar maken van afgeschermde gegevens, en elke wijziging van een toestemming — worden onbeperkt bewaard
• - Technische fout- en systeemmetingen: 30 dagen
• - Meldingen van betaaldienstverleners: 90 dagen
• - Gegenereerde rapportbestanden: 14 dagen; de registratie dát een rapport is gedraaid: 90 dagen
• - Gesprekken met de help-assistent: 90 dagen na het laatste bericht
• - Meetgegevens van een conceptantwoord bij een supportverzoek (zonder de tekst): 180 dagen
• - Cookietoestemming: één jaar geldig, en kort daarna verwijderd
• - Eenmalige verificatiecodes en niet-afgeronde registraties: binnen enkele uren tot dagen, afhankelijk van het soort

Gegevens die aan uw account hangen. Lidmaatschaps-, onderwijs- en contactgegevens bewaren wij zolang de organisatie het account aanhoudt. Wij verwijderen die niet uit onszelf: de organisatie is verwerkingsverantwoordelijke en bepaalt wat er hoe lang bewaard wordt.

Er is bewust geen automatische opruiming van inactieve accounts. Wij hebben geen taak die accounts of leerlingdossiers na een bepaalde periode van inactiviteit verwijdert. Dat is een keuze: zo'n opruiming is onomkeerbaar, en de termijn hoort te worden bepaald door de organisatie die verantwoordelijke is — niet door ons. Wij noemen dit expliciet omdat privacyverklaringen vaak termijnen claimen die door geen enkele taak worden uitgevoerd. Als verantwoordelijke doet u er goed aan zelf een bewaartermijn vast te stellen en die periodiek uit te voeren; voor een ledenadministratie is twee jaar na uitschrijving gebruikelijk voor naam- en adresgegevens, met de zeven jaar hieronder voor het financiële deel.

Verwijdering op verzoek. Vraagt u om verwijdering van uw account, dan wordt het 30 dagen buiten gebruik gesteld — in die periode kunt u zich nog bedenken — en daarna definitief gewist. Voor een ouder, leerkracht of leerling gaat aan die dertig dagen een goedkeuring door de organisatie vooraf, omdat het account daar aan een lopende onderwijsrelatie kan hangen. Een lid kan het zelf doen. Wordt een verzoek afgewezen, dan hoort u waarom.

Bij beëindiging van de overeenkomst met de organisatie worden de gegevens binnen 90 dagen uit de productieomgeving verwijderd, tenzij de organisatie anders verzoekt. Zie artikel 16 van de Algemene Voorwaarden.

Back-ups. Verwijderde gegevens kunnen nog in back-ups voorkomen totdat die verlopen. Wij bewaren 7 dagelijkse, 4 wekelijkse en 12 maandelijkse momentopnamen, dus dat kan tot 12 maanden duren. Een back-up wordt niet selectief bewerkt; dat zou de betrouwbaarheid van het herstel aantasten. Gedurende die periode blijven de gegevens versleuteld en worden zij uitsluitend gebruikt voor herstel.

Financiële administratie. Betalingen, facturen, kasboekregels, declaraties en donaties blijven 7 jaar bewaard, ook na verwijdering van het account (fiscale bewaarplicht, art. 52 Algemene wet inzake rijksbelastingen). Naam, e-mailadres, adres en rekeningnummer worden daarbij uit die records verwijderd; bedragen, data en boekingen blijven staan.

Bewijsstukken die blijven. Het bewijs dat een organisatie de voorwaarden en de verwerkersovereenkomst accepteerde blijft bestaan — versie, controlesom en tijdstip — omdat wij dat bij een geschil moeten kunnen overleggen (AVG art. 17 lid 3 sub e). Het IP-adres en de browserinformatie van die handeling worden daarbij gewist.

Het IP-adres bij aanmeldingen wordt versleuteld opgeslagen; in overzichten ziet u alleen een gemaskeerde weergave.

Bij wie moet u zijn.

Gaat het om uw gegevens als lid, leerling, ouder of leerkracht, dan is uw eigen organisatie de verwerkingsverantwoordelijke. Richt uw verzoek daarheen. Komt het bij ons binnen, dan sturen wij het onverwijld door en laten wij u dat weten. Gaat het om onze eigen klantrelatie of om onze website, dan zijn wíj de juiste partij: privacy@aqlemy.com.

Uw rechten.

Informatie (art. 13-14). Weten welke gegevens verwerkt worden, waarvoor, op welke grondslag, hoe lang en met wie ze gedeeld worden. Dit document is de uitvoering daarvan.

Inzage (art. 15). Een kopie van uw persoonsgegevens. In de mobiele applicatie kunt u die zelf opvragen: u ontvangt uw eigen dossier als een JSON-bestand, ontsleuteld en direct leesbaar. Dat werkt onmiddellijk en zonder wachttijd.

Rectificatie (art. 16). Correctie van onjuiste gegevens en aanvulling van onvolledige gegevens. Veel gegevens kunt u zelf bijwerken in uw profiel.

Wissing (art. 17). Verwijdering van uw gegevens, behoudens wettelijke bewaarplichten en behoudens gegevens die nodig zijn voor het instellen of verdedigen van een rechtsvordering. Zie artikel 13 voor hoe dat verloopt.

Beperking (art. 18). Het tijdelijk "bevriezen" van de verwerking, bijvoorbeeld terwijl de juistheid van een gegeven wordt betwist.

Overdraagbaarheid (art. 20). De gegevens die u zelf heeft verstrekt, in een gestructureerd, gangbaar en machineleesbaar formaat. De export uit de applicatie is JSON; de organisatie kan daarnaast per onderdeel exporteren in CSV, XLSX of PDF.

Bezwaar (art. 21). Tegen een verwerking op grond van gerechtvaardigd belang, op grond van uw specifieke situatie. Tegen direct marketing is bezwaar altijd mogelijk en wordt het altijd gehonoreerd, zonder afweging.

Toestemming intrekken (art. 7 lid 3). Op elk moment, en net zo eenvoudig als het geven ervan. In de applicatie doet u dat met hetzelfde schuifje.

Geautomatiseerde besluitvorming (art. 22). Zie artikel 12: die vindt niet plaats.

Klacht (art. 77). U heeft altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens, en om naar de rechter te stappen.

Hoe wij een verzoek afhandelen.

• - Wij reageren binnen één maand. Is een verzoek complex of zijn het er veel, dan mogen wij die termijn met twee maanden verlengen; wij laten u dat binnen de eerste maand weten, met opgave van redenen.
• - Een verzoek is kosteloos, en er geldt geen maximum van één keer per jaar. Alleen bij een kennelijk ongegrond of buitensporig verzoek — in de praktijk: hetzelfde verzoek herhaaldelijk kort na elkaar — mogen wij een redelijke vergoeding vragen of weigeren, en dan onderbouwen wij waarom (AVG art. 12 lid 5).
• - Wij verifiëren uw identiteit, maar vragen daarbij niet om een kopie van uw identiteitsbewijs. Verificatie via het e-mailadres of het account waarmee u bekend bent is voldoende en proportioneel.
• - Wijzen wij een verzoek geheel of gedeeltelijk af, dan hoort u de reden en wijzen wij u op de klachtmogelijkheid.

Bijzonder geval: gedeelde gegevens.

Sommige gegevens hebben betrekking op meer dan één persoon — de gezinsgegevens van twee ouders bijvoorbeeld, of een chatbericht met twee deelnemers. Verwijdering van uw gegevens mag de rechten van die ander niet doorkruisen. Wij verwijderen in zo'n geval wat op u betrekking heeft en laten de rest ongemoeid, en leggen uit wat wij hebben gedaan.

Een groot deel van de gegevens op dit platform betreft minderjarigen. Daarvoor gelden extra waarborgen.

De leeftijdsgrens is 16 jaar.

Voor een dienst van de informatiemaatschappij is de toestemming van een kind jonger dan 16 alleen geldig als een ouder of voogd die geeft of daarmee instemt (AVG art. 8, in Nederland uitgewerkt in art. 5 UAVG). Dat is de grens die het platform hanteert.

Deze grens raakt alleen de verwerkingen die op toestemming berusten: het publiceren van foto's en het delen daarvan op sociale media. Voor de onderwijsadministratie zelf is toestemming niet de grondslag — die berust op de overeenkomst tussen de organisatie en het gezin — en daar verandert de leeftijd dus niets aan.

Hoe het wordt afgedwongen.

• - Is de geboortedatum onbekend, dan gaat het platform ervan uit dat het kind niet zelf mag beslissen. Dat is de veilige kant van de twijfel.
• - De grens geldt op elk pad waarlangs een toestemming kan worden opgeslagen, ook via het profielscherm. Één ongecontroleerd pad zou de hele grens waardeloos maken.
• - Een geweigerde toestemming wordt niet als "nee" vastgelegd wanneer het kind haar niet mocht geven. Er wordt dan niets opgeslagen, zodat "nog niet gevraagd" onderscheidbaar blijft van "geweigerd". Een weigering vastleggen die het kind nooit heeft uitgesproken, zou zelf onjuist zijn.

Ouderlijke rechten.

Een ouder of voogd kan de gegevens van zijn kind inzien, laten corrigeren en laten verwijderen, en bezwaar maken tegen een verwerking. Zijn er twee ouderaccounts aan een leerling gekoppeld, dan hebben die gelijke rechten.

Beperkte toegang.

Gegevens van leerlingen zijn binnen de organisatie alleen zichtbaar voor wie daar een rol bij heeft: de eigen leerkracht, de betrokken beheerder, en de eigen ouders. Een leerkracht ziet uitsluitend zijn eigen klassen.

Geen marketing naar kinderen.

Wij gebruiken gegevens van minderjarigen nooit voor onze eigen marketing, en advertenties op het platform worden niet op individuele gebruikers afgestemd — ook niet op leeftijd.

Beeldmateriaal.

Het publiceren van foto's waarop een kind herkenbaar is, is een reële en intrekbare keuze. Trekt u die in, dan geldt dat vooruit: reeds gepubliceerd materiaal wordt op verzoek verwijderd voor zover dat binnen de macht van de organisatie ligt. Wat elders al is overgenomen, kan de organisatie niet altijd terughalen.

De applicatie vraagt alleen toestemmingen die zij daadwerkelijk gebruikt. Hieronder staat per toestemming waarvoor die dient en wat er met de gegevens gebeurt. U kunt elke toestemming weigeren of later intrekken via de instellingen van uw telefoon; de bijbehorende functie werkt dan niet, de rest van de app wel.

Locatie.

Voor het berekenen van de gebedstijden op uw plaats en voor de qibla-richting. De coördinaten worden op uw toestel gebruikt en niet naar onze servers verzonden. Weigert u deze toestemming, dan kunt u de locatie handmatig instellen; het kompas werkt dan niet.

Camera.

Voor het maken van een foto bij een huiswerkopdracht of een profielfoto. De foto gaat alleen naar het platform als u die zelf verstuurt.

Fotobibliotheek.

Voor het kiezen van een bestaande foto voor uw profiel of voor een bijlage. De app krijgt alleen de foto's die u zelf selecteert, niet uw hele bibliotheek.

Agenda.

Voor het toevoegen van gebedstijden, lessen en evenementen aan uw eigen agenda. De app vraagt daarbij ook leestoegang, en dat verdient uitleg: die is nodig om te kunnen tónen in welke agenda geschreven wordt, zodat u kunt kiezen. Uw bestaande afspraken worden niet gelezen, niet verzonden en niet opgeslagen.

Meldingen.

Voor herinneringen aan gebedstijden, mededelingen van uw organisatie, evenementen en beveiligingswaarschuwingen. Om een pushbericht te kunnen bezorgen wordt een apparaattoken van uw toestel doorgegeven aan de meldingendienst; dat token identificeert het toestel, niet u persoonlijk. Zet u meldingen uit, dan ontvangt u ze in de app zelf en per e-mail.

Bewegings- en magneetveldsensor.

Uitsluitend voor het qibla-kompas. Er wordt niets van vastgelegd of verzonden.

Opslag.

Voor het opslaan van bijlagen die u downloadt en van uw voorkeuren en tijdelijke bestanden op het toestel zelf.

Biometrische ontgrendeling.

U kunt de app met gezichts- of vingerafdrukherkenning ontgrendelen. Dat verloopt volledig via de beveiligde voorziening van uw telefoon: het biometrische kenmerk verlaat uw toestel niet en komt nooit op onze servers. Wij ontvangen alleen de bevestiging dat de ontgrendeling geslaagd is.

Wat de app níét doet.

• - Geen achtergrondlocatie, geen bewegingsprofiel, geen bijhouden van waar u geweest bent.
• - Geen advertentie-identificatie, geen trackingpixel, geen advertentienetwerk.
• - Geen toegang tot uw contacten, uw berichten of uw telefoongesprekken.
• - Geen scannen van QR-codes en geen offline audio; die functies zitten niet in de app.

Een toestemming intrekken.

Via de instellingen van uw telefoon, per app en per toestemming. De app vraagt er niet opnieuw om.

Het uitgangspunt: uw gegevens blijven in de EU.

Het platform, de database en de back-ups staan bij een Europese hostingpartij, in datacentra binnen de Europese Unie. De inhoud van uw ledenadministratie, uw leerlingdossiers, uw berichten en uw financiële administratie verlaat de EER niet.

Waar er wél doorgifte plaatsvindt.

Een aantal ondersteunende diensten wordt geleverd door partijen die in de Verenigde Staten zijn gevestigd of daar onderdelen hebben — bijvoorbeeld voor pushmeldingen, e-mailbezorging via bepaalde providers, of bescherming van formulieren tegen misbruik. Wat er precies heen gaat, staat per partij vermeld op aqlemy.com/nl/subprocessors. In de meeste gevallen gaat het om een beperkte categorie: een e-mailadres, een apparaattoken, de tekst van een melding.

Op welke grondslag.

• - Adequaatheidsbesluit. Voor partijen die gecertificeerd zijn onder het EU-VS Data Privacy Framework geldt het adequaatheidsbesluit van de Europese Commissie van 10 juli 2023. Wij zijn ons ervan bewust dat dit besluit onderwerp is van een lopende procedure bij het Hof van Justitie: het Gerecht wees een vordering tot nietigverklaring af op 3 september 2025, waarna hoger beroep is ingesteld. Zolang het besluit geldt, is het een geldige grondslag. Wij houden de status bij en schakelen over op standaardcontractbepalingen zodra dat nodig is.
• - Standaardcontractbepalingen (AVG art. 46 lid 2 sub c). Voor partijen zonder adequaatheidsbesluit gelden de door de Europese Commissie vastgestelde modelbepalingen, waar nodig aangevuld met aanvullende maatregelen.

Wat wij bewust niet doen.

• - Geen hosting bij een Amerikaanse aanbieder.
• - Geen externe dienst voor het bepalen van de locatie bij een IP-adres; dat gebeurt met een bestand op onze eigen server.
• - Geen externe aanbieder van taalmodellen; het model draait op onze eigen hardware.
• - Geen doorgifte van leerling- of ledendossiers naar een derde land.

Uw organisatie beslist mee.

Verschillende koppelingen zijn optioneel en worden door uw organisatie zelf aangezet. Staat een koppeling uit, dan gaat er niets naartoe. Een wijziging in de lijst van subverwerkers wordt vooraf gemeld en uw organisatie kan er bezwaar tegen maken; de regeling staat in de verwerkersovereenkomst.

Versiebeheer.

Dit beleid draagt een versienummer en een ingangsdatum, bovenaan de pagina. Bij elke wijziging wordt het versienummer verhoogd en wordt van de nieuwe tekst een controlesom vastgelegd, zodat achteraf vaststaat welke tekst op welk moment gold.

Hoe wij informeren.

• - Een redactionele wijziging — een taalcorrectie, een verduidelijking — publiceren wij zonder aparte kennisgeving.
• - Bij een inhoudelijke wijziging informeren wij de beheerders van de organisaties per e-mail en met een melding in het beheerportaal, ten minste 30 dagen voor de ingangsdatum, met een korte uitleg van wat er verandert.

Wij vragen géén nieuw akkoord op dit beleid.

Een privacyverklaring is een informatiedocument. Opnieuw laten accepteren zou ten onrechte de indruk wekken dat toestemming de grondslag is voor verwerkingen die in werkelijkheid op de overeenkomst of op de wet berusten, en zou de toestemmingen die er wél toe doen besmetten. Wij vragen alleen een nieuwe, uitdrukkelijke keuze wanneer de reikwijdte van een échte toestemming verandert — bijvoorbeeld wanneer er een nieuwe keuze over beeldmateriaal bij komt.

Voortgezet gebruik is geen instemming.

Wij leiden uit het feit dat u het platform blijft gebruiken geen instemming af. Bent u het niet eens met een wijziging, dan kunt u uw rechten uit artikel 14 uitoefenen; een organisatie kan de overeenkomst opzeggen volgens artikel 15 van de Algemene Voorwaarden.

Eerdere versies.

Een eerdere versie is op verzoek opvraagbaar via privacy@aqlemy.com.

Eerst: bij wie moet u zijn.

Gaat uw vraag over gegevens die uw organisatie op het platform verwerkt — uw lidmaatschap, uw kind, uw klas, uw contributie — richt u dan tot die organisatie. Zij is de verwerkingsverantwoordelijke en heeft de contactgegevens die u nodig heeft in haar eigen communicatie staan. Wij mogen die gegevens niet zonder haar opdracht wijzigen of verwijderen.

Onze contactgegevens.

Onderneming: Haakje B.V. Handelsnaam: Aqlemy KvK-nummer: 42160038 Btw-identificatienummer: NL869977817B01 Vestigingsplaats: Haarlem, Nederland

Privacy en verzoeken van betrokkenen: privacy@aqlemy.com Juridische zaken: legal@aqlemy.com Technische ondersteuning: support@aqlemy.com Algemene vragen: ask@aqlemy.com Telefoon: +31 85 212 8355 (werkdagen 09:00 - 17:00 CET)

Een klacht bij ons.

Bent u niet tevreden over hoe wij met uw gegevens of met uw verzoek zijn omgegaan, laat het ons weten via privacy@aqlemy.com. Wij reageren binnen 30 dagen inhoudelijk. Een klacht bij ons is geen voorwaarde om naar de toezichthouder te stappen — u mag dat ook meteen doen.

Een klacht bij de toezichthouder.

U heeft het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (AVG art. 77):

Autoriteit Persoonsgegevens Postbus 93374 2509 AJ Den Haag autoriteitpersoonsgegevens.nl

Woont u in een andere EU-lidstaat, dan kunt u zich ook wenden tot de toezichthouder van uw eigen land.

Naar de rechter.

U heeft daarnaast het recht om een doeltreffende voorziening in rechte in te stellen tegen ons of tegen uw organisatie (AVG art. 79), en om schadevergoeding te vorderen (AVG art. 82).