Verwerkersovereenkomst

Deze Verwerkersovereenkomst ("VWO") is opgesteld conform artikel 28 van de Algemene Verordening Gegevensbescherming (AVG) tussen:

Haakje B.V., KvK-nummer 42160038, btw-nummer NL869977817B01, gevestigd te Haarlem, handelend onder de handelsnaam Aqlemy, hierna "Verwerker";

en

de op het Platform geregistreerde organisatie, hierna "Verwerkingsverantwoordelijke";

hierna gezamenlijk "Partijen".

Waarom deze VWO bestaat.

De Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking van persoonsgegevens van haar leden, leerlingen, ouders en leerkrachten. De Verwerker verwerkt die gegevens uitsluitend in haar opdracht. Artikel 28 lid 3 AVG verlangt dat die verhouding schriftelijk wordt vastgelegd; deze VWO is die vastlegging.

Wanneer zij van toepassing is.

Deze VWO is van toepassing zodra de Verwerkingsverantwoordelijke zich registreert op het Platform of daarvan gebruikmaakt, en geldt zolang die verwerking voortduurt. Er is geen aparte ondertekening nodig; de acceptatie wordt vastgelegd met versienummer, tijdstip en een controlesom van de tekst, langs dezelfde weg als de Algemene Voorwaarden.

Rangorde.

Deze VWO prevaleert boven de Algemene Voorwaarden en boven elke andere afspraak tussen Partijen, voor alles wat de verwerking van persoonsgegevens betreft. Die volgorde is niet-onderhandelbaar: een verwerkersovereenkomst die door algemene voorwaarden opzij gezet kan worden, voldoet niet aan artikel 28 AVG. Voor het overige — prijs, looptijd, beschikbaarheid, ondersteuning — gelden de Algemene Voorwaarden.

De bijlagen.

Drie bijlagen maken integraal deel uit van deze VWO:

• - Bijlage A — Verwerkingsregister: per verwerking het doel, de categorieën gegevens en betrokkenen, en de bewaartermijn (artikel 23).
• - Bijlage B — Beveiligingsbijlage: de technische en organisatorische maatregelen, geordend naar beschikbaarheid, integriteit en vertrouwelijkheid (artikel 24).
• - Bijlage C — Subverwerkers en doorgifte: de verwijzing naar het actuele register en wat daarin per partij staat (artikel 25).

Aansluiting bij de sectorstandaard.

Deze VWO volgt op hoofdlijnen de opzet van het Model Verwerkersovereenkomst Digitale Onderwijsmiddelen en Privacy, de standaard die in het Nederlandse onderwijs breed wordt gehanteerd: een hoofdtekst met een privacybijsluiter en een beveiligingsbijlage als bijlagen, een auditregeling met een derdenverklaring, en een aansprakelijkheidsbepaling die de contractuele beperking niet laat gelden tegen een verhaalsactie onder artikel 82 AVG. Wij zijn geen ondertekenaar van het Convenant Digitale Onderwijsmiddelen en Privacy en beweren dat nergens; wij hebben de opzet ervan overgenomen omdat die opzet doet waarvoor hij bedoeld is.

Talen.

Deze VWO is beschikbaar in het Nederlands, Turks, Engels en Arabisch. Bij tegenstrijdigheid prevaleert de Nederlandse tekst.

Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (AVG art. 4 onder 1).

Verwerking: elke bewerking van persoonsgegevens, waaronder verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken, wissen of vernietigen (AVG art. 4 onder 2).

Verwerkingsverantwoordelijke: de organisatie die het Platform gebruikt en het doel en de middelen van de verwerking van persoonsgegevens van haar leden, leerlingen, ouders en leerkrachten vaststelt.

Verwerker: Haakje B.V., handelend onder de naam Aqlemy, die persoonsgegevens verwerkt ten behoeve van de Verwerkingsverantwoordelijke.

Subverwerker: een derde die door de Verwerker wordt ingeschakeld om persoonsgegevens te verwerken ten behoeve van de Verwerkingsverantwoordelijke.

Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben.

Datalek (inbreuk in verband met persoonsgegevens): een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens (AVG art. 4 onder 12).

Beveiligingsincident: een gebeurtenis die de beveiliging raakt zonder dat vaststaat dat er persoonsgegevens bij betrokken zijn. Niet elk beveiligingsincident is een datalek.

Toezichthoudende autoriteit: de Autoriteit Persoonsgegevens, dan wel de bevoegde autoriteit in een andere lidstaat.

Platform: het door de Verwerker geëxploiteerde beheerplatform, inclusief het beheerportaal, de mobiele applicaties, de publieke organisatiepagina's en de informatieschermen.

Onderliggende Overeenkomst: de dienstverleningsovereenkomst tussen Partijen, bestaande uit de bestelling of registratie en de Algemene Voorwaarden.

Bijlage: een bijlage bij deze VWO, zoals opgesomd in artikel 1.

Schriftelijk: op papier of langs elektronische weg, waaronder e-mail en een mededeling in het beheerportaal, mits de inhoud kan worden opgeslagen en gereproduceerd.

Werkdag: maandag tot en met vrijdag, met uitzondering van in Nederland algemeen erkende feestdagen.

Onderwerp.

De Verwerker verwerkt persoonsgegevens in het kader van het gebruik van het Platform door de Verwerkingsverantwoordelijke, uitsluitend voor zover dat nodig is om de Onderliggende Overeenkomst uit te voeren.

Aard van de verwerking.

• - Digitaal verzamelen, vastleggen, ordenen en opslaan van gegevens die de Verwerkingsverantwoordelijke of haar gebruikers invoeren.
• - Weergeven en beheren van die gegevens via het beheerportaal, de mobiele applicaties en de publieke pagina's.
• - Verzenden van e-mail, pushmeldingen en in-app meldingen namens de Verwerkingsverantwoordelijke.
• - Verwerken van betaalinformatie ten behoeve van betalingen die de Verwerkingsverantwoordelijke bij haar eigen leden int, via haar eigen betaaldienstverlener.
• - Maken en terugplaatsen van back-ups.
• - Genereren van rapportages en exports op verzoek van de Verwerkingsverantwoordelijke.
• - Beveiligingslogging en het waarschuwen van gebruikers bij een afwijkende aanmelding.
• - Optioneel, en alleen wanneer de Verwerkingsverantwoordelijke die functie aanzet: publicatie op sociale media, synchronisatie met een e-mailmarketingdienst, en AI-ondersteunde samenvatting en analyse.
• - Het beantwoorden van gebruiksvragen uit de handleiding (help-assistent), het opstellen van conceptantwoorden op supportverzoeken en het automatisch vertalen van teksten, met het taalmodel op eigen hardware van de Verwerker (zie Bijlage A, A14).

Doel van de verwerking.

Het leveren van de in de Onderliggende Overeenkomst beschreven diensten: leden- en onderwijsadministratie, communicatie, financiële administratie, publicatie en de beveiliging en continuïteit die daarvoor nodig zijn. De precieze doelen per verwerking staan in Bijlage A.

Wat de Verwerker uitdrukkelijk NIET doet met de gegevens.

• - Geen gebruik voor eigen doeleinden van de Verwerker.
• - Geen verstrekking aan derden, anders dan aan de subverwerkers in Bijlage C of op grond van een wettelijke plicht.
• - Geen gebruik om taalmodellen of andere modellen te trainen, te verfijnen of te evalueren.
• - Geen profilering van betrokkenen, en geen gebruik voor advertentiedoeleinden.
• - Geen samenvoeging van gegevens van verschillende verwerkingsverantwoordelijken.
• - Geen verkoop van persoonsgegevens, in geen enkele vorm.

Duur.

Deze VWO geldt zolang de Verwerker persoonsgegevens verwerkt ten behoeve van de Verwerkingsverantwoordelijke, en in elk geval voor de duur van de Onderliggende Overeenkomst. Zie artikel 20 en artikel 18.

De volgende categorieën persoonsgegevens kunnen worden verwerkt. Wat er in een concreet geval daadwerkelijk wordt verwerkt, hangt af van het gekozen pakket, van de modules die de Verwerkingsverantwoordelijke gebruikt en van wat zij zelf invoert. Bijlage A geeft dit per verwerking uitgewerkt, met doel en bewaartermijn.

Identificatiegegevens: voor- en achternaam, geboortedatum, geboorteplaats, geslacht. Contactgegevens: e-mailadres, telefoonnummer, adres, postcode, woonplaats. Accountgegevens: rol, taalvoorkeur, meldingsvoorkeuren, tweestapsverificatie, versleuteld wachtwoord. Onderwijsgegevens: leerlingnummer, klas, groep, afdeling, academisch jaar, huiswerk, cijfers, examenresultaten, aanwezigheid en absenties met reden, voortgangsitems, dossieraantekeningen, observaties, certificaten. Gezinsgegevens: naam en contactgegevens van ouders en verzorgers, gezinsadres, de koppeling ouder-leerling, noodcontactgegevens. Lidmaatschapsgegevens: lidmaatschapsnummer, -type en -status, ingangs- en einddatum, contributiebedrag, betalingsgeschiedenis, openstaande posten, bestuurs- of commissiefunctie. Financiële gegevens: bedragen, data, betaalmethode en status; kasboekregels, facturen, declaraties, donaties, subsidies. Volledige rekeningnummers en kaartgegevens blijven bij de betaaldienstverlener van de Verwerkingsverantwoordelijke en worden niet op het Platform opgeslagen. Communicatiegegevens: chatberichten en hun deelnemers, mededelingen, evenementen, nieuwsbrieven en ontvangerslijsten, klachten en meldingen, ondersteuningsverzoeken. Technische en beveiligingsgegevens: IP-adres (versleuteld), apparaat- en browserinformatie, aanmeldingen en mislukte pogingen, apparaattoken voor meldingen, actielog. Eigen velden: velden die de Verwerkingsverantwoordelijke zelf inricht, met de inhoud die zij daarin vastlegt.

Bijzondere categorieën persoonsgegevens.

Het Platform is niet ingericht op het verwerken van bijzondere categorieën persoonsgegevens als bedoeld in AVG artikel 9, en biedt daarvoor geen specifieke velden of aanvullende waarborgen. Legt de Verwerkingsverantwoordelijke zulke gegevens toch vast — bijvoorbeeld in een vrij tekstveld of een eigen veld — dan doet zij dat op eigen verantwoordelijkheid en dient zij zelf over een geldige uitzonderingsgrond te beschikken. De Verwerker beveiligt die gegevens met dezelfde maatregelen als de overige gegevens, maar niet met aanvullende.

Twee vormen verdienen daarbij aandacht. Het lidmaatschap van een organisatie met een religieuze doelstelling kan in de context een gegeven over godsdienst zijn; de Verwerkingsverantwoordelijke beroept zich daarvoor doorgaans op AVG artikel 9 lid 2 sub d. En een absentiereden die naar gezondheid verwijst is een gezondheidsgegeven; het Platform kent daarvoor één statusveld en geen medische registratie.

Gegevens van minderjarigen.

Een aanzienlijk deel van de verwerkte gegevens betreft minderjarigen. Partijen zijn zich ervan bewust dat dit een verhoogd risico meebrengt in de zin van AVG artikel 35 lid 3 en dat de Verwerkingsverantwoordelijke daarom eerder gehouden kan zijn een gegevensbeschermingseffectbeoordeling uit te voeren. Artikel 14 regelt de bijstand daarbij.

De verwerkte persoonsgegevens betreffen de volgende categorieën betrokkenen:

• - Leerlingen en cursisten, waaronder minderjarigen.
• - Ouders, verzorgers en voogden. Meerdere ouderaccounts kunnen aan één leerling gekoppeld zijn; zij hebben gelijke rechten.
• - Leden van de organisatie.
• - Leerkrachten, docenten en begeleiders.
• - Beheerders en bestuursleden van de organisatie.
• - Noodcontactpersonen die door een betrokkene zijn opgegeven.
• - Donateurs en periodieke schenkers.
• - Contactpersonen van adverteerders, wanneer de Verwerkingsverantwoordelijke advertentieruimte verkoopt via het Platform.
• - Ontvangers van nieuwsbrieven en mededelingen die door de Verwerkingsverantwoordelijke zijn opgevoerd.
• - Bezoekers van de publieke pagina's van de Verwerkingsverantwoordelijke, voor zover daar persoonsgegevens worden verwerkt.

Niet onder deze VWO.

De contactpersoon en de beheerders van de Verwerkingsverantwoordelijke vallen, voor zover het de klantrelatie met de Verwerker betreft (facturatie, correspondentie, ondersteuning), niet onder deze VWO: daarvoor is de Verwerker zelf verwerkingsverantwoordelijke. Datzelfde geldt voor de beveiligings- en systeemlogging van de Verwerker en voor bezoekers van de eigen website van de Verwerker. Die verwerkingen staan beschreven in het Privacybeleid van de Verwerker.

Uitsluitend op instructie.

De Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, tenzij een Unierechtelijke of lidstaatrechtelijke bepaling hem tot verwerking verplicht. In dat laatste geval stelt de Verwerker de Verwerkingsverantwoordelijke daarvan voorafgaand aan de verwerking in kennis, tenzij die wetgeving die kennisgeving om gewichtige redenen van algemeen belang verbiedt.

Wat als instructie geldt.

De instructies van de Verwerkingsverantwoordelijke bestaan uit:

• - deze VWO, inclusief Bijlage A;
• - de Onderliggende Overeenkomst;
• - de configuratie die de Verwerkingsverantwoordelijke zelf in het beheerportaal vastlegt: welke modules aan staan, welke koppelingen zijn ingeschakeld, welke rechten aan welke rollen zijn toegekend, welke eigen velden bestaan en op welke doelgroep berichten worden gericht. Die configuratie is een instructie in de zin van dit artikel; de Verwerker voert die uit zonder haar inhoudelijk te toetsen.
• - aanvullende schriftelijke instructies die de Verwerkingsverantwoordelijke geeft via de in artikel 26 genoemde contactgegevens.

Meldplicht bij een onrechtmatige instructie.

Is de Verwerker van mening dat een instructie inbreuk maakt op de AVG of op een andere gegevensbeschermingsbepaling van de Unie of van een lidstaat, dan stelt hij de Verwerkingsverantwoordelijke daarvan onverwijld in kennis (AVG art. 28 lid 3, slotzin). De Verwerker mag de uitvoering van die instructie opschorten totdat zij is bevestigd of aangepast. Deze meldplicht houdt geen algemene toetsingsplicht in: de Verwerker beoordeelt niet uit eigen beweging of elke verwerking die de Verwerkingsverantwoordelijke inricht rechtmatig is, en is daartoe ook niet in staat.

Aanvullende instructies buiten de standaarddienst.

Een instructie die redelijkerwijs niet binnen de standaardfunctionaliteit van het Platform kan worden uitgevoerd, voert de Verwerker uit voor zover dat technisch en organisatorisch mogelijk is. Vergt dat aanmerkelijke inspanning, dan treden Partijen vooraf in overleg over de uitvoering en over een eventuele vergoeding. De Verwerker weigert een instructie niet om reden van kosten zonder dat overleg.

Geen eigen doeleinden.

De Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden. Geaggregeerde, niet tot een persoon of organisatie herleidbare gebruiksstatistieken over de werking van het Platform vallen daarbuiten; die zijn geen persoonsgegevens.

Beveiligingsmaatregelen zijn geen eigen doel.

De Verwerker treft en bepaalt zelf de beveiligingsmaatregelen die nodig zijn om aan artikel 32 AVG te voldoen, waaronder aanmeldlogging en het waarschuwen van gebruikers bij een afwijkende aanmelding. Voor die specifieke verwerking bepaalt de Verwerker doel en middelen en treedt hij op als verwerkingsverantwoordelijke; zij dient uitsluitend de beveiliging van het Platform en wordt nooit voor een ander doel gebruikt.

De Verwerker neemt de volgende verplichtingen op zich (AVG art. 28 lid 3):

a) Instructiegebondenheid.

Zoals uitgewerkt in artikel 6.

b) Vertrouwelijkheid.

Zoals uitgewerkt in artikel 8.

c) Beveiliging.

De Verwerker treft passende technische en organisatorische maatregelen als bedoeld in AVG artikel 32. Die maatregelen zijn beschreven in artikel 11 en, volledig en toetsbaar, in Bijlage B.

d) Subverwerkers.

De Verwerker schakelt geen subverwerker in zonder de algemene schriftelijke toestemming van artikel 10, en legt elke subverwerker dezelfde verplichtingen op als in deze VWO aan hemzelf zijn opgelegd.

e) Bijstand bij rechten van betrokkenen.

Zoals uitgewerkt in artikel 13.

f) Bijstand bij de verplichtingen uit de artikelen 32 tot en met 36 AVG.

Zoals uitgewerkt in de artikelen 11, 12 en 14.

g) Audit en bewijs van naleving.

Zoals uitgewerkt in artikel 16.

h) Verwijdering of retournering na afloop.

Zoals uitgewerkt in artikel 18.

Aanvullend, en niet uit artikel 28 AVG afgeleid maar door de Verwerker toegezegd:

i) Scheiding tussen organisaties.

De gegevens van elke Verwerkingsverantwoordelijke zijn logisch gescheiden van die van elke andere. Die scheiding wordt bij elke opvraging afgedwongen en niet pas in de weergave.

j) Logging die de Verwerkingsverantwoordelijke zelf kan controleren.

Handelingen in het beheerportaal worden vastgelegd in een actielog dat de Verwerkingsverantwoordelijke zelf kan inzien, doorzoeken en exporteren, zonder tussenkomst van de Verwerker. Beveiligingsrelevante regels — aanmelden, verwijderen, wijzigen van rechten, exporteren, het zichtbaar maken van afgeschermde gegevens en elke wijziging van een toestemming — worden onbeperkt bewaard. Deze mogelijkheid bestaat opdat de Verwerkingsverantwoordelijke haar eigen toezichtstaak kan uitvoeren.

k) Geen kennisneming zonder aanleiding.

De Verwerker neemt geen kennis van de inhoud van berichten, dossiers of financiële administratie anders dan voor het oplossen van een storing, het uitvoeren van een instructie of het voldoen aan een wettelijke plicht, en beperkt zich daarbij tot wat noodzakelijk is.

l) Melding van wijzigingen die de verwerking raken.

Voert de Verwerker een wijziging in het Platform door die leidt tot een uitbreiding van de te verwerken categorieën persoonsgegevens of tot een nieuw doel, dan informeert hij de Verwerkingsverantwoordelijke daarover vooraf en in begrijpelijke taal, en werkt hij Bijlage A bij. Een nieuwe functie die persoonsgegevens verwerkt, staat standaard uit totdat de Verwerkingsverantwoordelijke haar aanzet.

m) Medewerking bij een verzoek van een autoriteit.

Ontvangt de Verwerker een verzoek van een opsporings- of toezichthoudende autoriteit dat betrekking heeft op gegevens van de Verwerkingsverantwoordelijke, dan toetst hij de grondslag en de bevoegdheid, verstrekt hij niet meer dan gevorderd wordt, en informeert hij de Verwerkingsverantwoordelijke vooraf — tenzij de wet dat verbiedt.

Geheimhouding.

De Verwerker houdt de persoonsgegevens die hij ten behoeve van de Verwerkingsverantwoordelijke verwerkt geheim, en gebruikt ze uitsluitend voor de uitvoering van deze VWO. Deze verplichting blijft van kracht na het einde van de VWO en is niet in tijd beperkt.

Personen die toegang hebben.

De Verwerker waarborgt dat de personen die gemachtigd zijn om persoonsgegevens te verwerken zich tot geheimhouding hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen, en dat zij uitsluitend toegang hebben tot de gegevens die zij voor hun taak nodig hebben.

Schaal en toegang.

De Verwerker is een kleine onderneming. Het aantal personen met toegang tot de productieomgeving is daarmee zeer beperkt, en dat is uit beveiligingsoogpunt een voordeel. Het betekent ook dat maatregelen die op een grote organisatie zijn toegesneden — functiescheiding tussen ontwikkeling en beheer, een aparte informatiebeveiligingsfunctionaris, een periodiek intern auditprogramma — niet in die vorm bestaan. Bijlage B beschrijft per categorie wat er is en waar de grens ligt, zodat de Verwerkingsverantwoordelijke geen maatregelen veronderstelt die er niet zijn.

Bij inschakeling van personeel of hulppersonen.

Schakelt de Verwerker medewerkers, freelancers of hulppersonen in die toegang tot persoonsgegevens krijgen, dan legt hij hun schriftelijk dezelfde geheimhouding en dezelfde beveiligingsverplichtingen op, en verleent hij toegang uitsluitend voor zover en zolang dat noodzakelijk is.

Toegang tot de productieomgeving.

Toegang tot de productieomgeving vindt plaats voor het oplossen van een storing, het uitvoeren van een instructie of het uitvoeren van onderhoud. Voor zover die toegang via het beheerportaal verloopt, wordt zij vastgelegd in het actielog dat de Verwerkingsverantwoordelijke zelf kan inzien. Toegang op serverniveau — bijvoorbeeld voor het terugplaatsen van een back-up — verloopt buiten dat log om; de Verwerker meldt zo'n handeling aan de Verwerkingsverantwoordelijke wanneer daarbij gegevens van haar zijn ingezien of gewijzigd.

De Verwerkingsverantwoordelijke neemt de volgende verplichtingen op zich:

Rechtsgrond.

Zij beschikt over een geldige rechtsgrond voor elke verwerking die zij via het Platform laat plaatsvinden (AVG art. 6, en waar van toepassing art. 9), en verstrekt de Verwerker geen persoonsgegevens die zij niet mag verstrekken.

Informatieplicht jegens betrokkenen.

Zij informeert haar leden, leerlingen, ouders en leerkrachten over de verwerking, conform AVG artikel 13 en 14. Het Privacybeleid van de Verwerker beschrijft de verwerking op het Platform, maar vervangt niet de eigen informatieplicht van de Verwerkingsverantwoordelijke: zij moet zelf uitleggen waarvoor zíj de gegevens gebruikt.

Toestemming waar die nodig is.

Waar een verwerking op toestemming berust — in het bijzonder het publiceren en delen van beeldmateriaal — draagt zij zorg voor een geldige toestemming, en voor de toestemming of machtiging van een ouder of voogd bij kinderen jonger dan 16 jaar (AVG art. 8, art. 5 UAVG). Het Platform dwingt die leeftijdsgrens af en gaat bij een onbekende geboortedatum uit van het veiligste scenario, maar de verantwoordelijkheid voor de toestemming zelf blijft bij haar.

Duidelijke instructies.

Zij verstrekt duidelijke en gedocumenteerde instructies, en houdt de configuratie in het beheerportaal — rollen, rechten, koppelingen, doelgroepen, eigen velden — actueel en in overeenstemming met wat zij mag verwerken.

Juistheid en minimalisering.

Zij waarborgt de juistheid van de gegevens die zij invoert, en voert niet meer gegevens in dan voor haar doel nodig is. Zij ziet er in het bijzonder op toe dat vrije tekstvelden en eigen velden niet worden gebruikt voor gegevens die daar niet horen.

Toegangsbeheer.

Zij kent rechten toe volgens het need-to-know-beginsel, trekt accounts van vertrekkende medewerkers tijdig in, en ziet erop toe dat inloggegevens niet worden gedeeld.

Bewaartermijnen.

Zij stelt vast hoe lang de gegevens die zij op het Platform verwerkt bewaard moeten blijven en voert die termijnen uit. De Verwerker verwijdert die gegevens niet uit eigen beweging; zie artikel 17.

Verzoeken van betrokkenen.

Zij handelt verzoeken van betrokkenen af. De Verwerker verleent daarbij bijstand conform artikel 13.

Effectbeoordeling.

Zij beoordeelt of een gegevensbeschermingseffectbeoordeling vereist is (AVG art. 35). Gelet op de aard van de gegevens — waaronder gegevens van minderjarigen op mogelijk grote schaal — is dat een reële mogelijkheid. De Verwerker verleent bijstand conform artikel 14.

Eigen meldplicht.

Zij doet zelf de melding van een datalek aan de toezichthoudende autoriteit en, waar vereist, aan de betrokkenen. De Verwerker levert daarvoor de informatie conform artikel 12.

Eigen verwerkingsregister.

Zij houdt haar eigen register van verwerkingsactiviteiten bij (AVG art. 30 lid 1). Bijlage A bij deze VWO is bedoeld om dat register te kunnen invullen voor het deel dat via het Platform loopt, maar vervangt het niet.

Algemene schriftelijke toestemming.

De Verwerkingsverantwoordelijke verleent hierbij algemene schriftelijke toestemming voor het inschakelen van subverwerkers, als bedoeld in AVG artikel 28 lid 2.

Het register is de bindende lijst.

De actuele lijst van subverwerkers — met per partij het doel, de gegevenscategorieën, het land en de doorgiftegrondslag — is gepubliceerd op:

aqlemy.com/nl/subprocessors

Die lijst is de enige en bindende opsomming. Er staan hier bewust geen namen vast: een vaste opsomming in een contracttekst raakt onvermijdelijk achter op de werkelijkheid, terwijl de toestemming die de Verwerkingsverantwoordelijke geeft nu juist precies díe lijst betreft. Het register draagt een eigen versienummer.

Wat het register per partij vermeldt.

Naam, rol, doel van de inschakeling, de categorieën persoonsgegevens die naar die partij gaan, het land van vestiging en verwerking, de grondslag voor doorgifte buiten de EER, en of de koppeling optioneel is. Bij een optionele koppeling geldt: staat die in de omgeving van de Verwerkingsverantwoordelijke uit, dan gaan er geen gegevens naartoe.

Wijziging: kennisgeving en bezwaar.

• - De Verwerker informeert de Verwerkingsverantwoordelijke ten minste zes weken voor de ingangsdatum over de voorgenomen toevoeging of vervanging van een subverwerker, per e-mail aan de beheerders en met een melding in het beheerportaal.
• - De Verwerkingsverantwoordelijke kan binnen die zes weken schriftelijk en gemotiveerd bezwaar maken.
• - Bij bezwaar treden Partijen in overleg. Leidt dat niet tot een oplossing — bijvoorbeeld een alternatieve partij of het uitschakelen van de betreffende functie — dan kan de Verwerkingsverantwoordelijke de Onderliggende Overeenkomst opzeggen tegen de ingangsdatum van de wijziging, zonder kosten en met behoud van haar recht op export conform artikel 18.
• - De Verwerker voert de wijziging niet door voor de organisatie die bezwaar heeft gemaakt zolang het overleg loopt, voor zover dat technisch mogelijk is.

Uitzondering bij spoed.

Is een wijziging noodzakelijk om een acuut beveiligings- of continuïteitsrisico af te wenden — bijvoorbeeld omdat een bestaande subverwerker zijn dienst staakt of een ernstig incident heeft — dan mag de Verwerker die direct doorvoeren en informeert hij de Verwerkingsverantwoordelijke onverwijld achteraf, met opgaaf van redenen. Het bezwaarrecht blijft daarbij bestaan.

Verplichtingen jegens de subverwerker.

De Verwerker legt elke subverwerker via een overeenkomst gegevensbeschermingsverplichtingen op die ten minste een gelijkwaardig beschermingsniveau bieden als in deze VWO aan hemzelf zijn opgelegd (AVG art. 28 lid 4). In de praktijk gebeurt dat door de standaard verwerkersovereenkomst van die partij te aanvaarden; die kan op onderdelen anders geformuleerd zijn dan deze VWO — een andere meldtermijn bij een datalek bijvoorbeeld, of een eigen auditregeling. De Verwerker beoordeelt per subverwerker of het beschermingsniveau gelijkwaardig is, en blijft jegens de Verwerkingsverantwoordelijke onverkort aansprakelijk voor het handelen van die partij. Op verzoek verstrekt de Verwerker afschriften van de relevante passages, of een verklaring dat en hoe die verplichtingen zijn vastgelegd.

Niet elke partij in het register is een verwerker.

Een aantal partijen bepaalt voor bepaalde verwerkingen zelf doel en middelen en treedt in zoverre op als zelfstandig verwerkingsverantwoordelijke. Met zo'n partij bestaat geen overeenkomst op grond van artikel 28 en kan die er ook niet zijn; hun eigen voorwaarden en grondslag gelden. Het register vermeldt per partij welke rol zij vervult: verwerker, verwerker met daarnaast een eigen verantwoordelijkheid, zelfstandig verantwoordelijke, of geen verwerkersrelatie. Waar een partij zelfstandig verantwoordelijke is, beoordeelt de Verwerkingsverantwoordelijke zelf of zij die verstrekking wil en op welke grondslag; de Verwerker maakt zo'n koppeling waar mogelijk optioneel zodat zij die kan uitzetten.

Aansprakelijkheid.

De Verwerker blijft jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen van de verplichtingen van de subverwerker.

Wat geen subverwerker is.

Het register vermeldt ook uitdrukkelijk wat de Verwerker níét uitbesteedt: de bepaling van de locatie bij een IP-adres gebeurt met een bestand op de eigen server, de database draait op dezelfde server als de applicatie, en het taalmodel achter de AI-functies draait op eigen hardware. Dat zijn dus geen subverwerkers, en er gaan langs die weg geen gegevens naar buiten.

De Verwerker treft passende technische en organisatorische maatregelen conform AVG artikel 32, rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, omvang, context en doeleinden van de verwerking, alsmede met de risico's voor de rechten en vrijheden van betrokkenen. De volledige, per categorie uitgewerkte beschrijving staat in Bijlage B. Samengevat:

Versleuteling.

• - Al het verkeer naar het Platform loopt over TLS.
• - Contactgegevens en andere aangewezen gevoelige velden worden versleuteld opgeslagen met AES-256-CBC. De sleutel wordt buiten de programmacode bewaard.
• - Wachtwoorden worden gehasht met bcrypt en zijn niet uitleesbaar.
• - Back-ups worden versleuteld vóórdat zij de server verlaten.

Uitdrukkelijk: dit is geen database-brede versleuteling. Alleen de daarvoor aangewezen velden worden versleuteld opgeslagen. Namen van leerlingen, cijfers, absenties en berichtinhoud staan als gewone tekst in de database, op een versleutelde schijf achter een afgeschermde server. Er is evenmin end-to-end encryptie: de Verwerkingsverantwoordelijke kan de gegevens inzien en de Verwerker technisch ook, omdat de dienst anders niet te leveren is. De Verwerker beschrijft dit zo omdat een onjuiste voorstelling van de versleuteling de Verwerkingsverantwoordelijke zou belemmeren bij haar eigen risicobeoordeling, en bij een datalek tot een onjuiste melding zou leiden.

Toegangscontrole.

• - Logische scheiding per organisatie, bij elke opvraging afgedwongen.
• - Rolgebaseerde toegang met een fijnmazig rechtenmodel binnen de organisatie.
• - Leerkrachten zien uitsluitend hun eigen klassen en leerlingen.
• - Tweestapsverificatie beschikbaar voor beheerders.
• - Wachtwoordbeleid: minimaal 8 tekens met hoofdletter, kleine letter, cijfer en leesteken; veelgebruikte wachtwoorden en opeenvolgende cijferreeksen worden geweigerd.
• - Aanmeldpogingen begrensd op tien per kwartier per IP-adres. Er is géén accountvergrendeling; die zou zelf misbruikt kunnen worden om een gebruiker buiten te sluiten.
• - Sessies zijn per gebruiker in te trekken; een wachtwoordwijziging of een expliciete intrekking beëindigt alle bestaande sessies.

Detectie en logging.

• - Aanmeldingen, mislukte pogingen, onbekende apparaten en wijzigingen van wachtwoord of tweestapsverificatie worden vastgelegd, en de betrokken gebruiker wordt gewaarschuwd.
• - De locatiebepaling bij een IP-adres gebeurt lokaal; er gaat geen IP-adres naar een externe dienst.
• - Handelingen in het beheerportaal worden vastgelegd in een actielog dat de Verwerkingsverantwoordelijke zelf kan inzien.
• - Fouten en systeemmetingen worden vastgelegd en 30 dagen bewaard.

Infrastructuur.

• - Hosting binnen de Europese Unie; de database draait op dezelfde server als de applicatie.
• - Een Content Security Policy beperkt wat in de browser geladen mag worden.
• - Afhankelijkheden worden periodiek bijgewerkt tegen bekende kwetsbaarheden.
• - De hostingpartij verzorgt de fysieke beveiliging van het datacentrum.

Continuïteit.

• - Dagelijkse back-up van database en bestanden, versleuteld en opgeslagen in een andere regio dan de productieomgeving.
• - Retentie: 7 dagelijkse, 4 wekelijkse en 12 maandelijkse momentopnamen, naast een dagelijkse systeemkopie van de hostingpartij met een retentie van 7 dagen.
• - Maximaal dataverlies bij een calamiteit: 24 uur. Streefhersteltijd na totaalverlies van de server: 1 tot 3 uur. Er is geen automatisch overnemende reserveserver.

Evaluatie.

De Verwerker evalueert de getroffen maatregelen periodiek en scherpt ze aan waar de eisen of de technische ontwikkelingen daartoe aanleiding geven. De Verwerkingsverantwoordelijke draagt van haar kant zorg voor passende maatregelen aan haar eigen zijde; artikel 32 AVG richt zich tot beide partijen.

Waarop de beveiliging berust.

Op de maatregelen hierboven en op Bijlage B, niet op een externe certificering. De Verwerker voert geen ISO 27001-certificering, geen SOC 2-rapportage en laat geen periodieke externe penetratietest uitvoeren. Bijlage B benoemt dat per categorie, zodat de Verwerkingsverantwoordelijke haar eigen risicoafweging op juiste informatie kan baseren en weet welke weg openstaat om de naleving te toetsen: de auditregeling in artikel 16.

Meldingstermijn.

De Verwerker informeert de Verwerkingsverantwoordelijke onverwijld en in elk geval binnen 48 uur nadat hij kennis heeft genomen van een datalek dat gegevens van de Verwerkingsverantwoordelijke betreft. Die termijn is zo gekozen dat de Verwerkingsverantwoordelijke ruimschoots binnen haar eigen meldtermijn van 72 uur bij de toezichthoudende autoriteit blijft (AVG art. 33 lid 1).

Bestaat er slechts een vermoeden, dan wacht de Verwerker het onderzoek niet af: hij meldt het vermoeden met de op dat moment beschikbare informatie en vult die aan zodra er meer bekend is. Een gefaseerde melding is toegestaan; stilzwijgen tot het beeld compleet is, niet.

Inhoud van de melding.

De melding bevat, voor zover bekend:

• - de aard van het datalek, en of het gaat om lezen, kopiëren, wijzigen, verwijderen of ontvreemden van gegevens;
• - het tijdstip of de periode waarin het lek zich heeft voorgedaan, en het tijdstip van ontdekking;
• - hoe het lek is ontdekt;
• - de vermoedelijke oorzaak;
• - de categorieën persoonsgegevens en de groepen betrokkenen die het betreft, en het geschatte aantal betrokkenen en records;
• - of de betrokken gegevens versleuteld, gehasht of anderszins onleesbaar waren;
• - of het bijzondere categorieën gegevens of gegevens van gevoelige aard betreft, waaronder gegevens van minderjarigen, toegangs- of identificatiegegevens, financiële gegevens of leerprestaties;
• - de waarschijnlijke gevolgen voor de Verwerkingsverantwoordelijke en voor de betrokkenen, met waar mogelijk een inschatting van het risico;
• - de maatregelen die zijn genomen om het lek te beëindigen en de gevolgen te beperken, en die zijn voorgenomen om herhaling te voorkomen;
• - de naam en contactgegevens van het aanspreekpunt bij de Verwerker.

Hoog risico.

Bestaat het vermoeden dat het datalek waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen (AVG art. 34 lid 1), dan meldt de Verwerker dat uitdrukkelijk als zodanig, zodat de Verwerkingsverantwoordelijke haar eigen mededeling aan de betrokkenen kan voorbereiden.

Wie meldt aan wie.

De melding aan de toezichthoudende autoriteit en, waar vereist, aan de betrokkenen is een taak van de Verwerkingsverantwoordelijke. De Verwerker doet die melding niet namens haar, tenzij Partijen dat schriftelijk anders afspreken. De Verwerker verleent de bijstand die nodig is om de melding te kunnen doen, en stelt op verzoek een conceptomschrijving van het incident ter beschikking.

Beveiligingsincidenten die geen datalek zijn.

Over een beveiligingsincident dat geen datalek is maar wel relevant kan zijn voor de Verwerkingsverantwoordelijke — bijvoorbeeld een geslaagde aanval op de beschikbaarheid, of een kwetsbaarheid die is misbruikt zonder dat gegevens zijn ingezien — informeert de Verwerker haar binnen vijf werkdagen, met dezelfde openheid.

Registratie.

Alle datalekken en beveiligingsincidenten worden door de Verwerker vastgelegd in een incidentenregister, met de feiten, de gevolgen en de genomen corrigerende maatregelen, ook wanneer melding aan de toezichthouder niet vereist is (AVG art. 33 lid 5). Dat register is op verzoek inzichtelijk voor de Verwerkingsverantwoordelijke, voor zover het haar betreft.

Contactpunt.

Meldingen over een datalek of een beveiligingsincident gaan naar legal@aqlemy.com, met kopie aan support@aqlemy.com. De Verwerkingsverantwoordelijke houdt in het beheerportaal een actueel e-mailadres bij waarop zij een melding kan ontvangen.

Kosten.

Partijen maken in redelijkheid afspraken over de verdeling van de kosten die met het voldoen aan de meldplichten gepaard gaan. Voor de bijstand die de Verwerker op grond van dit artikel verleent, brengt hij geen kosten in rekening.

De Verwerker verleent de Verwerkingsverantwoordelijke door passende technische en organisatorische maatregelen bijstand bij het nakomen van haar plicht om te voldoen aan verzoeken van betrokkenen op grond van hoofdstuk III AVG:

• - Recht op informatie (art. 13-14)
• - Inzagerecht (art. 15)
• - Recht op rectificatie (art. 16)
• - Recht op gegevenswissing (art. 17)
• - Recht op beperking van de verwerking (art. 18)
• - Kennisgevingsplicht bij rectificatie, wissing of beperking (art. 19)
• - Recht op overdraagbaarheid van gegevens (art. 20)
• - Recht van bezwaar (art. 21)
• - Recht niet te worden onderworpen aan uitsluitend geautomatiseerde besluitvorming (art. 22)

Hoe die bijstand er concreet uitziet.

De bijstand bestaat in de eerste plaats uit functionaliteit die de Verwerkingsverantwoordelijke zelf kan gebruiken, zonder tussenkomst van de Verwerker:

• - inzage in en correctie van elk gegeven in het beheerportaal;
• - export van ledenbestand, leerlingen en ouders, financiële administratie, examenresultaten en zelf samengestelde rapportages in CSV, XLSX of PDF;
• - een export van het eigen dossier als JSON, die de betrokkene zelf via de mobiele applicatie kan opvragen — daarmee is een inzageverzoek van een eindgebruiker doorgaans onmiddellijk vervuld;
• - verwijdering van een account, met een herstelperiode van 30 dagen;
• - het intrekken van een toestemming met hetzelfde schuifje waarmee die is gegeven;
• - een actielog waarin de afhandeling van een verzoek zichtbaar blijft.

Kan een verzoek daarmee niet worden vervuld, dan verleent de Verwerker op schriftelijk verzoek aanvullende bijstand, en reageert hij binnen vijf werkdagen op zo'n verzoek, zodat de Verwerkingsverantwoordelijke haar eigen termijn van één maand kan halen.

Verzoeken die rechtstreeks bij de Verwerker binnenkomen.

Ontvangt de Verwerker rechtstreeks een verzoek van een betrokkene dat betrekking heeft op gegevens waarvoor de Verwerkingsverantwoordelijke verantwoordelijke is, dan handelt hij dat niet zelf af. Hij stuurt het onverwijld door naar de Verwerkingsverantwoordelijke en laat de betrokkene weten dat en waarheen hij het verzoek heeft doorgestuurd.

Beperking van de verwerking.

Instrueert de Verwerkingsverantwoordelijke de Verwerker om een verwerking te beperken (AVG art. 18), dan voert de Verwerker dat uit voor zover de functionaliteit van het Platform dat toelaat, en overlegt hij over een alternatief waar dat niet zo is.

Gedeelde gegevens.

Sommige gegevens hebben betrekking op meer dan één betrokkene — de gezinsgegevens van twee ouders, een chatbericht met twee deelnemers. Bij een verwijderingsverzoek verwijdert de Verwerker wat op de verzoeker betrekking heeft en laat hij de rest ongemoeid, en meldt hij aan de Verwerkingsverantwoordelijke wat er is gebeurd. Het recht van de een mag dat van de ander niet doorkruisen.

Kosten.

Voor in redelijkheid verleende bijstand op grond van dit artikel brengt de Verwerker geen kosten in rekening. Wil hij bij uitzondering wel kosten in rekening brengen — bij een verzoek dat een aanmerkelijke, niet-standaard inspanning vergt — dan meldt hij dat vooraf en gaat hij pas over tot uitvoering na akkoord.

De Verwerker verleent de Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie, bijstand bij het nakomen van haar verplichtingen uit de artikelen 32 tot en met 36 AVG.

Beveiliging (art. 32).

De Verwerker verstrekt de informatie die de Verwerkingsverantwoordelijke nodig heeft om de passendheid van de maatregelen te beoordelen. Bijlage B is daarvoor het uitgangspunt; aanvullende vragen worden binnen tien werkdagen beantwoord.

Datalekken (art. 33-34).

Zie artikel 12.

Gegevensbeschermingseffectbeoordeling (art. 35).

Voert de Verwerkingsverantwoordelijke een effectbeoordeling uit, dan verstrekt de Verwerker op verzoek: een beschrijving van de verwerkingen, de categorieën gegevens en betrokkenen, de bewaartermijnen, de subverwerkers en de doorgifte, en de getroffen beveiligingsmaatregelen. Bijlage A en Bijlage B zijn zo opgesteld dat zij die vragen grotendeels al beantwoorden.

Gelet op de aard van de gegevens — persoonsgegevens van minderjarigen, verwerkt op mogelijk grote schaal — is een effectbeoordeling voor veel verwerkingsverantwoordelijken op dit Platform een reële verplichting. De Verwerker beoordeelt niet namens haar of die verplichting bestaat.

Voorafgaande raadpleging (art. 36).

Leidt de effectbeoordeling tot een voorafgaande raadpleging van de toezichthoudende autoriteit, dan verleent de Verwerker daaraan medewerking en verstrekt hij de informatie die de autoriteit van de verwerker verlangt.

Verzoeken en onderzoeken van een toezichthoudende autoriteit.

Een verzoek of onderzoek van een toezichthoudende autoriteit dat betrekking heeft op de verwerking van persoonsgegevens van de Verwerkingsverantwoordelijke, wordt door de Verwerker onverwijld doorgestuurd naar de Verwerkingsverantwoordelijke, voor zover de wet dat toelaat. Partijen stemmen hun reactie op elkaar af.

Wederzijdse informatieplicht bij aansprakelijkstelling of boete.

Elke partij stelt de andere partij zonder onnodige vertraging op de hoogte van een aansprakelijkstelling of van het voornemen van een toezichthoudende autoriteit om een bestuurlijke boete op te leggen, voor zover dat verband houdt met deze VWO. De aangesproken partij:

• - houdt in haar verweer in redelijkheid rekening met de belangen van de andere partij;
• - stelt de andere partij in de gelegenheid haar zienswijze te geven;
• - aanvaardt geen schikkingsvoorstel en doet geen afstand van een rechtsmiddel zonder de andere partij eerst te raadplegen.

Kosten.

Voor in redelijkheid verleende bijstand op grond van dit artikel brengen Partijen elkaar geen kosten in rekening. Wil een partij bij uitzondering wel kosten in rekening brengen, dan meldt zij dat vooraf en zo veel mogelijk met een begroting, en wordt de bijstand pas na akkoord uitgevoerd. Deze kosteloosheid geldt niet voor een audit; daarvoor geldt artikel 16.

Uitgangspunt.

Het Platform, de database en de back-ups bevinden zich binnen de Europese Unie. De inhoud van de leden- en onderwijsadministratie, de berichten en de financiële administratie van de Verwerkingsverantwoordelijke verlaat de EER niet.

Waar wél doorgifte plaatsvindt.

Een beperkt aantal ondersteunende diensten wordt geleverd door partijen die buiten de EER zijn gevestigd of daar onderdelen hebben — onder meer voor pushmeldingen, e-mailbezorging via bepaalde providers en bescherming van formulieren tegen misbruik. Welke categorieën gegevens naar welke partij gaan, staat per partij in Bijlage C en in het register op aqlemy.com/nl/subprocessors. In de meeste gevallen betreft het een beperkte categorie: een e-mailadres, een apparaattoken, of de tekst van een melding.

Grondslagen.

• - Adequaatheidsbesluit. Voor partijen die zijn gecertificeerd onder het EU-VS Data Privacy Framework berust de doorgifte op het adequaatheidsbesluit van de Europese Commissie van 10 juli 2023 (AVG art. 45).
• - Standaardcontractbepalingen. Voor partijen zonder adequaatheidsbesluit gelden de door de Europese Commissie vastgestelde modelbepalingen (AVG art. 46 lid 2 sub c), waar nodig aangevuld met aanvullende maatregelen.

Status van het adequaatheidsbesluit.

Partijen zijn zich ervan bewust dat het adequaatheidsbesluit onderwerp is van een lopende procedure: het Gerecht van de Europese Unie wees een vordering tot nietigverklaring af op 3 september 2025, waarna hoger beroep is ingesteld bij het Hof van Justitie. Zolang het besluit geldt, is het een geldige grondslag. De Verwerker volgt de status ervan en schakelt over op standaardcontractbepalingen met aanvullende maatregelen zodra dat nodig is; hij informeert de Verwerkingsverantwoordelijke daarover.

Wat de Verwerker niet doet.

• - Geen hosting buiten de EER.
• - Geen doorgifte van leerling- of ledendossiers naar een derde land.
• - Geen externe dienst voor de bepaling van de locatie bij een IP-adres.
• - Geen externe aanbieder van taalmodellen.

Zeggenschap van de Verwerkingsverantwoordelijke.

Verschillende koppelingen die tot doorgifte leiden zijn optioneel en worden door de Verwerkingsverantwoordelijke zelf aangezet. Staat een koppeling uit, dan vindt er langs die weg geen doorgifte plaats. Een wijziging in de lijst valt onder de kennisgevings- en bezwaarregeling van artikel 10.

Reikwijdte.

De Verwerkingsverantwoordelijke heeft het recht de naleving van deze VWO te (doen) controleren, waaronder de door de Verwerker getroffen technische en organisatorische maatregelen en de naleving van de verplichtingen bij datalekken. De Verwerker stelt alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen, en maakt audits mogelijk en draagt daaraan bij (AVG art. 28 lid 3 sub h).

Uitvoering.

• - De audit wordt uitgevoerd door een door één van de Partijen aan te wijzen onafhankelijke, gecertificeerde externe deskundige, na goedkeuring door de andere partij, die een derdenverklaring afgeeft.
• - De auditor verstrekt het auditrapport uitsluitend aan Partijen.
• - De auditor is gebonden aan geheimhouding en krijgt geen toegang tot gegevens van andere verwerkingsverantwoordelijken.
• - Partijen maken onderling afspraken over de omgang met de uitkomsten en over een verbetertermijn.

Voorwaarden.

• - Ten minste 30 dagen schriftelijke vooraankondiging, met opgave van de reikwijdte.
• - Ten hoogste één audit per kalenderjaar, tenzij er een concrete aanleiding is — bijvoorbeeld een datalek, een aanwijzing van een toezichthouder of een gerede twijfel over de naleving. In dat geval is een audit ook tussentijds mogelijk.
• - Tijdens reguliere kantooruren, en op een wijze die de bedrijfsvoering van de Verwerker niet onnodig verstoort.

Kosten.

De kosten van de audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij uit de audit gebreken blijken die aan de Verwerker kunnen worden toegerekend. In dat geval treden Partijen in overleg over een redelijke verdeling van de kosten, en draagt de Verwerker in elk geval de kosten van het herstel van die gebreken. Deze uitzondering is bewust opgenomen: een auditregeling waarbij de klant ook betaalt wanneer de audit een tekortkoming van de leverancier aantoont, ontmoedigt precies de controle die artikel 28 beoogt.

Alternatief nalevingsbewijs.

Partijen kunnen in onderling overleg afspreken dat een reeds uitgevoerde audit, een geldige internationaal erkende certificering of een gelijkwaardig controle- of bewijsmiddel wordt gebruikt in plaats van een nieuwe audit. De Verwerkingsverantwoordelijke wordt in dat geval geïnformeerd over de uitkomsten.

De Verwerker voert geen ISO 27001-certificering, geen SOC 2-rapportage en geen periodieke derdenverklaring. De auditroute van dit artikel is daarom de eigen audit door de Verwerkingsverantwoordelijke, en niet het overleggen van een certificaat; het alternatief hierboven is bedoeld voor het geval dat later verandert. Dat staat er uitdrukkelijk bij, want een verwijzing naar "certificeringen of rapporten" zonder dat die bestaan zou dit artikel een lege huls maken. Als lichtere tussenstap beantwoordt de Verwerker een schriftelijke vragenlijst over de beveiliging binnen tien werkdagen.

Medewerking.

De Verwerker stelt tijdens het auditproces de benodigde informatie en documentatie beschikbaar en verleent de toegang die voor de audit nodig is, met inachtneming van de rechten van andere verwerkingsverantwoordelijken en van zijn eigen beveiligingsbelangen.

De Verwerkingsverantwoordelijke bepaalt.

De Verwerkingsverantwoordelijke stelt vast hoe lang de persoonsgegevens die zij via het Platform verwerkt bewaard moeten blijven, en informeert de Verwerker over wettelijke bewaartermijnen die daarop van toepassing zijn. De Verwerker verwerkt de gegevens niet langer dan overeenkomstig die termijnen en dan nodig is voor de uitvoering van de Onderliggende Overeenkomst.

Er is geen automatische opruiming.

De Verwerker kent geen taak die accounts, leerlingdossiers of ledenrecords na een bepaalde periode van inactiviteit verwijdert. Dat is een bewuste keuze: zo'n opruiming is onomkeerbaar, en de termijn hoort te worden bepaald door de partij die verantwoordelijke is. De Verwerkingsverantwoordelijke dient haar bewaartermijnen dus zelf uit te voeren; het Platform biedt daarvoor de mogelijkheid om accounts en records te archiveren of te verwijderen.

Termijnen die de Verwerker zelf hanteert.

Voor de verwerkingen die de Verwerker technisch noodzakelijk acht, gelden vaste termijnen die automatisch worden uitgevoerd:

• - aanmeldingen en bekende apparaten: 24 maanden;
• - actielog: 18 maanden voor gewone handelingen, 24 maanden voor handelingen die aandacht verdienen, en onbeperkt voor beveiligingsrelevante regels — aanmelden, verwijderen, wijzigen van rechten, exporteren, het zichtbaar maken van afgeschermde gegevens en elke wijziging van een toestemming;
• - technische fout- en systeemmetingen: 30 dagen;
• - meldingen van betaaldienstverleners: 90 dagen;
• - gegenereerde rapportbestanden: 14 dagen, en de registratie dát een rapport is gedraaid: 90 dagen;
• - cookietoestemming: één jaar geldig, kort daarna verwijderd;
• - eenmalige verificatiecodes en niet-afgeronde registraties: enkele uren tot dagen.

Bijlage A vermeldt deze termijnen per verwerking. Wenst de Verwerkingsverantwoordelijke een kortere termijn voor een van deze verwerkingen, dan treden Partijen in overleg; een langere termijn dan hier vermeld is niet mogelijk.

Verwijdering van een individueel account.

Een verwijderingsverzoek leidt tot een periode van 30 dagen waarin het account buiten gebruik is en herstel nog mogelijk is, en daarna tot definitieve verwijdering. Voor een ouder, leerkracht of leerling gaat daar een goedkeuring door de Verwerkingsverantwoordelijke aan vooraf.

Wettelijke bewaarplichten.

Gegevens die onder een wettelijke bewaarplicht vallen — in het bijzonder de financiële en fiscale administratie, waarvoor artikel 52 van de Algemene wet inzake rijksbelastingen een termijn van zeven jaar stelt — worden gedurende die termijn bewaard, ook wanneer de Verwerkingsverantwoordelijke om verwijdering verzoekt. De identificerende gegevens worden daarbij uit die records verwijderd; bedragen, data en boekingen blijven staan.

Back-ups.

Verwijderde gegevens kunnen nog in back-ups voorkomen totdat die verlopen. Gelet op de retentie van 12 maandelijkse momentopnamen kan dat tot twaalf maanden duren. Een back-up wordt niet selectief bewerkt: dat zou de integriteit ervan aantasten en het herstel onbetrouwbaar maken. Gedurende die periode blijven de gegevens versleuteld en worden zij uitsluitend gebruikt voor herstel.

Bij het einde van de Onderliggende Overeenkomst geldt het volgende. Dit artikel prevaleert boven artikel 16 van de Algemene Voorwaarden.

Keuze van de Verwerkingsverantwoordelijke.

De Verwerkingsverantwoordelijke bepaalt of de persoonsgegevens worden geretourneerd of verwijderd (AVG art. 28 lid 3 sub h). Maakt zij die keuze niet binnen 30 dagen na het einde van de overeenkomst, dan verwijdert de Verwerker de gegevens.

Retournering.

• - Gedurende 30 dagen na de einddatum blijft het beheerportaal in alleen-lezen vorm toegankelijk, zodat de Verwerkingsverantwoordelijke zelf exports kan maken. Is de overeenkomst beëindigd wegens misbruik, dan verstrekt de Verwerker de export op verzoek buiten het portaal om.
• - Op schriftelijk verzoek levert de Verwerker binnen 30 dagen een volledige export van de persoonsgegevens in een gestructureerd, gangbaar en machineleesbaar formaat.
• - Aan een eerste export zijn geen kosten verbonden. Voor een herhaald verzoek of een afwijkend formaat kan de Verwerker na voorafgaande opgave een redelijke vergoeding vragen.
• - Op verzoek verstrekt de Verwerker een beschrijving van de structuur van de export, zodat de gegevens elders kunnen worden ingelezen.
• - De Verwerker houdt gegevens nooit vast als drukmiddel. Ook bij een betalingsgeschil wordt de export geleverd.

Verwijdering.

• - Tenzij de Verwerkingsverantwoordelijke anders verzoekt, verwijdert de Verwerker de persoonsgegevens binnen 90 dagen na het einde van de overeenkomst uit de productieomgeving, inclusief geüploade bestanden.
• - Gegevens in back-ups verdwijnen mee met de back-upcyclus. Gelet op de retentie van 12 maandelijkse momentopnamen kan dat tot twaalf maanden duren. Gedurende die periode blijven de gegevens versleuteld en worden zij uitsluitend gebruikt voor herstel, nooit voor een ander doel.
• - De Verwerker ziet erop toe dat ook de subverwerkers de gegevens verwijderen of retourneren.
• - De verwijdering wordt schriftelijk bevestigd. De Verwerkingsverantwoordelijke kan op eigen kosten laten controleren of de verwijdering heeft plaatsgevonden.

Uitzonderingen: wat blijft staan, en waarom.

• - Financiële en fiscale administratie: betalingen, facturen, kasboekregels, declaraties, donaties, subsidies en bankimportgegevens blijven bewaard gedurende de wettelijke termijn van ongeveer zeven jaar. De identificerende gegevens — naam, e-mailadres, adres, rekeningnummer — worden daaruit verwijderd; bedragen, data en boekingen blijven staan.
• - Het bewijs van acceptatie van de Algemene Voorwaarden en van deze VWO blijft bestaan, met documentnaam, versie, controlesom, taal en tijdstip. Het IP-adres en de browserinformatie van die handeling worden gewist. Grondslag: AVG artikel 17 lid 3 sub e, het instellen of verdedigen van een rechtsvordering.
• - Onveranderlijke registers: het archiefoverzicht van verwijderacties, het auditlog van platformhandelingen, de administratie van verwijderverzoeken en de ontdubbelingsadministratie van betaalmeldingen blijven ongemoeid. Zij bevatten geen inhoudelijke persoonsgegevens van leden of leerlingen.
• - Geanonimiseerde statistiek: gegevens die niet meer tot een persoon of organisatie herleidbaar zijn, kwalificeren niet als persoonsgegevens en vallen buiten deze verplichting.

Voortduren van de VWO.

Totdat de persoonsgegevens zijn geretourneerd of verwijderd, blijft de Verwerker deze VWO onverkort naleven, ook wanneer de Onderliggende Overeenkomst al is geëindigd.

Aansprakelijkheid van de Verwerker.

De Verwerker is aansprakelijk voor schade die voortvloeit uit het niet nakomen van deze VWO en van de specifiek aan verwerkers opgelegde verplichtingen uit de AVG (AVG art. 82 lid 2), alsmede voor schade die ontstaat doordat hij buiten of in strijd met de rechtmatige instructies van de Verwerkingsverantwoordelijke heeft gehandeld.

Aansprakelijkheid van de Verwerkingsverantwoordelijke.

De Verwerkingsverantwoordelijke is aansprakelijk voor schade die voortvloeit uit onrechtmatige of onvolledige instructies, uit het ontbreken van een geldige rechtsgrond, uit het niet informeren van betrokkenen, of uit het invoeren van gegevens die zij niet mocht verwerken. Zij draagt jegens betrokkenen de primaire verantwoordelijkheid voor de verwerking.

Contractuele beperking.

Voor het overige geldt de aansprakelijkheidsregeling uit artikel 12 van de Algemene Voorwaarden: directe schade beperkt tot het totaal van de vergoedingen over twaalf maanden met een absoluut plafond van € 250.000, uitsluiting van indirecte schade, en verval van de beperking bij opzet of bewuste roekeloosheid van de bedrijfsleiding.

Wanneer die beperking NIET kan worden ingeroepen.

Geen van beide Partijen kan zich beroepen op een aansprakelijkheidsbeperking uit de Onderliggende Overeenkomst of uit een andere regeling tussen Partijen, in geval van: (a) een door één van de Partijen ingestelde verhaalsactie op grond van AVG artikel 82; of (b) een schadevergoedingsactie uit hoofde van deze VWO, voor zover die bestaat uit verhaal van een aan de toezichthoudende autoriteit betaalde bestuurlijke boete die geheel of gedeeltelijk aan de andere partij toerekenbaar is.

Deze uitzondering is overgenomen uit de sectorstandaard voor het Nederlandse onderwijs en is bewust opgenomen. Artikel 82 AVG verdeelt de aansprakelijkheid jegens betrokkenen tussen verwerkingsverantwoordelijke en verwerker en kent een regresrecht tussen hen. Zou een contractuele beperking ook tegen dat regres gelden, dan zou de wettelijke risicoverdeling langs contractuele weg worden uitgehold en zou de verwerkingsverantwoordelijke opdraaien voor een tekortkoming van de verwerker.

Informatieplicht.

Elke partij stelt de andere zonder onnodige vertraging op de hoogte van een aansprakelijkstelling of van een voornemen tot handhaving door een toezichthoudende autoriteit dat verband houdt met deze VWO, en verleent in redelijkheid de informatie en ondersteuning die nodig is voor het verweer. Zie artikel 14.

Verzekering.

De Verwerker heeft een beroeps- en bedrijfsaansprakelijkheidsverzekering en een cyberverzekering afgesloten. Op verzoek verstrekt hij een verklaring dat die verzekeringen lopen.

Looptijd.

Deze VWO gaat in op het moment waarop de Verwerkingsverantwoordelijke zich registreert op het Platform of daarvan gebruikmaakt, en geldt voor de duur van de Onderliggende Overeenkomst, inclusief verlengingen.

Einde van rechtswege.

Deze VWO eindigt van rechtswege bij het einde van de Onderliggende Overeenkomst. Totdat de persoonsgegevens zijn geretourneerd of verwijderd overeenkomstig artikel 18, blijft de Verwerker deze VWO naleven.

Beëindiging wegens een schending.

De Verwerkingsverantwoordelijke kan deze VWO en de Onderliggende Overeenkomst met onmiddellijke ingang beëindigen indien de Verwerker een wezenlijke verplichting uit deze VWO schendt en die schending niet binnen een redelijke termijn na schriftelijke ingebrekestelling herstelt. Bij een schending die naar haar aard niet herstelbaar is, of bij een ernstige schending die de rechten van betrokkenen acuut raakt, is een ingebrekestelling niet vereist.

Beëindiging na een bezwaar tegen een subverwerker.

Zie artikel 10.

Voortdurende verplichtingen.

De volgende verplichtingen blijven na het einde van deze VWO van kracht:

• - de geheimhouding uit artikel 8, zonder tijdsbeperking;
• - de verplichtingen inzake retournering en verwijdering uit artikel 18, totdat zij zijn nagekomen;
• - de wettelijke bewaarplichten uit artikel 17;
• - de aansprakelijkheidsbepalingen uit artikel 19;
• - de meldplicht uit artikel 12, voor een datalek dat betrekking heeft op gegevens die op grond van artikel 18 nog bij de Verwerker aanwezig zijn.

Versiebeheer.

Deze VWO draagt een versienummer en een ingangsdatum. Bij elke wijziging wordt het versienummer verhoogd en wordt van de nieuwe tekst een controlesom vastgelegd, zodat achteraf vaststaat welke tekst op welk moment gold en welke tekst een organisatie heeft geaccepteerd.

Wanneer de Verwerker mag wijzigen.

De Verwerker mag deze VWO wijzigen indien:

• - gewijzigde wet- of regelgeving, een richtsnoer van de Europese toezichthouders of een uitspraak van een rechter of toezichthouder daartoe noopt;
• - een wijziging in de dienstverlening dat vereist, waaronder een uitbreiding van de verwerkte categorieën gegevens of een nieuwe verwerking;
• - de wijziging redactioneel is en de rechten en verplichtingen van Partijen niet raakt.

Hoe.

• - Een redactionele wijziging wordt gepubliceerd met een nieuw versienummer, zonder aparte kennisgeving.
• - Een inhoudelijke wijziging wordt ten minste 30 dagen voor de ingangsdatum gemeld per e-mail aan de beheerders en met een melding in het beheerportaal, met een korte uitleg van wat er verandert en waarom.
• - Betreft de wijziging een uitbreiding van de verwerkte categorieën persoonsgegevens of een nieuw doel, dan vraagt de Verwerker een uitdrukkelijke acceptatie in het beheerportaal, en wordt die vastgelegd met versienummer, controlesom en tijdstip.
• - Gaat de Verwerkingsverantwoordelijke niet akkoord met een inhoudelijke wijziging, dan kan zij de Onderliggende Overeenkomst opzeggen tegen de ingangsdatum, zonder kosten en met behoud van haar recht op export conform artikel 18.

Wat de Verwerker niet doet.

Voortgezet gebruik geldt niet als instemming met een inhoudelijke wijziging van deze VWO.

Wijziging in onderling overleg.

Partijen kunnen deze VWO daarnaast in gezamenlijkheid en schriftelijk wijzigen of aanvullen. Afwijkingen van de standaardtekst worden schriftelijk vastgelegd, met vermelding van het artikel waarop zij betrekking hebben, de oude en de nieuwe tekst, en de reden. Die vastlegging maakt dan deel uit van de VWO tussen die Partijen.

Wijziging van de bijlagen.

De bijlagen kunnen worden bijgewerkt zonder dat de hoofdtekst wijzigt, bijvoorbeeld wanneer een verwerking wordt toegevoegd of een maatregel wordt aangescherpt. Op een wijziging van Bijlage C is de regeling van artikel 10 van toepassing. Op een wijziging van Bijlage A die tot een uitbreiding van de verwerkte gegevens leidt, is de kennisgevingsregeling van dit artikel van toepassing.

Op deze VWO is Nederlands recht van toepassing.

Geschillen die verband houden met deze VWO worden voorgelegd aan de rechter die in de Onderliggende Overeenkomst bevoegd is verklaard: de rechtbank Amsterdam, dan wel — voor zaken die op grond van artikel 93 Wetboek van Burgerlijke Rechtsvordering door de kantonrechter worden behandeld — de kantonrechter binnen die rechtbank.

Partijen spannen zich in een geschil eerst in onderling overleg op te lossen, zoals beschreven in artikel 17 van de Algemene Voorwaarden. Die inspanning belet geen van beide Partijen om een voorlopige voorziening te vragen wanneer dat spoedeisend is, en staat evenmin in de weg aan het recht van een betrokkene om zich rechtstreeks tot de toezichthouder of de rechter te wenden.

Deze VWO is opgesteld in het Nederlands, Turks, Engels en Arabisch. Bij tegenstrijdigheid tussen de taalversies prevaleert de Nederlandse tekst.

Deze bijlage maakt integraal deel uit van de VWO. Zij beschrijft per verwerking het doel, de categorieën persoonsgegevens en betrokkenen, en de bewaartermijn, zodat de Verwerkingsverantwoordelijke haar eigen register (AVG art. 30 lid 1) kan invullen en een effectbeoordeling kan onderbouwen.

Welke verwerkingen daadwerkelijk plaatsvinden hangt af van het gekozen pakket en van de modules die zijn ingeschakeld. Een verwerking die bij een organisatie uit staat, vindt daar niet plaats.

A1. Account- en toegangsbeheer

Doel: het aanmaken van accounts, het toekennen van rollen en rechten en het verlenen van toegang. Gegevens: naam, e-mailadres, telefoonnummer, rol, taalvoorkeur, versleuteld wachtwoord, tweestapsverificatie. Betrokkenen: alle gebruikers. Bewaartermijn: zolang het account bestaat; daarna volgens artikel 17 en 18.

A2. Ledenadministratie

Doel: het bijhouden van lidmaatschappen, contributies en bestuursfuncties. Gegevens: identificatie- en contactgegevens, lidmaatschapsnummer, -type en -status, ingangs- en einddatum, contributiebedrag, functie. Betrokkenen: leden. Bewaartermijn: bepaald door de Verwerkingsverantwoordelijke; het financiële deel valt onder de fiscale bewaarplicht.

A3. Leerlingadministratie en onderwijsuitvoering

Doel: inschrijving, klasindeling, huiswerk, aanwezigheid, voortgang, examens en certificering. Gegevens: identificatiegegevens, leerlingnummer, klas en afdeling, academisch jaar, huiswerk en status, cijfers en beoordelingen met opmerkingen, aanwezigheid en absenties met reden, voortgangsitems, dossieraantekeningen, observaties, certificaten. Betrokkenen: leerlingen (waaronder minderjarigen), leerkrachten. Bewaartermijn: bepaald door de Verwerkingsverantwoordelijke; geen automatische opruiming.

A4. Ouder- en gezinsgegevens

Doel: de koppeling tussen ouder en kind, communicatie over het kind en bereikbaarheid in noodgevallen. Gegevens: naam en contactgegevens van ouders en verzorgers, gezinsadres, de koppeling ouder-leerling, noodcontactgegevens. Betrokkenen: ouders, verzorgers, voogden, noodcontactpersonen. Bewaartermijn: bepaald door de Verwerkingsverantwoordelijke.

A5. Communicatie

Doel: mededelingen, evenementen, nieuwsbrieven, chat, klachten en meldingen, gericht op een door de Verwerkingsverantwoordelijke bepaalde doelgroep. Gegevens: berichtinhoud en deelnemers, ontvangerslijsten, doelgroepafbakening, verzendstatus, leesbevestiging waar gebruikt, aan- en afmeldingen voor de nieuwsbrief. Betrokkenen: alle gebruikers en door de Verwerkingsverantwoordelijke opgevoerde ontvangers. Bewaartermijn: bepaald door de Verwerkingsverantwoordelijke.

A6. Betalingen en financiële administratie

Doel: het innen van contributies, ouderbijdragen, donaties en ticketgelden, en het voeren van de financiële administratie. Gegevens: bedrag, datum, betaalmethode en status, omschrijving, openstaande posten, kasboekregels, facturen, declaraties, donaties, subsidies. Volledige rekeningnummers en kaartgegevens blijven bij de betaaldienstverlener van de Verwerkingsverantwoordelijke. Betrokkenen: leden, ouders, donateurs, declaranten. Bewaartermijn: ongeveer zeven jaar op grond van artikel 52 Algemene wet inzake rijksbelastingen; identificerende gegevens worden bij verwijdering uit die records gewist.

A7. Publicatie

Doel: het tonen van informatie op de publieke pagina van de Verwerkingsverantwoordelijke, in embeds en op informatieschermen. Gegevens: wat de Verwerkingsverantwoordelijke zelf publiceert, waaronder namen, foto's en contactgegevens. Betrokkenen: degenen over wie zij publiceert. Bewaartermijn: totdat de Verwerkingsverantwoordelijke de publicatie verwijdert.

A8. Beveiliging en aanmeldlogging

Doel: het voorkomen en detecteren van ongeautoriseerde toegang, en het waarschuwen van de gebruiker. Gegevens: tijdstip, resultaat, apparaat- en browserinformatie, versleuteld IP-adres, locatie op stad- en landniveau, of het apparaat eerder is gezien. Betrokkenen: alle gebruikers. Bewaartermijn: 24 maanden. Bijzonderheid: voor deze verwerking treedt de Verwerker op als verwerkingsverantwoordelijke (artikel 6).

A9. Actielog

Doel: de Verwerkingsverantwoordelijke in staat stellen vast te stellen wie welke handeling verrichtte. Gegevens: handeling, tijdstip, versleutelde naamlabels van actor en doel, niet-identificerende parameters. Betrokkenen: gebruikers met beheerrechten en degenen op wie een handeling betrekking heeft. Bewaartermijn: 18 maanden (gewoon), 24 maanden (aandacht), onbeperkt (beveiligingsrelevant).

A10. Meldingen

Doel: het bezorgen van in-app meldingen, pushberichten en e-mail. Gegevens: apparaattoken, meldingstekst (kan namen bevatten), meldingsvoorkeuren, verzendstatus. Betrokkenen: alle gebruikers. Bewaartermijn: het token zolang het geldig is; verzendgegevens conform de termijnen in artikel 17.

A11. Rapportages en exports

Doel: het samenstellen van overzichten op verzoek van de Verwerkingsverantwoordelijke. Gegevens: de door haar geselecteerde velden uit de bovengenoemde verwerkingen. Betrokkenen: afhankelijk van de selectie. Bewaartermijn: het bestand 14 dagen, de registratie van de uitvoering 90 dagen.

A12. Advertenties (optioneel)

Doel: het beoordelen, factureren en tonen van advertenties die de Verwerkingsverantwoordelijke verkoopt. Gegevens: bedrijfsgegevens en contactgegevens van de contactpersoon van de adverteerder, en geaggregeerde vertonings- en kliktellers zonder gebruikers-, apparaat- of IP-gegevens. Betrokkenen: contactpersonen van adverteerders. Bewaartermijn: zolang de zakelijke relatie loopt; het financiële deel valt onder de fiscale bewaarplicht.

A13. Optionele koppelingen

Doel: publicatie op sociale media, synchronisatie met een e-mailmarketingdienst, agenda-integratie. Gegevens: uitsluitend wat voor de betreffende koppeling nodig is; zie Bijlage C. Betrokkenen: afhankelijk van de koppeling. Bewaartermijn: bij de subverwerker, conform diens eigen termijnen; in het Platform conform de bovengenoemde verwerkingen. Bijzonderheid: elke koppeling staat standaard uit en wordt door de Verwerkingsverantwoordelijke zelf aangezet.

A14. AI-ondersteuning

Doel: (1) het samenvatten, analyseren en beantwoorden van vragen over gegevens waartoe de gebruiker al toegang heeft (optioneel, per organisatie aan te zetten); (2) het beantwoorden van vragen over het gebruik van het Platform uit de handleiding van de Verwerker (help-assistent); (3) het opstellen van conceptantwoorden op supportverzoeken door een medewerker van de Verwerker; (4) het automatisch vertalen van teksten op verzoek van een beheerder. Gegevens: bij (1) de gegevens uit de bovengenoemde verwerkingen, binnen de rechten van de gebruiker, voor een leerkracht beperkt tot zijn eigen klassen en met gemaskeerde oudercontactgegevens; bij (2) de vraagtekst van de gebruiker en de pagina waarop hij die stelt; bij (3) het onderwerp en de berichten van het supportverzoek, zonder interne notities; bij (4) de te vertalen tekst. Bij (2) en (3) worden e-mailadressen, telefoonnummers, IBAN's, burgerservicenummers en postcode-huisnummercombinaties vóór opslag vervangen. Betrokkenen: gebruikers met beheer- of leerkrachtrechten, en personen die zij in een vraag of supportverzoek noemen. Bewaartermijn: (1) gespreksgeschiedenis per gebruiker, verwijderbaar door die gebruiker; (2) 90 dagen na het laatste bericht, en een kopie bij een supportverzoek zolang dat verzoek bestaat; (3) de concepttekst wordt niet bewaard, een niet-terug te rekenen vingerafdruk 180 dagen; (4) niet bewaard. Bijzonderheid: het taalmodel draait op eigen hardware van de Verwerker; er is geen externe aanbieder en er wordt niet op deze gegevens getraind of geëvalueerd. Een conceptantwoord wordt altijd door een mens gelezen en verstuurd.

Deze bijlage maakt integraal deel uit van de VWO en beschrijft de technische en organisatorische maatregelen als bedoeld in AVG artikel 32 en in artikel 11 van deze VWO. De indeling volgt de drie klassieke aspecten: beschikbaarheid, integriteit en vertrouwelijkheid. Per categorie staat wat er is — en, waar dat aan de orde is, wat er níét is.

Vooraf: de schaal van de dienstverlening.

De Verwerker is een kleine onderneming, en deze bijlage is daarop geschreven. Het aantal personen met toegang tot de productieomgeving is zeer beperkt — uit beveiligingsoogpunt een voordeel, omdat het aanvalsoppervlak aan de menskant klein blijft. Daar staat tegenover dat maatregelen die op een grote organisatie zijn toegesneden, zoals functiescheiding tussen ontwikkeling en beheer, een aparte informatiebeveiligingsfunctionaris en een intern auditprogramma, hier een andere vorm hebben. Deze bijlage beschrijft per categorie wat er is en waar de grens ligt, opdat de Verwerkingsverantwoordelijke haar eigen risicoafweging op juiste informatie kan baseren.

BESCHIKBAARHEID

Ontwerp en capaciteit. Het Platform en de database draaien op een server bij een Europese hostingpartij, binnen de Europese Unie. De capaciteit wordt bewaakt met een ingebouwde monitor die geheugen, processorgebruik, schijfruimte, responstijd en de status van de database en de processen meet, met waarschuwing bij grenswaarde-overschrijding.

Onderhoud. Gepland onderhoud wordt ten minste 48 uur vooraf aangekondigd en zo veel mogelijk buiten piekuren uitgevoerd. Spoedonderhoud voor een beveiligingslek of een stabiliteitsprobleem gebeurt zonder aankondiging, met melding achteraf.

Uitrol. Een nieuwe versie wordt naast de draaiende versie gebouwd en pas daarna omgewisseld, met een gezondheidscontrole en een automatische terugrol wanneer die faalt.

Back-up. Dagelijkse back-up van database en geüploade bestanden, versleuteld vóór verzending, opgeslagen bij dezelfde hostingpartij in een andere regio dan de productieomgeving. Retentie: 7 dagelijkse, 4 wekelijkse en 12 maandelijkse momentopnamen. Daarnaast een dagelijkse systeemkopie van de hostingpartij met een retentie van 7 dagen. De integriteit van de back-up wordt periodiek gecontroleerd.

Herstel. Maximaal dataverlies bij een calamiteit: 24 uur. Streefhersteltijd na totaalverlies van de server: 1 tot 3 uur, door middel van een handmatige herbouw volgens een gedocumenteerd draaiboek.

Reikwijdte. Er is geen automatisch overnemende reserveserver en geen tweede productieomgeving. Er is geen externe, onafhankelijke beschikbaarheidsmeting, en daarom ook geen beschikbaarheidsgarantie in de vorm van een percentage.

INTEGRITEIT

Herleidbaarheid van gebruikers. Elke handeling in het beheerportaal is herleidbaar tot een individueel account. Handelingen worden vastgelegd in een actielog dat de Verwerkingsverantwoordelijke zelf kan inzien, doorzoeken en exporteren, zonder tussenkomst van de Verwerker. Beveiligingsrelevante regels worden onbeperkt bewaard.

Onweerlegbaarheid. Acceptaties van juridische documenten worden vastgelegd met versienummer, een controlesom van de tekst, taal, tijdstip en een versleuteld IP-adres, in een administratie waarin een bestaand record niet gewijzigd kan worden; een nieuwe acceptatie is een nieuw record.

Applicatiecontroles. Invoer wordt gevalideerd; bestandsuploads worden op type en omvang gecontroleerd, mede aan de hand van de werkelijke bestandsinhoud en niet alleen de bestandsnaam. Meldingen van betaaldienstverleners worden op handtekening geverifieerd en ontdubbeld voordat er een gevolg aan wordt gegeven.

Herleidbaarheid van technisch beheer. Wijzigingen aan de programmatuur worden versiebeheerd. Handelingen op serverniveau die niet via het beheerportaal lopen, worden gemeld aan de Verwerkingsverantwoordelijke wanneer daarbij gegevens van haar zijn ingezien of gewijzigd.

Reikwijdte. Er is geen formele functiescheiding tussen ontwikkeling, test en beheer, en geen verplichte beoordeling door een tweede persoon voor elke wijziging.

VERTROUWELIJKHEID

Logische toegang. Toegang verloopt via een persoonlijk account met wachtwoord. Wachtwoorden worden gehasht met bcrypt opgeslagen en zijn niet uitleesbaar. Het wachtwoordbeleid eist ten minste 8 tekens met een hoofdletter, een kleine letter, een cijfer en een leesteken, en weigert veelgebruikte wachtwoorden en opeenvolgende cijferreeksen. Beheerders kunnen tweestapsverificatie met een authenticatie-app inschakelen. Aanmeldpogingen zijn begrensd op tien per kwartier per IP-adres. Sessies kunnen per gebruiker worden ingetrokken; een wachtwoordwijziging beëindigt alle bestaande sessies.

Scheiding tussen organisaties. De gegevens van elke Verwerkingsverantwoordelijke zijn logisch gescheiden. Die scheiding wordt bij elke opvraging afgedwongen, niet pas in de weergave. Binnen een organisatie geldt een fijnmazig rechtenmodel; een leerkracht ziet uitsluitend zijn eigen klassen en leerlingen.

Scheiding van omgevingen. De ontwikkel- en testomgeving is gescheiden van de productieomgeving. Er wordt niet met productiegegevens ontwikkeld of getest.

Transport. Al het verkeer naar het Platform loopt over TLS.

Opslag. Aangewezen gevoelige velden — waaronder e-mailadressen, telefoonnummers, adressen, IP-adressen en een aantal vrije-tekstvelden — worden versleuteld opgeslagen met AES-256-CBC, met een sleutel die buiten de programmacode wordt bewaard. Dit is geen database-brede versleuteling: namen van leerlingen, cijfers, absenties en berichtinhoud staan als gewone tekst in de database. Er is geen end-to-end encryptie.

Netwerktoegang. Het Platform is uitsluitend bereikbaar via de webserver; de database is niet vanaf het internet benaderbaar. Een Content Security Policy beperkt wat in de browser geladen mag worden. De hostingpartij verzorgt de fysieke beveiliging van het datacentrum en de netwerkbeveiliging op infrastructuurniveau.

Levenscyclus van gegevens. Bewaartermijnen worden waar mogelijk technisch afgedwongen door automatische verwijdering. Verwijderde bestanden worden ook van de schijf verwijderd, niet alleen uit de administratie.

Omgaan met kwetsbaarheden. Afhankelijkheden worden periodiek bijgewerkt tegen bekende kwetsbaarheden. Er is een meldpunt voor kwetsbaarheden met een toezegging dat er geen juridische stappen worden ondernomen tegen een melder die zich aan de voorwaarden houdt (artikel 11 van de Algemene Voorwaarden). Meldingen worden binnen vijf werkdagen bevestigd.

Reikwijdte. Er is geen periodieke externe penetratietest, geen geautomatiseerde beveiligingsscanner op de code, geen ISO 27001-certificering en geen SOC 2-rapportage.

ORGANISATORISCH

Personeel. Personen met toegang tot persoonsgegevens zijn schriftelijk tot geheimhouding verplicht en krijgen uitsluitend toegang tot wat zij voor hun taak nodig hebben.

Incidenten. Er is een procedure voor het herkennen, vastleggen en melden van beveiligingsincidenten en datalekken, met de informatielijst uit artikel 12. Incidenten worden vastgelegd en gebruikt om de maatregelen aan te scherpen.

Evaluatie. De maatregelen in deze bijlage worden periodiek geëvalueerd en bijgesteld waar de eisen of de technische ontwikkelingen daartoe aanleiding geven. Een wijziging in deze bijlage wordt bekendgemaakt conform artikel 21.

Contact bij een incident. legal@aqlemy.com, met kopie aan support@aqlemy.com.

Deze bijlage maakt integraal deel uit van de VWO en hoort bij artikel 10 en artikel 15.

Het register.

De actuele lijst van subverwerkers is gepubliceerd op:

aqlemy.com/nl/subprocessors

Die lijst is de bindende opsomming waarvoor de Verwerkingsverantwoordelijke in artikel 10 algemene schriftelijke toestemming geeft. Zij draagt een eigen versienummer en is in vier talen beschikbaar.

Wat het register per partij vermeldt.

• - de naam van de partij;
• - de rol: hosting, betalingen, e-mailbezorging, e-mailmarketing, pushmeldingen, publicatie op sociale media, beveiliging tegen misbruik, websitestatistiek, opzoekdienst, of inloggen;
• - het doel van de inschakeling, in gewone taal;
• - de categorieën persoonsgegevens die naar die partij gaan — van "alle platformgegevens" bij de hostingpartij tot "apparaattoken voor meldingen" bij de meldingendienst;
• - het land van vestiging en verwerking;
• - de grondslag voor doorgifte: verwerking binnen de EER, het EU-VS Data Privacy Framework, standaardcontractbepalingen, of geen doorgifte;
• - of de koppeling optioneel is.

Optionele koppelingen.

Een aantal partijen wordt alleen ingeschakeld wanneer de Verwerkingsverantwoordelijke de betreffende functie aanzet — onder meer e-mailmarketing, publicatie op sociale media en aanmelden via een externe identiteitsdienst. Staat die functie uit, dan gaan er geen gegevens naartoe. Het register vermeldt per partij of dat het geval is.

Wat uitdrukkelijk geen subverwerker is.

Het register vermeldt ook wat de Verwerker níét uitbesteedt, omdat dat voor een risicobeoordeling even relevant is:

• - Locatiebepaling bij een IP-adres gebeurt met een databasebestand op de eigen server van de Verwerker. Er gaat geen IP-adres naar een externe dienst.
• - De database draait op dezelfde server als de applicatie, niet bij een externe databankaanbieder.
• - Het taalmodel achter de AI-functies draait op eigen hardware van de Verwerker. Er gaan geen gegevens naar een externe aanbieder van taalmodellen.

Verwijderd in augustus 2026.

Twee partijen zijn uit de dienstverlening verwijderd en staan daarom niet meer in het register: een sms-dienst die leerling-, leerkracht- en klasnamen ontving, en een externe dienst die het IP-adres van elke websitebezoeker naar de Verenigde Staten stuurde vóórdat die bezoeker een cookiekeuze had gemaakt.

Kennisgeving en bezwaar.

Een wijziging in het register wordt ten minste zes weken vooraf gemeld, en de Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken. De volledige regeling, inclusief de uitzondering bij een acuut beveiligings- of continuïteitsrisico, staat in artikel 10.

Verplichtingen jegens subverwerkers.

Met elke partij die in het register als verwerker staat, is een verwerkersovereenkomst gesloten die ten minste een gelijkwaardig beschermingsniveau biedt als deze VWO aan de Verwerker oplegt; in de regel is dat de standaard verwerkersovereenkomst van die partij. Met een partij die als zelfstandig verwerkingsverantwoordelijke staat vermeld bestaat geen art. 28-overeenkomst — daar gelden hun eigen voorwaarden — en bij een partij zonder verwerkersrelatie gaan er geen persoonsgegevens heen. Op verzoek verstrekt de Verwerker de relevante passages of een verklaring daarover. De Verwerker blijft jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen van die verplichtingen.

Verwerker

Onderneming: Haakje B.V. Handelsnaam: Aqlemy KvK-nummer: 42160038 Btw-identificatienummer: NL869977817B01 Vestigingsplaats: Haarlem, Nederland

Contactpunten

Vragen over deze Verwerkersovereenkomst: legal@aqlemy.com Privacy en verzoeken van betrokkenen: privacy@aqlemy.com Melding van een datalek of beveiligingsincident: legal@aqlemy.com, met kopie aan support@aqlemy.com Technische ondersteuning: support@aqlemy.com Telefoon: +31 85 212 8355 (werkdagen 09:00 - 17:00 CET)

Functionaris voor gegevensbescherming.

De Verwerker is niet verplicht een functionaris voor gegevensbescherming aan te wijzen (AVG art. 37) en heeft er geen aangewezen. Het vaste aanspreekpunt voor gegevensbescherming is privacy@aqlemy.com. De Verwerkingsverantwoordelijke kan op grond van haar eigen omvang of aard wél gehouden zijn een functionaris aan te wijzen; zij houdt in het beheerportaal de contactgegevens bij waarop de Verwerker haar kan bereiken.

Verwerkingsverantwoordelijke

De gegevens van de Verwerkingsverantwoordelijke zijn de gegevens die zij in het beheerportaal heeft vastgelegd. Zij houdt die actueel, in het bijzonder het e-mailadres waarop zij een melding over een datalek of over een wijziging in het subverwerkersregister kan ontvangen.

Toezichthoudende autoriteit

Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl.