Verwerkersovereenkomst

1 Partijen

Verwerkingsverantwoordelijke

Naam school / instelling: ___________________________________
Adres: ___________________________________
KvK-nummer: ___________________________________
Contactpersoon (FG/DPO): ___________________________________
E-mailadres: ___________________________________

Hierna te noemen: "Verwerkingsverantwoordelijke" of "de School".

Verwerker

Naam: Klasgemak
Handelend door: Kishanraj Khatri (zelfstandig ontwikkelaar)
E-mailadres: admin@klasgemak.nl
Gevestigd in: Europa (Nederland)

Hierna te noemen: "Verwerker" of "Klasgemak".

2 Doel en onderwerp van de verwerking

De Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de volgende dienst:

• Het beschikbaar stellen van een AI-ondersteunde applicatie voor het vastleggen, beheren en rapporteren van klasobservaties door onderwijspersoneel
• Het genereren van AI-ondersteunde samenvattingen en voortgangsrapportages op basis van ingevoerde observaties
• Het faciliteren van beheerfunctionaliteit voor schoolmanagers (overzicht observaties binnen de school)
• Een algemene AI-chatassistent voor pedagogische ondersteuning
• Het transcriberen van spraakopnames
• Het voorbereiden van oudergesprekken
• Het beheren van leerlingen, groepen en medewerkers (uitnodigingen)
• Optioneel, per school ingeschakeld: het lezen van door medewerkers bijgevoegde pdf's en foto's door de AI-assistent

De verwerking vindt uitsluitend plaats op basis van de instructies van de Verwerkingsverantwoordelijke en conform deze overeenkomst.

3 Aard van de verwerkte persoonsgegevens

De Verwerker verwerkt de volgende categorieën persoonsgegevens:

• Accountgegevens medewerkers — naam, e-mailadres, functie (leerkracht / manager), school(rollen), profielfoto (indien toegevoegd), laatste inlogmoment, goedkeuringsstatus.
• Leerlinggegevens — de naam zoals de School die invoert (vrije tekst), groep(en), huidige leerkrachten, status en archiveringsdatum; groepen hebben een naam, schooljaar en optioneel een groepsnummer.
• Observaties — notities over leerlingen, ook door de AI-assistent opgestelde concepten (uit chat, spraak of bestanden) met de status "nog te beoordelen", de auteur, en afgeleide onderwerpgebieden en zoekvectoren.
• Rapporten — door de AI-assistent opgestelde voortgangsrapporten, als concept ter beoordeling.
• Chatgeschiedenis — gesprekken met de AI-assistent, door de AI gemaakte samenvattingen en titels, en projecten.
• Klastaken — taken voor een groep: titel, notities, einddatum, status (open of afgerond) met tijdstip, en wie de taak aanmaakte, afrondde en het laatst bewerkte; bij een door de AI-assistent voorgestelde taak ook de observaties en leerlingen waarop het voorstel is gebaseerd. De AI-assistent stelt een taak alleen voor en kiest geen datum; een medewerker beslist of de taak wordt toegevoegd.
• Gebruiksdata — tokenverbruik en aantal verzoeken per account en per school, aantallen uploads, en IP-adres bij een beperkte controle van e-mailadressen tijdens het inloggen (snelheidsbegrenzing).
• Spraakopnames — de audio wordt geüpload, door de AI-dienst getranscribeerd en na een geslaagde transcriptie verwijderd; bij een mislukte transcriptie na ongeveer 7 dagen. De transcriptie blijft bewaard als chat- of observatietekst.
• Bestanden (optionele dienst, per school ingeschakeld) — pdf's (max. 30 pagina's) en foto's (JPEG, PNG, WebP) die medewerkers bijvoegen, met bestandsnaam, grootte en een hash. De School en de Verwerker behandelen elk bestand als leerlinggegevens, omdat de inhoud niet vooraf bekend is.
• Moderatiegegevens — bij een geweigerd of door het AI-model geblokkeerd bestand: account-ID, school-ID, hash en signalen (nooit de inhoud of bestandsnaam); 12 maanden bewaard.
• Uitnodigingen — e-mailadres, rol, school en naam van de uitnodiger.

4 Betrokkenen

De verwerking heeft betrekking op de volgende categorieën betrokkenen:

• Medewerkers van de School (leerkrachten, managers)
• Leerlingen: elke leerling die de School toevoegt (naam, groep, leerkrachten), ook als geen notitie hen noemt, en leerlingen die in notities, bestanden of foto's voorkomen.

5 Verplichtingen van de Verwerker

De Verwerker verbindt zich tot het volgende:

5.1 Verwerkingsinstructies

Persoonsgegevens worden uitsluitend verwerkt op basis van aantoonbare instructies van de Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders vereist.

5.2 Geheimhouding

Medewerkers en subverwerkers die toegang hebben tot persoonsgegevens zijn gebonden aan geheimhouding of werken onder een wettelijke geheimhoudingsplicht.

5.3 Beveiliging

De Verwerker treft passende technische en organisatorische maatregelen ter beveiliging van persoonsgegevens, waaronder:

• Versleuteld datatransport (TLS/HTTPS)
• Inloggen via Auth0 met een Google-account of een eenmalige code per e-mail; de applicatie kent geen wachtwoorden. Een inlogsessie in de applicatie bevat alleen een pseudonieme gebruikers-id
• Toegangscontrole op basis van rol (leerkracht / manager / beheerder)
• In de applicatie hebben alleen medewerkers met een directe rol bij de school toegang tot leerlingdossiers, observaties en rapporten. Bij verwijdering van een medewerker van de school worden diens gesprekken en projecten bij die school verwijderd; die bij een andere school waartoe de medewerker behoort blijven bestaan
• Chatgesprekken zijn in de applicatie alleen leesbaar voor de eigenaar; bestanden alleen voor de eigenaar, zolang die een directe rol bij de school van het bestand heeft
• Bestanden worden vóór opslag gescreend op expliciete inhoud en kunnen in de applicatie niet worden gedownload of gedeeld
• Toegang tot de database wordt vastgelegd: per lees- of schrijfverzoek welk account welk gegeven opvroeg of wijzigde, met IP-adres en user agent (zonder de inhoud van het gegeven), 30 dagen bewaard, zodat na een incident kan worden vastgesteld wiens gegevens zijn ingezien
• Gebruikslimieten per account en per school
• Schakelaars om de AI-assistent of bestanden centraal uit te zetten
• Verwerking grotendeels ingericht binnen de Europese Unie, met uitzondering van onder meer de inlogsessies in Firebase Authentication (zie artikel 7)

5.4 Datalekken

De Verwerker meldt een inbreuk op de beveiliging van persoonsgegevens zo spoedig mogelijk, uiterlijk binnen 72 uur nadat de Verwerker kennis heeft genomen van de inbreuk, aan de Verwerkingsverantwoordelijke. De melding bevat minimaal: de aard van de inbreuk, de categorieën en het (geschat) aantal betrokkenen en gegevens, en de genomen maatregelen.

5.5 Rechten van betrokkenen

De Verwerker verleent redelijke medewerking aan verzoeken van de Verwerkingsverantwoordelijke om betrokkenen in staat te stellen hun rechten onder de AVG uit te oefenen (inzage, rectificatie, wissing, bezwaar, overdraagbaarheid). Medewerkers kunnen hun account en gegevens zelf in de applicatie verwijderen (inclusief hun inlogaccount bij Auth0) en hun naam en profielfoto aanpassen (bij aanmelding met Google worden deze uit het Google-account overgenomen). Verzoeken om inzage, overdraagbaarheid, beperking of bezwaar handelt de Verwerker op verzoek van de School handmatig af; de applicatie heeft daarvoor geen geautomatiseerde export.

5.6 Gegevensverwijdering

Na beëindiging van de overeenkomst verwijdert de Verwerker de persoonsgegevens van de School op schriftelijk verzoek van de School, binnen 30 dagen na ontvangst van dat verzoek. Deze verwijdering voert de Verwerker op dit moment handmatig uit. De Verwerker bevestigt de verwijdering schriftelijk. Kopieën in back-ups van de database verlopen uiterlijk 30 dagen na de verwijdering automatisch. Wettelijke bewaarverplichtingen blijven onverlet.

5.7 Gegevensbeschermingseffectbeoordeling (DPIA)

De Verwerker verleent redelijke medewerking aan het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) als bedoeld in artikel 35 AVG, voor zover dit betrekking heeft op de verwerking door de Verwerker. De Verwerker verstrekt op verzoek de benodigde informatie over de aard, het doel en de beveiliging van de verwerking.

6 Subverwerkers

De Verwerker maakt gebruik van de volgende subverwerkers. Door ondertekening van deze overeenkomst geeft de Verwerkingsverantwoordelijke toestemming voor het inschakelen van deze subverwerkers:

• Google (Google LLC) — Firebase Authentication (alleen voor inlogsessies; door Google uitsluitend vanuit datacenters in de Verenigde Staten verwerkt), Cloud Firestore (database), Cloud Storage (audio, profielfoto's en bestanden), Cloud Functions en Cloud Scheduler (applicatielogica en geplande taken), Cloud Logging (logboeken), Firebase Hosting.
  Ontvangt: voor de inlogsessies een pseudonieme gebruikers-id, het IP-adres en de user agent van sessieverzoeken, maar geen e-mailadres, naam, profielfoto of wachtwoord; in de database en opslag alle gegevens uit artikel 3; in de logboeken onder meer account-ID's, school-ID's, opslagpaden, foutmeldingen en, in de toegangslogboeken van de database, welk account welk gegeven opvroeg of wijzigde, met IP-adres en user agent.
• Auth0 (Okta, Inc.; tenant in de EU-regio) — inloggen en identiteitsbeheer van medewerkers: inloggen met een Google-account of met een eenmalige code per e-mail.
  Ontvangt: het e-mailadres van de medewerker, bij inloggen met Google ook de naam en de profielfoto-URL uit het Google-account, de eenmalige inlogcode, en de gegevens van inlogpogingen (tijdstip, IP-adres en user agent). Auth0 slaat deze gegevens volgens Okta op in de gekozen regio (EU) en verplaatst ze niet naar een andere regio; voor ondersteuning kan toegang vanuit andere locaties plaatsvinden. Okta is een in de Verenigde Staten gevestigd bedrijf en hanteert een verwerkersovereenkomst met standaardcontractbepalingen.
• Google Vertex AI / Gemini (Google Cloud) — AI-verwerking voor chat, transcriptie, samenvattingen, titels, rapporten, oudergesprekvoorbereiding, classificatie van observaties en het lezen van bijgevoegde bestanden, via het EU-eindpunt van Google; embeddings (zoekvectoren) van observaties via Vertex AI in europe-west4.
  Ontvangt: de naam van de medewerker, de school- en groepsnaam, chatgeschiedenis, de namen van de leerlingen van de medewerker, observaties, rapporten, spraakopnames en bijgevoegde bestanden.
  Klasgemak maakt gebruik van Gemini via Google Vertex AI (niet via de consumentenvariant Google AI Studio). Vertex AI valt onder de Google Cloud Data Processing Terms, op grond waarvan content niet wordt gebruikt voor modeltraining.
• Google Cloud Vision (optionele dienst, bestanden) — screening op expliciete inhoud van geüploade pdf's en foto's, via het EU-eindpunt.
  Ontvangt: de afbeelding of de pagina's van de pdf.
• Brevo (Sendinblue SAS; servers in de EU volgens Brevo) — transactionele e-mail en inschrijvingen voor de nieuwsbrief.
  Ontvangt: voor e-mails bij welkom, uitnodiging, goedkeuring en afscheid de naam en het e-mailadres van de medewerker, voor de e-mails met de eenmalige inlogcode (die Auth0 via Brevo verstuurt) het e-mailadres en de code, de schoolnaam, en bij een uitnodiging de rol en de naam van de uitnodiger; bij aanmelding van een school de schoolnaam en het e-mailadres van de contactpersoon; voor meldingen van geweigerde of geblokkeerde bestanden aan de beheerders van Klasgemak de schoolnaam en het account-ID (niet de inhoud of bestandsnaam).
• Sentry (Functional Software, Inc.) — foutrapportage uit de applicatie via de EU-server.
  Cookies, request-inhoud, querystrings en extra gegevens worden uit rapportages gefilterd, de tekst van foutmeldingen wordt vervangen door een vaste tekst (alleen een technische foutcode blijft behouden), en van broodkruimels worden tekst en gegevens verwijderd (met uitzondering van navigatie en de app-levenscyclus); wel wordt een pseudoniem account-ID meegestuurd, samen met het type fout, de technische stacktrace en technische gegevens van het apparaat.
• Expo (EAS Updates) — levering van app-updates aan apparaten.
  Ontvangt: de updateverzoeken van apparaten, onder meer met IP-adres en platform.

De Verwerker legt aan subverwerkers dezelfde verplichtingen op als in deze overeenkomst zijn vastgelegd. De Verwerker stelt de Verwerkingsverantwoordelijke minimaal 14 dagen van tevoren schriftelijk in kennis van beoogde wijzigingen in de lijst van subverwerkers, zodat de Verwerkingsverantwoordelijke de gelegenheid heeft bezwaar te maken.

7 Doorgifte buiten de EER

Alle logboeken van de applicatie worden opgeslagen in een logboekbucket in europe-west1 (België). Alleen de beheer-auditlogboeken van Google Cloud zelf, die wijzigingen in de configuratie van het project vastleggen en geen applicatiegegevens, bewaart Google op de locatie "global".

8 Bewaartermijnen

Bij verwijdering van een account in de applicatie worden het account, profiel, chatgeschiedenis, bestanden, audio en gebruikstellers direct verwijderd (kopieën in back-ups verlopen binnen 30 dagen), en de naam van de medewerker in uitnodigingen die deze heeft verstuurd wordt gewist; observaties en rapporten van de medewerker blijven zonder naam van de auteur bij de School, en klastaken die de medewerker aanmaakte of afrondde blijven zonder die naam bij de groep. Enkele interne verwijzingen naar het account-ID kunnen blijven bestaan, evenals moderatiegegevens (12 maanden) en de IP-gebonden tellers van de controle van e-mailadressen.

9 Audit en toezicht

De Verwerkingsverantwoordelijke heeft het recht om te controleren of de Verwerker de verplichtingen uit deze overeenkomst naleeft. De Verwerker verstrekt op verzoek alle redelijkerwijs benodigde informatie om naleving aan te tonen.

Audits worden minimaal 14 dagen van tevoren schriftelijk aangekondigd en worden uitgevoerd op een wijze die de normale bedrijfsvoering niet onevenredig belast.

10 Aansprakelijkheid

Partijen zijn aansprakelijk voor schade die voortvloeit uit niet-nakoming van de AVG en/of deze overeenkomst, conform het bepaalde in artikel 82 AVG.

De aansprakelijkheid van de Verwerker is beperkt tot directe schade en tot het bedrag dat de Verwerkingsverantwoordelijke in de twaalf maanden voorafgaand aan de schadeveroorzakende gebeurtenis aan de Verwerker heeft betaald, of — indien sprake is van een gratis dienst — tot maximaal € 500.

11 Looptijd en beëindiging

Deze overeenkomst geldt voor de duur van het gebruik van de Klasgemak-dienst door de School. De overeenkomst eindigt automatisch bij beëindiging van het gebruik van de dienst.

Bij beëindiging zijn de bepalingen over gegevensverwijdering (artikel 5.6) en geheimhouding onverminderd van kracht.

12 Toepasselijk recht en geschillen

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden bij voorkeur in onderling overleg opgelost. Indien dat niet lukt, worden geschillen voorgelegd aan de bevoegde rechter in Nederland.

Partijen erkennen het toezicht van de Autoriteit Persoonsgegevens (AP) als bevoegde toezichthoudende autoriteit.

13 Ondertekening

Door ondertekening verklaren Partijen kennis te hebben genomen van en akkoord te gaan met de inhoud van deze verwerkersovereenkomst.

Voor digitale ondertekening of vragen over deze overeenkomst: admin@klasgemak.nl