Verwerkersovereenkomst Bijlex

In deze Verwerkersovereenkomst wordt verstaan onder:

AVG

De Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679).

Persoonsgegevens

Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon zoals bedoeld in artikel 4 AVG.

Verwerkingsverantwoordelijke

De onderwijsinstelling die het doel en de middelen van de verwerking van persoonsgegevens bepaalt.

Verwerker

Bijlex, leverancier van de Bijlex-app, die persoonsgegevens verwerkt in opdracht van de onderwijsinstelling.

Betrokkene

De leerling of gebruiker van wie persoonsgegevens worden verwerkt en de docent die de gegevens aanlevert aan Bijlex.

Verwerking

Elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens zoals bedoeld in artikel 4 AVG.

Deze Verwerkersovereenkomst is van toepassing op de verwerking van persoonsgegevens die plaatsvindt bij het gebruik van de Bijlex-app.

De onderwijsinstelling geeft Bijlex, overeenkomstig artikel 28 lid 3 AVG, opdracht om persoonsgegevens te verwerken voor zover dat noodzakelijk is voor het functioneren van de applicatie en het ondersteunen van het onderwijsproces.

Bijlex verwerkt persoonsgegevens uitsluitend in opdracht van de onderwijsinstelling en uitsluitend voor de doeleinden die in deze Verwerkersovereenkomst zijn beschreven.

Bijlex is een digitale rekenapplicatie voor het voortgezet onderwijs (VO) en het middelbaar beroepsonderwijs (MBO).

De applicatie bevat interactieve opdrachten, automatische feedback en analyses van gemaakte fouten.

Het doel van de applicatie is:

• het verbeteren van rekenvaardigheden van leerlingen
• het geven van inzicht in gemaakte fouten
• het ondersteunen van docenten bij het begeleiden van leerlingen

Binnen de applicatie kunnen docenten inzicht krijgen in voortgang, resultaten en statistieken zodat zij leerlingen beter kunnen begeleiden tijdens het leerproces.

De onderwijsinstelling treedt op als verwerkingsverantwoordelijke.

De onderwijsinstelling bepaalt:

• welke leerlingen toegang krijgen tot de applicatie
• voor welke doeleinden de applicatie wordt gebruikt
• welke persoonsgegevens worden verstrekt aan Bijlex

Bijlex treedt op als verwerker en verwerkt persoonsgegevens uitsluitend volgens de instructies van de onderwijsinstelling.

Bijlex bepaalt niet zelfstandig het doel van de verwerking van persoonsgegevens.

Bij het gebruik van de Bijlex-app kunnen de volgende categorieën persoonsgegevens worden verwerkt.

1. Accountgegevens

• e-mailadres van de leerling

Deze gegevens worden gebruikt voor identificatie en toegang tot de applicatie.

2. Door leerlingen aangeleverde data

• antwoorden op opdrachten
• naam (ingevoerd door de leerling bij activatie)
• voortgang binnen de applicatie
• statistieken over gemaakte opdrachten
• login-activiteit

Deze gegevens worden door leerlingen zelf ingevoerd tijdens het gebruik van de applicatie.

3. Verantwoordelijkheid voor ingevoerde gegevens

Bijlex heeft geen invloed op de inhoud van gegevens die leerlingen invoeren en is hiervoor niet verantwoordelijk.

De onderwijsinstelling blijft verantwoordelijk voor het gebruik van de applicatie door leerlingen en voor de wijze waarop leerlingen gegevens invoeren in de applicatie.

Er worden geen bijzondere categorieën persoonsgegevens verwerkt zoals bedoeld in artikel 9 AVG.

Persoonsgegevens worden niet gebruikt voor marketingdoeleinden of commerciële doeleinden.

Bijlex behandelt alle persoonsgegevens strikt vertrouwelijk.

Alle medewerkers die toegang hebben tot persoonsgegevens zijn gebonden aan een geheimhoudingsverplichting.

Toegang tot persoonsgegevens wordt uitsluitend verleend aan personen waarvoor het noodzakelijk is voor de uitvoering van hun werkzaamheden.

Bijlex neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen overeenkomstig artikel 32 AVG.

Deze maatregelen zijn gebaseerd op gangbare beveiligingsstandaarden voor digitale onderwijsapplicaties.

In geval van een datalek informeert Bijlex de onderwijsinstelling 48 uur nadat het datalek is vastgesteld.

Bijlex verstrekt alle relevante informatie zodat de onderwijsinstelling kan voldoen aan haar meldplicht bij de Autoriteit Persoonsgegevens zoals bedoeld in de AVG.

Bijlex zal redelijke maatregelen nemen om de gevolgen van een datalek te beperken en herhaling te voorkomen.

Betrokkenen hebben rechten met betrekking tot hun persoonsgegevens zoals vastgelegd in hoofdstuk III van de AVG, waaronder:

• recht op inzage
• recht op correctie
• recht op verwijdering
• recht op beperking van verwerking

De onderwijsinstelling is verantwoordelijk voor het afhandelen van verzoeken van betrokkenen.

Bijlex verleent ondersteuning bij het uitvoeren van deze verzoeken.

Persoonsgegevens worden niet langer bewaard dan noodzakelijk voor het doel waarvoor zij zijn verzameld.

Accounts en gegevens worden uiterlijk 12 maanden na beëindiging van het gebruik van de applicatie verwijderd, tenzij wettelijke bewaartermijnen anders voorschrijven. Op verzoek van de onderwijsinstelling kunnen gegevens eerder worden verwijderd.

Bijlex maakt momenteel geen gebruik van subverwerkers.

Indien Bijlex gebruik wil maken van subverwerkers zal Bijlex de onderwijsinstelling voorafgaande schriftelijke toestemming of algemene toestemming met notificatie vragen.

Bijlex zorgt ervoor dat met subverwerkers passende verwerkersovereenkomsten worden gesloten waarin minimaal dezelfde verplichtingen zijn opgenomen als in deze overeenkomst.

Bijlex verleent redelijke medewerking aan dergelijke controles maximaal eenmaal per jaar.

Indien de onderwijsinstelling een Data Protection Impact Assessment (DPIA) uitvoert met betrekking tot het gebruik van de Bijlex-app, zal Bijlex redelijke ondersteuning bieden door relevante informatie te verstrekken.

Nederlands recht is hierbij van toepassing.

De Bijlex-app kan gebruik maken van interne algoritmen of kunstmatige intelligentie voor het analyseren van antwoorden en het genereren van feedback voor leerlingen.

Deze AI-systemen worden uitsluitend gebruikt voor onderwijsdoeleinden.

Bijlex gebruikt uitsluitend interne AI-systemen, waarbij gegevens binnen de eigen infrastructuur blijven en onder geen enkele voorwaarde worden gedeeld met externen.

Voor analyses worden uitsluitend gegevens gebruikt die niet herleidbaar zijn tot een individuele leerling, klas of onderwijsinstelling.

De verwerking vindt plaats volgens de principes van:

• dataminimalisatie
• privacy by design
• privacy by default

Context is verstrekt in artikel 5 en artikel 25 AVG.