Wat een school moet weten over de AVG bij Eduvaya

Rolverdeling

De school is verwerkingsverantwoordelijke voor de persoonsgegevens van haar leerlingen. Eduvaya treedt op als verwerker: wij verwerken gegevens uitsluitend in opdracht van en volgens instructie van de school, nooit voor eigen doeleinden zoals marketing of profilering.

Rechtsgrond

De school gebruikt Eduvaya op basis van een gerechtvaardigd onderwijsbelang, binnen de kaders die de onderwijswetgeving daarvoor biedt. Wij vragen als leverancier geen aparte toestemming van ouders voor het gebruik van het platform zelf. De school blijft verantwoordelijk voor het informeren van ouders, en wij ondersteunen daarbij met heldere, begrijpelijke informatie.

Welke gegevens, en waarom

Voornaam en groep (door de leerkracht ingevoerd), oefenresultaten en voortgang per vaardigheid en per vak (rekenen, spelling, begrijpend lezen), en gesprekken met de AI-coach. Geen achternaam, geen geboortedatum, geen adres, geen BSN. Zie de pagina Privacy en gegevens voor een volledig overzicht in gewone taal.

Subverwerkers

Voor de leeromgeving, waar de school verwerkingsverantwoordelijke is, maakt Eduvaya gebruik van vier subverwerkers: Vercel (hosting en uitvoering van de applicatie zelf, inclusief de geplande taken die bijvoorbeeld verlopen gegevens verwijderen), Supabase (databaseopslag en authenticatie), Anthropic (het taalmodel achter de AI-coach, uitsluitend voor het genereren van een antwoord op een vraag binnen het vak), en Resend (het versturen van e-mails, zoals de wekelijkse voortgangsmail aan een ouder, met daarin de voornaam van het kind en algemene voortgangscijfers). Alle vier deze partijen zijn contractueel gebonden aan passende beveiligingsmaatregelen. Een ouder kan zich voor die wekelijkse mail afmelden, via de link onderaan de mail of via Mijn gegevens in de ouderomgeving; het ouderaccount en de toegang tot de voortgang blijven dan gewoon bestaan.

Naar Anthropic gaat per coachbericht alleen wat nodig is voor een goed antwoord: de vraag, het leerpad, eerdere fouten binnen hetzelfde vak, en (alleen als een leerling dat zelf heeft ingesteld) de roepnaam waarmee de coach hem of haar mag aanspreken. Een achternaam, schoolnaam of ander identificerend gegeven gaat nooit mee. Anthropic verwerkt deze gesprekken uitsluitend om een antwoord te genereren en gebruikt ze contractueel nooit om hun modellen op te trainen.

Anthropic is een Amerikaans bedrijf; voor Europese klanten is Anthropic Ireland, Limited de contractpartij. Gegevens die naar Anthropic gaan, worden verwerkt in de Verenigde Staten. Voor die doorgifte gelden de Europese modelcontractbepalingen (standard contractual clauses), zoals vastgelegd in de eigen verwerkersovereenkomst van Anthropic. Er bestaat op dit moment geen optie om deze verwerking uitsluitend binnen de EU te laten plaatsvinden.

Buiten de leeromgeving staat nog een vijfde partij: Cloudflare. De vier aanvraagformulieren op deze website (pilotaanvraag, demo-aanvraag, brochure-aanvraag en demo-account) worden beschermd door een botcontrole van Cloudflare, die moet vaststellen dat er een mens achter het scherm zit. Daarvoor gaat het IP-adres van de bezoeker naar Cloudflare, samen met de signalen die die controle zelf in de browser verzamelt. Wat je in het formulier invult, gaat daar niet naartoe. Deze verwerking raakt geen enkel leerlinggegeven en zit niet in de leeromgeving: Eduvaya is er zelf verwerkingsverantwoordelijke voor, niet de school. De grondslag is een gerechtvaardigd belang, namelijk het beschermen van deze formulieren tegen geautomatiseerd misbruik. Cloudflare is een Amerikaans bedrijf. De verwerking valt onder de Data Processing Addendum van Cloudflare, die onderdeel is van de Self-Serve Subscription Agreement en waarin ook de standaardclausules voor doorgifte naar de Verenigde Staten zijn opgenomen. Die overeenkomst is aanvaard op 27 augustus 2026, voordat deze controle is aangezet.

Bewaartermijn

Gegevens worden bewaard zolang een leerling actief bij een school hoort. Bij uitschrijving of op verzoek van de school worden gegevens verwijderd binnen een redelijke termijn, af te spreken in de verwerkersovereenkomst.

Rechten van betrokkenen

Een school kan namens haar leerlingen en ouders verzoeken tot inzage, correctie of verwijdering bij ons indienen. Wij handelen zulke verzoeken binnen de wettelijke termijnen af. Ouders met een gekoppeld account kunnen daarnaast in het ouderportaal zelf een overzicht inzien en downloaden van de gegevens die over hun kind worden verwerkt. Dat overzicht is een hulpmiddel dat de school via Eduvaya beschikbaar stelt, en vervangt het formele verzoek aan de school niet.

Eerlijk over waar we nu staan

Eduvaya is een jong product. Een ondertekende verwerkersovereenkomst en een uitgevoerde DPIA (gegevensbeschermingseffectbeoordeling) horen bij elke school die daadwerkelijk start, en stellen we altijd vóór de eerste leerling inlogt op maat op, niet achteraf.

Over de Europese AI-verordening (AI Act) zijn we specifiek en eerlijk: of een adaptief leersysteem als dat van Eduvaya onder de strengere regels voor “hoogrisico AI in het onderwijs” valt, hangt af van een precieze juridische beoordeling die we nog niet hebben laten afronden door een gespecialiseerd jurist. De hoogrisico-eisen zelf (hoofdstuk III) gelden voor systemen uit bijlage III vanaf 2 december 2027, zoals vastgelegd in Verordening (EU) 2026/1744. Dat is de datum waarvóór wij die beoordeling laten afronden.

Delen van de verordening gelden nu al, en die nemen we serieus. Artikel 4 (AI-geletterdheid) geldt sinds 2 februari 2025 en raakt zowel ons als de school die Eduvaya inzet. Artikel 50 (transparantieplichten bij AI-systemen die met mensen communiceren) geldt sinds 2 augustus 2026: een leerling die met Juf Eva praat, moet weten dat dit een computerprogramma is en geen echt persoon, en dat staat inmiddels ook in de app zelf, niet alleen op deze website.