Standaard verwerkersovereenkomst
Dit is de standaardtekst die Eduvaya hanteert als verwerker van leerlinggegevens namens een school. Bij een echte pilot of licentie ondertekenen beide partijen een exemplaar met de schoolgegevens ingevuld. Deze pagina is bedoeld om vooraf te kunnen inzien wat daarin staat, niet als vervanging van een getekend exemplaar.
Versie 1.2, 3 september 2026. Het ondertekenbare exemplaar draagt hetzelfde versienummer en dezelfde artikelen, aangevuld met de partijgegevens en een handtekeningblok.
Artikel 1: Onderwerp
Deze verwerkersovereenkomst regelt de verwerking van persoonsgegevens door Eduvaya ("Verwerker") in opdracht van de school of het schoolbestuur ("Verwerkingsverantwoordelijke") bij het gebruik van het Eduvaya-platform. Deze overeenkomst maakt onderdeel uit van de algemene voorwaarden en is van toepassing zodra Verwerkingsverantwoordelijke het platform in gebruik neemt, inclusief tijdens een pilotperiode.
Artikel 2: Onderwerp en aard van de verwerking
Verwerker verwerkt ten behoeve van Verwerkingsverantwoordelijke: voornaam en groep van leerlingen, oefen- en toetsresultaten, voortgangsgegevens per vaardigheid en per vak (rekenen, spelling, begrijpend lezen, grammatica en ontleden, woordenschat, informatie lezen, Engels, aardrijkskunde en geschiedenis), en gespreksinhoud met de AI-coach. De verwerking vindt plaats zolang Verwerkingsverantwoordelijke het platform afneemt, en heeft uitsluitend tot doel de dienst te leveren zoals beschreven in de algemene voorwaarden.
Artikel 3: Categorieën van betrokkenen
Leerlingen van Verwerkingsverantwoordelijke, en in beperkte mate ouders/verzorgers (naam en e-mailadres, ten behoeve van accountkoppeling) en leerkrachten (naam en e-mailadres, ten behoeve van accountbeheer).
Artikel 4: Instructies
Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, waaronder deze overeenkomst, tenzij een wettelijke verplichting tot verwerking noopt. Verwerker informeert Verwerkingsverantwoordelijke onmiddellijk indien een instructie naar zijn oordeel in strijd is met toepasselijke gegevensbeschermingswetgeving.
Artikel 5: Beveiligingsmaatregelen
Verwerker treft passende technische en organisatorische maatregelen, waaronder: versleuteling van gegevens onderweg en in rust, toegangsbeheer op basis van rijbeveiliging waarbij een school uitsluitend eigen leerlinggegevens kan raadplegen, gestructureerde foutregistratie en -monitoring, en periodieke evaluatie van deze maatregelen naarmate het platform en het gebruik ervan groeien.
Artikel 6: Subverwerkers
Verwerker maakt gebruik van de subverwerkers Vercel (hosting en uitvoering van de applicatie), Supabase (databaseopslag en authenticatie), Anthropic (taalmodel voor de AI-coach, verwerking vindt plaats in de Verenigde Staten onder de Europese modelcontractbepalingen, contractpartij voor Europese klanten is Anthropic Ireland, Limited) en Resend (versturen van transactionele en periodieke e-mails, waaronder de wekelijkse voortgangsmail aan een ouder). Verwerker legt aan deze subverwerkers verplichtingen op die niet onderdoen voor de verplichtingen uit deze overeenkomst. Verwerker informeert Verwerkingsverantwoordelijke over voorgenomen wijzigingen in subverwerkers, zodat daartegen bezwaar kan worden gemaakt. Cloudflare is GEEN subverwerker onder deze overeenkomst: Verwerker zet Cloudflare uitsluitend in voor de botcontrole op de aanvraagformulieren van zijn eigen publieke website. Die verwerking gebeurt niet in opdracht van Verwerkingsverantwoordelijke en raakt geen enkel leerlinggegeven; Eduvaya is er zelf verwerkingsverantwoordelijke voor.
Artikel 7: Bijstand aan de Verwerkingsverantwoordelijke
Verwerker verleent redelijke medewerking aan verzoeken van betrokkenen (inzage, correctie, verwijdering) die Verwerkingsverantwoordelijke ontvangt, en aan een eventuele gegevensbeschermingseffectbeoordeling (DPIA) door Verwerkingsverantwoordelijke.
Artikel 8: Datalekken
Verwerker meldt een vermoeden van een datalek zonder onnodige vertraging, en in elk geval binnen 48 uur nadat Verwerker daarvan kennis heeft genomen, aan Verwerkingsverantwoordelijke, met de op dat moment beschikbare informatie over aard, omvang en genomen maatregelen.
Artikel 9: Bewaartermijn en verwijdering
Verwerker bewaart persoonsgegevens niet langer dan noodzakelijk voor het doel van de verwerking, en verwijdert of anonimiseert gegevens van een leerling binnen een redelijke termijn na uitschrijving, tenzij een wettelijke bewaarplicht anders vereist.
Artikel 10: Audit
Verwerkingsverantwoordelijke heeft het recht om, na redelijke voorafgaande kennisgeving, de naleving van deze overeenkomst te laten controleren, waarbij redelijke kosten en bedrijfsvertrouwelijkheid in acht worden genomen.
Artikel 11: Duur en beëindiging
Deze overeenkomst eindigt van rechtswege bij beëindiging van de onderliggende overeenkomst tussen Verwerker en Verwerkingsverantwoordelijke, met dien verstande dat de verplichtingen rond vertrouwelijkheid en verwijdering van gegevens ook daarna van kracht blijven totdat aan de verwijderplicht is voldaan.