Deze overeenkomst geeft uitvoering aan artikel 28 AVG. Ze gaat over de gegevens van je leerlingen: wie eraan kan, waar ze staan, hoe lang ze blijven en wat er gebeurt wanneer het misgaat.
Versie 2026-10-17.1 · bijlage bij de algemene voorwaarden, en samen met die voorwaarden aanvaard
De school is verwerkingsverantwoordelijke. Zij bepaalt waarom en waarover er verwerkt wordt.
MV MGMT is verwerker. Wij verwerken uitsluitend in opdracht van de school en uitsluitend om de dienst te leveren.
De school heeft een decretale opdracht inzake onderwijs, leerlingenbegeleiding en gelijke onderwijskansen. Wij hebben geen eigen doel met deze gegevens.
Voorwerp: het opslaan, structureren, analyseren en weergeven van gegevens over leerlingen, hun resultaten en hun begeleiding, voor het onderwijsbeleid van de school; het afnemen van vragenlijsten bij leerlingen; en het opmaken van afdrukken daarvan.
Duur: dezelfde als de algemene voorwaarden. Deze overeenkomst blijft van toepassing zolang wij gegevens van de school onder ons hebben, ook na beëindiging.
De categorieën gegevens en betrokkenen staan in bijlage 1.
3.1 Wij verwerken alleen op instructie van de school. Deze overeenkomst en de algemene voorwaarden zijn de instructie; het gebruik van de dienst door een gemachtigde gebruiker is er een verdere uitwerking van.
3.2 Menen wij dat een instructie in strijd is met de AVG, dan melden wij dat en mogen wij de uitvoering opschorten.
3.3 Wij gebruiken de gegevens niet voor eigen doeleinden, niet voor statistiek buiten wat in de privacyverklaring staat, en niet om modellen te trainen of te verbeteren. Bij de sub-verwerkers met wie een verwerkersovereenkomst getekend is, is dat laatste ook contractueel uitgesloten. Waar dat nog niet zo is, staat op de pagina met sub-verwerkers.
Iedereen bij ons die toegang heeft, is tot geheimhouding gehouden. Toegang wordt alleen gegeven aan wie ze nodig heeft voor onderhoud of ondersteuning.
Wij nemen passende technische en organisatorische maatregelen; welke, staat in bijlage 2. Wij mogen die maatregelen wijzigen zolang het beschermingsniveau niet daalt.
6.1 De school geeft algemene toestemming voor het inschakelen van sub-verwerkers. De actuele lijst staat op de pagina met sub-verwerkers en in bijlage 3.
6.2 Een nieuwe of vervangende sub-verwerker staat ten minste tien dagen voor hij ingeschakeld wordt op de pagina met sub-verwerkers, in een nieuwe versie met een datum. De school volgt die pagina zelf op; wil ze per e-mail verwittigd worden, dan laat ze dat weten aan info@ehbzoco.be. De school kan zich binnen die tien dagen op gegronde redenen van gegevensbescherming verzetten. Blijft het verzet staan en kunnen wij de dienst niet zonder die sub-verwerker leveren, dan mag de school opzeggen tegen de datum van de wijziging, met terugbetaling naar rato van het resterende deel van het contractjaar.
6.3 Wij leggen elke sub-verwerker dezelfde verplichtingen op als in deze overeenkomst, en blijven aansprakelijk voor hun handelen.
De gegevens worden opgeslagen binnen de EER. Waar een sub-verwerker een bedrijf buiten de EER is, of een verwerking buiten de EER kan meebrengen, staat dat in bijlage 3 vermeld, met de grondslag. Wij gaan geen nieuwe doorgifte buiten de EER aan zonder de procedure van artikel 6.2.
8.1 Vraagt een ouder of leerling inzage, correctie of verwijdering, dan is het de school die antwoordt. Wij helpen daarbij.
8.2 Wij reageren op zo’n verzoek van de school binnen tien werkdagen, en sneller wanneer de school aangeeft dat een wettelijke termijn dat vraagt. Tijdens de zomervakantie is die termijn vijftien werkdagen, tenzij een wettelijke termijn van de school iets anders vraagt.
8.3 Komt een verzoek per ongeluk bij ons terecht, dan antwoorden wij niet zelf maar sturen wij het door naar de school.
9.1 Zorggegevens van een leerling verdwijnen één jaar nadat die de school verlaten heeft.
9.2 Bij het einde van de overeenkomst kan de school tot dertig dagen na de einddatum een export vragen in een gangbaar formaat. Daarna verwijderen wij alle gegevens, uiterlijk zestig dagen na de einddatum, inclusief bij onze sub-verwerkers en uit de back-ups zodra die volgens hun eigen termijn vervallen, tenzij de wet ons verplicht ze te bewaren.
9.3 Het auditspoor — wie wat wanneer wijzigde — is bewust niet wijzigbaar en niet verwijderbaar tijdens de looptijd. Het bevat welke waarde gewijzigd is — welke diagnose, welk SES-kenmerk — en verwijst naar de leerling met een nummer, nooit met een naam. Het valt buiten de termijn van 9.1: na de verwijdering van een leerling wijst dat nummer nergens meer naar. Het auditspoor verdwijnt met de rest bij het einde van de overeenkomst, zoals in 9.2.
10.1 Wij melden een inbreuk op de beveiliging aan de school zonder onnodige vertraging en uiterlijk binnen 72 uur nadat wij er kennis van kregen.
10.2 Wij melden wat wij weten: wat er gebeurd is, welke categorieën gegevens en hoeveel betrokkenen het vermoedelijk raakt, wat de gevolgen kunnen zijn, en wat wij doen. Weten we nog niet alles, dan melden we in stappen in plaats van te wachten.
10.3 De melding aan de Gegevensbeschermingsautoriteit en aan de betrokkenen doet de school. Wij helpen daarbij en melden niet in haar plaats.
10.4 Contact voor incidenten: info@ehbzoco.be. Wat wij onder dit artikel doen — melden, onderzoeken en u informeren — is op onze kosten.
Wij helpen de school binnen redelijke termijn bij haar eigen verplichtingen: het verwerkingsregister, een gegevensbeschermingseffectbeoordeling, vragen van haar DPO, en overleg met de toezichthouder — voor zover het onze verwerking betreft en zij de informatie niet zelf heeft.
Die bijstand rekenen wij aan tegen het uurtarief dat op dat moment geldt. Wij melden vooraf hoeveel tijd wij verwachten nodig te hebben en tegen welk tarief, en beginnen pas nadat u daarmee akkoord gaat.
Wat wij niet aanrekenen: het melden en opvolgen van een inbreuk (artikel 10), het antwoorden op een verzoek van een betrokkene (artikel 8), het beantwoorden van een controle (artikel 12), en een export bij het einde van de overeenkomst (artikel 9.2).
De school mag ten hoogste één keer per jaar controleren of wij deze overeenkomst naleven, na een aankondiging van dertig dagen, op onze kosten voor wat het antwoorden betreft en op haar kosten voor wat een externe auditor betreft. Wij mogen in de plaats daarvan een bestaand rapport of een schriftelijke vragenlijst aanbieden wanneer dat de vraag afdoende antwoordt.
Bij tegenspraak over gegevensbescherming heeft deze overeenkomst voorrang. Voor al het overige gelden de algemene voorwaarden.
De aansprakelijkheidsregeling van artikel 10 van de algemene voorwaarden geldt onverkort ook voor deze overeenkomst. De voorrang in de eerste alinea gaat over de inhoud van de verwerking en niet over de omvang van de aansprakelijkheid.
Identificatie en administratie. Naam, geboortedatum, geslacht, stamnummer, klas en inschrijvingen per schooljaar, de datum van eerste inschrijving, en een foto. Geen rijksregisternummer.
Bijzondere categorieën in de zin van artikel 9 AVG:
Welbevinden en relaties in de klas. De antwoorden van een leerling op een vragenlijst over hoe hij zich op school voelt, met eventueel een eigen woordje in vrije tekst, en in een sociogram de klasgenoten die hij aanduidt.
Schoolse resultaten. Toetsresultaten, leesniveaus, taalscreening, rapportcijfers en getuigschriften.
Afwezigheden. Het aantal problematische halve dagen per maand, zonder data en zonder redenen.
Het beleidsplan. Doelen, indicatoren, acties en evaluaties, waaraan leerlingen, klassen en leerkrachten met naam gekoppeld kunnen worden.
Vrije tekst. Notitievelden bij het zorgprofiel, een diagnose, resultaten en het beleidsplan.
Bestanden voor ondersteuning. Een klaslijst, personeelslijst of voorbeeldrapport dat niet ingelezen raakte en dat de school ons stuurt, en de bijlagen bij een hulpvraag. Andere bestanden worden in de browser gelezen; alleen de waarden en de bestandsnaam worden bewaard.
Accountgegevens van gebruikers: naam, e-mailadres, rol, uitnodigingen, aanmeldmomenten en aanmeldpogingen.
De actuele lijst met rol, locatie en wat er heen gaat, staat in de lijst met sub-verwerkers. Die pagina maakt deel uit van deze overeenkomst. Op de dag van deze versie:
| Sub-verwerker | Rol | Locatie |
|---|---|---|
| Supabase | database, aanmelden, bestandsopslag | Frankfurt (DE) |
| Railway | uitvoeren van de applicatie | EU (Amsterdam); Amerikaans bedrijf, met standaardcontractbepalingen |
| Resend | e-mail versturen en ontvangen | verzending vanuit Ierland (EU); Amerikaans bedrijf |
| PostHog | gebruiksstatistieken en crashmeldingen | Frankfurt (DE); Amerikaans bedrijf, met het EU-US Data Privacy Framework en standaardcontractbepalingen |