Verwerkersovereenkomst

Deze verwerkersovereenkomst geldt tussen een school of onderwijsinstelling (hierna: de School) die Digistudies inzet voor haar leerlingen en docenten, en Digistudies B.V., gevestigd te Amsterdam (KvK-nummer 70038031), hierna: Digistudies. De overeenkomst sluit aan op de Algemene Verordening Gegevensbescherming (AVG) en volgt de opzet van het Privacyconvenant Onderwijs. Bij een eigen getekende verwerkersovereenkomst met de School gaat die voor.

De overeenkomst gaat over gegevens die Digistudies in opdracht van de School verwerkt: accounts die via de School worden aangemaakt of via Entree Federatie inloggen, klassen in de docentenomgeving en licenties die de School afneemt. Voor accounts die ouders of leerlingen zelf afsluiten en betalen, is Digistudies zelf verwerkingsverantwoordelijke; daarvoor geldt de privacyverklaring.

1. Rollen

De School is verwerkingsverantwoordelijke en bepaalt het doel van de verwerking. Digistudies is verwerker en verwerkt de persoonsgegevens alleen in opdracht van de School en volgens haar schriftelijke instructies, tenzij een wettelijke plicht iets anders vereist. In dat geval informeert Digistudies de School vooraf, tenzij de wet dat verbiedt.

2. Doel van de verwerking

Digistudies verwerkt persoonsgegevens alleen om:

• leerlingen toegang te geven tot uitlegvideo's, oefeningen, samenvattingen en de AI-tutor;
• leerlingen te laten oefenen en hun voortgang bij te houden, zodat zij en hun docenten die kunnen zien;
• docenten klassen te laten beheren en gebruiksrapportages te sturen;
• licenties te activeren en de dienst te beveiligen, te onderhouden en te ondersteunen.

Digistudies gebruikt deze gegevens niet voor eigen doeleinden, niet voor advertenties en verkoopt ze niet door.

3. Geheimhouding

Alleen medewerkers en ingehuurde ontwikkelaars van Digistudies die dat voor hun werk nodig hebben, hebben toegang tot de persoonsgegevens. Zij zijn gebonden aan geheimhouding.

4. Beveiliging

Digistudies neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen tegen verlies en onrechtmatige verwerking, waaronder:

• alle verbindingen verlopen versleuteld via HTTPS;
• wachtwoorden worden alleen als hash opgeslagen; inloggen kan ook via Entree Federatie;
• toegangssleutels en wachtwoorden van systemen staan in een afgeschermde secrets-manager, niet in de broncode;
• beheertoegang tot servers en database is beperkt tot een klein aantal personen;
• dagelijkse back-ups binnen de EER, die na maximaal 30 dagen worden verwijderd;
• applicatielogs worden na 30 dagen automatisch verwijderd;
• regelmatige beveiligingscontroles van de code en de infrastructuur.

5. Subverwerkers

De School geeft Digistudies toestemming om de onderstaande subverwerkers in te zetten. Digistudies legt hun dezelfde verplichtingen op als in deze overeenkomst staan en blijft tegenover de School verantwoordelijk. Bij een nieuwe of vervangende subverwerker past Digistudies deze pagina aan en informeert zij de School vooraf; de School kan op redelijke gronden bezwaar maken.

Inloggen via Entree Federatie verloopt via Kennisnet; Kennisnet is daarbij geen subverwerker van Digistudies maar een dienst die de School zelf afneemt. De statistieken en foutmeldingen van de applicatie verwerkt Digistudies op eigen servers bij Hetzner, zonder externe analysediensten.

6. Doorgifte buiten de EER

De opslag van gegevens vindt plaats binnen de Europese Economische Ruimte. Waar een subverwerker gegevens buiten de EER verwerkt, gebeurt dat alleen op basis van een adequaatheidsbesluit (zoals het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie. Bij de AI-functies gaan alleen de teksten, antwoorden of foto's mee die nodig zijn; geen namen of e-mailadressen.

7. Datalekken

Digistudies meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging, en uiterlijk binnen 24 uur nadat zij ervan op de hoogte is, aan de contactpersoon van de School. De melding bevat de informatie die de School nodig heeft om zelf aan de Autoriteit Persoonsgegevens en de betrokkenen te melden. Digistudies neemt direct maatregelen om de gevolgen te beperken en houdt een register bij van alle inbreuken.

8. Rechten van betrokkenen

Vraagt een leerling, ouder of docent om inzage, correctie of verwijdering, dan stuurt Digistudies het verzoek door naar de School en helpt zij de School om het af te handelen. Een docent kan een leerling zelf uit een klas verwijderen; volledige verwijdering van een account voert Digistudies binnen vier weken uit.

9. Controle

Digistudies geeft de School op verzoek de informatie die nodig is om na te gaan of deze overeenkomst wordt nageleefd, en werkt mee aan een redelijke audit, op kosten van de School en na afspraak over het tijdstip.

10. Bewaren en verwijderen

Digistudies bewaart de persoonsgegevens niet langer dan nodig is voor het doel. Na het einde van de overeenkomst, of eerder op verzoek van de School, verwijdert of anonimiseert Digistudies de gegevens binnen drie maanden, tenzij een wettelijke bewaarplicht geldt (zoals de fiscale bewaarplicht van zeven jaar voor facturen). Kopieën in back-ups verdwijnen binnen 30 dagen daarna vanzelf.

11. Duur en aansprakelijkheid

Deze overeenkomst loopt zolang Digistudies in opdracht van de School persoonsgegevens verwerkt. De aansprakelijkheid volgt de afspraken tussen de School en Digistudies over de dienst, of bij gebrek daaraan de algemene voorwaarden.

Bijlage 1: categorieën persoonsgegevens

• Leerlingen: naam, e-mailadres, school, klas, niveau en leerjaar, inloggegevens of de Entree-ID;
• Leerresultaten: bekeken video's, gemaakte oefeningen en antwoorden, oefenvoortgang, woordenlijsten en berichten aan de AI-tutor;
• Docenten: naam, e-mailadres, school en de klassen die zij beheren;
• Technisch: IP-adres, browser en tijdstippen van gebruik, voor beveiliging en foutopsporing.

Digistudies verwerkt geen bijzondere persoonsgegevens en geen burgerservicenummers.

Contact

Vragen over deze overeenkomst, een getekend exemplaar of het melden van een incident: info@digistudies.nl.

Laatst bijgewerkt: 10 november 2026.