Privacy verklaring
Laatst bijgewerkt op basis van versie 2.4 (25 september 2023).
I: Algemene informatie
Naam product en/of dienst
Onderwijs in Beeld V.O.F.
Naam Verwerker en vestigingsgegevens
Onderwijs in Beeld V.O.F. Corleseweg 22 7102 EV, Winterswijk
Beknopte uitleg en werking product
Het in beeld brengen van leesvaardigheid en leesplezier van leerlingen middels spraak-naar-tekst algoritmen, zodat leerkrachten zonder extra tijdsinvestering preventief goede leesinstructie kunnen geven en beter leerlingen kunnen helpen met het kiezen van een leuk en passend boek.
Link naar leverancier en/of productpagina
https://www.schoollibraryapp.com/Doelgroep
Primair onderwijs, onderbouw en bovenbouw
Gebruikers
Leerlingen, leerkrachten, ondersteunend onderwijspersoneel en ondersteunde partners.
II: Standaard verwerkingen
Verwerkingen die een onlosmakelijk onderdeel vormen van de aangeboden basisdienstverlening door Onderwijs in Beeld.
- Het verwerken van persoonsgegevens waaronder de leesactiviteiten van individuele leerlingen (betrokkene) voor de leerling zelf.Onderwijs in Beeld houdt bij welke leerling welke boeken leest, wat de leerling van de boeken vindt en hoeveel bladzijden de leerling in de boeken gelezen heeft. Daarnaast verwerkt Onderwijs in Beeld leesopnames waaruit leesvaardigheidsdata van individuele leerlingen volgt. De resultaten worden systematisch opgeslagen zodat inzicht kan worden verkregen over de leesactiviteiten, de leesvaardigheidsontwikkeling en het leesplezier van de leerling.
- Het via Leesonderwijs in Beeld beschikbaar stellen van de persoonsgegevens, waaronder de leesprestaties van de individuele leerlingen aan de leerkrachten.Het dashboard, dat aan de Onderwijsinstelling, leerkracht en leerling ter beschikking wordt gesteld, biedt de mogelijkheid om in een oogopslag leesactiviteit, leesvaardigheidsontwikkeling en leesplezier van een leerling te zien. De administrator van de Onderwijsinstelling is verantwoordelijk voor het toebedelen van rechten aan specifieke gebruikers. Deze rechten bepalen welke gebruiker binnen het systeem de informatie van welke leerling mag inzien.
- Het maken van een back-up.De persoonsgegevens die door Onderwijs in Beeld worden verwerkt voor de Onderwijsinstelling worden via een back-up veiliggesteld. Mocht een server van Onderwijs in Beeld uitvallen dan is het mogelijk om, na herinstallatie, door te gaan met het gebruik van Onderwijs in Beeld, met minimaal verlies van de leesprestaties.
III: Doel van de standaard verwerkingen
Onderwijs in Beeld is leverancier van een digitaal product bestaande uit leer- en toetsmiddelen. Met de verwerking van persoonsgegevens binnen haar producten (zie onder II) ondersteunt zij de Onderwijsinstelling met het bereiken van de volgende doelstellingen.
- Het volgen van de leesvaardigheidsontwikkeling van leerlingen door de Onderwijsinstelling en/of leerkracht, inclusief begeleiding van onderwijsdeelnemers.
- de analyse en interpretatie van leesprestaties;
- de opslag van leesprestaties;
- het downloaden van leesprestaties door de Onderwijsinstelling;
- het creëren van een leesprofiel aan de hand van een beoordeling van de leeshistorie en bijhorende leesinteresses.
- Het geleverd krijgen/in gebruik kunnen nemen van Leesonderwijs in Beeld volgens de afspraken tussen Onderwijsinstelling en Leverancier.
- Het verkrijgen van toegang tot Onderwijs in Beeld en externe informatiesystemen, waaronder identificatie, authenticatie en autorisatie.
- De beveiliging, controle en preventie van misbruik en oneigenlijk gebruik en het voorkomen van inconsistentie en onbetrouwbaarheid in verwerkte persoonsgegevens.
- De continuïteit en goede werking van Onderwijs in Beeld volgens de gemaakte afspraken, waaronder onderhoud, back-ups en verbeteringen na geconstateerde fouten of onjuistheden.
- Onderzoek en analyse op basis van strikte voorwaarden, vergelijkbaar met bestaande gedragscodes voor onderzoek en statistiek, ten behoeve van (optimalisatie van) het leerproces of beleid van de Onderwijsinstelling.
- Het door de Onderwijsinstelling beschikbaar kunnen stellen van niet direct identificeerbare cq anonieme statistische gegevens voor onderzoeks- en analysed doeleinden om de kwaliteit van het onderwijs te verbeteren.
- Het beschikbaar stellen van persoonsgegevens voor zover noodzakelijk om te kunnen voldoen aan wettelijke eisen aan Digitale Onderwijsmiddelen.
- De uitvoering of toepassing van een andere wet.
IV: Categorieën en soorten persoonsgegevens
Omschrijving en opsomming van categorieën betrokkenen die gebruikt worden:
De verwerker hanteert bewaartermijnen van uiterlijk 3 maanden na uitschrijving.
- Leerkrachten
- Leerlingen
- Ondersteunend personeel
- Ondersteunende partners
| Status | Categorie | Toelichting |
|---|---|---|
| - | 1. Contactgegevens | Volledige naam, geslacht, geboortedatum, e-mail, schooljaar, klas |
| - | 2. Onderwijsdeelnemer nummer | Een administratienummer dat onderwijsdeelnemers identificeert |
| n.v.t. | 3. Nationaliteit | |
| n.v.t. | 4. Ouders, voogd | Gegevens als bedoeld onder 1, van de ouders of verzorgers van onderwijsdeelnemers |
| n.v.t. | 5. Medische gegevens | Gegevens die noodzakelijk zijn om de gezondheid of het welzijn van de betrokkene of op eigen verzoek, voor zover noodzakelijk voor het onderwijs |
| n.v.t. | 6. Godsdienst | Gegevens betreffende de godsdienst of levensovertuiging van de betrokkene, voor zover noodzakelijk voor het onderwijs of op eigen verzoek |
| - | 7. Studievoortgang | Resultaten van AVI-toetsen die met de Leesapp zijn afgenomen |
| - | 8. Onderwijsorganisatie | Gegevens om de organisatie van het onderwijs en het verstrekken of ter beschikking stellen van leermiddelen |
| n.v.t. | 9. Financiën | Gegevens voor het berekenen, vastleggen en innen van bijdragen/vergoedingen en bankrekeningnummer van de betrokkene |
| - | 10. Beeldmateriaal | Foto’s en videobeelden (met of zonder geluid) van activiteiten van de instelling of het instituut |
| - | 11. Docent, zorgcoördinator, intern begeleider, decaan, mentor | Gegevens van docenten en begeleiders, voor zover van belang voor de organisatie van de instelling en het geven van onderwijs |
| - | 12. Overige gegevens | Audio-opnames van hardop lezende leerlingen |
| n.v.t. | 13. BSN/PGN | |
| - | 14. Keten-ID (ECK-ID) | Uniek ID voor de educatieve contentketen, waarmee onderwijsinstellingen gegevens kunnen delen zonder directe herleidbaarheid naar deelnemers of docenten |
V: Opslag verwerking persoonsgegevens
Onderwijs in Beeld en haar Subverwerkers verwerken persoonsgegevens zoveel mogelijk binnen de Europese Unie. Uitsluitend wanneer de Onderwijsinstelling gebruikmaakt van klantenservice via WhatsApp, wordt gebruikgemaakt van een Subverwerker buiten de Europese Economische Ruimte. Deze Subverwerker is aangesloten bij het Data Privacy Framework.
VI: Subverwerkers
Onderwijsinstelling geeft Verwerker door ondertekening van de Verwerkersovereenkomst een algemene schriftelijke toestemming voor het inschakelen van Subverwerkers. Verwerker heeft het recht om gebruik te maken van andere Subverwerkers, mits daarvan vooraf mededeling wordt gedaan aan Onderwijsinstelling en Onderwijsinstelling daartegen binnen redelijke termijn bezwaar kan maken.
Verwerker maakt op het moment van afsluiten van de Verwerkersovereenkomst onder andere gebruik van de volgende belangrijke Subverwerkers:
Daarnaast maakt Verwerker gebruik van enkele andere Subverwerkers (ten behoeve van security monitoring, klantenservice, chat service, et cetera). Een lijst van deze Subverwerkers is te bekijken via: https://www.schoollibraryapp.com/subverwerkers.
- Onderwijs in Beeld V.O.F., Winterswijk, ten behoeve van een deel van de operationele uitvoering van de Verwerkersovereenkomst (opslag EU).
- Google Cloud Services, te Amsterdam, ten behoeve van hostingactiviteiten (opslag EU) en transcriptie van audiofragmenten.
VII: Contactgegevens
Voor vragen of opmerkingen over deze verklaring of de werking van dit product of deze dienst, kunt u terecht bij Onderwijs in Beeld V.O.F., Corleseweg 22, 7102 EV, Winterswijk, telefoonnummer 0850000536, [email protected] of bij de Functionaris Gegevensbescherming van Onderwijs in Beeld via [email protected].
VIII: Versie verwerkersovereenkomst
Versie 2.4, 25 september 2023
Bijlage 2: Technische en organisatorische beveiligingsmaatregelen
De Verwerker is overeenkomstig de AVG en artikel 7 en 8 van de Model Verwerkersovereenkomst verplicht passende technische en organisatorische maatregelen te nemen ter beveiliging van de verwerking van persoonsgegevens en om die maatregelen aan te tonen. Deze bijlage geeft een beknopte beschrijving en opsomming van die maatregelen.
Normen informatiebeveiliging
Verwerker is verplicht om aan Onderwijsinstelling aan te tonen of en hoe passende technische en organisatorische maatregelen zijn genomen om te waarborgen en te kunnen aantonen dat de verwerking plaatsvindt in overeenstemming met de AVG en de Model Verwerkersovereenkomst.
Minimale beveiligingsmaatregelen en aantoonbaarheid
- Een classificatie van het product of de dienst op het gebied van beschikbaarheid, integriteit en vertrouwelijkheid.Verwerker heeft de persoonsgegevens die worden verwerkt geclassificeerd op het gebied van beschikbaarheid, integriteit en vertrouwelijkheid. Op basis van die classificatie zijn beveiligingsmaatregelen genomen om risico’s te beperken. Onderwijs in Beeld gebruikt hiervoor de classificatietool Certificeringsschema Informatiebeveiliging en Privacy ROSA-versie 2.01 van Edustandaard. Jaarlijks wordt deze opnieuw ingevuld.
- Beschikbaarheid: Hoog (3)
- Integriteit: Midden (2)
- Vertrouwelijkheid: Hoog (3)
- Een beschrijving in welke mate aan de minimale beveiligingsmaatregelen in het kader van artikel 32 AVG wordt voldaan.
- Verwerker heeft passend beveiligingsbeleid voor verwerking van persoonsgegevens. Dit beleid wordt periodiek geëvalueerd en waar nodig aangepast. Uitgangspunt is EDU-standaard ROSA, gebaseerd op ISO 27001 en ISO 27002.
- Informatiebeveiligingsincidenten worden gedocumenteerd en gebruikt voor optimalisatie van het informatiebeveiligingsbeleid.
- Onderwijs in Beeld heeft een proces ingericht voor communicatie over informatiebeveiligingsincidenten.
- Met medewerkers worden geheimhoudingsverklaringen en informatiebeveiligingsafspraken gemaakt. Bewustwording, opleiding en training op informatiebeveiliging en privacy worden actief gestimuleerd. Via autorisatiesystematiek hebben medewerkers niet meer toegang dan noodzakelijk.
- Beschikbaarheid: actieve monitoring gebruikersverkeer, cold stand-by (in ontwikkeling naar warm stand-by), ontwerpcontroles op essentiële afhankelijkheden, continue monitoring met alerts, unit/integratie/end-to-end testen, periodieke patchmonitoring en DDOS-alerting met firewalls.
- Integriteit: monitoring essentiële velden, dagelijks volledige back-up en incrementeel per uur (RPO 1 uur), invoercontroles, logging met alerts en opvolging, unieke user ID’s, antivirus/malware/patch management/secure coding, logging van configuratiewijzigingen en ransomware-bewustwordingsmaatregelen.
- Vertrouwelijkheid: processen voor gegevensvernietiging op verzoek, role-based access met sterke wachtwoorden en periodieke vernieuwing, multi-factor authenticatie waar nodig, fysieke beveiliging via Google, netwerksegmentatie met whitelisting/firewalls, scheiding van omgevingen met gepseudonimiseerde testdata, encryptie in transport en opslag, logging en periodieke risico-/dreigingenanalyse met vulnerability scans en pentests.
- Een toetsing van getroffen maatregelen aan (inter)nationaal erkende normen en standaarden voor informatiebeveiliging.Jaarlijks toetst Onderwijs in Beeld de classificatie en de opzet en het bestaan van samenhangende maatregelen aan het Certificeringsschema informatiebeveiliging en privacy ROSA. Noodzakelijke acties worden geïdentificeerd en geprioriteerd om passende informatiebeveiliging van toevertrouwde persoonsgegevens te waarborgen.
- Beveiligingsincidenten en/of datalekken.In geval van een (vermoeden van) beveiligingsincident en/of datalek kan Onderwijsinstelling contact opnemen met Onderwijs in Beeld V.O.F., Corleseweg 22, 7102 EV, Winterswijk, telefoonnummer 0640545142, bereikbaar maandag t/m vrijdag van 09.00 tot 17.00 uur. Buiten deze tijden kan contact worden opgenomen via [email protected].
- Informeren over datalekken en/of beveiligingsincidenten.Onderwijs in Beeld hanteert een vast protocol voor meldingen van datalekken en/of incidenten. Onderwijs in Beeld informeert altijd de FG (bij afwezigheid de directie) van de Onderwijsinstelling, binnen maximaal 24 uur na constatering. De procedure bevat ten minste de volgende onderdelen:
- De manier waarop monitoring en identificatie van incidenten plaatsvindt.
- De manier waarop informatie wordt gedeeld (via e-mail, telefoon).
- Wie wordt geïnformeerd (contactpersonen en contactgegevens) en met wie Onderwijs in Beeld bij vervolgacties contact opneemt.
- Informatie die in ieder geval over een incident gedeeld wordt.
- Kenmerken van het incident (datum/tijd constatering, samenvatting, aard en impact op lezen/kopiëren/wijzigen/verwijderen/vernietigen/diefstal van persoonsgegevens).
- De oorzaak van het beveiligingsincident.
- Maatregelen die zijn getroffen om (verdere) schade te voorkomen.
- Betrokkenen die gevolgen kunnen ondervinden en de mate waarin.
- De omvang van de groep betrokkenen.
- Het soort gegevens dat is getroffen (met name bijzondere of gevoelige gegevens, zoals toegangs-/identificatiegegevens, financiële gegevens of leerprestaties).
- Eventuele afspraken of en hoe Verwerker een melding aan de Autoriteit Persoonsgegevens kan verrichten.