Verwerkersovereenkomst Booster

1. Partijen en rollen

Partijen sluiten deze verwerkersovereenkomst voor zover WIESstudio bij de uitvoering van Booster persoonsgegevens verwerkt namens de verwerkingsverantwoordelijke.

2. Onderwerp van de verwerking

WIESstudio verwerkt persoonsgegevens voor zover dit noodzakelijk is om Booster aan de opdrachtgever beschikbaar te stellen en de afgesproken dienstverlening uit te voeren.

De verwerking kan onder andere betrekking hebben op:

• het beschikbaar stellen van de leerlingomgeving;
• het beschikbaar stellen van de leerkrachtomgeving;
• het beheren van accounts en toegang;
• het koppelen van NFC-armbanden;
• het registreren van deelname aan Booster-momenten;
• het toekennen en bijhouden van XP en voortgang;
• het beschikbaar maken van vrijgespeelde onderdelen;
• het verwerken van afgesproken reflectievragen;
• technisch beheer, beveiliging en ondersteuning;
• de afgesproken evaluatie van de pilot.

3. Persoonsgegevens en betrokkenen

Booster is ingericht volgens het uitgangspunt van gegevensminimalisatie: er worden niet meer persoonsgegevens verwerkt dan redelijkerwijs nodig is voor de afgesproken werking.

Categorieën betrokkenen

• leerlingen die deelnemen aan Booster;
• leerkrachten en andere bevoegde gebruikers;
• beheerders voor zover noodzakelijk.

Mogelijke leerlinggegevens

• voornaam;
• leerling- of account-ID;
• school en klas;
• Booster- of inlogcode;
• koppeling met een NFC-armband;
• deelname aan Booster-momenten;
• XP en voortgang;
• vrijgespeelde onderdelen en personalisatie;
• antwoorden op afgesproken reflectievragen.

4. Verwerking op instructie

WIESstudio verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders vereist.

WIESstudio gebruikt identificeerbare leerlinggegevens niet zelfstandig voor advertenties, commerciële leerlingprofielen of andere doeleinden die losstaan van de opdracht van de school.

Wanneer WIESstudio van mening is dat een instructie in strijd is met toepasselijke privacywetgeving, informeert WIESstudio de opdrachtgever daarover voor zover dit wettelijk is toegestaan.

Voor algemene productontwikkeling of communicatie gebruikt WIESstudio alleen gegevens die daarvoor daadwerkelijk zijn geanonimiseerd of voldoende zijn geaggregeerd zodat individuele leerlingen niet identificeerbaar zijn, tenzij hierover schriftelijk en rechtmatig andere afspraken zijn gemaakt.

5. Verantwoordelijkheden van de school

De school of het schoolbestuur blijft als verwerkingsverantwoordelijke verantwoordelijk voor de onderdelen die de AVG aan de verwerkingsverantwoordelijke toewijst.

Daaronder vallen onder andere:

• het bepalen van de doeleinden van de verwerking;
• het vaststellen van een geldige AVG-grondslag;
• het informeren van leerlingen en ouders/verzorgers;
• het beperken van de gegevens tot wat noodzakelijk is;
• het bepalen wie toegang mag hebben;
• het behandelen van verzoeken van betrokkenen;
• het beoordelen of een DPIA of andere aanvullende privacymaatregel noodzakelijk is.

6. Beveiliging

WIESstudio neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, onbevoegde toegang, ongeoorloofde wijziging of andere onrechtmatige verwerking.

Daarbij wordt waar passend onder andere aandacht besteed aan:

• beveiligde verbindingen;
• toegangsbeperking;
• unieke accounts en inlogmiddelen;
• beperking van beheertoegang;
• updates en technisch onderhoud;
• back-ups waar noodzakelijk;
• herstelmogelijkheden;
• beveiliging van hosting en databases;
• periodieke controle van toegangsrechten.

De beveiligingsmaatregelen worden afgestemd op de aard van de verwerking, de stand van de techniek en de redelijkerwijs voorzienbare risico’s.

7. Vertrouwelijkheid

Personen die onder verantwoordelijkheid van WIESstudio toegang hebben tot persoonsgegevens behandelen deze vertrouwelijk en verwerken deze alleen voor zover dat voor hun werkzaamheden noodzakelijk is.

Deze verplichting blijft gelden nadat de werkzaamheden of samenwerking zijn beëindigd.

8. Beveiligingsincidenten en datalekken

Wanneer WIESstudio kennis krijgt van een inbreuk in verband met persoonsgegevens die onder deze overeenkomst worden verwerkt, informeert WIESstudio de opdrachtgever zonder onredelijke vertraging.

WIESstudio verstrekt, voor zover beschikbaar en relevant, informatie die de opdrachtgever nodig heeft om het incident te beoordelen en aan eventuele wettelijke meldverplichtingen te voldoen.

Partijen werken waar nodig samen bij onderzoek, beperking van gevolgen en herstelmaatregelen.

De opdrachtgever blijft verantwoordelijk voor de beoordeling en eventuele melding aan de Autoriteit Persoonsgegevens en betrokkenen, tenzij wettelijk anders is bepaald.

9. Subverwerkers

WIESstudio mag voor de uitvoering van Booster gebruikmaken van andere dienstverleners die bij hun werkzaamheden persoonsgegevens kunnen verwerken.

Voor zover deze partijen als subverwerker optreden, zorgt WIESstudio voor passende contractuele afspraken over gegevensbescherming.

Tot de technische dienstverleners van Booster kunnen onder andere hosting- en applicatiedienstverleners behoren.

Wanneer een nieuwe subverwerker wordt ingezet die relevant is voor de verwerking van persoonsgegevens, wordt de opdrachtgever hierover volgens de gemaakte afspraken geïnformeerd en krijgt deze waar de AVG dat vereist de mogelijkheid bezwaar te maken.

Wanneer persoonsgegevens buiten de Europese Economische Ruimte worden verwerkt, zorgt WIESstudio ervoor dat daarvoor een geldige doorgiftegrondslag of andere passende waarborg bestaat voor zover dit wettelijk vereist is.

10. Rechten van betrokkenen

Wanneer een leerling, ouder/verzorger of andere betrokkene een privacyverzoek doet dat betrekking heeft op persoonsgegevens die WIESstudio namens de school verwerkt, ondersteunt WIESstudio de opdrachtgever waar dit redelijkerwijs nodig is.

WIESstudio handelt dergelijke verzoeken niet zelfstandig af wanneer de beslissing daarover bij de verwerkingsverantwoordelijke ligt, tenzij partijen hierover andere afspraken hebben gemaakt of de wet anders vereist.

11. Bewaartermijnen, verwijdering en anonimisering

Persoonsgegevens worden niet langer bewaard dan noodzakelijk voor de uitvoering van de afgesproken Booster-pilot of dienstverlening.

Voor de pilot geldt als uitgangspunt dat persoonsgegevens gedurende de pilot en maximaal zes maanden na afloop daarvan worden bewaard, tenzij een andere termijn schriftelijk is overeengekomen of een wettelijke verplichting een andere bewaartermijn vereist.

Daarna worden de persoonsgegevens verwijderd of daadwerkelijk geanonimiseerd.

Geanonimiseerde informatie die niet meer tot individuele personen kan worden herleid, kan worden gebruikt voor algemene evaluatie, statistiek en verdere ontwikkeling van Booster.

12. Controle, informatie en medewerking

WIESstudio verstrekt de opdrachtgever redelijke informatie die nodig is om aan te tonen dat de op WIESstudio als verwerker rustende verplichtingen worden nageleefd.

WIESstudio verleent binnen redelijke grenzen medewerking aan relevante controles, audits, DPIA’s en voorafgaande raadplegingen voor zover deze betrekking hebben op de verwerking binnen Booster.

Partijen stemmen de praktische uitvoering hiervan vooraf af, zodat de beveiliging, vertrouwelijkheid en continuïteit van Booster niet onnodig worden verstoord.

13. Aansprakelijkheid

Iedere partij is tegenover de andere partij verantwoordelijk voor schade die aan haar kan worden toegerekend als gevolg van een schending van deze verwerkersovereenkomst of toepasselijke privacywetgeving.

WIESstudio is tegenover de opdrachtgever niet aansprakelijk voor schade die uitsluitend voortvloeit uit een rechtmatige en correct uitgevoerde instructie van de opdrachtgever, tenzij WIESstudio de opdrachtgever volgens de wet had moeten waarschuwen dat de instructie onrechtmatig was.

De opdrachtgever is verantwoordelijk voor de rechtmatigheid van de doeleinden, grondslagen, instructies en persoonsgegevens waarvoor de AVG die verantwoordelijkheid aan de opdrachtgever toewijst.

Voor zover wettelijk toegestaan, is de contractuele aansprakelijkheid van WIESstudio tegenover de opdrachtgever beperkt tot het bedrag dat in het betreffende geval daadwerkelijk onder de toepasselijke aansprakelijkheidsverzekering van WIESstudio wordt uitgekeerd, vermeerderd met het toepasselijke eigen risico.

Wanneer geen uitkering onder een toepasselijke aansprakelijkheidsverzekering plaatsvindt, is de contractuele aansprakelijkheid van WIESstudio tegenover de opdrachtgever, voor zover wettelijk toegestaan, beperkt tot het bedrag dat de opdrachtgever voor de overeenkomst waarop de schade betrekking heeft aan WIESstudio heeft betaald.

Voor zover wettelijk toegestaan is WIESstudio niet aansprakelijk voor indirecte schade, gevolgschade, gederfde winst, gemiste besparingen of bedrijfsstagnatie.

Deze beperkingen gelden niet bij opzet of bewuste roekeloosheid van de bedrijfsleiding van WIESstudio en evenmin wanneer aansprakelijkheid op grond van dwingend recht niet mag worden beperkt.

Niets in deze overeenkomst beperkt de wettelijke rechten van betrokkenen op grond van de AVG of de bevoegdheden van de Autoriteit Persoonsgegevens of andere bevoegde toezichthouders.

14. Duur en einde van de overeenkomst

Deze verwerkersovereenkomst geldt zolang WIESstudio in opdracht van de opdrachtgever persoonsgegevens verwerkt in het kader van Booster.

Na beëindiging verwerkt WIESstudio de persoonsgegevens alleen nog voor zover dit noodzakelijk is voor verwijdering, teruggave, anonimisering of een wettelijke verplichting.

Bepalingen die naar hun aard na beëindiging moeten voortduren, waaronder vertrouwelijkheid en bepaalde beveiligings- en aansprakelijkheidsverplichtingen, blijven van toepassing.

15. Overzicht van de verwerking

Onderstaand overzicht vormt de basis van de verwerking binnen een Booster-pilot. Concrete afspraken kunnen per school of overeenkomst worden aangevuld.

16. Contact

Voor vragen over deze verwerkersovereenkomst of de verwerking van persoonsgegevens binnen Booster kan contact worden opgenomen met WIESstudio.