Verwerkersovereenkomst

Deze verwerkersovereenkomst is van toepassing tussen:

Gezamenlijk aangeduid als "Partijen".

• AVG: Verordening (EU) 2016/679, de Algemene Verordening Gegevensbescherming.
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals bedoeld in artikel 4 lid 1 AVG.
• Verwerking: elke handeling met betrekking tot persoonsgegevens, zoals verzamelen, vastleggen, opslaan, wijzigen, raadplegen, verstrekken of vernietigen.
• Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben — voornamelijk docenten en deelnemers.
• Datalek: een inbreuk op de beveiliging die per ongeluk of onrechtmatig leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of toegang tot persoonsgegevens.
• Sub-verwerker: een derde partij die door de Verwerker wordt ingeschakeld om persoonsgegevens te verwerken in opdracht van de Verwerkingsverantwoordelijke.

Deze overeenkomst regelt de verwerking van persoonsgegevens door LectaMe in het kader van de levering van het LectaMe-platform — een AI-ondersteund presentatie- en interactieplatform voor onderwijs en training.

De overeenkomst treedt in werking op het moment dat de Opdrachtgever LectaMe in gebruik neemt (door account­aanmaak of door een sessie te organiseren waarin gegevens van deelnemers worden verwerkt) en blijft van kracht zolang LectaMe persoonsgegevens verwerkt namens de Opdrachtgever.

De overeenkomst eindigt automatisch wanneer LectaMe geen persoonsgegevens meer voor de Opdrachtgever verwerkt, of bij schriftelijke opzegging door één van de Partijen met inachtneming van de in de hoofdovereenkomst opgenomen termijn.

• Opdrachtgever is verwerkings­verantwoordelijke voor verwerkingen die plaatsvinden in het kader van zijn of haar onderwijs- of trainings­activiteiten met LectaMe.
• LectaMe is verwerker voor verwerkingen die in opdracht van de Opdrachtgever plaatsvinden.
• Voor verwerkingen die LectaMe voor eigen bedrijfsdoeleinden verricht (zoals accountbeheer, beveiliging, facturatie, eigen marketing) is LectaMe zelf verwerkings­verantwoordelijke. Deze overeenkomst ziet daar niet op; zie daarvoor het privacybeleid.

LectaMe verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Opdrachtgever. Deze overeenkomst, de algemene voorwaarden en het privacybeleid samen vormen die instructies, samen met instellingen die de Opdrachtgever in de applicatie maakt (bijvoorbeeld de keuze om AI-functies of analytics aan of uit te zetten).

LectaMe stelt de Opdrachtgever in kennis als zij meent dat een instructie inbreuk maakt op de AVG.

Binnen de begeleidings- en ontwikkelomgevingen van LectaMe leggen betrokkenen gegevens vast met het oog op hun eigen professionele ontwikkeling: reflecties, coachgesprekken, observaties en afspraken met een begeleider. Deze gegevens hebben in het systeem het privacybereik privé of coaching en zijn technisch gescheiden van de formele ruimte waarin beoordeling plaatsvindt.

Gegevens die binnen LectaMe als coachinggegevens zijn vastgelegd, worden uitsluitend verwerkt ten behoeve van professionele ontwikkeling en begeleiding. Zij worden niet verstrekt aan leidinggevenden, HR, beoordelaars of andere vertegenwoordigers van de opdrachtgever en worden niet gebruikt voor formele personeelsbeoordeling, tenzij de betrokkene de betreffende gegevens zelf doelbewust naar de formele ruimte heeft overgebracht.

• Het aanmaken en bewerken van presentaties, inclusief eventueel AI-gegenereerde inhoud op verzoek van de docent.
• Het organiseren en faciliteren van live sessies waarbij deelnemers via een sessiecode of QR-code meedoen.
• Het vastleggen en aan de docent presenteren van antwoorden en reacties van deelnemers, voor formatieve doeleinden.
• Beheer en authenticatie van accounts van de Opdrachtgever en diens medewerkers.
• Logging en monitoring ten behoeve van beveiliging en stabiliteit.
• Het ondersteunen van begeleiding en beroepsontwikkeling van studenten of medewerkers: leerdoelen, praktijkopdrachten, portfolio en bewijsstukken, feedback, begeleidingsgesprekken, planning, stage/BPV, examens en vrijstellingen — voor zover de Opdrachtgever de betreffende module afneemt.
• Het vastleggen van zelf- en begeleidersinschattingen op werkprocessen uit een kwalificatie- of competentieraamwerk, en het daaruit afleiden van voortgang en aandachtspunten.

• Docenten en beheerders van de Opdrachtgever die een account hebben.
• Deelnemers (typisch studenten of cursisten) die via een sessiecode meedoen aan een live sessie.
• Gasten die zonder account presentaties maken onder verantwoordelijkheid van de Opdrachtgever.
• Studenten met een account die binnen de begeleidings- en ontwikkelomgeving van de Opdrachtgever werken aan hun leerdoelen, portfolio en beroepsontwikkeling.
• Begeleiders van buiten de onderwijsinstelling zoals praktijkopleiders en werkbegeleiders van een leerbedrijf, die op uitnodiging met een student meekijken binnen de grenzen van hun rol en rechtenniveau.

LectaMe is niet ontworpen voor de structurele verwerking van bijzondere persoonsgegevens (artikel 9 AVG) of strafrechtelijke gegevens (artikel 10 AVG). De Opdrachtgever zorgt ervoor dat gebruikers binnen de eigen organisatie geen medische gegevens, diagnoses, religieuze overtuiging, etniciteit, seksuele gerichtheid of vergelijkbare gegevens invoeren in presentatie-inhoud, AI-prompts of sessiegegevens, tenzij daar vooraf een rechtmatige basis en passende maatregelen voor zijn ingericht.

LectaMe toont waar relevant in de interface waarschuwingen aan gebruikers om geen persoonsgegevens, patiëntgegevens of vertrouwelijke informatie in AI-prompts op te nemen.

Op één module geldt een uitzondering, en die is uitdrukkelijk zo ontworpen. De module Mijn Groei nodigt de betrokkene uit te reflecteren op welbevinden, balans, gewoontes, doelen en persoonlijke ervaringen. Een antwoord daarop kan informatie over iemands lichamelijke of psychische gezondheid onthullen. Partijen gaan er daarom van uit dat binnen Mijn Groei bijzondere persoonsgegevens in de zin van artikel 9 AVG kunnen worden verwerkt. Een verbod zou niet geloofwaardig zijn zolang de module bewust naar welbevinden vraagt; in plaats daarvan is de verwerking gereguleerd langs de voorwaarden in dit artikel.

Mijn Groei staat standaard UIT. De module wordt uitsluitend per instelling geactiveerd, nadat de Opdrachtgever schriftelijk heeft vastgesteld op welke grondslag uit artikel 6 AVG hij verwerkt, welke uitzondering uit artikel 9 lid 2 AVG hij inroept, en of een gegevensbeschermingseffectbeoordeling (DPIA) nodig is. Activering gebeurt technisch per organisatie; zonder die handeling bestaat de module voor de betrokkenen van de Opdrachtgever niet.

Alle medewerkers van LectaMe en alle bij LectaMe betrokken externe personen die toegang tot persoonsgegevens kunnen krijgen, zijn gebonden aan geheimhouding op grond van hun arbeids- of opdrachtovereenkomst of een aanvullende geheimhoudings­verklaring.

LectaMe neemt passende technische en organisatorische maatregelen om een beveiligingsniveau te waarborgen dat past bij het risico. Op hoofdlijnen gaat het om:

• Toegangsbeheer, authenticatie en op rollen gebaseerde autorisatie.
• Versleuteling van verbindingen en versleuteling van opslag op platformniveau.
• Logging en monitoring van security-relevante gebeurtenissen.
• Back-up en herstelvoorzieningen.
• Regelmatige updates en patching van componenten.
• Procedures voor incidentrespons.
• Toetsing van leveranciers en sub-verwerkers.
• Dataminimalisatie en doelbinding bij het ontwerp van functies.
• Periodieke evaluatie van de maatregelen.

Een toelichting op hoofdlijnen is te vinden op de beveiligingspagina. Aanvullende details kunnen onder geheimhoudings­afspraken worden gedeeld met scholen en organisaties die dat nodig hebben voor hun eigen toetsing.

De Opdrachtgever geeft hierbij algemene schriftelijke toestemming voor het inschakelen van de hieronder genoemde sub-verwerkers. Voor wijzigingen geldt de procedure in artikel 14.

LectaMe informeert de Opdrachtgever ten minste 30 dagen vóór een voorgenomen wijziging in de sub-verwerkers (toevoeging, vervanging of locatiewijziging). De Opdrachtgever kan binnen die termijn gemotiveerd bezwaar maken. Bij gegrond bezwaar zoeken Partijen naar een redelijke oplossing; lukt dat niet, dan kan de Opdrachtgever de overeenkomst opzeggen.

De primaire opslag vindt plaats binnen de EER. Voor sub-verwerkers waarbij verwerking (deels) buiten de EER kan plaatsvinden, hanteren we waarborgen zoals het EU-US Data Privacy Framework en/of Standard Contractual Clauses. De toepasselijke waarborg per sub-verwerker staat in de tabel hierboven.

LectaMe ondersteunt de Opdrachtgever bij het beantwoorden van verzoeken van betrokkenen (inzage, correctie, verwijdering, beperking, overdraagbaarheid, bezwaar) door waar mogelijk de benodigde gegevens toegankelijk te maken of te exporteren via de beheer­functies van het platform.

Bij verzoeken die de Opdrachtgever niet zelf kan afhandelen, helpt LectaMe op redelijke wijze met de gevraagde informatie.

LectaMe ondersteunt de Opdrachtgever bij het uitvoeren van een gegevens­beschermings­effect­beoordeling (DPIA) en bij een eventuele voorafgaande raadpleging van de toezichthouder, voor zover dat redelijkerwijs van LectaMe kan worden verwacht.

LectaMe meldt een mogelijk datalek zonder onredelijke vertraging aan de Opdrachtgever nadat LectaMe daarvan kennis heeft genomen. De Opdrachtgever beoordeelt vervolgens, als verwerkings­verantwoordelijke, of melding aan de toezichthouder (in beginsel binnen 72 uur na kennisname door de Opdrachtgever) en aan betrokkenen nodig is.

LectaMe documenteert alle datalekken en de naar aanleiding daarvan genomen maatregelen.

Op verzoek verstrekt LectaMe de Opdrachtgever redelijkerwijs beschikbare informatie waarmee de Opdrachtgever de naleving van deze overeenkomst kan toetsen. Een audit door of namens de Opdrachtgever is mogelijk op basis van een schriftelijke aankondiging, met inachtneming van een redelijke voorbereidings­tijd en bedrijfs­continuïteit, en onder geheimhoudings­afspraken. Eventuele kosten van een audit worden door de Opdrachtgever gedragen, tenzij de audit een wezenlijke tekortkoming aantoont.

Na beëindiging van de dienstverlening verwijdert LectaMe de persoonsgegevens uit actieve systemen binnen 30 dagen, tenzij wettelijke bewaarplichten anders vereisen. Op verzoek van de Opdrachtgever wordt vóór verwijdering een export beschikbaar gesteld in een gangbaar formaat.

Roterende back-ups die ten tijde van verwijdering nog persistent zijn, verdwijnen volgens het back-upschema van onze hostingprovider; in die periode blijven daarin opgeslagen gegevens versleuteld en niet toegankelijk voor productiegebruik.

De aansprakelijkheid van LectaMe onder deze overeenkomst sluit aan bij de aansprakelijkheidsregeling in onze algemene voorwaarden, behoudens voor zover dwingend recht hier anders over bepaalt (zoals artikel 82 AVG).

Bij strijdigheid tussen deze verwerkersovereenkomst, de algemene voorwaarden en het privacybeleid geldt de volgende rangorde:

1. Deze verwerkersovereenkomst (voor verwerkings­onderwerpen).
2. De algemene voorwaarden.
3. Het privacybeleid (als toelichting op de verwerking).

Vragen over deze verwerkersovereenkomst? Mail info@lynt.nl (onderwerp: Privacyverzoek) of info@lynt.nl. Bij klachten over de verwerking van persoonsgegevens kun je ook terecht bij de Autoriteit Persoonsgegevens.