Privacyverklaring

1. Wie is verantwoordelijk voor jouw gegevens

Voor de gegevens van leerlingen en personeel is je school de verwerkingsverantwoordelijke. De school beslist welke gegevens in Edukit terechtkomen, waarvoor ze dienen en hoe lang ze blijven. Edukit verwerkt die gegevens als verwerker, uitsluitend op instructie van de school en volgens de verwerkersovereenkomst die met de school is gesloten.

Voor een beperkt aantal verwerkingen is Edukit zelf verwerkingsverantwoordelijke: de accounts en sessies van gebruikers, de beveiligings- en auditlogboeken, de registratie van de bevestiging van deze documenten, de accounts van Edukit-medewerkers en de contract- en contactgegevens van de school. Die verwerkingen staan in punt 3.

Vragen over de gegevens die je school in Edukit beheert, stel je aan je school. Vragen over de verwerkingen waarvoor Edukit zelf verantwoordelijk is, stel je aan contact@edukit.be.

2. Edukit als verwerker voor je school

De school gebruikt Edukit voor het beheer van haar toestellen en gebruikers. Daarbij verwerkt Edukit, op instructie van de school, de volgende categorieën van gegevens:

• Identiteit en account. Naam, Smartschool-gebruikersnaam en het daarvan afgeleide e-mailadres, rol (leerling, leerkracht, directie, beheerder), klas en, als de school dat inschakelt, de profielfoto uit Smartschool en een kaart- of QR-code. Deze gegevens worden vanuit Smartschool gesynchroniseerd; de school beheert ze daar.
• Toestellen. Welk toestel aan wie is toegewezen, de historiek van toewijzingen, teruggaves en statuswijzigingen, schadedossiers met de foto's die de school toevoegt, stopzettingen en toestellen die niet werden ingeleverd (met de naam van de laatste houder).
• Contracten over een toestel. Geeft de school een toestel in bruikleen of huur, dan legt ze daarover een overeenkomst vast met een leerling of een personeelslid: de naam, de gebruikersnaam en de klas van de houder, het toestel, de periode, de toebehoren, de betalingsvoorwaarden van de school zelf en eventuele notities. De school kan er betalingen bij registreren: het verwachte bedrag, de omschrijving en de notitie die de school er zelf bij zet, de vervaldatum, en of en wanneer een personeelslid de betaling als ontvangen aanduidde. Edukit registreert betalingen en verwerkt ze nooit: er is geen betaalwijze, geen bank- of kaartgegeven, en er gaat nooit geld via Edukit. Wat de school zelf als bewijsstuk uploadt, kan Edukit niet begrenzen: de school bepaalt wat daarin terechtkomt. Bij een overeenkomst kan de school documenten bewaren: een scan van het ondertekende papieren contract, een bewijsstuk bij een betaling, en de documenten die Edukit uit het contractsjabloon van de school genereert, met daarin de naam, de klas, het toestel en de bedragen van de houder. Zo'n contract kan de school afdrukken, of, wanneer ze daarvoor kiest, als bijlage bezorgen in de Smartschool-inbox van de houder zelf.
• Accounts bij andere diensten. Als de school haar Google Workspace- of Microsoft Entra-omgeving koppelt, maakt Edukit op instructie van de school accounts en groepen aan op basis van naam, gebruikersnaam en klas. Een tijdelijk wachtwoord wordt versleuteld en kortstondig bewaard tot het is bezorgd.
• Berichten en meldingen. Meldingen in het platform, en berichten die de school via automatiseringen laat versturen via Smartschool of een Microsoft Teams-kanaal van de school. De school bepaalt zelf de inhoud en de ontvanger. Een automatisering op een contract over een toestel kan de naam, de klas en het bedrag van de houder bevatten, en de school kan ze richten aan een co-account in Smartschool, bijvoorbeeld dat van een ouder, of aan het Teams-kanaal van de school.
• Deliberaties en stemmingen. Stemmen in een deliberatiesessie zijn anoniem: er wordt geen identiteit bij bewaard, alleen een willekeurig token in de browser van de deelnemer.
• Exports. Overzichten (Excel) die een beheerder van de school zelf aanmaakt en downloadt. Foto's zitten daar nooit in.

De rechtsgrond voor deze verwerkingen bepaalt de school. Voor Vlaamse scholen is dat in de regel haar wettelijke onderwijsopdracht en de verplichtingen die daaruit volgen, niet jouw toestemming. Edukit vraagt dan ook nooit toestemming voor de verwerking van deze gegevens.

3. Verwerkingen waarvoor Edukit zelf verantwoordelijk is

Om het platform veilig en aantoonbaar correct te laten werken, verwerkt Edukit onder eigen verantwoordelijkheid:

• Sessies en aanmelding. Bij het inloggen via Smartschool krijg je een sessie. We bewaren het tijdstip, het IP-adres en de browser van die sessie, zodat je in je accountinstellingen kunt zien op welke toestellen je bent aangemeld en ze kunt afmelden. Rechtsgrond: uitvoering van de dienst en ons gerechtvaardigd belang in beveiliging.
• Beveiligings- en auditlogboeken. Technische logbestanden van het platform (aangevraagde pagina's, tijdstippen, IP-adres en het land dat Cloudflare daaruit afleidt, foutmeldingen) en een auditspoor van de acties van Edukit-medewerkers, waaronder elke ondersteuningssessie waarbij een medewerker met opgave van reden alleen-lezen meekijkt in een school. Rechtsgrond: gerechtvaardigd belang in beveiliging, fraudepreventie en verantwoording.
• Bevestiging van documenten. Wanneer je deze privacyverklaring leest en bevestigt, of een beheerder namens de school de gebruiksvoorwaarden of de verwerkersovereenkomst aanvaardt, registreren we de versie, het tijdstip, het IP-adres, de browser en de taal, en voor een aanvaarding namens de school ook de naam van wie aanvaardde. Rechtsgrond: gerechtvaardigd belang om aan te tonen welke versie werd getoond en aanvaard (verantwoordingsplicht).
• Accounts van Edukit-medewerkers. E-mailadres, versleuteld wachtwoord en tweestapsverificatie van de medewerkers die het platform beheren. Rechtsgrond: uitvoering van de arbeids- of dienstenovereenkomst.
• Contract en contact met de school. Contactpersonen, offertes, facturen en supportcommunicatie. Rechtsgrond: uitvoering van de overeenkomst en de wettelijke boekhoudverplichtingen.

4. Cookies en lokale opslag

Edukit gebruikt geen analyse-, tracking- of marketingcookies en geen diensten van derden die je surfgedrag volgen. We plaatsen alleen wat nodig is om het platform te laten werken:

• Sessiecookie. Houdt je aangemeld. Verloopt 7 dagen na je laatste activiteit; voor Edukit-medewerkers na 12 uur.
• Aanmeldcookie Smartschool. Beveiligt het inloggen via Smartschool en verloopt na vijf minuten.
• Voorkeuren. Je taalkeuze (één jaar) en of de zijbalk open of dicht staat. Je thema en enkele scherminstellingen bewaart je browser lokaal.
• Ondersteuningssessie. Alleen bij Edukit-medewerkers: een cookie die hun eigen sessie bewaart terwijl ze maximaal één uur alleen-lezen meekijken in een school.
• Deliberatie. Wie deelneemt aan een stemming krijgt een willekeurig token in de lokale opslag van de browser. Het bevat geen identiteit.

5. Wie de gegevens ontvangt

Gegevens zijn zichtbaar voor de beheerders en personeelsleden van je eigen school, volgens de rollen en rechten die de school toekent. Een school ziet nooit gegevens van een andere school. Edukit-medewerkers hebben alleen toegang voor ondersteuning, met opgave van reden, alleen-lezen en gelogd.

Voor de werking van het platform zetten we de volgende dienstverleners in als subverwerker:

Daarnaast wisselen we gegevens uit met diensten die je school zelf gebruikt en waarvoor de school haar eigen afspraken heeft: Smartschool (aanmelden en synchroniseren van gebruikers), en Google Workspace, Microsoft Entra of Microsoft Teams wanneer de school die koppelt. Wie meldingen op zijn toestel inschakelt, ontvangt die via de pushdienst van zijn browser (Google, Apple, Mozilla of Microsoft); die dienst krijgt alleen een anoniem adres en een versleuteld bericht.

We verkopen nooit gegevens en geven ze alleen door aan overheden wanneer de wet dat verplicht.

6. Doorgifte buiten de Europese Economische Ruimte

Onze databank, bestandsopslag, logbestanden en foutmonitoring staan in de Europese Unie. Cloudflare en de pushdiensten van browsers kunnen verkeer buiten de EER verwerken; daarvoor gelden de standaardcontractbepalingen van de Europese Commissie en, waar van toepassing, het EU-VS Data Privacy Framework. Wanneer de school Google Workspace of Microsoft Entra koppelt, gebeurt de doorgifte naar die diensten onder de overeenkomst die de school zelf met hen heeft.

7. Hoe lang we gegevens bewaren

Gegevens die we als verwerker beheren, bewaren we zolang de school dat bepaalt en uiterlijk tot 90 dagen na het einde van de overeenkomst met de school. Concreet:

Verdwijnt een gebruiker uit Smartschool, of verwijdert de school hem zelf uit Edukit, dan blijft een contract over een toestel bestaan met de naam die erop geregistreerd staat: de school moet haar toestel kunnen terugvragen. Vraagt de school om de gegevens van die persoon te wissen, dan verdwijnen ook de naam op het contract, de notities, de documenten en de bestanden die de school erbij bewaarde. Wat een personeelslid zelf bij de toebehoren, de betalingsvoorwaarden of de omschrijving van een betaling typte, blijft wel staan: die tekst beschrijft de afspraak en niet de persoon, en de school bepaalt zelf wat ze erin schrijft.

Na het einde van de overeenkomst kan de school haar gegevens nog 30 dagen exporteren. Daarna verwijderen we ze binnen 90 dagen, met inbegrip van de contracten over toestellen en de documenten en bestanden die daarbij horen; back-ups verlopen automatisch binnen 30 dagen daarna.

8. Hoe we gegevens beveiligen

Alle verbindingen zijn versleuteld (TLS). Toegangsgegevens tot Smartschool, Google en Microsoft, tijdelijke wachtwoorden en de inhoud van geplande berichten worden bovendien versleuteld opgeslagen (AES-256). Elke opvraging is strikt beperkt tot de eigen school en tot de rol en rechten van de gebruiker. Edukit-medewerkers gebruiken verplicht tweestapsverificatie en bevestigen hun wachtwoord opnieuw voor ingrijpende handelingen; hun acties worden gelogd. Foto's en documenten worden in een private opslag bewaard en alleen via het platform getoond aan wie er recht op heeft. De volledige lijst van maatregelen staat in bijlage 3 van de verwerkersovereenkomst.

9. Jouw rechten

Je hebt het recht op inzage, verbetering, verwijdering, beperking van de verwerking, overdraagbaarheid van je gegevens en bezwaar, binnen de grenzen van de AVG.

Voor de gegevens die je school in Edukit beheert, richt je je tot je school: zij is verwerkingsverantwoordelijke en Edukit helpt haar om binnen de wettelijke termijn te antwoorden. Een verzoek dat rechtstreeks bij Edukit toekomt, geven we zonder uitstel aan de school door. Voor de verwerkingen in punt 3 kun je terecht bij contact@edukit.be; we antwoorden binnen een maand, in complexe gevallen verlengd met maximaal twee maanden.

Ben je niet tevreden, dan kun je een klacht indienen bij de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, +32 (0)2 274 48 00, contact@apd-gba.be.

10. Leerlingen en ouders

Scholen verwerken gegevens van leerlingen in het kader van hun onderwijsopdracht. Edukit werkt daarbij in opdracht van de school en vraagt leerlingen of ouders nooit om toestemming; er is dus ook geen ouderlijke toestemming nodig voor het gebruik van Edukit. De school informeert leerlingen en ouders over de verwerking van hun gegevens, onder meer via haar eigen privacyverklaring en schoolreglement. Ouders die vragen hebben over de gegevens van hun kind in Edukit, nemen contact op met de school.

11. Wijzigingen van deze verklaring

Elke nieuwe versie van deze verklaring wordt in het platform gepubliceerd met een versienummer en de datum waarop ze van kracht wordt; die staan bovenaan deze pagina. Bij een inhoudelijke wijziging vragen we je bij je volgende aanmelding om de nieuwe versie te lezen en te bevestigen dat je ze gelezen hebt. Die bevestiging is geen toestemming voor de verwerking: ze bevestigt alleen dat je geïnformeerd werd.

12. Contact

Edukit, contact@edukit.be. Vermeld bij een vraag over je gegevens de naam van je school, zodat we je vraag aan de juiste verwerkingsverantwoordelijke kunnen koppelen.