Privacyverklaring

1. Verwerkingsverantwoordelijke en verwerker

Op grond van de AVG is voor de verwerking van persoonsgegevens in dit Platform een onderscheid tussen twee rollen:

• Verwerkingsverantwoordelijke: de onderwijsinstelling die het Bernadet.-platform gebruikt. De school bepaalt het doel en de middelen van de verwerking.
• Verwerker: de onderneming die het Platform technisch aanbiedt en persoonsgegevens verwerkt in opdracht van de school.

De verwerker is:

De relatie tussen school en verwerker is vastgelegd in de verwerkersovereenkomst (DPA).

2. Welke gegevens verwerken wij?

• Identificatiegegevens: naam, e-mailadres, telefoonnummer, studentnummer
• Adresgegevens: straat, postcode, stad
• Geboortedatum
• Opleidingsgegevens: school, campus, opleiding, academiejaar
• Stagegegevens: stagegever, vestiging, mentor, begeleider, contractstatus
• Urenstaten: gewerkte uren, beschrijvingen, goedkeuringsstatus
• Kalendergegevens: werkdagen, afwezigheden, vakanties
• Evaluaties: beoordelingen door mentor en begeleider
• Gezondheidsgegevens: doktersattesten bij ziekte (bijzondere categorie, Art. 9 AVG)
• Technische gegevens: IP-adres bij digitale ondertekening, tijdstip van je laatste login en het aantal keren dat je inlogde (enkel een teller: geen IP-adres en geen lijst van logins)
• Gegevens van je eID-kaart (enkel als je met eID ondertekent): de naam op het kaartcertificaat, de uitgever en geldigheid, een vingerafdruk van het certificaat en een versleutelde afgeleide van het serienummer van je kaart, om je kaart aan je account te koppelen. Je rijksregisternummer zelf wordt niet bewaard.

3. Rechtsgrond

• Uitvoering van een overeenkomst (Art. 6.1.b AVG): noodzakelijk voor het beheer van stagecontracten
• Wettelijke verplichting (Art. 6.1.c AVG): onderwijswetgeving vereist stagebegeleiding en -documentatie
• Gerechtvaardigd belang (Art. 6.1.f AVG): platformbeveiliging, audit trail, en gebruiksstatistieken per school en per werkgever voor de platformbeheerder (enkel aantallen, nooit per persoon)

Dezelfde rechtsgronden gelden voor minderjarige studenten. Toestemming (Art. 6.1.a en Art. 8 AVG) is geen rechtsgrond voor de verwerking via het platform; zie ook punt 8.

4. Bewaartermijnen

• Actieve contracten: gedurende de looptijd + archivering
• Gearchiveerde contracten: conform de wettelijke bewaartermijn van de school
• Verwijderde accounts: definitief gewist na 2 jaar
• Doktersattesten: automatisch verwijderd 3 maanden na goedkeuring
• Activiteitenlog: automatisch opgeschoond na 1 jaar
• Laatste login en aantal logins: zolang het account bestaat
• Notificaties: automatisch verwijderd na 1 jaar

5. Ontvangers van gegevens

Persoonsgegevens worden gedeeld met:

• De school (schoolbeheerder, campusbeheerder, stagebegeleider) — voor stagebegeleiding en -beoordeling
• De stagegever (mentor, vestigingscontact) — voor de uitvoering van de stage
• De volgende subverwerkers in opdracht van de verwerker:

Je gegevens worden opgeslagen op een server binnen de Europese Economische Ruimte (EER), in een datacenter te Amsterdam. Bijzondere categorieën van gegevens (zoals doktersattesten) verlaten de EER niet. Enkele subverwerkers zijn wel een in de Verenigde Staten gevestigde onderneming of hebben een Amerikaanse moederonderneming; voor die doorgifte gelden passende waarborgen, namelijk het EU-US Data Privacy Framework en de door de Europese Commissie vastgestelde Standaardcontractbepalingen (SCC).

6. Jouw rechten

Op grond van de AVG heb je de volgende rechten:

• Recht op inzage (Art. 15): bekijk en exporteer je gegevens via "Mijn gegevens (AVG)" in het platform
• Recht op rectificatie (Art. 16): neem contact op met je school om onjuiste gegevens te corrigeren
• Recht op wissing (Art. 17): dien een verwijderingsverzoek in via het platform
• Recht op beperking (Art. 18): neem contact op met je school
• Recht op overdraagbaarheid (Art. 20): exporteer je gegevens als JSON via het platform
• Recht van bezwaar (Art. 21): neem contact op met je school

7. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om je gegevens te beschermen:

• Versleutelde verbinding (HTTPS)
• Wachtwoordbeveiliging en rate limiting
• Rolgebaseerde toegangscontrole (alleen betrokkenen zien relevante gegevens)
• Audit trail van alle wijzigingen
• Beveiligde opslag van documenten (niet publiek toegankelijk)

8. Minderjarigen

Ook voor studenten jonger dan 18 jaar rust de verwerking op de onderwijsopdracht van de school en het stagecontract. De school informeert de ouder of voogd: die krijgt een e-mail en bevestigt één keer dat hij of zij op de hoogte is en akkoord gaat, voordat de student een stage kan aanvragen. Dat akkoord is een organisatorische afspraak van de school, geen toestemming in de zin van de AVG. Voor dat akkoord bewaart het platform het e-mailadres van de ouder of voogd, het tijdstip van het akkoord en het IP-adres waarmee het bevestigd werd.

Een school kan instellen dat een ouder of voogd het stagecontract van een minderjarige student mee ondertekent. De ouder krijgt dan een persoonlijke link per mail en tekent zonder account. Het platform bewaart daarvoor de getypte naam van de ouder, het e-mailadres, het tijdstip en het IP-adres van de handtekening. Dat gebeurt voor de uitvoering van het stagecontract (Art. 6.1.b AVG), niet op basis van toestemming.

De ouder of voogd kan ook een opmerking bij het contract sturen. Daarvoor bewaart het platform de getypte naam, de tekst van de opmerking en het IP-adres. Die gegevens staan in het activiteitenlog (1 jaar bewaard) en in een melding aan de begeleider van de school en aan de student.

9. Privacy-contactpunt en Functionaris Gegevensbescherming (DPO)

De verwerker heeft geen formele Functionaris Gegevensbescherming (DPO) aangesteld. Deze keuze is onderbouwd in de verwerkersovereenkomst op basis van artikel 37.1 AVG (geen publieke autoriteit, geen kernactiviteit in grootschalige monitoring, geen grootschalige verwerking van bijzondere categorieën als primaire activiteit).

Voor alle privacygerelateerde vragen, verzoeken van betrokkenen of incidentmeldingen is wél een Privacy-contactpunt ingesteld:

10. Klachten bij de toezichthouder

Als je vragen of klachten hebt over de verwerking van je persoonsgegevens, neem dan eerst contact op met je school (verwerkingsverantwoordelijke) of met het Privacy-contactpunt hierboven. Je hebt ook het recht om een klacht in te dienen bij de bevoegde toezichthouder: