Verwerkersovereenkomst

Platform: de online dienstverlening van Teach Smarter Not Harder. Hieronder vallen het leer- en communityplatform (bereikbaar via onder meer teachsmarternotharder.nl, teachsmarter.nl en de daaraan gekoppelde (sub)domeinen van aangesloten organisaties) en de gekoppelde applicaties ExitTicket en EduEscape. Waar in deze overeenkomst 'het Platform' staat, wordt de gehele dienst bedoeld.

Apps: de afzonderlijke onderdelen van het Platform waarvoor per app een bijlage bij deze overeenkomst hoort. De bijlagen die van toepassing zijn, staan vermeld op het voorblad.

Centrale inlog: gebruikers hebben één account bij Teach Smarter Not Harder waarmee zij ook ExitTicket en EduEscape gebruiken. De accountgegevens worden centraal beheerd; per app worden alleen de gegevens verwerkt die in de betreffende bijlage staan.

Verwerkingsverantwoordelijke: de school, onderwijsinstelling, opleider of organisatie die het Platform gebruikt en zelf bepaalt voor welk doel en met welke middelen persoonsgegevens van haar gebruikers worden verwerkt.

Verwerker: Teach Smarter Not Harder, die in opdracht van de Verwerkingsverantwoordelijke persoonsgegevens verwerkt via het Platform.

Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals namen, e-mailadressen, voortgangsgegevens en geplaatste bijdragen.

AVG: Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming).

Deze verwerkersovereenkomst is van toepassing op alle verwerkingen die de Verwerker uitvoert in opdracht van de Verwerkingsverantwoordelijke en geldt zolang de Verwerkingsverantwoordelijke gebruikmaakt van het Platform.

Bij beëindiging van het gebruik worden de gegevens binnen 30 dagen verwijderd, tenzij wettelijke bewaarplichten anders vereisen.

De Verwerker verwerkt persoonsgegevens uitsluitend om de dienst te kunnen leveren: het aanbieden van een leeromgeving met cursussen, hoofdstukken en lessen, online workshops en challenges, een community met kanalen en berichten, digitale producten en downloads, het bijhouden van voortgang en toegangsrechten, het versturen van functionele en informatieve e-mails, en het afhandelen van eventuele betalingen.

De gegevens worden niet verkocht en niet gebruikt voor het trainen van AI-modellen.

E-mailadressen worden alleen gebruikt voor e-mails die samenhangen met het gebruik van het Platform (zoals accountmeldingen, cursusinformatie en — indien de gebruiker dat niet heeft uitgeschakeld — een periodieke community-update).

Categorieën betrokkenen: beheerders, docenten/medewerkers en deelnemers (cursisten, studenten of leerlingen) van de Verwerkingsverantwoordelijke.

Soorten gegevens: naam, e-mailadres, versleuteld wachtwoord, eventueel organisatie en functie, profielgegevens zoals gebruikersnaam en avatar, toegekende toegangslabels (tags), voortgang in cursussen en lessen, inschrijvingen voor workshops en challenges, geplaatste berichten, reacties en bijlagen, en bij aankopen de factuur- en transactiegegevens die via de betaaldienstverlener worden verwerkt.

Er worden geen bijzondere categorieën persoonsgegevens gevraagd. De Verwerkingsverantwoordelijke is verantwoordelijk voor de inhoud die door haar gebruikers wordt geplaatst en zorgt dat daarbij geen bijzondere persoonsgegevens worden gedeeld.

De Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, behalve wanneer dit op grond van de wet vereist is.

De Verwerker zorgt dat personen die toegang hebben tot de gegevens gebonden zijn aan geheimhouding.

De Verwerker neemt passende technische en organisatorische maatregelen (zie artikel 8).

De Verwerker ondersteunt de Verwerkingsverantwoordelijke bij verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking en dataportabiliteit) en bij een eventuele DPIA of overleg met de toezichthouder.

De Verwerker verleent de Verwerkingsverantwoordelijke op verzoek de informatie die nodig is om te kunnen aantonen dat aan deze overeenkomst wordt voldaan.

De Verwerker maakt gebruik van de volgende sub-verwerkers:

• Lovable Cloud (database, bestandsopslag en authenticatie) — gegevens worden opgeslagen binnen de EU.

• Lovable (hosting van de webapplicatie).

• Resend (verzending van transactionele en informatieve e-mail; verwerkt naam en e-mailadres van de ontvanger en de inhoud van het bericht).

• Stripe (afhandeling van betalingen en abonnementen; verwerkt naam, e-mailadres en betaalgegevens. Betaalgegevens komen niet op het Platform terecht).

• Lovable AI Gateway (Google Gemini en/of OpenAI) — uitsluitend voor AI-ondersteuning bij het opstellen van content door beheerders, zoals het genereren van teksten voor sales- en informatiepagina's. Er worden hierbij geen persoonsgegevens van deelnemers meegestuurd, en de aangeboden gegevens worden niet gebruikt voor modeltraining.

• Systeme.io (optionele synchronisatie van e-mailadres, voornaam en toegangslabels voor e-mailcommunicatie). Deze koppeling is per organisatie uit te schakelen.

Wijzigingen in de lijst van sub-verwerkers worden vooraf gecommuniceerd via e-mail of via de website. De Verwerkingsverantwoordelijke kan binnen 14 dagen schriftelijk bezwaar maken.

Persoonsgegevens worden in beginsel verwerkt binnen de Europese Economische Ruimte (EER).

Als gegevens worden doorgegeven naar landen buiten de EER, gebeurt dit op basis van Standard Contractual Clauses (SCC's) of een ander erkend overdrachtsmechanisme.

De Verwerker neemt passende technische en organisatorische maatregelen, waaronder:

• Versleutelde verbindingen (HTTPS/TLS) voor al het verkeer.

• Versleutelde opslag van wachtwoorden (hashing) en beheerde authenticatie.

• Row Level Security in de database, zodat gegevens van een organisatie strikt gescheiden blijven van die van andere organisaties.

• Rolgebaseerd toegangsbeheer: beheerders zien uitsluitend gegevens van hun eigen organisatie.

• Logging van e-mailverzending en betaalgebeurtenissen ten behoeve van controle en foutafhandeling.

• Ontsmetting (sanitizing) van door gebruikers geplaatste content om misbruik via scripts te voorkomen.

• Periodieke beveiligingsscans, updates en back-ups.

De Verwerker informeert de Verwerkingsverantwoordelijke onverwijld, en uiterlijk binnen 48 uur na ontdekking, over een datalek dat (mogelijk) gevolgen heeft voor de persoonsgegevens.

De melding bevat ten minste: de aard van het lek, de betrokken categorieën gegevens, de vermoedelijke gevolgen en de genomen of voorgenomen maatregelen.

Melding bij de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van de Verwerkingsverantwoordelijke; de Verwerker verleent daarbij alle redelijke medewerking.

Account-, voortgangs- en communitygegevens worden bewaard zolang de Verwerkingsverantwoordelijke ze nodig heeft.

Bij verwijdering van een account of beëindiging van het gebruik worden de bijbehorende gegevens binnen 30 dagen permanent verwijderd uit actieve systemen en back-ups, tenzij een wettelijke bewaarplicht anders vereist. Voor financiële administratie geldt de wettelijke bewaartermijn van 7 jaar.

Op verzoek levert de Verwerker de gegevens van de Verwerkingsverantwoordelijke aan in een gangbaar, machineleesbaar formaat.

De aansprakelijkheid van de Verwerker is beperkt tot directe schade en tot het bedrag dat de Verwerkingsverantwoordelijke in de 12 maanden voorafgaand aan het schadeveroorzakende feit heeft betaald voor het gebruik van het Platform.

Op deze overeenkomst is Nederlands recht van toepassing.

Geschillen worden bij voorkeur in onderling overleg opgelost; lukt dit niet, dan worden ze voorgelegd aan de bevoegde Nederlandse rechter.

Door gebruik te maken van het Platform als organisatie of onderwijsinstelling, gaat de Verwerkingsverantwoordelijke akkoord met deze verwerkersovereenkomst.

v1.0 (3 augustus 2026): eerste versie, opgesteld voor het leer- en communityplatform van Teach Smarter Not Harder.

v2.0 (15 augustus 2026): uitgebreid met de centrale inlog en met afzonderlijke bijlagen per app (community en leeromgeving, ExitTicket en EduEscape). Digitaal akkoord toegevoegd.

Bij deze overeenkomst horen de bijlagen van de apps die de Verwerkingsverantwoordelijke gebruikt. Per bijlage staan het doel, de categorieën betrokkenen, de soorten persoonsgegevens, de bewaartermijn en de sub-verwerkers die voor die app gelden.

De bijlagen maken onlosmakelijk deel uit van deze verwerkersovereenkomst. Neemt de Verwerkingsverantwoordelijke later een extra app in gebruik, dan geldt de bijbehorende bijlage automatisch en kan een geactualiseerde overeenkomst worden gedownload.