Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de overeenkomst tussen partijen over het gebruik van het ITKaro Leerportaal (learning.itkaro.com) en is een verwerkersovereenkomst in de zin van artikel 28 lid 3 AVG.

Partijen

1. , gevestigd te , KvK , hierna: de verwerkingsverantwoordelijke;
2. ITKaro, eenmanszaak van J. Poot, KvK 87602075, hierna: de verwerker.

1. Onderwerp en duur

1.1 De verwerker verwerkt persoonsgegevens van medewerkers van de verwerkingsverantwoordelijke, uitsluitend voor het aanbieden van online cursussen in het ITKaro Leerportaal en de begeleiding daarbij.

1.2 Deze overeenkomst geldt zolang de hoofdovereenkomst loopt en eindigt zodra de verwerker volgens artikel 8 de persoonsgegevens heeft verwijderd. Voor de regel in het bewijsregister uit artikel 8.2 blijft zij gelden zolang die regel bestaat.

2. Welke gegevens en van wie

2.1 Betrokkenen: medewerkers van de verwerkingsverantwoordelijke die met een cursuscode een account aanmaken.

2.2 Categorieën persoonsgegevens: naam, e-mailadres, wachtwoord (uitsluitend als versleutelde afdruk), de groep waartoe de deelnemer hoort, gekozen sector, leesvoortgang per les, toetspogingen met cijfer en gegeven antwoorden, de evaluatie van de cursus als de deelnemer die invult (een cijfer en een toelichting), aanvragen voor een cursusdatum, welke mails het portaal al stuurde, tijdstippen van inloggen, het gekozen recht (Europees of Brits), een korte notitie van de docent bij het account, de publieke sleutel van een passkey als de deelnemer die koppelt, en bij een mislukte inlogpoging een etmaal lang het IP-adres. De privacyverklaring van het portaal beschrijft deze gegevens.

2.3 De verwerking is niet gericht op bijzondere categorieën van persoonsgegevens. De verwerkingsverantwoordelijke wijst haar deelnemers erop dat zij in een AI-oefening geen vertrouwelijke bedrijfsinformatie en geen echte klant- of persoonsgegevens invoeren; het portaal herhaalt dat bij elke AI-oefening.

2.4 Wat een deelnemer in een AI-oefening typt, gaat naar de subverwerker uit artikel 4 om het antwoord te maken; het portaal bewaart het niet. De verwerkingsverantwoordelijke kan de AI-oefeningen voor haar groep laten uitzetten. Er gaat dan van haar deelnemers niets naar die subverwerker.

3. Instructies en doelbinding

3.1 De verwerker verwerkt de gegevens uitsluitend op basis van deze overeenkomst en de schriftelijke instructies van de verwerkingsverantwoordelijke, en niet voor eigen doeleinden. Meent de verwerker dat een instructie in strijd is met de AVG, dan meldt hij dat.

3.2 Per groep zijn er één of twee contactpersonen: wie de bestelling deed of wie de verwerkingsverantwoordelijke aanwijst. Zij zien in het portaal per medewerker de voortgang en de afronding, zonder individuele toetscijfers, en kunnen die lijst downloaden.

3.3 Toetscijfers van individuele medewerkers worden niet aan de verwerkingsverantwoordelijke verstrekt. Dit is een bewuste afspraak: de cursus is een leermiddel en geen beoordeling.

3.4 Wie bij de verwerker toegang heeft tot de gegevens, is tot geheimhouding verplicht.

4. Subverwerkers

4.1 De verwerkingsverantwoordelijke geeft toestemming voor de volgende subverwerkers:

Stripe (de betaling bij een aankoop) en YouTube (een film die de deelnemer zelf start) staan niet in deze lijst: daar verwerkt de verwerker niets namens de verwerkingsverantwoordelijke. Wat erheen gaat, staat in de privacyverklaring.

4.2 De verwerker informeert de verwerkingsverantwoordelijke vooraf over een voorgenomen wijziging van subverwerkers en geeft de gelegenheid daartegen bezwaar te maken.

4.3 De verwerker legt een subverwerker de verplichtingen op die artikel 28 lid 4 AVG vraagt en blijft tegenover de verwerkingsverantwoordelijke aanspreekbaar op de naleving.

4.4 De verwerkingsverantwoordelijke geeft opdracht tot doorgifte naar de Verenigde Staten voor de AI-oefeningen, met een doorgifte-instrument uit hoofdstuk V van de AVG. Wil zij dat niet, dan laat zij de AI-oefeningen voor haar groep uitzetten; er gaat dan van haar deelnemers niets naar Anthropic. Bij een cursus op maat kiest zij dat vooraf: met of zonder AI-oefeningen. Met AI gaat ook de oefenstof van de les (haar eigen documenten en voorbeelden) via de zakelijke API van Anthropic.

5. Beveiliging

5.1 De verwerker treft passende technische en organisatorische maatregelen, waaronder: versleuteld transport (TLS), wachtwoorden uitsluitend als scrypt-afdruk, sessiebeveiliging met beveiligde cookies, een strikt Content-Security-Policy-beleid, toegangsbeperking per rol (deelnemers zien elkaars gegevens niet), dagelijkse versleutelde back-ups met dertig dagen historie en een vergrendelingsmechanisme tegen inlogmisbruik.

6. Datalekken

6.1 De verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging aan de verwerkingsverantwoordelijke, met de informatie die nodig is voor een eventuele melding aan de Autoriteit Persoonsgegevens.

6.2 De verwerker meldt zelf niets aan de toezichthouder of aan betrokkenen; dat besluit is aan de verwerkingsverantwoordelijke.

7. Rechten van betrokkenen en bijstand

7.1 Deelnemers kunnen hun gegevens zelf inzien, downloaden en verwijderen in het portaal (/mijn/gegevens). Voor verzoeken die daarbuiten vallen verleent de verwerker binnen een redelijke termijn bijstand.

7.2 De verwerker verleent redelijke medewerking aan een audit of controle, hoogstens eenmaal per jaar en na aankondiging.

7.3 De verwerker geeft op verzoek de informatie die nodig is voor een gegevens­beschermings­effect­beoordeling (DPIA) en om aan te tonen dat deze overeenkomst wordt nageleefd.

8. Bewaartermijn en einde

8.1 Accounts van deelnemers die twaalf maanden niet zijn ingelogd worden automatisch verwijderd; het account van de contactpersoon van de verwerkingsverantwoordelijke blijft zolang een cursuscode van zijn groep geldig is.

8.2 Bij het einde van de hoofdovereenkomst verwijdert de verwerker op eerste verzoek alle persoonsgegevens van de betrokken groep, met bevestiging; wil de verwerkingsverantwoordelijke ze eerst terug, dan krijgt zij een export. De regel van een uitgegeven deelnamebewijs in het bewijsregister (hoogstens vijf jaar) blijft staan, tenzij de deelnemer die laat verwijderen. Back-ups verlopen daarna vanzelf binnen dertig dagen.

9. Aansprakelijkheid en overig

9.1 Voor aansprakelijkheid geldt wat in de hoofdovereenkomst is bepaald.

9.2 Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage: de IT-scan

B.1 Bij een IT-scan verwerkt de verwerker in opdracht van de verwerkingsverantwoordelijke de documenten die zij aanlevert (contracten, procedures en overige documentatie) en de notities van de gesprekken, voor zover daar persoonsgegevens in staan. Doel: het rapport van de scan.

B.2 De verwerking gebeurt in de beoordelingstool van de verwerker: versleuteld opgeslagen, alleen toegankelijk voor de verwerker. Voor de beoordeling gaat de tekst van de documenten naar Anthropic PBC via de zakelijke API, als subverwerker onder artikel 4; artikel 4.4 geldt ook hier.

B.3 De verwerker verwijdert de documenten en de notities zodra het rapport is opgeleverd en doorgenomen, en uiterlijk drie maanden na de start van de scan; eerder op verzoek. Back-ups verlopen daarna vanzelf binnen dertig dagen. Het rapport zelf is van de verwerkingsverantwoordelijke.

Ondertekening