Privacybeleid

Versie 4.1 · Geldig vanaf 26 mei 2026 · AVG-by-design · Convenant 4.0

1. Onze rol — verwerker, niet verwerkingsverantwoordelijke

Voor de gegevens die in het platform worden verwerkt, is het schoolbestuur de verwerkingsverantwoordelijke. Exclusive Craft B.V. (handelend onder de naam digi-klas) treedt op als verwerker. Wij verwerken persoonsgegevens uitsluitend in opdracht van het schoolbestuur en alleen voor de doelen die in de verwerkersovereenkomst zijn vastgelegd.

Exclusive Craft B.V. · Oder 20 Unit D7669, 2491 DC 's-Gravenhage
KvK 42046192 · vestigingsnummer 000065492854
E-mail: info@digi-klas.com (onderwerpregel: IBP voor privacy-vragen)

2. Welke gegevens verwerken wij?

2.1 Van leerlingen

2.2 Van docenten

• E-mailadres (voor account-herstel)
• Gehashte 6-cijferige PIN (bcrypt — nooit in plaintext)
• Klas- en schoolkoppeling

2.3 Van schoolbeheer

• Naam school, vestigingsplaats, contactpersoon
• Aantal leerlingen voor licentie-doeleinden
• Factuur- en betaalhistorie

2.4 Technische gegevens

• Verkort IP-adres en user-agent in beveiligingslogs (bewaartermijn 90 dagen)

3. Op welke grond verwerken wij gegevens?

• Uitvoering van de overeenkomst met het schoolbestuur (art. 6 lid 1 b AVG) — om de leerdienst te leveren en facturen te kunnen sturen.
• Wettelijke verplichting — fiscale bewaarplicht voor facturen (7 jaar).
• Gerechtvaardigd belang — beveiligingslogs en audit-trail om misbruik te voorkomen.

Wij gebruiken persoonsgegevens niet voor reclame, niet voor profilering buiten de leerdienst, en niet voor verkoop aan derden. digi-klas voert geen reclame in het platform.

4. Hoe lang bewaren wij gegevens?

5. Aan wie verstrekken wij gegevens? (sub-verwerkers)

Het actuele register vindt u op /sub-verwerkers. Wijzigingen worden ten minste 30 dagen vooraf gemeld aan elk schoolbestuur, dat tegen wijziging bezwaar kan maken conform model-verwerkersovereenkomst 4.0.

Onze huidige 7 sub-verwerkers — alle leerling-persoonsgegevens zitten uitsluitend bij Scaleway (Amsterdam, EER). Amerikaanse sub-verwerkers (Netlify, Cloudflare, Sentry) hebben passende waarborgen via Standard Contractual Clauses en EU-US Data Privacy Framework en verwerken géén leerling-data in storage:

• 1. Scaleway SAS (Frankrijk · DB in 🇳🇱 Amsterdam) — Managed PostgreSQL database (primary opslag persoonsgegevens)
• 2. Cloud86 B.V. (Nederland) — WordPress-hosting marketing-site + transactionele SMTP (geen leerling-data)
• 3. Netlify Inc. (VS + SCC) — static hosting en Edge Functions; HTTP-logs 30 dagen, geen PII in storage
• 4. Cloudflare Inc. (VS + SCC) — DNS, DDoS-bescherming, WAF, CDN; HTTP-logs na 24u geanonimiseerd
• 5. Sentry.io (VS + SCC, EU-regio opt-in) — error tracking voor Netlify Functions; geen leerling-data
• 6. UptimeRobot (Cyprus · EER) — uptime-monitoring van publieke endpoints; geen PII
• 7. Mollie B.V. (Nederland) — betaalverwerking iDEAL/SEPA/factuur; geen leerling-data

Alle persoonsgegevens worden verwerkt en opgeslagen binnen de Europese Economische Ruimte. Geen doorgifte naar derde landen, geen Amerikaanse cloud-leveranciers in het pad van leerlingdata.

6. Beveiliging

• Versleutelde verbinding (TLS 1.2+) voor alle communicatie, HSTS aan
• Versleuteling at-rest (AES-256) voor database-back-ups
• Wachtwoorden en PIN's alleen als bcrypt-hash opgeslagen (nooit plaintext)
• Tweefactorauthenticatie (2FA) verplicht voor superadmin-accounts
• Loop-guard en diagnose-overlay op SSO bij mislukte redirects
• Dagelijkse versleutelde back-ups binnen EU, retentie 30 dagen
• Maandelijkse beveiligingsupdates; kritieke patches binnen 72 uur
• Datalek-procedure conform AVG (melding aan schoolbestuur binnen 48 uur)

7. Rechten van betrokkenen

Omdat wij verwerker zijn, dient een verzoek tot inzage, rectificatie, verwijdering of dataportabiliteit in eerste instantie bij het schoolbestuur (verwerkingsverantwoordelijke). Wij verlenen het schoolbestuur op verzoek redelijke medewerking en reageren binnen 30 dagen. Klachten kunnen worden ingediend bij de Autoriteit Persoonsgegevens.

8. Cookies

digi-klas gebruikt functionele cookies die strikt noodzakelijk zijn voor de werking (inlogsessie, gekozen school). Geen tracking-, advertentie- of analytische cookies van derden. Voor deze functionele cookies is geen toestemming vereist.

9. Convenant en Edu-V

digi-klas is deelnemer aan het Convenant Digitale Onderwijsmiddelen en Privacy 4.0 (beheerd door Edu-K via privacyconvenant.nl). Wij volgen het Toetsingskader Edu-K en de model-verwerkersovereenkomst 4.0. Wij steunen het Normenkader IBP (SIVON/Kennisnet) en hebben de intentie om aan te sluiten bij het afsprakenstelsel Edu-V zodra het toetredingstraject voor PO-aanbieders open staat.

10. Toegankelijkheid

digi-klas wordt ontworpen volgens WCAG 2.2 niveau AA. Onze toegankelijkheidsverklaring staat op /toegankelijkheid.

11. Wijzigingen

Dit privacybeleid kan worden aangepast. Bij materiële wijzigingen worden actieve schoolbeheerders per e-mail geïnformeerd. De meest recente versie staat altijd op deze pagina.

— digi-klas v4.1 · 26 mei 2026 · schooljaar 2026-2027