Verwerkersovereenkomst

StageRegie: de webapplicatie van Teach Smarter Not Harder waarmee scholen stages regelen: leerlingen en klassen beheren, stageformulieren met QR-code printen, bedrijfsgegevens en akkoorden digitaal verzamelen en stageovereenkomsten opstellen en versturen.

Verwerkingsverantwoordelijke: de school of onderwijsinstelling die StageRegie gebruikt en zelf bepaalt welke gegevens van leerlingen, ouders/verzorgers en stagebedrijven worden verwerkt.

Verwerker: Teach Smarter Not Harder, die in opdracht van de Verwerkingsverantwoordelijke persoonsgegevens verwerkt via StageRegie.

Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals namen, e-mailadressen en telefoonnummers.

AVG: Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming).

Deze verwerkersovereenkomst is van toepassing op alle verwerkingen die de Verwerker uitvoert in opdracht van de Verwerkingsverantwoordelijke en geldt zolang de Verwerkingsverantwoordelijke gebruikmaakt van StageRegie.

Bij beëindiging van het gebruik worden de gegevens van de school op verzoek eerst teruggeleverd en daarna binnen 30 dagen verwijderd, tenzij wettelijke bewaarplichten anders vereisen.

De Verwerker verwerkt persoonsgegevens uitsluitend om de dienst te kunnen leveren: het registreren van leerlingen, klassen en docenten, het aanmaken van stageformulieren met een unieke QR-code en toegangscode, het digitaal verzamelen van bedrijfsgegevens en akkoorden van bedrijf, ouder/verzorger en leerling, het opstellen en versturen van de stageovereenkomst (PDF) en het tonen van de voortgang aan het stagebureau en mentoren.

De gegevens worden niet verkocht, niet gebruikt voor advertenties of profilering en niet gebruikt voor het trainen van AI-modellen.

E-mailadressen worden alleen gebruikt voor e-mails die samenhangen met de stage (zoals de verzonden overeenkomst en meldingen aan de school).

Categorieën betrokkenen: leerlingen, ouders/verzorgers, docenten en stagebegeleiders van de Verwerkingsverantwoordelijke, en contactpersonen en praktijkbegeleiders van stagebedrijven.

Leerling: naam, klas, leerlingnummer, e-mailadres en stagegegevens. Er worden geen bijzondere persoonsgegevens gevraagd (geen BSN, geen medische gegevens, geen cijfers).

Ouder/verzorger: naam, telefoonnummer en e-mailadres, uitsluitend voor het akkoord op de stage.

Stagebedrijf: bedrijfsnaam, adres, postcode, plaats, telefoonnummer, e-mailadres, naam en functie van contactpersoon en praktijkbegeleider, stagedata en werkzaamheden.

De Verwerkingsverantwoordelijke is verantwoordelijk voor de gegevens die zij zelf invoert en zorgt dat daarbij geen bijzondere persoonsgegevens worden gedeeld.

De Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, behalve wanneer dit op grond van de wet vereist is.

De Verwerker zorgt dat personen die toegang hebben tot de gegevens gebonden zijn aan geheimhouding.

De Verwerker neemt passende technische en organisatorische maatregelen (zie artikel 8).

De Verwerker ondersteunt de Verwerkingsverantwoordelijke bij verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking en dataportabiliteit) en bij een eventuele DPIA of overleg met de toezichthouder.

De Verwerker verleent de Verwerkingsverantwoordelijke op verzoek de informatie die nodig is om te kunnen aantonen dat aan deze overeenkomst wordt voldaan.

De Verwerker maakt gebruik van de volgende sub-verwerkers:

• Lovable Cloud (database, bestandsopslag en authenticatie) — gegevens worden opgeslagen binnen de Europese Unie.

• Lovable (hosting van de webapplicatie).

• Resend (verzending van e-mail; verwerkt naam en e-mailadres van de ontvanger en de inhoud van het bericht).

Wijzigingen in de lijst van sub-verwerkers worden vooraf gecommuniceerd via e-mail of via de website. De Verwerkingsverantwoordelijke kan binnen 14 dagen schriftelijk bezwaar maken.

Persoonsgegevens worden opgeslagen en verwerkt binnen de Europese Unie.

Als gegevens door een sub-verwerker buiten de Europese Economische Ruimte worden verwerkt (bijvoorbeeld bij e-mailverzending), gebeurt dit op basis van Standard Contractual Clauses (SCC's) of een ander erkend overdrachtsmechanisme.

De Verwerker neemt passende technische en organisatorische maatregelen, waaronder:

• Versleutelde verbindingen (HTTPS/TLS) voor al het verkeer en versleutelde opslag.

• Scheiding per school in de database zelf (row-level security): gegevens van een school zijn technisch gescheiden van die van andere scholen.

• Rolgebaseerd toegangsbeheer: mentoren zien alleen hun eigen klassen; alleen het stagebureau en de schoolbeheerder zien de hele school.

• De openbare stagepagina is beveiligd met een unieke QR-code én een 4-cijferige toegangscode; na 5 foute pogingen wordt de pagina 15 minuten geblokkeerd. Codes worden uitsluitend als onomkeerbare cryptografische hash opgeslagen.

• Stageovereenkomsten (PDF) staan in afgesloten opslag en zijn alleen te openen via een tijdelijke, ondertekende link die na enkele minuten verloopt.

• Akkoorden worden vastgelegd met naam en tijdstip; een voltooide overeenkomst kan niet meer stilzwijgend worden gewijzigd.

• Periodieke beveiligingsscans, updates en back-ups.

De stagepagina kan op verzoek van de gebruiker de eerder ingevulde bedrijfsgegevens onthouden in de lokale opslag (localStorage) van de browser op dat toestel, zodat een bedrijf bij een volgende leerling zijn gegevens niet opnieuw hoeft in te vullen.

Deze gegevens verlaten het toestel niet anders dan via de normale verzending naar StageRegie, worden niet gedeeld met andere bezoekers van de pagina en kunnen op elk moment worden gewist via de browserinstellingen. Er worden geen tracking-cookies gebruikt.

De Verwerker informeert de Verwerkingsverantwoordelijke onverwijld, en uiterlijk binnen 24 uur na ontdekking, over een datalek dat (mogelijk) gevolgen heeft voor de persoonsgegevens.

De melding bevat ten minste: de aard van het lek, de betrokken categorieën gegevens, de vermoedelijke gevolgen en de genomen of voorgenomen maatregelen.

Melding bij de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van de Verwerkingsverantwoordelijke; de Verwerker verleent daarbij alle redelijke medewerking, zodat de school binnen 72 uur kan melden.

Gegevens worden bewaard zolang de Verwerkingsverantwoordelijke ze nodig heeft; de school bepaalt de bewaartermijn.

Bij beëindiging van het gebruik worden de gegevens van de school op verzoek eerst teruggeleverd in een gangbaar, machineleesbaar formaat en daarna binnen 30 dagen permanent verwijderd uit actieve systemen en back-ups, tenzij een wettelijke bewaarplicht anders vereist.

De aansprakelijkheid van de Verwerker is beperkt tot directe schade en tot het bedrag dat de Verwerkingsverantwoordelijke in de 12 maanden voorafgaand aan het schadeveroorzakende feit heeft betaald voor het gebruik van StageRegie.

Op deze overeenkomst is Nederlands recht van toepassing.

Geschillen worden bij voorkeur in onderling overleg opgelost; lukt dit niet, dan worden ze voorgelegd aan de bevoegde Nederlandse rechter.

Door gebruik te maken van StageRegie als school of onderwijsinstelling, of door digitaal akkoord te geven via de website, gaat de Verwerkingsverantwoordelijke akkoord met deze verwerkersovereenkomst.

v1.0 (3 oktober 2026): eerste versie, opgesteld voor StageRegie.