Deze verwerkersovereenkomst hoort bij het gebruik van LesVrij en wordt gesloten tussen de rijinstructeur of rijschool die LesVrij gebruikt (verwerkingsverantwoordelijke, hierna: "Instructeur") en [naam onderneming, KvK-nummer, adres] (verwerker, hierna: "LesVrij").
1. Onderwerp en duur
LesVrij verwerkt persoonsgegevens van leerlingen uitsluitend om vrijgevallen rijlessen namens de Instructeur aan te bieden, te laten claimen en daarover te berichten. De overeenkomst loopt zolang de Instructeur LesVrij gebruikt.
2. Categorieën gegevens en betrokkenen
- Betrokkenen: leerlingen van de Instructeur (16 jaar of ouder) en de Instructeur zelf.
- Gegevens: naam, e-mailadres, beschikbaarheid, transmissievoorkeur, optionele examendatum, aanbod- en claimhistorie, technische push-gegevens.
- Geen bijzondere persoonsgegevens, geen BSN, geen betaalgegevens.
3. Instructies
LesVrij verwerkt de gegevens alleen op basis van schriftelijke instructies van de Instructeur, zoals vastgelegd in deze overeenkomst en de instellingen in de app, tenzij een wettelijke verplichting anders vereist.
4. Geheimhouding
Iedereen die bij LesVrij toegang heeft tot de gegevens is tot geheimhouding verplicht.
5. Beveiliging
- Versleutelde verbindingen (TLS); pushberichten end-to-end versleuteld (Web Push, aes128gcm).
- Inloggen met eenmalige, kortlevende links; sessies via httpOnly-cookies; tokens alleen gehasht opgeslagen.
- Strikte scheiding per Instructeur in elke databasequery.
- Geen persoonsgegevens in logbestanden; geen trackers van derden.
6. Sub-verwerkers
De Instructeur geeft toestemming voor: Cloudflare, Inc. (hosting, database in EU-jurisdictie) en Resend (e-mail). LesVrij meldt wijzigingen vooraf; de Instructeur kan bezwaar maken.
7. Doorgifte buiten de EER
Gegevens worden opgeslagen in de EU. Waar een sub-verwerker gegevens buiten de EER verwerkt, gebeurt dat op basis van het EU-VS Data Privacy Framework of standaardcontractbepalingen. [Nader te controleren per sub-verwerker.]
8. Rechten van betrokkenen
LesVrij helpt de Instructeur bij verzoeken van betrokkenen. Leerlingen kunnen hun account zelf verwijderen; de Instructeur kan leerlingen verwijderen.
9. Datalekken
LesVrij meldt een (vermoedelijk) datalek zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking aan de Instructeur.
10. Bewaren en verwijderen
Aangeboden lessen en reacties worden 12 maanden na de lesdatum automatisch verwijderd. Bij beëindiging verwijdert LesVrij binnen 30 dagen alle gegevens van de Instructeur, tenzij wettelijke bewaarplicht anders vereist.
11. Audit
De Instructeur mag eenmaal per jaar, op eigen kosten en na redelijke aankondiging, de naleving laten controleren.
12. Aansprakelijkheid en recht
[Nader in te vullen.] Op deze overeenkomst is Nederlands recht van toepassing.