VERSIE 1.0 — 9 juni 2026
Verwerkersovereenkomst
Conform artikel 28 van de Algemene Verordening Gegevensbescherming (AVG / GDPR — Verordening EU 2016/679)
Partijen
Verwerkingsverantwoordelijke (de School)
De onderwijsinstelling die een account aanmaakt op het KlikKlas-platform en daarmee persoonsgegevens van leerlingen en leerkrachten invoert of laat invoeren. De gegevens van de school (naam, adres, contactpersoon) worden vastgelegd bij registratie.
Hierna: “de School” of “de Verwerkingsverantwoordelijke”.
Verwerker (KlikKlas)
KlikKlas, ontwikkeld door Maxim Sennesael
E-mail: privacy.klikklas@gmail.com
Hierna: “KlikKlas” of “de Verwerker”.
Samen hierna: “de Partijen”.
Artikel 1 — Definities
In deze overeenkomst gelden de volgende definities:
- AVG: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens.
- Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals bedoeld in artikel 4(1) AVG.
- Verwerking: elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés.
- Platform: het KlikKlas-platform, toegankelijk via klikklas.com, met alle bijbehorende modules en diensten.
- Betrokkenen: de leerlingen, leerkrachten en directeurs van de School wiens persoonsgegevens via het Platform worden verwerkt.
Artikel 2 — Voorwerp en duur
Deze verwerkersovereenkomst is van toepassing op alle verwerkingen van persoonsgegevens die KlikKlas uitvoert in opdracht van de School bij het verlenen van de diensten via het Platform.
De overeenkomst treedt in werking op het moment dat de School een account aanmaakt op het Platform en blijft van kracht zolang de School gebruik maakt van het Platform. Bij beëindiging van het gebruik (verwijdering account of opzegging abonnement) eindigt deze overeenkomst automatisch, met inachtneming van artikel 10.
Artikel 3 — Aard en doel van de verwerking
KlikKlas verwerkt persoonsgegevens uitsluitend voor de volgende doeleinden:
- Het verlenen van de educatieve diensten van het Platform aan de School
- Het bijhouden van leervoortgang en leerresultaten van leerlingen
- Het genereren van gepersonaliseerd lesmateriaal en differentiatie-suggesties
- Het beheer van klassen, opdrachten en leerkrachtaccounts
- Het verzorgen van technische ondersteuning
Verwerking voor eigen commerciële doeleinden, profilering of doorverkoop van gegevens aan derden is uitdrukkelijk verboden.
Artikel 4 — Categorieën van persoonsgegevens en betrokkenen
4.1 Leerlingen
| Gegeven | Rechtsgrond |
|---|---|
| Voornaam | Uitvoering onderwijstaak (art. 6.1.e AVG) |
| Emoji-avatar | Uitvoering onderwijstaak |
| Koppeling aan klas | Uitvoering onderwijstaak |
| Leerresultaten (WPM, scores, voortgang) | Uitvoering onderwijstaak |
| Gamificatie-data (XP, level, badges) | Uitvoering onderwijstaak |
Niet verwerkt: e-mailadressen, geboortedatums, adressen, nationaliteit, BSN/rijksregisternummer, medische of gezondheidsgegevens van leerlingen.
4.2 Leerkrachten en directeurs
| Gegeven | Rechtsgrond |
|---|---|
| Naam en e-mailadres | Uitvoering overeenkomst (art. 6.1.b AVG) |
| Wachtwoord (bcrypt-hash) | Uitvoering overeenkomst |
| Rol en schoolkoppeling | Uitvoering overeenkomst |
| Gegenereerd lesmateriaal | Uitvoering overeenkomst |
Artikel 5 — Verplichtingen van de Verwerker
KlikKlas verbindt zich ertoe:
- Persoonsgegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de School, tenzij een wettelijke verplichting anders vereist.
- De vertrouwelijkheid van de persoonsgegevens te waarborgen en ervoor te zorgen dat personen die gemachtigd zijn de persoonsgegevens te verwerken, zich tot vertrouwelijkheid hebben verbonden.
- Alle passende technische en organisatorische maatregelen te nemen overeenkomstig artikel 32 AVG (zie artikel 7 van deze overeenkomst).
- De School bij te staan bij het nakomen van haar verplichtingen inzake verzoeken van betrokkenen (rechten van inzage, rectificatie, verwijdering, enz.).
- Na afloop van de dienstverlening alle persoonsgegevens te verwijderen of terug te bezorgen aan de School, conform artikel 10.
- De School alle informatie te verstrekken die noodzakelijk is om de naleving van de verplichtingen uit hoofde van artikel 28 AVG aan te tonen.
Artikel 6 — Verplichtingen van de Verwerkingsverantwoordelijke
De School verbindt zich ertoe:
- Uitsluitend voornamen (en geen andere identificerende gegevens) van leerlingen in te voeren in het Platform.
- De ouders/voogden van leerlingen te informeren over het gebruik van KlikKlas, conform de AVG en de Belgische regelgeving.
- KlikKlas onmiddellijk te informeren bij een vermoeden van een inbreuk op persoonsgegevens waarbij de verwerking via het Platform betrokken is.
- KlikKlas schriftelijk te instrueren wanneer specifieke verwerkingsinstructies afwijken van de standaarddienstverlening.
Artikel 7 — Technische en organisatorische maatregelen
KlikKlas heeft de volgende beveiligingsmaatregelen geïmplementeerd:
Technisch
- Versleuteling van wachtwoorden via bcrypt (cost factor 12)
- HTTPS/TLS voor alle dataoverdracht
- HttpOnly, Secure en SameSite=Lax sessiecookies
- JWT-sessies met server-side revocatie via versienummering
- Rate limiting op login-pogingen (IP- en e-mailadres-gebaseerd)
- Leerlingnamen worden nooit verzonden naar externe AI-diensten; uitsluitend geanonimiseerde labels worden gebruikt
- Toegangscontrole: leerkrachten zien uitsluitend eigen klassen; scholen zijn volledig geïsoleerd
Organisatorisch
- Auditlog van alle administratieve acties
- Principe van minimale gegevensverzameling (geen e-mail, geboortedatum of adres van leerlingen)
- Automatisch data-retentiebeleid (IP-adressen max. 30 dagen, logs max. 1 jaar)
- Toegang tot productiedata beperkt tot de platformbeheerder
Artikel 8 — Sub-verwerkers
KlikKlas maakt gebruik van de volgende sub-verwerkers. De School geeft hiervoor algemene voorafgaande toestemming:
| Sub-verwerker | Rol | Locatie | Garantie |
|---|---|---|---|
| Supabase | Databasehosting (PostgreSQL) | EU (West-Europa) | AVG-conform, SCCs |
| Vercel | Applicatiehosting | EU / VS | AVG-conform, SCCs, DPA beschikbaar |
| Anthropic | AI-verwerking (geanonimiseerde data) | VS | DPA beschikbaar; geen persoonsgegevens van leerlingen verstuurd |
| Stripe | Betalingsverwerking (enkel leerkracht/school) | VS / EU | AVG-conform, SCCs, PCI-DSS |
KlikKlas stelt de School in kennis van beoogde wijzigingen inzake de toevoeging of vervanging van sub-verwerkers, waarbij de School bezwaar kan maken.
Artikel 9 — Datalekken
KlikKlas meldt een inbreuk in verband met persoonsgegevens aan de School binnen 48 uur nadat KlikKlas hiervan kennis heeft genomen, via privacy.klikklas@gmail.com.
De melding bevat minimaal:
- De aard van de inbreuk
- De categorieën en het geschatte aantal betrokkenen
- De waarschijnlijke gevolgen van de inbreuk
- De genomen of voorgestelde maatregelen
De School is zelf verantwoordelijk voor de melding aan de Gegevensbeschermingsautoriteit (GBA) indien vereist, en eventueel aan de betrokkenen.
Artikel 10 — Beëindiging en verwijdering van gegevens
Bij beëindiging van de overeenkomst (verwijdering account of opzegging) zal KlikKlas:
- Alle persoonsgegevens van leerlingen en leerkrachten van de School binnen 30 dagen na beëindiging permanent verwijderen uit de productie-database.
- Op verzoek van de School vóór verwijdering een export aanleveren van de gegevens in een gangbaar formaat (JSON of CSV).
- Back-ups worden uiterlijk 90 dagen na beëindiging overschreven.
Gegevens die op grond van een wettelijke verplichting langer bewaard moeten worden (bv. boekhoudkundige gegevens) zijn hiervan uitgezonderd.
Artikel 11 — Rechten van betrokkenen
KlikKlas verleent medewerking aan de School bij het beantwoorden van verzoeken van betrokkenen (leerlingen, ouders, leerkrachten) om:
- Inzage in hun persoonsgegevens
- Rectificatie van onjuiste gegevens
- Verwijdering van gegevens (“recht op vergetelheid”)
- Beperking van de verwerking
- Overdraagbaarheid van gegevens
Verzoeken worden doorgeleid naar privacy.klikklas@gmail.com en behandeld binnen 30 dagen.
Artikel 12 — Audits en inspecties
KlikKlas stelt de School in staat audits uit te voeren of te laten uitvoeren door een door de School gemachtigde controleur, en verleent hieraan alle medewerking. Audits worden minimaal 14 dagen op voorhand schriftelijk aangekondigd.
Als alternatief voor een fysieke audit kan KlikKlas een schriftelijke verklaring aanleveren met betrekking tot de naleving van deze overeenkomst.
Artikel 13 — Doorgifte buiten de EER
Vercel en Anthropic zijn gevestigd in de Verenigde Staten. Doorgifte naar deze landen vindt uitsluitend plaats op basis van Standaard Contractuele Bepalingen (SCCs) zoals goedgekeurd door de Europese Commissie (Besluit 2021/914).
Voor Anthropic geldt aanvullend dat uitsluitend geanonimiseerde gegevens (geen leerlingnamen, geen e-mailadressen) worden doorgegeven.
Artikel 14 — Aansprakelijkheid
Elke Partij is aansprakelijk voor schade die voortvloeit uit haar eigen inbreuk op de AVG of deze overeenkomst. Indien een Partij aantoont dat zij niet verantwoordelijk is voor de schadeveroorzakende gebeurtenis, is zij vrijgesteld van aansprakelijkheid.
Artikel 15 — Toepasselijk recht en bevoegde rechtbank
Op deze overeenkomst is Belgisch recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechtbanken van het gerechtelijk arrondissement Brussel.
Artikel 16 — Inwerkingtreding en ondertekening
Deze verwerkersovereenkomst treedt in werking op het moment dat de School een account aanmaakt op het KlikKlas-platform en de gebruiksvoorwaarden aanvaardt. Dit geldt als elektronische aanvaarding van deze overeenkomst conform artikel 28(9) AVG.
Scholen die een ondertekend exemplaar wensen (bv. voor hun intern privacydossier of voor de DPO), kunnen contact opnemen via privacy.klikklas@gmail.com. Wij bezorgen binnen 5 werkdagen een ondertekend PDF-exemplaar.
Bijlage A — Overzicht verwerkte gegevens
| Categorie | Betrokkenen | Gegevens | Bewaartermijn |
|---|---|---|---|
| Leerlingprofiel | Leerlingen (6–12 jaar) | Voornaam, avatar, klascode | Zolang klas actief; bij verwijdering: direct |
| Leerresultaten | Leerlingen | Scores, WPM, voortgang per module | Max. 3 schooljaren |
| Gamificatie | Leerlingen | XP, level, badges, streak | Max. 3 schooljaren |
| Leerkrachtaccount | Leerkrachten, directeurs | Naam, e-mail, rol, school | Tot verwijdering account + 30 dagen |
| Lesmateriaal | Leerkrachten | Werkbladen, lesplannen, differentiatie | Tot verwijdering account |
| Loginpogingen | Leerkrachten (IP-adres) | IP-adres, tijdstip | Max. 30 dagen |
Ondertekend exemplaar nodig?
Voor scholen die een getekend PDF-exemplaar nodig hebben voor hun DPO of intern privacydossier — stuur een e-mail naar:
privacy.klikklas@gmail.com →Zie ook: Privacybeleid | Cookiebeleid | Gebruiksvoorwaarden