Verwerkersovereenkomst

Verwerkersovereenkomst voor scholen

Tussen de school, het schoolbestuur of het schooldistrict dat Mindomo gebruikt, of de docent die Mindomo met een klas gebruikt (de “school”), en Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Roemenië (“Mindomo”, “wij”).

1. Partijen en toepassingsgebied

• De school is de verwerkingsverantwoordelijke. Mindomo is de verwerker.
• Deze verwerkersovereenkomst geldt voor de persoonsgegevens in de accounts en inhoud van de leerlingen en studenten, de docenten en het personeel van de school, en van de leerlingen en studenten van de klas van een docent, zolang we die gegevens voor de school verwerken.
• Bijlage 1 beschrijft de gegevens. Waar deze verwerkersovereenkomst en de gebruiksvoorwaarden over persoonsgegevens van elkaar afwijken, gaat deze verwerkersovereenkomst voor.

2. Instructies

We verwerken de gegevens alleen om Mindomo te leveren aan de school, haar leerlingen, studenten en haar personeel, zoals haar beheerders en docenten het instellen, en volgens haar andere gedocumenteerde instructies, tenzij de wet iets anders vereist; in dat geval laten we het de school vooraf weten, tenzij de wet dat verbiedt. We laten het de school weten als we menen dat een instructie in strijd is met het gegevensbeschermingsrecht. We verkopen de gegevens nooit, gebruiken ze nooit voor reclame en gebruiken ze nooit om AI-modellen te trainen.

3. Vertrouwelijkheid

Iedereen bij Mindomo die toegang heeft tot de gegevens, is tot vertrouwelijkheid verplicht en gebruikt die toegang alleen wanneer dat nodig is om de dienst of support te leveren.

4. Beveiliging

We beschermen de gegevens met de technische en organisatorische maatregelen die op onze pagina Beveiliging zijn beschreven. Mindomo is gecertificeerd volgens ISO/IEC 27001 en ISO/IEC 27701.

5. Subverwerkers

• De school geeft toestemming voor de subverwerkers in bijlage 2. Elke subverwerker is gebonden aan een overeenkomst met dezelfde verplichtingen inzake gegevensbescherming als deze verwerkersovereenkomst.
• We kondigen een nieuwe subverwerker ten minste 30 dagen vooraf aan, op deze pagina en per e-mail aan de beheerders van de school. De school kan bezwaar maken om een redelijke reden van gegevensbescherming; als we dat bezwaar niet kunnen wegnemen, kan de school haar licentie beëindigen en krijgt ze het ongebruikte deel van haar vergoeding terug.
• Doorgiften buiten de EU berusten op het EU-VS-kader voor gegevensbescherming (EU-US Data Privacy Framework) of op de standaardcontractbepalingen van de Europese Commissie.

6. Hulp

We helpen de school bij het beantwoorden van verzoeken van leerlingen en studenten, ouders en personeel (inzage, rectificatie, wissing, export), vooral via de tools in Mindomo en de beheerconsole ervan, en bij haar eigen beoordelingen, zoals een gegevensbeschermingseffectbeoordeling. We sturen elk verzoek dat we over haar gegevens ontvangen naar de school door, ook dat van een ouder.

7. Inbreuken

We stellen de school zonder onredelijke vertraging in kennis van een inbreuk in verband met persoonsgegevens die haar gegevens treft, zodra we er kennis van hebben genomen, met wat we weten en wat we eraan doen, en we houden haar op de hoogte naarmate we meer te weten komen.

8. Wanneer de licentie eindigt

De school bepaalt wat er met haar gegevens gebeurt. Ze kan op elk moment om een export of om verwijdering vragen, via support of de beheerconsole. Als ze geen instructie geeft wanneer haar licentie eindigt, geldt het volgende, en de school kiest daarvoor door deze verwerkersovereenkomst te accepteren:

• Accounts waarvan de gebruikers onze gebruiksvoorwaarden zelf hebben geaccepteerd (docenten, personeel, en leerlingen en studenten die zichzelf hebben aangemeld) gaan verder als de eigen accounts van de gebruikers, met hun inhoud. Vanaf het einde van de licentie is Mindomo er de verwerkingsverantwoordelijke voor, op grond van zijn privacybeleid.
• Accounts die de school heeft aangemaakt (met een pincode, een CSV-import of een klaslijst, of via Clever, Skolon of LTI) blijven gegevens van de school, ongewijzigd, zodat een verlenging verdergaat waar het was gestopt. We mogen een account verwijderen waarop 12 maanden lang na het einde van de licentie niemand heeft ingelogd, nadat we de beheerders van de school hebben ingelicht. We zetten zo’n account nooit uit onszelf om in een persoonlijk account: een leerling of student die het wil blijven gebruiken, moet eerst zelf onze gebruiksvoorwaarden accepteren.
• De school kan in plaats daarvan vragen om al haar accounts te verwijderen, of alleen de accounts die zij heeft aangemaakt.

9. Audits

We tonen de naleving van deze verwerkersovereenkomst aan met onze certificaten ISO/IEC 27001 en 27701 en de auditrapporten daarvan, en door de redelijke vragen van de school te beantwoorden. Audits ter plaatse vinden alleen plaats waar de wet ze vereist, na een redelijke aankondiging, op kosten van de school.

Bijlage 1. Wat we verwerken

• Betrokkenen: de leerlingen en studenten, de docenten en het personeel van de school; ouders, wanneer een leerling of student er een opgeeft voor goedkeuring; andere personen die de school uitnodigt.
• Gegevens: accountgegevens (naam, e-mailadres of gebruikersnaam, rol, leeftijdscategorie, lidmaatschap van klassen en groepen); de inhoud die ze maken, uploaden en delen; opmerkingen, opdrachten, feedback en cijfers; verzoeken aan Mindomo AI en chats met de assistent, waar de school Mindomo AI toestaat; beveiligingslogboeken (IP-adres, browser, inlogmomenten).
• Doel: Mindomo leveren aan de school, haar leerlingen, studenten en haar personeel, voor het onderwijs.
• Duur: zolang de school Mindomo gebruikt, daarna zoals §8 beschrijft.
• Locatie: gehost in Duitsland, met back-ups in Duitsland.

Bijlage 2. Subverwerkers

Diensten die de school zelf koppelt, zoals Clever, Skolon, Yilan, haar leerplatform (LTI), haar single sign-on (SAML) of Google Classroom, zijn eigen diensten van de school, en niet onze subverwerkers.

Wanneer een functie via Microsoft op het web of naar afbeeldingen zoekt, gaat de zoekopdracht naar de zoekdienst van Microsoft, die deze buiten de EU kan verwerken. Voor die zoekopdrachten is Microsoft niet onze subverwerker: Microsoft verwerkt de zoekopdracht onder eigen verantwoordelijkheid, volgens de Microsoft Privacy Statement.

Bijlage 3. Bepalingen per land voor scholen

Verenigde Staten

• Mindomo treedt op als “school official” (schoolfunctionaris) met een gerechtvaardigd onderwijsbelang in de zin van FERPA, onder de rechtstreekse zeggenschap van de school over het gebruik en het beheer van onderwijsdossiers (education records).
• De school autoriseert de accounts van haar leerlingen en studenten op grond van COPPA, alleen voor educatief gebruik, en voor geen enkel ander commercieel doel.
• Geen reclame aan leerlingen en studenten, geen verkoop van gegevens van leerlingen en studenten en geen profilering van leerlingen en studenten.
• Bij een betaalde licentie ondertekenen we op verzoek de eigen privacyovereenkomst (data privacy agreement) van een district of staat.

Canada

• Het schoolbestuur behoudt het beheer van en de zeggenschap over de persoonsgegevens van zijn leerlingen en studenten, op grond van de Municipal Freedom of Information and Protection of Privacy Act (MFIPPA) van Ontario en de vergelijkbare wetten van de andere provincies, zoals de FOIPPA van Brits-Columbia, Wet 25 van Québec en de privacywetten van Alberta.
• De gegevens worden opgeslagen in Duitsland.
• Aan het einde van de overeenkomst geven we de gegevens terug of verwijderen we ze, volgens de instructie van het bestuur (§8).
• Bij een betaalde licentie ondertekenen we op verzoek de eigen overeenkomst van een bestuur.

Verenigd Koninkrijk

• De UK GDPR en de Data Protection Act 2018 zijn van toepassing, in plaats van de AVG waar dat relevant is.
• Onze vertegenwoordiger in het Verenigd Koninkrijk: Silvana Carpineanu, dpo@mindomo.com.
• Doorgiften vanuit het Verenigd Koninkrijk volgen de Britse regels: de Britse uitbreiding van het EU-VS-kader voor gegevensbescherming (UK Extension to the EU-US Data Privacy Framework), of het Britse addendum bij de standaardcontractbepalingen.

Hoe scholen deze verwerkersovereenkomst accepteren

• Elke school en elke docent, met elk abonnement, gratis of betaald: deze verwerkersovereenkomst geldt wanneer een beheerder de gebruiksvoorwaarden namens de school accepteert, of wanneer een docent Mindomo met een klas gebruikt. Er hoeft niets te worden ondertekend.
• Bij een betaalde licentie leveren we ook een door ons medeondertekend exemplaar van deze verwerkersovereenkomst, of ondertekenen we de eigen overeenkomst van de school, het district of het bestuur. Vraag het via support@mindomo.com.

Verwerkersovereenkomst voor bedrijven

Tussen het bedrijf, het team of de andere organisatie die Mindomo voor haar leden gebruikt (de “organisatie”), en Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Roemenië (“Mindomo”, “wij”). Scholen gebruiken de versie voor scholen.

1. Partijen en toepassingsgebied

• De organisatie is de verwerkingsverantwoordelijke. Mindomo is de verwerker.
• Deze verwerkersovereenkomst geldt voor de persoonsgegevens in de accounts en inhoud van de leden van de organisatie (werknemers, opdrachtnemers en de andere personen die ze aan haar team toevoegt), zolang we die gegevens voor de organisatie verwerken.
• Bijlage 1 beschrijft de gegevens. Waar deze verwerkersovereenkomst en de gebruiksvoorwaarden over persoonsgegevens van elkaar afwijken, gaat deze verwerkersovereenkomst voor.
• Voor de aankopen en facturen van de organisatie, en voor de contactgegevens van haar beheerders als onze klant, is Mindomo een verwerkingsverantwoordelijke, op grond van zijn privacybeleid.

2. Instructies

We verwerken de gegevens alleen om Mindomo te leveren aan de organisatie en haar leden, zoals haar beheerders het instellen, en volgens haar andere gedocumenteerde instructies, tenzij de wet iets anders vereist; in dat geval laten we het de organisatie vooraf weten, tenzij de wet dat verbiedt. We laten het de organisatie weten als we menen dat een instructie in strijd is met het gegevensbeschermingsrecht. We verkopen de gegevens nooit, gebruiken ze nooit voor reclame en gebruiken ze nooit om AI-modellen te trainen.

3. Vertrouwelijkheid

Iedereen bij Mindomo die toegang heeft tot de gegevens, is tot vertrouwelijkheid verplicht en gebruikt die toegang alleen wanneer dat nodig is om de dienst of support te leveren.

4. Beveiliging

We beschermen de gegevens met de technische en organisatorische maatregelen die op onze pagina Beveiliging zijn beschreven. Mindomo is gecertificeerd volgens ISO/IEC 27001 en ISO/IEC 27701.

5. Subverwerkers

• De organisatie geeft toestemming voor de subverwerkers in bijlage 2. Elke subverwerker is gebonden aan een overeenkomst met dezelfde verplichtingen inzake gegevensbescherming als deze verwerkersovereenkomst.
• We kondigen een nieuwe subverwerker ten minste 30 dagen vooraf aan, op deze pagina en per e-mail aan de beheerders van de organisatie. De organisatie kan bezwaar maken om een redelijke reden van gegevensbescherming; als we dat bezwaar niet kunnen wegnemen, kan de organisatie haar licentie beëindigen en krijgt ze het ongebruikte deel van haar vergoeding terug.
• Doorgiften buiten de EU berusten op het EU-VS-kader voor gegevensbescherming (EU-US Data Privacy Framework) of op de standaardcontractbepalingen van de Europese Commissie.

6. Hulp

We helpen de organisatie bij het beantwoorden van verzoeken van haar leden (inzage, rectificatie, wissing, export), vooral via de tools in Mindomo en de beheerconsole ervan, en bij haar eigen beoordelingen, zoals een gegevensbeschermingseffectbeoordeling. We sturen elk verzoek dat we over haar gegevens ontvangen naar de organisatie door.

7. Inbreuken

We stellen de organisatie zonder onredelijke vertraging in kennis van een inbreuk in verband met persoonsgegevens die haar gegevens treft, zodra we er kennis van hebben genomen, met wat we weten en wat we eraan doen, en we houden haar op de hoogte naarmate we meer te weten komen.

8. Wanneer de licentie eindigt, of een lid vertrekt

De organisatie bepaalt wat er met haar gegevens gebeurt. Ze kan op elk moment om een export of om verwijdering vragen, via support of de beheerconsole. Als ze geen instructie geeft wanneer haar licentie eindigt, geldt het volgende, en de organisatie kiest daarvoor door deze verwerkersovereenkomst te accepteren:

• Accounts waarvan de gebruikers onze gebruiksvoorwaarden zelf hebben geaccepteerd gaan verder als de eigen accounts van de gebruikers, met hun inhoud buiten de gedeelde mappen van het team. Vanaf het einde van de licentie is Mindomo er de verwerkingsverantwoordelijke voor, op grond van zijn privacybeleid.
• Elk account dat de organisatie zelf heeft aangemaakt blijft ongewijzigd deel uitmaken van de gegevens van de organisatie, zodat een verlenging verdergaat waar het was gestopt. We mogen een account verwijderen waarop 12 maanden lang na het einde van de licentie niemand heeft ingelogd, nadat we de beheerders van de organisatie hebben ingelicht.
• De organisatie kan in plaats daarvan vragen om al haar accounts te verwijderen, of alleen de accounts die zij heeft aangemaakt.

Wanneer een lid het team verlaat terwijl de licentie loopt, blijft de inhoud die het lid in de gedeelde mappen van het team heeft gemaakt bij het team als een beheerder het lid verwijdert; een lid dat zelf vertrekt, mag die inhoud meenemen wanneer het verdergaat met een eigen betaald abonnement, en anders blijft de inhoud bij het team. De volledige regel staat in deel B van de gebruiksvoorwaarden.

9. Audits

We tonen de naleving van deze verwerkersovereenkomst aan met onze certificaten ISO/IEC 27001 en 27701 en de auditrapporten daarvan, en door de redelijke vragen van de organisatie te beantwoorden. Audits ter plaatse vinden alleen plaats waar de wet ze vereist, na een redelijke aankondiging, op kosten van de organisatie.

Bijlage 1. Wat we verwerken

• Betrokkenen: de werknemers, opdrachtnemers en andere leden van de organisatie, en de personen die ze uitnodigt om met hen samen te werken.
• Gegevens: accountgegevens (naam, e-mailadres, rol, lidmaatschap van groepen); de inhoud die ze maken, uploaden en delen; opmerkingen en taken; verzoeken aan Mindomo AI en chats met de assistent, waar de organisatie Mindomo AI toestaat; beveiligingslogboeken (IP-adres, browser, inlogmomenten).
• Doel: Mindomo leveren aan de organisatie en haar leden.
• Duur: zolang de organisatie Mindomo gebruikt, daarna zoals §8 beschrijft.
• Locatie: gehost in Duitsland, met back-ups in Duitsland.

Bijlage 2. Subverwerkers

Diensten die de organisatie zelf koppelt, zoals haar single sign-on (SAML), zijn eigen diensten van de organisatie, en niet onze subverwerkers.

Wanneer een functie via Microsoft op het web of naar afbeeldingen zoekt, gaat de zoekopdracht naar de zoekdienst van Microsoft, die deze buiten de EU kan verwerken. Voor die zoekopdrachten is Microsoft niet onze subverwerker: Microsoft verwerkt de zoekopdracht onder eigen verantwoordelijkheid, volgens de Microsoft Privacy Statement.

Bijlage 3. Bepalingen per land voor bedrijven

Verenigd Koninkrijk

• De UK GDPR en de Data Protection Act 2018 zijn van toepassing, in plaats van de AVG waar dat relevant is.
• Onze vertegenwoordiger in het Verenigd Koninkrijk: Silvana Carpineanu, dpo@mindomo.com.
• Doorgiften vanuit het Verenigd Koninkrijk volgen de Britse regels: de Britse uitbreiding van het EU-VS-kader voor gegevensbescherming (UK Extension to the EU-US Data Privacy Framework), of het Britse addendum bij de standaardcontractbepalingen.

Verenigde Staten

• Waar een privacywet van een Amerikaanse staat, zoals de California Consumer Privacy Act, op de organisatie van toepassing is, treedt Mindomo op als haar “service provider” (dienstverlener) of “processor” (verwerker): we gebruiken de gegevens alleen om Mindomo aan de organisatie te leveren, en we verkopen of delen ze niet, en combineren ze niet met gegevens uit andere bronnen voor onze eigen doeleinden.

Hoe organisaties deze verwerkersovereenkomst accepteren

• Elke organisatie, met elk abonnement, gratis of betaald: deze verwerkersovereenkomst geldt wanneer een beheerder de gebruiksvoorwaarden namens de organisatie accepteert. Er hoeft niets te worden ondertekend.
• Bij een betaalde licentie leveren we ook een door ons medeondertekend exemplaar van deze verwerkersovereenkomst, of ondertekenen we de eigen verwerkersovereenkomst van de organisatie. Vraag het via support@mindomo.com.