Model Privacy Bijsluiter Privacy Convenant 2.0 – ontwikkeld door de GEU

Bijlage 1

Privacy Bijsluiter Digitale Leermiddelen IntoWords PDF Viewer, Stichting Visiria

Stichting Visiria is een educatieve uitgeverij die verschillende digitale producten en diensten (‘digitale leermiddelen’) aanbiedt voor gebruik in het onderwijs waarbij persoonsgegevens worden verwerkt. Wij vinden het belangrijk om uiterst zorgvuldig met deze persoonsgegevens om te gaan.

Stichting Visiria heeft het Privacyreglement van haar brancheorganisatie GEU en het ‘Convenant Digitale Onderwijsmiddelen en Privacy - Leermiddelen en Toetsen’ onderschreven. In dit convenant is tussen aanbieders en de onderwijssectorraden vastgelegd dat een onderwijsinstelling in juridische zin de ‘verantwoordelijke’ is voor de verwerking van persoonsgegevens. Daardoor hebben en houden onderwijsinstellingen zeggenschap over de gegevens die binnen leermiddelen worden verwerkt. Stichting Visiria is een ‘bewerker’, die uitvoering geeft aan de opdracht van een onderwijsinstelling

De afspraken die hiervoor gelden, zijn vastgelegd in de Bewerkersovereenkomst van Stichting Visiria. Deze Privacy Bijsluiter vormt een onlosmakelijk onderdeel van de Berwerkersovereenkomst. In deze bijsluiter richten wij ons tot u als onderwijsinstelling om u meer specifiek te informeren over onze digitale leermiddelen en de bijbehorende gegevensverwerkingen. Daardoor wordt duidelijk welke opdracht u als onderwijsinstelling geeft aan Stichting Visiria om gegevens te verwerken. Deze Privacy Bijsluiter stelt u tevens in staat om ouders en leerlingen te informeren over de verwerking van persoonsgegevens.

A. Algemene informatie

Naam product en/of dienst:

Deze Privacy Bijsluiter heeft betrekking op de productgroep IntoWords PDF Viewer van Stichting Visiria.

Naam Bewerker en vestigingsgegevens:

Stichting Visiria, Twisk. Stichting Visiria is een aanbieder van digitale leermiddelen.

Beknopte uitleg en werking product en dienst:

In de IntoWords PDF Viewer vallen de volgende producten en diensten:

  • IntoWords PDF Viewer ten behoeve van het gebruik van o.a. Dedicon of Adibib bestanden.

De verwerking van persoonsgegevens binnen deze producten en diensten heeft betrekking op:

  • het toegang krijgen tot producten door middel van een inlogprocedure;
  • het werken met oefenmateriaal. De gegevens die leerlingen invullen bij het gebruik van het leermiddel worden verwerkt door Stichting Visiria.

Link naar uitgever en/of productpagina:

www.stichtingvisiria.nl

Doelgroep:

PO, VO, MBO, HBO

Gebruikers:

De digitale leermiddelen zijn gericht op gebruik door leerlingen en intern begeleiders.

B. De specifieke diensten

Stichting Visiria maakt een onderscheid tussen verwerkingen die een onlosmakelijk onderdeel vormen van de aangeboden dienst, en optionele verwerkingen.

Verwerkingen die een onlosmakelijk onderdeel vormen van IntoWords PDF Viewer

De verwerkingen door Stichting Visiria vinden primair plaats om onderwijstellingen in staat te stellen om met gebruikmaking van de digitale leermiddelen onderwijs te geven en leerlingen te kunnen volgen en begeleiden.

Bij het gebruik van IntoWords PDF Viewer vinden altijd de volgende verwerkingen plaats, in lijn met artikel 5 van het Convenant Digitale Onderwijsmiddelen en Privacy - Leermiddelen en Toetsen:

  • het geleverd krijgen/in gebruik kunnen nemen van de digitale leermiddelen;
  • het verkrijgen van toegang tot de aangeboden digitale leermiddelen, waaronder de identificatie, authenticatie en autorisatie;
  • de beveiliging, controle en preventie van misbruik en oneigenlijk gebruik, en het voorkomen van inconsistentie en onbetrouwbaarheid in de verwerkte persoonsgegevens;
  • De continuïteit en goede werking van het digitale leermiddel, waaronder het laten uitvoeren van onderhoud, het maken van een back-up, het aanbrengen van verbeteringen na geconstateerde fouten of onjuistheden en het krijgen van ondersteuning;

Optionele verwerkingen

Bij het gebruik van IntoWords PDF Viewer kunnen met specifieke toestemming van de onderwijstelling of gebruiker ook andere verwerkingen plaatsvinden. Gebruikers hebben voor deze verwerkingen een actieve keuzeoptie en gaan in de IntoWords PDF Viewer expliciet akkoord met de verwerkingen voordat deze plaatsvinden. Het betreft verwerkingen in het kader van:

  • Opslaan van documenten in de IntoWords PDF Viewer database
  • Toegang tot de IntoWords PDF Viewer via een Google, Microsoft of Facebook account.

C. Doeleinden voor het verwerken van gegevens

De gegevens van de leerling worden verwerkt voor het geven van toegang tot de PDF Viewer. Het opslaan van documenten binnen de PDF Viewer is alleen ten behoeve van de kwaliteit van werken van de leerling.

D. Categorieën en soorten persoonsgegevens

Omschrijving van de verwerkte persoonsgegevens:

Verwerkte persoonsgegevens voor autorisatie en authenticatie

Het verkrijgen van toegang tot digitale leermiddelen verloopt via Stichting Visiria. Stichting Visiria verwerkt de volgende gegevens:

  • de zelfgekozen naam
  • e-mailadres

Verwerkte persoonsgegevens bij gebruik van het leermiddel

Na het inloggen worden door Stichting Visiria vervolgens de gegevens verwerkt die gebruikers invullen bij het gebruik van het leermiddel, zoals:

  • antwoorden
  • eventueel documenten met expliciete toestemming.

Hierdoor kan de leerling antwoorden in het digitale leermiddel invoeren. Het opslaan van documenten kan door de gebruiker zelf worden ingeschakeld en is ervoor bedoeld om het werken met het materiaal sneller en makkelijker te maken.

Optionele persoonsgegevens:

Indien de leerling ervoor kiest om zich aan te melden via de Google, Microsoft of Facebook dan ontvangen wij tenminste het e-mailadres en de naam van de gebruiker.

Na het geven van expliciete toestemming is het mogelijk om te koppelen met OneDrive en Google Drive. De PDF bestanden die in de online drive staan, zullen dan zichtbaar zijn voor de PDF IntoWords Viewer.

Soorten van gegevens:

In IntoWords PDF Viewer worden ‘bijzondere persoonsgegevens’ verwerkt in de zin van artikel 16 van de Wbp.

Op basis van het gebruik van IntoWords kan de onderwijsinstelling zelf conclusies trekken over eventuele beperkingen in de leerontwikkeling en de oorzaak daarvan. Leerresultaten en de gegevens van onze gebruikers beschouwen wij te allen tijde als privacygevoelige gegevens, waarbij wij hoge eisen stellen aan de betrouwbaarheid en veiligheid van onze systemen.

E. Algemene informatie over getroffen beveiligingsmaatregelen:

Voor de genomen veiligheidsmaatregelen verwijzen wij u naar Bijlage 2 van de Bewerkersovereenkomst.

Persoonsgegevens worden door Stichting Visiria verwerkt binnen de Europese Unie. Een overzicht van de plaats van opslag en verwerkingen door subbewerkers die worden ingeschakeld door Stichting Visiria treft u hieronder.

F. Subbewerkers

Voor de verwerking van persoonsgegevens worden door Stichting Visiria subbewerkers ingeschakeld.

Naam:

Omschrijving:

Land van opslag en verwerking:

Strato BV

Database t.b.v. alle bovengenoemde verwerkingen

Duitsland

Hier Media, Leeuwarden

Werkzaamheden ten behoeve van de correcte werking van het programma, onderhoud, technische helpdesk en ontwikkeling.

Nederland

G. Contactgegevens

Voor vragen of opmerkingen over deze Privacy Bijsluiter of de werking van onze digitale leermiddelen, kunt u terecht bij: Stichting Visiria, Fostedina 2, 1676 EA Twisk. Onze helpdesk is telefonisch bereikbaar via 0227-542464 of via helpdeks@intowords.nl. Meer informatie treft u op www.stichtingvisiria.nl.

G. Versie

Deze Privacy Bijsluiter is voor het laatst bijgewerkt op 1-2-2021.

Bijlage 2

Technische en organisatorische beveiligingsmaatregelen

Omschrijving van de maatregelen zoals bedoeld in artikel 7.2 Bewerkersovereenkomst

I. Omschrijving van de maatregelen om te waarborgen dat enkel bevoegd personeel toegang heeft tot de Verwerking van Persoonsgegevens.

Stichting Visiria hanteert een autorisatiebeleid om te bepalen wie toegang moet hebben tot welke gegevens. Medewerkers hebben op grond van deze systematiek geen toegang tot meer data dan strikt noodzakelijk is voor hun functie.

Medewerkers en gegevens:

Handelingen:

Medewerkers van de klantenservice hebben toegang tot licentieinformatie. Zij kunnen onder meer zien voor welke leerlingen een digitaal leermiddel is geactiveerd. De klantenservice heeft geen inzage in leerresultaten van leerlingen.

Administratieve handelingen in het kader van de werking van leermiddelen en licenties.

Ondersteuning van de eindgebruiker.

Analisten / deskundigen op het gebied van ontwikkeling van lesmateriaal hebben toegang tot geanonimiseerde sets van resultaten van gebruik van leermiddelen, eventuele problemen/fouten bij gebruik

Analyse van het lesmateriaal, gericht op verbetering van het materiaal, ontwikkeling en optimalisatie van lesmateriaal, opsporing en verbetering van fouten in de werking van het digitale leermiddel.

IT-databasebeheerders hebben toegang tot de databases.

De handelingen van IT-databasebeheerders zijn gericht op continuïteit en optimalisatie van ICTsystemen.

II. Omschrijving van de maatregelen om de Persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, Verwerking, toegang of openbaarmaking.

Organisatie van informatiebeveiliging en communicatieprocessen

  • Stichting Visiria beschikt over een actief informatiebeveiligingsbeleid.
  • Stichting Visiria heeft een coördinator voor informatiebeveiliging om risico’s omtrent de verwerking van persoonsgegevens te inventariseren, beveiligingsbewustzijn te stimuleren, voorzieningen te controleren en maatregelen te treffen die zien op naleving van het informatiebeveiligingsbeleid.
  • Informatiebeveiligingsincidenten worden gedocumenteerd en worden benut voor optimalisatie van het informatiebeveiligingsbeleid.
  • Stichting Visiria heeft een proces ingericht voor communicatie over informatiebeveiligingsincidenten.

Medewerkers

  • Met medewerkers worden geheimhoudingsverklaringen overeengekomen en informatiebeveiligingsafspraken gemaakt.
  • Stichting Visiria stimuleert bewustzijn, opleiding en training ten aanzien van informatiebeveiliging.
  • Medewerkers hebben op grond van een autorisatiesystematiek geen toegang tot meer data dan strikt noodzakelijk is voor hun functie.

Fysieke beveiliging en continuïteit van de middelen

  • Persoonsgegevens worden uitsluitend verwerkt in een gesloten, fysiek beveiligde omgeving met bescherming tegen bedreigingen van buitenaf.
  • Persoonsgegevens worden uitsluitend verwerkt op apparatuur waarbij maatregelen zijn genomen om de apparatuur fysiek te beveiligen en de continuïteit van de dienstverlening te verzekeren.
  • Er worden periodiek backups gemaakt ten behoeve van de continuïteit van de dienstverlening. Deze backups worden vertrouwelijk behandeld en bewaard in een gesloten omgeving.
  • De locaties waar gegevens worden verwerkt worden periodiek getest, onderhouden en periodiek beoordeeld op veiligheidsrisico’s. Stichting Visiria beschikt over bedrijfscontinuïteitsplannen waarin uitwijklocaties zijn opgenomen.

Netwerk-, server- en applicatiebeveiliging en onderhoud

  • De netwerkomgeving waarbinnen gegevens worden verwerkt is strikt beveiligd. Daarbij worden verkeersstromen gescheiden en zijn maatregelen geïmplementeerd tegen misbruik en aanvallen.
  • De omgeving waarbinnen persoonsgegevens worden verwerkt wordt gemonitord.
  • De digitale leermiddelen waarbinnen persoonsgegevens worden verwerkt komen tot stand op basis van systeemplanning, beveiligingscontrole en acceptatie. Wijzigingen in applicaties worden getest op kwetsbaarheden voordat deze in productie worden genomen.
  • Op systemen worden periodiek de laatste (beveiligings)patches geïnstalleerd op basis van patchmanagement.
  • Gegevens die binnen applicaties worden verwerkt zijn geclassificeerd op risico’s.
  • Penetratietests en vulnerability assessments worden periodiek uitgevoerd.
  • Niet (meer) gebruikte informatie wordt verwijderd.
  • Op wachtwoorden worden cryptografische maatregelen toegepast om deze gegevens veilig op te slaan.
  • Er wordt voor inlogprocessen gebruikgemaakt van versleutelde verbindingen. De uitwisseling van persoonsgegevens aan derden in opdracht van de onderwijsinstelling vindt waar mogelijk versleuteld plaats.

III. Omschrijving van de maatregelen om zwakke plekken te identificeren ten aanzien van de Verwerking van Persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan de Onderwijsinstelling.

De systemen van Stichting Visiria worden per kwartaal gecontroleerd op veiligheid. Daarnaast voorziet het beveiligingsbeleid van Stichting Visiria in interne processen om kwetsbaarheden te identificeren.

Rapportage

Bewerker actualiseert deze informatie voortdurend en informeert gebruikers over wijzigingen in de getroffen maatregelen om persoonsgegevens te beschermen tegen misbruik via website en nieuwsbrief.

In het geval u beveiligingsrisico’s constateert, dan verzoeken wij u contact op te nemen met de helpdesk van Stichting Visiria via 0227-542464.

Informeren over Datalekken en/of incidenten met betrekking tot beveiliging

  • De wijze waarop monitoring en identificatie van Datalekken plaatsvindt

Stichting Visiria monitort 24/7 haar dienstverlening en heeft de in Bijlage 2 opgenomen maatregelen getroffen om ongeoorloofde of onrechtmatige toegang tot gegevens te voorkomen en te identificeren. Signalen die duiden op een Datalek worden beoordeeld door de security officer van Stichting Visiria, die analyseert of sprake kan zijn van een Datalek.

  • De wijze waarop informatie wordt gedeeld:

Wanneer zich een Datalek voordoet, wordt de verantwoordelijke onderwijsinstelling door of namens Stichting Visiria binnen 24 uur na ontdekking van het Datalek per e-mail geïnformeerd. Afhankelijk van de situatie, kan ook informatie worden gedeeld via onze website en officiële sociale media kanalen en/of officiële distributeurs en/of handelsagenten.

Voor vervolgacties of vragen kan telefonisch of per e-mail contact worden opgenomen met onze helpdesk via de in de Privacy Bijsluiter opgenomen gegevens

  • Stichting Visiria deelt ten minste de volgende informatie wanneer zich een Datalek voordoet:
  • De kenmerken van het incident, zoals: datum en tijdstip constatering, samenvatting incident, kenmerk en aard incident (op wat voor onderdeel van de beveiliging ziet het, hoe heeft het zich voorgedaan, heeft het betrekking op lezen, kopiëren, veranderen, verwijderen/vernietigen en/of diefstal van persoonsgegevens);
  • De oorzaak van het beveiligingsincident;
  • De maatregelen die getroffen zijn om eventuele/verdere schade te voorkomen;
  • Benoemen van betrokkenen die gevolgen kunnen ondervinden van het incident, en de mate waarin;
  • De omvang van de groep betrokkenen;
  • Het soort gegevens dat door het incident wordt getroffen (met name bijzondere gegevens, of gegevens van gevoelige aard, waaronder toegangs- of identificatiegegevens, financiële gegevens of leerprestaties).

Indien een concrete situatie zich daartoe leent, dan kan Stichting Visiria een (eerste) melding van een Datalek doen aan de Autoriteit Persoonsgegevens. De Onderwijsinstelling wordt hierover geïnformeerd en blijft ook in dit geval eindverantwoordelijk voor de melding.

Versie

Deze bijlage is voor het laatst bijgewerkt op 1-2-2021.

Deze privacy bijsluiter maakt onderdeel uit van de afspraken die zijn gemaakt in het Convenant Digitale Onderwijsmiddelen en Privacy 2.0, een initiatief van de PO-Raad, VO-raad, de verschillende betrokken ketenpartijen (GEU, KBB-e en VDOD) en het ministerie van Onderwijs, Cultuur en Wetenschap. Meer informatie hierover vindt u hier: http://ww.privacyconvenant.nl.