VERWERKINGSOVEREENKOMST
Aanmeldsysteem voor het BuBaO voor 2026-2027
TUSSEN
HET SCHOOLBESTUUR
- Naam schoolbestuur
- Adres maatschappelijke zetel schoolbestuur
- Instellingsnummer schoolbestuur
- Vertegenwoordiger van het schoolbestuur
- Naam functionaris van gegevensbescherming:
EN
DE SCHOOL (OF SCHOLEN)
- Naam school
- Adres maatschappelijke zetel school
- Instellingsnummer school
- Directeur van de school
Hierna: de “verwerkingsverantwoordelijken”;
EN
I-Active ISB BV met maatschappelijke zetel gelegen te Sassevaartstraat 46 bus 101, 9000 Gent en met ondernemingsnummer 0784616568, hierbij rechtsgeldig vertegenwoordigd door Pol Valck, bestuurder; (contactgegevens: Pol Valck,
Hierna: de “verwerker”;
De verwerkingsverantwoordelijke en de verwerker worden hieronder ook wel afzonderlijk aangeduid als een “partij” of gezamenlijk als de “partijen”;
na te hebben uiteengezet
- Op heden hebben de partijen een overeenkomst gesloten met betrekking tot software voor digitaal aanmelden voor het schooljaar 2026-2027 voor het buitengewoon basisonderwijs in genoemde scho(o)l(en) hierna genoemd de opdracht;
- In het kader van deze overeenkomst zal de verwerker ook bepaalde persoonsgegevens verwerken in opdracht en voor rekening van de verwerkingsverantwoordelijke;
De partijen wensen nu hun afspraken met betrekking tot de uitvoering en organisatie van deze verwerking van persoonsgegevens te formaliseren in deze verwerkingsovereenkomst, die integraal deel uitmaakt van voornoemde opdracht
wordt overeengekomen als volgt
Artikel 1: Definities
Begrippen die in deze verwerkingsovereenkomst met hoofdletter worden gebruikt, moeten worden geïnterpreteerd zoals in dit artikel of elders in de verwerkingsovereenkomst gedefinieerd.
|
AVG |
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming);
|
|
Betrokkene |
De geïdentificeerde of identificeerbare natuurlijke persoon op wie een persoonsgegeven betrekking heeft;
|
|
Datalek |
Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens;
|
|
Derden |
Elke natuurlijke persoon, rechtspersoon, overheidsinstantie, dienst of ander orgaan andere dan de verwerker, de verwerkingsverantwoordelijke en hun personeelsleden of aangestelden;
|
|
Opdracht |
De opdracht zoals omschreven in bijlage 1; |
|
|
|
|
Persoonsgegevens
Unierechtelijke of lidstaatrechtelijke bepaling |
Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals ook gedefinieerd in artikel 4, 1) AVG, die de verwerker in het kader van de opdracht verwerkt;
Een bepaling opgelegd door unierechtelijke of (EU) lidstaatrechtelijke wetgeving;
|
|
Verwerken/Verwerking |
Elke bewerking of geheel van bewerkingen met betrekking tot Persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens, zoals ook gedefinieerd in artikel 4, 2) AVG;
|
|
Verwerkingsovereenkomst |
Deze overeenkomst.
|
Artikel 2: Voorwerp (art. 28, lid 3 en 4 AVG)
2.1. De verwerker verwerkt de persoonsgegevens voor de verwerkingsverantwoordelijke uitsluitend zoals omschreven in de opdracht en overeenkomstig de in deze overeenkomst vastgelegde verplichtingen. De opdracht wordt nader omschreven in bijlage 1.
2.2. Elke verwerking anders dan omschreven in de opdracht is strikt verboden, met inbegrip van de doorgifte van persoonsgegevens aan derden, een derde land of een internationale organisatie, behoudens indien één van de hieronder opgesomde voorwaarden vervuld is:
- De verwerkingsverantwoordelijke heeft schriftelijke instructies gegeven om bijkomende verwerkingen uit te voeren; of
- Een unierechtelijke of lidstaatrechtelijke bepaling verplicht de verwerker tot deze bijkomende verwerking. De verwerker zal de verwerkingsverantwoordelijke desgevallend binnen een redelijke termijn voorafgaand aan de bijkomende verwerking op de hoogte stellen van voornoemd wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Als de verwerker een verzoek krijgt om persoonsgegevens ter beschikking te stellen door een daartoe bevoegde instantie overeenkomstig een unierechtelijke of lidstaatrechtelijke bepaling, beoordeelt zij eerst of het verzoek bindend is en of zij op grond van gedrags- en beroepsregels aan het verzoek moet voldoen. Als er geen strafrechtelijke of andere juridische belemmeringen zijn, dan stelt de verwerker de verwerkingsverantwoordelijke op de hoogte van het verzoek. De verwerker doet dat binnen een termijn dat het voor de verwerkingsverantwoordelijke mogelijk is om eventuele rechtsmiddelen tegen de verstrekking van de persoonsgegevens in te stellen.
2.3. De verwerker stelt de verwerkingsverantwoordelijke onmiddellijk in kennis indien naar zijn mening een instructie inbreuk oplevert op de AVG of op andere unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming.
Artikel 3: Duur (art. 28, lid 3, g)
3.1. Loopt samen met de opdracht beschreven in punt A.
3.2. Artikels 3.3, 5, 6, 7, 9 en 12 blijven van kracht na beëindiging van de verwerkingsovereenkomst.
3.3. Na beëindiging van de verwerkingsovereenkomst dient de verwerker aan de verwerkingsverantwoordelijke zonder onredelijke vertraging, en onverwijld op verzoek, een kopie te bezorgen van alle Persoonsgegevens die door haar in het kader van de opdracht verwerkt worden, in gestructureerd, gangbaar en machine leesbaar formaat. Als alle persoonsgegevens zijn bezorgd, stelt de verwerker onmiddellijk een einde aan elke verwerking van de persoonsgegevens en vernietigt hij elke kopie en back-up van de persoonsgegevens die hij nog zou bezitten, tenzij opslag van de persoonsgegevens unierechtelijk of lidstaatrechtelijk is verplicht.
Artikel 4: Beveiliging (art. 32 AVG)
4.1. De verwerker treft alle passende technische en organisatorische beveiligingsmaatregelen die nodig zijn om de persoonsgegevens te beveiligen, rekening houdend met de stand van de techniek en de kost voor beveiliging, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen. In het bijzonder zal de verwerker de persoonsgegevens beveiligen tegen vernietiging, verlies, vervalsing, niet toegelaten verspreiding of toegang en elke andere vorm van onwettige verwerking. De minimale maatregelen die worden getroffen, worden in bijlage 2 toegevoegd.
4.2. De verwerker wijst een functionaris voor gegevensbescherming aan en heeft tenminste een actueel veiligheidsbeleid- en plan.
Artikel 5: Vertrouwelijkheid (art. 29 AVG)
5.1. De verwerker verbindt zich er uitdrukkelijk toe het vertrouwelijk karakter en de veiligheid van de persoonsgegevens die zij in het kader van de Opdracht Verwerkt, te waarborgen.
5.2. De verwerker maakt zich sterk dat alle personeelsleden of aangestelden die toegang hebben tot de persoonsgegevens het vertrouwelijk karakter en de veiligheid van deze persoonsgegevens zullen respecteren. De verwerker zal erop toezien dat personeelsleden of aangestelden enkel toegang verkrijgen tot persoonsgegevens nadat ze behoorlijk gebonden zijn door een wettelijke of contractuele vertrouwelijkheidsverplichting.
Artikel 6: Onderaanneming en subverwerkers (art. 28 lid 4 AVG)
6.1. Het is aan de verwerker toegestaan andere verwerkers aan te stellen om persoonsgegevens in het kader van de opdracht te verwerken (hierna: de “subverwerker”). De verwerkingsverantwoordelijke gaat akkoord met de lijst van subverwerkers opgesomd in bijlage 3. Binnen een redelijke termijn voor het aannemen van een andere subverwerker licht de verwerker de Verwerkingsverantwoordelijke in over de toevoeging of verandering. De verwerkingsverantwoordelijke kan vervolgens bezwaar maken tegen het aannemen van de voorgestelde subverwerker.
6.2. Extern ingehuurde medewerkers worden voor deze verwerkingsovereenkomst niet als subverwerker beschouwd. De verwerker zal erop toezien dat deze extern ingehuurde medewerkers dezelfde vertrouwelijkheidsclausule, zoals beschreven in artikel 5 van deze verwerkingsovereenkomst naleven zoals dit voor de eigen werknemers van de verwerker het geval is.
6.3. De verwerker en de subverwerker sluiten een overeenkomst waarin dezelfde verplichtingen inzake gegevensbescherming opgelegd worden als die welke in de voorliggende verwerkingsovereenkomst zijn opgenomen. De verwerker zal de subverwerkers ook dezelfde geheimhoudingsverplichting als deze die op haar rust opleggen middels een vertrouwelijkheidsovereenkomst. De verwerker zal op eenvoudig verzoek van de verwerkingsverantwoordelijke het nodige bewijs voorleggen om aan te tonen dat de overeenkomsten met haar Subverwerkers voldoen aan de in dit artikel gestelde voorwaarden.
6.4. De verwerker houdt een actueel overzicht bij van de overeenkomsten met subverwerkers en kan deze binnen redelijke termijn op eenvoudig verzoek bezorgen aan de verwerkingsverantwoordelijke.
6.5. Indien een subverwerker haar gegevensbeschermingsverplichtingen niet vervult, zal de verwerker volledig aansprakelijk blijven ten opzichte van de verwerkingsverantwoordelijke voor de naleving van deze verplichtingen.
Artikel 7: Bijstand (art. 28, lid 3, e - f)
7.1. Algemeen
De verwerker zal de verwerkingsverantwoordelijke alle informatie verstrekken en alle bijstand verlenen die noodzakelijk is en/of die redelijkerwijze mag worden verwacht opdat de Verwerkingsverantwoordelijke in staat zou zijn om haar verplichtingen uit de AVG na te komen én van deze nakoming het bewijs te leveren.
7.2. Bijstand bij verzoek van een betrokkene
De verwerker verleent aan de verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bijstand bij het vervullen van diens plicht om verzoeken tot uitoefening van de in hoofdstuk III van de AVG vastgestelde rechten van de betrokkene, te beantwoorden.
Indien een betrokkene zich rechtstreeks wendt tot de verwerker om zich te beroepen op één van de rechten die hem ingevolge hoofdstuk III van de AVG zijn toegekend, zal de verwerker dit onverwijld melden aan de verwerkingsverantwoordelijke en alleen tegemoetkomen aan het verzoek van de betrokkene na schriftelijk akkoord van de verwerkingsverantwoordelijke.
7.3. Bijstand bij Datalekken
De verwerker verbindt zich ertoe elk datalek en alle ernstige pogingen tot onrechtmatige of ongeautoriseerde verwerkingen of toegangen tot persoonsgegevens zonder onredelijke vertraging, en uiterlijk 24 uur na kennisname, te melden aan de verwerkingsverantwoordelijke conform artikel 33.3 van de AVG. De verwerker zal alle maatregelen treffen die redelijkerwijs nodig zijn om (verdere) schending van de beveiligingsmaatregelen en eventuele schade te voorkomen of te beperken en zal aan de verwerkingsverantwoordelijke alle informatie die ze nuttig of nodig acht, verschaffen.
Rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie, verleent de verwerker bovendien bijstand aan de verwerkingsverantwoordelijke bij het nakomen van diens verplichtingen betreffende:
- Het melden van een datalek aan de toezichthoudende autoriteit conform artikel 33 van de AVG;
- Het mededelen van een datalek aan de betrokkene conform artikel 34 van de AVG.
Het is de verwerker evenwel niet toegestaan om het datalek zelf te melden aan de GBA of de mededeling aan de betrokkene zelf te verrichten. Dit is uitsluitend de bevoegdheid van de verwerkingsverantwoordelijke.
7.4. Andere bijstandsverplichtingen
De verwerker zal - rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie – de verwerkingsverantwoordelijke bijstand verlenen bij het nakomen van diens verplichtingen betreffende:
- Het beveiligen van de verwerking conform artikel 32 van de AVG;
- Het uitvoeren van een gegevensbeschermingseffectbeoordeling conform artikel 35 van de AVG;
- Het voorafgaand aan een voorgenomen verwerking raadplegen van de toezichthoudende autoriteit, wanneer dit na een gegevensbeschermingseffectbeoordeling nodig zou blijken, conform artikel 36 van de AVG.
Artikel 8: Plaats van verwerking (art. 3, art. 28, lid 3) en doorgifte
De verwerker verwerkt de persoonsgegevens alleen binnen de Europese Economische Ruimte, tenzij hierover met de verwerkingsverantwoordelijke vooraf andere afspraken zijn gemaakt.
De verwerker zal geen toegang geven tot de persoonsgegevens aan en/of deze persoonsgegevens niet verstrekken aan verwerkers buiten de Europese Economische Ruimte, tenzij de verwerkingsverantwoordelijke hier uitdrukkelijk vooral schriftelijk mee heeft ingestemd
Het voorgaande staat de verplichte doorgifte aan landen buiten de EER op basis van enig Belgische of EU wettelijk voorschrift of wettelijk voorschrift van een EU-lidstaat niet in de weg. In dergelijk geval dient de verwerker de verwerkingsverantwoordelijke onmiddellijk schriftelijk te informeren tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.
Artikel 9: Controle (art. 28, lid 3, h)
9.1. De verwerkingsverantwoordelijke of zijn daartoe aangestelde heeft op elk ogenblik het recht om de naleving van deze verwerkingsovereenkomst te controleren. Daartoe heeft zij het recht om zich ter plaatse te begeven in de lokalen of plaatsen waar de Verwerker de verwerking uitvoert. De verwerkingsverantwoordelijke zal de verwerker minstens tien dagen voorafgaand aan het uitvoeren van de controle schriftelijk inlichten. De verwerkingsverantwoordelijke zal de controles, tenzij dwingend anders vereist, enkel op werkdagen tijdens kantooruren uitvoeren.
9.2. Op eenvoudig verzoek van de verwerkingsverantwoordelijke is de verwerker ertoe gehouden alle inlichtingen die van toepassing zijn bij de uitvoering van deze verwerkingsovereenkomst mee te delen en bijstand te verlenen bij het uitvoeren van de audits of bij het vervullen van de verplichting om verzoeken om uitoefening van de in de AVG vastgestelde rechten van de Betrokkene te beantwoorden.
Artikel 10: Aansprakelijkheid (art. 82, lid 2)
10.1. De verwerker is aansprakelijk ten aanzien van de verwerkingsverantwoordelijke voor schade die voortvloeit uit een handeling of een nalatigheid wanneer bij de verwerking niet is voldaan aan de specifiek tot verwerkers gerichte verplichtingen van de AVG, dan wel uit een handeling of nalatigheid in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke.
10.2. De aansprakelijkheid van de verwerker is beperkt zoals voorzien in de opdracht, zonder evenwel afbreuk te doen aan art 82 van de AVG.
Artikel 11: Beëindiging
11.1. Indien de verwerker zijn verplichtingen onder deze verwerkingsovereenkomst niet naleeft, kan de verwerkingsverantwoordelijke, onverminderd het recht om een schadevergoeding te bekomen, na schriftelijke gemotiveerde ingebrekestelling de opdracht geheel of gedeeltelijk beëindigen indien de verwerker nalaat passende maatregelen te treffen.
Artikel 12: Overige
12.1.Deze verwerkingsovereenkomst is onderworpen aan het Belgisch recht. Alle geschillen in verband met deze verwerkingsovereenkomst, zullen worden voorgelegd aan de bevoegde rechter in het arrondissement waar de verwerkingsverantwoordelijke gevestigd is.
12.2. Indien een bepaling in de verwerkingsovereenkomst geheel of gedeeltelijk ongeldig, onwettig of nietig zou worden verklaard, tast dit op geen enkele wijze de geldigheid, wettigheid en toepasbaarheid van de andere bepalingen aan. De partijen zullen vervolgens te goeder trouw onderhandelen om de ongeldige, onwettige of nietige bepaling te vervangen door een geldige bepaling die zoveel als mogelijk de gevolgen heeft van de ongeldige, onwettige of nietige bepaling.
12.3. Aanvullingen en wijzigingen op deze verwerkingsovereenkomst dienen schriftelijk te gebeuren door middel van een addendum dat als bijlage aan deze verwerkingsovereenkomst zal worden gehecht.
Deze verwerkingsovereenkomst loopt van 1 januari 2026 tot de 7de schooldag van oktober 2026.
Opgemaakt te Gent op 17 november 2025 in evenveel exemplaren als er partijen zijn. Aan elke partij wordt één ondertekend exemplaar van de verwerkingsovereenkomst overhandigd.
Voor de verwerkingsverantwoordelijke Voor de verwerker
____________________________________ _________________________
Naam verantwoordelijke schoolbestuur Pol Valck
Functie verantwoordelijke schoolbestuur Bestuurder
BIJLAGEN
- Bijlage 1: omschrijving opdracht
- Bijlage 2: veiligheidsmaatregelen
- Bijlage 3: opsomming van de subverwerker
BIJLAGE 1: Aard en doel van de verwerking per gegevenssoort per categorie betrokkenen
In het kader van Verwerkingsovereenkomst voert de Verwerker op de onderstaande Persoonsgegevens de Verwerkingen uit waarvan per gegevenssoort de aard van de verwerking, alsmede het doel ervan en de categorieën van betrokkenen, de classificatie (*) worden vermeld.
|
Soort persoonsgegeven |
Aard van de verwerking |
Doel van de verwerking |
Categorie(ën) van betrokkenen |
Classificatie (*) |
|
Registratie, Wijziging |
Inschrijving op activiteiten |
Kind, Ouder, Personeel |
|
|
Registratie, Wijziging |
Inschrijving op activiteiten |
Kind, Ouder, Personeel |
|
(*) optioneel
BIJLAGE 2: Technische en organisatorische maatregelen
Bepalingen art 32 AVG
Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen.
De verwerker is eraan gehouden om maatregelen te treffen die onder meer het volgende kunnen omvatten:
- De pseudonimisering en versleuteling van persoonsgegevens
- Het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen
- Het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen
- Een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking
Technische en organisatorische maatregelen betreffende de interne werking en organisatie van I-Active ISB
|
ALGEMEEN BEVEILIGINGSBELEID EN ORGANISATIE VAN INFORMATIEBEVEILIGING |
|
Verantwoordelijke voor informatiebeveiliging: I-Active ISB BV heeft een informatieveiligheidsteam aangesteld onder supervisie van een externe Informatieveiligheidsadviseur.
Naam: Daniël Boone Tel: 09 265 97 74 |
|
|
|
Verantwoordelijke voor gegevensbescherming: i-Active ISB heeft een Data Protection Security Officer aangewezen die verantwoordelijk is voor het coördineren, opvolgen en controleren van de beveiligingsregels en -procedures. Contactgegevens: Contactgegevens: Patrick Depuydt
|
|
|
|
Verantwoordelijkheden op vlak van informatiebeveiliging en gegevensbescherming: De verantwoordelijkheden van de medewerkers van i-Active ISB zijn formeel gedocumenteerd en gepubliceerd in een informatieveiligheidsbeleid. |
|
|
|
Risicoanalyse, beheer en controle: i-Active ISB voert periodiek risicoanalyses uit van de genomen beveiligingsmaatregelen en doet controles voor wat betreft de naleving van de verschillende informatiebeveiligingsprocedures |
|
PERSONEEL |
||
|
VEILIG PERSONEELSBELEID |
|
Training over belang van beveiliging en omgang met persoonsgegevens: i-Active ISB voorziet opleidingen om alle medewerkers te sensibiliseren voor wat betreft de beveiligingsrichtlijnen- en beveiligingsprocedures en hun rol daarbij. |
|
|
|
Toegangsautorisatie: i-Active ISB implementeert en handhaaft een autorisatiebeheersysteem dat de toegang controleert tot systemen die persoonsgegevens bevatten. |
|
|
|
Segregatie: i-Active ISB heeft een segregatie ingevoerd om te vermijden dat personen toegang krijgen tot gegevens waarvoor ze geen toegang nodig hebben voor de uitoefening van hun taak. |
|
GEBOUW |
||
|
FYSIEKE BEVEILIGING |
|
Fysieke toegang tot productie- en bureauruimtes: i-Active ISB beperkt de toegang tot haar ruimtes waar persoonsgegevens verwerkt worden in kader van haar opdracht, strikt tot geïdentificeerde en geautoriseerde personen. Hiervoor is een toegangscontrole met vingerafdruk aanwezig om toegang te bekomen tot het gebouw |
|
|
|
Beveiliging van de omgeving: Naast badge-lezers is het volledige gebouw uitgerust met - een alarm- en branddetectie systeem. |
|
BESCHERMING TEGEN ONGEREGELDHEDEN, PANNES EN INCIDENTEN |
|
Firewall: i-Active ISB is uitgerust met een geavanceerde firewall en controlemechanismen die zijn interne netwerk op gepaste wijze beschermt tegen ongeoorloofde toegang tot zijn interne netwerk. |
|
DATA CENTER |
|
|
|
FYSIEKE BEVEILIGING |
|
Fysieke toegang tot het Data Center: i-Active ISB centraliseerde alle data die nodig is in kader van haar opdracht in een beveiligd datacenter conform de industrienormen. Fysieke toegang tot het datacenter wordt gecontroleerd/beheerd. |
|
|
|
Noodherstel: i-Active ISB is gestart met de opmaak van een noodherstelplan in geval van calamiteiten met haar servers in het Datacenter waarop persoonsgegevens staan |
|
|
|
Redundantie: i-Active ISB bewaart kopieën van persoonsgegevens alsook haar gegevensherstelprocedures welke opgeslagen staan in het primaire datacenter in een tweede locatie. => Deze kopieën zijn extra versleuteld met specifieke encryptie sleutels die enkel nodig zijn indien het primaire dat center zou falen. |
|
DATA |
|
|
|
DIGITALE GEGEVENS |
|
Bewaring van gegevens: Alle digitale gegevens die verwerkt worden door i-Active ISB in kader van haar opdracht worden centraal in het datacenter opgeslagen in een Oracle Database. Toegang tot de databases is streng vastgelegd en gemonitored. |
|
|
|
Beveiligingsupdates: i-Active ISB voorziet al zijn systemen van de laatste updates. Beveiligingsupdates worden opgevolgd en geïnstalleerd volgens haar patchmanagementproces |
|
|
|
Antivirus en kwaadaardige Software: i-Active ISB voorziet al zijn systemen van anti-malware om te helpen voorkomen dat kwaadaardige software ongeautoriseerde toegang tot klantengegevens krijgt. |
|
|
|
Logging van toegangen. i-Active ISB voorziet een continue logging op de server van alle toegangen tot haar systemen die persoonsgegevens bevatten met inbegrip van welke gebruiker, de tijd en activiteit. Alle logbestanden worden gedurende 90 dagen bijgehouden. |
|
|
|
|
|
COMMUNICATIE |
|
|
|
BEVEILIGDE VERBINDINGEN |
|
Versleuteling van verbindingen: i-Active ISB maakt gebruikt van beveiligde verbindingen voor de toegang tot haar gegevens in het datacenter. Alle data die verzonden wordt over publieke netwerken gebeurt dan ook aan de hand van encryptie mechanismen.
|
|
AUTHENTICATIE |
|
Authenticatie: i-Active ISB maakt gebruik van wachtwoorden. Wachtwoorden dienen steeds te bestaan uit minimaal acht tekens en zowel uit minimaal één hoofdletter, letter, cijfer. Er is een strenge fysieke beveiliging en i-Active ISB maakt gebruik van een professionele password managementtool.
De verwerker gebruikt minimaal een tweestapsverificatie. |
|
INFORMATIESYSTEMEN |
|
|
|
ONDERHOUD EN EVOLUTIE VAN INFORMATIESYSTEMEN |
|
Controle over systeem updates en evoluties: i-Active ISB heeft een wijzigingsbeheerproces geïmplementeerd om ervoor te zorgen dat wijzigingen in operationele systemen en toepassingen plaatsvinden op een gecontroleerde wijze. |
|
|
|
Beveiligingsvereisten: De vereisten voor de bescherming van gegevens en systemen worden geanalyseerd en gespecificeerd in samenwerking met onze IT-leverancier(s). |
|
INCIDENTEN |
|
Incident response: i-Active ISB houdt een register van beveiligingsinbreuken bij met een beschrijving van de inbreuk, het tijdstip, de gevolgen van de inbreuk, de naam van de melder en van degene aan wie de inbreuk werd gemeld. |
|
|
|
Notificatie van incidenten: In geval van een gegevensbeveiligingsincident dat impact heeft op de vertrouwelijkheid of integriteit van persoonsgegevens van klanten, zal i-Active ISB, zonder onredelijke vertraging, de verwerkingsverantwoordelijke hiervan informeren. |
BIJLAGE 3: Opsomming van subverwerkers
- Sparkpost EU; welke gehost is in de EU en GDPR compliant is.
Deze dienst wordt gebruikt om de e-mails vanuit de software te versturen.
BIJLAGE 4: Data protection impact assessment (DPIA)
1. Organisatiegegevens
- De Verwerker – zie verwerkingsovereenkomst
- Opsteller DPIA : Technische werkgroep van Buitengewoon.Kiesjeschool bestaande uit de vertegenwoordigers van de betrokken schoolbesturen en de LOP-deskundigen (BaO) van Aarschot, Diest, Dilsen-Stokkem, Genk, Hasselt, Heusden-Zolder, Maasmechelen, Sint-Truiden en Tienen.
2. Gegevens van de verwerking
- De minimum vereiste gegevens om een juiste aanmelding te kunnen doen worden opgevraagd.
- Gegevens aanmelder (ouder of voogd):
- naam, voornaam
- e-mailadres
- telefoonnummer en/of GSM-nummer
- Aanmeldingsgegevens toekomstige leerling:
- naam, voornaam,
- domicilie adres
- rijksregisternummer (automatische bepaling geboortedatum en geslacht)
- schoolkeuzes
- het al dan niet beschikken over een verslag (optioneel)
- het al dan niet behoren tot een voorrangsgroep (broer/zus of kind van personeel)
- Met welk doel en in welk proces worden deze gegevens gebruikt? Toewijzing door afstandsberekening en/of digitale lottrekking van een zich aangemelde leerling aan een school van voorkeur
- Welke groepen betrokkenen zijn de persoonsgegevens? Toekomstige leerlingen en hun ouders.
3. Moet een DPIA worden uitgevoerd?
Een DPIA is alleen verplicht als een gegevensverwerking waarschijnlijk een hoog privacy-risico oplevert voor de betrokkenen (de mensen van wie de organisatie gegevens verwerkt). Dat is in ieder geval zo als een organisatie:
- systematisch en uitvoerig persoonlijke aspecten evalueert, waaronder profilering;
- op grote schaal bijzondere persoonsgegevens verwerkt;
- op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied (bijvoorbeeld met cameratoezicht).
Om te bepalen of er mogelijk sprake is van een hoog risico hanteren de toezichthouders de onderstaande vuistregel. Er is sprake van een hoog risico als men aan twee of meer van de onderstaande negen criteria voldoet:
- evaluatie van personen of scoretoekenning: digitale lottrekking en afstandsberekening
- geautomatiseerde besluitvorming met rechtsgevolg of vergelijkbaar wezenlijk gevolg: toewijzing of weigering aan een school van voorkeur
- stelselmatige monitoring: NVT
- gevoelige gegevens of gegevens van zeer persoonlijke aard: vraag naar verslag buitengewoon onderwijs, rijksregisternummer
- op grote schaal verwerkte gegevens: ca. 200 leerlingen
- matching of samenvoeging van datasets: voor de ingevulde adressen worden de coördinaten en onderlinge afstanden bepaald
- gegevens met betrekking tot kwetsbare betrokkenen: minderjarigen
- innovatieve toepassing van nieuwe technologische of organisatorische oplossing: NVT
- blokkering van een recht, dienst of contract: een plaats op een wachtlijst garandeert niet noodzakelijk een plaats op een school, er zijn echter ook nog vrije inschrijvingen zodat ouders hun kind nog kunnen inschrijven in scholen met vrije plaatsen.
4. Systematische omschrijving van de gegevensverwerking
- Gegevensverwerking? Opvraging minimum vereiste aanmeldingsgegevens via online programma, automatische toewijzing of weigering aan een school van voorkeur via digitale lottrekking / afstandsberekening
- Hoe / waar wordt de informatie verzameld? Via een online tool wat de aanmeldingsgegevens betreft.
- Waar wordt deze opgeslagen? Op een centrale, beveiligde server
- Wordt elk veld gebruikt? Elk veld is noodzakelijk voor een correcte verwerking.
- Kunnen de doelen van de verwerking ook zonder de gegevens worden behaald? Nee
- Wordt binnen het proces om toestemming gevraagd? Ja, ouders zijn niet verplicht om aan te melden, ze kunnen ervoor kiezen om via de vrije inschrijvingen hun kind in te schrijven.
- Zijn er latere uitschrijf/opt-out-mogelijkheden? Ja
- Wat is de bewaartermijn van de gegevens? Na afloop van het schooljaar, waarop de aanmeldingen betrekking hebben, wordt alle informatie verwijderd uit de operationele systemen. Een dataset in beveiligde omgeving wordt gedurende 10 jaar bewaard in een beveiligde omgeving. (data wordt bewaard in database van ISB, dit betreft de volledige dataset en niet geanonimiseerd).
- Hoe is de verwijdering van de gegevens geregeld? Datasets werden tot hiertoe nog niet verwijderd, indien deze datasets verwijderd worden, zullen de toewijzingsgegevens geanonimiseerd worden.
- Welke hardware en software wordt gebruikt bij de gegevensverwerking? Oracle Cloud Platform: I-Active ISB
- Welke afdelingen, leveranciers en andere partijen zijn als verwerker bij de verwerking betrokken? I-Active ISB NV
- Is er sprake van internationale doorgifte? Nee
- Archivering op papier of digitaal? Digitaal
- Wat is de verwachte omvang van de gegevensverwerking?
Tussen de 1000 en 2000 leeringen.
- 5. Beoordeling noodzaak en proportionaliteit
- Is er sprake van een duidelijk gespecificeerd doel? Ja
- Wat is dit doel precies, en waarom is dit legitiem? Door schaarste aan beschikbare plaatsen in scholen van voorkeur is digitale lottrekking/afstandsberekening een systeem dat iedereen gelijke kansen garandeert
- Kan dit doel ook zonder deze persoonsgegevens worden behaald? Waarom niet? Nee, identificatie van de leerling en van de criteria die voorrang generen zijn noodzakelijk (afstand is een belangrijk criterium)
- Is er sprake van een duidelijke maximale bewaartermijn? Ja
- Wordt er voldoende informatie verstrekt aan betrokkene? Via de gebruikersovereenkomst, vermeld op de website. Iedereen moet bevestigen dat hij/zij het eens is met de procedure voor het mogelijk is een aanmelding te starten.
- Hoe is het recht op inzage gewaarborgd? De gegevens zijn en blijven permanent online te consulteren door de ouders tot het einde van het desbetreffende schooljaar.
- Hoe is het recht op rectificatie gewaarborgd? De gegevens kunnen tot op de dag van toewijzing of weigering online worden gewijzigd. Daarna is dit niet meer mogelijk omdat de toewijzing gebeurt op basis van op dat moment beschikbare gegevens. Via de helpdesk kan de vraag gesteld worden om contactgegevens te wijzigen, deze aanpassingen hebben geen invloed meer op de toewijzing.
6. Beoordeling van de privacyrisico's
Hoe schat u de kans en impact van de volgende risico’s?
|
Risico |
Hoe kan dit risico zich voordoen? |
Kans dat dit in een jaar gebeurt |
Impact op betrokkenen |
|
Onrechtmatige toegang – interne medewerkers |
Slordigheid met paswoorden |
Beperkt. Duidelijke info rond veiligheid. Iedere ingreep in databank wordt gelogd. |
Hoog |
|
Onrechtmatige toegang – door buitenstaanders |
Hacking |
Klein. Server op professionele manier beveiligd tegen onrechtmatige toegang. |
Hoog |
|
Ongewenste wijziging van gegevens – interne medewerkers |
Slordigheid bij wijziging gegevens |
Klein. Procedures uitgewerkt voor wijzigingen gegevens. |
laag Situatie kan rechtgezet worden. |
|
Ongewenste wijziging van gegevens – door buitenstaanders |
Hacking |
Klein. Server op professionele manier beveiligd tegen onrechtmatige toegang. |
hoog |
|
Verdwijnen / zoekraken van gegevens |
Fysieke beschadiging of diefstal server- en backupsystemen |
Klein. Door backup op verschillende plaatsen. (zie verwerkingsovereenkomst) |
Laag door backup op verschillende plaatsen. |
Wat is de exacte impact van uitlekken van gegevens op betrokkenen?
- Heeft dit nadelige gevolgen voor de persoon? ja
- Is er kans op financiële schade? nee
- Is er kans op identiteitsdiefstal of fraude? Ja
7. Maatregelen
- Maatregelen? Procedures, infosessies, authenticatie gebruikers via gebruikersnaam en wachtwoord, logging, fysieke beveiliging (zie verwerkingsovereenkomst)
- Is het duidelijk wie na afloop van het project verantwoordelijk is voor het in stand houden en evalueren van de getroffen maatregelen? Ja, de technische werkgroep van Buitengewoon.Kiesjeschool.
8. Informeren over inbreuken in verband met persoonsgegevens en/of incidenten met betrekking tot de beveiliging
Indien en voor zover het niet mogelijk is om alle informatie gelijktijdig te verstrekken, kan de onderstaande informatie zonder onredelijke vertraging in stappen worden verstrekt.
Informatie die in ieder geval over een incident gedeeld moet worden zodat de verwerkingsverantwoordelijke aan de meldplicht aan de Gegevensbeschermingsautoriteit kan voldoen. De vetgedrukte elementen moeten zeker worden meegedeeld ingeval van een inbreuk in verband met persoonsgegevens.
- De kenmerken van het incident, zoals: datum en tijdstip constatering, samenvatting incident, kenmerk en aard incident (hoe heeft het zich voorgedaan, heeft het betrekking op lezen, kopiëren, veranderen, verwijderen/vernietigen en/of diefstal van persoonsgegevens);
- De oorzaak van het beveiligingsincident;
- De maatregelen die getroffen zijn om het incident aan te pakken en eventuele/verdere schade te beperken en voorkomen;
- Benoemen van betrokkenen die gevolgen kunnen ondervinden van het incident, en de mate waarin;
- De omvang van de groep betrokkenen;
- Het soort gegevens dat door het incident wordt getroffen (met name bijzondere gegevens, of gegevens van gevoelige aard, waaronder toegangs- of identificatiegegevens, financiële gegevens of leerprestaties);