Verwerkersovereenkomst BreinKid ↔ School
Partijen
- De Verwerkingsverantwoordelijke: de onderwijsinstelling die zich bij BreinKid
heeft aangemeld, hierna "de School". De naam, het BRIN-nummer en de contactpersoon van de School worden bij de aanmelding vastgelegd en gelden als onderdeel van deze overeenkomst.
- De Verwerker: de partij die de dienst BreinKid exploiteert, hierna "BreinKid":
- Handelsnaam: Peekie Productions (Sebastiaan Peek) — eigenaar/exploitant van BreinKid
- Rechtsvorm: Eenmanszaak
- KvK-nummer: 68730446
- BTW: NL002121408B08
- Adres: De Melksuiker 85, 1911 ER Uitgeest
- Contact privacy: info@peekieproductions.nl
Hierna samen "Partijen".
Overwegingen
- De School gebruikt BreinKid als online oefenomgeving voor leerlingen in het
basisonderwijs (peuter t/m groep 8).
- Bij dit gebruik verwerkt BreinKid persoonsgegevens van leerlingen **uitsluitend in
opdracht van en ten behoeve van de School**.
- De School is verwerkingsverantwoordelijke; BreinKid is verwerker in de zin van
artikel 28 AVG.
- Partijen leggen hierin de afspraken vast over die verwerking.
Artikel 1 — Begrippen
Begrippen als "persoonsgegevens", "verwerking", "betrokkene", "datalek" hebben de betekenis uit de AVG.
Artikel 2 — Onderwerp, doeleinden en instructies
- BreinKid verwerkt persoonsgegevens alleen voor het leveren van de oefenomgeving:
het aanbieden van oefeningen, het bijhouden van leervoortgang en het mogelijk maken van inloggen door leerlingen.
- BreinKid verwerkt uitsluitend op gedocumenteerde instructie van de School
(deze overeenkomst geldt als zodanig) en gebruikt de gegevens niet voor eigen doeleinden, niet voor reclame, niet voor profilering buiten het leerdoel, en verstrekt ze niet aan derden behalve de subverwerkers in Bijlage 3.
- De aard van de verwerking, de soorten gegevens en categorieën betrokkenen staan in
Bijlage 1.
Artikel 3 — Verstrekte gegevens
Zie Bijlage 1. BreinKid hanteert dataminimalisatie: voor schoolaccounts worden géén achternaam, adres, e-mailadres, geboortedatum of BSN van leerlingen verwerkt.
Artikel 4 — Geheimhouding
Personen die namens BreinKid toegang hebben tot de gegevens zijn tot geheimhouding verplicht.
Artikel 5 — Beveiliging
BreinKid treft passende technische en organisatorische maatregelen (Bijlage 2) om de gegevens te beveiligen tegen verlies of onrechtmatige verwerking.
Artikel 6 — Datalekken (meldplicht)
- BreinKid meldt een (vermoeden van een) datalek **zonder onredelijke vertraging en
uiterlijk binnen 48 uur** na ontdekking aan de contactpersoon van de School.
- De melding bevat ten minste: aard van het lek, betrokken (categorieën) gegevens en
personen, waarschijnlijke gevolgen en genomen/voorgestelde maatregelen.
- De School beoordeelt zelf of melding aan de Autoriteit Persoonsgegevens en/of
betrokkenen nodig is; BreinKid verleent daarbij medewerking.
Artikel 7 — Subverwerkers
- BreinKid mag de in Bijlage 3 genoemde subverwerkers inschakelen.
- BreinKid legt aan elke subverwerker dezelfde verplichtingen op als in deze
overeenkomst.
- Bij een nieuwe of vervangende subverwerker informeert BreinKid de School vooraf;
de School kan binnen vier weken gemotiveerd bezwaar maken.
Artikel 8 — Doorgifte buiten de EER
Verwerking en opslag vinden plaats binnen de EER. Doorgifte buiten de EER vindt niet plaats, tenzij met een geldige AVG-grondslag (bijv. adequaatheidsbesluit of standaardcontractbepalingen) en na melding aan de School.
Artikel 9 — Rechten van betrokkenen
BreinKid verleent de School redelijke medewerking bij verzoeken van betrokkenen (inzage, correctie, verwijdering, beperking, dataportabiliteit) en bij DPIA's en overleg met de Autoriteit Persoonsgegevens. BreinKid handelt verzoeken niet zelf af, maar verwijst betrokkenen naar de School.
Artikel 10 — Bewaren, teruggeven en vernietigen
- BreinKid bewaart de leerlinggegevens zolang het school-/klasaccount actief is.
- Bij beëindiging van het account, einde van het schooljaar of op verzoek van de
School worden de gegevens binnen drie maanden verwijderd of geretourneerd (naar keuze van de School), tenzij een wettelijke bewaarplicht anders bepaalt.
- De School kan op elk moment een export van de voortgangsgegevens opvragen.
Artikel 11 — Audit
De School mag, op eigen kosten en maximaal één keer per jaar (of na een datalek), de naleving laten controleren door een onafhankelijke deskundige, met inachtneming van de bedrijfsvoering van BreinKid. BreinKid mag in plaats daarvan een actuele audit-/assurance-verklaring overleggen.
Artikel 12 — Aansprakelijkheid
Aansprakelijkheid is geregeld conform de onderliggende hoofdovereenkomst/algemene voorwaarden en de toepasselijke wetgeving (AVG).
Artikel 13 — Duur en beëindiging
Deze overeenkomst geldt zolang BreinKid voor de School persoonsgegevens verwerkt en eindigt na volledige verwijdering/teruggave conform artikel 10.
Artikel 14 — Toepasselijk recht
Nederlands recht.
Bijlage 1 — Persoonsgegevens en betrokkenen
Categorieën betrokkenen: leerlingen van de School (basisonderwijs, peuter t/m groep 8).
Verwerkte persoonsgegevens (per leerlingaccount):
| Gegeven | Toelichting |
|---|---|
| Voornaam of bijnaam | Door de School ingevoerd; mag een verkorte naam/initiaal zijn (bijv. "Sem K.") |
| Gekozen icoon / avatar | Door het kind gekozen pictogram |
| Groep / niveau | Voor het juiste oefenniveau |
| Inlogcode | Niet leesbaar opgeslagen (SHA-256-hash) |
| Pincode | Niet leesbaar opgeslagen (gehasht en "gepepperd") |
| Leervoortgang | Gemaakte oefeningen, scores/sterren, punten, streaks, gekozen instellingen/mascotte |
Uitdrukkelijk NIET verwerkt voor schoolaccounts: achternaam (volledig), adres, e-mailadres, telefoonnummer, geboortedatum, BSN, foto's.
*Optioneel/uit te schakelen:* de functie "eigen tekeningen" (kindertekeningen) staat voor schoolaccounts standaard uit; alleen inschakelen na akkoord van de School.
Doel: leveren van de oefenomgeving en bijhouden van leervoortgang t.b.v. de School.
Bijlage 2 — Beveiligingsmaatregelen
- Verkeer uitsluitend via HTTPS/TLS.
- Inlogcodes en pincodes worden gehasht opgeslagen (SHA-256; pincode aanvullend
"gepepperd"); nooit in leesbare vorm.
- Rate-limiting en tijdelijke blokkade tegen brute-force op code en pincode.
- Database alleen lokaal benaderbaar (geen externe databasepoort).
- Dataminimalisatie en scheiding tussen school- en gezinsaccounts.
- Geen leerling-PII in URL's of in logbestanden.
- Geen contact tussen leerlingen van verschillende scholen/gezinnen; sociale
functies (duels/ranglijst) beperkt tot binnen de eigen klas of het eigen gezin.
- Toegang tot beheer beperkt en herleidbaar; toegang door BreinKid-medewerkers alleen
waar nodig voor beheer/support.
- Periodieke back-ups; herstelprocedure aanwezig.
Bijlage 3 — Subverwerkers
| Subverwerker | Dienst | Verwerkte gegevens | Locatie |
|---|---|---|---|
| Strato AG | Hosting/opslag van de toepassing en database | Alle in Bijlage 1 genoemde gegevens | Duitsland (EER) |
| Google Cloud Text-to-Speech | Genereren van voorleesgeluid | Alleen vaste, niet-persoonlijke instructieteksten (bijv. "Reken de som uit") — geen leerlinggegevens | n.v.t. (geen leerlinggegevens) |
Niet als externe subverwerker (eigen infrastructuur van BreinKid):
- Push-notificaties (eigen Web Push) en e-mail (eigen mailserver) — richten zich op
ouders/beheerders, niet op leerlingen.
Analytics: sessies van leerling-/schoolaccounts worden niet in webanalyse (GA4) gevolgd op een tot de leerling herleidbare manier; er worden geen leerlinggegevens naar webanalyse gestuurd.
*Versie 2026.*