Privacyverklaring

Odin L&O B.V. (hierna: “Odin”, “wij” of “ons”) hecht veel waarde aan de bescherming van persoonsgegevens. In deze privacyverklaring informeren wij je over de wijze waarop wij persoonsgegevens verwerken in het kader van onze website odin-observatie.nl en de Odin observatie-app.

1. Wie zijn wij?

Odin L&O B.V. is de ontwikkelaar en beheerder van Odin, dé app voor het vernieuwingsonderwijs, voor het volgen en sturen van de ontwikkeling van kinderen in het onderwijs en de kinderopvang.

Contactgegevens

• Bedrijfsnaam: Odin L&O B.V.
• KvK-nummer: [invullen]
• Vestigingsadres: [invullen]
• E-mail: privacy@odin-observatie.nl
• Website: odin-observatie.nl

Voor vragen over privacy en informatiebeveiliging kun je terecht bij onze privacy officer via privacy@odin-observatie.nl.

2. Rolverdeling: verwerker en verwerkingsverantwoordelijke

Odin verwerkt persoonsgegevens in twee rollen:

2.1 Odin als verwerker

Voor de kernfunctionaliteit van de Odin observatie-app verwerkt Odin persoonsgegevens namens onderwijsinstellingen (de verwerkingsverantwoordelijken). De onderwijsinstelling bepaalt het doel en de middelen van de verwerking. De afspraken hierover zijn vastgelegd in een verwerkersovereenkomst conform het Convenant Digitale Onderwijsmiddelen en Privacy.

2.2 Odin als verwerkingsverantwoordelijke

Voor een beperkt aantal verwerkingen is Odin zelf verwerkingsverantwoordelijke, zoals contract- en klantadministratie, supportcontact en het afhandelen van privacy- en beveiligingsmeldingen.

3. Welke persoonsgegevens verwerken wij?

3.1 Gegevens van leerlingen (Odin als verwerker)

In opdracht van de onderwijsinstelling verwerken wij de volgende leerlinggegevens:

Doel: observeren, begeleiden, plannen, voortgang bijhouden en rapportage ten behoeve van het onderwijs.

3.2 Gegevens van medewerkers (Odin als verwerker)

Voor gebruikersbeheer en Single Sign-On (SSO) verwerken wij:

Doel: authenticatie, autorisatie en gebruik van de Odin-app.

3.3 Gegevens voor bedrijfsvoering (Odin als verwerkingsverantwoordelijke)

3.4 Logging en support

Voor beveiliging, foutanalyse, verantwoording en support worden technische logs en audit-informatie verwerkt, waaronder account, actie en tijdstip.

3.5 Websitebezoek

Onze website gebruikt geen analyse-, tracking- of advertentiecookies. Er worden alleen technisch noodzakelijke cookies geplaatst, bijvoorbeeld om de website goed te laten werken of wanneer je inlogt. Hiervoor is geen toestemming nodig.

4. Grondslagen voor de verwerking

Wij verwerken persoonsgegevens op basis van de volgende wettelijke grondslagen (art. 6 AVG):

5. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk:

Na afloop van de bewaartermijnen worden gegevens verwijderd of geanonimiseerd.

6. Ontvangers en sub-verwerkers

Wij delen persoonsgegevens alleen met derden wanneer dit noodzakelijk is voor de dienstverlening of wanneer wij hiertoe wettelijk verplicht zijn. De volgende partijen zijn betrokken:

Met al onze sub-verwerkers zijn passende verwerkersovereenkomsten gesloten. Nieuwe sub-verwerkers worden vooraf beoordeeld.

Wij gebruiken geen persoonsgegevens voor marketing, advertenties, AI-training of andere eigen doeleinden. Reclame wordt niet verstuurd naar contactgegevens verkregen via Basispoort.

7. Doorgifte buiten de EER

De Odin productiehosting vindt plaats bij Scalingo in Frankrijk (binnen de EER). Voor Microsoft 365 en eventuele toekomstige dienstverleners wordt de feitelijke gegevenslocatie en mogelijke doorgifte buiten de EER gecontroleerd en gedocumenteerd.

Indien doorgifte buiten de EER plaatsvindt, zorgen wij voor passende waarborgen, zoals Standaard Contractbepalingen (SCC’s), in overeenstemming met de AVG.

8. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen onbevoegde toegang, verlies of misbruik. Onze maatregelen omvatten onder meer:

• Versleuteling: HTTPS voor al het webverkeer, TLS voor databaseverbindingen, schijfversleuteling (AES-XTS 256-bit) inclusief back-ups
• Toegangsbeheer: persoonlijke accounts, multi-factor authenticatie (MFA) op beheerplatforms, least-privilege principe
• Monitoring: logging en audit trail van relevante gebruikers- en beheeracties
• Kwetsbaarheidsbeheer: wekelijkse controle op bekende kwetsbaarheden (CVE’s), risicogestuurde patching
• Back-up en herstel: versleutelde rolling back-ups en een leveranciersonafhankelijke disaster recovery voorziening binnen de EER
• Organisatorisch: geheimhoudingsverklaringen, kwartaalcontroles van accounts en rechten, geen productiepersoonsgegevens in ontwikkelomgevingen (alleen dummydata)

9. Jouw rechten

Op grond van de AVG heb je de volgende rechten met betrekking tot jouw persoonsgegevens:

• Recht op inzage (art. 15 AVG): je kunt opvragen welke gegevens wij van je verwerken
• Recht op rectificatie (art. 16 AVG): je kunt onjuiste of onvolledige gegevens laten corrigeren
• Recht op verwijdering (art. 17 AVG): je kunt verzoeken jouw gegevens te verwijderen
• Recht op beperking (art. 18 AVG): je kunt vragen de verwerking te beperken
• Recht op bezwaar (art. 21 AVG): je kunt bezwaar maken tegen de verwerking
• Recht op gegevensoverdraagbaarheid (art. 20 AVG): je kunt jouw gegevens opvragen in een gestructureerd, gangbaar formaat
• Recht op intrekking van toestemming: je kunt eerder gegeven toestemming op elk moment intrekken

Hoe dien je een verzoek in?

Voor persoonsgegevens waarvoor Odin L&O B.V. zelf verwerkingsverantwoordelijke is, kan je jouw verzoek indienen via privacy@odin-observatie.nl. Wij behandelen jouw verzoek binnen een maand. Indien nodig verlengen wij deze termijn en stellen wij jou hiervan op de hoogte.

Let op: wanneer het gaat om leerling- of medewerkergegevens die Odin namens een school verwerkt, is de school de verwerkingsverantwoordelijke. Wij kunnen je in dat geval doorverwijzen naar de betreffende school of de school ondersteunen bij de uitvoering van jouw verzoek.

Klacht indienen

Ben je het niet eens met de wijze waarop wij met jouw persoonsgegevens omgaan? Wij horen het graag, zodat wij samen tot een oplossing kunnen komen. Je hebt daarnaast het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via www.autoriteitpersoonsgegevens.nl.

10. Gegevens van minderjarigen

Odin verwerkt gegevens van leerlingen, waaronder minderjarigen. Deze verwerking vindt uitsluitend plaats in opdracht van en namens de onderwijsinstelling. De school is als verwerkingsverantwoordelijke verantwoordelijk voor het informeren van ouders en verzorgers en het verkrijgen van eventuele toestemming waar nodig.

Wij nemen bij de beveiliging nadrukkelijk rekening met het feit dat het gegevens van minderjarigen betreft.

11. Bijzondere persoonsgegevens

Odin vraagt niet bewust om bijzondere persoonsgegevens (zoals medische of gezondheidsgegevens) en stimuleert het gebruik hiervan niet in vrije tekstvelden. Bij onboarding en training worden scholen geïnstrueerd om dergelijke gegevens niet in notities of open tekstvelden in te voeren.

12. Wijzigingen in deze privacyverklaring

Wij kunnen deze privacyverklaring van tijd tot tijd bijwerken, bijvoorbeeld bij wijzigingen in onze dienstverlening, wet- en regelgeving of het gebruik van sub-verwerkers. De meest actuele versie is altijd beschikbaar op onze website. Bij substantiële wijzigingen informeren wij je actief.

13. Contact

Heb je vragen over deze privacyverklaring of over de wijze waarop wij met jouw persoonsgegevens omgaan? Neem dan contact met ons op:

Odin L&O B.V.
E-mail: privacy@odin-observatie.nl
Website: odin-observatie.nl