Verwerkersovereenkomst e-learning voor opleiders

VYS levert het e-learningsysteem: cursisten krijgen toegang met een persoonlijke code en een bevestiging per e-mail, doorlopen de lesstof en de toetsen, hun actieve tijd wordt bijgehouden en na afloop volgt een certificaat. De Opleider volgt de voortgang en downloadt de rapportage. VYS verwerkt persoonsgegevens alleen om deze dienst te leveren en om te voldoen aan het Raamwerk nascholingscursussen van het CBR.

Betrokkenen zijn de cursisten van de Opleider en haar medewerkers die het opleiderportaal gebruiken. De volgende gegevens worden verwerkt:

• cursisten: voornamen, achternaam, geboortedatum (zoals op het identiteitsbewijs), e-mailadres, taal, de cursus waaraan zij deelnemen;
• voortgang: gevolgde dia's, actieve tijd per dia en hoofdstuk, antwoorden en scores op de toetsen, berichten aan de docent of de helpdesk, het certificaat met het certificaatnummer;
• technische gegevens: een afgeleide toestelcode, tijdstippen van inloggen en uitloggen, het IP-adres in beveiligingslogboeken;
• medewerkers van de Opleider: naam, e-mailadres en inlogmomenten in het opleiderportaal.

VYS verwerkt de gegevens uitsluitend op schriftelijke instructie van de Opleider, en alleen voor het doel in artikel 1. De Opleider geeft die instructies door het systeem te gebruiken (cursisten toevoegen, rapporten opvragen) en per e-mail aan support@vystacho.nl. VYS meldt het direct als een instructie volgens haar in strijd is met de AVG. VYS gebruikt de gegevens van de Opleider niet voor eigen doelen en mengt ze niet met die van andere opleiders.

Elke opleider ziet alleen haar eigen cursussen, cursisten en lesstof. Medewerkers van VYS hebben alleen toegang als dat nodig is voor beheer, ondersteuning of onderzoek van een storing, en alleen met persoonlijke, beveiligde toegang. VYS en alle personen die voor haar werken zijn gehouden aan geheimhouding.

VYS neemt passende technische en organisatorische maatregelen (artikel 32 AVG), waaronder:

• versleutelde verbindingen (TLS) en een versleutelde back-up die elke nacht naar twee andere locaties gaat;
• toegang voor cursisten met een persoonlijke code die niet leesbaar wordt opgeslagen, plus een bevestigingscode per e-mail bij een nieuw toestel;
• toegang voor de Opleider met een code per e-mail en geen wachtwoord; geblokkeerde of verwijderde gebruikers hebben direct geen toegang meer;
• logboeken van toegang, bescherming tegen misbruik van het inloggen, en een controle op afwijkingen in de ochtend;
• een informatiebeveiligingsbeheersysteem op basis van ISO/IEC 27001 met beleid, risicoanalyse, een leveranciersbeoordeling en incidentafhandeling. Certificering is in voorbereiding.

De Opleider geeft VYS algemene toestemming om de volgende subverwerkers in te schakelen. VYS sluit met hen een overeenkomst met dezelfde plichten als in deze overeenkomst en meldt een nieuwe subverwerker of een wijziging minstens dertig dagen vooraf per e-mail; de Opleider kan dan bezwaar maken.

• Strato GmbH / IONOS SE, Duitsland: hosting van de servers waarop het systeem en de back-ups draaien (ISO/IEC 27001-gecertificeerd);
• Postmark (ActiveCampaign, Verenigde Staten): het versturen van e-mail aan cursisten en docenten, zoals de toegangscode, herinneringen en het certificaat. Doorgifte is geregeld met standaardcontractbepalingen en het EU-VS Data Privacy Framework;
• Brevo (Europese Unie): reserve voor het versturen van e-mail als Postmark niet bereikbaar is.

VYS meldt een inbreuk op de beveiliging van de gegevens van de Opleider zonder onredelijke vertraging aan de Opleider, en in elk geval binnen 24 uur nadat VYS de inbreuk heeft ontdekt, met de informatie die de Opleider nodig heeft voor haar eigen melding aan de Autoriteit Persoonsgegevens en de betrokkenen. De Opleider beslist of er gemeld wordt.

Vragen van cursisten over inzage, correctie of verwijdering stuurt VYS door aan de Opleider, tenzij het om de eigen vragen aan de helpdesk gaat. VYS helpt de Opleider binnen redelijke grenzen bij verzoeken van betrokkenen, een gegevensbeschermingseffectbeoordeling en overleg met de toezichthouder. De Opleider ziet de gegevens van haar cursisten zelf in het portaal.

Het Raamwerk nascholingscursussen vraagt dat het CBR en andere toezichthouders toegang krijgen tot de gegevens van de cursussen (artikel 6.8.c) en dat deze gegevens 24 maanden na de klassikale dag bewaard blijven (artikel 6.7.g). De Opleider erkent dat VYS het CBR die toegang geeft en de gegevens daarvoor zo lang bewaart.

VYS bewaart de gegevens van een cursus minimaal 24 maanden na de klassikale dag, zoals het Raamwerk vraagt, en daarna niet langer dan nodig. Bij het einde van de overeenkomst kan de Opleider haar rapportages en gegevens laten exporteren; daarna verwijdert VYS de gegevens binnen dertig dagen, behalve voor zover een wettelijke plicht of het Raamwerk bewaren vraagt. Cursisten die nog bezig zijn kunnen hun cursus altijd afronden.

De Opleider mag de naleving van deze overeenkomst controleren. VYS stelt daarvoor de nodige informatie beschikbaar en werkt mee aan een audit op redelijke termijn, tijdens kantooruren en op kosten van de Opleider, zonder de gegevens van andere opleiders in te zien.

De aansprakelijkheid volgt uit de afspraken tussen de Opleider en VYS over het gebruik van het e-learningsysteem. Deze overeenkomst loopt zolang VYS gegevens van de Opleider verwerkt. Op deze overeenkomst is Nederlands recht van toepassing; geschillen gaan naar de bevoegde rechter in het arrondissement waar VYS is gevestigd.