Gepubliceerde versie 1.1 · SHA-256 2a2b9a9bf8908bad4c6aa99614218bd61e9954b0e92ff1dc3a1b1e4d406327ae
Verwerkersovereenkomst Bob
Versie 1.1 – 23 september 2026
1. Partijen en rolverdeling
Deze verwerkersovereenkomst maakt deel uit van de overeenkomst tussen de school als verwerkingsverantwoordelijke en Jelle Poelmans, handelend onder de dienstverlening Bob, als verwerker, voor zover Bob persoonsgegevens verwerkt in opdracht van de school.
Jelle Poelmans kan daarnaast voor eigen doeleinden, zoals klantenadministratie, facturatie, contractbeheer, ondersteuning en wettelijke verplichtingen, als afzonderlijke verwerkingsverantwoordelijke optreden. Die verwerkingen vallen onder de Privacyverklaring van Bob.
2. Onderwerp en duur
Bob verwerkt persoonsgegevens uitsluitend voor de uitvoering van de overeengekomen digitale beleidsondersteuning en gedurende de periode waarin dit voor die dienstverlening nodig is, met inbegrip van de afgesproken lifecycle na beëindiging.
3. Aard en doel van de verwerking
De verwerking kan bestaan uit opslaan, structureren, raadplegen, wijzigen, beveiligen, exporteren, ondersteunen en gecontroleerd verwijderen van gegevens die bevoegde gebruikers van de school in Bob invoeren of die noodzakelijk zijn voor gebruikersbeheer en de werking van de schoolomgeving.
Bob is niet bedoeld als leerlingendossier of als systeem voor systematische verwerking van leerlinggegevens of bijzondere categorieën persoonsgegevens. De school vermijdt dergelijke gegevens waar ze niet noodzakelijk zijn.
4. Categorieën betrokkenen en gegevens
Afhankelijk van het gebruik kunnen gegevens betrekking hebben op personeelsleden, gebruikers, professionele contactpersonen en andere personen die door de school in vrije beleidsinhoud worden vermeld. Het kan gaan om identificatie- en contactgegevens, accountgegevens, functiegegevens, beleidsinhoud en andere gegevens die de school zelf invoert.
5. Instructies van de school
Bob verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de school, behalve wanneer Unierecht of Belgisch recht een verwerking verplicht. Indien wettelijk toegestaan wordt de school daarover geïnformeerd.
Wanneer Bob meent dat een instructie in strijd is met toepasselijke gegevensbeschermingswetgeving, wordt de school daarvan op de hoogte gebracht.
6. Vertrouwelijkheid en toegang
Toegang tot productiegegevens is beperkt tot Jelle Poelmans en toekomstige medewerkers of opdrachtnemers voor wie toegang noodzakelijk is voor de dienstverlening, ondersteuning, beveiliging of technisch beheer. Zij zijn gebonden aan passende vertrouwelijkheidsverplichtingen.
Schoolgegevens worden alleen inhoudelijk geraadpleegd wanneer dit noodzakelijk is, bijvoorbeeld voor ondersteuning, foutonderzoek, beveiliging of uitvoering van een instructie.
7. Beveiligingsmaatregelen
Bob past passende technische en organisatorische maatregelen toe. De huidige inrichting omvat onder meer tenantisolatie per school, beveiligde sessies en cookies, wachtwoordhashing, toegangscontrole, beveiligde HTTPS-verbindingen, origin/CSRF-bescherming, validatie en requestbeperkingen, monitoring, auditregistratie voor relevante beheerhandelingen en gecontroleerde back-ups.
De concrete beveiligingsmaatregelen kunnen evolueren. Wijzigingen mogen het passende beschermingsniveau niet zonder geldige reden verminderen.
8. Back-ups en herstel
Er worden gecontroleerde back-ups gemaakt van de productieomgeving. Volledige PostgreSQL-dumps en schoolsnapshots worden technisch gevalideerd, voorzien van integriteitscontrole en versleuteld offsite opgeslagen.
De retentie is technisch ingericht zodat back-upkopieën maximaal 14 × 24 uur worden bewaard. De retentiecontrole werkt op exacte timestamps en wordt frequent uitgevoerd. Verwijderde individuele gegevens zijn niet noodzakelijk afzonderlijk herstelbaar en herstel daarvan wordt niet gegarandeerd.
Herstel van de actuele databaseversie is praktisch getest in een geïsoleerde omgeving zonder wijziging van de productiedatabase.
9. Subverwerkers
De school verleent algemene toestemming voor het gebruik van noodzakelijke subverwerkers. Bob informeert vooraf over wezenlijke wijzigingen in de lijst zodat de school, wanneer de AVG dit vereist, gemotiveerd bezwaar kan maken.
De huidige relevante dienstverleners omvatten onder meer: • one.com – VPS/serverinfrastructuur en e-mail/SMTP; • Microsoft OneDrive – versleutelde offsite back-upopslag; • Cloudflare – dienstverlening rond de publieke website en netwerk-/beveiligingsfunctionaliteit.
Let’s Encrypt wordt gebruikt voor TLS-certificaten; afhankelijk van de concrete verwerking kan dit een technische leverancier zijn zonder inhoudelijke toegang tot schoolgegevens.
Waar doorgifte buiten de EER plaatsvindt, gebruikt Bob een geldig AVG-mechanisme en passende waarborgen.
10. Bijstand aan de school
Bob verleent, rekening houdend met de aard van de verwerking en de beschikbare informatie, redelijke bijstand bij verzoeken van betrokkenen, beveiligingsverplichtingen, gegevensbeschermingseffectbeoordelingen en overleg met toezichthouders wanneer dit voor de verwerking door Bob relevant is.
Verzoeken van betrokkenen over schoolgegevens worden in beginsel naar de school doorgeleid.
11. Beveiligingsincidenten
Wanneer Bob kennis krijgt van een inbreuk in verband met persoonsgegevens die voor de school worden verwerkt, informeert Bob de school zonder onredelijke vertraging. Beschikbare informatie over aard, mogelijke gevolgen en genomen of voorgestelde maatregelen kan gefaseerd worden verstrekt naarmate het onderzoek vordert.
Niet ieder technisch incident is automatisch een datalek in de zin van de AVG.
12. Einde van de dienstverlening en verwijdering
Tot en met de laatste dag van het abonnement kan de school de relevante beleidsinhoud exporteren via de beschikbare PDF-exportfuncties.
Na beëindiging kan de schoolomgeving worden geblokkeerd. Schoolgebonden gegevens komen vervolgens volgens de lifecycle in aanmerking voor gecontroleerde verwijdering. De operationele verwijdering gebeurt niet als automatische onomkeerbare actie op exact dag 14, maar via een gecontroleerde beheerprocedure met verificatie.
Na verwijdering kunnen restkopieën uitsluitend nog tijdelijk aanwezig zijn in back-ups en verdwijnen zij volgens de maximale back-upretentie van 14 × 24 uur.
Centrale bestel-, contract-, juridische bewijs-, mail- en facturatiegegevens die Bob als eigen verwerkingsverantwoordelijke moet of redelijkerwijs mag bewaren, vallen niet onder de verwijdering van de schoolomgeving. Hiervoor gelden de Privacyverklaring en toepasselijke wettelijke bewaarplichten.
13. Audit en informatie
Bob stelt op redelijk verzoek informatie beschikbaar die nodig is om naleving van de verplichtingen uit artikel 28 AVG aan te tonen. Redelijke audits kunnen worden overeengekomen, rekening houdend met vertrouwelijkheid, beveiliging, proportionaliteit en de impact op de dienstverlening.
14. Overheidsverzoeken
Wanneer Bob wettelijk verplicht wordt persoonsgegevens bekend te maken, wordt de school vooraf geïnformeerd voor zover de wet dit toestaat. Bob beperkt de verstrekking tot wat wettelijk vereist is.
15. Documenthiërarchie en wijzigingen
Voor verwerkingen waarop deze verwerkersovereenkomst van toepassing is, heeft deze overeenkomst voorrang bij tegenstrijdigheid met algemene voorwaarden over de verwerking van persoonsgegevens.
Technische en organisatorische maatregelen en subverwerkers kunnen evolueren. Relevante wijzigingen worden overeenkomstig de toepasselijke afspraken en AVG-verplichtingen gecommuniceerd.
16. Contact
Contact voor privacy- en gegevensbeschermingsvragen: info@beleidmetbob.be.