Versie 1.0 · 27 september 2026 · SlimKlas · KVK: 98694189
Deze Verwerkersovereenkomst is gesloten conform Artikel 28 AVG. Door registratie op SlimKlas of door ondertekening van een offerte die naar deze verwerkersovereenkomst verwijst aanvaardt de School (Verwerkingsverantwoordelijke) de inhoud van dit document.
Verwerker: SlimKlas, KVK-nummer 98694189, bereikbaar via https://slimklas.nl.
Verwerkingsverantwoordelijke: De onderwijsinstelling die een abonnementsovereenkomst heeft gesloten met SlimKlas (hierna: "School").
Overige begrippen hebben de betekenis als omschreven in de AVG (Verordening (EU) 2016/679).
De School treedt op als Verwerkingsverantwoordelijke (Art. 4(7) AVG) en bepaalt het doel van en de middelen voor de verwerking.
SlimKlas treedt op als Verwerker (Art. 4(8) AVG) en verwerkt persoonsgegevens uitsluitend in opdracht van de School.
SlimKlas verwerkt persoonsgegevens in het kader van het schoolbeheersysteem, inclusief: leerlingregistratie, aanwezigheid, cijfers & examens, schoolgelden & betalingen, en communicatie.
De School verleent hierbij algemene toestemming voor onderstaande subverwerkers:
| Subverwerker | Doel | Locatie |
|---|---|---|
| Europese cloudhosting | Cloudhosting & dataopslag | Europese Unie (EU) |
| Mollie B.V. | Betalingsverwerking | Nederland (EU) |
| OpenAI, L.L.C. | AI-gestuurde uitlezing van door de School geüploade documenten (foto's, PDF's, spreadsheets) bij het importeren van leerlingen-/oudergegevens, en beantwoording van vragen aan de ingebouwde hulpassistent (alleen de getypte vraag en het gespreksverloop; er worden geen gegevens uit de database meegestuurd). Wordt vervangen door een aanbieder binnen de EU. | Verenigde Staten (buiten de EER) |
| Cloudflare, Inc. | Botbescherming (Turnstile) op de openbare inschrijf- en aanmeldformulieren van de School; verwerkt het IP-adres en technische browsergegevens van de bezoeker | Verenigde Staten (buiten de EER) |
| Mailgun (Sinch) | Verzending van transactionele e-mail (uitnodigingen, herinneringen, meldingen) | Europese Unie (EU-regio) |
| Google Firebase Cloud Messaging | Aflevering van pushmeldingen op Android-apparaten. Meldingen bevatten geen namen van leerlingen of ouders, bedragen, cijfers, afwezigheidsredenen of berichtinhoud; bij cursusmeldingen kan de cursustitel worden vermeld. | Verenigde Staten (buiten de EER) |
| Apple Push Notification service | Aflevering van pushmeldingen op iOS-apparaten, met dezelfde beperkte inhoud | Verenigde Staten (buiten de EER) |
| Sentry | Foutmonitoring van de applicatie. Ingesteld zonder persoonsgegevens (send_default_pii uit) | Europese Unie (EU-regio) |
Persoonsgegevens worden primair verwerkt en opgeslagen op servers binnen de EU/EER. Voor de hierboven genoemde doorgiften buiten de EER — OpenAI, Cloudflare, Google Firebase Cloud Messaging en Apple Push Notification service — treft SlimKlas passende waarborgen overeenkomstig art. 44–49 AVG, waaronder Standaard Contractuele Clausules, en verleent de School door registratie of door ondertekening van een offerte die naar deze verwerkersovereenkomst verwijst hiervoor toestemming.
SlimKlas beperkt deze doorgiften waar mogelijk: pushmeldingen bevatten geen namen van leerlingen of ouders, bedragen, cijfers, afwezigheidsredenen of berichtinhoud, en de doorgifte aan OpenAI wordt vervangen zodra een EU-aanbieder beschikbaar is. SlimKlas informeert de School voorafgaand aan iedere wijziging in deze lijst, zodat de School daartegen bezwaar kan maken.
Beperking aansprakelijkheid: SlimKlas is uitdrukkelijk niet aansprakelijk voor datalekken, onbevoegde toegang, AVG-boetes of andere schade die geheel of gedeeltelijk voortvloeien uit nalatigheid van de School — waaronder: gebruik van zwakke wachtwoorden, unlocked schermen, onbeveiligd exporteren van gegevens, of phishing door eigen medewerkers.
De School vrijwaart SlimKlas volledig tegen alle aanspraken van derden (waaronder betrokkenen en de Autoriteit Persoonsgegevens) die voortvloeien uit handelen of nalaten van de School als Verwerkingsverantwoordelijke.
De totale (directe en indirecte) aansprakelijkheid van SlimKlas is, overeenkomstig artikel 8 van de Algemene Voorwaarden, beperkt tot het bedrag dat de School daadwerkelijk heeft betaald voor één maand licentie.
SlimKlas informeert de School binnen 36 uur na ontdekking over een datalek op de eigen infrastructuur van SlimKlas.
De School blijft als Verwerkingsverantwoordelijke als enige wettelijk verantwoordelijk voor de melding bij de Autoriteit Persoonsgegevens (Art. 33 AVG, binnen 72 uur) en de communicatie naar betrokkenen (Art. 34 AVG).
SlimKlas en alle werknemers of subverwerkers met toegang tot persoonsgegevens zijn verplicht tot geheimhouding, ook na beëindiging van de overeenkomst.
Op deze Verwerkersovereenkomst is uitsluitend Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Amsterdam.
Zie ook het Privacybeleid, de Algemene Voorwaarden en het Cookiebeleid van SlimKlas.