Verwerkersovereenkomst

Samio Learning is een adaptief leerplatform voor het basisonderwijs, gericht op taalverwerving. We verwerken gegevens uitsluitend voor het leveren van de dienst: - Leerlinggegevens — Voornaam, leeftijd en taalvoorkeur. Leerlingen hebben GEEN persoonlijke inloggegevens; ze krijgen toegang via klascodes. Oefenresultaten (scores, tijdsbesteding, pogingen) worden geregistreerd. - Medewerkergegevens — E-mailadres, naam en rol voor authenticatie op het dashboard. - Sessiegegevens — Door de app gegenereerde apparaat-ID's en apparaattype. - Audit logs — Gebruikersacties, tijdstippen en IP-adressen (12 maanden bewaard). Optioneel: Edu-V/SIS-synchronisatie, Entree Federatie SSO, Google Classroom of LTI-integraties. Samio Learning verwerkt geen gegevens voor marketing, profilering of niet-gerelateerde doelen.

Samio is specifiek ontworpen voor kinderen van 4 tot 12 jaar: - Leerlingen hebben geen persoonlijke accounts — geen e-mail, geen wachtwoord, geen BSN. - Toegang via klascodes en een namenlijst beheerd door de leerkracht. - Alleen voornaam en leeftijd worden opgeslagen. - Apparaatgoedkeuring kan vereist zijn. - Gegevensminimalisatie wordt overal toegepast.

- Leerling- en oefengegevens — Duur van de dienstverlening + 30 dagen na beëindiging. - Medewerkeraccounts — Duur van de dienstverlening + 30 dagen. - Audit logs — 12 maanden, automatisch verwijderd. - Sessietokens — Verlopen automatisch (max 30 dagen). - Back-ups — Maximaal 30 dagen na verwijdering van brongegevens. Na beëindiging worden alle persoonsgegevens automatisch hard verwijderd via een dagelijks GDPR-opschoningsproces (03:00 UTC).

- MongoDB Atlas — Database hosting (EU-regio) — EU SCC's - Redis Ltd. — Rate limiting en caching - Mailjet SAS — Transactionele e-mail (EU, Frankrijk) - PayPal Europe — Betalingsverwerking (EU, Luxemburg) - Google LLC (reCAPTCHA) — Botbescherming — EU-US DPF - Google LLC (OAuth/Classroom) — Optioneel SSO — EU-US DPF - Microsoft Corp. (Azure AD) — Optioneel SSO — EU-US DPF - Kennisnet (Entree) — Optioneel SSO (Nederland) - DeepSeek — AI-oefengeneratie (geen persoonsgegevens) - Backblaze B2 — Opslag audiobestanden (geen persoonsgegevens) Alle subverwerkers die persoonsgegevens verwerken, zijn gebonden aan gelijkwaardige verwerkersovereenkomsten.

- Versleuteling in transit (HTTPS/TLS 1.2+, HSTS) en in rust (AES-256). - Authenticatie: bcrypt (12 rounds), roterende JWT-tokens. - Rolgebaseerd toegangsbeheer (eigenaar, beheerder, leerkracht). - Redis rate limiting. - Beveiligingsheaders via Helmet.js. - Inputvalidatie met geparametriseerde queries. - Incidentrespons: melding aan school binnen 24 uur, medewerking aan AP-melding binnen 72 uur.

Scholen kunnen rechten van inzage, rectificatie, verwijdering, overdraagbaarheid en beperking uitoefenen via het dashboard. Volledige verwijdering met 30 dagen bevestigingsperiode. Termijn: 30 dagen. Contact: info@samiolearning.com.

Geekcow Creative Studio (h.o.d.n. Samio Learning) Willem de Merodestraat 91 1382TC Weesp, Nederland KvK: 73006637 Contactpersoon privacy: omolina@geekcowsd.com Algemeen: info@samiolearning.com