Verwerkersovereenkomst

Partijen

1. [naam onderneming], handelend onder de naam Kwispio, [rechtsvorm], ingeschreven bij de Kamer van Koophandel onder nummer [KvK-nummer], gevestigd aan [adres], hierna "Kwispio";
2. de hondenschool die deze overeenkomst accepteert, met de naam, rechtsvorm, het KvK-nummer en het adres die zij bij de onboarding heeft opgegeven, hierna "de School".

Overwegingen

• A. Kwispio levert een white-label webplatform voor hondenscholen. De School gebruikt het voor cursussen, lesverslagen, berichten met haar klanten, boekingen en betalingen, en later ook voor WhatsApp.
• B. De School bepaalt waarvoor en hoe de gegevens van haar klanten, hun honden en haar medewerkers worden verwerkt. Zij is verwerkingsverantwoordelijke. Kwispio verwerkt die gegevens alleen voor de School en is verwerker.
• C. Voor de gegevens die Kwispio nodig heeft voor de eigen klantrelatie met de School is Kwispio zelf verwerkingsverantwoordelijke. Het gaat om de contactpersoon, het abonnement, de facturatie en supportcontact. Die gegevens vallen buiten deze overeenkomst; zie privacyverklaring-kwispio.md.
• D. Partijen leggen in deze overeenkomst de afspraken vast die artikel 28 AVG voorschrijft.

Artikel 1 Begrippen

1.1 Begrippen uit de AVG hebben hier dezelfde betekenis als in de AVG. Voorbeelden zijn persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, pseudonimisering en inbreuk in verband met persoonsgegevens.

1.2 Verder betekent:

Artikel 2 Onderwerp, rolverdeling en reikwijdte

2.1 Deze overeenkomst regelt hoe Kwispio Schoolgegevens verwerkt in opdracht van de School, bij de levering van het Platform onder de Hoofdovereenkomst.

2.2 De School is verwerkingsverantwoordelijke voor de Schoolgegevens. Kwispio is verwerker. De School heeft en houdt zeggenschap over de Schoolgegevens.

2.3 Kwispio gebruikt Schoolgegevens niet voor eigen doeleinden. Twee dingen vallen daar niet onder:

1. Geaggregeerde cijfers. Kwispio mag geaggregeerde cijfers gebruiken om het Platform te verbeteren en de pilot te beoordelen, mits die cijfers niet herleidbaar zijn tot een Klant of Medewerker. Bijlage 1, onderdeel F, beschrijft de voorwaarden.
2. Telling van actieve honden. Het Platform berekent per maand in de omgeving van de School hoeveel honden actief waren, voor de facturatie onder de Hoofdovereenkomst. Die berekening is een verwerking in opdracht van de School. Kwispio ontvangt alleen het aantal en een controlewaarde (hash) van de lijst. De lijst zelf blijft in de omgeving van de School.

2.4 De bijlagen maken deel uit van deze overeenkomst:

• Bijlage 1: beschrijving van de verwerking;
• Bijlage 2: beveiligingsmaatregelen;
• Bijlage 3: subverwerkers;
• Bijlage 4: overzicht van artikel 28 lid 3 AVG (alleen ter informatie).

Artikel 3 Duur

3.1 Deze overeenkomst gaat in op het moment dat de School haar accepteert. Zij loopt zolang de Hoofdovereenkomst loopt.

3.2 Na het einde van de Hoofdovereenkomst blijft deze overeenkomst gelden zolang Kwispio nog Schoolgegevens verwerkt, ook in back-ups. Zij eindigt pas als alle Schoolgegevens zijn teruggegeven en verwijderd volgens artikel 16.

3.3 Deze overeenkomst kan niet los van de Hoofdovereenkomst worden opgezegd. De School kan de Hoofdovereenkomst wel opzeggen in de gevallen van artikel 9.4 en artikel 20.2.

3.4 Bepalingen die naar hun aard blijven gelden na het einde, blijven van kracht. Dat geldt in elk geval voor geheimhouding (artikel 7), verwijdering (artikel 16) en aansprakelijkheid (artikel 19).

Artikel 4 Aard en doel van de verwerking

4.1 Kwispio verwerkt Schoolgegevens alleen om het Platform aan de School te leveren. Dat omvat:

• het tonen en plannen van aanbod, cursussen, lesdata en privélessen, met de beschikbaarheid van trainers;
• het vastleggen van reserveringen en boekingen, en het laten afhandelen van betalingen door Stripe op het account van de School (artikel 11);
• het maken, laten goedkeuren en publiceren van lesverslagen en oefenoverzichten, en het beschikbaar stellen van lesmateriaal binnen de gekochte rechten;
• berichten tussen de School en haar Klanten via het Platform, e-mail en pushmeldingen, en later via WhatsApp;
• inloggen, beveiligen en het bijhouden van beveiligings- en auditlogs;
• back-ups maken, herstel testen en herstellen;
• support geven als de School daarom vraagt;
• exports maken en gegevens verwijderen of anonimiseren volgens de bewaartermijnen;
• het aantal actieve honden per maand berekenen (artikel 2.3);
• de pilotmeting uitvoeren (Bijlage 1, onderdeel F).

4.2 Bijlage 1 beschrijft de soorten persoonsgegevens, de betrokkenen, de handelingen en de bewaartermijnen.

4.3 Kwispio verwerkt Schoolgegevens niet voor reclame, profilering, verkoop aan derden of het trainen van AI-modellen.

4.4 Het Platform gebruikt in de huidige versie geen AI. Kwispio zet AI pas in op Schoolgegevens na:

1. een aankondiging volgens artikel 9 als daarvoor een nieuwe Subverwerker of een nieuwe doorgifte nodig is;
2. een aanpassing van deze overeenkomst;
3. een beschrijving voor een DPIA (artikel 13.3);
4. een uitdrukkelijke keuze van de School om de functie aan te zetten.

Artikel 5 Instructies

5.1 Kwispio verwerkt Schoolgegevens alleen op basis van schriftelijke instructies van de School. Dat geldt ook voor doorgifte naar een land buiten de Europese Economische Ruimte (EER). Een uitzondering geldt als een wettelijke plicht Kwispio tot verwerking verplicht (artikel 5.4).

5.2 Als schriftelijke instructies van de School gelden:

1. deze overeenkomst met haar bijlagen, en de Hoofdovereenkomst;
2. instellingen en handelingen in het Platform door de School of haar Medewerkers, binnen hun rechten. Voorbeelden zijn het aanzetten van een kanaal, het aanpassen van een bewaartermijn, het maken van een koppeling, het inschakelen van Supporttoegang en het starten van een export. Het Platform legt zulke handelingen vast in het auditlog;
3. een instructie die een Schoolbeheerder of de privacycontactpersoon van de School per e-mail stuurt aan [e-mailadres privacy].

5.3 Valt een instructie buiten de functies van het Platform of buiten de Hoofdovereenkomst, dan voert Kwispio die uit als dat redelijkerwijs kan. Kwispio meldt vooraf of daar kosten aan verbonden zijn. Kosten worden berekend volgens de Hoofdovereenkomst.

5.4 Moet Kwispio op grond van Unierecht of Nederlands recht Schoolgegevens verwerken zonder instructie van de School, dan informeert Kwispio de School daarover vóór de verwerking. Dat gebeurt niet als die wet de kennisgeving verbiedt om gewichtige redenen van algemeen belang.

5.5 Vindt Kwispio dat een instructie in strijd is met de AVG of met andere regels over gegevensbescherming, dan meldt Kwispio dat direct aan de School. Kwispio mag de uitvoering van die instructie opschorten totdat de School haar heeft aangepast of na overleg schriftelijk heeft bevestigd.

Artikel 6 Verplichtingen van de School

6.1 De School zorgt ervoor dat zij een grondslag heeft voor de verwerking van de Schoolgegevens en dat haar instructies in overeenstemming zijn met de AVG.

6.2 De School informeert haar Klanten en Medewerkers over de verwerking. Kwispio levert daarvoor een sjabloon voor een privacyverklaring (privacyverklaring-sjabloon-school.md). Daarin staan het eigen domein van de School, de Subverwerkers, Stripe als aparte partij, de bewaartermijnen en de pilotmeting. De School vult het sjabloon aan, publiceert het en houdt het actueel. De School informeert haar Medewerkers ook over de verwerking van hún gegevens, waaronder de meting van de invoertijd (Bijlage 1, onderdeel F).

6.3 Waar toestemming nodig is, zoals voor berichten via WhatsApp, gebruikt de School de toestemmingsregistratie van het Platform.

6.4 De School legt in vrije tekstvelden geen bijzondere persoonsgegevens vast, zoals gegevens over de gezondheid van een Klant. Hetzelfde geldt voor strafrechtelijke gegevens en het burgerservicenummer. Een uitzondering geldt als vastleggen strikt nodig is en de School daarvoor een wettelijke uitzondering heeft. Vrije tekstvelden zijn bijvoorbeeld lesnotities, interne observaties, berichten en lesverslagen. Gegevens over het gedrag of de gezondheid van een hond zijn op zichzelf geen bijzondere persoonsgegevens.

6.5 De School sluit zelf een overeenkomst met Stripe voor online betalingen (artikel 11). Zet de School WhatsApp aan, dan opent zij zelf een WhatsApp Business-account bij Meta (Bijlage 3, onderdeel B).

6.6 De School beheert wie namens haar toegang heeft tot het Platform. Zij trekt de toegang in van Medewerkers die vertrekken. Zij zorgt ervoor dat Schoolbeheerders hun passkeys, apparaten en mailbox goed beveiligen.

6.7 Vermoedt de School een Beveiligingsincident, dan meldt zij dat direct aan Kwispio via [e-mailadres privacy] of [telefoonnummer support]. Voorbeelden zijn een verloren telefoon van een trainer of een overgenomen mailbox. Kwispio helpt dan met inperken, bijvoorbeeld door sessies in te trekken.

Artikel 7 Geheimhouding en toegang door Kwispio

7.1 Kwispio houdt de Schoolgegevens geheim. Kwispio verstrekt ze niet aan derden, behalve:

• aan Subverwerkers volgens artikel 9;
• op instructie van de School;
• als een wettelijke plicht dat vereist (artikel 15).

7.2 Op dit moment werkt bij Kwispio één persoon: de oprichter. Iedere persoon die onder het gezag van Kwispio toegang krijgt tot Schoolgegevens, heeft zich schriftelijk tot geheimhouding verplicht of valt onder een wettelijke geheimhoudingsplicht. Dat geldt ook voor de vertrouwenspersoon uit artikel 18 en voor latere medewerkers of freelancers. Zo iemand krijgt alleen de toegang die voor zijn of haar taak nodig is. Kwispio geeft de School op verzoek een overzicht van de functies van deze personen.

7.3 Kwispio heeft standaard geen toegang tot Schoolgegevens. Het beheervlak van Kwispio toont alleen platformgegevens, zoals scholen, domeinen, abonnementen en aantallen. Kwispio krijgt alleen in de volgende gevallen toegang tot Schoolgegevens:

1. Supporttoegang. Een Schoolbeheerder schakelt die in, voor maximaal 24 uur en standaard alleen-lezen. Iedere bekeken pagina komt in het auditlog van de School. Zolang de toegang loopt, ziet de School een melding, en zij kan de toegang op ieder moment stoppen.
2. Incidenten en storingen. Kwispio krijgt toegang als dat nodig is om een Beveiligingsincident of storing in te perken of op te lossen en Supporttoegang niet op tijd te krijgen is. Kwispio legt ieder gebruik vast in het incidentregister. Kwispio informeert de School binnen [2] Werkdagen achteraf over de reden, de duur en de bekeken gegevens.
3. Hersteloefening. Ieder kwartaal zet Kwispio de gegevens van één school terug uit de back-up buiten Cloudflare, in een afgeschermde testomgeving (Bijlage 2, onderdeel H). Kwispio bekijkt de herstelde gegevens alleen voor zover dat nodig is om te controleren of het herstel volledig is. Direct na de oefening verwijdert Kwispio ze.
4. Testen van databasewijzigingen. Kwispio test databasewijzigingen vooraf op geanonimiseerde kopieën van databases van scholen. [Voorstel: de anonimisering gebeurt binnen de productieomgeving en alleen de geanonimiseerde kopie verlaat die omgeving; technische uitwerking volgt.]

Artikel 8 Beveiliging

8.1 Kwispio neemt passende technische en organisatorische maatregelen om de Schoolgegevens te beveiligen (artikel 32 AVG). Bijlage 2 beschrijft ze.

8.2 Het doelniveau is OWASP ASVS 5.0 niveau 2 voor het hele Platform. Voor drie onderdelen gelden strengere eisen, vergelijkbaar met niveau 3: de scheiding tussen scholen, het inloggen van Schoolbeheerders en platformbeheer, en de verwerking van betaalmeldingen (webhooks). Kwispio houdt een ASVS-checklist bij met de status per eis. De School krijgt die op verzoek.

8.3 Kwispio laat het Platform extern toetsen, met een pentest of een review op ASVS niveau 2:

• vóór de livegang van online betalingen;
• daarna jaarlijks;
• en bij grote wijzigingen.

De School krijgt op verzoek een samenvatting van de bevindingen en van de stand van het herstel.

8.4 Kwispio mag de maatregelen aanpassen aan nieuwe risico's en technieken, mits het beschermingsniveau niet daalt. Kwispio informeert de School over wezenlijke wijzigingen in Bijlage 2.

8.5 Kwispio beoordeelt ieder jaar opnieuw de risico's waarop de maatregelen zijn gebaseerd.

8.6 De School heeft kennisgenomen van de restrisico's in Bijlage 2, onderdeel N, en kan die meewegen in haar eigen beoordeling.

8.7 Kwispio streeft naar een beschikbaarheid van 99,5% per maand. Kwispio heeft geen 24/7-bereikbaarheidsdienst. Afspraken over beschikbaarheid en ondersteuning staan in de Hoofdovereenkomst. Voor Datalekken geldt artikel 14.

Artikel 9 Subverwerkers

9.1 De School geeft Kwispio algemene schriftelijke toestemming om Subverwerkers in te schakelen, volgens dit artikel. Bijlage 3, onderdeel A, noemt de Subverwerkers op het moment van acceptatie. De School geeft Kwispio de instructie om die Subverwerkers te gebruiken, met de doorgiften die daar staan.

9.2 Kwispio kondigt een wijziging ten minste [30] dagen vooraf aan. Een wijziging is:

• een nieuwe Subverwerker die Schoolgegevens gaat verwerken;
• een vervanging van een Subverwerker;
• een wezenlijke wijziging in de locatie van de verwerking of de grondslag voor doorgifte.

Kwispio doet de aankondiging per e-mail aan de privacycontactpersoon van de School en zet haar op de actuele lijst op [URL subverwerkerslijst]. De aankondiging noemt de naam, het doel, de locatie en de grondslag voor doorgifte.

9.3 De School kan binnen [14] dagen na de aankondiging schriftelijk bezwaar maken. Het bezwaar moet gemotiveerd zijn en gaan over de bescherming van persoonsgegevens. Partijen overleggen dan over een oplossing.

9.4 Vinden partijen binnen de aankondigingstermijn geen oplossing, dan geldt het volgende:

1. Kwispio voert de wijziging voor de School niet door, als dat technisch en redelijkerwijs kan;
2. kan dat niet, dan mag de School de Hoofdovereenkomst schriftelijk opzeggen tegen de datum waarop de wijziging ingaat. Zij betaalt dan geen kosten over de periode na die datum.

9.5 Is snelle vervanging nodig, dan mag Kwispio een Subverwerker vervangen met een kortere aankondiging. Dat geldt als een Subverwerker onverwacht stopt of een ernstig beveiligingsrisico vormt. Kwispio informeert de School zo snel mogelijk, uiterlijk bij de vervanging, en vermeldt de reden. De bezwaarregeling uit artikel 9.3 en 9.4 geldt dan achteraf.

9.6 Sommige Subverwerkers verwerken alleen Schoolgegevens als de School een functie aanzet, zoals WhatsApp. Kwispio kondigt zo'n Subverwerker aan volgens artikel 9.2. Zet de School de functie aan, dan geeft zij daarmee de instructie om de gegevens via die Subverwerker te laten verwerken. Zet zij de functie niet aan, dan verwerkt die Subverwerker geen gegevens van de School.

9.7 Meta wordt later Subverwerker voor WhatsApp. Bijlage 3, onderdeel B, is de eerste aankondiging daarvan. Kwispio stuurt een definitieve aankondiging volgens artikel 9.2 ten minste [30] dagen voordat de WhatsApp-functie beschikbaar komt.

9.8 Kwispio legt Subverwerkers schriftelijk in wezen dezelfde verplichtingen op als in deze overeenkomst. Het gaat vooral om voldoende garanties voor passende technische en organisatorische maatregelen. Bij grote aanbieders, zoals Cloudflare, gebeurt dat via hun standaardverwerkersovereenkomst. Kwispio controleert of die overeenkomst de onderwerpen van artikel 28 lid 3 AVG dekt.

9.9 Komt een Subverwerker zijn verplichtingen niet na, dan blijft Kwispio daarvoor tegenover de School volledig aansprakelijk (artikel 28 lid 4 AVG). Artikel 19 is van toepassing.

Artikel 10 Doorgifte buiten de EER

10.1 Kwispio slaat Schoolgegevens in rust op in de Europese Unie:

• de database van iedere school, de platformdatabase, de bestandsopslag en de wachtrijen bij Cloudflare, met EU-jurisdictie;
• de versleutelde back-upkopie bij Hetzner in Duitsland.

10.2 Een deel van de verwerking kan plaatsvinden buiten de EER, of bij bedrijven die onder Amerikaans recht vallen:

• Cloudflare is een Amerikaans bedrijf. De programmacode van het Platform draait wereldwijd op de servers van Cloudflare die het dichtst bij de gebruiker staan. Een garantie dat die verwerking in de EU blijft, biedt Cloudflare alleen met een duurder abonnement (Data Localization Suite, Enterprise). Dat abonnement neemt Kwispio niet af.
• Van de e-maildienst van Cloudflare is de verwerkingslocatie niet als EU bevestigd. Hetzelfde geldt voor de opslaglocatie van de videodienst Stream.
• Pushmeldingen gaan via de pushdienst van de browser van de gebruiker, die wereldwijd werkt.
• Meta, als de School later WhatsApp aanzet.

10.3 Voor doorgifte gelden de grondslagen in Bijlage 3. Meestal is dat het EU-VS Data Privacy Framework, als de ontvanger daaronder is gecertificeerd, met standaardcontractbepalingen (SCC's) als tweede grondslag. Kwispio beperkt de risico's daarnaast met de maatregelen uit Bijlage 2:

• eigen versleuteling van koppeltokens en back-ups;
• de privésleutel van de back-ups staat niet bij Cloudflare;
• een exitroute via de nachtelijke export.

10.4 Kwispio volgt de ontwikkelingen rond het Data Privacy Framework, zoals het hoger beroep in zaak C-703/25 P. Vervalt het Framework, dan informeert Kwispio de School binnen [30] dagen over de gevolgen en over eventuele aanvullende maatregelen. Kwispio steunt dan op de SCC's.

10.5 Nieuwe doorgiften lopen via de procedure van artikel 9.

Artikel 11 Stripe als aparte partij

11.1 Online betalingen lopen via Stripe Connect. De School sluit daarvoor bij de onboarding bij Stripe zelf een overeenkomst met Stripe Payments Europe ("Stripe"). Zij heeft een eigen Stripe-account met een eigen dashboard. Betalingen van Klanten komen rechtstreeks op dat account binnen; de School is de verkoper.

11.2 Volgens de opzet van het Platform heeft Stripe twee rollen:

• Stripe is verwerker van de School voor het afhandelen van betalingen;
• Stripe is zelfstandig verwerkingsverantwoordelijke voor eigen doelen, zoals fraudebestrijding en wettelijke plichten.

De overeenkomst tussen de School en Stripe regelt die verhouding. Stripe is in deze overeenkomst geen Subverwerker van Kwispio. [Juridisch te bevestigen; zie vraag 1 onderaan.]

11.3 Wat Kwispio daarbij doet, valt wel onder deze overeenkomst:

• Kwispio maakt namens de School betaalsessies aan bij Stripe, met bedrag, omschrijving en boekingsreferentie;
• Kwispio ontvangt van Stripe meldingen over betalingen, terugbetalingen en betwistingen, en verwerkt die in de boeking;
• Kwispio maakt betaalbewijzen op naam van de School.

11.4 Kaartgegevens en bankrekeningnummers van Klanten komen niet bij Kwispio. Klanten voeren die in op een betaalpagina van Stripe.

11.5 Kwispio is niet verantwoordelijk voor wat Stripe voor eigen doelen met gegevens doet. De School vermeldt Stripe als aparte partij in haar privacyverklaring.

11.6 Eindigt de Hoofdovereenkomst, dan blijft het Stripe-account van de School. Kwispio verbreekt alleen de koppeling.

11.7 Kwispio gebruikt ook een eigen Stripe-account om de School voor het abonnement te factureren. Die verwerking valt buiten deze overeenkomst (overweging C).

Artikel 12 Bijstand bij de rechten van betrokkenen

12.1 Met de functies van het Platform kan de School de meeste verzoeken van betrokkenen zelf afhandelen:

12.2 Krijgt Kwispio rechtstreeks een verzoek van een betrokkene, dan stuurt Kwispio dat binnen [2] Werkdagen door naar de School. Kwispio beantwoordt het verzoek niet zelf, maar verwijst de betrokkene naar de School.

12.3 Volstaan de functies niet, dan helpt Kwispio binnen [5] Werkdagen na een verzoek van de School. Zo kan de School binnen de wettelijke termijn antwoorden, die in de regel één maand is. Voor bijstand die verder gaat dan redelijk is, kan Kwispio kosten berekenen volgens de Hoofdovereenkomst. Kwispio meldt dat dan vooraf.

12.4 Verwijderde gegevens verdwijnen direct uit de live database. Uit de back-ups verdwijnen ze vanzelf:

• na maximaal 30 dagen uit het herstel naar een eerder moment (PITR) en uit de nachtelijke exports;
• na maximaal 60 dagen uit de kopie buiten Cloudflare.

Kwispio gebruikt back-ups in die periode alleen voor herstel. Moet Kwispio een back-up terugzetten, dan past Kwispio eerdere verwijderingen opnieuw toe. [Technische uitwerking volgt.]

Artikel 13 Bijstand bij beveiliging, DPIA en voorafgaande raadpleging

13.1 Kwispio helpt de School bij het nakomen van de artikelen 32 tot en met 36 AVG. Daarbij houdt Kwispio rekening met de aard van de verwerking en met de informatie waarover Kwispio beschikt.

13.2 Voor een gegevensbeschermingseffectbeoordeling (DPIA) stelt Kwispio de volgende informatie beschikbaar:

• deze overeenkomst met haar bijlagen;
• [een lichte DPIA van het Platform], waarmee de School kan beoordelen of zij zelf een DPIA moet maken en die zo nodig kan opstellen;
• antwoorden op aanvullende vragen.

Kwispio schat in dat een DPIA voor het huidige Platform waarschijnlijk niet verplicht is. Het Platform verwerkt geen bijzondere persoonsgegevens op grote schaal en gebruikt geen AI. De School beslist daar zelf over.

13.3 Voor nieuwe functies met een hoger risico, zoals AI, maakt Kwispio vooraf een beschrijving voor een DPIA. Kwispio zet zo'n functie alleen aan na toestemming van de School.

13.4 Moet de School de AP vooraf raadplegen (artikel 36 AVG), dan levert Kwispio de informatie die daarvoor nodig is.

13.5 Voor bijstand die verder gaat dan het beschikbaar stellen van de informatie uit artikel 13.2, kan Kwispio redelijke kosten berekenen volgens de Hoofdovereenkomst. Kwispio meldt dat vooraf.

Artikel 14 Datalekken en beveiligingsincidenten

14.1 Kwispio heeft een procedure voor Beveiligingsincidenten met zes stappen: detecteren, inperken, beoordelen, melden, herstellen en evalueren. Op Werkdagen begint Kwispio binnen 1 uur na detectie met inperken. Buiten Werkdagen gebeurt dat zo snel als redelijkerwijs mogelijk. Automatische maatregelen, zoals rate limits en blokkades, werken altijd.

14.2 Kwispio meldt een Datalek zonder onredelijke vertraging aan de School. Dat gebeurt uiterlijk binnen 24 uur na ontdekking, ook in het weekend en op feestdagen. Ontdekking is het moment waarop Kwispio redelijkerwijs weet dat een Datalek zich heeft voorgedaan of waarschijnlijk heeft voorgedaan. Ontdekt een Subverwerker het Datalek, dan begint de termijn op het moment dat de Subverwerker Kwispio informeert.

14.3 Kwispio meldt per e-mail aan de privacycontactpersoon en de Schoolbeheerders van de School, en zo nodig ook telefonisch. Kwispio meldt ook als nog niet vaststaat of het om een Datalek gaat, maar dat wel aannemelijk is.

14.4 De melding bevat wat Kwispio op dat moment weet. Kwispio vult haar aan zodra er meer bekend is. Het doel is dat de School op tijd kan melden: binnen 72 uur bij de AP (artikel 33 AVG), en zo nodig aan de betrokkenen (artikel 34 AVG). De melding bevat zo mogelijk:

1. de aard van het Datalek: wat er is gebeurd, wanneer of in welke periode, wanneer het is ontdekt, en of het nog voortduurt;
2. de categorieën betrokkenen en persoonsgegevens, met het (geschatte) aantal betrokkenen en gegevensrecords;
3. of de gegevens versleuteld of gepseudonimiseerd waren, of op een andere manier onleesbaar voor onbevoegden;
4. de waarschijnlijke gevolgen voor de betrokkenen;
5. de maatregelen die Kwispio heeft genomen of voorstelt om het Datalek aan te pakken en de gevolgen te beperken;
6. of ook andere scholen of een Subverwerker zijn geraakt, zonder gegevens van andere scholen te noemen;
7. een contactpersoon bij Kwispio;
8. een concepttekst voor de melding bij de AP en, als de School betrokkenen moet informeren, een concepttekst voor dat bericht.

14.5 De School beslist of zij het Datalek meldt bij de AP en aan de betrokkenen. Kwispio meldt niet zelf namens de School, tenzij de School daar schriftelijk om vraagt.

14.6 Kwispio houdt een incidentregister bij, ook van incidenten die geen Datalek blijken. Kwispio evalueert ieder Datalek binnen 2 weken. De School krijgt op verzoek het deel van het register en de uitkomst van de evaluatie dat over haar gaat.

14.7 Ieder draagt de eigen kosten van een Datalek, tenzij de Hoofdovereenkomst of artikel 19 anders bepaalt.

Artikel 15 Verzoeken van autoriteiten

15.1 Krijgt Kwispio een verzoek of bevel van een overheidsinstantie om Schoolgegevens te verstrekken, dan:

1. verwijst Kwispio de instantie naar de School, als dat kan;
2. informeert Kwispio de School direct, tenzij de wet dat verbiedt;
3. toetst Kwispio of het verzoek rechtmatig is;
4. verstrekt Kwispio niet meer dan wettelijk verplicht is.

Artikel 16 Bewaartermijnen, teruggeven en verwijderen

16.1 Tijdens de looptijd past het Platform de bewaartermijnen uit Bijlage 1, onderdeel G, toe. Dat zijn standaardtermijnen. De School kan ze binnen de grenzen van het Platform aanpassen. Na afloop van een termijn verwijdert of anonimiseert het Platform de gegevens automatisch.

16.2 De School kan op ieder moment in Beheermodus alle Schoolgegevens exporteren:

• als JSON en CSV per tabel;
• met een zip-bestand met de bestanden;
• met een lijst met de id's van de video's in Stream.

De downloadlink is 15 minuten geldig en werkt één keer. Het exportbestand wordt na 7 dagen verwijderd.

16.3 Na het einde van de Hoofdovereenkomst geldt:

1. Exporttermijn. De School heeft 60 dagen alleen-lezen toegang om haar gegevens te exporteren. Kwispio helpt op verzoek.
2. Bericht aan Klanten. Kwispio levert een sjabloon voor een bericht aan de Klanten. De School informeert haar Klanten zelf.
3. Wissen. Na de exporttermijn wist Kwispio de database van de School volledig. Kwispio verwijdert ook de bestanden in de bestandsopslag en de video's in Stream.
4. Koppelingen. Kwispio verwijdert het eigen domein van de School uit het Platform, het e-mailafzenderprofiel en de WhatsApp-koppeling. De koppeling met Stripe wordt verbroken; het Stripe-account blijft van de School.
5. Back-ups. De gegevens verdwijnen daarna vanzelf uit de back-ups: na maximaal 30 dagen uit PITR en de nachtelijke exports, en na maximaal 60 dagen uit de kopie buiten Cloudflare. Na het einde van de Hoofdovereenkomst zijn alle Schoolgegevens dus uiterlijk na 120 dagen verwijderd: 60 dagen exporttermijn plus 60 dagen back-up.
6. Financiële gegevens. Boekingen, betalingen, terugbetalingen en betaalbewijzen zitten in de export. De School is zelf verantwoordelijk voor haar fiscale bewaarplicht. Kwispio verwijdert deze gegevens samen met de rest. Vraagt de School vóór het einde van de exporttermijn schriftelijk om ze langer te bewaren, dan maken partijen daar aparte afspraken over: duur, toegang en kosten. Deze overeenkomst blijft dan voor die gegevens gelden.
7. Bevestiging. Kwispio bevestigt de School per e-mail dat de gegevens zijn gewist. Kwispio noemt daarbij de datum waarop ook de back-ups zijn verlopen.

16.4 Kwispio bewaart Schoolgegevens niet langer dan dit artikel toestaat. Een uitzondering geldt als Unierecht of Nederlands recht Kwispio tot bewaren verplicht. Kwispio informeert de School daar dan over.

16.5 Gegevens waarvoor Kwispio zelf verantwoordelijke is, vallen buiten dit artikel. Voorbeelden zijn het abonnement, de facturen en het aantal actieve honden per maand.

Artikel 17 Informatieplicht en audits

17.1 Kwispio stelt alle informatie beschikbaar die nodig is om aan te tonen dat Kwispio deze overeenkomst en artikel 28 AVG nakomt. Het gaat in elk geval om:

• deze overeenkomst met haar bijlagen;
• de ASVS-checklist;
• een samenvatting van de laatste externe toets en van de stand van het herstel;
• het deel van het register van verwerkingsactiviteiten van Kwispio dat over de School gaat (artikel 30 lid 2 AVG);
• de uitkomst van de laatste hersteloefening;
• de verwerkersovereenkomsten met Subverwerkers, of een verwijzing ernaar.

17.2 Kwispio beantwoordt redelijke vragen van de School over de verwerking binnen [10] Werkdagen.

17.3 Is de informatie uit artikel 17.1 niet voldoende, dan mag de School een audit laten uitvoeren. Daarvoor gelden deze voorwaarden:

• een onafhankelijke, deskundige auditor voert de audit uit en is tot geheimhouding verplicht;
• de audit vindt maximaal één keer per jaar plaats. Een extra audit mag na een Datalek dat de School raakt, of als de AP daarom vraagt;
• de School kondigt de audit ten minste [30] dagen vooraf aan, en partijen stemmen de reikwijdte vooraf af;
• de auditor krijgt geen toegang tot gegevens van andere scholen, en geen toegang tot geheimen of systemen waardoor de beveiliging in gevaar komt;
• tests op de productieomgeving, zoals pentests of belastingtests, mogen alleen met schriftelijke toestemming van Kwispio.

17.4 De School betaalt de kosten van de audit. Brengt de audit tekortkomingen van betekenis aan het licht die aan Kwispio zijn toe te rekenen, dan betaalt Kwispio de redelijke kosten van de auditor. Kwispio herstelt zulke tekortkomingen binnen een termijn die partijen samen afspreken.

17.5 Kwispio werkt mee aan onderzoeken van de AP.

17.6 Kan Kwispio deze overeenkomst niet langer nakomen, dan informeert Kwispio de School direct.

Artikel 18 Continuïteit

18.1 Kwispio wordt beheerd door één persoon. Voor het geval die persoon onverwacht uitvalt, geldt het volgende:

1. de herstelcodes van alle beheeraccounts en het wachtwoord van de back-ups liggen in een verzegelde noodenvelop bij een vertrouwenspersoon, met een korte instructie;
2. de vertrouwenspersoon heeft zich tot geheimhouding verplicht (artikel 7.2);
3. de instructie is gericht op drie dingen: de scholen informeren, hun de gelegenheid geven hun gegevens te exporteren, en daarna afbouwen volgens artikel 16.

18.2 Stopt Kwispio met de dienst, dan kondigt Kwispio dat aan met de termijn uit de Hoofdovereenkomst. Artikel 16.3 is dan van toepassing.

18.3 Een versleutelde kopie van alle gegevens staat buiten Cloudflare. Een school kan dus ook verhuizen als het Cloudflare-account van Kwispio niet beschikbaar is. Herstel na verlies van dat account kan wel enkele dagen duren.

Artikel 19 Aansprakelijkheid

19.1 De aansprakelijkheid van partijen is geregeld in de Hoofdovereenkomst (algemene-voorwaarden.md). De beperkingen daarin gelden ook voor deze overeenkomst, voor zover dwingend recht dat toestaat.

19.2 De aansprakelijkheid tegenover betrokkenen volgt uit artikel 82 AVG. Heeft een partij een betrokkene schadeloos gesteld voor schade waarvoor ook de andere partij verantwoordelijk is, dan kan zij die andere partij aanspreken voor diens deel (artikel 82 lid 5 AVG).

19.3 Een boete van de AP komt voor rekening van de partij aan wie zij is opgelegd. [Juridisch te bevestigen.]

Artikel 20 Wijzigingen, rangorde en overige bepalingen

20.1 Spreken deze overeenkomst en de Hoofdovereenkomst elkaar tegen over de verwerking van persoonsgegevens, dan gaat deze overeenkomst voor. Spreken een artikel en een bijlage van deze overeenkomst elkaar tegen, dan gaat het artikel voor.

20.2 Kwispio kan deze overeenkomst wijzigen. Kwispio kondigt een wijziging ten minste [30] dagen vooraf aan, per e-mail aan de privacycontactpersoon van de School. Vermindert de wijziging de bescherming van de Schoolgegevens, dan mag de School de Hoofdovereenkomst opzeggen tegen de datum waarop de wijziging ingaat. Een wijziging die de wet voorschrijft, kan sneller ingaan. Wijzigingen in Bijlage 3 lopen via artikel 9; wijzigingen in Bijlage 2 via artikel 8.4.

20.3 Is een bepaling nietig of vernietigbaar, dan blijven de andere bepalingen gelden. Partijen vervangen de bepaling dan door een geldige bepaling met zoveel mogelijk dezelfde strekking.

20.4 Contact over privacy loopt via [e-mailadres privacy] bij Kwispio, en via de privacycontactpersoon die de School bij de onboarding opgeeft. De School houdt die contactgegevens actueel in het Platform.

Artikel 21 Toepasselijk recht en geschillen

21.1 Op deze overeenkomst is Nederlands recht van toepassing.

21.2 Geschillen worden voorgelegd aan de rechter die de Hoofdovereenkomst aanwijst. Wijst die geen rechter aan, dan is dat [de bevoegde rechter van de rechtbank in het arrondissement waar Kwispio is gevestigd].

Acceptatie

De School accepteert deze overeenkomst digitaal bij de onboarding in het Platform. Het Platform legt daarbij vast:

• de naam en het e-mailadres van de persoon die accepteert;
• de verklaring van die persoon dat hij of zij de School mag vertegenwoordigen;
• de datum en het tijdstip;
• de versie van deze overeenkomst.

De School krijgt een kopie per e-mail.

---

Bijlage 1 Beschrijving van de verwerking

A. Onderwerp en doel

Kwispio verwerkt Schoolgegevens om het Platform aan de School te leveren, voor de doelen in artikel 4.1. Kort gezegd: cursussen en lessen plannen, boekingen en betalingen vastleggen, lesverslagen publiceren, berichten uitwisselen, en dat alles veilig en herstelbaar houden.

B. Betrokkenen

Honden zijn geen betrokkenen. Gegevens over een hond zijn persoonsgegevens voor zover ze iets zeggen over de eigenaar.

De contactpersoon van de School voor het abonnement valt onder overweging C. Werkt diezelfde persoon als Schoolbeheerder in het Platform, dan zijn de gegevens van dat account wel Schoolgegevens.

C. Soorten persoonsgegevens

Alle gegevens staan in de eigen database van de School, tenzij anders vermeld. K = Klanten, M = Medewerkers.

D. Wat Kwispio niet verwerkt

• geen kaartgegevens of bankrekeningnummers van Klanten; die gaan alleen naar Stripe;
• geen burgerservicenummer, geen geboortedata van eigenaren en geen wachtwoorden;
• geen bijzondere persoonsgegevens als doel van de verwerking (zie artikel 6.4 voor vrije tekst);
• geen tracking-cookies, geen externe analysediensten en geen advertenties;
• geen AI in de huidige versie;
• geen persoonsgegevens in technische logs: die bevatten alleen id's. Het activiteitenlog van de e-maildienst, dat standaard een voorbeeld van de inhoud bewaart, staat uit;
• geen gegevens van Klanten in de platformdatabase. Die bevat alleen scholen, domeinen, id's van koppelingen, abonnementen en aantallen.

E. Handelingen

• verzamelen via formulieren, uitnodigingen en handmatige invoer door de School;
• opslaan in de eigen database van de School, en bestanden in de bestandsopslag en Stream;
• raadplegen door Medewerkers en Klanten volgens de rechtenmatrix (Bijlage 2, onderdeel D);
• versturen van berichten en meldingen via e-mail, push en later WhatsApp;
• ontvangen van antwoorden per e-mail en later via WhatsApp, en die aan het juiste gesprek koppelen;
• doorgeven van betaalopdrachten aan Stripe en verwerken van de meldingen van Stripe;
• uitlezen van bezette tijden uit de agenda van een trainer, als die zijn agenda koppelt;
• versleutelen, pseudonimiseren en back-ups maken;
• exporteren, anonimiseren en wissen.

F. Pilotmeting

Wat. In opdracht van de School meet het Platform hoe het wordt gebruikt:

Op instructie van de School. De pilotmeting is een verwerking in opdracht van de School. De School gebruikt de uitkomsten in haar eigen dashboard, om te zien of Klanten de oefenoverzichten lezen en hoeveel tijd het werk kost. Door deel te nemen aan de pilot geeft de School de instructie om de meting uit te voeren.

Hoe.

• Meetgebeurtenissen gebruiken een pseudoniem: een HMAC van het id met een geheim per school.
• Ze bevatten geen inhoud van berichten of lesverslagen.
• Ze staan in de eigen database van de School.
• Er zijn geen tracking-cookies en geen externe analysediensten.

Wie ziet wat.

• De School ziet haar eigen dashboard.
• Kwispio ziet alleen geaggregeerde cijfers. Kwispio gebruikt die om het Platform te beoordelen, bijvoorbeeld om te bepalen of AI later tijd bespaart, en als basis voor prijs en support.
• Kwispio gebruikt een cijfer alleen voor die eigen doelen als het niet herleidbaar is tot een Klant of Medewerker. [Voorstel: alleen cijfers die over ten minste 5 personen gaan.]
• Gaat een cijfer bij een school over één persoon, zoals de invoertijd bij een school met één trainer, dan bespreekt Kwispio dat cijfer alleen met de School zelf, als onderdeel van de pilot.

Medewerkers. De invoertijd zegt iets over het werk van een trainer. De School informeert haar Medewerkers daarover (artikel 6.2). [Voorstel: de School gebruikt de cijfers niet om individuele Medewerkers te beoordelen.]

Stoppen. [Voorstel: de School kan Kwispio schriftelijk vragen de meting voor haar school te stoppen. Er worden dan geen nieuwe meetgebeurtenissen meer vastgelegd. Technische uitwerking volgt.]

Bewaartermijn. 24 maanden; daarna worden de gegevens geaggregeerd.

Niet onder deze meting. Twee onderdelen van de pilot zijn geen verwerking van Schoolgegevens. Kwispio is daarvoor zelf verantwoordelijke (zie privacyverklaring-kwispio.md):

• de eigen urenregistratie van Kwispio voor support;
• gesprekken van Kwispio met trainers over het product, zoals de vraag of AI hen tijd zou besparen.

G. Bewaartermijnen

Dit zijn standaardtermijnen. De School kan ze binnen de grenzen van het Platform aanpassen.

H. Locatie

Zie artikel 10 en Bijlage 3.

---

Bijlage 2 Beveiligingsmaatregelen

Stand: 3-11-2026. Deze bijlage beschrijft de maatregelen zoals ze zijn ontworpen. De actuele status per eis staat in de ASVS-checklist (artikel 8.2). De bijlage volgt artikel 32 lid 1 AVG:

• pseudonimisering en versleuteling: onderdeel E;
• vertrouwelijkheid, integriteit en beschikbaarheid: onderdelen B tot en met G;
• tijdig herstel: onderdeel H;
• regelmatig testen: onderdeel J.

A. Doelniveau en uitgangspunten

• Doelniveau: OWASP ASVS 5.0 niveau 2 voor het hele Platform. Voor de scheiding tussen scholen, het inloggen van beheerders en de verwerking van betaalmeldingen gelden strengere eisen, vergelijkbaar met niveau 3.
• Uitgangspunten:

B. Scheiding tussen scholen

• Iedere school heeft een eigen database (een Durable Object met SQLite bij Cloudflare, met EU-jurisdictie). Een query in de database van school A kan technisch geen gegevens van school B lezen, ook niet als de query fout is.
• Het Platform bepaalt de school alleen uit het domein van het verzoek. Een school-id uit de browser wordt nooit gebruikt.
• Sessies staan in de database van de school zelf. Een sessie bij school A bestaat niet bij school B.
• Iedere persoon heeft per school een apart account. Er zijn geen gedeelde accounts tussen scholen.
• Bestanden staan onder een eigen pad per school. Ze worden alleen geleverd via het Platform, na een rechtencheck. Er zijn geen openbare opslaglocaties.
• Achtergrondtaken en meldingen van buiten (Stripe, WhatsApp, inkomende e-mail) worden aan de juiste school gekoppeld. Een onbekende koppeling wordt geweigerd en gelogd.
• De platformdatabase bevat geen gegevens van Klanten.
• Geautomatiseerde tests met twee scholen controleren bij iedere wijziging dat gegevens van de ene school niet bij de andere zichtbaar zijn.
• Een geweigerd verzoek tussen scholen geeft altijd een directe melding aan Kwispio.

C. Inloggen en sessies

• Geen wachtwoorden. Er zijn dus ook geen wachtwoorden om te lekken of te raden.
• Passkeys zijn de hoofdroute voor Medewerkers. Ze zijn gebonden aan het domein van de school en vragen een vingerafdruk, gezicht of pincode. Voor Schoolbeheerders is een passkey verplicht zodra de school online betalingen aanzet.
• E-mailcodes zijn de terugval, en de standaard voor Klanten. Een code heeft 6 cijfers, is 10 minuten geldig en staat maximaal 5 pogingen toe. Codes worden alleen als HMAC opgeslagen. Er gelden limieten per adres en per IP-adres, met botbescherming (Turnstile). Het antwoord is altijd gelijk, zodat niet te achterhalen is wie klant is.
• Beheermodus. Gevoelige handelingen vragen eerst een passkey-bevestiging: terugbetalen, rollen wijzigen, koppelingen, domein, volledige export en Supporttoegang. De Beheermodus vervalt na 1 uur zonder activiteit en uiterlijk na 12 uur.
• Na herstel. Logt een Schoolbeheerder na verlies van alle passkeys in met een e-mailcode, dan geldt 24 uur een beperkte modus: geen terugbetalingen, exports, rolwijzigingen of nieuwe koppelingen. De andere Schoolbeheerders krijgen bericht.
• Nieuw apparaat. Bij inloggen op een nieuw apparaat krijgen Medewerkers een e-mail met de knop "Dit was ik niet". Die knop trekt alle sessies in.
• Sessies. Een sessietoken bestaat uit 32 willekeurige bytes en wordt alleen als hash opgeslagen. Cookies zijn Secure, HttpOnly en SameSite, en gelden alleen voor het eigen domein. Sessies duren maximaal 30 dagen; voor Medewerkers vervallen ze na 14 dagen zonder activiteit. Gebruikers zien hun actieve sessies en kunnen die afmelden. Uitloggen wist ook de lokale opslag op het apparaat.
• Browserbeveiliging. Er is bescherming tegen CSRF en een strikte Content Security Policy met Trusted Types. HSTS en andere beveiligingsheaders worden bij iedere wijziging getest.
• Rate limiting. Cloudflare beschermt tegen DDoS-aanvallen aan de rand. Voor inloggen, berichten, uploads en boekingen gelden limieten per IP-adres, e-mailadres en sessie. Ook zijn er quota per school.

D. Autorisatie en toegang door Kwispio

• Er is een rechtenmatrix met één regel per handeling, standaard geweigerd. Een route zonder regel wordt bij de automatische controle tegengehouden.
• Klanten zien alleen hun eigen honden, boekingen en gesprekken, en materiaal binnen hun geldige rechten. Interne observaties zijn nooit zichtbaar voor Klanten.
• Kwispio ziet standaard geen Schoolgegevens. Toegang is alleen mogelijk in de gevallen van artikel 7.3.
• Platformbeheer draait alleen op een apart beheerdomein achter Cloudflare Access, met daarna een passkey op een hardwaresleutel. Een beheersessie vervalt na 30 minuten zonder activiteit en uiterlijk na 12 uur. Iedere nieuwe beheersessie geeft een melding.
• In productie is er voor het dagelijkse werk geen SSH-toegang en geen databaseconsole. Wijzigingen lopen via code of via beheerfuncties die worden vastgelegd. De databaseconsole van Cloudflare wordt alleen gebruikt bij een incident, en ieder gebruik komt in het incidentregister.

E. Versleuteling, pseudonimisering en geheimen

• Transport: TLS 1.2 als minimum op alle domeinen, TLS 1.3 waar de browser dat ondersteunt; HSTS.
• Opslag: Cloudflare versleutelt alle gegevens in de databases en de bestandsopslag in rust met AES-256.
• Extra versleuteling: het Platform versleutelt koppeltokens en app-wachtwoorden zelf (AES-256-GCM, met sleutelversie). Wie een kopie van de database heeft, kan die niet lezen.
• Hashes en pseudoniemen: sessies en e-mailcodes staan alleen als hash in de database. Meetgebeurtenissen gebruiken een HMAC-pseudoniem met een geheim per school.
• Back-ups: de nachtelijke exports worden versleuteld met een publieke sleutel. De bijbehorende privésleutel staat niet bij Cloudflare, maar alleen offline. De kopie buiten Cloudflare wordt nog een keer versleuteld (restic, AES-256).
• Geheimen: alle geheimen staan alleen in de geheimenopslag van Cloudflare en zijn alleen beschikbaar voor de productieomgeving. Stripe wordt aangesproken met een sleutel met beperkte rechten (restricted key). Geheimen worden jaarlijks vervangen, en direct bij een vermoeden van misbruik. Een automatische controle voorkomt geheimen in de broncode.
• Willekeur: alle willekeurige waarden komen uit de cryptografische generator van het platform. Er wordt geen eigen cryptografie gebruikt.

F. Invoer, bestanden en exports

• Iedere invoer wordt gecontroleerd met een strikt schema met maximale lengtes. Onbekende velden worden geweigerd.
• Databasequery's gebruiken alleen parameters.
• Scholen kunnen geen eigen HTML, CSS of scripts invoegen. Teksten in een kleine Markdown-subset worden zonder HTML weergegeven.
• Alleen Medewerkers uploaden bestanden. Toegestaan zijn PDF, JPEG, PNG en WebP. Het Platform controleert de eerste bytes van ieder bestand, niet alleen de extensie.
• Afbeeldingen worden opnieuw gecodeerd. Daarbij verdwijnen EXIF-gegevens, waaronder de GPS-locatie.
• PDF's worden in een afgeschermde modus geleverd. Video's lopen via Stream met ondertekende links die 1 uur geldig zijn.
• Exports kunnen alleen in Beheermodus. De downloadlink is 15 minuten geldig en werkt één keer. Het bestand wordt na 7 dagen verwijderd. Iedere export komt in het auditlog, en alle Schoolbeheerders krijgen een e-mail.

G. Beschikbaarheid

• Een server buiten Cloudflare controleert iedere 2 minuten of het Platform werkt, en meldt uitval direct.
• Er is geen 24/7-bereikbaarheidsdienst. Directe meldingen gaan alleen uit bij ernstige signalen. Andere signalen komen in een dagelijkse samenvatting.

H. Back-ups en herstel: drie lagen, waarvan één buiten Cloudflare

1. Herstel naar een eerder moment (PITR) bij Cloudflare: 30 dagen, per school. Dit is bedoeld voor vergissingen en mislukte wijzigingen.
2. Nachtelijke export per school: versleuteld met de publieke back-upsleutel (onderdeel E) en 30 dagen bewaard in een aparte opslag in de EU.
3. Kopie buiten Cloudflare: een eigen server bij Hetzner haalt de versleutelde exports en bestanden iedere nacht op, met een token dat alleen mag lezen. De server zet ze opnieuw versleuteld op opslag bij Hetzner in Duitsland. Er worden 30 dagelijkse en 4 wekelijkse momentopnamen bewaard. Omdat de server zelf ophaalt, kan iemand die het Cloudflare-account overneemt deze kopieën niet wissen. Omgekeerd kan de server niets in productie wijzigen.

• Ieder kwartaal zet Kwispio als oefening één school terug uit de kopie buiten Cloudflare, in een afgeschermde testomgeving (artikel 7.3).
• Verwijderde gegevens verdwijnen na maximaal 30 dagen uit lagen 1 en 2, en na maximaal 60 dagen uit laag 3.

I. Logging, detectie en audit

• Technische logs bevatten alleen id's, nooit namen, e-mailadressen, telefoonnummers, berichtinhoud of tokens. Tests controleren dat. Ze worden 7 dagen bewaard.
• Een beveiligingslog per school legt beveiligingsgebeurtenissen vast, met ingekorte IP-adressen. Die worden 12 maanden bewaard.
• Een auditlog per school legt vast wie wat deed, zonder inhoud. Het log kan alleen worden aangevuld, niet gewijzigd. Iedere regel bevat de hash van de vorige, en de laatste hash gaat iedere nacht naar de platformdatabase. Zo valt te zien of iemand met het log heeft geknoeid.
• Directe meldingen aan Kwispio gaan uit bij:
  • een geweigerd verzoek tussen scholen;
  • herhaald mislukte controles van betaalmeldingen;
  • een nieuwe beheersessie;
  • ongebruikelijke terugbetalingen;
  • een ontbrekende back-up.
• Een kritieke kwetsbaarheid in gebruikte software wordt binnen 48 uur bijgewerkt.

J. Toetsing

K. Beheeraccounts, ontwikkelproces en leveringsketen

• Beheeraccounts: ieder kritiek account heeft twee FIDO2-hardwaresleutels en geen sms als tweede factor. Het gaat om Cloudflare, de domeinregistrar, GitHub, Stripe, Meta, Google Cloud, Hetzner en de beheermailbox. API-tokens hebben minimale rechten en een verloopdatum. Er zijn meldingen bij nieuwe tokens, DNS-wijzigingen en nieuwe leden. Het domein heeft een registrar-lock en DNSSEC.
• Server buiten Cloudflare: heeft geen open poorten. Beheer loopt via een afgeschermde tunnel met Cloudflare Access. Beveiligingsupdates worden automatisch geïnstalleerd.
• Ontwikkelproces: iedere wijziging doorloopt een beveiligingschecklist. Raakt een wijziging inloggen, rechten, de scheiding tussen scholen, geld, bestanden of een koppeling, dan hoort er een test bij. Er is een geautomatiseerde codereview en een eigen review op een later moment. Een productie-uitrol vraagt handmatige goedkeuring.
• Leveringsketen:
  • vaste versies van softwarepakketten;
  • een wachttijd van 3 dagen op nieuwe versies;
  • geen installatiescripts van pakketten, behalve na goedkeuring;
  • vastgezette versies van bouwstappen;
  • automatische scans op kwetsbaarheden en geheimen;
  • een softwarestuklijst (SBOM) per release.

L. Incidentrespons

M. Continuïteit

Zie artikel 18: noodenvelop bij een vertrouwenspersoon, en een versleutelde kopie buiten Cloudflare.

N. Restrisico's

---

Bijlage 3 Subverwerkers

A. Huidige Subverwerkers

B. Aangekondigde toekomstige Subverwerker

Dit onderdeel geldt als eerste aankondiging in de zin van artikel 9.7. Meta verwerkt pas gegevens van de School als de School WhatsApp aanzet.

Bijzonderheden:

• De School opent zelf een WhatsApp Business-account bij Meta, accepteert daarbij de voorwaarden van Meta en betaalt Meta rechtstreeks voor berichten.
• Meta bewaart berichten maximaal 30 dagen.
• Berichten gaan alleen naar Klanten die toestemming hebben gegeven. Afmelden met "STOP" zet het kanaal direct uit.
• Kiest de School voor coexistence, dan worden bij het koppelen eenmalig contacten en tot 180 dagen gespreksgeschiedenis van het nummer overgenomen, en media van de laatste 14 dagen. Dat kan ook personen betreffen die geen Klant zijn. [Afspraak over wat het Platform daarvan bewaart: te bepalen; zie vraag 2.]
• Berichten die een trainer vanaf een ander (privé)nummer stuurt, ziet het Platform niet.

C. Partijen die geen Subverwerker van Kwispio zijn

D. Wijzigingen

Wijzigingen lopen via artikel 9. De actuele lijst staat op [URL subverwerkerslijst].

---

Bijlage 4 Overzicht van artikel 28 AVG

Alleen ter informatie.

---

Vragen voor de jurist

1. Rol van Stripe. De School sluit zelf een overeenkomst met Stripe. Stripe is verwerker van de School voor de betaalafhandeling, en zelfstandig verantwoordelijke voor eigen doelen. Hoort Stripe daarnaast op de subverwerkerslijst van Kwispio? Kwispio maakt via het eigen Connect-platformaccount betaalsessies aan namens de School en ontvangt de meldingen van Stripe. Klopt de beschrijving in artikel 11 en Bijlage 3, onderdeel C?
2. Rol van Meta. De School opent zelf een WhatsApp Business-account, accepteert de voorwaarden van Meta en betaalt Meta rechtstreeks. Is Meta dan een Subverwerker van Kwispio, of, net als Stripe, rechtstreeks verwerker van de School? Welke Meta-entiteit is contractpartij? En wat mag het Platform bewaren van de contacten en de 180 dagen gespreksgeschiedenis die bij coexistence worden overgenomen? Daar kunnen privécontacten van de trainer tussen zitten.
3. Eigen doelen en de pilotmeting. Volgens de architectuur (§12.6) mag Kwispio voor eigen doelen alleen "geaggregeerde of gepseudonimiseerde" gegevens gebruiken. Gepseudonimiseerde gegevens blijven persoonsgegevens (overweging 26 AVG). Dit concept staat daarom alleen niet-herleidbare geaggregeerde cijfers toe (artikel 2.3 en Bijlage 1, onderdeel F).
   • Voorkomt dat dat Kwispio daarvoor verantwoordelijke wordt?
   • Is een drempel van 5 personen passend? De pilot loopt bij 1 tot 2 scholen, vaak met één trainer per school.
   • Moet de School de meting kunnen uitzetten om van een echte instructie te kunnen spreken?
4. Telling van actieve honden. De berekening gebeurt in de omgeving van de School, en alleen het aantal en een hash gaan naar Kwispio. Is dat een verwerking in opdracht van de School, of wordt Kwispio voor die berekening (mede)verantwoordelijke, omdat het gaat om de eigen facturatie van Kwispio?
5. Testen met echte gegevens. Drie verwerkingen gebeuren buiten de Supporttoegang om (artikel 7.3):
   • de hersteloefening per kwartaal, met de gegevens van een echte school in een testomgeving;
   • tests van databasewijzigingen op geanonimiseerde kopieën;
   • gebruik van de databaseconsole bij incidenten.

Vallen die binnen de rol van verwerker, bijvoorbeeld als "regelmatig testen" onder artikel 32 AVG? Moet de School vooraf instemmen? Is anonimisering van kleine databases met hondennamen en vrije tekst echt anoniem?

1. Doorgifte naar de VS. Cloudflare (Data Privacy Framework en SCC's) en Stripe zijn Amerikaanse bedrijven. De programmacode draait wereldwijd, en Email Service en Stream zijn niet als EU bevestigd. Volstaan de waarborgen in artikel 10, ook gezien de CLOUD Act? Is een transfer impact assessment nodig, en wie maakt die? Wat moet er in de overeenkomst staan voor het geval het Data Privacy Framework vervalt (hoger beroep C-703/25 P; verzoeken om herbeoordeling na *Trump v. Slaughter*)?
2. Pushdiensten en agendaproviders. De architectuur (§12.6) zet beide in de tabel met subverwerkers, maar noemt voor geen van beide een grondslag voor doorgifte. Dit concept houdt de pushdiensten op de lijst. De agendaproviders staan erbuiten, omdat de trainer zijn eigen account koppelt. Is die indeling juist? Welke grondslag geldt voor de pushdiensten?
3. Gelijke verplichtingen voor Subverwerkers (artikel 28 lid 4 AVG). Kwispio accepteert de standaardvoorwaarden van Cloudflare en Hetzner. Dekken die "in wezen dezelfde verplichtingen"? Denk aan de meldtermijn van Cloudflare bij een datalek tegenover de 24 uur die Kwispio belooft, en aan auditrechten.
4. Aansprakelijkheid. Hoe verhoudt een beperking van aansprakelijkheid in de algemene voorwaarden zich tot de "volledige" aansprakelijkheid voor Subverwerkers (artikel 28 lid 4) en tot artikel 82 AVG? Is artikel 19.3 over boetes houdbaar? Is een vrijwaring over en weer nodig?
5. Meldtermijn van 24 uur zonder 24/7-bereikbaarheid. Kwispio belooft melding binnen 24 uur na ontdekking, ook in het weekend, terwijl er geen bereikbaarheidsdienst is. Is die belofte verstandig, en is de definitie van "ontdekking" in artikel 14.2 houdbaar?
6. Einde van de overeenkomst en financiële gegevens. De architectuur (§12.5) is hier niet eenduidig: de School-database wordt gewist "behalve wat de school wettelijk moet bewaren", maar die records worden "daarna verwijderd, tenzij de school schriftelijk anders vraagt". Dit concept kiest voor verwijderen, met de mogelijkheid van aparte afspraken (artikel 16.3, punt 6). Is dat juist?
7. Bewaartermijnen. Na 24 maanden wordt het klantprofiel geanonimiseerd, terwijl boekingen en betalingen 7 jaar blijven bestaan. Welke gegevens moet de School fiscaal echt bewaren? Zijn 7 jaar voor alle boekingsgegevens nodig? Zijn de termijnen van 24 maanden passend? En welke termijn geldt voor accounts van vertrokken Medewerkers? Die ontbreekt in de architectuur.
8. Verwijderen in back-ups. Verwijderde gegevens blijven tot 60 dagen in back-ups staan. Na het einde van de overeenkomst kan het tot 120 dagen duren voordat alles weg is. Is dat aanvaardbaar bij een verzoek om wissing (artikel 17 AVG) en bij beëindiging (artikel 28 lid 3 onder g)?
9. Digitale acceptatie en eenzijdige wijziging. Volstaat acceptatie met een klik bij de onboarding als "schriftelijk, ook elektronisch" (artikel 28 lid 9 AVG)? Hoe borgt Kwispio dat de persoon die accepteert de School mag vertegenwoordigen? Mag Kwispio de overeenkomst eenzijdig wijzigen zoals artikel 20.2 regelt?
10. Rechtsvorm en continuïteit. Kwispio is nog niet ingeschreven bij de KvK, en de rechtsvorm is nog niet gekozen. Wat betekent een eenmanszaak voor de aansprakelijkheid, en voor de overeenkomst bij overlijden of arbeidsongeschiktheid van de oprichter? Wat is de juridische positie van de vertrouwenspersoon met de noodenvelop: is een volmacht nodig, en valt die persoon onder het gezag van Kwispio?
11. Pilot bij de eigen school. De pilot loopt bij "de eigen school" (§13). Is de oprichter persoonlijk betrokken bij de pilotschool, bijvoorbeeld als (mede)eigenaar of familielid? Dan is het de vraag of de rolverdeling tussen verwerkingsverantwoordelijke en verwerker standhoudt, en hoe de verhouding met de pilotschool dan moet worden ingericht.
12. Medewerkers als betrokkenen. De invoertijd per lesverslag zegt iets over het werk van een trainer. Trainers kunnen in dienst zijn, maar ook zzp'er of vrijwilliger. Moet de School haar Medewerkers apart informeren? Het sjabloon voor de privacyverklaring is gericht op Klanten. Is het voorstel passend dat de School de cijfers niet gebruikt om individuele Medewerkers te beoordelen?
13. DPIA en bijzondere persoonsgegevens. De architectuur (§12.6) schat in dat een DPIA waarschijnlijk niet verplicht is. Klopt dat, gezien de interne observaties over gedrag en gezondheid van honden en de vrije berichten? Is de verplichting van de School in artikel 6.4 om geen bijzondere persoonsgegevens in vrije tekst te zetten voldoende, of moet het Platform daar technisch iets tegen doen?
14. Cyberbeveiligingswet en Cyber Resilience Act. Volgens de architectuur (§5.15) gelden ze waarschijnlijk niet voor Kwispio, omdat Kwispio een kleine onderneming is en een pure SaaS-dienst levert. Graag bevestigen. Moet de overeenkomst er iets over zeggen?