Privacybeleid
Wij leggen transparant uit welke gegevens wij bij AktEdu verzamelen, waarom wij dat doen, hoe wij ze beschermen en welke beslissingen gevolgen voor u hebben.
1. Reikwijdte en doel
Dit Privacybeleid geldt voor alle partijen die gebruikmaken van de cloudgebaseerde diensten voor onderwijsmonitoring en analyse van AktEdu (“Platform”, “wij”): bestuurders van onderwijsinstellingen, docenten, leerlingen en ouders. Het platform biedt analyse van oefenexamens, weekplanning, begeleiding en instellingsrapportages volgens het SaaS-model.
Dit document geeft een technische toelichting op privacy. Raadpleeg de KVKK-privacyverklaring voor een uitgebreide uitleg van uw wettelijke rechten.
2. Gegevens die wij verzamelen
De gegevens die op het platform worden verwerkt, zijn per groep betrokkenen in de volgende categorieën ingedeeld:
| Categorie | Voorbeelden van gegevenselementen | Betrokkene |
|---|---|---|
| Identiteitsgegevens | Voornaam, achternaam, gebruikersnaam, extern instellingsnummer (external_no) | Leerling, docent, ouder |
| Contactgegevens | Mobiel telefoonnummer, e-mailadres (voor ouders en medewerkers) | Ouder, docent, bestuurder |
| Opleidingsniveau | Klas/groep/niveau, profielkeuze (SAY/SÖZ/EA/DİL), beoogd examentype (YKS) | Leerling |
| Studieprestaties | Oefenexamenresultaten, correcte/foute antwoorden en nettoscores, leerdoelanalyse per vak, score, rangpositie, aantal gemaakte vragen | Leerling |
| Begeleidingsregistraties | Gespreksnotities, opvolgingsregistraties, wekelijkse studieplanning, huiswerkregistratie, registratie van individuele studiebegeleiding | Leerling, leerlingbegeleider |
| Systeembeveiliging | Inlogtijd, IP-adres, apparaatgegevens, auditlogs | Alle gebruikers |
3. Hoe verzamelen wij gegevens?
- Directe invoer: Instellingsbestuurders en docenten voeren leerlinggegevens handmatig in of werken deze bij via de platforminterface.
- Bulkimport: Resultaatbestanden van optische antwoordformulieren en examengegevens in Excel/CSV worden door instellingsbestuurders geüpload.
- Gebruikersinteractie: Interactielogs die ontstaan tijdens sessies in leerlingen-, ouder- en docentenportalen worden automatisch opgeslagen.
- Athena AI-chat: Gesprekken van leerlingbegeleiders en bestuurders met Athena en de opgevraagde leerlinggegevens worden verwerkt.
4. Waarom verwerken wij gegevens?
- Volgen en analyseren van de studieontwikkeling van leerlingen op instellingsniveau.
- Digitaal beheer van persoonlijke plannen en gespreksnotities door leerlingbegeleiders.
- Transparant delen van de studiesituatie in ouder- en leerlingenportalen.
- AI-inzichten en aanbevelingen voor leerlingbegeleiders via Athena.
- Waarborgen van gescheiden instellingsrechten, toegangscontrole en accountbeveiliging.
- Bewaren van systeemtoegangslogs gedurende de wettelijke termijn op grond van wet nr. 5651.
5. Infrastructuur en beveiligingsarchitectuur
Database en server
Alle gebruikers- en instellingsgegevens worden gehost op de infrastructuur van Supabase PostgreSQL in de regio Frankfurt (eu-central-1, Europese Unie). Deze regiokeuze zorgt ervoor dat onderwijsgegevens worden verwerkt in een datacentrum dat aan de GDPR voldoet.
Versleuteling
- Tijdens overdracht (in-transit): Al het verkeer tussen client en server wordt via TLS 1.3 / HTTPS beschermd met volledige 256-bit-versleuteling.
- Tijdens opslag (at-rest): Databaseschijven worden versleuteld met AES-256.
- Wachtwoorden: Gebruikerswachtwoorden worden als eenrichtingshash met bcrypt opgeslagen; nooit als leesbare tekst.
Toegangscontrole en isolatie
- Row-Level Security in de database voorkomt technisch dat instellingen toegang krijgen tot elkaars gegevens.
- Docenten zien uitsluitend de klassen/groepen waaraan zij zijn toegewezen; ouders zien uitsluitend gegevens van hun eigen kind.
- Alle kritieke handelingen worden geregistreerd in auditlogs met tijdstempel.
Back-ups
De database wordt voortdurend geback-upt via Point-in-Time Recovery (PITR). Bij een storing kan het systeem binnen enkele minuten worden hersteld naar de laatste stabiele toestand.
6. Athena AI en gegevensverwerking door Anthropic (Claude)
Belangrijk: zakelijke AI-infrastructuur en gegevensbescherming
De onderwijsassistent Athena werkt geïntegreerd met de infrastructuur van de zakelijke API van Anthropic (Claude). Volgens de zakelijke API-overeenkomst worden de verzonden onderwijsgegevens nooit gebruikt voor training van openbare AI-modellen (model training / fine-tuning).
Toegangsbevoegdheid
Athena kan uitsluitend door leerlingbegeleiders en instellingsbestuurders worden gebruikt. Leerlingen en ouders hebben geen directe toegang tot het Athena-dashboard.
Omvang van gegevens verzonden naar de zakelijke API van Anthropic
Wanneer een bevoegde gebruiker via Athena een analyse of aanbeveling aanvraagt, worden uitsluitend de onderwijsgegevens die binnen die vraag nodig zijn voor directe verwerking verzonden:
- Voornaam, achternaam, klas, leerlingnummer
- Oefenexamenresultaten, nettoscores, prestaties binnen de klas en vergelijking met doelen
- Analyses per onderwerp en leerdoel, statistieken van gemaakte vragen
- Gegevens van de wekelijkse studieplanning en huiswerkstatussen
- Samenvattingen van begeleidingsgesprekken en opvolgingsnotities
Gegevensbeveiliging en Zero-Training-beleid
Het platform gebruikt, anders dan consumentenmodellen, de infrastructuur van de zakelijke commerciële API van Anthropic. Binnen deze infrastructuur:
- Leerling- en examengegevens worden nooit gebruikt voor de training of ontwikkeling van openbare AI-modellen.
- Gegevens worden niet aan externe reclame- of marketingsystemen doorgegeven of verkocht.
- Vragen worden verzonden met volledige TLS 1.3-versleuteling en na directe inferentie teruggestuurd naar de geïsoleerde database van de instelling.
Beoordeling onder de KVKK
Volgens artikel 9 van KVKK nr. 6698 berust verwerking via cloud/API op buitenlandse servers in beginsel op uitdrukkelijke toestemming of op passende waarborgen die in de wetgeving zijn voorzien. Dit bij aanmelding aanvaarde Privacybeleid en de SaaS-overeenkomsten met instellingen bevatten informatie- en autorisatiebepalingen over deze zakelijke API-gegevensstroom.
7. Gegevensdoorgifte en derden
AktEdu verkoopt of verhuurt de persoonsgegevens die het verwerkt nooit voor commerciële of reclamedoeleinden aan derden. Gegevens worden uitsluitend met de onderstaande partijen en binnen de aangegeven grenzen gedeeld:
| Ontvanger | Doel van de doorgifte | Locatie |
|---|---|---|
| Supabase Inc. | Databasehosting, authenticatie, realtime gegevensoverdracht | EU — Frankfurt (eu-central-1) |
| Anthropic (Claude - Athena AI) | AI-ondersteunde begeleiding en onderwijsbeslissingen (uitsluitend vragen van bevoegde gebruikers; modeltraining is uitgeschakeld) | VS — zakelijke servers van Anthropic |
| n8n (automatiseringsplatform) | Veilige orkestratie van Athena AI-vragen en automatisering van werkprocessen | Europa (cloud) |
| Onderwijsinstelling en docenten | Uitsluitend studievoortgangsgegevens van de klas waarvoor men bevoegd is | Turkije |
| Ouder/verzorger | Uitsluitend rapport- en studievoortgangsgegevens van het eigen kind | Turkije |
| Bevoegde overheidsinstanties | Delen met bevoegde instanties bij wettelijke verplichting of rechterlijk bevel | Turkije |
8. Bewaren en verwijderen
| Gegevenscategorie | Bewaartermijn | Grondslag |
|---|---|---|
| Onderwijsgegevens van leerlingen | Gedurende de overeenkomst + 5 jaar | KVKK, Turkse onderwijswetgeving |
| Systeemtoegangslogs (IP, sessie) | 2 jaar | Wet nr. 5651 |
| Financiële gegevens | 10 jaar | Turkse wet op belastingprocedures |
| Begeleidingsgespreksnotities | Gedurende de overeenkomst + 3 jaar | Gerechtvaardigd belang, verjaring |
| Vraaggegevens verzonden via de Anthropic API | Uitsluitend tijdens directe inferentie (modeltraining is uitgeschakeld) | Anthropic Commercial Terms & Zero Retention |
Gegevens waarvan de bewaartermijn is verstreken, worden veilig vernietigd volgens de KVKK-verordening inzake verwijdering, vernietiging of anonimisering van persoonsgegevens. Als de onderwijsinstelling de overeenkomst beëindigt, worden de instellingsgegevens op verzoek in een overdraagbaar formaat aangeleverd en daarna uiterlijk binnen 90 dagen uit het systeem verwijderd.
9. Uw rechten
Op grond van artikel 11 van de KVKK heeft u de volgende rechten:
- Informatie verkrijgen: Vernemen welke gegevens over u worden verwerkt.
- Toegang: Een kopie van uw verwerkte persoonsgegevens opvragen.
- Correctie: Verzoeken om onjuiste of onvolledige gegevens bij te werken.
- Verwijderen / vernietigen: Verzoeken om verwijdering van uw gegevens wanneer het verwerkingsdoel is vervallen.
- Bezwaar tegen verwerking: Bezwaar maken tegen verwerking op grond van gerechtvaardigd belang.
- Overdraagbaarheid: Uw gegevens opvragen in een gestructureerd en machineleesbaar formaat.
- Klachtrecht: Een klacht indienen bij de Turkse autoriteit voor persoonsgegevensbescherming (KVKK).
Voor uw verzoeken kunt u het aanvraagformulier in de KVKK-privacyverklaring gebruiken en contact opnemen via info@aktedu.com. Verzoeken worden binnen 30 dagen kosteloos beantwoord.
10. Contact en updates
Dit beleid kan worden bijgewerkt vanwege wettelijke verplichtingen of wijzigingen aan het platform. Belangrijke wijzigingen worden aan betrokken gebruikers aangekondigd via e-mail of meldingen binnen het platform. De actuele versie vindt u altijd op aktedu.com/gizlilik.