Privacyverklaring

1. Wie zijn wij?

Feednext is een webapplicatie voor docenten in het voortgezet onderwijs. We verwerken persoonsgegevens om de dienst te leveren. In deze verklaring leggen we uit welke gegevens we verwerken, waarom, en welke rechten je hebt.

2. Welke gegevens verwerken we?

Docentgegevens

E-mailadres, naam (optioneel), versleuteld wachtwoord (bij registratie met email + wachtwoord), tijdstip van registratie en acceptatie van de voorwaarden. Grondslag: uitvoering van de overeenkomst.

Als je inlogt via Microsoft of Google verwerken we tijdens de beveiligde inlogcallback je e-mailadres, de unieke provider-identificatie en technische OIDC-claims die nodig zijn om de reactie te controleren. Wat daarvan blijvend wordt bewaard staat hieronder bij "Inloggen via Microsoft of Google".

Projectgegevens

Vaknaam, projectnaam, leerjaar, niveau en instellingen. Dit zijn configuratiegegevens, maar ze kunnen door de koppeling aan een docentaccount of door vrij ingevulde namen ook indirect persoonsgegevens bevatten.

Leerlinggegevens

Alias (L01, L02, ...), optioneel een naam die de docent invoert, geüpload leerlingwerk (bestandsinhoud), transcripties uit de tekstherkenning, evaluatieresultaten en feedback. Leerlingwerk kan persoonsgegevens bevatten (handschrift, namen in tekst). Bij schoolgebruik bepaalt en documenteert de school als verwerkingsverantwoordelijke het doel en de grondslag; voor de onderwijstaak ligt een publieke taak vaak voor de hand, maar de definitieve keuze is aan de school en haar privacyfunctionaris. Vóór schoolgebruik leggen school en Feednext deze rol en afspraken vast in de verwerkersovereenkomst die nu wordt voorbereid.

Beoordelingsmodellen

Het beoordelingsmodel dat de docent uploadt. Bevat doorgaans geen persoonsgegevens.

Lesplanning van de docent

De docent kan per lesgroep vastleggen welke indeling hij aanhoudt: de basisstoffen of paragrafen uit zijn methode, of zijn eigen hoofdstukken. Daarbij legt hij vast welke toets bij welk onderdeel hoort. Dit is optioneel en bevat geen leerlinggegevens. Hij kan die indeling ook laten overtypen van een foto van zijn eigen inhoudsopgave; die foto gaat één keer naar het AI-model en wordt door Feednext niet bewaard.

3. Hoe verwerken we leerlingwerk via AI?

We roepen Claude via AWS Bedrock aan vanuit Frankfurt (eu-central-1) voor analyse van beoordelingsmodellen, evaluatie en, afhankelijk van de ingestelde provider, tekstherkenning. Daarnaast voor het overtypen van een foto van de eigen inhoudsopgave van een docent, als hij die functie gebruikt; daar zitten geen leerlinggegevens in en de foto wordt niet bewaard. Het gebruikte geografische EU-inferentieprofiel kan de verwerking over ondersteunde AWS-regio's binnen de EU verdelen; de AI-verwerking is dus niet gegarandeerd uitsluitend Frankfurt. Voor tekstherkenning kan daarnaast de afzonderlijke Google Cloud Document AI-provider met locatie eu worden ingeschakeld. Welke provider productie werkelijk gebruikt en welke contractuele voorwaarden daarbij gelden, wordt vóór schoolgebruik nog aantoonbaar vastgelegd.

Belangrijke waarborgen:

Leerlingen gaan onder een pseudoniem naar de AI: een alias (L01, L02, ...). Bij het beoordelen sturen we de naam niet als gegeven mee. Namen die in Feednext bekend zijn, vervangen we in de tekst door dat alias voordat de tekst naar de AI gaat. Eerlijk is eerlijk, en op twee punten: op een scan of foto van handgeschreven werk kan de naam die de leerling zelf opschreef zichtbaar blijven, en scant een docent een hele stapel in één keer, dan vragen we de AI juist wél om de naam te lezen, omdat anders niet te bepalen is welk blad bij welke leerling hoort. Volledig anoniem is dat dus niet.

Voor het gebruikte Bedrock-model bewaart AWS de prompts en uitvoer niet en worden ze niet voor modeltraining gebruikt. Ook voor een ingeschakelde Document AI-provider gebruiken we leerlingwerk niet voor modeltraining; de precieze verwerkings- en bewaarinformatie wordt vóór schoolgebruik in het subverwerkersoverzicht vastgelegd.

De communicatie met de AI-dienst is versleuteld. Het geografische Bedrock-profiel houdt prompts en uitvoer binnen de ondersteunde AWS-regio's van de EU, maar ze kunnen daarbij tussen die regio's bewegen.

4. Waar slaan we gegevens op?

De primaire inhoudsopslag, database (PostgreSQL) en bestandsopslag (AWS S3), bevindt zich in AWS eu-central-1 (Frankfurt, Duitsland). Data is versleuteld in rust (AES-256) en tijdens transport (TLS). De Vercel-appfuncties zijn op Frankfurt ingesteld; de contractuele regio- en doorgifte-afspraken voor platformlogs worden vóór schoolgebruik nog formeel vastgelegd.

5. Hoe lang bewaren we gegevens?

Docentaccount: zolang het account actief is. Projecten en leerlingwerk: tot de docent ze verwijdert of het bewaarbeleid de scans en herkende tekst opruimt. Verwijdering kan per leerling, per project of voor het hele account worden gestart. Project- en accountverwijdering lopen als achtergrondopdracht en kunnen enige tijd duren. Het doel verdwijnt daarbij uit de gewone interface. De laatste late-schrijfroutes en aanmaakraces worden nog end-to-end geverifieerd; daarom is dit nog geen garantie dat iedere technische toegang direct bij de aanvraag is afgesloten.

Op die regel bestaat één uitzondering, en wel over de docent zelf. Verwijdert een docent een project, dan blijft er één opgetelde regel staan voor zijn eigen overzicht “AI en jij”: het vak, het niveau, het werktype, het schooljaar en hoe vaak hij een AI-voorstel overnam, bevestigde of aanpaste. Daar staat geen leerling in, geen leerlingnaam, geen projectnaam, geen ingeleverd werk en geen score van een leerling. Die regel is alleen voor de docent zelf zichtbaar, gaat nooit naar een school, bestuur of collega, en verdwijnt zodra hij zijn account verwijdert.

Daarnaast schoont Feednext de scans en de herkende tekst van leerlingwerk automatisch op: standaard 24 maanden nadat de docent voor het laatst aan een project werkte (elke bewerking start de teller opnieuw). De docent kan dit in de app instellen op ‘nooit automatisch’. Ruim voordat een project aan de beurt is, toont de app hiervoor een melding, en het openen van het project is genoeg om de scans langer te bewaren. Deze opschoning is definitief. Cijfers, feedback en de leerling-alias blijven daarbij bewaard. Ook dat zijn persoonsgegevens; die blijven staan tot de docent ze verwijdert. Bij verwijdering van het account start de app een opdracht om de bijbehorende database-, bestands- en exportgegevens op te ruimen. De volledige technische wisgarantie wordt nog end-to-end gevalideerd. Een bewaakt kanaal voor voltooiingsbevestigingen is er nog niet; dat moet geregeld zijn voordat scholen Feednext gaan gebruiken.

6. Met wie delen we gegevens?

We delen geen gegevens met derden, behalve met de subverwerkers die nodig zijn om de dienst te leveren:

Amazon Web Services (AWS): database en opslag in eu-central-1 (Frankfurt); een via Bedrock aangeboden Anthropic-model gebruikt een geografisch EU-profiel dat binnen ondersteunde AWS-EU-regio's kan routeren. AWS bewaart de prompts en uitvoer van dit model niet; Anthropic ontvangt deze data niet rechtstreeks.

Google Cloud Document AI: optionele tweede tekstherkenningsprovider, technisch geconfigureerd met locatie eu. Vóór schoolgebruik wordt het werkelijk actieve providerprofiel gecontroleerd en Google, wanneer actief, formeel in het subverwerkersoverzicht opgenomen.

Vercel: hosting van de webapplicatie.

Functional Software (Sentry): uitsluitend foutmonitoring. Bekende tekst-, identiteits- en gevoelige URL-velden worden vóór verzending automatisch geredigeerd. Performance-tracing en sessie-opnames staan uit. De actuele dataregio en bewaartermijn worden vóór schoolgebruik nog formeel geverifieerd.

We verkopen geen gegevens en gebruiken ze niet voor advertenties.

7. Inloggen via Microsoft of Google

Naast e-mail + wachtwoord kun je inloggen via Microsoft (Office 365 / Microsoft-account) of Google (Workspace / persoonlijk Google-account). Feednext vraagt daarbij alleen de OIDC-scopes openid en email.

Tijdens de callback verwerkt Feednext tijdelijk het e-mailadres, de unieke provider-identificatie, claims waarmee de provider en het e-mailadres worden gecontroleerd en de technische OAuth- en OIDC-tokens die nodig zijn om de callback af te ronden.

Na afloop bewaren we alleen je e-mailadres, de naam van de aanbieder en diens stabiele account-identificatie, zodat we je bij een volgende login herkennen. Je naam en profielfoto uit het providerprofiel vragen we niet op en nemen we niet over in je Feednext-account. Nieuwe logins slaan ook geen access-, refresh- of ID-token op. Eventuele tokenwaarden uit een oudere implementatie worden bij een volgende succesvolle SSO-login gewist; de gecontroleerde opschoning van oude gegevens moet nog gebeuren voordat scholen Feednext gaan gebruiken.

We vragen geen toegang tot je e-mails, agenda, contacten, bestanden of profielfoto. Een nieuwe provider-identificatie wordt niet alleen op basis van een gelijk e-mailadres aan een bestaand Feednext-account gekoppeld. Microsoft en Google verwerken je inloggegevens en bepalen zelfstandig hoe zij dat doen. Zie daarvoor hun eigen privacyverklaring:

Microsoft: privacy.microsoft.com.

Google: policies.google.com/privacy.

Je kunt de koppeling tussen je Feednext-account en Microsoft of Google verwijderen door je Feednext-account te verwijderen via het profielmenu. Daarmee verdwijnt ook de account-koppeling uit onze database.

8. Jouw rechten

Op grond van de AVG heb je het recht om je gegevens in te zien, te corrigeren, te verwijderen, de verwerking te beperken, en je gegevens over te dragen. Via de knop “Download gegevensoverzicht” op je profielpagina krijg je een gestructureerde zip met projecten, beoordelingen, instellingen en de herkende tekst van het leerlingwerk. De originele scans zitten niet in die zip; die kun je per leerling bewaren. Een bewaakt privacyadres voor volledige inzage- en overdrachtsverzoeken is nog niet gepubliceerd. Dit moet geregeld zijn voordat scholen Feednext gaan gebruiken. Je kunt wel een accountverwijdering starten via het profielmenu in de app.

9. Cookies

We gebruiken alleen functionele cookies voor authenticatie (sessiecookie). We gebruiken geen tracking-, analyse- of advertentiecookies. Daarom is een cookiebanner niet nodig.

10. Verwerkersovereenkomst voor scholen

Voor scholen wordt een overeenkomst voorbereid volgens Model VWO 4.0. Daarin is de school verwerkingsverantwoordelijke en Feednext verwerker. Het pakket is nog niet tekenklaar totdat de open technische en formele controles aantoonbaar zijn afgerond. Zodra het pakket en een bewaakt contactkanaal gereed zijn, publiceren we de actuele stand hier. Tot die tijd is Feednext niet gereed voor gebruik door een school.

11. Wijzigingen

We kunnen deze verklaring bijwerken. Bij wezenlijke wijzigingen informeren we je per e-mail.

12. Contact

Er is nog geen bewaakt privacyadres gepubliceerd. Dat moet geregeld zijn voordat scholen Feednext gaan gebruiken; we zetten liever geen adres neer dat niet gelezen wordt. In de ingelogde app kun je nu al je gegevensoverzicht downloaden en accountverwijdering starten; vóór een pilot publiceren we hier ook het bewaakte kanaal voor overige privacyverzoeken.