Verwerkersovereenkomst

Welk model we volgen

Voor onderwijs sluiten we aan bij het model dat de sector zelf heeft vastgesteld en dat scholen al kennen: de modelverwerkersovereenkomst uit het Privacyconvenant Onderwijs, inmiddels ondergebracht bij Edu-V. Dat is een bewuste keuze. Een eigen tekst betekent dat elke school hem van nul moet laten beoordelen; het sectormodel betekent dat de privacyfunctionaris alleen de bijlagen hoeft te lezen — en die staan hieronder.

Voor bedrijven en verenigingen gebruiken we hetzelfde model, tenzij je organisatie een eigen standaard hanteert. In dat geval leggen we die naast de bijlagen hieronder; als de inhoud overeenkomt, tekenen we die van jou.

Bijlage A — Wie en wat

Betrokkenen: de deelnemers aan een spel. Bij een school zijn dat leerlingen en begeleiders; bij een bedrijf medewerkers en genodigden.

Persoonsgegevens. Er zijn geen accounts. Meedoen kan met een spel-PIN, een zelfgekozen naam en een rol. Er wordt geen e-mailadres, geboortedatum, klas, adres of ander identificerend gegeven gevraagd.

• Naamzelfgekozen, mag een bijnaam zijn; alleen zichtbaar voor de eigen spelgroep
• Rol en duowelke rol iemand speelt en met wie hij een duo vormt
• Locatiegegevensvan de vluchtende duo's: op een vast interval een positie (lengte- en breedtegraad met nauwkeurigheid). Dit is het gevoeligste gegeven dat de app verwerkt en het staat het kortst opgeslagen — zie bijlage C
• Sessietokeneen willekeurige waarde in een cookie waarmee een telefoon zichzelf herkent. In de database staat alleen een onomkeerbare versleuteling ervan, niet het token zelf
• Meldingsabonnementalleen als een deelnemer zelf pushmeldingen aanzet: het technische adres van zijn browser
• Spelgebeurtenissentijdstippen van meedoen, gepakt worden, telefoongebruik en verbindingsverlies — het verloop van het spel, niet het gedrag van een persoon daarbuiten

Wat er níet verwerkt wordt: geen contactgegevens, geen foto's op onze servers (bewijsfoto's gaan via de eigen groepsapp van de organisator), geen tracking over websites heen, en geen gegevens van deelnemers buiten de duur van hun spel.

Bijlage B — Waarvoor

• Het spel laten werkenposities tonen aan het jagersteam, de klok bijhouden, de uitslag bepalen
• Veiligheid tijdens het spelsignaleren dat een deelnemer buiten het spelgebied is of geen verbinding meer heeft, en de noodknop laten werken
• Nabesprekenhet eindscherm met de route en de uitslag, voor de deelnemers zelf

De gegevens worden niet gebruikt voor profilering, niet voor advertenties en niet om deelnemers over spellen heen te volgen. Op de merken die voor kinderen bedoeld zijn staan sowieso geen advertenties.

Bijlage C — Hoe lang

Kort, en niet als beleid maar als geautomatiseerde opruiming: er draait elke nacht een taak die dit uitvoert. Er is geen knop waarmee iemand die kan uitzetten.

• Locatiegegevensworden gewist bij de eerstvolgende nachtelijke opruiming nadat een spel is afgelopen, dus doorgaans binnen een dag. Ze overleven het spel niet
• Namen, rollen, uitslag7 dagen na afloop volledig gewist, zodat het eindscherm nog even te delen is met de groep
• Vangneteen spel dat om wat voor reden dan ook nooit netjes is afgesloten, verdwijnt hoe dan ook na 30 dagen
• Geanonimiseerde tellingenaantallen spellen en deelnemers per dag blijven bewaard voor de statistiek. Daar zitten geen namen, locaties of spel-PIN's in en ze zijn niet naar een persoon te herleiden

Een rapport bij een betaalde licentie wordt bij het einde van het spel opgemaakt als afgeleid overzicht (afstanden, punten, tijdlijn). Het ruwe locatiespoor gaat ook dan gewoon mee in de nachtelijke opruiming; de bewaartermijn van het rapport wordt per licentie afgesproken en staat in de overeenkomst.

Bijlage D — Subverwerkers

• Cloudflarehosting, database, verkeersbeveiliging en meldingen. De database staat in de EU-regio. Cloudflare is de enige subverwerker

Nieuwe subverwerkers melden we vooraf, zodat je bezwaar kunt maken vóór ze in gebruik worden genomen. Op de merken en licenties zonder advertenties wordt er geen advertentienetwerk geladen; er staat dan ook geen advertentiecode op de pagina.

Bijlage E — Beveiliging

• Versleuteld verkeeral het verkeer loopt over https, met afgedwongen doorverwijzing en strikt transportbeleid
• Geen accounts, geen wachtwoordener valt dus ook geen wachtwoordenbestand te lekken
• Sessietokens onomkeerbaar opgeslagenin de database staat alleen een versleuteling, niet het token zelf
• Scheiding per rol, aan de serverkanteen vluchtend duo krijgt de posities van anderen niet toegestuurd; dat wordt op de server gefilterd en niet in de browser verborgen
• Afgeschermde spelschermenalles achter een spel-PIN is niet indexeerbaar en niet toegankelijk voor zoekmachines of bots
• Snelheidsbegrenzingop meedoen, locatie doorgeven en het raden van een PIN

Bijlage F — Rechten van betrokkenen

Omdat er geen accounts zijn en gegevens binnen dagen verdwijnen, is het meeste vanzelf geregeld. Wil een deelnemer zijn gegevens eerder verwijderd zien, dan kan de organisator dat melden en verwijderen wij het spel. Verzoeken om inzage lopen via de verwerkingsverantwoordelijke; wij ondersteunen die binnen de termijn die de overeenkomst noemt.

Bij een datalek melden wij dat zonder onnodige vertraging aan de verwerkingsverantwoordelijke, met wat we weten over aard, omvang en gevolgen.

Een beoordeling van de gegevensbescherming

Voor een school is een gegevensbeschermingseffectbeoordeling het uitgangspunt en niet de uitzondering: het gaat om locatiegegevens van kinderen. Die beoordeling voert de school uit, want die is verwerkingsverantwoordelijke. Wij leveren de bouwstenen ervoor aan — de bijlagen hierboven zijn precies wat daarin ingevuld moet worden — en beantwoorden de vragen van je privacyfunctionaris.

Ondertekenen

Mail naar zakelijk@voortvluchtig.com met de naam van je organisatie en de modelovereenkomst die jullie hanteren. Je krijgt de ingevulde overeenkomst met de bijlagen hierboven terug ter ondertekening. Zonder getekende overeenkomst verwerken we geen gegevens namens jouw organisatie.

Zie ook de privacyverklaring (wat er gebeurt als je zelf, zonder licentie, een spel opzet) en Zakelijk en onderwijs (wat een licentie inhoudt en kost).