Laatst bijgewerkt: 24 oktober 2026 · Versie 1.3 · Entiteit: GraidLens
1. Onze rol
GraidLens is software waarmee docenten en scholen toetsen nakijken. Welke rol wij hebben, hangt af van het soort gegevens:
- Verwerker — voor gegevens die een school of docent via GraidLens verwerkt, zoals toetsfoto's, antwoorden, scores en leerlinglabels. De school is dan verwerkingsverantwoordelijke; wij verwerken alleen volgens haar instructies, vastgelegd in de verwerkersovereenkomst.
- Verwerkingsverantwoordelijke — voor gegevens die wij voor onszelf bepalen, zoals account- en contactgegevens, facturatie en gesprekken met de chatbot op deze website.
2. Subverwerkers
Wij schakelen alleen subverwerkers in die nodig zijn om GraidLens te leveren. Wij verkopen geen gegevens en gebruiken ze niet voor advertenties. Wij trainen geen AI-modellen op leerlingwerk, behalve als een docent daar zelf voor kiest (zie verbetering van de handschriftherkenning).
| Partij | Doel | Gegevens | Regio | Waarborg |
|---|---|---|---|---|
| Supabase | Database, inloggen en bestandsopslag | Door scholen en docenten ingevoerde gegevens, account- en inloggegevens | EU · Frankfurt | Verwerkersovereenkomst; opslag in de EU |
| Render | Hosting van de applicatie (backend) | Gegevens tijdens de verwerking | EU · Frankfurt | Verwerkersovereenkomst; hosting in de EU |
| Vercel | Hosting van de website | Technische gegevens, IP-adres | EER / VS | Verwerkersovereenkomst; standaardcontractbepalingen en EU-VS Data Privacy Framework |
| Cloudflare (Turnstile) | Botbescherming van de formulieren voor inloggen, aanmelden, wachtwoord vergeten, contact en chatbot | IP-adres, User-Agent en browserkenmerken, alleen om bots te herkennen | VS / globaal | Verwerkersovereenkomst; standaardcontractbepalingen en EU-VS Data Privacy Framework |
| Anthropic (Claude) | AI-verwerking voor het nakijken, het inlezen van toetsen en de chatbot | Foto's en tekst die voor een AI-functie worden aangeboden | VS / globaal | Verwerkersovereenkomst; standaardcontractbepalingen; geen training op ingezonden gegevens |
| Resend | Verzending van e-mail vanuit de app | E-mailadres, inhoud van het bericht | EER / VS | Verwerkersovereenkomst; standaardcontractbepalingen |
| Zoho | Zakelijke e-mail | Contact- en correspondentiegegevens | EU-datacenter | Verwerkersovereenkomst; opslag in de EU |
| Stripe | Betalingen en facturen | Naam, e-mail en betaalgegevens van de docent of school; nooit leerlinggegevens | EU (Ierland) / VS | Verwerkersovereenkomst; standaardcontractbepalingen en EU-VS Data Privacy Framework |
| Sentry | Foutmeldingen en monitoring | Technische logs, zonder IP-adressen of inhoud van verzoeken | EU-regio | Verwerkersovereenkomst; EU-regio |
| PagerDuty | Storingsalarmering voor ons eigen team | Contactgegevens van ons team | VS | Verwerkersovereenkomst; standaardcontractbepalingen en EU-VS Data Privacy Framework |
| Instatus | Openbare statuspagina | E-mailadres van wie zich abonneert op statusupdates | VS | Verwerkersovereenkomst; standaardcontractbepalingen |
Voordat wij een subverwerker toevoegen of vervangen, informeren wij scholen op tijd, zodat zij bezwaar kunnen maken. De actuele lijst staat altijd op deze pagina.
3. Doorgifte buiten de EER
Database, inloggen en bestandsopslag staan in de EU. Waar een subverwerker gegevens buiten de EER kan verwerken, berust de doorgifte op passende waarborgen:
- standaardcontractbepalingen (SCC's) van de Europese Commissie;
- het EU-VS Data Privacy Framework, waar de betreffende partij gecertificeerd is.
Let op bij AI-verwerking. Voor het nakijken gaan foto's en antwoorden naar Anthropic. Die verwerking vindt nu plaats in de VS of globaal, niet alleen in de EER. De overstap naar AI-verwerking binnen de EU staat gepland; deze pagina wordt bijgewerkt zodra die live is.
4. Bewaartermijnen
Wij bewaren persoonsgegevens niet langer dan nodig voor het doel waarvoor ze zijn verzameld.
| Categorie | Bewaartermijn |
|---|---|
| Accountgegevens | Duur van de overeenkomst en een redelijke termijn daarna |
| Door scholen en docenten ingevoerde gegevens | Tot het einde van de overeenkomst; daarna verwijderd binnen 30 dagen |
| Geüploade foto's en scans | 90 dagen na het uploaden; 365 dagen voor schoolexamens (SE), voor inzage en bezwaar |
| Chat- en supportgesprekken | 90 dagen na het laatste bericht of na sluiten; open gesprekken uiterlijk 180 dagen |
| Contactgegevens van geïnteresseerden (contactformulier, chatbot) | 24 maanden na het laatste contact; meld je je af voor onze mails, dan bewaren we alleen je e-mailadres en de afmelding, zodat we je niet opnieuw mailen |
| Verzendgegevens van onze mailings | 12 maanden na verzending |
| AI-gebruiks- en kostenlogs | 180 dagen |
| Technische logs en foutmeldingen | 30–90 dagen |
| Auditlogs (toegang, export, verwijdering) | 12 maanden |
| Toestemming voor handschriftherkenning (opt-in) | 24 maanden; de laatste toestemming blijft bewaard zolang die geldt |
| Back-ups | Maximaal 30 dagen na de oorspronkelijke verwijdering |
| Facturatie- en administratiegegevens | 7 jaar (wettelijke fiscale bewaarplicht) |
Na afloop van een bewaartermijn worden gegevens verwijderd of geanonimiseerd. Verwijderingen worden vastgelegd, zonder de inhoud, zodat wij ze kunnen aantonen.
5. Datalekken
Wij hebben een vaste procedure voor het ontdekken, beoordelen en melden van (mogelijke) datalekken:
- Als verwerker: bij een datalek dat gegevens van een school betreft, informeren wij die school binnen 24 uur na ontdekking. Zo houdt de school genoeg ruimte om binnen de wettelijke termijn van 72 uur te melden bij de Autoriteit Persoonsgegevens.
- Als verwerkingsverantwoordelijke: bij een datalek in onze eigen gegevens melden wij dat zelf binnen 72 uur bij de Autoriteit Persoonsgegevens, en bij een hoog risico ook aan de betrokkenen.
6. Rechten van betrokkenen
Betrokkenen hebben recht op inzage, rectificatie, verwijdering, beperking, bezwaar en overdraagbaarheid van hun gegevens.
- Verzoeken over gegevens die wij als verwerker verwerken, lopen via de school; wij helpen de school daarbij.
- Verzoeken over gegevens waarvoor wij zelf verantwoordelijk zijn, behandelen wij rechtstreeks.
Wij reageren binnen één maand na ontvangst van een verzoek. Bij complexe of talrijke verzoeken kan die termijn met hoogstens twee maanden worden verlengd; dat laten wij binnen de eerste maand weten.
7. Beëindiging en verwijdering
Bij het einde van een overeenkomst geven wij de gegevens terug of verwijderen wij ze, naar keuze van de school, binnen 30 dagen, met een verwijderbevestiging. Kopieën in back-ups verdwijnen met de back-upcyclus (hoogstens 30 dagen).
8. Wijzigingen en contact
Wij werken deze pagina bij als onze dienst of onze subverwerkers veranderen. De datum bovenaan geeft de laatste wijziging aan.
GraidLens
E-mail: privacy@graidlens.eu
Website: graidlens.eu
Niet tevreden over hoe wij met uw gegevens omgaan? U kunt een klacht indienen bij de Autoriteit Persoonsgegevens.
Deze pagina is informatief en vervangt de verwerkersovereenkomst niet.