Wat we bewaren en wat niet

Rolverdeling

De school is verwerkingsverantwoordelijke. SignCoach is verwerker en gebruikt de gegevens alleen om de app te laten werken.

De tekst

De hoofdtekst is de Model Verwerkersovereenkomst 4.0 van het Convenant Digitale Onderwijsmiddelen en Privacy. Die tekst veranderen we niet.

Bijlagen

• Bijlage 1, privacybijsluiter: welke gegevens SignCoach verwerkt, waarom, hoe lang en waar.
• Bijlage 2, beveiligingsbijlage: de technische en organisatorische maatregelen.

Ondertekenen

De school ontvangt de overeenkomst bij de start van de licentie of de pilot, ingevuld met de gegevens van de school.

Het product

SignCoach is een app waarmee leerlingen Nederlandse Gebarentaal (NGT) leren. De app laat een voorbeeld zien, en de leerling doet het gebaar na voor de camera. De app herkent de handvorm op het apparaat zelf en geeft direct feedback. Docenten zien in de app de voortgang van hun klas.

Welke gegevens, van wie en waarom

Betrokkene	Gegevens	Doel
Leerling	Voornaam of bijnaam (ingevoerd door de docent)	Leerling herkennen in de klaslijst en bij het inloggen
Leerling	Klas en school	Leerling koppelen aan de juiste docent en licentie
Leerling	Pincode van 4 cijfers: als hash voor het inloggen, en leesbaar voor de eigen docent	Inloggen zonder e-mailadres; de docent kan een vergeten pincode opzoeken en inlogkaartjes printen
Leerling	Mislukte inlogpogingen (aantal en tijdstip)	Beveiliging: na 5 mislukte pogingen 15 minuten geblokkeerd
Leerling	Leervoortgang: welk gebaar geoefend, score en datum per geslaagde oefening, XP, oefenreeks, badges	Leren: voortgang tonen aan leerling en docent, volgende les openzetten
Leerling	Dagen waarop geoefend is (alleen de datum)	Docent en school zien hoeveel leerlingen per week oefenen
Leerling	Instelling “oefenen met camera” aan of uit (ingesteld door de docent)	Leerlingen zonder toestemming voor de camera oefenen zonder camera
Leerling	Technisch account-ID en een intern, niet-bestaand e-mailadres	Technisch nodig voor het inlogsysteem; bevat geen echte gegevens
Docent, schoolbeheerder	E-mailadres, wachtwoord (versleuteld) of Google-account, rol, school; vrijwillig: antwoorden op het feedbackformulier	Inloggen en beheer van klassen; de app verbeteren
School	Naam, BRIN-nummer, naam en e-mailadres contactpersoon, licentieperiode, aantal plekken	Licentiebeheer en facturatie
School (anoniem)	Per gebaar per dag: aantal camera-pogingen en hoeveel daarvan gelukt zijn, niet te herleiden tot een leerling	De herkenning verbeteren en de pilot evalueren
Alle gebruikers	IP-adres en tijdstip van inloggen, in de logbestanden van Supabase	Beveiliging en misbruikdetectie
Alle gebruikers	Anonieme crashrapporten: foutmelding, apparaatmodel, besturingssysteem, app-versie	Fouten in de app oplossen

SignCoach verwerkt geen achternaam, geboortedatum, e-mailadres van leerlingen, foto’s, video’s of geluid van leerlingen. Er is geen reclame, geen profilering en geen verkoop van gegevens. Leerlingen krijgen geen pushmeldingen.

Camera

De camera wordt alleen gebruikt tijdens het oefenen. De herkenning (MediaPipe) draait volledig op het apparaat. Er wordt geen beeld, video of handpositie naar een server gestuurd en er wordt niets opgeslagen. Alleen het resultaat (“gebaar gehaald”, met de score) gaat naar de server.

Bewaartermijnen

Gegevens	Bewaartermijn
Leerlingaccount en voortgang	Tot de docent de leerling verwijdert, uiterlijk 90 dagen na het einde van de licentie
Docentaccount	Tot het account verwijderd wordt; de toegang tot de school vervalt 90 dagen na het einde van de licentie
Schoolgegevens en licentie	7 jaar na het einde van de licentie (fiscale bewaarplicht facturatie)
Crashrapporten	12 maanden

Na verwijdering zijn de gegevens direct uit de database weg. In back-ups blijven ze bestaan tot die back-up verloopt.

Subverwerkers en locatie

Subverwerker	Wat	Locatie
Supabase Inc.	Database, inlogsysteem en opslag	Servers in de EU: Frankfurt, Duitsland. Supabase is een Amerikaans bedrijf; doorgifte is afgedekt met de EU-standaardcontractbepalingen in de verwerkersovereenkomst van Supabase.
Google (Firebase Cloud Messaging)	Pushmeldingen, alleen voor docenten die dit aanzetten	Wereldwijd; niet gebruikt voor leerlingen

De app wordt verspreid via de App Store (Apple) en Google Play. Die partijen ontvangen geen schoolgegevens van SignCoach.

Rechten van betrokkenen

Verzoeken om inzage, correctie of verwijdering lopen via de school. De docent kan een leerling en alle gegevens zelf direct verwijderen in de app. Voor andere verzoeken helpt SignCoach de school binnen 10 werkdagen.

Technische maatregelen

Onderwerp	Maatregel
Versleuteling onderweg	Al het verkeer tussen app en server loopt via HTTPS (TLS 1.2 of hoger)
Versleuteling opgeslagen	De database en opslag van Supabase zijn versleuteld met AES-256
Toegang per rij	Row Level Security op alle tabellen: een leerling ziet alleen zichzelf, een docent alleen de leerlingen van de eigen klassen, een schoolbeheerder alleen de eigen school
Gevoelige acties	Leerlingen aanmaken, pincodes resetten en verwijderen lopen via serverfuncties die eerst controleren of de aanvrager docent van die school is
Pincodes	Inloggen controleert een hash. Daarnaast staat de pincode leesbaar opgeslagen, alleen op te vragen door docenten van die school (bewuste keuze: een pincode geeft alleen toegang tot de leerapp, er zijn geen beelden of gevoelige gegevens achter). Na 5 mislukte pogingen is inloggen 15 minuten geblokkeerd
Gedeelde tablets	Leerlingen worden na 10 minuten op de achtergrond automatisch uitgelogd
Wachtwoorden docenten	Beheerd door Supabase Auth, opgeslagen met bcrypt
Rollen	Een gebruiker kan zijn eigen rol niet wijzigen; dat wordt in de database afgedwongen
Camera	Herkenning op het apparaat; geen beelden naar de server
Crashrapporten	Anoniem: geen gebruikers-ID; e-mailadressen, ID’s en tokens worden in de app verwijderd voor verzending
Sleutels	De app bevat alleen de publieke sleutel van Supabase; de beheersleutel staat alleen in serverfuncties

Organisatorische maatregelen

• Alleen de leverancier (1 persoon) heeft beheertoegang tot de database.
• Vakmensen die gebaren opnemen hebben geen toegang tot leerlinggegevens.
• Elke database-wijziging staat als script in versiebeheer (privé GitHub-repository) en wordt eerst gecontroleerd.
• Gegevens van leerlingen worden niet gebruikt voor testen; daarvoor zijn aparte testaccounts.

Datalekken

1. SignCoach meldt een (vermoedelijk) datalek binnen 24 uur na ontdekking aan de contactpersoon van de school, met wat er bekend is: welke gegevens, hoeveel leerlingen, oorzaak en genomen maatregelen.
2. De school beslist of het lek gemeld moet worden bij de Autoriteit Persoonsgegevens (binnen 72 uur) en aan ouders.
3. SignCoach dicht het lek, vult de melding aan zodra er meer bekend is, en legt elk incident vast in een register.

Controle

De school mag eenmaal per jaar vragen hoe de maatregelen werken. SignCoach beantwoordt dat schriftelijk. Een externe audit of certificering is er nog niet.

Waarom een DPIA

De app gebruikt de camera bij kinderen en verwerkt gegevens van een kwetsbare groep. Dat zijn twee criteria van de Autoriteit Persoonsgegevens waarbij een DPIA verplicht kan zijn. Ook als de school concludeert dat het niet verplicht is, laat een DPIA zien dat de afweging zorgvuldig is gemaakt.

Beschrijving van de verwerking

• Doel: leerlingen leren gebarentaal; de docent volgt de voortgang.
• Betrokkenen: leerlingen (minderjarigen), docenten, schoolbeheerders.
• Gegevens: zie bijlage 1. Geen bijzondere persoonsgegevens; de camerabeelden worden niet opgeslagen of verstuurd.
• Grondslag: te bepalen door de school.
• Ontvangers: de docent van de klas, de schoolbeheerder, SignCoach als verwerker, Supabase als subverwerker.

Noodzaak en evenredigheid

• Dataminimalisatie: geen e-mailadres, achternaam of geboortedatum van leerlingen; een bijnaam mag ook.
• Alternatief voor de camera: lessen zonder herkenning werken met een zelfcheck (“Gelukt” of “Nog eens”). Wil een school of ouder geen camera, dan zet de docent de camera voor die leerling uit; de leerling doet dan elke les met de zelfcheck.
• Bewaartermijn: kort en automatisch, zie bijlage 1.
• Transparantie: het privacybeleid staat in de app, met een apart stuk voor leerlingen via school.

Risico’s en maatregelen

Risico	Kans	Impact	Maatregel	Restrisico
Camerabeelden van kinderen lekken	Zeer klein	Hoog	Herkenning op het apparaat; geen beelden naar de server	Laag
Een andere leerling logt in met iemands pincode	Middel	Laag	5 pogingen, dan 15 minuten blokkade; docent kan pincode resetten	Laag
Op een gedeelde tablet blijft de vorige leerling ingelogd	Middel	Laag	Automatisch uitloggen na 10 minuten op de achtergrond; uitlogknop in Profiel	Laag
Een docent ziet leerlingen van een andere klas	Klein	Middel	Row Level Security; controle in elke serverfunctie	Laag
Gegevens worden langer bewaard dan nodig	Klein	Middel	Automatisch wissen 90 dagen na einde licentie; docent kan direct verwijderen	Laag
Doorgifte buiten de EU via Supabase (Amerikaans bedrijf)	Klein	Middel	Servers in Frankfurt; standaardcontractbepalingen	Laag
Druk of vergelijking tussen leerlingen door scores en XP	Klein	Laag	Geen ranglijst tussen leerlingen; voortgang alleen zichtbaar voor de leerling zelf en de docent	Laag
Gegevens gebruikt voor iets anders dan leren	Zeer klein	Middel	Vastgelegd in de verwerkersovereenkomst; geen reclame of analyse-diensten in de app	Laag

Conclusie

Met deze maatregelen is het restrisico voor leerlingen laag. Het ingelogd blijven op gedeelde tablets is opgelost met automatisch uitloggen.