# Verwerkersovereenkomst Sterrenjacht 360 (model)

Dit model volgt de opzet van het SURF-model verwerkersovereenkomst dat
onderwijsinstellingen kennen. Vul de velden tussen blokhaken in en stuur het
ondertekende document naar eric@internetid.nl.

## Partijen

1. **Verwerkingsverantwoordelijke (de instelling):**
   - Naam instelling: [NAAM INSTELLING]
   - Adres: [ADRES]
   - Vertegenwoordigd door: [NAAM EN FUNCTIE]
   - Contactpersoon privacy of FG: [NAAM EN E-MAILADRES]

2. **Verwerker:**
   - InternetID, handelend onder de productnaam Sterrenjacht 360
   - Contact: eric@internetid.nl

## 1. Onderwerp van de overeenkomst

De verwerker levert de webapplicatie Sterrenjacht 360, waarmee studenten
tijdens een onderwijsproject sterbeoordelingen verzamelen van docenten,
opdrachtgevers, teamgenoten en familie. De verwerker verwerkt daarbij
persoonsgegevens uitsluitend in opdracht van de instelling en volgens deze
overeenkomst.

## 2. Duur

Deze overeenkomst geldt zolang de instelling Sterrenjacht 360 gebruikt en
eindigt zodra alle projectgegevens van de instelling zijn gewist.

- Startdatum: [DATUM]

## 3. Verwerkingen en categorieen betrokkenen

De instelling bepaalt welke projecten er draaien. De verwerkingen:

| Verwerking | Betrokkenen | Gegevens |
| --- | --- | --- |
| Accounts en inloggen | Studenten, docenten | Naam, e-mailadres; docenten ook een wachtwoord met tweestapsverificatie |
| Inloggen student | Studenten | E-maillink (magic link), geen wachtwoord |
| Profiel | Studenten | Weergavenaam, optioneel een profielfoto en een korte bio |
| Activiteitenlogboek | Studenten | Titel, omschrijving, datum, optioneel een link of bijlage |
| Beoordelingen | Beoordelaars | Sterscores per aspect, optioneel een opmerking en een naam; beoordelen kan anoniem, IP-adressen worden niet opgeslagen |
| Berichten | Docenten, studenten | Berichttekst en leesstatus |
| Audit-log | Docenten | Handelingen van beheerders (wie deed wat wanneer) |

Aanvullende verwerkingen van de instelling: [INVULLEN OF "GEEN"]

## 4. Subverwerkers

De verwerker gebruikt de volgende subverwerkers:

| Subverwerker | Rol | Regio |
| --- | --- | --- |
| Vercel | Hosting van de webapp en de geplande opschoontaak | Serverfuncties in de EU (Frankfurt), wereldwijd netwerk voor statische bestanden |
| Supabase | Database, authenticatie en bestandsopslag | EU (AWS Frankfurt, Duitsland) |
| Mailgun (Sinch) | E-mailverzending | EU-regio |
| Cloudflare | Spamcontrole bij registratie (Turnstile) | Wereldwijd netwerk |

Nieuwe subverwerkers meldt de verwerker vooraf aan de instelling. De
instelling kan binnen 30 dagen bezwaar maken.

## 5. Beveiliging

De verwerker neemt ten minste deze maatregelen (zie ook de IBP-verklaring):

- Toegangsbeveiliging per rij in de database (row level security), met een
  geautomatiseerde testsuite die de scheiding tussen organisaties bewaakt.
- Verplichte tweestapsverificatie (TOTP) voor docenten en beheerders,
  server-side afgedwongen.
- Versleuteling van verkeer (TLS) en van opslag (encryptie at rest bij de
  subverwerkers).
- Gegevensopslag binnen de EU (Frankfurt).
- Een audit-log van beheerhandelingen.
- Automatische verwijdering van projectgegevens na de bewaardatum
  (retentie), inclusief foto's.
- Eenmalige beoordeeltokens en rate limiting zonder opslag van IP-adressen.

## 6. Bewaartermijnen

Elk project heeft een bewaardatum die de docent ziet en kan aanpassen.
Standaard is dat 1 maand na het einde van het project. Na die datum wist het
systeem alle projectgegevens automatisch. De instelling exporteert de
resultaten voor die datum als zij die wil bewaren.

- Afwijkende bewaartermijn van de instelling: [INVULLEN OF "STANDAARD"]

## 7. Datalekken

De verwerker meldt een datalek dat (mogelijk) gegevens van de instelling
raakt zonder onnodige vertraging en uiterlijk binnen 72 uur na ontdekking aan
de contactpersoon van de instelling, met de aard van het lek, de getroffen
gegevens en de genomen maatregelen. De instelling beslist over melding aan de
Autoriteit Persoonsgegevens en aan betrokkenen. De verwerker werkt volgens
zijn interne datalek-runbook.

## 8. Rechten van betrokkenen

De verwerker helpt de instelling bij verzoeken om inzage, correctie of
verwijdering, binnen 4 weken na het verzoek.

## 9. Audit

De instelling mag de naleving van deze overeenkomst laten controleren. De
verwerker levert daarvoor de IBP-verklaring, de testrapportages en, na
redelijk verzoek, aanvullende informatie.

## 10. Einde van de overeenkomst

Bij het einde van de overeenkomst wist de verwerker alle persoonsgegevens
van de instelling, tenzij een wettelijke plicht bewaring vereist. De
instelling kan voor het einde een export opvragen.

## Ondertekening

| | Instelling | Verwerker |
| --- | --- | --- |
| Naam | [NAAM] | Eric Blaauboer |
| Functie | [FUNCTIE] | Eigenaar InternetID |
| Datum | [DATUM] | [DATUM] |
| Handtekening | | |