Privacyverklaring

E-MR biedt een online platform waarmee medezeggenschapsraden in het onderwijs hun vergaderstukken, agenda’s, notulen, besluiten en actiepunten beheren. Om die dienst te kunnen leveren en onze administratie te voeren, verwerken wij persoonsgegevens. In deze verklaring leggen wij uit welke gegevens dat zijn, waarom wij ze verwerken, hoe lang wij ze bewaren en welke rechten u heeft.

E-MR is een vennootschap onder firma, gevestigd aan de Oostzeedijk 54, 3063 BD Rotterdam, ingeschreven in het handelsregister van de Kamer van Koophandel onder nummer 42114891. U bereikt ons via info@e-mr.nl.

Twee rollen: wanneer bent u bij ons aan het juiste adres?

Wij verwerken persoonsgegevens in twee verschillende rollen. Dat bepaalt bij wie u terechtkunt met een vraag of verzoek.

Als verwerker. De documenten en vergaderinformatie die in het platform staan, verwerken wij uitsluitend in opdracht van de onderwijsinstelling. Zij bepaalt welke gegevens erin komen, wie toegang krijgt en hoe lang de gegevens bewaard blijven. Dat geldt ook voor de accountgegevens van gebruikers: naam, e-mailadres, rol en inloggegevens verwerken wij namens de school. Zij is daarvoor verwerkingsverantwoordelijke. Wij hebben met elke onderwijsinstelling een verwerkersovereenkomst gesloten. Gaat uw vraag over gegevens in het platform, dan verloopt die via uw onderwijsinstelling; wij verlenen daaraan onze medewerking.

Als verwerkingsverantwoordelijke. Voor een beperkt aantal verwerkingen bepalen wij zelf het doel en de middelen: onze klant- en contactadministratie, onze facturatie, de beveiliging van het platform en het contact via onze website. Daarover gaat de rest van deze verklaring.

Welke gegevens wij verwerken en waarom

Gegevens in het platform (namens uw school). Krijgt u via de school toegang, dan verwerken wij: uw naam, e-mailadres en rol binnen de medezeggenschap; de raad of sectie (PMR, OMR, LMR) en de looptijd van uw lidmaatschap; uw vergaderactiviteit, zoals aanwezigheid, agendapunten, actiepunten en notulen; de documenten die u uploadt; en de inhoud van schriftelijke vragen. Kiest u zelf voor de persoonlijke agenda-feed, dan hoort daarbij een persoonlijk agenda-token. Uw wachtwoord kunnen wij niet lezen: het staat alleen als onomkeerbare versleuteling (scrypt-hash) in onze eigen database. Wij houden ook een logboek bij van wijzigingen en van inzage in vergaderstukken; dat bewaren wij dertien maanden. De school bepaalt welke gegevens in het platform komen en hoe lang ze bewaard blijven.

Personen die in stukken voorkomen. In documenten, agenda’s, notulen en besluiten kunnen ook andere personen worden genoemd, zoals personeelsleden, ouders, leerlingen en derden. De school bepaalt wat er in die stukken staat. Daarbij kunnen bijzondere persoonsgegevens voorkomen, bijvoorbeeld gegevens over gezondheid in verzuim- of re-integratiestukken. De school is verantwoordelijk voor de rechtmatigheid daarvan. Het platform is niet bedoeld voor het burgerservicenummer (BSN); de school draagt er zorg voor dat er geen BSN’s in het platform worden geplaatst.

Contactgegevens van het bevoegd gezag. Naam, functie, e-mailadres en telefoonnummer van de contactpersonen bij de onderwijsinstelling. Wij gebruiken deze om de overeenkomst uit te voeren, om over de dienst te communiceren en om storingen en wijzigingen te melden. Grondslag: de uitvoering van de overeenkomst en ons gerechtvaardigd belang bij het onderhouden van de klantrelatie.

Facturatie- en administratiegegevens. Factuuradres, factuurgegevens en betaalgegevens van de onderwijsinstelling, inclusief de daarbij horende contactpersoon. Wij verwerken deze om te factureren en om onze administratie te voeren. Grondslag: de uitvoering van de overeenkomst en onze wettelijke fiscale bewaarplicht.

Log- en beveiligingsgegevens. Om het platform veilig en werkend te houden, leggen wij technische gegevens vast, zoals het tijdstip en het soort gebeurtenis (bijvoorbeeld inloggen, uploaden of verwijderen). In het logboek dat raadsleden kunnen inzien staan geen IP-adressen, cookies of e-mailadressen. Wij gebruiken deze gegevens om misbruik te herkennen, storingen op te lossen en beveiligingsincidenten te onderzoeken, en om de onderwijsinstelling desgevraagd inzage te geven in het gebruik van haar eigen omgeving. Grondslag: ons gerechtvaardigd belang bij de beveiliging en de goede werking van de dienst.

Contact via onze website of per e-mail. Neemt u contact met ons op of vraagt u een demo aan, dan verwerken wij de gegevens die u ons stuurt: uw naam, uw e-mailadres, de organisatie waarvoor u werkt en de inhoud van uw bericht. Wij gebruiken die alleen om uw vraag te beantwoorden en om een eventueel aanbod uit te brengen. Grondslag: uw verzoek en ons gerechtvaardigd belang bij het beantwoorden daarvan.

Wij verwerken uw gegevens niet voor reclamedoeleinden, sturen geen ongevraagde aanbiedingen aan gebruikers van het platform, en verkopen uw gegevens niet aan derden. Wij nemen geen besluiten op basis van geautomatiseerde verwerking die gevolgen voor u hebben.

De mobiele app

De app verwerkt een paar dingen die de webapp niet doet:

• Push-notificaties. Zet u die aan, dan slaan wij een notificatietoken van uw toestel op. Dat token identificeert het toestel, niet u persoonlijk. De aflevering verloopt via de pushdienst van Apple. U kunt notificaties op elk moment uitzetten in de iOS-instellingen; het token wordt verwijderd zodra u uitlogt.
• De inhoud van notificaties bevat nooit persoonsgegevens. Een melding zegt bijvoorbeeld “Nieuwe vergadering beschikbaar” en bevat verder alleen een verwijzing; de app haalt de details pas op nadat u de melding opent. Zo staat er nooit vertrouwelijke informatie op uw vergrendelscherm.
• Face ID en Touch ID. Gebruikt u de vergrendeling, dan verwerkt uw iPhone die controle volledig lokaal. Wij ontvangen geen biometrische gegevens en kunnen die ook niet opvragen.
• Agenda. Alleen als u zelf op “in agenda zetten” tikt. De app vraagt uitsluitend schrijfrechten en leest uw agenda niet.

De app bevat geen tracking, geen advertentie-identificatie (IDFA) en geen analytics van derden. U krijgt daarom ook geen toestemmingsvraag voor tracking te zien.

Wie uw gegevens verder verwerken

Wij schakelen dienstverleners in die bij het leveren van de dienst persoonsgegevens voor ons verwerken. Het gaat om:

Daarnaast verstrekken wij gegevens als de wet ons daartoe verplicht. In dat geval controleren wij eerst de grondslag en de identiteit van de partij die daarop een beroep doet.

Verwerking buiten de Europese Economische Ruimte

De verwerking — de database, de documentopslag, de hosting, de authenticatie en de e-mailverzending — vindt volledig plaats binnen de Europese Economische Ruimte. De authenticatie is in eigen beheer op onze eigen infrastructuur in Frankfurt, en de e-mailverzending loopt via Scaleway in Parijs. Beide verwerken geen persoonsgegevens buiten de EER.

Een aantal van de hierboven genoemde partijen (Neon, AWS, Vercel, Sentry) heeft een Amerikaans moederbedrijf, maar verwerkt de gegevens binnen de EER.

Hoe lang wij gegevens bewaren

• Accountgegevens: zolang uw account bestaat. Bent u geen lid meer van enige raad, dan anonimiseren wij uw account na dertig dagen: uw naam, e-mailadres, profielfoto, voorkeuren en persoonlijke agenda-feed verdwijnen. Uw bijdragen aan het medezeggenschapsdossier blijven bestaan, maar zijn dan niet meer naar u herleidbaar.
• Gegevens in het platform: na het einde van de overeenkomst houdt de onderwijsinstelling nog zestig dagen toegang om een export te maken. Daarna verwijderen wij de gegevens binnen dertig dagen. Back-upkopieën rouleren vervolgens uit: het herstelvenster van de database is zeven dagen, kopieën in de database verdwijnen binnen veertien dagen, de dagelijkse momentopnamen bewaren wij dertig dagen en kopieën in de documentopslag verdwijnen binnen negentig dagen. Deze back-ups zijn uitsluitend bestemd voor herstel.
• Facturatie- en administratiegegevens: zeven jaar, op grond van de fiscale bewaarplicht.
• Log- en beveiligingsgegevens: dertien maanden voor het logboek in het platform, waarin wijzigingen en inzage in vergaderstukken worden vastgelegd.
• Contactgegevens van onze klantrelatie: zolang wij zakelijk contact hebben en daarna maximaal twaalf maanden na het laatste contact. Deze gegevens verwerken wij voor eigen doeleinden; de verwerkersovereenkomst verwijst daarvoor naar deze verklaring.

Beveiliging

Wij nemen passende technische en organisatorische maatregelen om uw gegevens te beschermen. Onder meer:

• alle gegevens worden onderweg versleuteld via TLS (HTTPS);
• gegevens in rust worden versleuteld opgeslagen in de database en de documentopslag;
• de database maakt gebruik van row-level security, zodat de gegevens van een onderwijsinstelling alleen binnen haar eigen omgeving toegankelijk zijn;
• de authenticatie is in eigen beheer, met een wachtwoordbeleid en de mogelijkheid van meerfactorauthenticatie;
• binnen E-MR hebben uitsluitend de twee vennoten toegang tot persoonsgegevens, en alleen voor zover dat nodig is om de dienst te leveren en ondersteuning te bieden;
• wij houden een register bij van beveiligingsincidenten en datalekken en evalueren onze maatregelen periodiek.

Ontdekt u een kwetsbaarheid of vermoedt u dat iemand onbevoegd toegang heeft tot gegevens? Meld dat dan zo snel mogelijk via info@e-mr.nl.

Cookies

E-MR gebruikt uitsluitend cookies die noodzakelijk zijn om de dienst te laten werken en te beveiligen: ze houden uw inlogsessie vast en beschermen de inlogdienst tegen misbruik. Wij plaatsen geen trackingcookies, gebruiken geen advertentienetwerken en meten uw surfgedrag niet. Voor noodzakelijke cookies is geen toestemming vereist en wij vragen die daarom ook niet.

De sessiecookie wordt pas geplaatst op het moment dat u inlogt, niet daarvoor. Bezoekt u onze openbare pagina’s zonder in te loggen, dan plaatsen wij dus geen enkele cookie. De cookie wordt geplaatst door onze eigen inlogdienst, die in ons eigen platform draait en de authenticatie en de beveiliging daarvan verzorgt.

In de demo-omgeving plaatsen wij daarnaast een cookie om de demonstratierol te onthouden. Die wordt alleen gezet als u zelf een demo start; voor gewone gebruikers in productie geldt dat niet.

U kunt cookies via uw browserinstellingen verwijderen of blokkeren. Blokkeert u deze cookies, dan kunt u niet inloggen.

Uw rechten

U heeft het recht om uw persoonsgegevens in te zien, te laten corrigeren of te laten verwijderen. Ook kunt u ons vragen de verwerking te beperken, bezwaar maken tegen de verwerking en uw gegevens laten overdragen. Heeft u toestemming gegeven, dan kunt u die op elk moment intrekken.

Wilt u van een van deze rechten gebruikmaken, stuur dan een bericht naar info@e-mr.nl. Wij reageren zo snel mogelijk en uiterlijk binnen één maand. Wij kunnen u vragen zich te identificeren, zodat wij zeker weten dat het verzoek van u afkomstig is.

Gaat uw verzoek over gegevens die in het platform staan, dan verloopt het via uw onderwijsinstelling. Zij is daarvoor verwerkingsverantwoordelijke. Wij sturen uw verzoek in dat geval door en verlenen de instelling onze medewerking.

Klacht indienen

Bent u het niet eens met de manier waarop wij met uw gegevens omgaan, neem dan eerst contact met ons op. Komen wij er samen niet uit, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

Wijzigingen

Wij kunnen deze privacyverklaring wijzigen. De actuele versie staat altijd op onze website. Heeft u vragen over deze verklaring of over de verwerking van uw persoonsgegevens, neem dan contact op via info@e-mr.nl.

Contact