Verwerkersovereenkomst

Versie 1.1 – 26-8-2026 *

• Verwerkingsverantwoordelijke: de onderwijsinstelling/de school die gebruikmaakt van Hebban in de Klas  
• Verwerker: Stichting CPNB, gevestigd te Amsterdam  

Partijen worden hierna gezamenlijk aangeduid als “Partijen”.

Deze overeenkomst geldt voor de verwerking van persoonsgegevens door Verwerker in opdracht van de Onderwijsinstelling, in het kader van het gebruik van Hebban in de Klas.

De Onderwijsinstelling is verwerkingsverantwoordelijke. Verwerker verwerkt persoonsgegevens uitsluitend volgens instructies van de Onderwijsinstelling en conform de AVG.

De aard, het doel, de categorieën persoonsgegevens en betrokkenen zijn vastgelegd in Bijlage 1 (Privacybijsluiter).

Verwerker verwerkt persoonsgegevens:

• alleen voor het overeengekomen doel  
• niet voor eigen doeleinden

Verwerker:

• handelt uitsluitend op instructie van de Onderwijsinstelling  
• informeert de Onderwijsinstelling bij strijd met wetgeving  
• zorgt voor passende technische en organisatorische beveiliging  
• houdt een verwerkingsregister bij (indien vereist)  
• beperkt toegang tot persoonsgegevens tot bevoegde personen 

Alle persoonsgegevens worden vertrouwelijk behandeld.  

Iedereen die onder verantwoordelijkheid van Verwerker werkt, is gebonden aan geheimhouding.

Verwerker neemt passende beveiligingsmaatregelen conform artikel 32 AVG.  

De maatregelen zijn nader uitgewerkt in Bijlage 2 (Beveiligingsbijlage).

De Onderwijsinstelling heeft het recht om op eigen kosten en na overleg met CPNB naleving te controleren, bijvoorbeeld via audits.

• Verwerker meldt datalekken aan de Verantwoordelijke zonder onredelijke vertraging  
• Verwerker verstrekt alle relevante informatie  
• Partijen nemen passende maatregelen om schade te beperken  
• De Onderwijsinstelling is verantwoordelijk voor eventuele meldingen aan de toezichthouder
• Daarnaast is Verwerker in het geval van datalekken te allen tijde bevoegd om meldingen aan toezichthouder te doen.

Verwerkingsverantwoordelijke verleent hierbij aan Verwerker vooraf een algemene schriftelijke toestemming voor de inschakeling van derden (subverwerkers) ter uitvoering van deze overeenkomst, mits zij ten minste dezelfde beveiligingsverplichtingen opgelegd krijgen. De actuele lijst met subverwerkers is opgenomen in Bijlage 1  

Nieuwe subverwerkers en/of wijzigingen in subverwerkers worden binnen een termijn van dertig dagen gemeld aan Verwerkingsverantwoordelijke.

Verwerkingsverantwoordelijke heeft het recht om binnen zeven dagen na deze kennisgeving schriftelijk en gemotiveerd en op objectieve/aantoonbare redenen bezwaar te maken tegen de voorgenomen wijziging. 

Indien Verwerker geen alternatief kan of wil bieden, bijvoorbeeld omdat  dit commercieel of operationeel niet redelijk is voor Verwerker, heeft Verwerkingsverantwoordelijke het recht de Overeenkomst schriftelijk op te zeggen tegen de datum waarop de nieuwe Subverwerker wordt ingeschakeld.

Een opzegging op grond van dit artikel geeft Verwerkingsverantwoordelijke nimmer recht op enige schadevergoeding.

Doorgifte van persoonsgegevens buiten de EER vindt alleen plaats:

• met voorafgaande goedkeuring van de Onderwijsinstelling  
• en conform de AVG (bijv. via standaardcontractbepalingen)

Verwerker ondersteunt de Onderwijsinstelling:

• bij verzoeken van betrokkenen (inzage, verwijdering, etc.)  
• bij DPIA’s en toezicht door autoriteiten  
• na overleg en afstemming bij audits en onderzoeken

Verwerker zal op verzoek alle informatie verstrekken die nodig is voor het uitvoeren van een DPIA door de verwerkingsverantwoordelijke. Verwerkingsverantwoordelijk zal zorgen voor een zo volledig mogelijk verzoek.

Verwerker bewaart persoonsgegevens niet langer dan afgesproken.  

Na opzegging :

• worden gegevens teruggegeven of verwijderd  
• bevestigt Verwerker op verzoek van de Verwerkingsverantwoordelijke de vernietiging schriftelijk 

Afspraken over aansprakelijkheid zijn vastgelegd in artikel 8 van de Algemene Voorwaarden.  

Partijen blijven aansprakelijk volgens de AVG voor eigen tekortkomingen.

Deze overeenkomst loopt totdat de Verwerkingsverantwoordelijke deze schriftelijk opzegt of totdat de bewaartermijn van de verzamelde persoonsgegevens is verstreken.  

Na beëindiging blijven verplichtingen gelden totdat alle gegevens zijn verwijderd of teruggegeven.

Op deze overeenkomst is Nederlands recht van toepassing.  

Geschillen worden voorgelegd aan de bevoegde rechter.

• Bijlage 1: Privacybijsluiter (doeleinden, gegevens, betrokkenen)  
• Bijlage 2: Beveiligingsmaatregelen  

Aldus overeengekomen door Partijen.

Versie 1.0 – 30 juni 2026

Verwerker Stichting CPNB 
Contactpersoon: Marianne de Bruijn
E-mail: m.debruijn@cpnb.nl

Onderwijsinstelling Zoals vermeld op het aanmeldformulier. 
Deze contactpersoon is bevoegd om namens de Onderwijsinstelling instructies te geven.

Productnaam Hebban in de Klas

Verwerker Stichting CPNB

Website Verwerker www.cpnb.nl

Productpagina www.hebbanindeklas.nl

Korte omschrijving Hebban in de Klas is een digitaal leesplatform voor scholen. Het ondersteunt leerkrachten en leerlingen bij het stimuleren van leesplezier. Binnen een afgeschermde klasomgeving kunnen leerlingen gelezen boeken bijhouden, leestips delen, recensies schrijven en deelnemen aan leeschallenges. Leerkrachten kunnen leerlingen begeleiden en het leesgedrag binnen hun klas volgen.

Doelgroep Primair onderwijs, voortgezet onderwijs, en waar passend ook (v)so en mbo.

Gebruikers Leerlingen en medewerkers van de onderwijsinstelling, met name leerkrachten.

Kern van de dienst

Hebban in de Klas verwerkt persoonsgegevens voor de volgende functionele onderdelen, die onlosmakelijk onderdeel zijn van de dienst:

• het aanmaken en beheren van accounts voor leerkrachten en leerlingen;
• het bijhouden van gelezen boeken, boekenplanken en leesvoorkeuren;
• het plaatsen van tips, sterrenbeoordelingen en recensies;
• het deelnemen aan en volgen van leeschallenges;
• het bieden van een afgeschermde klasomgeving waarin leerkrachten leerlingen kunnen begeleiden;
• het beschikbaar maken van geanonimiseerde statistieken voor leerkrachten en, op schoolniveau, voor de Hebban in de Klas-coördinator.

Optionele of aanvullende functionaliteit

• Daarnaast kan een dashboard beschikbaar zijn met geanonimiseerde inzichten, zoals meest gelezen boeken. Daarbij worden geen direct herleidbare persoonsgegevens getoond.

Koppelingen en opslag

• De persoonsgegevens worden opgeslagen en verwerkt in Nederland. Hosting vindt plaats via Proserve. Ontwikkelwerkzaamheden worden uitgevoerd door Yuna. Voor analyse en onderzoek kunnen uitsluitend geanonimiseerde gegevens worden gedeeld met Stichting Lezen.

Persoonsgegevens worden uitsluitend verwerkt voor de volgende doeleinden:

• het beschikbaar stellen van toegang tot Hebban in de Klas;
• identificatie, authenticatie en autorisatie van gebruikers;
• het ondersteunen van leesbevordering en begeleiding van leerlingen;
• het vastleggen en inzichtelijk maken van leesactiviteiten, zoals gelezen boeken en leesvoorkeuren;
• het bieden van inzicht aan leerkrachten in het leesgedrag van hun klas;
• het uitvoeren van beheer, onderhoud, back-ups, ondersteuning en verbetering van het platform;
• het genereren van geanonimiseerde statistieken ten behoeve van gebruiksinzichten en kwaliteitsverbetering.

Persoonsgegevens worden niet verwerkt voor reclame, profiling of commerciële benadering van leerlingen of leerkrachten.

Betrokkenen

Hebban in de Klas verwerkt persoonsgegevens van:

• leerlingen;
• medewerkers van de onderwijsinstelling, met name leerkrachten.

Er worden geen persoonsgegevens van ouders/verzorgers verwerkt.

Categorieën persoonsgegevens

Van leerlingen

• voornaam en achternaam;
• school-e-mailadres;
• profielinformatie die de leerling zelf toevoegt, zoals profieltekst;
• eventueel profielfoto;
• gegevens over gebruik van het platform, zoals gelezen boeken, boekenplanken, recensies, beoordelingen en deelname aan challenges;
• log- en gebruikersgegevens voor beheer en beveiliging.

Van medewerkers

• voornaam en achternaam;
• school-e-mailadres;
• eventueel profielfoto;
• gegevens die samenhangen met het gebruik van het platform en het beheer van de klasomgeving.

Geen verwerking van bijzondere persoonsgegevens

Hebban in de Klas verwerkt geen bijzondere persoonsgegevens zoals medische gegevens, religie, nationaliteit of BSN.

Bewaartermijnen

Persoonsgegevens worden niet langer bewaard dan noodzakelijk voor het doel van de verwerking.

Uitgangspunt is:

• gegevens van leerlingen blijven bewaard zolang de school gebruikmaakt van Hebban in de Klas en de leerling deel uitmaakt van een actieve klas;
• leerlinggegevens van accounts die langdurig inactief zijn, worden uiterlijk verwijderd wanneer de leerling langer dan vijf jaar inactief is;
• gegevens worden eerder verwijderd indien de Onderwijsinstelling daarom verzoekt en dit verenigbaar is met de inrichting en het doel van het platform.

Alle persoonsgegevens worden opgeslagen en verwerkt in Nederland.

Er vindt geen doorgifte van persoonsgegevens plaats naar landen buiten de EU.

Verwerker maakt gebruik van de volgende subverwerkers:

Proserve  

• Taak: hosting en infrastructuur  
• Verwerking: opslag en beschikbaarheid van systemen en databases  
• Locatie verwerking: Nederland

Yuna  

• Taak: technisch beheer, development en doorontwikkeling van het platform  
• Verwerking: kan in het kader van onderhoud of technische werkzaamheden toegang hebben tot systemen en databases  
• Locatie verwerking: Nederland

Stichting Lezen  

• Taak: analyse en onderzoek  
• Verwerking: uitsluitend op basis van geanonimiseerde gegevens  
• Locatie verwerking: Nederland

Persoonsgegevens worden opgeslagen in een beveiligde omgeving. Alleen bevoegde personen hebben toegang, en uitsluitend voor zover dat noodzakelijk is voor hun werkzaamheden. Verwerker treft passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, onbevoegde toegang en onrechtmatige verwerking. Deze maatregelen zijn nader uitgewerkt in Bijlage 2.

Versie 1.0 – 30 juni 2026

Verwerker neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking. Deze maatregelen zijn afgestemd op de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doeleinden van de verwerking en de risico’s voor betrokkenen.

Verwerker treft in ieder geval de volgende maatregelen:

• Verwerker hanteert intern beleid voor informatiebeveiliging en privacy.
• Medewerkers die toegang hebben tot persoonsgegevens zijn gebonden aan geheimhouding.
• Toegang tot persoonsgegevens wordt alleen verleend voor zover dit noodzakelijk is voor de uitvoering van de werkzaamheden.

• Systemen zijn beveiligd met passende authenticatiemaatregelen, zoals sterke wachtwoorden en waar passend meervoudige authenticatie.
• Toegangsrechten worden toegekend op basis van rol en noodzaak, en periodiek gecontroleerd.
• Toegang van oud-medewerkers of niet langer bevoegde personen wordt tijdig beëindigd.

• Persoonsgegevens worden waar passend versleuteld opgeslagen en verzonden.
• Verwerker beschermt systemen tegen ongeautoriseerde toegang, malware en misbruik.
• Beveiligingsupdates en patches worden tijdig uitgevoerd.

• Verwerker maakt back-ups waar dat nodig is voor de continuïteit van de dienstverlening.
• Verwerker neemt maatregelen om verlies van gegevens of langdurige onbeschikbaarheid van systemen te voorkomen of te beperken.
• Herstelmaatregelen worden periodiek getest waar dat passend is.

• Verwerker registreert beveiligingsrelevante gebeurtenissen en bewaakt systemen op misbruik en ongeautoriseerde toegang.
• Waar passend worden logbestanden gebruikt voor controle, onderzoek en herstel.

• Verwerker beschikt over een procedure voor het signaleren, registreren, onderzoeken en afhandelen van beveiligingsincidenten en datalekken.
• Verwerker meldt datalekken aan Onderwijsinstelling binnen 24 uur na de ontdekking, conform de verwerkersovereenkomst.

• Verwerker maakt met subverwerkers schriftelijke afspraken over een gelijkwaardig niveau van beveiliging en vertrouwelijkheid.
• Verwerker ziet erop toe dat subverwerkers deze afspraken naleven.

Verwerker beoordeelt de beveiligingsmaatregelen periodiek en past deze zo nodig aan op basis van technische ontwikkelingen, gewijzigde risico’s of wijzigingen in de dienstverlening.

Op verzoek van Onderwijsinstelling zal Verwerker in redelijkheid nadere informatie verstrekken over de genomen beveiligingsmaatregelen, voor zover dat nodig is om naleving van de afspraken en toepasselijke wetgeving aannemelijk te maken.

---------------------------------------------------------

*  Wijzigingen t.o.v. versie 1:

Artikel 9: “met toestemming van de Onderwijsinstelling” veranderd in “voorafgaande goedkeuring”
Artikel 10: Toegevoegd: Verwerker zal op verzoek alle informatie verstrekken die nodig is voor het uitvoeren van een DPIA door de verwerkingsverantwoordelijke. Verwerkersverantwoordelijke zal zorgen voor een zo volledig mogelijk verzoek.
Bijlage 2, artikel 6: “zonder onredelijke vertraging” aangepast naar het concretere “binnen 24 uur na ontdekking”