Privacy

Privacyverklaring

Versie 0.3 (concept), vrijdag 9 oktober 2026.

Deze verklaring is opgesteld met hulp van een AI-assistent en nog niet gecontroleerd door een jurist of functionaris gegevensbescherming. Waar "TODO" staat, moet de eigenaar nog iets invullen of laten controleren.

In het kort

School-Agent bewaart wat nodig is om je rooster, materiaal en gesprekken te tonen, in je eigen map. Andere deelnemers zien jouw gegevens niet.
Als je de agent een vraag stelt, gaat die vraag met een deel van je gegevens naar de aanbieder van het taalmodel (Anthropic), buiten de EU.
Je HZ-wachtwoord komt nooit bij ons. De koppeling met HZ Learn gebruikt een token dat alleen leest.
Alles heeft een bewaartermijn; een taak ruimt elke nacht op wat over de termijn is.
Je kunt je gegevens downloaden en je account met alles erop zelf verwijderen.

Wie is verantwoordelijk

Verantwoordelijk voor de verwerking: TODO: naam en vestiging verantwoordelijke.

Contact over privacy, ook als je geen account hebt: TODO: contactroute.

Welke gegevens, waarom en met wie

Je accountnaam en je wachtwoord. Het wachtwoord bewaren we alleen als hash (argon2): daaruit is het niet terug te halen.

Waarom: Om in te loggen.
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 onder b AVG): je vroeg om de dienst, en zonder deze gegevens werkt hij niet. Voorstel. TODO: laten controleren.
Waar: Op de server, in het accountbestand.
Hoe lang: Zolang je account bestaat. Verwijder je je account zelf, dan is het meteen weg; vraag je het via de contactroute, dan binnen 30 dagen. Log je 12 maanden niet in, dan krijg je een waarschuwing en wordt je account 30 dagen later verwijderd.
Wie krijgt het: Niemand.

Je roosterlink (TimeEdit), de naam waarmee de agent je aanspreekt, je blok en vakken, je school en hoe ver je bent met instellen.

Waarom: Om je rooster, opdrachten en materiaal per vak te tonen.
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 onder b AVG): je vroeg om de dienst, en zonder deze gegevens werkt hij niet. Voorstel. TODO: laten controleren.
Waar: Op de server, in je eigen map.
Hoe lang: Zolang je account bestaat. Verwijder je je account zelf, dan is het meteen weg; vraag je het via de contactroute, dan binnen 30 dagen. Log je 12 maanden niet in, dan krijg je een waarschuwing en wordt je account 30 dagen later verwijderd.
Wie krijgt het: TimeEdit krijgt een verzoek met je roosterlink als de server je rooster ophaalt.

Je koppeling met HZ Learn: een token, je Learn-gebruikersnummer en wanneer je koppelde. Je HZ-wachtwoord komt nooit bij ons: je logt zelf in bij de HZ.

Waarom: Om je cursussen, lesmateriaal, opdrachten en agenda op te halen.
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 onder b AVG): je vroeg om de dienst, en zonder deze gegevens werkt hij niet. Voorstel. TODO: laten controleren.
Waar: Op de server, in je eigen map. Het token staat er onversleuteld, alleen leesbaar voor het programma zelf (bestandsrechten). Versleutelen wordt onderzocht.
Hoe lang: Weg zodra je ontkoppelt, binnen een dag nadat HZ Learn het token weigert, en als je account verwijderd wordt.
Wie krijgt het: HZ Learn (learn.hz.nl) ziet de verzoeken die de server met je token doet. TODO: eigenaar (afspraken met de HZ over deze koppeling).

Lesmateriaal, opdrachtomschrijvingen en de agenda uit HZ Learn (een kopie), en bestanden die je zelf toevoegt.

Waarom: Zodat de agent je materiaal kan lezen en Opdrachten en Materiaal werken.
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 onder b AVG): je vroeg om de dienst, en zonder deze gegevens werkt hij niet. Voorstel. TODO: laten controleren.
Waar: Op de server, in je eigen map.
Hoe lang: Weg als je ontkoppelt of je account verwijdert; je kunt het opnieuw ophalen. Bestanden die je zelf toevoegde blijven tot je je account verwijdert.
Wie krijgt het: Stukken die de agent voor een vraag leest gaan naar Anthropic (zie hieronder).

Je gesprekken met de agent: je vragen, de antwoorden, het vak en welk model antwoordde. Concepten die de agent voor je maakt.

Waarom: Zodat je verder kunt waar je was en je eerdere gesprekken terugziet.
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 onder b AVG): je vroeg om de dienst, en zonder deze gegevens werkt hij niet. Voorstel. TODO: laten controleren.
Waar: Op de server, in je eigen map.
Hoe lang: 12 maanden na de laatste keer dat er iets in veranderde. Je kunt een gesprek altijd eerder wissen.
Wie krijgt het: Anthropic en TypeSafe, zie hieronder.

Wat er per vraag naar het taalmodel gaat: je naam zoals je die bij het instellen opgaf, je opleiding, je rooster van deze en volgende week, je deadlines, de lijst van je materiaal, eerdere vragen en antwoorden uit hetzelfde gesprek, je vraag, en de stukken materiaal die de agent leest, de bestanden die je zelf bij je vraag voegt (het begin van hun tekst staat in de vraag, de rest leest de agent als dat nodig is), en de tekst van webpagina's die hij op jouw verzoek of via een zoekresultaat leest.

Waarom: Om je vraag te beantwoorden.
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 onder b AVG): je vroeg om de dienst, en zonder deze gegevens werkt hij niet. Voorstel. TODO: laten controleren.
Waar: Niet apart bewaard: het gesprek zelf staat in je map. De agent bewaart geen kopie van de aanroep op de server.
Hoe lang: 12 maanden na de laatste keer dat er iets in veranderde. Je kunt een gesprek altijd eerder wissen.
Wie krijgt het: Anthropic (Claude). Bij vragen in Gesprek gaat je vraag eerst naar TypeSafe (Jev), met de naam van het vak en je vorige vraag, om te kiezen welk model antwoordt. TypeSafe krijgt geen materiaal, rooster of naam.

Verbruik: hoeveel vragen, hoeveel tokens, wat het kostte en welk model, per vraag en per dag. Niet de inhoud van je vraag.

Waarom: Om de kosten te bewaken en misbruik te zien.
Grondslag: Gerechtvaardigd belang (art. 6 lid 1 onder f AVG) van de eigenaar: de kosten van de dienst bewaken. Daarvoor hoort een afweging tegen jouw belangen; die moet nog op papier. Voorstel. TODO: laten controleren.
Waar: Op de server: per account in je map, en een totaal per account bij de eigenaar.
Hoe lang: Per vraag 12 maanden; daarna alleen het totaal per account, dat met je account weggaat.
Wie krijgt het: Niemand.

Wat de eigenaar bijhoudt (CRM): je e-mailadres en opleiding uit je pilotaanmelding, wanneer je inlogde en actief was, welke onderdelen je gebruikt (aantallen), problemen die je tegenkwam, notities en contactmomenten van de eigenaar.

Waarom: Om je te helpen en contact te houden tijdens de pilot.
Grondslag: Gerechtvaardigd belang (art. 6 lid 1 onder f AVG) van de eigenaar: de pilot begeleiden en problemen oplossen. Daarvoor hoort een afweging tegen jouw belangen; die moet nog op papier. Voorstel. TODO: laten controleren.
Waar: Op de server, in een bestand dat alleen de eigenaar ziet.
Hoe lang: Zolang je account bestaat; gaat mee weg met je account.
Wie krijgt het: Niemand.

Meldingen die je maakt: titel, beschrijving, het scherm waar je was, je naam en een optioneel cijfer.

Waarom: Om het probleem op te lossen.
Grondslag: Gerechtvaardigd belang (art. 6 lid 1 onder f AVG) van de eigenaar: problemen in de dienst oplossen. Daarvoor hoort een afweging tegen jouw belangen; die moet nog op papier. Voorstel. TODO: laten controleren.
Waar: Op de server, in een bestand dat alleen de eigenaar ziet.
Hoe lang: 12 maanden nadat de melding is afgehandeld. Verwijder je je account, dan gaan afgehandelde meldingen meteen weg en verdwijnt je naam bij open meldingen.
Wie krijgt het: Niemand.

Je pilotaanmelding: naam, e-mailadres, school en opleiding.

Waarom: Om te kiezen wie meedoet en je een uitnodiging te sturen.
Grondslag: Op jouw verzoek, vóór een overeenkomst (art. 6 lid 1 onder b AVG): je vraagt zelf om mee te doen. Voorstel. TODO: laten controleren.
Waar: Op de server, in een bestand dat alleen de eigenaar ziet.
Hoe lang: 3 maanden na je aanmelding of na de uitnodiging. Maak je een account, dan blijft hij zolang je account bestaat.
Wie krijgt het: Niemand. De eigenaar mailt je zelf.

Pushmeldingen, als je die aanzet: per toestel het adres bij de pushdienst en twee sleutels om meldingen te versleutelen, en de naam van het toestel.

Waarom: Om je een melding te sturen bij een roosterwijziging of nieuw materiaal.
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 onder b AVG): je vroeg om de dienst, en zonder deze gegevens werkt hij niet. Voorstel. TODO: laten controleren.
Waar: Op de server, in je eigen map.
Hoe lang: Weg zodra je meldingen uitzet, zodra de pushdienst zegt dat het toestel niet meer bestaat, en als je account verwijderd wordt.
Wie krijgt het: De pushdienst van je browser (Apple, Google, Mozilla of Microsoft) bezorgt de melding. De inhoud is versleuteld; de dienst ziet wel dát er een melding is.

Je akkoord met de voorwaarden: welke versie, wanneer, en welke versie van deze verklaring erbij hoorde.

Waarom: Om te laten zien waarmee je akkoord ging.
Grondslag: Gerechtvaardigd belang (art. 6 lid 1 onder f AVG) van de eigenaar: kunnen aantonen welke afspraken golden. Daarvoor hoort een afweging tegen jouw belangen; die moet nog op papier. Voorstel. TODO: laten controleren.
Waar: Op de server, in je eigen map.
Hoe lang: Zolang je account bestaat; gaat mee weg met je account.
Wie krijgt het: Niemand.

Technische logboeken: het IP-adres en de pagina van elk verzoek (zonder het deel na het vraagteken), je account-id bij achtergrondtaken, namen van opgehaalde bestanden, foutmeldingen. Geen wachtwoorden, geen tokens en geen inhoud van je vragen.

Waarom: Om storingen en misbruik te onderzoeken.
Grondslag: Gerechtvaardigd belang (art. 6 lid 1 onder f AVG) van de eigenaar: de dienst veilig en werkend houden. Daarvoor hoort een afweging tegen jouw belangen; die moet nog op papier. Voorstel. TODO: laten controleren.
Waar: Op de server, en in de logboeken van de hosting. TODO: eigenaar (bewaartermijn van de logboeken bij de hosting).
Hoe lang: Elke 30 dagen leeggemaakt.
Wie krijgt het: Niemand, behalve de hosting.

Hoe lang we het bewaren

Er is geen wet die één maximale bewaartermijn voor deze gegevens geeft. De AVG zegt dat gegevens niet langer bewaard worden dan nodig is voor het doel (art. 5 lid 1 onder e AVG). Daarom heeft elk soort gegeven een eigen termijn met een reden. TODO: laten controleren.

Gegeven	Hoe lang	Waarom
Je account: naam, wachtwoord (alleen als onleesbare hash), rooster, blok, instellingen en voortgang van het instellen	Zolang je account bestaat. Verwijder je je account zelf, dan is het meteen weg; vraag je het via de contactroute, dan binnen 30 dagen. Log je 12 maanden niet in, dan krijg je een waarschuwing en wordt je account 30 dagen later verwijderd. TODO: termijn bij inactiviteit kiezen.	Nodig om de dienst te leveren.
Je akkoord met de voorwaarden (welke versie, wanneer)	Zolang je account bestaat; gaat mee weg met je account.	Laten zien waar je mee akkoord ging.
Je koppeling met HZ Learn (het token) en oude inlogbestanden	Weg zodra je ontkoppelt, binnen een dag nadat HZ Learn het token weigert, en als je account verwijderd wordt.	Geen reden om het langer te houden.
Lesmateriaal en opdrachten uit HZ Learn (een kopie)	Weg als je ontkoppelt of je account verwijdert; je kunt het opnieuw ophalen. Bestanden die je zelf toevoegde blijven tot je je account verwijdert.	Het materiaal is niet van ons.
Gesprekken met de agent, ook de korte notitie die de keuzehulp per vraag bijhoudt, en concepten	12 maanden na de laatste keer dat er iets in veranderde. Je kunt een gesprek altijd eerder wissen. TODO: termijn kiezen.	Niet langer nodig dan een studiejaar.
Pilotaanmelding (naam, e-mail, school, opleiding) zonder account	3 maanden na je aanmelding of na de uitnodiging. Maak je een account, dan blijft hij zolang je account bestaat. TODO: termijn kiezen.	Alleen nodig om te kiezen wie meedoet en om uit te nodigen.
Wat de eigenaar over je bijhoudt: contact, opleiding, notities, activiteit	Zolang je account bestaat; gaat mee weg met je account.	Contact en hulp tijdens de pilot.
Meldingen die je maakte	12 maanden nadat de melding is afgehandeld. Verwijder je je account, dan gaan afgehandelde meldingen meteen weg en verdwijnt je naam bij open meldingen. TODO: termijn kiezen.	Hulp bij problemen.
Verbruik: hoeveel vragen, tokens en kosten, zonder de inhoud	Per vraag 12 maanden; daarna alleen het totaal per account, dat met je account weggaat. TODO: termijn kiezen; laten controleren.	Kosten bewaken. Er wordt nu niets betaald, dus er is geen fiscale bewaarplicht om te volgen.
Pushmeldingen: welk toestel en het adres bij de pushdienst	Weg zodra je meldingen uitzet, zodra de pushdienst zegt dat het toestel niet meer bestaat, en als je account verwijderd wordt.	Zonder dat adres komt er geen melding aan.
Technische logboeken van de server	Elke 30 dagen leeggemaakt. TODO: termijn kiezen; ook de logboeken van de hosting zelf instellen.	Storingen en misbruik kunnen onderzoeken.
Back-ups	Er is nu geen automatische back-up van deze gegevens. Komt die er, dan geldt een vaste, korte termijn, zodat verwijderde gegevens daar vanzelf uit verdwijnen. TODO: eigenaar: zie docs/privacy/gegevens-niet-kwijtraken.md.

Wie er buiten School-Agent iets van ziet

Partij	Wat	Waar	Afspraken
Anthropic (Claude), de aanbieder van het taalmodel	Wat er per vraag naar het taalmodel gaat (zie hierboven), en afbeeldingen van dia's zonder tekst, om ze te laten lezen.	Anthropic is een Amerikaans bedrijf: verwerking buiten de EU.	TODO: verwerkersovereenkomst of voorwaarden controleren (doorgifte buiten de EU, hoe lang Anthropic gegevens bewaart, of ze voor training gebruikt worden).
Websites die de agent opent, en het zoeken op het web	Het adres van de pagina die jij de agent liet lezen, of die uit een zoekresultaat kwam, en het IP-adres van de server (niet het jouwe). Er gaan geen cookies, geen inloggegevens en geen gegevens van jou mee. Zoekopdrachten voor het web worden uitgevoerd via Anthropic. Interne adressen opent de agent nooit.	Overal waar die websites staan.	Geen afspraken met die websites; wat zij met het verzoek doen valt buiten onze invloed. TODO: voorwaarden van Anthropic voor de zoekfunctie controleren.
TypeSafe (Jev), de keuzehulp vóór de agent	Je vraag (tot 2.000 tekens), de naam van het vak en je vorige vraag uit hetzelfde gesprek. Alleen voor accounts waarvoor de agent aanstaat.	TODO: niet vastgesteld waar TypeSafe gegevens verwerkt.	TODO: verwerkersovereenkomst of voorwaarden controleren.
De hosting van de server (school-agent.app)	Alles wat op de server staat, en de logboeken.	TODO: eigenaar (welke partij, welk land).	TODO: verwerkersovereenkomst of voorwaarden controleren.
Pushdiensten: Apple, Google, Mozilla, Microsoft	Het adres van je toestel en een versleutelde melding.	Amerikaanse bedrijven: verwerking (mogelijk) buiten de EU.	TODO: voorwaarden controleren. Alleen als je meldingen aanzet.
unpkg.com, voor een stukje code van de site (htmx)	Je browser haalt dit bij elke pagina op; unpkg ziet dan je IP-adres en browser.	TODO: niet vastgesteld.	TODO: eigenaar (dit bestand zelf op de server zetten, dan valt deze partij weg).
GitHub	Alleen bij een installatie op de eigen computer van de eigenaar: een back-upscript zet de code en de eigen notities en concepten van de eigenaar in een privérepository. Gegevens van andere accounts en geheimen gaan daar niet heen; het script weigert ze.	Amerikaans bedrijf: verwerking buiten de EU.	TODO: voorwaarden controleren.
HZ (learn.hz.nl) en TimeEdit	De verzoeken die de server namens jou doet: met je Learn-token voor je cursussen, materiaal en agenda; met je roosterlink voor je rooster. Ze krijgen niets van School-Agent dat ze niet al hebben.	Bronnen van je eigen gegevens.	TODO: eigenaar (afspraken met de HZ over de Learn-koppeling).

School-Agent verkoopt geen gegevens en gebruikt ze niet voor reclame.

De koppeling met HZ Learn

Je logt zelf in bij de HZ, in een venster op de pagina. Daarna bewaart School-Agent een token van HZ Learn. Met dat token doet School-Agent alleen dit:

je account bevestigen
je lijst met cursussen ophalen
de inhoud van een cursus ophalen
opdrachten en de stand van je inlevering bekijken
je agenda met deadlines ophalen
bestanden van learn.hz.nl downloaden

En nooit dit:

iets inleveren, uploaden of wijzigen
berichten sturen of plaatsen
inloggen met je HZ-wachtwoord (dat komt nooit bij ons)

Dat staat zo in de code. Wat het token bij de HZ technisch verder zou toestaan, is niet vastgesteld. TODO: eigenaar. Ontkoppelen haalt het token en de kopie van je lesmateriaal bij ons weg; het token bij de HZ zelf trekt School-Agent niet in.

Cookies

School-Agent gebruikt alleen cookies die nodig zijn om de site te laten werken, geen cookies van anderen en geen tracking:

school_agent_sessie: houdt je ingelogd, twee weken.
zijbalk en zijmappen: onthouden hoe je de zijbalk hebt ingeklapt.

Daarom vragen we geen toestemming voor cookies. TODO: laten controleren.

Je rechten

Je hebt recht op inzage, correctie, verwijdering, beperking van de verwerking, bezwaar en overdraagbaarheid van je gegevens (art. 15 tot en met 21 AVG). TODO: laten controleren.

Inzage en meenemen: Instellingen → Download mijn gegevens geeft één bestand met alles wat over je bewaard is.
Verwijderen: Instellingen → Mijn account en gegevens verwijderen. Meteen, zonder e-mail.
Correctie doe je meestal zelf in Instellingen.
Al het andere, of als je geen account hebt (bijvoorbeeld alleen een pilotaanmelding): TODO: contactroute. We reageren zo snel mogelijk en uiterlijk binnen een maand (art. 12 lid 3 AVG). TODO: laten controleren.

Ben je het niet eens met hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (art. 77 AVG). TODO: link naar de klachtpagina van de AP laten controleren.

Als er iets misgaat

Lekken er gegevens uit, dan legt de eigenaar dat vast. Is er een risico voor jou, dan meldt hij het binnen 72 uur bij de Autoriteit Persoonsgegevens (art. 33 AVG); is dat risico hoog, dan hoor je het zelf ook (art. 34 AVG). TODO: laten controleren.

Wijzigingen

Verandert deze verklaring, dan krijgt hij een nieuw versienummer en een nieuwe datum. Het AI-reglement van de HZ en de voorwaarden van School-Agent staan los van deze verklaring.

Naar de startpagina · Inloggen