Privacyverklaring Sanaflow

1. Wie zijn wij

Sanaflow B.V. levert een platform waarmee scholen en schoolorganisaties naschoolse activiteiten plannen, inschrijvingen beheren en communiceren met ouders, verzorgers en activiteitenaanbieders. In deze privacyverklaring leest u welke persoonsgegevens wij verwerken, waarom, met wie wij ze delen en welke rechten u heeft.

• Sanaflow B.V., KvK-nummer 97792594
• E-mail: support@sanaflow.nl
• Privacy Officer: Ismaël Zaidi (bereikbaar via support@sanaflow.nl)

2. Onze rol: verwerker voor scholen, verantwoordelijke voor onze eigen website

De school is verantwoordelijk voor de gegevens van leerlingen, ouders en verzorgers: inschrijvingen, aanwezigheid, toestemmingen, betalingen en berichten. De school bepaalt waarom en hoe deze gegevens worden gebruikt. Sanaflow verwerkt ze uitsluitend in opdracht van de school, op basis van een verwerkersovereenkomst volgens het model van het Privacyconvenant Onderwijs, waarbij Sanaflow is aangesloten.

Sanaflow is zelf verantwoordelijk voor de gegevens van bezoekers van sanaflow.nl, voor demo- en contactaanvragen, voor de contactgegevens van scholen en organisaties waarmee wij een overeenkomst hebben, en voor de accounts van activiteitenaanbieders.

3. Welke gegevens verwerken wij

Ouders en verzorgers: naam, e-mailadres, telefoonnummer en inloggegevens.

Leerlingen: voornaam, tussenvoegsel, achternaam, groep of klas en, als de school daarom vraagt, geboortedatum. Per inschrijving: de gekozen activiteit, aanwezigheid, toestemming voor beeldmateriaal, toestemming om zelfstandig naar huis te gaan, opmerkingen en antwoorden op aanvullende vragen van de school.

Bijzonderheden: ouders kunnen bijzonderheden invullen, zoals een allergie of medische informatie die nodig is om veilig deel te nemen. Dit kunnen gezondheidsgegevens zijn. Vul alleen in wat nodig is. Deze informatie is alleen zichtbaar voor de school en, voor zover nodig, de begeleiding van de activiteit.

Betalingen: bedrag, status en betaalreferentie. De betaling zelf wordt afgehandeld door Mollie; wij slaan geen bankrekening- of kaartgegevens op.

Medewerkers van scholen, organisaties en aanbieders: naam, e-mailadres, telefoonnummer en rol. Voor begeleiders van aanbieders ook een foto en, als de aanbieder die uploadt, een Verklaring Omtrent het Gedrag (VOG) en een EHBO-certificaat.

Communicatie: e-mails en berichten die via het platform worden verstuurd, bijlagen en de bezorgstatus van e-mails.

Technische gegevens: IP-adres en browsergegevens bij het inloggen en bij het geven of intrekken van toestemming, en technische foutmeldingen.

Website sanaflow.nl: de gegevens die u invult in het demo- of contactformulier, en met uw toestemming marketingcookies (zie ons cookiebeleid).

4. Waarom en op welke grondslag

Voor gegevens die wij in opdracht van de school verwerken, bepaalt de school het doel en de grondslag. Wij gebruiken deze gegevens alleen om het platform aan de school te leveren.

Voor de gegevens waarvoor wij zelf verantwoordelijk zijn:

• Demo- en contactaanvragen beantwoorden: gerechtvaardigd belang.
• Overeenkomsten met scholen, organisaties en aanbieders uitvoeren: overeenkomst.
• Het platform beveiligen en fouten opsporen: gerechtvaardigd belang.
• Marketingcookies en advertentiemeting: toestemming.
• Administratie en facturatie: wettelijke verplichting.

5. Met wie delen wij gegevens

Gegevens van leerlingen en ouders zijn zichtbaar voor de school en, voor zover nodig voor de activiteit, voor de aanbieder die de activiteit verzorgt. Wij verkopen geen gegevens. Partners die bezoekers naar onze website verwijzen, ontvangen alleen aantallen en, bij een afgesloten overeenkomst, de naam van de school of organisatie; nooit uw naam, e-mailadres of telefoonnummer.

Wij schakelen de volgende subverwerkers in:

Vercel Inc.

Waarvoor: Hosting van het platform en anonieme websitestatistieken

Opslag: EU

Doorgifte buiten de EU: VS-bedrijf; EU-VS Data Privacy Framework en standaardcontractbepalingen

Neon Inc.

Waarvoor: Database

Opslag: EU (Frankfurt, Duitsland)

Doorgifte buiten de EU: VS-bedrijf; EU-VS Data Privacy Framework en standaardcontractbepalingen

Amazon Web Services

Waarvoor: Opslag van bestanden en bijlagen

Opslag: EU (Stockholm, Zweden)

Doorgifte buiten de EU: Geen

Upstash Inc.

Waarvoor: Tijdelijke cache en bescherming tegen misbruik

Opslag: EU

Doorgifte buiten de EU: VS-bedrijf; EU-VS Data Privacy Framework en standaardcontractbepalingen

Ably Realtime Ltd.

Waarvoor: Directe meldingen binnen het platform

Opslag: Niet opgeslagen; kortstondig doorgegeven via het netwerk van Ably

Doorgifte buiten de EU: Brits bedrijf; adequaatheidsbesluit en standaardcontractbepalingen

Resend (Plus Five Five, Inc.)

Waarvoor: Verzenden van e-mails

Opslag: Verenigde Staten

Doorgifte buiten de EU: EU-VS Data Privacy Framework en standaardcontractbepalingen

Sentry (Functional Software, Inc.)

Waarvoor: Foutmeldingen, zonder namen of e-mailadressen

Opslag: EU

Doorgifte buiten de EU: VS-bedrijf; EU-VS Data Privacy Framework en standaardcontractbepalingen

De volgende partijen verwerken gegevens onder hun eigen verantwoordelijkheid, in het kader van hun eigen dienst:

Mollie B.V.

Waarvoor: Afhandeling van betalingen voor activiteiten, in opdracht van de school

Locatie: EU (Nederland)

Meta Platforms Ireland Ltd.

Waarvoor: Meten van advertenties, alleen op sanaflow.nl en alleen met uw toestemming

Locatie: EU en Verenigde Staten

Google Ireland Ltd.

Waarvoor: Kaart op de contactpagina van een school, alleen als u de kaart zelf laadt

Locatie: EU en Verenigde Staten

Met alle subverwerkers zijn verwerkersovereenkomsten gesloten. Gegevens worden zoveel mogelijk binnen de EU opgeslagen. Waar een partij gegevens buiten de EU verwerkt, gebeurt dat op basis van het EU-VS Data Privacy Framework of standaardcontractbepalingen van de Europese Commissie.

6. Hoe lang bewaren wij gegevens

• Gegevens van leerlingen en ouders: zolang de school het platform gebruikt, of korter als de school dat bepaalt. De school kan gegevens laten verwijderen; bij het einde van de overeenkomst verwijderen wij de gegevens van de school.
• Accounts: zolang het account actief is, of tot u om verwijdering vraagt.
• Demo- en contactaanvragen: zolang nodig om de aanvraag af te handelen.
• Betalings- en factuurgegevens: 7 jaar, vanwege de wettelijke fiscale bewaarplicht.
• Foutmeldingen: maximaal 90 dagen.

7. Beveiliging

• Versleutelde verbindingen (TLS) en versleutelde opslag.
• Toegang per school en per rol, met optionele tweestapsverificatie.
• Registratie van toestemmingen en van wijzigingen in rechten.
• Gegevens van één school zijn niet zichtbaar voor andere scholen.

8. Uw rechten

U heeft recht op inzage, correctie, verwijdering, beperking van de verwerking, overdraagbaarheid en bezwaar. Heeft u toestemming gegeven, dan kunt u die altijd weer intrekken, bijvoorbeeld voor cookies via "Cookie-instellingen" onderaan de website.

Gaat uw verzoek over de gegevens van uw kind of uw inschrijving bij een school? Neem dan contact op met de school: die is verantwoordelijk. Komt uw verzoek bij ons binnen, dan sturen wij het door naar de school en helpen wij de school het af te handelen.

Voor alle andere verzoeken mailt u naar support@sanaflow.nl. Wij reageren binnen een maand.

9. Datalekken

Bij een datalek informeren wij de betrokken school zonder onnodige vertraging, zodat de school kan beslissen over een melding aan de Autoriteit Persoonsgegevens en aan betrokkenen. Gaat het om gegevens waarvoor wij zelf verantwoordelijk zijn, dan melden wij het datalek waar nodig binnen 72 uur bij de Autoriteit Persoonsgegevens.

10. Kinderen

Kinderen gebruiken het platform niet zelf. Inschrijvingen worden gedaan door een ouder of verzorger, of door de school.

11. Wijzigingen

Wij passen deze privacyverklaring aan als onze dienst of de wet verandert. Bij belangrijke wijzigingen informeren wij scholen vooraf. De datum hieronder laat zien wanneer de verklaring voor het laatst is gewijzigd.

12. Vragen of klachten

Neem contact op via support@sanaflow.nl (t.a.v. Ismaël Zaidi, Privacy Officer). U kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens via www.autoriteitpersoonsgegevens.nl.