Veiligheid en privacy bij Corrigo
Corrigo verwerkt gegevens van minderjarigen. Daarom is beveiliging geen bijzaak maar het fundament van het platform.
AVG-compliantDPIA beschikbaarVerwerkersovereenkomst op verzoek
Gegevens blijven in de EU
Opslag én verwerking in Frankfurt
Gemaakt voor papier
Handgeschreven toetsen en taken
Jij beslist over de punten
De AI doet een voorstel, jij zet vast
Uit de lespraktijk
Gebouwd door iemand die zelf voor de klas staat
Hoe we data beschermen
Strikte gegevensscheiding
Wij zorgen ervoor dat elke leerkracht uitsluitend eigen leerlingen, klassen en projecten ziet. Die afscherming wordt afgedwongen in de database zelf, op rijniveau — niet alleen in de schermen van de applicatie.
Versleuteling
Alle gegevens zijn versleuteld — zowel opgeslagen data als communicatie tussen uw browser en onze servers. Wachtwoorden worden extra beveiligd en zijn zelfs voor ons niet leesbaar.
Geen AI-training op leerlingdata
Onze AI-partners (AWS Bedrock, Anthropic, OpenAI) trainen niet op leerlinggegevens. Wij hebben dit contractueel vastgelegd in onze verwerkersovereenkomsten met alle partijen.
Tweefactorauthenticatie
Wij bieden tweefactorauthenticatie (TOTP) aan voor alle leerkracht-accounts. Hiermee blijft een account beschermd zelfs als het wachtwoord uitlekt.
Documenten beschikbaar
- Verwerkersovereenkomst — Op verzoek beschikbaar. Mail naar contact@corrigo.nl
- DPIA — Data Protection Impact Assessment beschikbaar op verzoek
- Privacyverklaring — Publiek beschikbaar op /juridisch/privacy
- Beveiligingsbeleid — Op verzoek beschikbaar voor ICT-coördinatoren
Continuïteit en organisatie
Onderwijsbouwen is een in Nederland geregistreerde onderwijssoftware-studio (KvK 93598874, gevestigd in Rotterdam, opgericht in 2024). Wat er is vastgelegd zodat uw school niet afhankelijk is van onze beschikbaarheid:
- Data van scholen staat in de EU en kan op elk moment geëxporteerd worden. Bij beëindiging van de dienstverlening kunnen scholen de data binnen 30 dagen terugkrijgen of laten verwijderen.
- Onze code staat volledig in versiebeheer, met geautomatiseerde uitrol en de mogelijkheid elke release terug te draaien.
- De beschikbaarheid van het platform wordt doorlopend bewaakt; storingen komen automatisch bij ons binnen, ook buiten kantooruren.
- Verwerkersovereenkomsten worden gesloten met Onderwijsbouwen als entiteit, niet met een individu.
- Bij langdurige uitval is de operatie technisch overdraagbaar; de stappen daarvoor zijn intern gedocumenteerd.
Onze sub-verwerkers
Voor de verwerking van leerling- en leerkrachtgegevens werkt Onderwijsbouwen met een vaste set sub-verwerkers. Deze worden vermeld in de verwerkersovereenkomst die wij met scholen sluiten, en wijzigingen worden vooraf gemeld.
Opslag en hosting
- Supabase — Database en object storage, datacenter in Frankfurt (EU). Sub-verwerkers van Supabase zijn beschikbaar op verzoek.
- Vercel — Hosting en CDN voor de webapplicatie. De serverfuncties zijn vastgezet op de EU-regio (Frankfurt); statische content wordt via het wereldwijde CDN uitgeleverd.
AI-modellen
- AWS Bedrock (EU-regio, Frankfurt) — hier vindt alle AI-verwerking van leerlinggegevens plaats, en van de toetsdocumenten die de leerkracht aanlevert. Dat gebeurt met de Claude-modellen, binnen de EU. Er wordt niet op klantdata getraind.
- Anthropic — voor een optionele tweede beoordeling per leerling, die de leerkracht zelf aanvraagt. Dit is de enige verwerking van leerlingwerk die buiten de EER kan plaatsvinden, onder Standard Contractual Clauses; Anthropic traint contractueel niet op klantdata.
- OpenAI — uitsluitend voor materiaal dat de leerkracht zelf aanlevert: het importeren van vragen in de vragenbank, het doorzoekbaar maken daarvan en illustraties bij vragen. Hier gaan geen leerlinggegevens mee. Deze verwerking kan buiten de EER plaatsvinden, onder Standard Contractual Clauses; OpenAI traint contractueel niet op klantdata.
Communicatie en monitoring
- Resend — voor transactionele e-mails (bevestigingen, wachtwoord-resets).
- Stripe — voor betalingen (alleen voor Pro-abonnementen). Stripe ontvangt betalingsgegevens, géén leerling- of toetsgegevens.
- UptimeRobot — voor monitoring van platformbeschikbaarheid.
- Sentry (EU-regio, Duitsland) — voor foutmonitoring. Het meesturen van persoonsgegevens staat uit: geen IP-adressen, geen verzoekinhoud, geen schermopnames en geen variabelen uit de foutmelding.
- Upstash — voor snelheidsbegrenzing. Houdt kortstondig een teller per gebruiker bij tegen misbruik en overbelasting; bevat geen leerlinggegevens.
De opslag van alle leerlinggegevens en alle AI-verwerking daarvan vinden plaats binnen de Europese Unie. Eén stap kan daarbuiten vallen: de optionele tweede beoordeling die de leerkracht zelf aanvraagt, in dat geval onder Standard Contractual Clauses; wij werken eraan om ook die stap binnen de EU te brengen. Wij hebben verwerkersovereenkomsten met al onze sub-verwerkers. De lijst hierboven is volledig; wijzigingen melden wij vooraf. Vragen erover kunnen naar contact@corrigo.nl.
Een kwetsbaarheid melden
Ontdek je een beveiligingsprobleem in Corrigo? Meld het ons — we behandelen elke melding vertrouwelijk en reageren zo snel mogelijk. Omdat Corrigo onderwijsdata verwerkt, nemen we meldingen serieus en stellen we verantwoorde onderzoekers op prijs.
- Mail je bevinding naar contact@corrigo.nl met genoeg detail om het probleem te reproduceren.
- Geef ons redelijke tijd om het op te lossen voordat je iets openbaar maakt.
- Blijf van leerling- en leerkrachtgegevens af: gebruik een kwetsbaarheid niet om data van anderen in te zien, te wijzigen of te verwijderen.
- Bij een melding te goeder trouw die deze richtlijnen volgt, ondernemen wij geen juridische stappen.
Onze machineleesbare contactgegevens staan in /.well-known/security.txt (RFC 9116).
Veelgestelde vragen over veiligheid
V: Wie heeft toegang tot leerlinggegevens?
A: Alleen de leerkracht die de gegevens heeft ingevoerd. Wij bij Onderwijsbouwen hebben geen standaard toegang tot individuele leerlinggegevens. Bij technische ondersteuning vragen wij altijd expliciet toestemming.
V: Hoe lang worden gegevens bewaard?
A: Leerlinggegevens worden bewaard zolang het project bestaat, met een maximum van het lopende en het voorgaande schooljaar. Bij het verwijderen van een project gaan alle bijbehorende gegevens (scans, resultaten, transcripties) 14 dagen in de prullenbak — zelf terug te zetten of direct definitief te verwijderen — en worden daarna automatisch definitief verwijderd. Bij het opzeggen van een account worden alle gegevens binnen 30 dagen verwijderd.
V: Voldoet Corrigo aan de AI-verordening?
A: Wij positioneren Corrigo als ondersteunende tool waar de leerkracht de eindverantwoordelijkheid behoudt. De AI doet een voorstel, de leerkracht beslist. Dit valt onder een lager risiconiveau in de AI-verordening dan systemen die autonome besluiten nemen.
V: Kan ik Corrigo gebruiken met leerlingen jonger dan 16?
A: Ja. Leerlingen hebben geen account bij Corrigo en voeren zelf niets in: de leerkracht uploadt de toetsen en beheert de gegevens. Eén onderdeel is wel op de leerling gericht — de leerkracht kan per leerling een persoonlijke feedbacklink delen. Wie die link opent, ziet uitsluitend het eigen verbeterd werk: het puntenresultaat, de score per vraag en de toelichting. De pagina staat achter een willekeurig gegenereerde, niet-raadbare link, wordt niet door zoekmachines geïndexeerd, vraagt geen inloggegevens en bouwt geen profiel op. De link verloopt vanzelf en de leerkracht kan hem intrekken. De leerkracht bepaalt of hij de links deelt; zonder delen is er voor de leerling niets te zien.
Heeft u vragen over de beveiliging van Corrigo? Neem contact op via contact@corrigo.nl of plan een demo voor uw school.