Veiligheid en privacy bij Corrigo
Corrigo verwerkt gegevens van minderjarigen. Daarom is beveiliging bij ons geen bijzaak.
Verwerkersovereenkomst openbaarSubverwerkers openbaarDPIA-ondersteuning op verzoek
Gegevens blijven in de EU
Opslag in Ierland, verwerking in de EU
Gemaakt voor papier
Handgeschreven toetsen en taken
Jij beslist over de punten
De AI doet een voorstel, jij legt de punten vast
Uit de lespraktijk
Gebouwd door iemand die zelf voor de klas staat
Hoe we data beschermen
Strikte gegevensscheiding
Een leerkracht ziet alleen wat bij de eigen rol hoort: de eigen klassen en toetsen, en daarnaast de klassen waarvoor die leerkracht als klastitularis is aangewezen, door de leerkracht van die klas of door de schoolbeheerder. Die grenzen dwingt Corrigo af op de gegevens zelf, niet alleen in de schermen.
Versleuteling
Alle gegevens zijn versleuteld: zowel opgeslagen gegevens als het verkeer tussen uw browser en onze servers. Wachtwoorden worden extra beveiligd en zijn zelfs voor ons niet leesbaar.
Geen AI-training op leerlingdata
Onze AI-partners (AWS Bedrock, Anthropic, OpenAI) trainen niet op leerlinggegevens. Wij hebben dit contractueel vastgelegd in onze verwerkersovereenkomsten met alle partijen.
Tweefactorauthenticatie
Wij bieden tweefactorauthenticatie (TOTP) aan voor alle leerkrachtaccounts. Hiermee blijft een account beschermd, zelfs als het wachtwoord uitlekt.
Documenten beschikbaar
- Verwerkersovereenkomst: openbaar op /juridisch/verwerkersovereenkomst
- DPIA-ondersteuning: informatie voor de DPIA van uw school, op verzoek
- Privacyverklaring: openbaar op /juridisch/privacy
- Beveiligingsbeleid: openbaar op /juridisch/beveiliging
Wat wij níét hebben
Wij hebben geen ISO 27001- en geen NEN 7510-certificering, en u zult ons die woorden nergens zien gebruiken. Certificeringstaal hoort bij wie de audit daadwerkelijk heeft doorstaan.
Wat wij in plaats daarvan doen: elke beveiligingsmaatregel staat concreet en openbaar op deze pagina, wij voeren periodiek interne beveiligingsaudits uit, en u heeft op grond van de verwerkersovereenkomst het recht die naleving te (laten) toetsen.
Zodra certificering past bij de fase en omvang van onze organisatie, laten wij ons ook echt certificeren.
Continuïteit en organisatie
Onderwijsbouwen is een in Nederland geregistreerde onderwijssoftware-studio (KvK 93598874, gevestigd in Rotterdam, opgericht in 2024). Wat er is vastgelegd zodat uw school niet afhankelijk is van onze beschikbaarheid:
- Data van scholen staat in de EU en kan op elk moment geëxporteerd worden. Bij beëindiging van de dienstverlening kunnen scholen de data binnen 30 dagen terugkrijgen of laten verwijderen.
- Onze code staat volledig in versiebeheer, met geautomatiseerde uitrol en de mogelijkheid elke release terug te draaien.
- De beschikbaarheid van het platform wordt doorlopend bewaakt; storingen komen automatisch bij ons binnen, ook buiten kantooruren.
- Verwerkersovereenkomsten worden gesloten met Onderwijsbouwen als entiteit, niet met een individu.
- Bij langdurige uitval kan het technisch beheer worden overgedragen; de stappen daarvoor zijn intern vastgelegd.
Onze subverwerkers
Voor de verwerking van leerling- en leerkrachtgegevens werkt Onderwijsbouwen met een vaste groep subverwerkers. Deze worden vermeld in de verwerkersovereenkomst die wij met scholen sluiten, en wijzigingen worden vooraf gemeld.
Opslag en hosting
- Supabase: database en bestandsopslag, datacenter in Ierland (EU). Subverwerkers van Supabase zijn beschikbaar op verzoek.
- Vercel: hosting en CDN voor de webapplicatie. De serverfuncties zijn vastgezet op de EU-regio (Frankfurt); statische content wordt via het wereldwijde CDN uitgeleverd.
AI-modellen
- AWS Bedrock (EU-regio): hier vindt alle AI-verwerking van leerlinggegevens plaats, en standaard ook van de toetsdocumenten die de leerkracht aanlevert. Dat gebeurt met de Claude-modellen, binnen de EU. Er wordt niet op klantdata getraind.
- Anthropic: de directe dienst van Anthropic verwerkt geen leerlingwerk meer: sinds 1 oktober 2026 loopt ook de optionele tweede beoordeling via AWS Bedrock in de EU. Wordt de directe dienst gebruikt voor het verwerken van toets- en lesmateriaal van de leerkracht (zoals een verbetersleutel of toets uit een pdf, de vragenbank-import of de Denkniveau-indeling), dan gaan daar geen leerlinggegevens mee; die verwerking kan buiten de EER plaatsvinden, onder de standaardcontractbepalingen (SCC's) van de Europese Commissie. Anthropic traint contractueel niet op klantdata.
- OpenAI: uitsluitend voor het maken van illustraties bij vragen die de leerkracht opstelt. Hier gaan geen leerlinggegevens mee. Deze verwerking kan buiten de EER plaatsvinden, onder de standaardcontractbepalingen (SCC's) van de Europese Commissie; OpenAI traint contractueel niet op klantdata.
Communicatie en monitoring
- Resend: voor transactionele e-mails (bevestigingen, wachtwoordherstel).
- Stripe: voor betalingen (alleen voor Pro-abonnementen). Stripe ontvangt betalingsgegevens, géén leerling- of toetsgegevens.
- UptimeRobot: voor monitoring van platformbeschikbaarheid.
- Sentry (EU-regio, Duitsland): voor foutmonitoring. Het meesturen van persoonsgegevens staat uit: geen IP-adressen, geen verzoekinhoud, geen schermopnames en geen variabelen uit de foutmelding.
- Upstash: voor snelheidsbegrenzing. Houdt kortstondig een teller per gebruiker bij tegen misbruik en overbelasting; bevat geen leerlinggegevens.
De opslag van alle leerlinggegevens en alle AI-verwerking daarvan vinden plaats binnen de Europese Unie, sinds 1 oktober 2026 ook de optionele tweede beoordeling die de leerkracht zelf aanvraagt. Wij hebben verwerkersovereenkomsten met al onze subverwerkers. De lijst hierboven is volledig; wijzigingen melden wij vooraf. Vragen erover kunnen naar contact@corrigo.nl.
Een kwetsbaarheid melden
Ontdekt u een beveiligingsprobleem in Corrigo? Meld het ons. We behandelen elke melding vertrouwelijk en reageren zo snel mogelijk. Omdat Corrigo onderwijsdata verwerkt, nemen we meldingen serieus en stellen we verantwoord onderzoek op prijs.
- Mail uw bevinding naar contact@corrigo.nl met genoeg detail om het probleem te reproduceren.
- Geef ons redelijke tijd om het op te lossen voordat u iets openbaar maakt.
- Blijf van leerling- en leerkrachtgegevens af: gebruik een kwetsbaarheid niet om data van anderen in te zien, te wijzigen of te verwijderen.
- Bij een melding te goeder trouw die deze richtlijnen volgt, ondernemen wij geen juridische stappen.
Onze machineleesbare contactgegevens staan in /.well-known/security.txt (RFC 9116).
Veelgestelde vragen over veiligheid
V: Wie heeft toegang tot leerlinggegevens?
A: Toegang is rolgebonden: een leerkracht ziet de eigen klassen en toetsen en daarnaast de klassen waarvoor die leerkracht als klastitularis is aangewezen, door de leerkracht van die klas of door de schoolbeheerder. Wij bij Onderwijsbouwen hebben geen standaard toegang tot individuele leerlinggegevens. Bij technische ondersteuning vragen wij altijd expliciet toestemming.
V: Hoe lang worden gegevens bewaard?
A: Leerlinggegevens worden bewaard zolang de toets bestaat, met een maximum van het lopende en het voorgaande schooljaar. Bij het verwijderen van een toets gaan alle bijbehorende gegevens (scans, resultaten, transcripties) 14 dagen naar de prullenbak. Daar kunt u ze terugzetten of meteen definitief verwijderen; daarna worden ze automatisch definitief verwijderd. Bij het opzeggen van een account worden alle gegevens binnen 30 dagen verwijderd.
V: Voldoet Corrigo aan de AI-verordening?
A: Het evalueren van leerresultaten staat in de AI-verordening bij de toepassingen met een hoog risico. Wij nemen dat serieus en richten Corrigo daarop in: de leerkracht beslist altijd, elke beoordeling is terug te zien, en we leggen vast hoe de AI tot een voorstel komt. De regels voor deze categorie gelden volgens de Europese Commissie vanaf 2 december 2027.
V: Kan ik Corrigo gebruiken met leerlingen jonger dan 16?
A: Ja. Leerlingen hebben geen account bij Corrigo en voeren zelf bijna niets in: de leerkracht uploadt de toetsen en beheert de gegevens. Eén onderdeel is wel op de leerling gericht: de leerkracht kan per leerling een persoonlijke feedbacklink delen. Wie die link opent, ziet uitsluitend het eigen verbeterde werk: de punten, de score per vraag en de toelichting. Bij een vraag kan de leerling melden dat een beoordeling volgens hem niet klopt, met een vaste reden en hooguit één korte zin; een herkend e-mailadres of telefoonnummer daarin wordt vóór opslag onleesbaar gemaakt. Alleen je leerkracht ziet de melding. Corrigo kan er als verwerker technisch bij en doet dat alleen voor beheer en beveiliging. De zin wordt verwijderd zodra de leerkracht de melding afhandelt. De pagina staat achter een willekeurig gegenereerde, niet-raadbare link, wordt niet door zoekmachines geïndexeerd, vraagt geen inloggegevens en bouwt geen profiel op. De link verloopt vanzelf en de leerkracht kan hem intrekken. De leerkracht bepaalt of hij de links deelt; zonder delen is er voor de leerling niets te zien.
Heeft u vragen over de beveiliging van Corrigo? Neem contact op via contact@corrigo.nl of plan een demo voor uw school.