Common use of Subverwerkers Clause in Contracts

Subverwerkers. Onderwijsinstelling geeft Verwerker door ondertekening van de Verwerkersovereenkomst algemene schriftelijke toestemming voor het inschakelen van een Subverwerker. Verwerker maakt ten tijde van het afsluiten van de Verwerkersovereenkomst gebruik van de volgende Subverwerkers: Naam Subverwerker Maketime Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Programmeur Alles-in-1 Online Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland Naam Subverwerker Pixelbyte Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland Naam Subverwerker Yeti Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Ontwikkelaar Alles Toetsen Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland

Subverwerkers. Onderwijsinstelling geeft Verwerker door ondertekening van de Verwerkersovereenkomst algemene schriftelijke toestemming voor het inschakelen van een Subverwerker. Verwerker maakt ten tijde van het afsluiten van de Verwerkersovereenkomst gebruik van de volgende Subverwerkers: Naam Subverwerker Maketime PixelDeLuxe Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Programmeur Alles-in-1 Online Website bouwer (Categorie) Persoonsgegevens die de Subverwerker verwerkt Alle bovengenoemde persoonsgegevens Land van opslag/Verwerking Persoonsgegevens door Subverwerker Nederland Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G E in te vullen. Nederland Naam Subverwerker Pixelbyte Previder (TransIP) Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Hosting provider (Categorie) Persoonsgegevens die de Subverwerker verwerkt Alle bovengenoemde persoonsgegevens Land van opslag/Verwerking Persoonsgegevens door Subverwerker Nederland Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G E in te vullen. Nederland Naam Subverwerker Yeti Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Ontwikkelaar Alles Toetsen Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. NederlandOnderwijsinstelling

Subverwerkers. Onderwijsinstelling geeft Verwerker door ondertekening van de Verwerkersovereenkomst algemene schriftelijke toestemming voor het inschakelen van een Subverwerker. Verwerker maakt ten tijde van het afsluiten van de Verwerkersovereenkomst gebruik van de volgende Subverwerkers: Naam Subverwerker Maketime Proserve Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Programmeur Alles-in-1 Hosting provider – beheert hardware, operating systemen en het netwerk ten behoeve van Muiswerk Online en Muiswerk Flexi. (Categorie) Persoonsgegevens die de Subverwerker verwerkt Gewone persoonsgegevens Land van opslag/Verwerking Persoonsgegevens door Subverwerker Nederland Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G E in te vullen. Nederland Naam Subverwerker Pixelbyte Google Ireland Limited Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Cloudservice ten behoeve van de hosting van applicaties en applicatiedatabases en het afhandelen van netwerkverkeer t.b.v. Numo. (Categorie) Persoonsgegevens die de Subverwerker verwerkt Gewone persoonsgegevens Land van opslag/Verwerking Persoonsgegevens door Subverwerker Nederland Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G E in te vullen. Nederland Naam Subverwerker Yeti Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Ontwikkelaar Alles Toetsen Vestigingsland Subverwerker NB Vergeet niet indien Ierland Bij meerdere Subverwerkers bovenstaande tabel nogmaals gebruiken. Versie 2; 07 juni 2022 De Verwerker is overeenkomstig de AVG en artikel 7 en 8 van de Model Verwerkersovereenkomst verplicht passende technische en organisatorische maatregelen te nemen ter beveiliging van de Verwerking van Persoonsgegevens, en om die maatregelen aan te tonen. Deze bijlage geeft een beknopte beschrijving en opsomming van die maatregelen. Verwerker heeft een passend beleid voor de gegevens buiten beveiliging van de Europese Economische Ruimte plaatsvindtVerwerking van Persoonsgegevens, ook onderdeel G waarbij het beleid periodiek wordt geëvalueerd en – zo nodig – aangepast. Verwerker neemt maatregelen zodat via een systeem van autorisatie enkel geautoriseerde medewerkers toegang kunnen verkrijgen tot de Verwerking van Persoonsgegevens in het kader van de Verwerkersovereenkomst. Medewerkers hebben op grond van deze systematiek geen toegang tot meer data dan strikt noodzakelijk is voor hun functie. Verwerker heeft een coördinator voor informatiebeveiliging om risico’s omtrent de verwerking van Persoonsgegevens te vulleninventariseren, beveiligingsbewustzijn te stimuleren, voorzieningen te controleren en maatregelen te treffen die zien op naleving van het informatiebeveiligingsbeleid. NederlandInformatiebeveiligingsincidenten worden gedocumenteerd en worden benut voor optimalisatie van het informatiebeveiligingsbeleid. Verwerker heeft een proces ingericht voor communicatie over informatiebeveiligingsincidenten. Verwerker sluit met medewerkers geheimhoudingsverklaringen af en maakt informatiebeveiligingsafspraken. Verwerker stimuleert bewustzijn, opleiding en training ten aanzien van informatiebeveiliging. Hieronder staat de rapportage van de BIV-classificatie, de mate van compliance en de uitleg bij eventuele afwijkingen van de standaarden. Verwerker gebruikt hiervoor in beginsel het ‘Certificeringsschema informatiebeveiliging en privacy ROSA’ (te vinden op xxx.xxxxxxxxxxxx.xx) als toetsingskader en voor het creëren van een solide basisniveau van informatiebeveiliging en privacy. Toetsvorm Self-assessment, uitgevoerd op 01-06-2022 op basis van het toetsingskader v3.0 Uitvoerder toets X.X. Xxxxxx, Senior Software Engineer Kurve Learning Innovations Inlogpagina xxx.xxxxx.xx BIV-classificatie Beschikbaarheid=Midden, Integriteit=Midden, Vertrouwelijkheid=Midden Categorie Maatregelen Compliance Uitleg [Voldaan/ Niet voldaan/ Alternatieve maatregel] [Bij “Niet voldaan” aangeven hoe/wanneer dit wordt gecorrigeerd. Bij “Alternatieve maatregel” deze beschrijven.] Beschikbaarheid Ontwerp Voldaan Capaciteit beheer Voldaan Onderhoud Voldaan Testen Voldaan Monitoring Voldaan Herstel Voldaan Integriteit Herleidbaarheid (gebruikers) Voldaan Back-up Voldaan Application controls Voldaan Onweerlegbaarheid Voldaan Herleidbaarheid (technisch beheer) Voldaan Controle integriteit Voldaan Onweerlegbaarheid Voldaan

Subverwerkers. Onderwijsinstelling geeft Verwerker door ondertekening van de Verwerkersovereenkomst algemene schriftelijke toestemming voor het inschakelen van een Subverwerker. Verwerker maakt ten tijde van het afsluiten van de Verwerkersovereenkomst gebruik van de volgende Subverwerkers: Naam Subverwerker Maketime Xxxxx.xx ICT Diensten B.V. Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Programmeur Alles-in-1 Online Hosting en opslag van data (Categorie) Persoonsgegevens die de Subverwerker verwerkt Alle Land van opslag/Verwerking Persoonsgegevens door Subverwerker Nederland Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland Naam Subverwerker Pixelbyte Vestigingsland Subverwerker NB Vergeet niet indien De University of Oregon is licentiehouder van SWIS Suite. Zij hebben geen toegang tot de persoonsgegevens die op de server in Nederland worden opgeslagen, en zijn derhalve geen subverwerker van de persoonsgegevens. Zij hebben enkel op aanvraag toegang tot het technische deel van de server om technische wijzigingen aan te brengen en updates door te voeren aan het programma. Versienummer 4.0.2, 27 februari 2023 De Verwerker is overeenkomstig de AVG en artikel 7 en 8 van de Model Verwerkersovereenkomst verplicht passende technische en organisatorische maatregelen te nemen ter beveiliging van de Verwerking van Persoonsgegevens, en om die maatregelen aan te tonen. Deze bijlage geeft een beknopte beschrijving en opsomming van die maatregelen. A. Maatregelen om de gegevens buiten Persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, wijziging, opslag, toegang of openbaarmaking B. Maatregelen om de Europese Economische Ruimte plaatsvindt, ook onderdeel G in Persoonsgegevens te vullen. Nederland Naam Subverwerker Yeti Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Ontwikkelaar Alles Toetsen Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking beveiligen en continuïteit van de gegevens buiten middelen, het netwerk, de Europese Economische Ruimte plaatsvindt, ook onderdeel G in server en de applicatie te vullenwaarborgen C. Afspraken over het informeren over beveiligingsincidenten en/of Datalekken 1. NederlandBeschrijving noodzakelijke afwijkingen Model Verwerkersovereenkomst

Subverwerkers. Onderwijsinstelling geeft Verwerker door ondertekening van de Verwerkersovereenkomst algemene schriftelijke toestemming voor het inschakelen van een Subverwerker. Verwerker maakt ten tijde van het afsluiten van de Verwerkersovereenkomst gebruik van de volgende Subverwerkers: Naam Subverwerker Maketime Vancis C&MS B.V. Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Programmeur Alles-in-1 Online Infrastructuurbeheerder (kan bij storage, backups) (Categorie) Persoonsgegevens die de Subverwerker verwerkt Alle bovengenoemde persoonsgegevens (Zie onderdeel F.) Land van opslag/Verwerking Persoonsgegevens door Subverwerker Nederland Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland Naam Subverwerker Pixelbyte Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland Naam Subverwerker Yeti Evidos/Signhost Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Ontwikkelaar Alles Toetsen De ondertekenservice Signhost wordt ingezet voor het rechtgeldig ondertekenen van de verwerkersovereenkomsten. (Categorie) Persoonsgegevens die de Subverwerker verwerkt Alle bovengenoemde persoonsgegevens (Zie onderdeel F.) Land van opslag/Verwerking Persoonsgegevens door Subverwerker EER Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland

Subverwerkers. Onderwijsinstelling geeft Verwerker door ondertekening van de Verwerkersovereenkomst een algemene schriftelijke toestemming voor het inschakelen van een SubverwerkerSubverwerkers. Snappet heeft het recht gebruik te gaan maken van andere Subverwerkers, mits daarvan voorafgaand mededeling wordt gedaan aan Onderwijsinstelling, en Onderwijsinstelling daartegen bezwaar kan maken binnen zes weken volgend op de schriftelijke inlichting aan de onderwijsinstelling (overeenkomstig artikel 11, lid 2 van de Verwerkersovereenkomst). Verwerker laat alle gegevensverwerkingen uitvoeren en beheren door Snappet B.V. gevestigd te Utrecht, Nederland. Er is een onderliggende subverwerkersovereenkomst aanwezig tussen Verwerker en Snappet B.V. Snappet B.V. maakt ten tijde van het afsluiten van de Verwerkersovereenkomst gebruik van de volgende Subverwerkers: Naam Subverwerker Maketime Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Programmeur Alles-in-1 Online Hosting vragen, antwoorden, resultaten en basisgegevens van de leerlingen en leerkrachten en dashboards. (Categorie) Persoonsgegevens die de Subverwerker verwerkt Contactgegevens, studievoortgang, gebruikersgegevens, andere persoonsgegevens. Land van opslag/Verwerking Persoonsgegevens door Subverwerker Luxemburg, Luxemburg Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, (zie ook onderdeel G in te vullen. Nederland Naam Subverwerker Pixelbyte Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland Naam Subverwerker Yeti G) Luxemburg Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Ontwikkelaar Alles Toetsen Hosting security controls (monitoring). (Categorie) Persoonsgegevens die de Subverwerker verwerkt Gebruiker-ID’s en IP-adressen. Land van opslag/Verwerking Persoonsgegevens door Subverwerker U.S. - San Francisco Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, (zie ook onderdeel G in te vullenG) U.S. Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Versturen van (bulk)e-mails naar gebruikers. Nederland(Categorie) Persoonsgegevens die de Subverwerker verwerkt Contactgegevens (e-mailadressen) en correspondentiegegevens. Land van opslag/Verwerking Persoonsgegevens door Subverwerker U.S. - Denver Vestigingsland Subverwerker (zie ook onderdeel G) U.S. - Denver Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Support functie. (Categorie) Persoonsgegevens die de Subverwerker verwerkt Contactgegevens, gebruikersgegevens, correspondentiegegevens. Land van opslag/Verwerking Persoonsgegevens door Subverwerker U.S. - San Francisco Vestigingsland Subverwerker (zie ook onderdeel G) U.S. - San Francisco Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Hosting security controls (monitoring) (Categorie) Persoonsgegevens die de Subverwerker verwerkt Gebruiker-ID’s en IP-adressen Land van opslag/Verwerking Persoonsgegevens door Subverwerker Nieuw Zeeland (Wellington) en U.S. (Northern Virginia) Vestigingsland Subverwerker (zie ook onderdeel G) Nieuw Zeeland (Wellington)

Subverwerkers. Onderwijsinstelling geeft 10.1. De Opdrachtnemer kan andere verwerkers (Sub-verwerkers) inschakelen voor het uitvoeren van bepaalde werkzaamheden die voortvloeien uit de Overeenkomst, bijvoorbeeld als deze Sub-verwerkers over specialistische kennis of middelen beschikken waarover de Verwerker door niet beschikt. Als het inschakelen van Sub-Verwerkers tot gevolg heeft dat deze Persoonsgegevens gaan Verwerken dan zal de Opdrachtnemer die Sub-Verwerkers (schriftelijk) de verplichtingen uit deze Privacy voorwaarden opleggen. Met ondertekening van de Verwerkersovereenkomst algemene schriftelijke Overeenkomst geeft de Opdrachtgever tevens toestemming voor het inschakelen van de Sub-Verwerkers die bij deze Privacy voorwaarden horen. Op verzoek van Opdrachtgever zal Opdrachtnemer een Subverwerker. Verwerker maakt ten tijde van het afsluiten overzicht van de Verwerkersovereenkomst gebruik Sub-Verwerkers toesturen. 10.2. Voor het inschakelen van overige Sub-Verwerkers zal de Opdrachtnemer eerst om toestemming vragen van de volgende Subverwerkers: Naam Subverwerker Maketime Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Programmeur Alles-in-1 Online Vestigingsland Subverwerker NB Vergeet niet indien Opdrachtgever. De Opdrachtgever kan toestemming weigeren maar dit kan in sommige gevallen betekenen dat de Verwerking Opdrachtnemer de Overeenkomst moet beëindigen. Of een opdracht om deze reden moet worden beëindigd, is ter uitsluitende beoordeling aan de Opdrachtnemer. Opdrachtnemer zal een actueel overzicht van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland Naam Subverwerker Pixelbyte Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking Sub-verwerkers bijhouden en op verzoek van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland Naam Subverwerker Yeti Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Ontwikkelaar Alles Toetsen Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. NederlandOpdrachtgever een geactualiseerd overzicht aan haar toesturen.

Subverwerkers. Onderwijsinstelling Gebruiker geeft Verwerker Xxxxxxxxx door ondertekening van de Verwerkersovereenkomst algemene schriftelijke toestemming voor het inschakelen van een Subverwerker. Verwerker maakt ten tijde van het afsluiten van de Verwerkersovereenkomst gebruik van de volgende Subverwerkers: Naam Subverwerker Maketime Vancis C&MS B.V. Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Programmeur Alles-in-1 Online Infrastructuurbeheerder (kan bij storage, backups) (Categorie) Persoonsgegevens die de Subverwerker verwerkt Alle bovengenoemde persoonsgegevens (Zie onderdeel F.) Land van opslag/Verwerking Persoonsgegevens door Subverwerker Nederland Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland Naam Subverwerker Pixelbyte Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland Naam Subverwerker Yeti Evidos/Signhost Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Ontwikkelaar Alles Toetsen De ondertekenservice Signhost wordt ingezet voor het rechtgeldig ondertekenen van de verwerkersovereenkomsten. (Categorie) Persoonsgegevens die de Subverwerker verwerkt Alle bovengenoemde persoonsgegevens (Zie onderdeel F.) Land van opslag/Verwerking Persoonsgegevens door Subverwerker EER Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland

Subverwerkers. Onderwijsinstelling geeft Verwerker door ondertekening van de Verwerkersovereenkomst algemene schriftelijke toestemming voor het inschakelen van een Subverwerker. Verwerker maakt ten tijde van het afsluiten van de Verwerkersovereenkomst gebruik van de volgende Subverwerkers: Naam Subverwerker Maketime Proserve Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Programmeur Alles-in-1 Hosting provider – beheert hardware, operating systemen en het netwerk ten behoeve van Muiswerk Online en Muiswerk Flexi. (Categorie) Persoonsgegevens die de Subverwerker verwerkt Gewone persoonsgegevens Land van opslag/Verwerking Persoonsgegevens door Subverwerker Nederland Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G E in te vullen. Nederland Naam Subverwerker Pixelbyte Google Ireland Limited Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Cloudservice ten behoeve van de hosting van applicaties en applicatiedatabases en het afhandelen van netwerkverkeer t.b.v. Numo. (Categorie) Persoonsgegevens die de Subverwerker verwerkt Gewone persoonsgegevens Land van opslag/Verwerking Persoonsgegevens door Subverwerker Nederland Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G E in te vullen. Nederland Naam Subverwerker Yeti Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Ontwikkelaar Alles Toetsen Vestigingsland Subverwerker NB Vergeet niet indien Ierland Bij meerdere Subverwerkers bovenstaande tabel nogmaals gebruiken. Versie 2; 07 juni 2022 De Verwerker is overeenkomstig de AVG en artikel 7 en 8 van de Model Verwerkersovereenkomst verplicht passende technische en organisatorische maatregelen te nemen ter beveiliging van de Verwerking van Persoonsgegevens, en om die maatregelen aan te tonen. Deze bijlage geeft een beknopte beschrijving en opsomming van die maatregelen. Verwerker heeft een passend beleid voor de gegevens buiten beveiliging van de Europese Economische Ruimte plaatsvindtVerwerking van Persoonsgegevens, ook onderdeel G waarbij het beleid periodiek wordt geëvalueerd en – zo nodig – aangepast. Verwerker neemt maatregelen zodat via een systeem van autorisatie enkel geautoriseerde medewerkers toegang kunnen verkrijgen tot de Verwerking van Persoonsgegevens in het kader van de Verwerkersovereenkomst. Medewerkers hebben op grond van deze systematiek geen toegang tot meer data dan strikt noodzakelijk is voor hun functie. Verwerker heeft een coördinator voor informatiebeveiliging om risico’s omtrent de verwerking van Persoonsgegevens te vulleninventariseren, beveiligingsbewustzijn te stimuleren, voorzieningen te controleren en maatregelen te treffen die zien op naleving van het informatiebeveiligingsbeleid. NederlandInformatiebeveiligingsincidenten worden gedocumenteerd en worden benut voor optimalisatie van het informatiebeveiligingsbeleid. Verwerker heeft een proces ingericht voor communicatie over informatiebeveiligingsincidenten. Verwerker sluit met medewerkers geheimhoudingsverklaringen af en maakt informatiebeveiligingsafspraken. Verwerker stimuleert bewustzijn, opleiding en training ten aanzien van informatiebeveiliging. Hieronder staat de rapportage van de BIV-classificatie, de mate van compliance en de uitleg bij eventuele afwijkingen van de standaarden. Verwerker gebruikt hiervoor in beginsel het ‘Certificeringsschema informatiebeveiliging en privacy ROSA’ (te vinden op xxx.xxxxxxxxxxxx.xx) als toetsingskader en voor het creëren van een solide basisniveau van informatiebeveiliging en privacy. Toetsvorm Self-assessment, uitgevoerd op 01-06-2022 op basis van het toetsingskader v3.0 Uitvoerder toets T.J. Schijf, Directeur en CTO, Kurve Learning Innovations Inlogpagina xxx.xxxxx.xx BIV-classificatie Beschikbaarheid=Midden, Integriteit=Midden, Vertrouwelijkheid=Midden Categorie Maatregelen Compliance Uitleg [Voldaan/ Niet voldaan/ Alternatieve maatregel] [Bij “Niet voldaan” aangeven hoe/wanneer dit wordt gecorrigeerd. Bij “Alternatieve maatregel” deze beschrijven.] Beschikbaarheid Ontwerp Voldaan Capaciteit beheer Voldaan Onderhoud Voldaan Testen Voldaan Monitoring Voldaan Herstel Voldaan Integriteit Herleidbaarheid (gebruikers) Voldaan Back-up Voldaan Application controls Voldaan Onweerlegbaarheid Voldaan Herleidbaarheid (technisch beheer) Voldaan Controle integriteit Voldaan Onweerlegbaarheid Voldaan

Subverwerkers. Onderwijsinstelling geeft Verwerker Xxxxxxxxx door ondertekening van de Verwerkersovereenkomst een algemene schriftelijke toestemming voor het inschakelen van een Subverwerker. Verwerker heeft het recht gebruik te gaan maken van andere Subverwerkers, mits daarvan voorafgaand mededeling wordt gedaan aan Onderwijsinstelling, en Onderwijsinstelling daartegen bezwaar kan maken binnen een redelijke periode. Verwerker maakt ten tijde van het afsluiten van de Verwerkersovereenkomst gebruik van de volgende Subverwerkers: Subverwerker Ediso Naam Subverwerker Maketime Soort Verwerking (beknopte organisatie: Ediso B.V. Korte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Programmeur Alles-in-1 Online Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking dienstverlening: ondersteuning bij het ontwikkelen en onderhouden van de gegevens buiten tooling waarmee de Europese Economische Ruimte plaatsvindt, ook onderdeel G diensten van Verwerker worden uitgevoerd Plaats/Land van Verwerking: Nederland Mate van verwerking: Ediso heeft in te vullen. Nederland Naam Subverwerker Pixelbyte Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking het kader van testen van de gegevens buiten de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullen. Nederland Naam Subverwerker Yeti Soort Verwerking (beknopte omschrijving taak/dienst waaruit blijkt welke informatie wordt Verwerkt) Ontwikkelaar Alles Toetsen Vestigingsland Subverwerker NB Vergeet niet indien de Verwerking tooling of bij het ondersteunen van het gebruik van de gegevens buiten tooling in bepaalde gevallen toegang nodig tot de Europese Economische Ruimte plaatsvindt, ook onderdeel G in te vullenpersoonsgegevens. NederlandDit wordt beperkt tot de gevallen waarvoor dit noodzakelijk is. Verwerker heeft met Ediso een verwerkersoverenkomst gesloten. Subverwerker Rijksuniversiteit Groningen Naam organisatie: Rijksuniversiteit Groningen Korte omschrijving dienstverlening: Het aanleveren van de geaggregeerde data voor de Inspectie van het Onderwijs. Dit kan niet geautomatiseerd worden door Ediso en zal jaarlijks door de Rijksuniversiteit Groningen worden gedaan.