Veiligheid en privacy

1. Wat weet GoYou van je leerlingen?

Zo min mogelijk: alleen wat nodig is om les te geven, en om het materiaal te laten aansluiten bij de interesses van de leerling.

Inloggen

Voor jou: e-mailadres en een versleuteld wachtwoord. Voor je leerling: voornaam, achternaam en een zelfgekozen wachtwoord, plus een e-mailadres of een inlognaam die wij aanmaken. Een leerling hoeft geen mailadres te hebben.

Jouw profiel als docent

Voornaam, schooltype, je vakken en niveaus, de klassen die je aanmaakt en hoe je lesgeeft.

Profiel van je leerling

Voornaam, een avatar die de leerling zelf instelt, en wat de leerling invult aan voorkeuren en interesses. Dat gebruiken we alleen om de les en de tutor te laten aansluiten bij de leefwereld van die leerling.

Werk en voortgang

Antwoorden op opdrachten, hoe ver de leerling is, en de gesprekken met de tutor.

Gebruiksgegevens

Inlogmomenten, tijdstempels en technische logs, nodig voor beveiliging, foutopsporing en het voorkomen van misbruik.

Meer is er niet. Geen cijferlijsten uit je administratie, geen thuissituatie, geen adressen, geen geboortedata.

2. Hoe houd je een AI-tutor in het gareel?

De tutor verzint de les niet. Hij werkt uit wat jij hebt klaargezet: de stappen, de stof en de voorbeelden staan er al in voordat de eerste leerling begint. Jij bekijkt dat vooraf en past het aan als je het er niet mee eens bent. Wat er niet in staat, kan hij niet doen.

Loopt een leerling vast, dan wordt de vraag niet makkelijker gemaakt. De vraag wordt kleiner gemaakt: eerst feedback, dan een hint, dan de vraag in stukken, en afronden met wat er wél goed ging. De lat per stap is voor iedere leerling dezelfde, de weg ernaartoe niet.

Weet de tutor een antwoord niet, dan zegt hij dat tegen de leerling en speelt hij de vraag door naar jou als docent. Hij praat alleen over wat jij hebt goedgekeurd.

3. En als een leerling iets zwaars deelt?

Bij burgerschap of het mentoraat gebeurt dat soms. We vragen er nooit naar en we bouwen er geen profiel mee op. Het blijft binnen de afgeschermde omgeving van die leerling en jou.

Wijst een bericht op zorg, dan zie je dat terug in je klasbeeld, met het stukje tekst erbij zodat je ziet wat er speelt. GoYou stelt niets vast en doet verder niets. Jij als docent kent die leerling, en jij bepaalt wat er nodig is.

4. Wie kan er bij het werk van je klas?

Jij als docent, en je leerlingen ieder bij hun eigen werk. Verder niemand.

Dat staat afgedwongen in de database zelf en is dus meer dan een afspraak: bij elke opvraging controleert het systeem eerst wie je bent. Een collega ziet jouw lessen niet, tenzij je ze deelt.

5. Waar staan die gegevens?

In Frankfurt: de database, de inlogvoorziening, de bestandsopslag en de servers die GoYou draaien. De e-mail loopt via een Franse partij. Al het verkeer gaat versleuteld en opgeslagen gegevens zijn versleuteld.

Alle leerlinggegevens worden verwerkt door een Europese leverancier.

Het lesmateriaal zelf wordt gemaakt door een Amerikaanse leverancier. Die krijgt je lesopdracht en de lesinhoud, en geen gegevens van leerlingen.

Wie onze leveranciers zijn, waarvoor we ze inzetten en waar zij verwerken, staat in de verwerkersovereenkomst. Die sturen we toe aan elke school die erom vraagt, ook als je nog geen klant bent.

Wijzigt die lijst, dan laten we dat vooraf weten aan de scholen waarmee we een overeenkomst hebben, zodat zij er bezwaar tegen kunnen maken.

6. Gaat er iets naar een AI-model?

Ja, anders is er geen les en geen tutor. Wat er heen gaat is wat de taak nodig heeft: bij een les jouw opdracht en de lesinhoud, bij een tutorgesprek het gesprek zelf plus waar die leerling van houdt en hoe ver die is.

Wat er niet heen gaat: e-mailadressen, wachtwoorden, klassenlijsten en de administratie van je school. Ook de naam van een leerling niet. Waar die naam in een tekst hoort te staan, gaat er een plaatshouder mee, en pas op het scherm van die leerling zelf wordt de echte naam ingevuld. Zo spreekt de tutor je leerling gewoon bij naam aan, zonder dat het model die naam ooit krijgt.

Wisselen we van model of van leverancier, dan hoor je dat van tevoren. Welke leveranciers het zijn staat in de verwerkersovereenkomst.

7. Wordt er op getraind?

Nee.

Op de gegevens die via GoYou binnenkomen wordt niet getraind. Wij doen dat niet en onze leveranciers doen dat niet. De gegevens worden alleen gebruikt om de les te maken of antwoord te geven.

Met de Europese leverancier die alle leerlinggegevens verwerkt, hebben wij bovendienzero data retention afgesproken, schriftelijk vastgelegd. Dat betekent dat een tutorgesprek na het antwoord bij die leverancier verdwijnt, en dus ook niet in een logbestand blijft staan waarop later nog iets gedaan kan worden.

Om GoYou beter te maken kijken we naar geanonimiseerde gegevens, zoals hoe vaak een werkvorm wordt gekozen en waar docenten hun lessen aanpassen, zodat we daarvan kunnen leren. Daar zit niets in dat naar een persoon te herleiden is.

8. Hoe lang bewaren jullie de gegevens?

Twee jaar na de laatste activiteit, en dan weg. Eén termijn voor alles: accounts, profielen, lesmateriaal, gemaakt werk, tutorgesprekken en logbestanden, van leerlingen en van docenten.

Wil je je gegevens eerder gewist hebben, dan regelen we dat. Stopt de samenwerking, dan krijgt de school de gegevens terug of vernietigen we ze, wat de school wil.

9. Wat als er toch iets misgaat?

• Dagelijkse back-ups, en wekelijks een versleutelde kopie buiten het platform. Zo zijn we voor het terugkrijgen van gegevens niet van één leverancier afhankelijk.
• De herstelprocedure wordt met regelmaat getest, elk kwartaal. We zetten een back-up ook echt terug en tellen of alles er weer is, tot en met de toegangsbeveiliging. Een back-up die je nooit hebt teruggezet is een aanname.
• We loggen wat er gebeurt, zodat achteraf te herleiden is wat er is gedaan.

Bij een datalek

Datalekken melden we zonder onnodige vertraging bij de school: wat er is gebeurd, welke gegevens het betreft, wat de gevolgen kunnen zijn en wat we eraan doen. De school doet vervolgens een eventuele melding bij de Autoriteit Persoonsgegevens. Vermoed je zelf een lek of een zwakke plek, meld het dan op security@goyou.io.

10. Wie is verantwoordelijk voor wat er in een les staat?

GoYou maakt het materiaal, jij als docent keurt het en jij geeft de les. Daarmee ligt de verantwoordelijkheid voor de inhoud bij jou en bij je school, net als bij elk ander materiaal dat je voor de klas gebruikt.

11. Voor je ib’er, bestuurder of inkoper

De verwerkersovereenkomst

Wij sluiten de Model Verwerkersovereenkomst die hoort bij het Convenant Digitale Onderwijsmiddelen en Privacy, met de standaardbijlagen: een privacybijsluiter (wat wordt verwerkt, waarvoor en hoe lang) en een beveiligingsbijlage (welke technische en organisatorische maatregelen we nemen). Op te vragen via privacy@goyou.io, ook zonder klant te zijn. Tekent een bestuur voor meerdere scholen, dan nemen we die in de bijlage op.

Voordat er getekend is

Dan geldt de verwerkersovereenkomst die onderdeel is van onze algemene voorwaarden: een docent die leerlingen uitnodigt, aanvaardt die namens de school. Zo staat de zeggenschap van de school vanaf de eerste leerling vast, ook in een pilot.

Rollen en het convenant

De school is verwerkingsverantwoordelijke, GoYou is verwerker en handelt in opdracht van de school. We werken volgens de afspraken uit het convenant en gebruiken de bijbehorende modelovereenkomst met bijlagen. Dat betekent onder meer dat de school zeggenschap houdt over de gegevens, dat wij alleen in opdracht verwerken, en dat beveiliging en datalekken zijn geregeld zoals het convenant voorschrijft.

Rechten van leerlingen, ouders en docenten

Inzage, correctie of verwijdering vraag je aan bij de school: die is verwerkingsverantwoordelijke. Wij helpen de school binnen de wettelijke termijnen aan die verzoeken te voldoen. Een leerling ziet in GoYou zelf welk profiel de tutor gebruikt, en kan dat zelf aanpassen.

Toegankelijkheid

Toegankelijkheid is een uitgangspunt bij de bouw: voldoende kleurcontrast, bedienbaar met het toetsenbord, werkend op een klein scherm en met tekst die meeschaalt.