Privacyverklaring

1. Wie zijn wij?

Verwerkingsverantwoordelijke: BC Opleidingen B.V., gevestigd te Enkhuizen, ingeschreven bij de Kamer van Koophandel.

Contact voor privacyvragen: info@bc-opleidingen.nl.

Functionaris voor Gegevensbescherming (FG): Wij hebben geen wettelijk verplichte FG aangesteld. Voor vragen kun je terecht bij bovenstaand mailadres.

2. Welke gegevens verwerken wij?

Wij verwerken de volgende categorieën persoonsgegevens:

• Accountgegevens (verplicht): voor- en achternaam, e-mailadres, veilig opgeslagen wachtwoord, rol en taal-/tijdzonevoorkeur.
• Optionele profielgegevens: tussenvoegsel, profielfoto, telefoonnummer, geboortedatum, adres, postcode, woonplaats, land, biografie en links naar sociale profielen — alleen als je deze zelf invult.
• Leervoortgang: inschrijvingen, voltooide lessen, toetsresultaten, behaalde certificaten, tijdsbesteding per activiteit en MemoTrainer-statistieken.
• Communicatie: berichten in de berichten-inbox, discussiebijdragen, persoonlijke notities, portfolio-items en gemelde inhoudsfouten.
• Technische en beveiligingsgegevens: IP-adres, browsertype, sessiecookie, en een audit-log van acties op het platform — waaronder inloggen, wachtwoord- en rolwijzigingen, examenacties (starten, antwoorden, indienen) en signalen tijdens een examen die op onregelmatigheden kunnen wijzen (tabblad-wissel, fullscreen verlaten, focus-verlies, kopieerpogingen), certificaatuitgifte, beheeracties en impersonatie door een beheerder.
• ID-verificatie bij bepaalde examens: als voor een examen ID-controle staat ingeschakeld, leggen we bij de start een foto van jou mét je legitimatiebewijs vast. Dit is een bijzonder persoonsgegeven (biometrisch, AVG art. 9) en gebeurt uitsluitend na jouw uitdrukkelijke toestemming; zonder die toestemming kun je niet aan dat examen beginnen.

Afgezien van de ID-verificatie hierboven verzamelen wij geen bijzondere persoonsgegevens (zoals gezondheid, ras, religie). Wij maken geen gebruik van trackingcookies of advertentienetwerken.

3. Doeleinden en grondslag (AVG)

Wij verwerken je gegevens uitsluitend voor onderstaande doeleinden, telkens op basis van een AVG-grondslag:

• Uitvoering overeenkomst (art. 6 lid 1 sub b): toegang verlenen tot de cursussen waarvoor je bent ingeschreven, voortgang en certificering vastleggen, communicatie via berichten/discussies.
• Gerechtvaardigd belang (art. 6 lid 1 sub f): beveiliging van het platform (audit-logs, rate-limiting, anti-misbruik), kwaliteitsverbetering, voorkomen van fraude.
• Wettelijke verplichting (art. 6 lid 1 sub c): bewaren van diploma- en certificeringsgegevens voor zover wettelijk vereist binnen de duikers-branche, fiscale bewaarplicht voor facturen.
• Toestemming (art. 6 lid 1 sub a): niet-essentiële cookies (alleen voorkeurskeuze) en optionele e-mailnotificaties — alleen na expliciete opt-in via je profielinstellingen.
• Uitdrukkelijke toestemming bijzondere gegevens (art. 9 lid 2 sub a): de ID-verificatiefoto bij examens waarvoor dat is ingeschakeld — alleen na jouw expliciete toestemming op het moment zelf.

4. Cookies

Wij gebruiken alleen functionele cookies en localStorage-items. Geen tracking-, advertentie- of analytische cookies van derden.

• een inlogsessie-cookie (verplicht om ingelogd te kunnen blijven)
• een cookie dat je keuze in de cookie-banner onthoudt
• een cookie met je voorkeurstaal

Bij eerste bezoek vragen wij je toestemming via een cookie-banner. Functionele cookies zijn noodzakelijk en kun je niet uitschakelen zonder dat het platform stopt te werken.

5. Subverwerkers en internationale doorgifte

Voor het leveren van de dienst maken wij gebruik van zorgvuldig geselecteerde subverwerkers. Met elk daarvan is een verwerkersovereenkomst (DPA) afgesloten:

• Vercel Inc. (Verenigde Staten) — hosting van de webapplicatie en globale CDN.
• Supabase Inc. (Verenigde Staten / EU regio) — PostgreSQL database, bestandsopslag en authenticatie. Onze databaseservers staan in een EU-regio.
• TransIP B.V. (Nederland) — domeinregistratie en uitgaande mailservice voor transactionele e-mails.
• Anthropic PBC, OpenAI Inc., Google LLC (Verenigde Staten) — AI-modellen voor automatische vertaling, vraaggeneratie en content-optimalisatie. Belangrijk: alleen lesinhoud en cursus-gerelateerde tekst worden naar AI-modellen verstuurd, geen persoonsgegevens van cursisten.
• Upstash Inc. (Verenigde Staten / EU regio) — Redis voor rate-limiting. Bevat alleen IP-adressen en tijdelijke teller-keys, geen persoonsgegevens.

Voor doorgifte van persoonsgegevens naar de Verenigde Staten baseren wij ons op de EU-VS Data Privacy Framework (DPF) certificering van bovengenoemde Amerikaanse leveranciers, dan wel op de Standaardcontractbepalingen (SCC) van de Europese Commissie waar DPF niet van toepassing is.

6. Bewaartermijnen

• Accountgegevens: zolang je account actief is, plus een herstel-window van 30 dagen nadat je het hebt verwijderd. Daarna anonimiseren we je account automatisch: je naam, e-mailadres, telefoonnummer en andere identificerende gegevens worden vervangen door een placeholder en inloggen is niet meer mogelijk. Op dat moment verwijderen we ook meteen alle strikt persoonlijke content die niet onder een bewaarplicht valt, zoals notities, portfolio-items, berichten en meldingen. Examengerelateerde gegevens blijven wél bewaard — zie hieronder waarom. Pas zeven jaar na de anonimisering, en alleen als er dan geen geldige certificaten meer aan het account hangen, verwijderen we ook de laatste (al geanonimiseerde) resten definitief.
• Behaalde certificaten en diploma's: blijven na anonimisering van je account gewoon bestaan, gekoppeld aan het geanonimiseerde accountrecord — wij zijn wettelijk verplicht ons certificeringsdossier op orde te houden (ISO 17024 §9.4.6). Zeven jaar na de anonimisering worden ze definitief verwijderd, tenzij het certificaat dan nog geldig is; in dat geval wachten we tot het is ingetrokken of verlopen.
• Toetsresultaten en examenpogingen: worden — anders dan je misschien zou verwachten — niet verwijderd zodra je je account opzegt. Ze blijven, net als certificaten en een eventuele ID-verificatiefoto, bewaard tot zeven jaar na anonimisering van je account, omdat wij als exameninstelling verplicht zijn ons examendossier compleet te houden (ISO 17024 §9.4.6). Ze worden wel losgekoppeld van je herleidbare naam en e-mailadres zodra je account is geanonimiseerd.
• Audit-logs (login, examen- en beheeracties): worden minimaal zeven jaar bewaard. Zo'n logboek moet betrouwbaar zijn voor een certificeringsaudit, dus wordt het nooit tussentijds gewijzigd of vervroegd verwijderd — ook niet wanneer je je account opzegt.
• Communicatie (berichten, discussies, notities): zolang het account actief is. Bij anonimisering van je account verwijderen we al je verstuurde berichten, discussiebijdragen en notities definitief — ook uit gesprekken met andere, nog actieve gebruikers verdwijnt jouw deel dan.
• Cookie-keuze: onthouden we in je browser totdat je zelf browsergegevens wist of een andere keuze maakt; hier zit geen automatische vervaltermijn op.

7. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om je persoonsgegevens te beschermen, waaronder:

• versleuteling van gegevens tijdens transport
• veilige opslag van wachtwoorden (eenrichtings-hashing)
• toegangscontrole en audit-logging van gevoelige acties
• bescherming tegen misbruik via rate-limiting
• dagelijkse database-backups
• periodieke interne beveiligingsbeoordelingen

Mocht zich ondanks deze maatregelen toch een datalek voordoen, dan volgen wij de procedure beschreven in sectie 9.

8. Jouw rechten (AVG)

Onder de AVG heb je recht op:

• Inzage (art. 15) — vraag een kopie aan van de gegevens die wij over je bewaren. Beschikbaar als JSON-download via Profielinstellingen → Privacy & data → Data exporteren.
• Rectificatie (art. 16) — onjuiste gegevens laten corrigeren. Doe dit zelf via je profielinstellingen of mail ons.
• Wissing / vergetelheid (art. 17) — verwijdering van je account via Profielinstellingen → Privacy & data → Account verwijderen. Bevestiging met je wachtwoord en bevestigingstekst is vereist.
• Beperking (art. 18) — verzoek om bepaalde verwerking tijdelijk stop te zetten.
• Dataportabiliteit (art. 20) — download van je gegevens in JSON-formaat (zelfde knop als bij Inzage).
• Bezwaar (art. 21) — tegen verwerking op basis van gerechtvaardigd belang.
• Intrekken toestemming — voor verwerkingen op basis van toestemming, bijvoorbeeld e-mailnotificaties (uitschakelbaar in profiel).
• Klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl) als je vindt dat wij je rechten schenden.

Stuur verzoeken naar info@bc-opleidingen.nl. Wij reageren binnen één maand, conform de AVG.

9. Datalek-procedure

Bij een datalek dat een hoog risico oplevert voor de rechten en vrijheden van betrokkenen volgen wij de procedure uit de AVG:

• Binnen 72 uur na ontdekking melden wij het lek bij de Autoriteit Persoonsgegevens, indien meldingsplichtig.
• Wij informeren direct getroffen gebruikers via e-mail wanneer het lek waarschijnlijk een hoog risico voor hun privacy oplevert.
• Wij analyseren de oorzaak, beperken de schade en treffen maatregelen om herhaling te voorkomen. Het incident en de getroffen maatregelen worden vastgelegd in onze interne incidentregistratie.

Heb je zelf een vermoeden van een datalek (bv. een verdacht bericht of zichtbaarheid van data van een andere gebruiker)? Mail dit direct naar info@bc-opleidingen.nl.

10. Wijzigingen en contact

Wijzigingen in deze privacyverklaring publiceren wij op deze pagina. Bij ingrijpende wijzigingen die invloed hebben op de verwerking van je persoonsgegevens informeren wij actieve gebruikers per e-mail.

Contact:
BC Opleidingen B.V. — Beroepsduikers Centrum
E-mail: info@bc-opleidingen.nl
Web: learningapp.nl