Privacybeleid

De verwerkingsverantwoordelijke voor de in dit beleid beschreven verwerking is 4cs BV, een besloten vennootschap opgericht in België, met maatschappelijke zetel te Lindekensweg 3, 2160 Wommelgem, Belgium en ondernemingsnummer BE 1014.832.509. In dit beleid verwijzen "wij", "ons" en "onze" naar 4cs BV, die de dienst SKØØLSKILL exploiteert op dev.skoolskill.com en aanverwante domeinen (de "Dienst").

U kunt ons privacyteam bereiken via [email protected] of per post op bovenstaand adres, ter attentie van "Privacy".

Dit beleid is van toepassing op persoonsgegevens die wij verwerken wanneer u onze marketingwebsite bezoekt, een account aanmaakt, de Dienst gebruikt (waaronder het scannen van notities, oefenen, chatten met onze AI-tutor Nova, deelnemen aan klassen en ranglijsten en aankopen doen), contact opneemt met onze ondersteuning of anderszins met ons communiceert. Het is niet van toepassing op sites of diensten van derden waarnaar wij linken — die werken onder hun eigen privacybeleid.

Wij verzamelen de volgende categorieën persoonsgegevens:

3.1 Account- & profielgegevens

• E-mailadres, weergavenaam en (als u inlogt met Google) uw Google-accountidentificatie.
• Authenticatiegegevens (wachtwoord-hashes, sessietokens, inlogtijdstempels, apparaat- en browserinformatie).
• Geboortejaar, voorkeurstaal, tijdzone en eventuele optionele profielvelden die u invult.
• Lidmaatschappen van klassen, uitnodigingscodes die u inwisselt en — als u minderjarig bent — de contactgegevens van de ouder zoals beschreven in deel 6.

3.2 Leerinhoud die u verstrekt

• Afbeeldingen van notities en documenten die u uploadt om te scannen.
• Tekst die uit die uploads wordt geëxtraheerd ("atomen"), de vaardigheden waaraan ze worden gekoppeld en de oefenvragen die eruit worden gegenereerd.
• Uw antwoorden op oefenvragen, fouten, beheersingsscores, streaks, deadlines, studiesessies en alle berichten die u met de Nova AI-tutor uitwisselt.

3.3 Gebruiks- & apparaatgegevens

• Pagina's die u bekijkt, functies die u gebruikt, prestatie- en foutlogs, IP-adres, bij benadering bepaalde locatie op basis van IP, browsertype en -taal, en apparaatidentificatoren.
• Interactiegebeurtenissen die nodig zijn voor gamification (XP, munten, levens, quests) en voor het bedienen en verbeteren van de Dienst.

3.4 Facturatiegegevens

• Abonnementstype, maandelijkse abonnementsstatus, AI-gebruikstoewijzing en -verbruik, saldo en transacties van gems, aankoopgeschiedenis, factureringsland en btw-gegevens die u verstrekt.
• Betaalkaart- en factureringsgegevens worden rechtstreeks door Stripe verwerkt — wij ontvangen alleen een tokenverwijzing en beperkte metadata (laatste vier cijfers, merk, land). Wij zien of bewaren nooit volledige kaartnummers.

3.5 Communicatie

• E-mails of berichten die u ons stuurt voor ondersteuning, feedback, misbruikmeldingen of juridische verzoeken, samen met onze antwoorden.

3.6 Gegevens die wij niet bewust verzamelen

• We vragen niet om bijzondere categorieën persoonsgegevens onder artikel 9 AVG (gezondheid, etniciteit, religie, biometrie, seksuele geaardheid, enz.), en deze mogen ons niet worden toegezonden. Als u ervoor kiest om dergelijke gegevens op te nemen in notities die u uploadt, doet u dat op eigen initiatief; wij behandelen die gegevens met dezelfde waarborgen als andere geüploade inhoud en gebruiken ze niet om u te profileren.

We verwerken persoonsgegevens alleen voor de hieronder vermelde specifieke doeleinden. Voor elk doel steunen we op een rechtsgrond uit artikel 6, lid 1, AVG:

U hebt het recht bezwaar te maken tegen verwerking op basis van gerechtvaardigde belangen — zie deel 10.

Verschillende functies van SKØØLSKILL steunen op grote taalmodellen: het scannen van notities (OCR), het koppelen ervan aan vaardigheden, het genereren van oefenvragen en het chatten met de Nova-tutor. Om deze functies mogelijk te maken sturen we de minimaal noodzakelijke inhoud — zoals een geüploade afbeelding, een studiefragment of uw chatbericht — naar Anthropic, PBC via de Claude API, en soms via OpenRouter Inc., dat als neutrale routeringslaag fungeert.

Wat dit in de praktijk betekent:

• Wij gebruiken uw inhoud momenteel niet om enig AI-model te trainen en wij hebben onze AI-leveranciers geen toestemming gegeven te trainen op API-inhoud die u via de Dienst verzendt.
• Anthropic heeft publiekelijk bevestigd dat API-invoer en -uitvoer van zijn commerciële producten standaard niet worden gebruikt om zijn modellen te trainen. Zie de toelichting van Anthropic: privacy.anthropic.com — "Is my data used for model training?"
• Anthropic kan API-inhoud gedurende een beperkte periode bewaren voor trust-and-safety- en juridische doeleinden, overeenkomstig zijn eigen gepubliceerde beleid. Zie het privacybeleid en de commerciële servicevoorwaarden van Anthropic.
• Een gebruikersinstelling ("Help de AI verbeteren") is beschikbaar in Accountinstellingen en staat standaard uit. Door deze aan te zetten geeft u toestemming dat we geanonimiseerde oefengegevens in de toekomst gebruiken om onze modellen en functies te verbeteren. Zelfs voor gebruikers die zich aanmelden, draaien we momenteel geen enkele trainingspijplijn; als dat verandert, zullen we dit beleid bijwerken, redelijke voorafgaande kennisgeving doen en indien wettelijk vereist opnieuw toestemming vragen voordat een nieuwe trainingsdoelstelling begint.
• AI-uitvoer kan onjuist, onvolledig, bevooroordeeld of verouderd zijn. U bent verantwoordelijk voor het verifiëren van alles waarop u steunt voor echt schoolwerk, cijfers of beslissingen. Zie de algemene voorwaarden voor de volledige disclaimer.

EU AI Act. SKØØLSKILL is een studiehulpmiddel. De Dienst wordt niet gebruikt om de toegang van een persoon tot onderwijs te bepalen, formele toetsen te becijferen of toelatingen toe te wijzen. Op die grond beschouwen wij de Dienst niet als een "hoogrisico-AI-systeem" volgens bijlage III van Verordening (EU) 2024/1689 (de AI Act). We monitoren onze functies ten opzichte van de AI Act en zullen onze informatievoorziening bijwerken als deze classificatie verandert.

Minimumleeftijd — 13. SKØØLSKILL wordt nergens aangeboden aan personen jonger dan 13 jaar. Wij maken niet bewust accounts aan voor kinderen onder de 13 en wij verzamelen niet bewust persoonsgegevens van hen. Als wij vaststellen dat een gebruiker jonger is dan 13, sluiten wij het account en verwijderen wij de bijbehorende persoonsgegevens volgens het schema in deel 11.

Digitale toestemmingsleeftijd in de EER. Volgens artikel 8 AVG bepaalt elke EER-lidstaat de digitale toestemmingsleeftijd voor diensten van de informatiemaatschappij tussen 13 en 16 jaar (België 13, Italië 14, Frankrijk 15, Duitsland en Nederland 16, enz.). Waar de digitale toestemmingsleeftijd in het land van verblijf van de gebruiker hoger is dan 13, moet een ouder of wettelijke voogd onder die leeftijd namens het kind toestemming geven — en in elk geval geldt onze striktere "onder 18"-regel hieronder.

Striktere interne regel — ouderlijke betrokkenheid onder de 18. Ongeacht de lokale digitale toestemmingsleeftijd vereisen wij ouderlijke betrokkenheid voor elke gebruiker onder de 18 jaar:

• Tijdens de onboarding vragen we het geboortejaar van de gebruiker. Is de gebruiker jonger dan 18, dan vereisen we dat zij het e-mailadres van een ouder of wettelijke voogd opgeven en bevestigen dat die ouder/voogd toestemming heeft gegeven voor het gebruik van de Dienst door het kind.
• We bewaren dat e-mailadres op het account van het kind als contactadres voor de ouder of voogd. We gebruiken het om te reageren op verzoeken namens het kind, om de ouder/voogd waar nodig op de hoogte te stellen van materiële wijzigingen in de dienst of het beleid, en voor communicatie over accountveiligheid.
• Een ouder of wettelijke voogd kan ons op elk moment verzoeken om toegang, export, correctie, opschorting of verwijdering van het account van het kind, door te mailen naar [email protected] vanaf het geregistreerde adres of door redelijk bewijs van bevoegdheid te leveren.
• Wij verzamelen of gebruiken wetens geen persoonsgegevens van een kind voor gedragsreclame, en wij verkopen of verhuren geen gegevens van kinderen.

Verenigde Staten — COPPA. SKØØLSKILL is een dienst voor algemeen publiek die niet gericht is op kinderen jonger dan 13 jaar in de zin van de Amerikaanse Children's Online Privacy Protection Act (COPPA). Wij verzamelen, gebruiken of openbaren niet bewust persoonsgegevens van een kind onder de 13 in de Verenigde Staten. Een Amerikaanse ouder of voogd die meent dat een kind onder de 13 ons persoonsgegevens heeft verstrekt, kan via [email protected] verwijdering vragen.

Verenigd Koninkrijk — Age Appropriate Design Code. Voor gebruikers in het VK ontwerpen wij de Dienst conform de beginselen van de Children's Code (Age Appropriate Design Code) van de Information Commissioner's Office, waaronder gegevensminimalisatie, standaard privacybeschermende instellingen en geen gedragsreclame voor kinderen. De UK GDPR is van toepassing op gebruikers in het VK, naast (en waar strenger, in plaats van) de EU AVG-verwijzingen in dit Beleid.

Als u vermoedt dat een kind jonger dan 18 jaar een account heeft aangemaakt zonder passende betrokkenheid van een ouder — of dat een kind jonger dan 13 hoe dan ook een account heeft aangemaakt — neem dan contact met ons op; wij treden dan onverwijld op.

We delen persoonsgegevens met een beperkt aantal dienstverleners ("subverwerkers") die ons helpen de Dienst uit te voeren. Elk van hen is gebonden door een schriftelijke overeenkomst die hen beperkt tot verwerking van gegevens uitsluitend op onze gedocumenteerde instructies en volgens dezelfde beveiligings- en vertrouwelijkheidsnormen.

We zullen deze lijst bijwerken wanneer subverwerkers wijzigen. Materiële toevoegingen die van invloed zijn op de manier waarop uw gegevens worden verwerkt, worden vooraf aangekondigd per e-mail of via een in-app kennisgeving.

Wij verstrekken ook persoonsgegevens aan bevoegde overheidsinstanties, rechtbanken of rechtshandhavingsinstanties wanneer we daartoe verplicht zijn of wettelijk toestemming hebben, en aan professionele adviseurs (advocaten, accountants, auditors) die gebonden zijn door geheimhouding, voor zover strikt noodzakelijk. De gedetailleerde regels over wanneer en wat we aan autoriteiten bekendmaken staan in deel 7 van de tegenhanger van dit beleid: de algemene voorwaarden, deel 16 (Rechtshandhaving & juridische verzoeken). Autoriteiten kunnen ons bereiken op [email protected]; dit adres fungeert ook als ons enige contactpunt onder artikel 11 (autoriteiten) en artikel 12 (afnemers) van de Digital Services Act.

Toegang binnen 4cs BV. Toegang tot uw persoonsgegevens door ons personeel is beperkt tot medewerkers die deze nodig hebben voor een specifieke legitieme taak (ondersteuning, afhandeling van misbruik, beveiliging, facturatie, juridische zaken, engineering tijdens een incident). Toegang wordt gelogd en valt onder schriftelijke vertrouwelijkheidsverplichtingen. We bekijken de inhoud van uw notities, scans of Nova-chats niet routinematig.

Inhoudsmoderatie is klachtgedreven. Wij screenen de inhoud die u uploadt niet vooraf. We handelen op specifieke meldingen van illegale inhoud (zie deel 14 van de voorwaarden), op bevelen van bevoegde autoriteiten en op signalen van onze geautomatiseerde misbruikdetectiesystemen die specifieke platformbrede misbruikpatronen markeren.

Wij verkopen uw persoonsgegevens niet en wij delen ze niet met adverteerders voor gerichte reclame.

Sommige van onze subverwerkers zijn buiten de Europese Economische Ruimte gevestigd, voornamelijk in de Verenigde Staten. Wanneer persoonsgegevens de EER verlaten, treffen wij ten minste één van de doorgiftemechanismen die onder hoofdstuk V AVG zijn erkend, doorgaans:

• een adequaatheidsbesluit van de Europese Commissie (bijvoorbeeld het EU–VS Data Privacy Framework, waar de ontvanger is gecertificeerd), of
• de modelcontractbepalingen van de Europese Commissie (Besluit 2021/914), waar nodig aangevuld met aanvullende technische en organisatorische maatregelen (versleuteling tijdens doorgifte en in rust, pseudonimisering, toegangscontroles).

U kunt een kopie van de relevante waarborgen opvragen via [email protected]. We kunnen commercieel gevoelige voorwaarden onleesbaar maken.

We bewaren persoonsgegevens slechts zo lang als we ze nodig hebben voor de in dit beleid beschreven doeleinden:

• Account- & profielgegevens: zolang uw account actief is en tot 12 maanden na sluiting, zodat u kunt heractiveren zonder voortgang te verliezen.
• Geüploade notities, atomen, vragen, pogingen, beheersingsrecords: zolang uw account actief is; u kunt individuele items op elk moment verwijderen via het Atomen-scherm.
• Nova-chatgeschiedenis: bewaard om u continuïteit te bieden tussen sessies; u kunt individuele gesprekken op elk moment verwijderen.
• Authenticatie- en beveiligingslogs: tot 12 maanden.
• Facturatiegegevens & facturen: 7 jaar bewaard na het einde van het boekjaar waarop ze betrekking hebben, zoals vereist door de Belgische fiscale en boekhoudwet.
• Ondersteuningscorrespondentie: tot 3 jaar na sluiting van het dossier.
• Back-ups: roterend met een cyclus van maximaal 35 dagen; gegevens in back-ups worden alleen hersteld in scenario's voor rampherstel en worden in het normale verloop van de rotatie overschreven.

Wanneer een bewaartermijn afloopt, verwijderen we de gegevens of anonimiseren we ze onomkeerbaar zodat ze niet langer aan u kunnen worden gekoppeld.

Onder de voorwaarden van de AVG hebt u het recht om:

• Inzage — bevestiging te krijgen dat wij uw gegevens verwerken en een kopie ervan (Art. 15).
• Rectificatie — onjuiste gegevens te laten corrigeren of onvolledige gegevens te laten aanvullen (Art. 16).
• Wissing — ons te vragen uw gegevens te verwijderen in de situaties genoemd in Art. 17 ("recht op vergetelheid").
• Beperking — ons te vragen de verwerking te beperken terwijl een geschil wordt opgelost (Art. 18).
• Gegevensoverdraagbaarheid — de door u verstrekte gegevens te ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat en deze waar technisch mogelijk over te laten dragen aan een andere verwerkingsverantwoordelijke (Art. 20).
• Bezwaar — op elk moment bezwaar te maken tegen verwerking op basis van gerechtvaardigde belangen, waaronder profilering, op gronden die verband houden met uw specifieke situatie (Art. 21). U kunt te allen tijde bezwaar maken tegen direct marketing, zonder opgave van redenen.
• Toestemming intrekken — op elk moment wanneer wij op toestemming steunen, zonder afbreuk te doen aan de rechtmatigheid van eerdere verwerking (Art. 7(3)).
• Niet onderworpen te worden aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit dat juridische of vergelijkbaar aanzienlijke gevolgen voor u heeft (Art. 22). Zie deel 14.

Om een van deze rechten uit te oefenen, mailt u naar [email protected]. We antwoorden binnen een maand (verlengbaar met nog eens twee maanden voor complexe verzoeken, waarbij we u dit binnen de eerste maand laten weten).

We kunnen om redelijk bewijs van identiteit vragen voordat we op een verzoek ingaan, om u te beschermen tegen identiteitsdiefstal.

U hebt ook het recht een klacht in te dienen bij een toezichthoudende autoriteit. In België is dat de Gegevensbeschermingsautoriteit (Gegevensbeschermingsautoriteit / Autorité de protection des données), Drukpersstraat 35, 1000 Brussel, www.dataprotectionauthority.be. U kunt ook klacht indienen bij de toezichthoudende autoriteit van uw gewone verblijfplaats.

We gebruiken een klein aantal cookies en items in lokale opslag:

• Strikt noodzakelijk — sessiecookies (authenticatie), CSRF-bescherming en een taalvoorkeurscookie. Deze vereisen geen toestemming omdat ze essentieel zijn om de door u gevraagde dienst te leveren.
• Functioneel — voorkeuren zoals donkere/lichte modus en onboarding-status.
• Analyse / diagnostiek — minimale foutmonitoringbakens (Sentry) die uitsluitend worden gebruikt om crashes en prestatieproblemen te identificeren. We gebruiken geen reclame- of sitetrackingcookies van derden.

U kunt cookies beheren via uw browser. Door strikt noodzakelijke cookies te blokkeren, werkt de Dienst niet meer.

Wij nemen redelijke en passende technische en organisatorische maatregelen om uw persoonsgegevens te beschermen, waaronder: transportversleuteling (HTTPS/TLS), versleuteling in rust voor opgeslagen bestanden en database-back-ups, gescopete toegangscontroles op basis van het beginsel van minimale bevoegdheden, auditlogs, tijdelijke authenticatietokens, wachtwoordhashing, rate-limiting en misbruikdetectie, regelmatige patching en gescheiden productieomgevingen.

Geen enkel systeem is volkomen veilig. Ook u speelt een belangrijke rol: gebruik een sterk, uniek wachtwoord, schakel waar beschikbaar tweefactorauthenticatie in en houd uw apparaat en browser up-to-date.

Als een inbreuk op persoonsgegevens waarschijnlijk een risico inhoudt voor uw rechten en vrijheden, zullen we de bevoegde toezichthoudende autoriteit zonder onredelijke vertraging op de hoogte brengen, en indien haalbaar binnen 72 uur nadat we daarvan kennis hebben gekregen, in overeenstemming met de artikelen 33 en 34 AVG. Wanneer de inbreuk waarschijnlijk een hoog risico met zich meebrengt, zullen we ook de betrokken gebruikers rechtstreeks op de hoogte brengen.

De Dienst gebruikt algoritmes om vragen te rangschikken op moeilijkheid, oefeningen aan te passen aan uw zwakste vaardigheden, antwoorden van de tutor te genereren en XP, streaks en ranglijstposities toe te kennen. Deze beslissingen beïnvloeden uw ervaring binnen de app, maar hebben geen juridische gevolgen of vergelijkbaar aanzienlijke gevolgen voor u in de zin van artikel 22 AVG. We gebruiken geen geautomatiseerde besluitvorming voor kredietscoring, verzekeringen, werving of vergelijkbare beslissingen met grote impact.

We kunnen dit beleid bijwerken om wijzigingen in de Dienst, onze subverwerkers of de wet te weerspiegelen. Wanneer we een materiële wijziging aanbrengen, werken we de "Ingangsdatum" hierboven bij en geven we bij belangrijke wijzigingen redelijke voorafgaande kennisgeving per e-mail of in-app banner. De huidige versie is altijd beschikbaar op https://skoolskill.com/nl/privacy.

Voor elke vraag, verzoek of klacht met betrekking tot uw persoonsgegevens kunt u contact opnemen met:

Bent u niet tevreden met onze reactie, dan kunt u een klacht indienen bij de Belgische Gegevensbeschermingsautoriteit (zie deel 10 voor contactgegevens) of bij de toezichthoudende autoriteit van uw EU-lidstaat van verblijf.