Privacyverklaring

Laatst bijgewerkt: 31 augustus 2026

1. Wie wij zijn, en de twee petten die wij op hebben

LessonSolutions is een dienst van Just-Solutions, KvK 42024979, btw NL005439088B10, Panna 3, 5126 DJ Gilze, Nederland. Vragen over deze verklaring of over je gegevens: privacy@lesson-solutions.online.

In deze dienst spelen wij twee verschillende rollen, en dat is het belangrijkste wat je uit deze verklaring moet meenemen.

Voor de bijlesdocent zijn wij verwerkingsverantwoordelijke. Jouw account, je abonnement, je facturen aan ons en de beveiligingslogs zijn onze verantwoordelijkheid. Dat staat in artikel 2.
Voor alles wat een bijlesdocent over leerlingen en ouders vastlegt, zijn wij verwerker. De docent is daarvoor de verwerkingsverantwoordelijke; wij bewaren en verwerken die gegevens alleen op zijn of haar instructie. Dat staat in artikel 3, en de afspraken staan in de verwerkersovereenkomst.

Ben je ouder van een leerling? Dan is jouw aanspreekpunt de bijlesdocent van je kind, niet wij. Zie artikel 12.

De Nederlandse tekst is de authentieke versie. Wijken de Duitse of Engelse vertaling daarvan af, dan geldt de Nederlandse tekst.

2. Gegevens waarvoor wij verantwoordelijk zijn (de docent en de bezoeker)

Account: gebruikersnaam, e-mailadres, voor- en achternaam, voorkeurstaal, wachtwoord (alleen als versleutelde hash, nooit leesbaar), en of het account actief is.
Abonnement en facturatie: gekozen pakket, status en periode, en de factuurgegevens die je opgeeft (bedrijfsnaam, adres, land). De betaling zelf verloopt via Mollie; wij zien geen kaart- of rekeningnummers.
Praktijkprofiel: praktijknaam, adres, KvK, btw-nummer, IBAN, logo, accentkleur, tijdzone en je standaardtarief. Deze staan op wat je verstuurt.
Beveiligingslog: in- en uitloggen, mislukte inlogpogingen, een vergrendeld account, wachtwoordwijziging, e-mailwijziging en abonnementsgebeurtenissen — met tijdstip en IP-adres.
Contactformulier en e-mail: wat je ons stuurt, om je te kunnen antwoorden.
Voorkeuren in je browser: zie de cookieverklaring.

Grondslagen: uitvoering van de overeenkomst met jou (account, abonnement, ondersteuning), een wettelijke plicht (onze eigen administratie), en ons gerechtvaardigd belang bij een veilige dienst (het beveiligingslog, het tegengaan van misbruik).

3. Gegevens die wij namens de bijlesdocent verwerken (leerlingen en ouders)

De docent bepaalt welke van deze gegevens hij of zij vastlegt. Wij bepalen dat niet, en wij gebruiken ze nergens anders voor.

Welke persoonsgegevens wij verwerken, en van wie
Wat	Welke gegevens	Over wie
Ouder / contactpersoon	voor- en achternaam, e-mailadres, telefoonnummer, adres, land, vrije aantekeningen	de ouder
Leerling	voor- en achternaam, groep, school, geboortedatum, uurtarief, start- en einddatum, of de leerling actief is, vrije aantekeningen	het kind (ongeveer 4–12 jaar)
Lessen	datum en tijd, duur, vak, tarief en status (gepland, gegeven, uitgevallen, inhaalles, proefles, niet verschenen)	het kind
Lesverslag	de vrije notitie die de docent na de les schrijft, de behandelde onderwerpen, of er huiswerk is opgegeven en of het gemaakt is	het kind
Beoordelingen	een oordeel van 1 tot 5 per onderwerp, met datum, bewaard als historie	het kind
Voortgangsrapporten	het concept, de definitieve tekst, de pdf en de verzenddatum	het kind
Facturen aan ouders	factuurnummer, periode, regels met lesdatum en bedrag, btw-regeling, status, betaaldatum, herinneringen en de pdf	de ouder
Materiaal	werkbladen en andere bestanden die de docent uploadt	het kind
Berichten uit het ouderportaal	ziekmelding, verzoek om een extra les of een bericht, met de tekst die de ouder schrijft	de ouder en het kind
Portaaltoegang	een teller waarmee links kunnen worden ingetrokken, en het moment waarop het portaal voor het laatst is bezocht	de ouder
Proeflesaanvraag	naam van het kind, groep, naam, e-mailadres en telefoonnummer van de ouder, bericht	de ouder en het kind

Bijzondere persoonsgegevens. De dienst vraagt daar nergens om en heeft er geen veld voor. De vrije aantekeningen en het lesverslag zijn vrije tekst, dus een docent kán daar iets in zetten wat als bijzonder persoonsgegeven telt (bijvoorbeeld een vermelding van dyslexie of van een medische situatie). Onze algemene voorwaarden verbieden dat voor zover het niet nodig is voor de lespraktijk. Wij lezen die velden niet, maar wij kunnen ze technisch wel zien.

4. Waarvoor wij het gebruiken

Elk verwerkingsdoel en de grondslag eronder
Doel	Grondslag
Je account aanmaken, je laten inloggen en de dienst leveren	uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG)
Je abonnement innen en onze eigen facturen bewaren	uitvoering van de overeenkomst en een wettelijke plicht (art. 6 lid 1 sub b en c AVG)
Leerling- en oudergegevens opslaan en tonen aan de docent	wij doen dit als verwerker; de grondslag ligt bij de docent (art. 28 AVG)
Een conceptrapport laten schrijven door een taalmodel	wij doen dit als verwerker, op instructie van de docent — zie artikel 6
De dienst beveiligen, misbruik tegengaan en storingen onderzoeken	gerechtvaardigd belang (art. 6 lid 1 sub f AVG)
Websitestatistieken, als die zijn ingeschakeld	toestemming (art. 6 lid 1 sub a AVG) — zie de cookieverklaring

Wij verkopen geen gegevens, wij gebruiken de gegevens in de dienst niet om onze producten te verbeteren, en wij trainen er geen modellen mee.

5. Gegevens van kinderen

De leerlingen in dit product zijn kinderen van ongeveer vier tot twaalf jaar. Zij maken zelf geen account aan en hebben zelf geen toegang tot de dienst; alleen hun docent en hun ouder zien hun gegevens.

Wij hebben geen contact met het kind en geen overeenkomst met de ouder. De bijlesdocent spreekt met de ouder af dat hij of zij deze gegevens bijhoudt, en de docent is degene die daarvoor een grondslag moet hebben en de ouder moet informeren. Wij ondersteunen de docent daarbij, maar wij kunnen die afspraak niet voor hem of haar maken.

6. Conceptrapporten met AI, en de doorgifte naar de Verenigde Staten

Dit is de meest ingrijpende verwerking in dit product en zij verdient een eigen paragraaf: voor deze functie verlaten notities over een met naam genoemd kind de EU.

Vanaf het pakket Tutor kan de docent de dienst een eerste versie van een maandrapport laten schrijven. Daarvoor sturen wij aan Anthropic PBC (Verenigde Staten) precies het volgende: de voornaam van het kind, de groep, het vak, de periode, en per les de datum, de onderwerpen, de notitie van de docent en of het huiswerk gemaakt is, plus de beoordelingen van 1 tot 5. Achternaam, geboortedatum, school, adres, de gegevens van de ouder en de facturen gaan niet mee.

De waarborgen zijn ingebouwd, niet beloofd: het model krijgt alleen wat de docent zelf heeft vastgelegd en mag niets verzinnen; de uitkomst is altijd een concept dat de docent eerst moet nakijken; er wordt nooit automatisch iets naar een ouder verstuurd; en de functie zit alleen in de pakketten waar zij bij hoort. Zonder deze functie werkt de rapporteditor gewoon, dan schrijft de docent het concept zelf.

Anthropic is een sub-verwerker in de Verenigde Staten. De doorgifte steunt op de standaardcontractbepalingen van de Europese Commissie, opgenomen in de verwerkersvoorwaarden van Anthropic. Wat Anthropic met via de API aangeleverde gegevens doet, staat in hun privacybeleid.

Wil een docent of een ouder dit niet, dan is de oplossing eenvoudig: de docent gebruikt de functie niet. Er gaat dan niets naar Anthropic.

7. Het ouderportaal

Een ouder krijgt van de docent een persoonlijke link. Wie die link opent, hoeft niet in te loggen en ziet uitsluitend gegevens van het eigen gezin: de eerstvolgende lessen van de eigen kinderen, de werkbladen die de docent heeft gedeeld, de rapporten die de docent heeft verzonden, de openstaande facturen van dat gezin, en de naam en het IBAN van de praktijk om aan te betalen.

Wat wij bij dat bezoek vastleggen: het moment van het laatste bezoek (zodat de docent ziet dat het portaal in gebruik is), en wat de ouder zelf verstuurt (een ziekmelding, een verzoek om een extra les, of een bericht). Er wordt geen account aangemaakt en er wordt niets over het surfgedrag van de ouder bijgehouden.

De link is ondertekend, verwijst naar één gezin en kan niet worden aangepast om een ander gezin te tonen. Hij heeft bewust geen vervaldatum, omdat een ouder geen wachtwoord bij de docent van zijn kind onderhoudt. Daar staat tegenover dat de docent de toegang per gezin in één handeling kan intrekken; alle eerder verstuurde links van dat gezin werken dan direct niet meer. Wie de link doorstuurt, geeft die toegang door — behandel hem als een sleutel.

Wij hebben geen overeenkomst met de ouder. De docent is degene die de ouder over het portaal informeert en die bepaalt wie de link krijgt.

8. Wie de gegevens verder verwerkt

Partijen die gegevens voor ons verwerken, en waar
Partij	Waarvoor	Waar	Welke gegevens
Contabo GmbH	hosting van de servers, de database en de opgeslagen bestanden	Duitsland	alle gegevens in de dienst
TransIP B.V.	domeinnaam en DNS	Nederland	geen inhoudelijke gegevens
Eigen mailserver	verzenden van e-mail (activatie, wachtwoord, meldingen)	EU, dezelfde infrastructuur als de hosting	e-mailadres en de inhoud van het bericht
Mollie B.V.	betaling van jouw abonnement bij ons	Nederland	naam, e-mailadres en betaalgegevens
Anthropic PBC	het schrijven van een conceptvoortgangsrapport (artikel 6)	Verenigde Staten	voornaam, groep, vak, periode, lesnotities en beoordelingen
Google Ireland Limited	websitestatistieken — alleen wanneer analytics voor deze omgeving is ingeschakeld én je in de cookiebanner toestemming geeft	Ierland, met mogelijke verwerking daarbuiten	geanonimiseerde gebruiksstatistieken

Met elke partij die persoonsgegevens voor ons verwerkt, hebben wij een verwerkersovereenkomst. Wij verkopen geen gegevens en delen niets met adverteerders.

9. Doorgifte buiten de EU

De dienst draait op servers in Duitsland en de gegevens blijven daar staan. Er is één uitzondering, en dat is de AI-functie uit artikel 6: die stuurt lesnotities naar Anthropic in de Verenigde Staten, op basis van de standaardcontractbepalingen van de Europese Commissie. Gebruikt de docent die functie niet, dan verlaat er niets de EU.

Is analytics ingeschakeld en heb je daarvoor toestemming gegeven, dan kan Google die gegevens ook buiten de EER verwerken, eveneens op basis van de standaardcontractbepalingen.

10. Hoe lang wij gegevens bewaren

Wij beschrijven hier wat er vandaag gebeurt, ook waar dat nog niet is wat het zou moeten zijn.

Leerling- en oudergegevens, lessen, verslagen, beoordelingen en rapporten: deze blijven bestaan zolang de docent ze bewaart. Er is geen automatische opschoning. De docent kan een gezin met alle bijbehorende geschiedenis in één handeling wissen, en de dienst laat vooraf zien wat er dan precies verdwijnt.
Verstuurde facturen aan ouders: deze blijven staan. Een gezin waarvoor verstuurde facturen bestaan kan niet worden gewist, omdat de docent facturen op grond van artikel 52 van de Algemene wet inzake rijksbelastingen zeven jaar moet bewaren. De AVG laat die plicht uitdrukkelijk staan (artikel 17 lid 3 sub b). Een conceptfactuur is nog geen boekhouding: die is nooit verstuurd, blokkeert niets en wordt met het gezin mee gewist.
Jouw account: zolang je het hebt. Verwijder je het zelf, dan anonimiseren wij het account — gebruikersnaam, e-mailadres, naam en factuuradres worden gewist en je sessies worden beëindigd — én wissen wij je praktijk: leerlingen, ouders, lessen, lesverslagen, beoordelingen, rapporten, roosters, materiaal en berichten uit het ouderportaal. Dat gebeurt in één handeling, vóór de anonimisering: lukt het wissen niet, dan gaat het verwijderen van het account niet door en staat er niets ten onrechte als gewist geboekt.
Wat het verwijderen van je account laat staan: gezinnen waarvoor verstuurde facturen bestaan. Van zo'n gezin blijven alleen de naam en het adres over — dat is het factuuradres, zonder welke een factuur geen geldige factuur is. E-mailadres, telefoonnummer, notities en de toegang tot het ouderportaal verdwijnen, en elke eerder gemailde portaallink wordt ongeldig. De leerling zelf, de lessen en de lesverslagen worden ook dan gewist. Op de factuurregels staat wel de naam van het kind en de datum van de les, omdat een factuur moet vermelden wat er geleverd is; dat is de enige plek waar die naam de zeven jaar meegaat.
Beveiligingslog met IP-adres: dit wordt vandaag niet automatisch opgeschoond. Wij stellen hiervoor een vaste termijn vast bij de juridische toetsing van deze verklaring.
Onze eigen facturen aan jou: zeven jaar, wettelijke bewaarplicht.
E-mail die je ons stuurt: zolang nodig om je vraag af te handelen en daarna nog een beperkte periode voor de historie.

11. Beveiliging

Wat wij feitelijk doen:

alle verbindingen via HTTPS;
wachtwoorden alleen als hash opgeslagen, nooit leesbaar;
de sessiecookie is HttpOnly, Secure en SameSite, zodat scripts er niet bij kunnen;
de toegangstoken van een sessie is kortlevend en wordt vernieuwd;
elke opvraging in de dienst is gebonden aan de eigenaar van het account, zodat een praktijk nooit gegevens van een andere praktijk kan opvragen; hetzelfde geldt voor een portaallink en het gezin waar die bij hoort;
snelheidsbegrenzing op inloggen en op de rest van de API, en tijdelijke vergrendeling na herhaald mislukt inloggen;
beveiligingsheaders op elke reactie van de server;
een spamfilter op formulieren dat op onze eigen server draait (ALTCHA, rekenwerk in de browser) en geen derde partij inschakelt;
een beveiligingslog van inlog- en accountgebeurtenissen;
servers in Duitsland, binnen de EU.

Volledige veiligheid bestaat niet. Vermoed je een lek of zie je iets vreemds, mail dan meteen naar het adres onderaan deze verklaring.

12. Jouw rechten

Je hebt recht op inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid van je gegevens, en je kunt gegeven toestemming altijd intrekken.

Ben je bijlesdocent en klant bij ons? Je kunt je profiel zelf aanpassen, je gegevens exporteren en je account verwijderen vanuit je instellingen. Lukt iets niet, mail dan privacy@lesson-solutions.online. Wij reageren binnen een maand.

Ben je ouder van een leerling? Richt je verzoek dan aan de bijlesdocent van je kind. Zij of hij bepaalt welke gegevens over jouw kind worden vastgelegd en is daarvoor verwerkingsverantwoordelijke; wij mogen die gegevens niet op eigen initiatief wijzigen of verwijderen. Weet je niet bij wie je moet zijn, of reageert de docent niet, mail dan privacy@lesson-solutions.online — dan wijzen wij je de weg en helpen wij de docent je verzoek af te handelen.

13. Klacht indienen

Ben je het oneens met hoe wij met je gegevens omgaan, laat het ons dan eerst weten — wij lossen het liever zelf op. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens: autoriteitpersoonsgegevens.nl.

14. Wijzigingen en contact

Wij passen deze verklaring aan als de dienst verandert. De datum bovenaan geeft de laatste wijziging aan. Bij een wezenlijke wijziging informeren wij accounthouders per e-mail.

Verwerkingsverantwoordelijke: Just-Solutions, KvK 42024979, btw NL005439088B10, Panna 3, 5126 DJ Gilze, Nederland.
Privacy en gegevensbescherming: privacy@lesson-solutions.online
Overige vragen en ondersteuning: support@lesson-solutions.online
Gezien de aard en omvang van onze verwerking zijn wij niet verplicht een functionaris voor gegevensbescherming aan te wijzen; richt privacyverzoeken aan het bovenstaande adres.