Privacybeleid

Dit privacybeleid beschrijft twee verschillende dingen. Deel A gaat over deze marketingwebsite (www.ledgerlegends.be) — wat er gebeurt als je hier surft of een formulier invult. Deel B gaat over de app zelf (app.ledgerlegends.be), waar leerlingen en leerkrachten mee werken. In de app is niet Ledger Legends maar de school de verwerkingsverantwoordelijke; wij zijn daar verwerker.

Wie zijn wij?

Ledger Legends wordt uitgebaat door Hans D'hont · Brielmolenstraat 81, 9160 Eksaarde · KBO 0804.161.672 · ledgerlegendsapp@gmail.com. Waar dit beleid “wij” of “Ledger Legends” zegt, gaat het om deze onderneming.

Deel A — Deze website

A.1 Hosting

Deze website wordt gehost door Vercel Inc. (VS), met levering vanuit het Europese netwerk (regio Frankfurt). Vercel verwerkt daarbij de technische gegevens die elk bezoek aan een website nodig heeft: IP-adres, browsertype en de opgevraagde pagina, in serverlogs met een korte bewaartermijn. Vercel is gecertificeerd onder het EU-US Data Privacy Framework, dat als passend beschermingsniveau geldt voor doorgifte naar de Verenigde Staten.

A.2 Bezoekersstatistieken

We meten hoeveel mensen welke pagina bekijken met Vercel Web Analytics. Die meting is cookieloos: er wordt niets op je toestel geplaatst en er wordt geen profiel van je opgebouwd. Vercel registreert de bezochte pagina, de verwijzende pagina, het land en het type toestel/browser. Om unieke bezoekers te tellen zonder je te identificeren, berekent Vercel uit je IP-adres en je browsergegevens een onomkeerbare code die dagelijks wijzigt en niet bewaard wordt; het ruwe IP-adres wordt niet opgeslagen in de statistieken.

Er staan op deze website geen tracking-cookies, geen advertentiecookies en geen social-media-pixels. We volgen je niet over andere websites heen en verkopen geen gegevens.

A.3 Contactformulier

Vul je het contactformulier in, dan worden de gegevens die je zelf invult (naam, e-mailadres, schoolnaam, onderwerp, aantal leerlingen en leerkrachtenaccounts, je bericht en een eventuele promocode) verwerkt door Formspree Inc. (VS). De doorgifte naar de Verenigde Staten gebeurt op basis van de standaardcontractbepalingen (SCC) van de Europese Commissie. Kom je via een link van een onderwijspartner, dan gaat ook mee langs welk kanaal (bijvoorbeeld hun mailing). Formspree bezorgt ons de inzending per e-mail en bewaart ze in ons account. Het formulier wordt vanaf deze website verzonden: je komt niet op een pagina van Formspree terecht. Alleen als JavaScript in je browser uitstaat, toont Formspree na het verzenden een eigen bevestigingspagina; die valt onder het privacybeleid van Formspree. Hetzelfde formulier is het aanvraagformulier voor de app.

Vraag je een licentie aan met de promocode van een onderwijspartner, dan bezorgen we die partner enkel de naam van de school, zodat hij kan bevestigen dat de school bij hem klant is. Er gaan geen contactgegevens, leerkracht- of leerlinggegevens mee.

Voor deze aanvragen zijn wij de verwerkingsverantwoordelijke. We gebruiken ze uitsluitend om je vraag te beantwoorden en de offerte of licentie op te volgen — rechtsgrond: de stappen die aan een overeenkomst voorafgaan (artikel 6.1.b AVG) en ons gerechtvaardigd belang om aanvragen op te volgen (artikel 6.1.f AVG). We bewaren ze tot 12 maanden na de afhandeling en gebruiken ze nooit voor reclame. Het gaat om contactgegevens van volwassenen; er komen geen leerlinggegevens via dit formulier binnen.

A.4 Inschrijving webinar (afgelopen)

Het webinar van 16 juni 2026 is voorbij; inschrijven kan niet meer. Wie zich via de webinarpagina inschreef, gaf zijn voornaam, familienaam, e-mailadres, school en functie op. Die gegevens liepen via Brevo (Brevo SAS, Frankrijk — gegevens blijven in de EU). We gebruikten ze om de deelnamelink, de herinneringen en achteraf de opname te bezorgen. Rechtsgrond: je toestemming (artikel 6.1.a AVG), die je in elke mail met de afmeldlink kan intrekken. Je kan ook altijd vragen om je uit de lijst te verwijderen via het adres onderaan deze pagina.

A.5 Lettertypen

De lettertypen van deze website worden vanaf onze eigen server geladen. Er vertrekt dus geen enkel verzoek — en dus ook geen IP-adres van een bezoeker — naar Google Fonts of een andere externe partij.

Deel B — De app (app.ledgerlegends.be)

Hieronder staat de samenvatting. Het volledige privacybeleid van de app vind je op app.ledgerlegends.be/privacy. Dat document is leidend voor alles wat in de app gebeurt.

B.1 Wie is verantwoordelijk?

De school die een licentie afsluit is de verwerkingsverantwoordelijke. Ledger Legends treedt op als verwerker en verwerkt de gegevens uitsluitend in opdracht van de school, op basis van een verwerkersovereenkomst conform artikel 28 AVG.

B.2 Rechtsgrond

De verwerking steunt op de vervulling van een taak van algemeen belang (artikel 6.1.e AVG): het onderwijs dat de school verstrekt. We vragen leerlingen bewust geen afzonderlijke toestemming bij de registratie: bij minderjarigen onder 16 jaar zou die zonder toestemming van de ouders niet geldig zijn (artikel 8 AVG), en ze zou een keuze voorspiegelen die er in een klascontext niet is. Twee verwerkingen hebben een eigen rechtsgrond: beveiliging en misbruikpreventie (gerechtvaardigd belang, artikel 6.1.f) en het auditlogboek (wettelijke verplichting, artikel 6.1.c).

B.3 Welke gegevens?

• Accountgegevens — e-mailadres, zelfgekozen schermnaam, rol (leerling/leerkracht)
• Echte naam (optioneel) — een leerling kan bij de registratie of op zijn profielpagina zelf zijn volledige naam opgeven. Dit veld is vrijwillig, verschijnt nooit op de ranglijst en is enkel zichtbaar voor de leerkrachten van de eigen school, zodat zij weten wie achter een schermnaam zit. Het veld kan leeg blijven of op elk moment gewist worden.
• Voortgangsgegevens — XP, score, voltooide oefeningen, pogingen, foutanalyse
• Klasinformatie — klascode, koppeling aan de school
• Spelgegevens — avatar, kantoorinrichting, behaalde items, munten
• Sessiegegevens — start- en eindtijd van oefensessies
• Technische gegevens — gehashte (onleesbaar gemaakte) IP-adressen en sessie-tokens, voor beveiliging en misbruikpreventie
• Gebruiksstatistieken — cookieloze gebeurtenissen zoals “oefening gestart”, met categorische kenmerken zoals de rol. Uitdrukkelijk zonder namen, e-mailadressen, klascodes of gebruikers-ID’s.

De app verwerkt geen adressen, telefoonnummers, rijksregisternummers, biometrische gegevens, locatiegegevens, gezondheidsgegevens of andere gevoelige gegevens in de zin van artikel 9 AVG.

B.4 Wie heeft toegang?

• Leerlingen — hun eigen gegevens, plus de ranglijst van klasgenoten met enkel schermnamen
• Leerkrachten — de gegevens van de leerlingen binnen hun eigen school
• Beheerder — alle gegevens, uitsluitend voor technisch beheer

Gegevens worden niet verkocht of gedeeld met commerciële derden en niet gebruikt voor reclame of profilering.

B.5 Waar staan de gegevens? (sub-verwerkers)

• Supabase Inc. — database, authenticatie en opslag. Alle persoonsgegevens staan in de EU-regio (AWS Frankfurt, Duitsland).
• Vercel Inc. — hosting, CDN en de cookieloze, PII-vrije productanalytics. EU + VS, gecertificeerd onder het EU-US Data Privacy Framework.

Andere partijen worden voor de app niet ingeschakeld. Ook in de app worden de lettertypen self-hosted geladen; Google is sinds 19 augustus 2026 geen sub-verwerker meer.

B.6 Hoe lang bewaren we gegevens?

• Account- en voortgangsgegevens — zolang het account actief is
• Oefensessies — 90 dagen na de sessiedatum
• Auditlogboek — 1 jaar na de logdatum
• Einde licentie van de school — alle gegevens van die school worden binnen 30 dagen gewist
• Verwijderd account — onmiddellijk en definitief gewist

Onze databaseprovider maakt automatische back-ups om gegevensverlies te voorkomen. Een verwijdering werkt daar door bij de eerstvolgende rotatie: uiterlijk 7 dagen later staan de gegevens ook in de back-ups niet meer. In die tussenperiode dienen de back-ups uitsluitend om de dienst na een incident te herstellen.

B.7 Rechten van leerlingen en leerkrachten

• Inzage — de profielpagina toont alle opgeslagen gegevens
• Export — download al je gegevens als JSON via de profielpagina
• Rectificatie — pas je schermnaam, je volledige naam en je avatar aan via de profielpagina
• Verwijdering — verwijder je account en alle gekoppelde gegevens permanent via de profielpagina

Je kan deze rechten ook uitoefenen via de DPO of de directie van je school, als verwerkingsverantwoordelijke.

B.8 Datalekken

Stellen we een datalek vast, dan melden we dat aan de betrokken school zonder onredelijke vertraging en uiterlijk binnen 48 uur na kennisname. Die termijn is bewust korter dan de 72 uur uit artikel 33 AVG, zodat de school zelf nog tijdig bij de Gegevensbeschermingsautoriteit kan melden. De school beoordeelt vervolgens de melding aan de GBA en aan de betrokkenen.

B.9 Documenten voor scholen

Scholen kunnen de verwerkersovereenkomst (DPA), het verwerkingsregister en de beknopte gegevensbeschermingseffectbeoordeling (DPIA-light) opvragen via ledgerlegendsapp@gmail.com. We bezorgen ze binnen enkele werkdagen.

Beveiliging

We nemen passende technische en organisatorische maatregelen, waaronder:

• Versleutelde verbindingen (HTTPS/TLS) en HSTS
• Row Level Security (RLS) op alle databasetabellen
• Rolgebaseerde toegangscontrole en strikte schoolisolatie
• Rate limiting op gevoelige endpoints
• Meerfactorauthenticatie op alle beheerdersaccounts van de infrastructuur
• Wachtwoorden gehasht opgeslagen; ruwe IP-adressen worden niet bewaard
• Een auditlogboek voor gevoelige acties, zonder persoonsgegevens in de logregels

Minderjarigen

Ledger Legends is bedoeld voor gebruik in een schoolcontext. De school informeert ouders en voogden over het gebruik van het platform, conform het schoolreglement en de schoolovereenkomst. We verzamelen geen gegevens rechtstreeks bij minderjarigen buiten die schoolcontext. Deze marketingwebsite richt zich op leerkrachten en directies, niet op leerlingen.

Wijzigingen

We kunnen dit privacybeleid aanpassen. Bij belangrijke wijzigingen brengen we de scholen met een lopende licentie op de hoogte. De meest recente versie staat altijd op deze pagina, met de datum bovenaan.

Wijzigingslog

• Versie 1.2 — 5 oktober 2026. Identiteit van de onderneming toegevoegd (“Wie zijn wij?”). Doorgiftegrond voor Formspree gecorrigeerd: de standaardcontractbepalingen (SCC) in plaats van het EU-US Data Privacy Framework. Het contactformulier verstuurt voortaan op de pagina zelf. A.3 vermeldt de promocode van een onderwijspartner en het kanaal waarlangs je komt (toegevoegd op 4 oktober 2026). A.4 bijgewerkt nu het webinar voorbij is.
• Versie 1.1 — 19 augustus 2026. Onder meer: de lettertypen worden van onze eigen server geladen (A.5, B.5).

Contact en klachten

Voor alle vragen over privacy en gegevensbescherming — inzage, verwijdering, de verwerkersovereenkomst of een datalek — bereik je ons op ledgerlegendsapp@gmail.com.

Ben je leerling of ouder, richt je dan in de eerste plaats tot de DPO of de directie van je school: die is voor de app de verwerkingsverantwoordelijke.

Ben je het oneens met de manier waarop je gegevens verwerkt worden, dan kan je klacht indienen bij de Belgische Gegevensbeschermingsautoriteit.