Privacyverklaring Cosmos Academy B.V.

1. Inleiding

Bij Cosmos Academy B.V. vinden wij privacy geen administratieve verplichting, maar een onderdeel van goed onderwijs en goede begeleiding. Wij werken met persoonsgegevens van leerlingen, ouders en andere betrokkenen. Omdat veel van onze leerlingen minderjarig zijn, gaan wij daar extra zorgvuldig mee om.

Deze privacyverklaring legt uit welke persoonsgegevens Cosmos Academy verwerkt, waarom wij dat doen, op welke grondslag, met wie gegevens kunnen worden gedeeld, hoe wij persoonsgegevens beveiligen, hoe lang wij gegevens bewaren en welke rechten u of uw kind heeft.

Cosmos Academy biedt huiswerkbegeleiding, bijles, studiecoaching en examentraining. Daarnaast ontwikkelen en gebruiken wij Sunny, onze digitale leerassistent. Sunny ondersteunt leerlingen bij plannen, leren, samenvatten, motivatie, reflectie en studievaardigheden. Sunny neemt geen zelfstandige beslissingen over leerlingen. Een begeleider blijft verantwoordelijk voor de begeleiding.

Wij proberen persoonsgegevens zo beperkt mogelijk te verzamelen en alleen te gebruiken voor een duidelijk doel. Dit sluit aan bij de beginselen van rechtmatigheid, transparantie, doelbinding, dataminimalisatie, juistheid, opslagbeperking en beveiliging uit de Algemene verordening gegevensbescherming (AVG).

2. Wie is verantwoordelijk voor uw persoonsgegevens?

Cosmos Academy B.V. is de verwerkingsverantwoordelijke voor de persoonsgegevens die wij verwerken voor onze eigen dienstverlening, administratie, website, communicatie en de ondersteuning van leerlingen.

U kunt ons bereiken via:

Cosmos Academy B.V.
Rijswijk, Nederland
E-mail: info@cosmosacademy.nl

Wanneer Cosmos Academy voor een school of andere organisatie persoonsgegevens verwerkt in opdracht van die organisatie, kan de rolverdeling anders zijn. In dat geval bepaalt de overeenkomst met die organisatie welke partij verwerkingsverantwoordelijke is en welke partij verwerker is. Scholen en andere onderwijsorganisaties moeten bijvoorbeeld goede afspraken maken met leveranciers over de bescherming van leerlinggegevens.

3. Op wie heeft deze privacyverklaring betrekking?

Deze privacyverklaring geldt voor persoonsgegevens van onder meer:

• leerlingen;
• ouders en wettelijke vertegenwoordigers;
• potentiële klanten en personen die informatie aanvragen;
• klanten;
• personen die contact opnemen met Cosmos Academy;
• begeleiders en andere medewerkers, voor zover relevant voor de dienstverlening;
• zakelijke contactpersonen van scholen en andere samenwerkingspartners;
• bezoekers van onze website;
• personen die onze communicatie ontvangen.

Bij leerlingen besteden wij bijzondere aandacht aan de bescherming van kinderen. De AVG bepaalt dat kinderen bijzondere bescherming verdienen bij de verwerking van hun persoonsgegevens. Informatie die specifiek op kinderen is gericht, moet daarom in duidelijke en eenvoudige taal worden aangeboden.

4. Welke persoonsgegevens verwerken wij?

Wij verwerken alleen gegevens die nodig zijn voor het doel waarvoor wij ze gebruiken. Afhankelijk van de situatie kunnen dit onder meer zijn:

4.1 Gegevens van leerlingen

• voor- en achternaam;
• geboortedatum of leeftijd, wanneer noodzakelijk voor de begeleiding;
• contactgegevens;
• school en leerjaar;
• gegevens over vakken en onderwijsbehoeften;
• informatie over planning en studievoortgang;
• afspraken en aanwezigheid;
• informatie die een leerling zelf tijdens de begeleiding verstrekt;
• communicatie tussen leerling en begeleider;
• informatie die nodig is om begeleiding goed te organiseren;
• gegevens die een leerling in Sunny invoert en de daaruit voortvloeiende interacties.

Wij vragen geen gegevens omdat ze interessant zijn. Wij vragen ze alleen wanneer ze nodig zijn om de leerling te begeleiden, onze dienstverlening uit te voeren, aan wettelijke verplichtingen te voldoen of onze dienstverlening veilig en verantwoord te organiseren.

4.2 Gegevens van ouders en wettelijke vertegenwoordigers

• naam;
• e-mailadres;
• telefoonnummer;
• adres- en factuurgegevens;
• relatie tot de leerling;
• communicatie over de begeleiding;
• informatie over inschrijving, afspraken, betalingen en facturatie.

4.3 Gegevens voor administratie en facturatie

Voor onze administratie kunnen wij onder meer verwerken:

• naam;
• adres;
• e-mailadres;
• factuurgegevens;
• betaalstatus;
• gegevens die nodig zijn voor de financiële administratie.

Facturen worden verzonden en verwerkt met behulp van Moneybird. Moneybird kan daarbij persoonsgegevens verwerken als dienstverlener voor onze administratie. Voor zover Moneybird persoonsgegevens namens Cosmos Academy verwerkt, maken wij hierover passende afspraken overeenkomstig de AVG.

4.4 Websitegegevens

Bij gebruik van onze website kunnen technische en analytische gegevens worden verwerkt, afhankelijk van uw cookie-instellingen. Denk aan:

• IP-adres;
• browser- en apparaatgegevens;
• datum en tijd van bezoek;
• bezochte pagina's;
• technische gegevens over het gebruik van de website;
• statistische informatie over websitegebruik.

Niet alle gegevens die technisch beschikbaar zijn, worden door Cosmos Academy voor ieder doel gebruikt.

4.5 Communicatie

Wanneer u contact met ons opneemt, kunnen wij uw naam, contactgegevens en de inhoud van uw bericht verwerken om uw vraag te beantwoorden en het contact administratief af te handelen.

5. Sunny: onze digitale leerassistent

Sunny is de digitale leerassistent van Cosmos Academy. Sunny gebruikt kunstmatige intelligentie om leerlingen te ondersteunen bij:

• plannen;
• leren;
• samenvatten;
• motivatie;
• reflectie;
• studievaardigheden.

Sunny is bedoeld als ondersteunend hulpmiddel. Sunny vervangt geen begeleider en neemt geen zelfstandige beslissingen over leerlingen.

Een begeleider blijft eindverantwoordelijk voor de begeleiding. De output van Sunny is daarom geen zelfstandig onderwijsbesluit, oordeel over een leerling of bindend advies.

5.1 Wanneer wordt AI gebruikt?

Wanneer een leerling met Sunny communiceert, communiceert de leerling met een AI-systeem. Wij maken dat duidelijk aan leerlingen en ouders.

De Europese AI-verordening (AI Act) verplicht aanbieders van AI-systemen die rechtstreeks met natuurlijke personen interacteren in beginsel om die personen ervan op de hoogte te stellen dat zij met een AI-systeem interacteren. Deze transparantieverplichting geldt vanaf 2 augustus 2026. Bij de uitvoering moet rekening worden gehouden met kwetsbare groepen, waaronder personen die vanwege hun leeftijd kwetsbaar kunnen zijn.

Sunny is daarom herkenbaar als AI en wordt niet gepresenteerd alsof een menselijke begeleider antwoord geeft.

5.2 Welke gegevens kan Sunny verwerken?

Dit hangt af van wat in Sunny wordt ingevoerd en welke functies Cosmos Academy daadwerkelijk beschikbaar stelt. In het algemeen kan het gaan om:

• naam of gebruikersidentificatie;
• school- en leerjaar;
• vakken;
• planning;
• studievoorkeuren;
• vragen van de leerling;
• antwoorden en andere inhoud die de leerling invoert;
• informatie die nodig is om eerdere interacties of leercontext te begrijpen;
• gegevens die een begeleider bewust aan Sunny beschikbaar stelt voor de ondersteuning van de leerling.

Wij stimuleren dat in Sunny zo weinig mogelijk direct identificerende of gevoelige informatie wordt ingevoerd wanneer die informatie niet nodig is voor de betreffende ondersteuning.

5.3 Wat doet Sunny niet?

Sunny:

• bepaalt niet zelfstandig of een leerling wordt toegelaten;
• bepaalt niet zelfstandig welke opleiding een leerling moet volgen;
• bepaalt niet zelfstandig het onderwijsniveau van een leerling;
• neemt geen beslissingen over beoordeling, toelating of uitsluiting;
• neemt geen disciplinaire beslissingen;
• vervangt geen menselijke begeleider;
• krijgt geen zelfstandige bevoegdheid om besluiten over leerlingen te nemen.

De AI Act behandelt bepaalde AI-systemen in onderwijs als hoog risico wanneer zij bijvoorbeeld toegang of toelating bepalen, leerlingen aan onderwijsprogramma's toewijzen, leerresultaten beoordelen, het passende onderwijsniveau beoordelen of studenten tijdens toetsen monitoren. De huidige beoogde functies van Sunny zijn daarvan onderscheiden. Als Cosmos Academy de functionaliteit van Sunny uitbreidt op een manier die onder deze categorieën kan vallen, wordt vooraf opnieuw beoordeeld welke AI Act-verplichtingen gelden.

5.4 Welke AI-technologie gebruikt Sunny?

Sunny maakt gebruik van de commerciële API-diensten van Anthropic.

Voor commerciële Anthropic-diensten wordt de klant in beginsel aangemerkt als verantwoordelijke voor de gegevens die via de dienst worden aangeleverd, terwijl Anthropic als verwerker kan optreden voor zover dit uit de commerciële overeenkomst en gegevensverwerkingsovereenkomst volgt. Anthropic vermeldt voor zijn commerciële aanbod dat input en output standaard niet worden gebruikt om modellen te trainen, tenzij de klant uitdrukkelijk kiest voor een programma of gebruiksvorm waarbij dit wel gebeurt.

Voor de Anthropic API vermeldt Anthropic momenteel een standaard bewaartermijn waarbij inputs en outputs op de backend binnen 30 dagen worden verwijderd, behoudens onder meer wettelijke verplichtingen, handhaving van gebruiksbeleid of afwijkende contractuele afspraken. Cosmos Academy maakt daarom bij de inrichting van Sunny gebruik van de voor de gekozen commerciële dienst geldende contractuele en technische instellingen en legt deze vast in haar interne privacy- en beveiligingsdocumentatie.

5.5 Menselijke controle

AI-output kan onjuist, onvolledig of ongeschikt zijn. Daarom behandelen wij de output van Sunny niet als een onfeilbare bron.

Begeleiders blijven verantwoordelijk voor de menselijke begeleiding. Waar een antwoord of suggestie van Sunny gevolgen kan hebben voor de begeleiding van een leerling, moet een menselijke begeleider daar waar nodig naar kijken.

6. Waarom verwerken wij persoonsgegevens?

Wij verwerken persoonsgegevens voor de volgende doeleinden:

• het uitvoeren van overeenkomsten voor huiswerkbegeleiding, bijles, studiecoaching en examentraining;
• het organiseren en plannen van begeleiding;
• het onderhouden van contact met leerlingen en ouders;
• het ondersteunen van leerlingen;
• het aanbieden en beheren van Sunny;
• het beheren van accounts en toegang tot digitale diensten;
• facturatie en financiële administratie;
• het voldoen aan wettelijke verplichtingen;
• het behandelen van vragen, klachten en verzoeken;
• het beveiligen van onze systemen, diensten en gegevens;
• het verbeteren en beheren van onze website en dienstverlening;
• het maken van geaggregeerde of geanonimiseerde inzichten, wanneer dit mogelijk is zonder onnodige verwerking van persoonsgegevens;
• het voeren van onze bedrijfsadministratie;
• het voorkomen en onderzoeken van misbruik, fraude, beveiligingsincidenten en andere onrechtmatige activiteiten.

Wij gebruiken persoonsgegevens niet voor doelen die onverenigbaar zijn met het doel waarvoor de gegevens oorspronkelijk zijn verzameld.

7. Op welke grondslagen verwerken wij persoonsgegevens?

De AVG kent verschillende grondslagen. Cosmos Academy kiest per verwerking de grondslag die daarbij past.

7.1 Uitvoering van een overeenkomst

Wij verwerken persoonsgegevens wanneer dit noodzakelijk is om een overeenkomst met een leerling, ouder of klant uit te voeren of om op verzoek maatregelen te nemen voordat een overeenkomst wordt gesloten.

Dit kan bijvoorbeeld gelden voor:

• inschrijving;
• planning;
• communicatie over begeleiding;
• uitvoering van de begeleiding;
• facturatie voor zover noodzakelijk voor de uitvoering en administratie van de overeenkomst.

De AVG noemt de uitvoering van een overeenkomst als een zelfstandige grondslag voor rechtmatige verwerking.

7.2 Wettelijke verplichting

Sommige gegevens moeten wij bewaren omdat de wet dat verlangt. Dit kan bijvoorbeeld gelden voor onderdelen van onze financiële administratie en fiscale administratie.

Wij verwerken die gegevens alleen voor zover dat noodzakelijk is om aan de betreffende wettelijke verplichting te voldoen.

7.3 Gerechtvaardigd belang

Wij kunnen persoonsgegevens verwerken wanneer dat noodzakelijk is voor een gerechtvaardigd belang van Cosmos Academy of een derde, tenzij de belangen, grondrechten of fundamentele vrijheden van de betrokkene zwaarder wegen.

Bij deze grondslag kijken wij extra zorgvuldig naar de belangen van kinderen. De AVG bepaalt expliciet dat de belangen van kinderen in deze afweging bijzonder zwaar kunnen wegen.

Voorbeelden kunnen zijn:

• beveiliging van systemen;
• bescherming tegen misbruik;
• beperkte bedrijfsadministratieve communicatie;
• verbetering van processen;
• het kunnen behandelen van geschillen of juridische claims.

7.4 Toestemming

Wanneer toestemming de passende grondslag is, vragen wij toestemming op een duidelijke, specifieke en vrijwillige manier.

Toestemming kan worden ingetrokken. Intrekking van toestemming maakt eerdere verwerking die vóór de intrekking rechtmatig was niet automatisch onrechtmatig.

Voor kinderen en toestemming geldt extra zorgvuldigheid. Wanneer de AVG voor een rechtstreeks aanbod van diensten van de informatiemaatschappij toestemming van een kind als grondslag vereist, geldt in Nederland de wettelijke leeftijdsgrens van 16 jaar. Voor jongere kinderen is ouderlijke of wettelijke vertegenwoordiging nodig.

Toestemming voor het gebruik van foto's staat los van deze privacyverklaring. Foto's van leerlingen worden uitsluitend gemaakt of gebruikt nadat daarvoor afzonderlijk schriftelijk toestemming is verkregen. Toestemming voor foto's wordt niet verborgen in algemene voorwaarden of als onderdeel van een algemene toestemming opgenomen.

8. Bijzondere persoonsgegevens

Bijzondere persoonsgegevens zijn extra gevoelige gegevens, zoals gegevens over gezondheid, religie of biometrische gegevens.

Cosmos Academy probeert dergelijke gegevens niet te verzamelen wanneer dat niet noodzakelijk is.

Een leerling of ouder kan in communicatie uit eigen beweging informatie delen die mogelijk gevoelig is. Dat betekent niet automatisch dat Cosmos Academy die informatie voor alle doeleinden mag gebruiken. Wij beoordelen dergelijke informatie volgens de AVG en passen, wanneer een verwerking van bijzondere persoonsgegevens aan de orde is, de daarvoor geldende aanvullende voorwaarden toe.

Sunny is niet bedoeld om medische, psychologische of andere bijzondere informatie over leerlingen te verzamelen als die informatie niet noodzakelijk is voor de betreffende ondersteuning.

9. Persoonsgegevens van kinderen

Omdat veel leerlingen minderjarig zijn, passen wij een verhoogde mate van zorgvuldigheid toe.

Wij streven naar:

• eenvoudige en begrijpelijke privacy-informatie;
• minimale gegevensverwerking;
• terughoudendheid met gevoelige gegevens;
• duidelijke uitleg over Sunny;
• menselijke controle bij begeleiding;
• passende beveiliging;
• betrokkenheid van ouders of wettelijke vertegenwoordigers waar dat juridisch nodig of passend is;
• geen verborgen gebruik van leerlinggegevens voor commerciële doeleinden.

De AVG benadrukt dat kinderen specifieke bescherming verdienen omdat zij zich mogelijk minder bewust zijn van de risico's, gevolgen en waarborgen rond de verwerking van hun persoonsgegevens.

10. Delen wij persoonsgegevens met anderen?

Wij delen persoonsgegevens alleen wanneer daar een geldige reden voor bestaat.

Afhankelijk van de dienstverlening kunnen gegevens worden gedeeld met of verwerkt door:

• IT- en hostingdienstverleners;
• softwareleveranciers;
• administratieve dienstverleners;
• betalings- en facturatiedienstverleners;
• Anthropic voor Sunny;
• Microsoft voor Microsoft Clarity, indien en voor zover Clarity wordt gebruikt;
• Google voor Google Analytics 4, indien en voor zover Analytics wordt gebruikt;
• professionele adviseurs, zoals accountants of juridische adviseurs, wanneer dit noodzakelijk is;
• bevoegde overheidsinstanties wanneer wij daartoe wettelijk verplicht zijn.

Wanneer een leverancier persoonsgegevens namens Cosmos Academy verwerkt, sluiten wij waar vereist een verwerkersovereenkomst of maken wij andere passende afspraken die voldoen aan de AVG.

Wij verkopen persoonsgegevens van leerlingen, ouders of andere klanten niet.

11. Internationale doorgifte

Sommige leveranciers waarmee wij werken kunnen persoonsgegevens verwerken buiten de Europese Economische Ruimte (EER).

Wanneer persoonsgegevens buiten de EER worden verwerkt of toegankelijk worden gemaakt, beoordelen wij welke wettelijke waarborgen daarvoor gelden. Dat kan bijvoorbeeld een adequaatheidsbesluit, standaardcontractbepalingen of een andere geldige doorgiftegrondslag zijn.

Wij leggen relevante internationale doorgiften vast in onze interne privacydocumentatie en beoordelen deze wanneer leveranciers, diensten of wetgeving wijzigen.

Voor Sunny is dit in het bijzonder relevant omdat Cosmos Academy gebruikmaakt van de commerciële Anthropic API. De exacte doorgifte en de daarbij behorende waarborgen volgen uit de actuele contractuele inrichting van de Anthropic-dienst die Cosmos Academy gebruikt. Wij publiceren daarom geen onbevestigde technische claims over serverlocaties of doorgifteroutes.

12. Google Analytics 4

Google Analytics 4 is op dit moment niet actief op de website. Cosmos Academy kan Google Analytics 4 in de toekomst inzetten voor websiteanalyse.

Analytics zou worden gebruikt om inzicht te krijgen in het gebruik van de website en om de website en dienstverlening te kunnen verbeteren.

Wanneer Google Analytics 4 wordt ingezet, hangt de precieze verwerking af van de dan gekozen configuratie en de instellingen voor toestemming en gegevensdeling.

Niet-noodzakelijke analytische cookies en vergelijkbare technieken worden niet geplaatst voordat daarvoor de vereiste toestemming is verkregen. De Nederlandse toezichthouder ACM maakt onderscheid tussen analytische cookies met weinig privacy-impact en privacygevoelige analytische cookies; voor die laatste categorie is toestemming vereist.

13. Microsoft Clarity

Microsoft Clarity is op dit moment niet actief op de website. Cosmos Academy kan Microsoft Clarity in de toekomst inzetten voor inzicht in het gebruik van de website en de gebruikerservaring.

Clarity kan onder meer interacties met een website registreren, zoals klikken, scrollen, muisbewegingen en andere gebruiksinteracties. Microsoft vermeldt momenteel dat Clarity niet bedoeld is voor websites of apps die zich richten op personen jonger dan 18 jaar. Cosmos Academy zou Clarity daarom niet inzetten voor de verwerking van websitegebruik van personen jonger dan 18 jaar.

Voor bezoekers in de EER vereist Microsoft sinds 31 oktober 2025 een geldig toestemmingssignaal voor volledige functionaliteit van Clarity. Bij een eventuele inzet richt Cosmos Academy de dienst zo in dat Clarity pas wordt geactiveerd nadat een geldig toestemmingssignaal is ontvangen.

14. Cookies en vergelijkbare technieken

Onze website kan gebruikmaken van:

• functionele cookies;
• analytische cookies;
• andere vergelijkbare technieken.

Functionele cookies kunnen noodzakelijk zijn voor de werking van de website.

Voor niet-noodzakelijke cookies of vergelijkbare technieken vragen wij toestemming wanneer dat wettelijk vereist is. Een weigering van niet-noodzakelijke cookies mag niet worden verborgen of kunstmatig moeilijk worden gemaakt.

Meer informatie over cookies staat in ons afzonderlijke Cookiebeleid. De privacyverklaring en het cookiebeleid vullen elkaar aan; het cookiebeleid beschrijft concreter welke cookies en vergelijkbare technieken op de website worden gebruikt.

15. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk is voor het doel waarvoor wij ze verwerken, tenzij een langere bewaartermijn wettelijk verplicht of toegestaan is.

Omdat verschillende gegevens verschillende doelen hebben, hanteren wij geen algemene bewaartermijn voor alle persoonsgegevens.

Als uitgangspunt geldt:

De AVG vereist dat persoonsgegevens niet langer identificeerbaar worden bewaard dan noodzakelijk voor de doeleinden waarvoor zij worden verwerkt.

Wanneer een specifieke wettelijke bewaartermijn geldt, gaat die wettelijke verplichting voor op het hierboven beschreven operationele uitgangspunt.

16. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, ongeoorloofde toegang, ongeoorloofde wijziging, openbaarmaking en andere vormen van onrechtmatige verwerking.

Onze beveiligingsaanpak sluit aan bij de uitgangspunten van informatiebeveiliging, privacy by design en security by design.

Afhankelijk van het risico kunnen maatregelen onder meer bestaan uit:

• toegangsbeperking;
• sterke authenticatie;
• autorisatie op basis van rollen;
• beveiligde verbindingen;
• beveiliging van apparaten en accounts;
• logging en monitoring waar passend;
• back-up- en herstelmaatregelen;
• procedures voor beveiligingsincidenten;
• bewustwording en training van medewerkers;
• afspraken met leveranciers;
• periodieke beoordeling van risico's en maatregelen.

De AVG verlangt een beveiligingsniveau dat passend is bij het risico, waarbij onder meer rekening wordt gehouden met de stand van de techniek, kosten, aard, omvang, context en doeleinden van de verwerking.

Wij publiceren bewust geen gedetailleerde technische beveiligingsconfiguraties. Daarmee voorkomen wij dat deze privacyverklaring informatie bevat die de beveiliging van onze systemen onnodig kan verzwakken.

17. Privacy by design en privacy by default

Privacy wordt meegenomen bij het ontwerpen en wijzigen van onze processen en digitale diensten.

Bij nieuwe functies, waaronder nieuwe AI-functionaliteiten van Sunny, kijken wij vooraf naar:

• welke persoonsgegevens werkelijk nodig zijn;
• of minder gegevens hetzelfde doel kunnen bereiken;
• wie toegang nodig heeft;
• hoe gegevens worden beveiligd;
• hoe lang gegevens nodig zijn;
• of nieuwe risico's ontstaan;
• of aanvullende transparantie nodig is;
• of een DPIA nodig is.

De AP beschouwt privacy by design en privacy by default als belangrijke maatregelen om persoonsgegevens al bij het ontwerp en via standaardinstellingen te beschermen.

18. Geautomatiseerde besluitvorming en profilering

Cosmos Academy gebruikt geen geautomatiseerde besluitvorming waarbij uitsluitend een geautomatiseerd systeem beslissingen neemt met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen voor leerlingen.

Sunny is niet bevoegd om zelfstandig beslissingen over leerlingen te nemen.

Wij gebruiken AI niet om leerlingen automatisch te selecteren, af te wijzen, te plaatsen, te beoordelen of te sanctioneren.

Als onze dienstverlening in de toekomst wezenlijk verandert en geautomatiseerde besluitvorming of profilering wordt toegevoegd, beoordelen wij vooraf welke verplichtingen uit de AVG en AI Act gelden.

19. Uw privacyrechten

U heeft onder de AVG verschillende rechten. Afhankelijk van de situatie kunt u:

• inzage vragen in uw persoonsgegevens;
• onjuiste persoonsgegevens laten corrigeren;
• vragen om persoonsgegevens te wissen;
• vragen om verwerking te beperken;
• bezwaar maken tegen bepaalde verwerkingen;
• uw toestemming intrekken wanneer de verwerking op toestemming is gebaseerd;
• in bepaalde gevallen uw persoonsgegevens ontvangen in een overdraagbaar formaat.

Deze rechten zijn niet absoluut. De AVG kent uitzonderingen en voorwaarden. Wij beoordelen ieder verzoek zorgvuldig.

De AVG bepaalt onder meer dat betrokkenen recht hebben op inzage in hun persoonsgegevens en informatie over de doeleinden, categorieën gegevens, ontvangers en bewaartermijnen.

20. Rechten van kinderen en verzoeken namens een kind

Een leerling kan zelf privacyrechten hebben. Bij minderjarige leerlingen hangt de wijze waarop een verzoek wordt behandeld af van de leeftijd, de aard van het verzoek, de toepasselijke wetgeving en de belangen van het kind.

Ouders of wettelijke vertegenwoordigers kunnen namens een kind een verzoek indienen wanneer zij daartoe bevoegd zijn. Cosmos Academy kan om informatie vragen om de identiteit en bevoegdheid van de verzoeker te controleren.

Bij de beoordeling staat het belang van het kind centraal. Wij proberen een kind waar mogelijk op een begrijpelijke manier uit te leggen wat er met een verzoek gebeurt.

21. Hoe kunt u een verzoek indienen?

U kunt een privacyverzoek sturen naar: info@cosmosacademy.nl

Vermeld bij voorkeur:

• uw naam;
• uw relatie tot Cosmos Academy of de leerling;
• welk recht u wilt uitoefenen;
• op welke persoonsgegevens of verwerking uw verzoek betrekking heeft.

Wij kunnen aanvullende informatie vragen om uw identiteit of bevoegdheid te controleren. Dit doen wij alleen wanneer dat nodig is om persoonsgegevens niet aan de verkeerde persoon te verstrekken.

Wij behandelen verzoeken binnen de wettelijke termijn. In beginsel reageren wij binnen één maand. Wanneer een verzoek complex is of wanneer meerdere verzoeken tegelijk worden gedaan, kan de termijn onder de voorwaarden van de AVG worden verlengd.

22. Klachten over privacy

Wij vinden het belangrijk dat vragen of zorgen eerst met ons kunnen worden besproken.

Heeft u een klacht over de manier waarop wij met persoonsgegevens omgaan? Neem dan contact met ons op via info@cosmosacademy.nl.

U kunt daarnaast een klacht indienen bij de Nederlandse toezichthouder: Autoriteit Persoonsgegevens

De AP houdt toezicht op de naleving van de AVG en de Nederlandse privacywetgeving. De AP noemt de AVG en de Uitvoeringswet AVG (UAVG) als belangrijke onderdelen van het Nederlandse privacykader.

23. Datalekken en beveiligingsincidenten

Wanneer wij ontdekken dat persoonsgegevens mogelijk verloren zijn gegaan, onrechtmatig zijn ingezien of anderszins bij een beveiligingsincident betrokken zijn, beoordelen wij het incident volgens onze interne incident- en datalekprocedure.

Wanneer de AVG dat vereist, melden wij een datalek bij de Autoriteit Persoonsgegevens en informeren wij betrokkenen wanneer daarvoor een wettelijke verplichting bestaat.

Wij gebruiken beveiligingsincidenten ook om onze maatregelen en processen te verbeteren.

24. Verwerkers en andere leveranciers

Cosmos Academy werkt met gespecialiseerde dienstverleners. Voorbeelden zijn:

• Moneybird voor facturatie en financiële administratie;
• Anthropic voor de commerciële API waarop Sunny draait;
• Google voor Google Analytics 4, wanneer dit in de toekomst wordt ingezet;
• Microsoft voor Microsoft Clarity, wanneer dit in de toekomst wordt ingezet.

Wij beoordelen leveranciers op hun rol, risico's, beveiliging, privacyvoorwaarden en afspraken over gegevensverwerking.

Wanneer een leverancier als verwerker optreedt, leggen wij de vereiste afspraken vast. De AVG stelt eisen aan de verwerking door verwerkers en aan de contractuele afspraken tussen verwerkingsverantwoordelijke en verwerker.

25. Samenwerking met scholen

Cosmos Academy kan samenwerken met scholen.

Wanneer een school persoonsgegevens van leerlingen aan Cosmos Academy verstrekt, bepalen de concrete afspraken en de feitelijke werkzaamheden welke partij voor welke verwerking verantwoordelijk is.

Wanneer Cosmos Academy gegevens uitsluitend namens een school verwerkt, kan Cosmos Academy als verwerker optreden. In dat geval volgt Cosmos Academy de instructies van de school binnen de gemaakte afspraken.

Wij vinden het belangrijk dat leerlingen en ouders duidelijk kunnen begrijpen wie waarvoor verantwoordelijk is. Daarom proberen wij de rolverdeling niet ingewikkelder te maken dan nodig.

26. AI-geletterdheid en verantwoord AI-gebruik

De AI Act verplicht aanbieders en gebruiksverantwoordelijken om maatregelen te nemen om, voor zover mogelijk, een voldoende niveau van AI-geletterdheid te waarborgen bij medewerkers en andere personen die namens hen AI-systemen gebruiken of exploiteren. Daarbij moet rekening worden gehouden met kennis, ervaring, opleiding, training en de context waarin AI wordt gebruikt.

Cosmos Academy vindt dit belangrijk omdat AI wordt ingezet in een onderwijscontext. Begeleiders moeten begrijpen dat Sunny ondersteunend is, dat AI-output fouten kan bevatten en dat menselijke beoordeling noodzakelijk blijft.

27. Wijzigingen van deze privacyverklaring

Onze dienstverlening, website, leveranciers en wetgeving kunnen veranderen.

Wanneer een wijziging gevolgen heeft voor de manier waarop wij persoonsgegevens verwerken, beoordelen wij of deze privacyverklaring moet worden aangepast en of betrokkenen daarover actief moeten worden geïnformeerd.

De actuele versie van deze privacyverklaring wordt op onze website gepubliceerd.

Wij vermelden bovenaan de datum en versie, zodat duidelijk is welke versie van toepassing is.

28. Rechtsgrond en reikwijdte

Deze privacyverklaring is opgesteld vanuit de toepasselijke Europese en Nederlandse regels voor persoonsgegevens, waaronder:

• de Algemene verordening gegevensbescherming (Verordening (EU) 2016/679);
• de Uitvoeringswet Algemene verordening gegevensbescherming;
• de toepasselijke regels over cookies en elektronische communicatie, waaronder artikel 11.7 van de Telecommunicatiewet;
• de Verordening (EU) 2024/1689, de Europese AI-verordening (AI Act), voor zover van toepassing op het gebruik en de ontwikkeling van Sunny.

De AVG is rechtstreeks toepasselijk in Nederland. De UAVG vult de AVG op onderdelen aan. De Autoriteit Persoonsgegevens houdt toezicht op deze privacywetgeving.

De AI Act is vanaf 2 augustus 2026 in brede zin van toepassing, met uitzonderingen en specifieke overgangstermijnen voor bepaalde bepalingen. De verboden AI-praktijken en de verplichting rond AI-geletterdheid zijn al sinds 2 februari 2025 van toepassing.

29. Onze uitgangspunten

Onze privacypraktijk is gebaseerd op vijf uitgangspunten:

1. Wij verzamelen zo weinig mogelijk.
Wij willen geen gegevens verzamelen die wij niet nodig hebben.

2. Wij leggen uit wat wij doen.
Leerlingen en ouders moeten kunnen begrijpen waarom gegevens worden gebruikt.

3. Wij beschermen kinderen extra zorgvuldig.
Minderjarigen zijn een belangrijk onderdeel van onze verantwoordelijkheid.

4. AI ondersteunt, maar beslist niet.
Sunny helpt leerlingen, maar neemt geen zelfstandige beslissingen over hen.

5. Privacy en veiligheid horen bij het ontwerp.
Wij proberen privacy en informatiebeveiliging vanaf het begin mee te nemen in processen, systemen en nieuwe functionaliteiten.

30. Contact

Heeft u vragen over deze privacyverklaring of over de verwerking van persoonsgegevens door Cosmos Academy?

Neem dan contact op met:

Cosmos Academy B.V.
Rijswijk, Nederland
E-mail: info@cosmosacademy.nl

Wij nemen privacyvragen serieus en proberen deze duidelijk, zorgvuldig en binnen de wettelijke termijnen te beantwoorden.