Ludendo

Voor bestuur, privacyfunctionaris en SIVONPrivacy en veiligheid

Wie ziet wat.
En wat nog moet.

Wie wat ziet, wie wat inzag en van wie de gegevens zijn. Er staan nog geen echte leerlinggegevens in Ludendo. Het is in ontwikkeling en nog bij geen school in gebruik. Eerst komen een controle van buiten en de afspraken met de school.

Wat nog moet

Alle schermen tonen verzonnen gegevens van Het Voorbeeld College, op vrijdag 9 oktober.

Telefoonscherm van schoolleider Erik Mulder met verzonnen gegevens: het logboek van vrijdag 9 oktober. Om 15:45 zocht hij alles over Lotte de Wit op, en ook dat staat erin. Om 15:31 opende dhr. Bakker het profiel van Lotte; dat mag, hij is mentor van 4V2. Om 11:52 probeerde dhr. Kramer de medische gegevens van Sem Jansen te openen: geweigerd. Om 10:12 opende Ilse de Groot de rechten per rol, om 08:31 nam dhr. Bakker absentie op in 4V2 en om 07:51 meldde Mark de Wit Eva ziek.

· Ouder · Mark de Wit, op zijn telefoon

Inloggen.
Ouders altijd met een code.

Leerlingen en personeel loggen in met het account van de school, via Entree. Ouders hebben een eigen account: een wachtwoord en daarna altijd een code uit een app. Mark ziet daarna alleen zijn eigen kinderen.

Gebouwd, nog niet in gebruik. De aansluiting op Entree is nu nog nagebootst, voor de tests.

Sla de dag over
  1. Een eigen account. Mark logt in met zijn e-mailadres en wachtwoord.
  2. Altijd een code. Daarna vraagt de app een code uit de app op zijn telefoon. Zonder code komt niemand binnen.
  3. Alleen zijn eigen kinderen. Lotte en Eva, en verder niemand. Na een uur zonder iets te doen is hij vanzelf uitgelogd.
Telefoonscherm van Mark de Wit met verzonnen gegevens. Hij logt in met zijn e-mailadres en wachtwoord, daarna met een code van zes cijfers uit een app. Dan ziet hij alleen zijn eigen kinderen: Lotte de Wit uit 4V2, met Engels in een ander lokaal, en Eva de Wit uit 3H3, met een nieuw cijfer voor wiskunde. Onderaan: ingelogd met code om 07:50; na een uur niets doen logt hij vanzelf uit.

· ICT · Ilse de Groot, op haar laptop

Wie ziet wat.
Per rol, en waarom.

Ilse de Groot is de ICT-coördinator. Ze kijkt welke rol wat mag zien. Een docent ziet alleen zijn eigen lesgroepen, een ouder alleen de eigen kinderen. Alles is dicht, tenzij een rol het mag.

Gebouwd, nog niet in gebruik: de regels zelf, bij elke pagina en elke knop. Het overzicht als scherm is een Klikbaar voorbeeld.

  1. Zeven gegevens, zeven rollen. Per rol staat wat die mag zien. Dit zijn de standaardrechten.
  2. Eén rol: de mentor. Hij ziet zijn mentorklas, om de leerlingen te begeleiden. Het BSN en medische gegevens niet.
  3. Medische gegevens. Medische gegevens ziet alleen wie ze nodig heeft: de zorgcoördinator, de administratie en de ouder van het eigen kind.
Laptopscherm van ICT-coördinator Ilse de Groot: een tabel met zeven gegevens en zeven rollen. Dossier: de mentor van zijn mentorklas, de administratie alleen de leerlingkaart, zorg en schoolleiding alles; leerling, ouder en docent niet in de app. Cijfers en afwezigheid: leerling en ouder alleen de eigen, de docent alleen zijn eigen groepen en lessen, de mentor zijn mentorklas. Verlof: de schoolleiding beslist. Medische gegevens: alleen de ouder van het eigen kind, de administratie en de zorgcoördinator. Het BSN alleen de administratie, met een eigen recht. Het logboek alleen de schoolleiding. Bij de rol mentor staat: hij ziet dossier, cijfers en afwezigheid van zijn mentorklas, om de leerlingen te begeleiden, en geen medische gegevens, BSN of logboek.

· Docent · dhr. Kramer, wiskunde, op zijn telefoon

Mag dit?
Zo niet, dan zie je niets.

Bij elke pagina en elke knop vraagt de app eerst: mag deze persoon dit, bij deze leerling, op deze datum? Dhr. Kramer geeft wiskunde aan 4V2. Sem Jansen is vandaag ziek. Dat ziet dhr. Kramer, en Sems cijfers voor wiskunde. Waarom Sem ziek is, ziet hij niet.

Gebouwd, nog niet in gebruik. Elke pagina en elke handeling staat in één lijst met de rollen die het mogen. Die regels staan ook in de database zelf.

  1. Wat bij zijn vak hoort. Dhr. Kramer opent Sem. Hij ziet dat Sem vandaag ziek is gemeld, en zijn cijfers voor wiskunde.
  2. Geen recht, niets in beeld. Hij tikt op de medische gegevens. Hij ziet niets: hij heeft dat recht niet.
  3. Het staat in het logboek. Ook een poging die niet mag, komt in het logboek. De schoolleiding ziet hem daar.
Telefoonscherm van dhr. Kramer met verzonnen gegevens. Bij Sem Jansen uit 4V2 ziet hij dat Sem vandaag ziek is gemeld, om 07:46 door een ouder, en zijn cijfers voor wiskunde, een 6,3 en een 7,0. Hij tikt op de medische gegevens. Er komt geen toegang: hij heeft dat recht niet, dus hij ziet niets. De poging is om 11:52 vastgelegd in het logboek.

· Schoolleiding · Erik Mulder, op zijn laptop

Wie keek er?
Het staat in het logboek.

Mark de Wit vraagt de school wie er in het dossier van Lotte keek. Erik Mulder zoekt het op. Elke inlog, elke weigering, elke export en elke keer dat iemand één leerling bekijkt, staat erin. In gewone zinnen.

Gebouwd, nog niet in gebruik. Hoe lang het logboek bewaard blijft, spreken we af vóór er echte gegevens in komen.

  1. Wie wat deed, vandaag. Elke regel is een zin. Ook de weigering van 11:52 staat erin.
  2. Alles over Lotte. Om 15:31 opende dhr. Bakker haar profiel. Dat mocht: hij is mentor van 4V2. Verder niemand.
  3. Voor de ouder. Erik exporteert de regels voor Mark. Dat hij dit opzocht, staat zelf ook in het logboek.
Laptopscherm van schoolleider Erik Mulder met verzonnen gegevens: het logboek van vrijdag 9 oktober, in gewone zinnen. Om 15:31 opende dhr. Bakker het profiel van Lotte als mentor, om 11:52 probeerde dhr. Kramer de medische gegevens van Sem Jansen te openen en werd geweigerd, om 11:40 bekeek Ilse de Groot de rechten van dhr. Kramer, om 10:12 opende Ilse de Groot de rechten, om 08:31 nam dhr. Bakker absentie op in 4V2, om 07:51 meldde Mark de Wit Eva ziek en om 07:50 logde hij in met een code. Erik zoekt alles over Lotte op: om 15:31 opende dhr. Bakker haar profiel, en dat mocht; om 13:40 liet hij haar cijfer zien. Verder opende niemand haar gegevens. Hij exporteert de twee regels. Daarna staat ook in het logboek: om 15:45 zocht Erik Mulder alles over Lotte op.

· ICT · Ilse de Groot, na de bel

De gegevens zijn van de school.
Alles gaat in één bestand mee.

De school is verantwoordelijk voor de gegevens. Ludendo verwerkt ze straks alleen in opdracht van de school. Ilse ziet wat er over een leerling in staat, en exporteert alles. Zo kan de school altijd overstappen.

Gebouwd, nog niet in gebruik. Eén bestand met een beschrijving van de opbouw, zodat een ander programma het kan inlezen.

  1. Wat erin staat. Naam en klas, contact en ouders, rooster, huiswerk, cijfers, afwezigheid en berichten. Zorg, medisch en het BSN alleen met een eigen recht.
  2. Wat nog niet vaststaat. Hoe lang alles bewaard blijft, spreken we af met de school. Dat is nog niet gedaan.
  3. Alles exporteren. Alle gegevens van de school in één bestand, met het logboek. Ook die export staat in het logboek.
Laptopscherm van ICT-coördinator Ilse de Groot met verzonnen gegevens. Wat er over een leerling in staat: naam, klas en contact voor iedereen met een rol; rooster, huiswerk, cijfers, afwezigheid en berichten per rol; zorg, medische gegevens en het versleutelde BSN alleen met een eigen recht. Hoe lang het bewaard blijft, is nog niet afgesproken. Rechts exporteert ze alle gegevens van de school met het logboek, in één bestand: voorbeeldcollege-2026-10-09.zip.

Wat kan het verder

Alles over privacy en veiligheid.
Eerlijk, met hoe ver het is.

Gebouwd betekent: in de echte app, getest met verzonnen gegevens. Nog nergens online en bij geen school in gebruik.

Gebouwd, nog niet in gebruik10
  • Weigeren, tenzij: elke pagina en elke knop kijkt eerst of je het mag. De regels staan ook in de database.Gebouwd, nog niet in gebruik
  • Gescheiden per bestuur: het ene bestuur kan de gegevens van een ander niet zien. Dat regelt de database zelf.Gebouwd, nog niet in gebruik
  • Het BSN versleuteld opgeslagen, alleen in beeld met een eigen rechtGebouwd, nog niet in gebruik
  • Geen namen of andere persoonsgegevens in de technische logs van de appGebouwd, nog niet in gebruik
  • Leerlingen en personeel loggen in met het schoolaccount, via Entree (nu nog nagebootst)Gebouwd, nog niet in gebruik
  • Ouders loggen altijd in met een code uit een app (tweestaps)Gebouwd, nog niet in gebruik
  • Hoogstens acht uur ingelogd, na een uur niets doen vanzelf uit. Uitloggen bij het schoolaccount is overal uit.Gebouwd, nog niet in gebruik
  • Het logboek: inloggen, weigeringen, exports en wie welk dossier opende. Niemand kan een regel wijzigen of wissen.Gebouwd, nog niet in gebruik
  • Het logboek in gewone zinnen voor de schoolleiding, zoeken op een leerling en exporterenGebouwd, nog niet in gebruik
  • Alles exporteren in één bestand, met een beschrijving van de opbouwGebouwd, nog niet in gebruik
Gepland5
  • Alle gegevens bij één hoster in de Europese Unie: database, bestanden, inloggen, e-mail en logs. Welke, kiezen we nog.Gepland
  • Back-ups op een tweede plek, ook in de Europese UnieGepland
  • „Klopt dit niet?” bij een afwezigheid: een ouder vraagt de school om iets te verbeterenGepland
  • Wordt een leerling 18, dan kiest die zelf wat de ouders zienGepland
  • De ouders krijgen daar uitleg bij, in hun eigen schermGepland
Klikbaar voorbeeld2
  • De rechten in één overzicht, en zelf aanpassen per rolKlikbaar voorbeeld
  • Accounts beheren: de tweestaps opnieuw instellen bij een nieuwe telefoon, met een link die 24 uur geldig isKlikbaar voorbeeld
Idee1
  • Ouders loggen in met een passkey, zonder wachtwoordIdee

Klikbaar voorbeeld: een uitgewerkt ontwerp met verzonnen gegevens, nog niet in de echte app. Hoe ver we in totaal zijn

Rechten van ouders en leerlingen

De school beslist
over de gegevens.

De school is verantwoordelijk. Ludendo verwerkt de gegevens straks alleen in opdracht van de school. Dat komt in de verwerkersovereenkomst, die er nog niet is.

Inzien

Ouders en leerlingen vragen de school welke gegevens er zijn. De school zoekt in het logboek op wie ze bekeek, en kan die regels exporteren. Zelf in de app zien ze het logboek niet.

Verbeteren of wissen

Klopt iets niet? Dan vragen ze het de school. De school beslist; Ludendo voert het uit. Bij een afwezigheid komt daar een knop voor; die is gepland.

Overstappen

De school kan alles exporteren in één bestand. Zo kan een ander programma het inlezen, en kan de school altijd weg.

Geen reclame

Er komt geen reclame in de app, en we verkopen geen gegevens.

Een mens beslist

De computer beslist nooit over een leerling. Bij elke waarschuwing kiest een mens wat er gebeurt.

Geen AI-training

Gegevens van leerlingen gebruiken we nooit om AI te trainen.

Is iemand het niet eens met de school, dan kan die een klacht indienen bij de Autoriteit Persoonsgegevens.

Wat nog moet gebeuren

Eerst dit.
Dan pas echte gegevens.

Er komen geen echte leerlinggegevens in Ludendo vóór de controle van buiten, de pentest en de afspraken met de school. Dit is wat nog niet gedaan is.

Nog niet gedaan

  • Geen pentest: een aanval op proef door een beveiligingsbedrijf.
  • Geen controle door een ontwikkelaar van buiten.
  • Geen ISO 27001-certificaat, een keurmerk voor informatiebeveiliging.
  • Nog niets gehost: de app draait nog nergens online. Alleen deze website.
  • Nog geen hoster gekozen. Alles met persoonsgegevens komt bij één hoster in de Europese Unie.
  • Nog geen bewaartermijnen en nog geen verwerkersovereenkomst met een school.

Nog open uit de eigen controle van 30 oktober

  • De virusscan op bestanden is nog niet aangesloten.
  • De pagina’s van de app hebben nog geen extra beveiliging in de browser (Content-Security-Policy en HSTS).
  • De schoolleiding en wie gegevens inleest, kunnen in de database nog de leerlingen van het hele bestuur opvragen, niet alleen die van de eigen school.
  • Het versleutelde BSN zit nog niet vast aan één leerling.
  • De grenzen en het log van de database stellen we in zodra er een hoster is.

Hersteld op 30 oktober: de database controleert strenger wie wat mag lezen, en uploads controleren eerst of iemand is ingelogd.

De privacystukken, nog concept

Je kunt de concepten opvragen, bijvoorbeeld om ze alvast door je privacyfunctionaris te laten bekijken.

  • Aanvulling op de verwerkersovereenkomstConcept
  • Privacybijsluiterwelke gegevens, waarvoor en hoe langConcept
  • Bouwstenen voor de DPIAde privacytoets van de schoolConcept
  • Procedure bij een datalekConcept
  • Lijst van subverwerkersbedrijven die voor ons gegevens bewarenNog niet: de hoster is nog niet gekozen

Concept betekent: nog niet compleet en nog niet juridisch getoetst. Stand op 1 november. De stukken volgen de indeling van het Privacyconvenant Onderwijs (model 4.0); Ludendo is nog niet aangesloten bij het convenant. Over deze website zelf: de privacyverklaring.

Vragen

Wat het bestuur, de MR
en de privacyfunctionaris vragen.

Staan er nu gegevens van leerlingen in Ludendo?

Nee. Ludendo is in ontwikkeling en nog bij geen school in gebruik. Alles op deze site is gemaakt met verzonnen gegevens.

Welke gegevens over een leerling komen erin?

Naam en klas, contactgegevens en ouders, het rooster, huiswerk en ingeleverd werk, cijfers, afwezigheid en verlof, en berichten. Zorg en medische gegevens alleen voor wie daar een eigen recht voor heeft. Het BSN staat versleuteld opgeslagen. De volledige lijst staat in de privacybijsluiter (concept, op aanvraag).

Kan een ouder zien wie er in het dossier van zijn kind keek?

Niet zelf in de app. Wel via de school: die zoekt het op in het logboek en kan die regels exporteren.

Wat als Ludendo stopt?

De school kan alles exporteren in één bestand. Afspraken over wat er dan gebeurt, komen in de verwerkersovereenkomst. Die zijn nog niet gemaakt.

Kunnen wij de stukken al laten toetsen?

Ja, je kunt de concepten opvragen. Ze zijn nog niet compleet en nog niet getoetst door een jurist.

Wanneer kan een pilot beginnen?

Daar is nog geen datum voor. Eén ding staat vast: er komen geen echte gegevens in vóór de controle van buiten, de pentest en de afspraken met de school.

Wil je de stukken zien?

Vraag de
concepten op.

We sturen ze je toe, met wat nog open is. Ouders en leerlingen stellen vragen over hun eigen gegevens aan de school.

Mail ons Hoe ver we zijn