Privacybeleid

Hoe Tandem-IT persoonsgegevens verwerkt

1. Doel van deze privacyverklaring

Tandem-IT verwerkt persoonsgegevens om haar diensten binnen de Open-ICT-cloudomgeving te kunnen leveren, beheren, beveiligen en verbeteren. In deze privacyverklaring staat welke persoonsgegevens Tandem-IT verwerkt, waarom dit gebeurt, op welke grondslag dit gebeurt, hoe lang gegevens worden bewaard en welke rechten gebruikers hebben onder de AVG. De AVG verplicht organisaties om betrokkenen hierover duidelijk te informeren.

2. Voor wie deze privacyverklaring geldt

Deze privacyverklaring geldt voor studenten, docenten, projectgroepen en andere gebruikers die gebruikmaken van diensten van Tandem-IT, zoals accounts, toegangsvoorzieningen, virtuele machines, supportkanalen, aanvraagformulieren, logging en overige infrastructuurdiensten binnen de Open-ICT-omgeving. Dit sluit aan op de reikwijdte van de dienstverlening zoals die in de SLA en TOS is omschreven.

3. Welke persoonsgegevens Tandem-IT verwerkt

Tandem-IT kan persoonsgegevens verwerken zoals naam, studentnummer, studentmailadres, gebruikersnaam, projectnaam, rol of rechten binnen de omgeving, IP-adres, loggegevens van toegang en gebruik, ticket- en incidentinformatie en communicatiegegevens die nodig zijn voor support of beheer. Bij VM-aanvragen kunnen daarnaast aanvullende gegevens worden verwerkt, zoals het thuis-IP-adres wanneer dat tijdelijk nodig is totdat een nieuwe VPN-oplossing is ingericht. Dat volgt ook uit het aanvraagproces en de dienstinrichting.

Tandem-IT verwerkt in beginsel geen bijzondere persoonsgegevens, tenzij dit onbedoeld door een gebruiker zelf wordt aangeleverd in bijvoorbeeld ticketinhoud, bestandsopslag of e-mailcommunicatie. In zulke gevallen verwacht Tandem-IT dat gebruikers terughoudend omgaan met gevoelige informatie en alleen gegevens delen die echt nodig zijn.

4. Waarom Tandem-IT persoonsgegevens verwerkt

Tandem-IT verwerkt persoonsgegevens voor het aanmaken en beheren van accounts, het toekennen van rechten, het leveren van VM- en infrastructuurdiensten, het afhandelen van aanvragen en incidenten, het bewaken van beschikbaarheid en beveiliging, het uitvoeren van logging en monitoring, het communiceren over onderhoud en verstoringen en het waarborgen van continuïteit binnen de onderwijsomgeving. Deze doelen sluiten aan op de operationele afspraken uit de SLA en TOS.

Onder de AVG moeten persoonsgegevens voor een duidelijk doel worden verwerkt en niet verder worden gebruikt op een manier die daar niet mee verenigbaar is. Ook mogen alleen gegevens worden verwerkt die noodzakelijk zijn voor dat doel.

5. Op welke grondslag Tandem-IT persoonsgegevens verwerkt

Tandem-IT verwerkt persoonsgegevens alleen wanneer daar een geldige grondslag voor bestaat. Afhankelijk van de situatie gebeurt verwerking omdat deze noodzakelijk is voor het uitvoeren van een taak in de onderwijs- en beheercontext, omdat verwerking noodzakelijk is voor het leveren van de gevraagde dienst, of omdat er een gerechtvaardigd belang bestaat bij het veilig en beheersbaar laten functioneren van de infrastructuur. De AVG vereist dat voor iedere verwerking een geldige grondslag bestaat.

Voor zover toestemming wordt gebruikt, geldt dat Tandem-IT die alleen inzet wanneer toestemming in die situatie ook echt vrij gegeven kan worden. De Autoriteit Persoonsgegevens benadrukt dat toestemming niet zomaar de standaardgrondslag mag zijn wanneer een andere grondslag beter past.

6. Logging, monitoring en beveiliging

Tandem-IT verwerkt loggegevens en technische gebruiksgegevens om de omgeving veilig, beschikbaar en beheersbaar te houden. Hieronder vallen bijvoorbeeld inlogmomenten, IP-adressen, foutmeldingen, systeemstatus, autorisatiegebeurtenissen en incidentinformatie.

Deze gegevens worden gebruikt voor beheer, capaciteitscontrole, foutopsporing, beveiligingsonderzoek, misbruikdetectie en reconstructie van incidenten. Dat past ook bij de monitoring- en incidentafspraken uit de SLA en bij de toezichtsbepalingen uit de TOS.

De AVG verlangt dat organisaties passende technische en organisatorische maatregelen nemen om persoonsgegevens te beveiligen.

7. Met wie persoonsgegevens worden gedeeld

Tandem-IT deelt persoonsgegevens alleen wanneer dat noodzakelijk is voor de uitvoering van de dienstverlening, het beheer van de omgeving, de ondersteuning van gebruikers, de afhandeling van incidenten of het voldoen aan wettelijke of organisatorische verplichtingen. Gegevens kunnen binnen de onderwijsorganisatie worden gedeeld met bevoegde beheerders, docenten of verantwoordelijke functionarissen wanneer dat noodzakelijk is voor continuïteit, veiligheid of escalatie. Persoonsgegevens worden niet verkocht.

Wanneer Tandem-IT gebruikmaakt van systemen of platforms van derden, gebeurt dat alleen voor zover dit past binnen de dienstlevering en de geldende afspraken binnen de onderwijsomgeving. Als zulke derde partijen namens de verwerkingsverantwoordelijke persoonsgegevens verwerken, moeten daarvoor passende afspraken gelden onder de AVG.

8. Bewaartermijnen

Tandem-IT bewaart persoonsgegevens niet langer dan nodig is voor het doel waarvoor zij zijn verzameld. Accountgegevens, aanvraaggegevens, supportinformatie, loggegevens en incidentregistraties worden bewaard zolang dat nodig is voor dienstverlening, beveiliging, beheer, evaluatie of overdraagbaarheid binnen de onderwijscontext. Daarna worden gegevens verwijderd, geanonimiseerd of opgeschoond, tenzij een langere bewaartermijn noodzakelijk is op grond van wetgeving, beveiligingsonderzoek of aantoonbare beheerbehoefte.

De AVG schrijft voor dat persoonsgegevens niet langer mogen worden bewaard dan noodzakelijk is en dat organisaties transparant moeten zijn over bewaartermijnen of de criteria daarvoor.

9. Rechten van gebruikers

Gebruikers hebben onder de AVG rechten met betrekking tot hun persoonsgegevens. Zij kunnen vragen om inzage in hun gegevens, correctie van onjuiste gegevens, verwijdering van gegevens wanneer daar een geldige reden voor is, beperking van de verwerking in bepaalde situaties, overdraagbaarheid waar dat van toepassing is en bezwaar tegen een verwerking in specifieke gevallen. Daarnaast hebben betrokkenen recht op duidelijke informatie over hoe hun persoonsgegevens worden verwerkt. Deze rechten volgen rechtstreeks uit de AVG.

Niet elk recht geldt in elke situatie onbeperkt. Wanneer Tandem-IT een verzoek ontvangt, wordt beoordeeld in hoeverre het verzoek binnen de onderwijs- en beheercontext kan worden uitgevoerd en of er wettelijke of organisatorische redenen zijn om daarvan af te wijken.

10. Datalekken en incidenten

Wanneer sprake is van een inbreuk in verband met persoonsgegevens, beoordeelt Tandem-IT de aard, omvang en impact van het incident. Indien nodig wordt het incident gemeld via de daarvoor geldende organisatiebrede route. Onder de AVG moeten meldplichtige datalekken zonder onredelijke vertraging en uiterlijk binnen 72 uur na ontdekking worden gemeld aan de bevoegde toezichthouder, tenzij het onwaarschijnlijk is dat het datalek een risico oplevert voor betrokkenen. In sommige gevallen moeten ook de betrokkenen zelf worden geïnformeerd.

11. Minderjarigen en onderwijscontext

Tandem-IT opereert binnen een onderwijsomgeving. Persoonsgegevens worden daarom verwerkt in het kader van onderwijs, projectuitvoering, ondersteuning en infrastructuurbeheer. Tandem-IT probeert binnen die context zo terughoudend mogelijk om te gaan met persoonsgegevens en alleen te verwerken wat nodig is om de dienstverlening verantwoord uit te voeren. Dat sluit ook aan bij het beginsel van dataminimalisatie uit de AVG.

12. Contact over privacy

Vragen over deze privacyverklaring of verzoeken over persoonsgegevens kunnen worden ingediend via het officiële contactkanaal van Tandem-IT of via de daarvoor aangewezen contactpersoon binnen Open-ICT. Wanneer binnen Hogeschool Utrecht een functionaris voor gegevensbescherming of centraal privacycontactpunt is aangewezen, kunnen gebruikers zich daar ook toe wenden.

13. Klachten

Gebruikers die vinden dat Tandem-IT hun persoonsgegevens onjuist verwerkt, kunnen eerst contact opnemen met Tandem-IT of de verantwoordelijke contactpersoon binnen de onderwijsorganisatie. Daarnaast hebben betrokkenen het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens. Dat recht volgt uit het AVG-kader voor betrokkenen.

14. Wijzigingen in deze privacyverklaring

Tandem-IT mag deze privacyverklaring aanpassen wanneer wetgeving, dienstverlening, beveiligingsmaatregelen, systemen of onderwijsprocessen daarom vragen. De meest actuele versie geldt vanaf het moment van publicatie via de gebruikelijke communicatiekanalen van Tandem-IT.

1. Purpose of This Privacy Statement

Tandem-IT processes personal data to deliver, manage, secure, and improve its services within the Open-ICT cloud environment. This privacy statement explains which personal data Tandem-IT processes, why this happens, on what legal basis this happens, how long data is retained, and which rights users have under the GDPR. The GDPR requires organizations to clearly inform data subjects about this.

2. Who This Privacy Statement Applies To

This privacy statement applies to students, teachers, project groups, and other users who use Tandem-IT services, such as accounts, access facilities, virtual machines, support channels, request forms, logging, and other infrastructure services within the Open-ICT environment. This aligns with the scope of the service as described in the SLA and TOS.

3. Which Personal Data Tandem-IT Processes

Tandem-IT may process personal data such as name, student number, student email address, username, project name, role or permissions within the environment, IP address, access and usage logs, ticket and incident information, and communication data needed for support or management. For VM requests, additional data may also be processed, such as the home IP address when temporarily needed until a new VPN solution has been set up. This also follows from the request process and service setup.

Tandem-IT does not generally process special categories of personal data, unless this is unintentionally provided by a user, for example in ticket content, file storage, or email communication. In such cases, Tandem-IT expects users to be cautious with sensitive information and to share only data that is truly necessary.

4. Why Tandem-IT Processes Personal Data

Tandem-IT processes personal data to create and manage accounts, assign permissions, provide VM and infrastructure services, handle requests and incidents, monitor availability and security, perform logging and monitoring, communicate about maintenance and disruptions, and ensure continuity within the educational environment. These purposes align with the operational agreements in the SLA and TOS.

Under the GDPR, personal data must be processed for a clear purpose and must not be used further in a way that is incompatible with that purpose. Only data necessary for that purpose may be processed.

5. Legal Basis for Processing Personal Data

Tandem-IT processes personal data only when there is a valid legal basis. Depending on the situation, processing takes place because it is necessary to perform a task in the educational and management context, because processing is necessary to provide the requested service, or because there is a legitimate interest in keeping the infrastructure secure and manageable. The GDPR requires a valid legal basis for every processing activity.

Where consent is used, Tandem-IT only uses it when consent can genuinely be freely given in that situation. The Dutch Data Protection Authority emphasizes that consent should not automatically be used as the default legal basis when another legal basis is more appropriate.

6. Logging, Monitoring, and Security

Tandem-IT processes logs and technical usage data to keep the environment secure, available, and manageable. This includes, for example, login moments, IP addresses, error messages, system status, authorization events, and incident information.

This data is used for management, capacity control, troubleshooting, security investigation, abuse detection, and incident reconstruction. This also fits the monitoring and incident agreements in the SLA and the supervision provisions in the TOS.

The GDPR requires organizations to take appropriate technical and organizational measures to protect personal data.

7. With Whom Personal Data Is Shared

Tandem-IT shares personal data only when necessary for service delivery, management of the environment, user support, incident handling, or compliance with legal or organizational obligations. Data may be shared within the educational organization with authorized administrators, teachers, or responsible officials when necessary for continuity, security, or escalation. Personal data is not sold.

When Tandem-IT uses third-party systems or platforms, this only happens insofar as it fits within service delivery and the applicable agreements within the educational environment. If such third parties process personal data on behalf of the controller, appropriate agreements must apply under the GDPR.

8. Retention Periods

Tandem-IT does not retain personal data longer than necessary for the purpose for which it was collected. Account data, request data, support information, log data, and incident records are retained as long as necessary for service delivery, security, management, evaluation, or transferability within the educational context. After that, data is deleted, anonymized, or cleaned up, unless a longer retention period is necessary under legislation, security investigation, or demonstrable management needs.

The GDPR requires that personal data is not retained longer than necessary and that organizations are transparent about retention periods or the criteria used for them.

9. User Rights

Users have rights under the GDPR regarding their personal data. They can request access to their data, correction of inaccurate data, deletion of data when there is a valid reason, restriction of processing in certain situations, portability where applicable, and objection to processing in specific cases. Data subjects also have the right to clear information about how their personal data is processed. These rights follow directly from the GDPR.

Not every right applies without limitation in every situation. When Tandem-IT receives a request, it assesses to what extent the request can be carried out within the educational and management context and whether there are legal or organizational reasons to deviate from it.

10. Data Breaches and Incidents

When there is a personal data breach, Tandem-IT assesses the nature, scope, and impact of the incident. If necessary, the incident is reported through the applicable organization-wide route. Under the GDPR, reportable data breaches must be reported to the competent supervisory authority without undue delay and no later than 72 hours after discovery, unless it is unlikely that the breach poses a risk to data subjects. In some cases, the data subjects themselves must also be informed.

11. Minors and Educational Context

Tandem-IT operates within an educational environment. Personal data is therefore processed in the context of education, project execution, support, and infrastructure management. Within that context, Tandem-IT tries to handle personal data as sparingly as possible and to process only what is necessary to carry out the service responsibly. This also aligns with the GDPR principle of data minimization.

12. Privacy Contact

Questions about this privacy statement or requests concerning personal data can be submitted through Tandem-IT's official contact channel or through the designated contact person within Open-ICT. If Utrecht University of Applied Sciences has appointed a data protection officer or central privacy contact point, users may also contact them.

13. Complaints

Users who believe that Tandem-IT processes their personal data incorrectly can first contact Tandem-IT or the responsible contact person within the educational organization. Data subjects also have the right to file a complaint with the Dutch Data Protection Authority. This right follows from the GDPR framework for data subjects.

14. Changes to This Privacy Statement

Tandem-IT may amend this privacy statement when legislation, service delivery, security measures, systems, or educational processes require it. The most current version applies from the moment of publication through Tandem-IT's usual communication channels.