FloraFaunaDexPrivacyverklaring
Wat we wél en niet
van je klas weten.
FloraFaunaDex is een natuur- en educatieplatform voor de basisschool. We verwerken zo min mogelijk persoonsgegevens — hieronder staat precies welke, waarom en hoe lang.
FloraFaunaDex (hierna “de app”) is een educatieve natuur-app waarmee kinderen op de basisschool planten en dieren leren herkennen, vragen beantwoorden en een digitale verzameling (“dex”) opbouwen. Wij vinden de privacy van kinderen, ouders en leerkrachten belangrijk en verwerken zo min mogelijk persoonsgegevens. Deze verklaring legt uit welke gegevens we verwerken, waarom, en welke rechten je hebt.
1. Verwerkingsverantwoordelijke
| Organisatie | [INVULLEN: bedrijfs-/organisatienaam] |
|---|---|
| Rechtsvorm / KvK | [INVULLEN: rechtsvorm + KvK-nummer] |
| Adres | [INVULLEN: vestigingsadres] |
| E-mail (privacy) | info@florafaunadex.nl |
| Functionaris Gegevensbescherming | [INVULLEN: naam/contact, of “niet verplicht — niet aangesteld”] |
2. Welke gegevens verwerken we?
| Gegeven | Doel | Waar opgeslagen |
|---|---|---|
| Voornaam of bijnaam van het kind | Inloggen/herkennen profiel, ranglijst | Op het apparaat én in onze opslag (Supabase, Frankfurt). Bij gebruik via school staat de voornaam op twee ranglijsten: die van de klas, en een landelijke ranglijst waarop kinderen van alle deelnemende scholen elkaar zien. Op beide staan voornaam, avatar, groep (bijv. “groep 5-6”), XP en de verzamelde kaarten: soort, datum en het soort plek (“water”, “struiken”), nooit een locatie. Geen foto’s, en op de landelijke lijst geen klascode of schoolnaam. [CONTROLEER met jurist: landelijke ranglijst met voornamen] |
| Klascode | Koppelen aan de juiste klas/leerkracht | Lokaal + (optioneel) backend |
| Voortgang: XP, scans, verzamelde kaarten, quizantwoorden | Spelvoortgang en leerresultaten tonen | Op het apparaat én in onze opslag (Supabase, Frankfurt), in een ruimte van dit apparaat of, met een account, van dat account. Zo is de verzameling niet weg als een tablet gewist wordt. |
| Foto’s (camera) van planten/dieren | Soortherkenning door AI, en daarna: de foto blijft op de verzamelkaart staan, zodat het kind zijn eigen foto op zijn kaart ziet | Op twee plekken. (1) Bij de kaart, in de persoonlijke ruimte van dit kind; die verdwijnt zodra de kaart verdwijnt. (2) In de klas-opslag, samen met de voornaam, de soort en het tijdstip — dat is wat de klas van elkaar ziet bij Show & Tell op het digibord, in het verslag van een buitenles en bij de foto van de week. Klasgenoten kunnen die dus zien; buiten de klas staat hij niet. Nooit in de ranglijst. |
| Foto van een ingeleverde opdracht (tekening, knutselwerk, iets van buiten) | Het kind levert bij een opdracht van de leerkracht een foto van zijn werk in; de leerkracht ziet hem en reageert met een korte zin. Het kind ziet zijn eigen ingeleverde werk en de reactie terug als portfolio. | In de klas-opslag (Supabase, Frankfurt), met de voornaam, de opdracht en het tijdstip. Vóórdat de foto de tablet verlaat, kijkt de AI-dienst (Anthropic) na of er een gezicht op staat; staat er een gezicht op, of lukt die controle niet, dan wordt de foto niet ingeleverd. De leerkracht ziet daarna elke foto en kan hem weghalen. Klasgenoten krijgen deze foto’s in de app niet te zien. Bewaard tot het einde van het schooljaar: op 1 augustus wordt alles van het vorige schooljaar automatisch verwijderd. School kan dit onderdeel uitzetten. |
| Ouder-/voogdtoestemming (consent) | Aantonen dat toestemming is gegeven | Lokaal + log in backend (klascode + naam-gever + tijdstip) |
| Aanwezigheidssignaal: voornaam + tijdstip, en (als het kind een samen-moment opent) een code van vier tekens | Klasgenoten laten zien wie er op dit moment ook in de app is, en bij “Wie is hier bij jou?” wie er samen bezig is. Die code is geen locatie: hij zegt alleen dat een paar klasgenoten dezelfde code hebben ingetikt, en dat kan alleen als ze bij elkaar staan. De app vraagt nooit de locatie van een kind en gebruikt geen GPS of bluetooth. | Alleen in de gedeelde klas-opslag; veroudert vanzelf na 3 minuten en wordt overschreven — er wordt geen geschiedenis van bewaard. De code zelf staat verder alleen op het apparaat van het kind en vervalt na drie uur. |
| Inlogcode van vier cijfers of wachtwoord | Inloggen | Alleen als versleutelde afgeleide (hash) in onze opslag, nooit de code zelf; te controleren door onze server, niet uit te lezen door de app. Voor de leerkracht staan de codes van de klas in een versleutelde kluis, zodat een vergeten code terug te vinden is. Wie met een wachtwoord inlogt krijgt een sessiesleutel die na 90 dagen verloopt. |
| Foutmeldingen van de app | Storingen vinden en oplossen | In de gedeelde opslag: de melding (hoogstens 300 tekens), het scherm waar het gebeurde en het tijdstip. Er gaat geen naam, klascode of apparaatgegeven bij. |
| Technische gegevens (IP-adres, tijdstip verzoek; bij mislukte inlogpogingen ook klascode en voornaam) | Beveiliging en misbruik-/kostenbeperking | Tellers in de backend (rate-limiting), die na twee dagen automatisch gewist worden |
We vragen geen e-mailadres, adres, geboortedatum, locatie of andere directe identificatie van het kind. Ook het e-mailadres van een ouder vragen we niet: het weekoverzicht per e-mail staat uit. We gebruiken geen advertenties of tracking-cookies en verkopen geen gegevens.
Drie keuzes die er juist minder gegevens van maken: bij ruilen gaat alleen de soort mee, nooit de foto van het kind. Een leerkracht kan per klas fotokeuring aanzetten: dan ziet de klas een foto pas nadat de leerkracht hem heeft goedgekeurd. En wie zijn reservaat deelt, deelt een link met alleen soortnamen, zonder naam of foto.
2b. Wat we juist wél bewaren: de natuur
Van kinderen bewaren we zo min mogelijk. Van de natuur juist wél — want dáár wordt de wereld beter van. Elke herkende soort levert één anonieme waarneming op in onze natuurdatabank: hoeveel van wat is er gezien, wanneer en in wat voor soort omgeving.
| Wat gaat mee | Waarom |
|---|---|
| De soort (bijv. "IJsvogel") en de categorie | Zonder de soort is er geen waarneming |
| De zeldzaamheid | Laat zien of iets bijzonders vaker opduikt |
| Het type plek: gras, struiken, tegels, zand, waterkant of hek — geen GPS, geen adres | Vertelt in wat voor omgeving een soort leeft |
| De provincie, alleen als de leerkracht die zelf invult | Maakt de reeks bruikbaar voor natuuronderzoek; leeg laten mag |
| De datum — de dag, zonder tijdstip | Zonder tijdstip valt een waarneming niet aan één scansessie te koppelen |
Wat er niet in staat: geen naam of alias, geen apparaat-identificatie, geen klascode, geen school, geen foto en geen tijdstip. Er is dus niets om naar een kind te herleiden — een waarneming is niet meer dan "op 14 mei is er ergens in Utrecht een ijsvogel bij het water gezien". Daarom bewaren we deze reeks wél langdurig: een natuurmeting wordt juist waardevoller naarmate hij langer loopt.
De leerkracht ziet de optelsom in het lerarenpaneel onder 🔬 Natuurdata en kan de soortenlijst als bestand downloaden.
3. Gegevens van kinderen (AVG art. 8)
De app is bedoeld voor kinderen op de basisschool. Voor het verwerken van persoonsgegevens van kinderen vragen we toestemming van een ouder/voogd of verloopt het gebruik onder verantwoordelijkheid van de school/leerkracht. Het kind kan pas scannen nadat in de app toestemming is bevestigd (consent-gate). Een ouder/leerkracht kan de toestemming intrekken en gegevens laten verwijderen (zie §8).
Bij gebruik via school is de verhouding tussen school en [INVULLEN: organisatie] mogelijk een verwerker-relatie; leg dit vast in een verwerkersovereenkomst. [CONTROLEER met jurist]
4. Grondslag van de verwerking
- Toestemming (AVG art. 6 lid 1a, met art. 8 voor kinderen): voor het verwerken van scans en profielgegevens.
- Gerechtvaardigd belang (art. 6 lid 1f): beveiliging en het tegengaan van misbruik van de AI-proxy (bv. IP-adres voor rate-limiting).
- [INVULLEN indien van toepassing: uitvoering overeenkomst met school]
5. Verwerkers en derde partijen
Voor het functioneren van de app schakelen we de volgende dienstverleners in (verwerkers):
| Partij | Rol | Locatie gegevens |
|---|---|---|
| Supabase | Backend, opslag consent-log, beveiliging (rate-limiting) | EU (Frankfurt, eu-central-1) |
| Vercel | Hosting van de website/app | EU/wereldwijd CDN [CONTROLEER regio-instelling] |
| Anthropic (Claude AI) | AI-soortherkenning en educatieve content | Verenigde Staten |
Wikimedia is geen verwerker maar een externe bron: gidsfoto’s en vogelgeluiden worden rechtstreeks bij Wikimedia Commons opgehaald. Daarbij ziet Wikimedia, zoals elke website, het IP-adres van het apparaat; er gaat geen naam of ander gegeven van het kind mee. [CONTROLEER met jurist]
Doorgifte buiten de EER
De foto/tekst die voor soortherkenning wordt verwerkt, gaat naar Anthropic in de Verenigde Staten. Deze doorgifte steunt op passende waarborgen: [INVULLEN/CONTROLEER: EU-US Data Privacy Framework en/of Standaardcontractbepalingen (SCC’s)]. Met elke verwerker is of wordt een verwerkersovereenkomst gesloten. [CONTROLEER dat deze overeenkomsten zijn afgesloten]
Belangrijk: elke foto gaat eerst naar de herkenner
We zeggen dit expliciet, omdat het makkelijk anders gelezen kan worden. De app maakt geen kaart van een foto waar een mens op staat — maar de beoordeling of er een mens op staat gebeurt bij de herkenner, dus nadat de foto is verstuurd. Er zit geen filter in de app dat dat vooraf tegenhoudt. Fotografeert een kind per ongeluk een klasgenoot, dan is die foto dus wél naar de herkenner gegaan voordat hij werd afgewezen.
Wat er daarna gebeurt: er komt geen kaart, de foto wordt direct uit de app verwijderd (hij blijft niet op het scanscherm staan en kan niet opnieuw worden verstuurd), en hij wordt nergens opgeslagen. Bij de herkenner wordt hij niet gebruikt om het AI-model te trainen. [CONTROLEER actuele API-voorwaarden]
Voor een ingeleverde opdracht geldt hetzelfde: de gezichtscontrole gebeurt bij dezelfde AI-dienst, dus ook die foto is verstuurd vóórdat bekend is of er een gezicht op staat. Staat er een gezicht op, dan wordt hij niet ingeleverd en nergens bewaard; het kind leest dat het een nieuwe foto moet maken.
Leg kinderen daarom vóór het scannen uit dat de camera voor planten en dieren is, niet voor elkaar. Dat is de enige maatregel die vóór het versturen werkt.
De buddy-camera: het beeld blijft volledig op het toestel
De app heeft een speelfunctie ("buddy op tafel") waarbij het camerabeeld als achtergrond dient om een eigen verzamelkaart op tafel te tonen. Dit werkt anders dan het scannen hierboven: dit camerabeeld verlaat het toestel nooit. Er gaat geen enkel beeld naar onze opslag, naar een AI-model of naar wie dan ook; er vindt geen soortbepaling, geen gezichtsherkenning en geen locatiebepaling plaats. De foto-knop in deze modus bewaart alleen een fotobestand op het eigen toestel — er wordt niets geüpload en niets in de app opgeslagen. Ook het herkennen van de buddy-mat (het geprinte herkenningsvel waarop de buddy kan staan) gebeurt volledig op het toestel zelf: de beeldherkenning daarvoor draait in de browser en stuurt geen enkel beeld ergens heen. Vóórdat de camera wordt gevraagd legt de app dit in kindertaal uit, en de leerkracht kan deze functie per klas uitzetten.
6. Bewaartermijnen
- Profiel- en voortgangsgegevens: op het apparaat en in onze opslag, totdat het kind/de ouder of de leerkracht het profiel verwijdert.
- Foto’s van een vondst, bij de kaart: blijven bewaard zolang de kaart bestaat — die foto ís de kaart. Verdwijnt de kaart (weggeruild of verwijderd), dan wordt de foto meegewist; de app ruimt bij het opstarten ook foto’s op die geen kaart meer hebben.
- Dezelfde foto in de klas-opslag (Show & Tell, buitenles-verslag, foto van de week): die volgt de kaart niet en heeft een eigen termijn. Zodra de leerkracht de klas archiveert — aan het eind van het schooljaar — worden die klasfoto’s verwijderd, samen met de verkleinde kaartafbeeldingen uit de arena. Dat gebeurt automatisch bij het archiveren; een leerkracht die eerder wil opruimen kan dat met één knop in het klasoverzicht. Wat er blijft staan is de vondst zonder beeld: welke soort, wanneer en door wie — daar rusten het jaarboek, het mozaïek en de rapporten op. De foto op de eigen kaart van het kind wordt hierbij niet aangeraakt: die is van het kind en volgt de kaart.
- Verkleinde afbeeldingen van kaarten (maximaal 30 kB) in de klas-opslag, zodat een klasgenoot in de arena de kaart ziet in plaats van een symbool. Zelfde kring en zelfde termijn als hierboven.
- Foto’s van een ingeleverde opdracht en de reacties van de leerkracht daarop: tot het einde van het schooljaar. Elke nacht ruimt de database alles op wat vóór 1 augustus van het lopende schooljaar is ingeleverd. Een leerkracht kan een foto eerder weghalen; levert een kind bij dezelfde opdracht een nieuwe foto in, dan vervangt die de vorige.
- Foto’s waar een persoon op blijkt te staan: die worden helemaal niet bewaard. Er komt geen kaart, en de foto wordt direct uit de app verwijderd.
- Consent-log: [INVULLEN: bewaartermijn, bv. zolang de toestemming geldig is + X maanden]
- Technische beveiligingsgegevens (rate-limiting): twee dagen. Een dagelijkse taak op de server wist oudere tellers.
7. Beveiliging
We nemen passende technische en organisatorische maatregelen: versleutelde verbindingen (HTTPS), opslag binnen de EU (Supabase), een beveiligde server-proxy zodat de AI-sleutel nooit in de app/browser staat, en maatregelen tegen misbruik (rate-limiting, herkomstcontrole). Toegang tot backend-gegevens is beperkt.
8. Jouw rechten
Je hebt het recht op inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid, en het recht om toestemming in te trekken. Voor kinderen oefent de ouder/voogd deze rechten uit. Veel gegevens staan lokaal op het apparaat en kun je zelf wissen via de app (uitloggen/verwijderen). Voor overige verzoeken: mail info@florafaunadex.nl.
Overdraagbaarheid kan sinds eind augustus 2026 in de app zelf. Onderaan “Mijn kaarten” staat “Neem je verzameling mee”: dat levert al je eigen kaarten als één JSON-bestand op — gestructureerd, gangbaar en machineleesbaar, zoals AVG art. 20 vraagt. Het is een kopie: er wordt niets gewist. In dat bestand staat bewust geen klascode, schoolnaam, apparaatgegeven of vindplaats, en ook geen kaarten van andere kinderen; het bestand somt zelf op wat er niet in zit en waarom. De naam die het kind zelf invulde staat er wél in.
Correctie kan sinds eind augustus 2026 ook in de app zelf. Stond er een verkeerde soortnaam op een kaart, dan kon die alleen worden rechtgezet op het scherm direct ná de scan — en dat is zelden het moment waarop je erachter komt. Nu kan het ook later: open de kaart in je verzameling en kies “Klopt deze naam niet?”. De oude naam blijft bewaard bij de kaart, de foto en de punten blijven staan, en de naam wordt ook in het klasoverzicht bijgewerkt. “Ik weet het niet zeker” is daarbij een geldig antwoord: de kaart krijgt dan een vraagteken in plaats van een verzonnen naam.
Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.
9. Cookies en lokale opslag
De app gebruikt geen tracking- of advertentiecookies. Voor het werken van de app wordt lokale opslag (localStorage / device-opslag) gebruikt om je profiel en voortgang op je eigen apparaat te bewaren. Daarnaast staat een kopie in onze opslag in Frankfurt (zie §2), zodat een verzameling niet verloren gaat als een apparaat gewist wordt.
10. Wijzigingen
We kunnen deze verklaring aanpassen. De actuele versie staat altijd op deze pagina.
Laatst bijgewerkt: [INVULLEN: datum] · Versie 1.0 (concept)