Privacyverklaring

Versie 16 januari 2023

Goed dat je de privacyverklaring voor eduID bekijkt! Het eduID-team van SURF besteedt veel aandacht aan de bescherming van je persoonsgegevens en in deze privacyverklaring kun je daar alles over lezen. Als je vragen of zorgen hebt over deze privacyverklaring, stuur dan gerust een e-mail naar help@eduid.nl.

Wat is eduID?

Studenten willen steeds vaker buiten de eigen instelling studeren. Ze hebben bijvoorbeeld interesses in vakken van verschillende opleidingen of ze willen zich beter profileren op de arbeidsmarkt. Ook bieden onderwijsinstellingen gezamenlijke opleidingen aan, waarvan de onderdelen aan meerdere instellingen gegeven worden.

Om deze flexibiliteit te faciliteren, moeten studenten over instellingen heen uniek identificeerbaar zijn. Zo weten verschillende instellingen zeker dat zij met dezelfde student te maken hebben en kunnen bijvoorbeeld behaalde studieresultaten worden uitgewisseld. eduID maakt dit mogelijk. Iedereen die direct en indirect met het onderwijs te maken heeft, kan een eduID gebruiken.

Het plan is om eduID voor alle studenten in onderwijs en onderzoek in te voeren. Zover is het nog niet, maar we gaan eduID al wel voor specifieke doelgroepen inzetten. Een daarvan zijn gastgebruikers van SURFconext. Een gastgebruiker is een gebruiker die toegang nodig heeft tot een dienst via SURFconext, maar zelf geen account bij een van de aangesloten instellingen heeft.

Lees meer over eduID.

Contactgegevens verwerkingsverantwoordelijke

SURF
Moreelsepark 48
3511 EP Utrecht, Nederland
www.surf.nl
help@eduid.nl

Wat zijn het doel en de grondslag van de verwerking?

De verwerking van de hierondergenoemde gegevens zijn nodig om een systeem aan te kunnen bieden waarop gebruikers kunnen inloggen om een eduID-account aan te kunnen maken en welke zij kunnen gebruiken voor authenticatie richting (bepaalde) diensten aangesloten op SURFconext.

De grondslag voor de gegevensverwerkingen is uitvoering van een overeenkomst. Iedere eduID-gebruiker wordt gevraagd deze overeenkomst te accepteren bij het aanmaken van een nieuw eduID-account.

Welke gegevens verwerken wij van jou?

eduID verwerkt de volgende (persoons)gegevens:

1. Het e-mailadres en de gebruikersnaam
2. De voor- en achternaam
3. Optioneel: een zelfgekozen wachtwoord
4. Een uniek identificerend nummer en daarbij behorende pseudoniemen die aan diensten worden verstrekt
5. De datum en het tijdstip waarop de eerste login plaatsvindt van iedere dienst waarvoor eduID wordt gebruikt
6. Extra technische data:
   1. Voorkeurstaal eduID interface
   2. Technische logging (user agent)
   3. IP adres
   4. Tijdelijk Session ID

Om de betrouwbaarheid van je eduID-account te verhogen kun je het koppelen aan het account van je onderwijsinstelling. Als je dat doet, bijvoorbeeld om je edubadges te claimen, dan verwerkt eduID ook de volgende gegevens:

1. Naam en URL van de gekoppelde instelling
2. De voor- en achternaam zoals bekend bij gekoppelde instelling
3. Gebruikersnaam van het account binnen gekoppelde instelling
4. Rol(len) binnen gekoppelde instelling (bijvoorbeeld ‘student’ of ‘medewerker’)
5. Datum waarop de koppeling is gemaakt
6. Datum waarop de koppeling verloopt

Je hebt ook de optie om de eduID-app te gebruiken. Met de eduID-app kun je veiliger en makkelijker met eduID inloggen. Veiliger omdat inloggen met de eduID app ook meteen multi-factor authenticatie (MFA) is. Dit verlaagt sterk de kans op misbruik. Makkelijker omdat inloggen met de eduID-app “passwordless” is via een push-bericht naar je telefoon. Een wachtwoord invoeren of klikken op een link in de email is niet meer nodig. Als je de eduID-app gebruikt, dan verwerkt eduID ook de volgende gegevens:

1. Een uniek identificerend nummer van je eduID-app registratie
2. Een uniek identificerend nummer van je telefoon om een push-bericht te kunnen sturen
3. Optioneel: je mobiel telefoonnummer indien je als herstelmethode je telefoonnummer hebt gekozen

Welke cookies plaatst eduID?

eduID plaatst cookies op het apparaat waar je eduID mee bezoekt. Cookies zijn kleine bestanden die verstuurd worden door een internetserver en die worden opgeslagen op je apparaat. De cookies die eduID plaatst zijn noodzakelijk voor het functioneren van eduID. eduID plaatst geen analytische of tracking cookies.

Functionele cookies

eduID maakt gebruik van een aantal functionele cookies die ervoor zorgen dat eduID correct functioneert:

• Cookie ‘login_preference’ om te onthouden op welke manier je inlogt (bijv. via magische link of wachtwoord). Deze cookie is 1 jaar geldig.
• Cookie ‘lang’ om te onthouden in welke taal je de eduID interface wenst te zien. Deze cookie is 1 jaar geldig.
• Cookie ‘REGISTER_MODUS’ om aan te geven of je in het registratieproces dient uit te komen. Deze cookie wordt alleen tijdens de sessie gezet, daarna verwijderd.
• Cookie ‘BROWSER_SESSION’ om ervoor te zorgen dat je de magische link gebruikt in dezelfde browser als waar de login is gestart. Deze cookie wordt alleen tijdens de sessie gezet, daarna verwijderd.
• Cookie ‘guest-idp-remember-me’, om het mogelijk te maken dat je ingelogd blijft (in de browser waar je dit gebruikt). Deze cookie is 6 maanden geldig.
• Cookie ‘username’ om je gebruikersnaam te onthouden zodat je die de volgende keer niet hoeft in te vullen.
• Cookie ‘REMEMBER_ME_QUESTION_ASKED_COOKIE’ om te onthouden of eduID heeft gevraagd dat je ingelogd wilt blijven.
• Cookie ‘TIQR_COOKIE’ om te onthouden of je in deze browser al een keer ingelogd bent met de eduID app
• Cookie ‘TRACKING_DEVICE’ om te detecteren of dit een nieuw apparaat is waarop ingelogd wordt. Als dit een nieuw apparaat is wordt er een notificatie email gestuurd.

Aan wie verstrekken wij jouw gegevens?

eduID verstrekt de door jou verstrekte gegevens alleen aan derde partijen als dit noodzakelijk is om de betreffende dienst aan jou te kunnen leveren. Zo verstrekt eduID gegevens aan diensten waarop je inlogt via eduID. Voordat de gegevens daadwerkelijk worden verstrekt bij de eerste keer dat je inlogt op een dienst via eduID, krijg je een informatiescherm te zien met welke gegevens er precies aan de dienst worden verstrekt. Door dit scherm te sluiten kun je voorkomen dat de dienst je gegevens ontvangt. Je kunt dan ook niet gebruik maken van de dienst via eduID.

Via Mijn eduID je zien welke diensten je via eduID hebt gebruikt.

Verder verstrekken we je gegevens alléén aan andere partijen na jouw toestemming, tenzij het wettelijk verplicht of toegestaan is je gegevens te verstrekken. Zo kan bijvoorbeeld de politie in het kader van een fraudeonderzoek gegevens bij ons opvragen. SURF is dan wettelijk verplicht deze gegevens af te geven.

Waar slaan wij je gegevens op?

De eduID-infrastructuur wordt gehost op infrastructuur van SURF. De servers daarvan bevinden zich in Amsterdam en Utrecht, met een back-uplocatie in Tilburg.

Hoe lang bewaren wij je gegevens?

De bewaartermijn voor eduID accountgegevens is zevenendertig maanden na laatste inlog. De technische loggegevens worden zes maanden bewaard.

Wat zijn je rechten?

SURF verwerkt jouw persoonsgegevens, dus jij kunt bepalen wat ermee gebeurt. Wat kun je precies met de aan ons verstrekte gegevens?

Door naar Mijn eduID te gaan en in te loggen op je eduID, zie je een overzicht van al jouw gegevens. Je kunt de gegevens die je zelf rechtstreeks aan eduID hebt verstrekt, hier ook wijzigen (naam, wachtwoord). Voor de overige informatie en/of verzoeken over onderstaande rechten, kun je contact opnemen met eduID via help@eduid.nl.

• Je kunt ons verzoeken om inzage in de gegevens die we van jou verwerken. De gegevens die eduID van jou heeft zijn zichtbaar op Mijn eduID.
• Je kunt ons verzoeken om je gegevens te verwijderen wanneer deze onjuist of niet (meer) relevant zijn. De gegevens die eduID registreert, worden verzameld onder de grondslag Uitvoering van overeenkomst. Stuur een email naar help@eduid.nl als je deze overeenkomst wilt intrekken en je gegevens wilt wissen.
• Je kunt zelf je gegevens wijzigen of aanvullen als deze onjuist of niet (meer) relevant zijn. Je verstrekt zelf je gegevens aan eduID (e-mailadres, naam, wachtwoord). Behalve het e-mailadres kun je deze gegevens zelf wijzigen (rectificeren) via Mijn eduID. Wil je het e-mailadres wijzigen, neem dan contact op met help@eduid.nl.
• Je kunt ons verzoeken om de verwerking van je gegevens te beperken. Dit houdt in dat de verwerking van je gegevens gedurende een bepaalde tijd wordt opgeschort.
• Je kunt een digitaal overzicht opvragen van de gegevens die we van jou verwerken en je hebt het recht op overdraagbaarheid van deze gegevens naar een andere dienstverlener.

Vind je dat SURF niet goed omgaat met je persoonsgegevens, dan kun je een klacht indienen bij SURF. Als jij en SURF er samen niet uitkomen, kun je een klacht over SURF indienen bij de Autoriteit Persoonsgegevens. 

Wijzigingen privacyverklaring

Er kunnen wijzigingen worden aangebracht in deze privacyverklaring. We raden je daarom aan om deze privacyverklaring geregeld te raadplegen. Het versienummer staat bovenaan de pagina.