Naleving

Wie waarvoor verantwoordelijk is

Het centrum bepaalt wat het verzamelt en waarom. Wij zijn de dienstverlener en verwerken gegevens alleen op instructie van het centrum. De software helpt, maar het centrum blijft verantwoordelijk voor eigen mededelingen, toestemmingen en beleid. Dit is geen juridisch advies.

FERPA

FERPA geldt voor scholen die geld van het Amerikaanse ministerie van Onderwijs ontvangen. Een particulier bijlescentrum valt er vaak niet onder, maar een centrum dat voor een school of schooldistrict werkt mogelijk wel. Waar FERPA geldt, werken wij onder rechtstreeks beheer van het centrum, gebruiken we gegevens alleen om de dienst te leveren, en kan het centrum ze exporteren of ons vragen ze te verwijderen.

FERPA geldt niet voor elk particulier centrum. Of het voor het uwe geldt, hangt af van de contracten met scholen of districten. Wij zeggen niet dat de software een centrum "FERPA-conform" maakt, want zo'n certificering bestaat niet.

COPPA

Bij kinderen onder 13 vraagt het centrum eerst toestemming aan een ouder, en wij verwerken de gegevens van het kind alleen voor het centrum. Geen advertenties, geen verkoop van kindgegevens, geen profielen. Er is geen veld voor geboortedatum of identiteitsbewijs. Ouders vragen het centrum om inzage, correctie of verwijdering.

Californië (CCPA en CPRA)

Wij zijn dienstverlener: we verkopen geen persoonsgegevens, delen ze niet voor gedragsgerichte advertenties over contexten heen en gebruiken ze alleen voor de dienst. De rechten staan in het Privacybeleid.

Staatswetten over de privacy van leerlingen

Verschillende staten hebben wetten voor leerlinggegevens, vooral gericht op scholen en de bedrijven die zij inhuren. In grote lijnen:

• Californië, SOPIPA: verbiedt gerichte reclame, profielen en verkoop van leerlinggegevens door diensten voor schoolgebruik (K-12) en vraagt redelijke beveiliging. Wij doen geen van drie.
• New York, Education Law 2-d: geldt voor scholen en districten in New York en de leveranciers die zij inhuren. Een district kan schriftelijke afspraken over gegevensbescherming en snelle meldingen van datalekken vragen. Als een district erom vraagt, praten wij schriftelijk over zulke afspraken.
• Andere staten: Illinois, Colorado en veel andere staten hebben vergelijkbare wetten. Of een wet voor een particulier centrum geldt, hangt af van de contracten met scholen.
• Gebouwd om te ondersteunen, niet gecertificeerd: wij beweren niet aan deze wetten te voldoen. Vraag een jurist wat voor uw centrum geldt.

E-mails en sms-berichten (CAN-SPAM en TCPA)

CAN-SPAM regelt commerciële e-mail. De TCPA regelt sms en telefoontjes. Het centrum is de afzender van de berichten die het via de software laat versturen en moet dus toestemming hebben. De software is gebouwd om dat te ondersteunen.

Toegankelijkheid (ADA en WCAG 2.1 AA)

Mensen met een beperking moeten deze website en de apps kunnen gebruiken. We werken toe naar WCAG 2.1 niveau AA, de maatstaf die Amerikaanse rechters en instanties vaak voor de ADA gebruiken. Er is nog geen onafhankelijke toegankelijkheidsaudit geweest, dus we beweren geen conformiteit.

• Op deze website: een link om naar de inhoud te springen, alternatieve teksten bij afbeeldingen, een taal die op elke pagina is ingesteld en een opmaak die op een telefoon werkt.
• De apps voor kantoor, ouders en tutors zijn nog niet aan WCAG getoetst.
• Een barrière gevonden? Mail naar office@meetmytutor.com met de pagina en wat er misging. We streven naar een antwoord binnen één werkdag en werken aan een oplossing.

Betalingen, belasting en tutorbetaling

Wat de software nu doet met geld en belasting, en wat zij overlaat aan het centrum en de boekhouder.

Beveiligingsmaatregelen die nu zijn ingevoerd

• De server bepaalt wat iedereen ziet, niet alleen het scherm. Medewerkers zonder recht op boekhouding zien geen geld.
• Authenticator-app met herstelcodes, of een code per e-mail, voor kantoor, tutors, ouders en leerlingen.
• Opgeslagen als gezouten scrypt-hashes. Mislukte pogingen worden vertraagd en sessies eindigen na 12 uur.
• Elke wijziging wordt vastgelegd met wie en wanneer. Het logboek wordt alleen aangevuld, dus items kunnen niet worden gewijzigd of verwijderd.
• Al het verkeer loopt via HTTPS. Opgeslagen inloggegevens zijn versleuteld met AES-256-GCM, met een sleutel buiten de database. Externe back-ups gebruiken de wachtzin van het centrum.
• Elke nacht een kopie, 14 bewaard. Laatst getest terugzetten op 5 oktober 2026.
• Alleen bevoegde kantoormedewerkers koppelen externe diensten of ontkoppelen ze, en opgeslagen inloggegevens verschijnen alleen afgeschermd.

Wat we niet beweren

MeetMyTutor heeft op dit moment geen SOC 2-rapport, ISO 27001-certificering, HITRUST, HIPAA-verklaring of andere certificering door derden, en we beweren niet “FERPA-gecertificeerd” of “COPPA-gecertificeerd” te zijn, omdat zulke certificeringen niet bestaan. We bieden geen ondertekende verwerkersovereenkomst of ingevulde beveiligingsvragenlijst aan, tenzij we die schriftelijk met het centrum afspreken.

Deze pagina beschrijft hoe de software nu werkt. Het is geen garantie en vervangt het eigen juridisch advies van het centrum niet.

Incidenten en contact

Als we merken dat de gegevens van een centrum zonder toestemming zijn bekeken, laten we dat het centrum zonder onnodige vertraging weten, zodat het zijn eigen plichten tegenover gezinnen kan nakomen.

Vragen, beveiligingsmeldingen en verzoeken over onze omgang met gegevens: office@meetmytutor.com. Meer details staan op Vertrouwen en gegevens.

Elke Amerikaanse staat heeft een eigen wet over het melden van datalekken. Meestal moet de eigenaar van de gegevens, hier het centrum, de getroffen gezinnen en soms een staatsinstantie inlichten. Omdat wij de gegevens voor het centrum bewaren, vertellen wij het centrum vroeg en schriftelijk wat wij weten, zodat het zijn eigen termijnen kan halen. Dit is geen juridisch advies.