Privacyafspraken, DPA en SCC’s

Een verwerkersovereenkomst legt vast hoe een leverancier persoonsgegevens in opdracht verwerkt. Bij 7taps heet die overeenkomst de Data Processing Agreement, afgekort DPA. De DPA is openbaar beschikbaar. Laat vastleggen welke versie en bijlagen bij jullie softwareovereenkomst horen.

Lees daarnaast de privacyverklaring. Die beschrijft hoe 7taps met persoonsgegevens omgaat en vervangt de afspraken over verwerking in opdracht niet. Vraag verduidelijking als een algemene beschrijving niet aansluit op de gekozen functies (7taps, z.d.-j).

Begin bij jullie eigen verwerking

Noteer het opleidingsdoel, de doelgroep en de noodzakelijke gegevens. Bepaal de grondslag en informeer deelnemers over het gebruik van hun gegevens. Een contract met de softwareleverancier geeft op zichzelf geen grondslag voor iedere verwerking van medewerkersgegevens.

Neem toestemming niet automatisch als oplossing. In een arbeidsrelatie kan de vereiste vrije keuze ontbreken. Laat privacy beoordelen welke grondslag en informatievoorziening passen. Controleer daarnaast de voorwaarden van 7taps voor de gekozen verzendkanalen (European Data Protection Board, z.d.; 7taps, z.d.-f).

Wat controleer je in de DPA?

De AVG beschrijft eisen aan afspraken met verwerkers. Maak bij de beoordeling duidelijk hoe deze punten zijn geregeld:

• Doel, duur, aard van verwerking, gegevens en betrokkenen.
• Instructies, vertrouwelijkheid en beveiligingsmaatregelen.
• Inschakelen en wijzigen van subverwerkers.
• Hulp bij verzoeken van betrokkenen, incidenten en onderzoeken.
• Controle- en auditmogelijkheden.
• Teruggave en verwijdering van gegevens na afloop.

De wetstekst staat bij de AVG, artikel 28. Gebruik het eigen beoordelingsmodel en de afspraken die daadwerkelijk met 7taps worden gesloten.

Wat zijn SCC’s?

Standard Contractual Clauses zijn modelcontractbepalingen van de Europese Commissie voor bepaalde doorgiften naar landen buiten de EER. Welke module past, hangt af van de rollen van verzender en ontvanger (Europese Commissie, z.d.-b).

De openbare DPA van 7taps noemt bijlage A voor SCC’s en benoemt modules. De volledige clausuletekst staat daar niet uitgeschreven; de pagina verwijst naar een afzonderlijke bijlage. Vraag daarom de volledige, voor jullie overeenkomst geldende set op. Controleer partijen, modulekeuze, beschrijving van de doorgifte, beveiligingsbijlagen, rechtskeuze en bevoegde rechter. Laat de juridische beoordeling aansluiten op de officiële EU-tekst (7taps, z.d.-d).

Neem niet aan dat een vooraf ondertekende pdf of één bepaalde module altijd standaard wordt geleverd. Laat 7taps bevestigen hoe de complete afspraken voor jullie tot stand komen.

En het Data Privacy Framework?

Het EU-US Data Privacy Framework is een andere mogelijke route voor doorgifte naar deelnemende Amerikaanse organisaties. Dat geldt niet automatisch voor ieder Amerikaans bedrijf. Als een leverancier zich daarop beroept, controleer dan de juiste juridische entiteit, actieve deelname en dekking van de doorgifte in het officiële register. Deze gids bevestigt geen registratie van 7taps (Europese Commissie, z.d.-a).

TIA en DPIA zijn verschillende beoordelingen

Een Transfer Impact Assessment (TIA) beoordeelt de omstandigheden van internationale doorgifte en, waar nodig, aanvullende maatregelen. Gebruik bij een SCC-route de actuele aanwijzingen van de EDPB.

Een Data Protection Impact Assessment (DPIA) gaat over de risico’s van jullie verwerking voor mensen. Laat vooraf bepalen of die verplicht of nodig is. Niet iedere learning vraagt automatisch een DPIA. De aard, omvang, context en doeleinden van de verwerking zijn relevant (Europees Parlement & Raad van de Europese Unie, 2016, art. 35).

Het resultaat van deze stap

Een vastgelegd doel en grondslag, passende verwerkersafspraken en een onderbouwde doorgifteroute voor de werkelijke gegevensstromen. Ontbreekt een bepalende bijlage? Noteer wie die opvraagt en welke verwerking daarop wacht. Het dossier helpt dit concreet te maken.

Bronnen

7taps. (z.d.-d). 7taps Data Processing Agreement (DPA). Geraadpleegd op 6 november 2026, van https://help.7taps.com/en/articles/12572266-7taps-data-processing-agreement-dpa

7taps. (z.d.-f). 7taps Microlearning Terms of Service. Geraadpleegd op 6 november 2026, van https://help.7taps.com/en/articles/12549903-7taps-microlearning-terms-of-service

7taps. (z.d.-j). Privacy policy. Geraadpleegd op 6 november 2026, van https://www.7taps.com/legal/privacy-policy

European Data Protection Board. (2021). Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data (versie 2.0). Definitieve aanbevelingen

European Data Protection Board. (z.d.). Process personal data lawfully. Officiële uitleg

Europees Parlement & Raad van de Europese Unie. (2016). Verordening (EU) 2016/679 (algemene verordening gegevensbescherming). Publicatieblad van de Europese Unie, L 119. Officiële tekst

Europese Commissie. (z.d.-a). EU-US data transfers. Actuele uitleg

Europese Commissie. (z.d.-b). Standard contractual clauses (SCC). Officiële uitleg en documenten

U.S. Department of Commerce. (z.d.). Data Privacy Framework list. Geraadpleegd op 6 november 2026, van het officiële register