Deze software bevat privacyfuncties en standaardteksten, maar gebruik ervan maakt een school of docent niet automatisch AVG/GDPR-compliant. De onderwijsinstelling blijft verwerkingsverantwoordelijke en moet zelf beoordelen welke wettelijke grondslag geldt, welke gegevens noodzakelijk zijn, hoe lang deze mogen worden bewaard en welke verwerkersovereenkomsten vereist zijn.
Naam, e-mailadres, toetsantwoorden, scores, feedback, start- en inlevertijden, technische beveiligingsgebeurtenissen en — alleen bij Speaking — audio-opnames.
Gegevens mogen uitsluitend worden gebruikt voor het organiseren, beveiligen, beoordelen en administreren van de toets. Gebruik voor andere doeleinden vereist een aparte beoordeling en mogelijk een andere grondslag.
De standaardconfiguratie gebruikt 90 dagen voor Speaking-audio, 30 dagen voor webcam-snapshots en 365 dagen voor toetsresultaten. Deze termijnen zijn technische defaults en moeten door de school worden afgestemd op het eigen beleid en wettelijke verplichtingen.
Leerlingen kunnen afhankelijk van de situatie rechten hebben op inzage, correctie, beperking, bezwaar of verwijdering. De school moet hiervoor een proces en contactpunt aanbieden.
Het platform gebruikt sessiebeveiliging, beveiligingsheaders, Safe Exam Browser-integratie, beperkte browserrechten, auditlogging en back-ups. Geen enkel systeem kan echter absolute fraudepreventie of absolute beveiliging garanderen.
Technische gebeurtenissen en, wanneer Kerry dit voor de toets inschakelt, periodieke webcam-snapshots worden uitsluitend gebruikt als ondersteunende proctoringssignalen. Ze zijn geen automatisch bewijs van fraude. Er wordt geen gezichtsherkenning, biometrische identificatie of automatische fraudeclassificatie uitgevoerd. De school moet het gebruik van webcamtoezicht zelf toetsen op noodzaak, proportionaliteit, grondslag en eventuele DPIA-verplichtingen.