Projekt dokumentu. Obowiązuje dopiero po uzupełnieniu danych firmy i sprawdzeniu przez prawnika, przed rozpoczęciem sprzedaży.
Umowa jest częścią umowy o świadczenie usługi ScolaFlow i wiąże Szkołę („Administrator”) oraz [nazwa firmy, adres, NIP] („Przetwarzający”) od chwili założenia konta.
1. Przedmiot i czas
Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w celu świadczenia usługi, na czas jej trwania i do 30 dni po zakończeniu umowy.
2. Charakter i zakres
- Czynności: przechowywanie, zapisywanie, porządkowanie, udostępnianie osobom upoważnionym przez Administratora, wysyłanie wiadomości, usuwanie.
- Kategorie osób: uczestnicy zajęć, także dzieci, rodzice i opiekunowie, osoby prowadzące, osoby zgłaszające się przez formularze, członkowie zespołu.
- Rodzaje danych: imię i nazwisko, klasa, rok urodzenia lub poziom, e-mail, telefon, zapisy, obecność, temat i zadanie, notatki, treść wiadomości, należności i wpłaty, źródło zgłoszenia, godziny, nieobecności i stawki osób prowadzących.
- Danych szczególnych kategorii nie wolno powierzać.
3. Obowiązki Przetwarzającego
- Przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym jest ta umowa i korzystanie z funkcji programu, chyba że obowiązek wynika z prawa. Jeśli polecenie narusza prawo, informuje o tym Administratora.
- Zapewnia, że osoby upoważnione zachowują poufność.
- Stosuje środki bezpieczeństwa opisane w punkcie 4.
- Pomaga Administratorowi w obsłudze praw osób oraz w obowiązkach z art. 32–36 RODO.
- Udostępnia informacje potrzebne do wykazania zgodności i umożliwia audyt, po uzgodnieniu terminu z wyprzedzeniem 14 dni.
- Prowadzi rejestr kategorii czynności przetwarzania.
4. Środki bezpieczeństwa
- Szyfrowane połączenia HTTPS.
- Rozdzielenie danych szkół i role w zespole Administratora.
- Dziennik wejść wsparcia, widoczny dla właściciela szkoły.
- Logowanie kodem z maila lub przez Google, bez przechowywania haseł.
- Ograniczenie liczby prób logowania.
- Sekrety przechowywane poza kodem programu.
5. Dalsze powierzenie
Administrator wyraża ogólną zgodę na dalsze powierzenie podmiotom z listy dostawców. O zamiarze zmiany Przetwarzający informuje mailem co najmniej 30 dni wcześniej, a Administrator może się sprzeciwić i wypowiedzieć umowę bez kosztów. Przetwarzający nakłada na dostawców te same obowiązki i odpowiada za ich działania.
6. Przekazanie poza EOG
Dostawcy z USA działają na podstawie standardowych klauzul umownych lub programu EU-US Data Privacy Framework.
7. Naruszenia
Przetwarzający zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, najpóźniej w ciągu 48 godzin od jego wykrycia, podając opis, kategorie i liczbę osób, skutki i podjęte działania.
8. Zakończenie
Po zakończeniu umowy Administrator może pobrać dane przez 30 dni. Potem Przetwarzający usuwa je, chyba że prawo nakazuje ich przechowywanie.
9. Odpowiedzialność
Do odpowiedzialności stosuje się art. 82 RODO oraz postanowienia regulaminu.