Regulamin

Załącznik nr 1 — Umowa powierzenia przetwarzania danych osobowych

Wersja 1.0 — zawierana w trybie art. 28 ust. 3 i 9 RODO

§ 1. Strony i zawarcie Umowy

1. Umowa zostaje zawarta pomiędzy Szkołą (dalej: Administrator) a WOSK S.C. Wojciech Korzeniewski, Oskar Seweryn (dalej: Podmiot przetwarzający).
2. Umowa zostaje zawarta z chwilą utworzenia Konta Szkoły w Serwisie i zaakceptowania Regulaminu wraz z niniejszym Załącznikiem. Zgodnie z art. 28 ust. 9 RODO umowa może zostać zawarta w formie elektronicznej.
3. Osoba akceptująca oświadcza, że jest umocowana do zawarcia Umowy w imieniu Administratora. W razie braku umocowania osoba ta ponosi odpowiedzialność na zasadach określonych w art. 103 Kodeksu cywilnego.
4. Podmiot przetwarzający rejestruje datę akceptacji, wersje zaakceptowanych dokumentów, dane osoby akceptującej oraz adres IP — jako dowód zawarcia Umowy.
5. Umowa obowiązuje przez czas świadczenia usług na rzecz Administratora i wygasa z chwilą zakończenia umowy o świadczenie usług, z zastrzeżeniem § 4 ust. 7.

§ 2. Przedmiot, charakter, cel i czas przetwarzania

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usług Serwisu.
2. Charakter przetwarzania: zautomatyzowane operacje w środowisku chmurowym — zbieranie, utrwalanie, przechowywanie, przeglądanie, przekazanie do przetwarzania przez model językowy w celu wygenerowania odpowiedzi oraz usuwanie.
3. Cel przetwarzania: wyłącznie wykonanie umowy o świadczenie usług, w tym udostępnienie funkcji Serwisu, zapewnienie bezpieczeństwa i rozliczenie limitów operacji.
4. Czas przetwarzania: przez okres obowiązywania Umowy, z uwzględnieniem § 4 ust. 7.
5. Podmiot przetwarzający nie wykorzystuje powierzonych danych do celów własnych, w szczególności nie wykorzystuje ich do trenowania modeli sztucznej inteligencji i zapewnia, że nie czynią tego również jego podprzetwarzający.

§ 3. Rodzaj danych i kategorie osób, których dane dotyczą

1. Nauczyciele i pracownicy Administratora: imię i nazwisko, służbowy adres e-mail, numer telefonu, rola w Serwisie, dane uwierzytelniające, dane techniczne i logi.
2. Uczniowie i inne osoby: wyłącznie te dane, które Administrator lub upoważnieni przez niego Użytkownicy samodzielnie wprowadzą do Serwisu — w szczególności treści prac oraz opisy funkcjonowania i postępów.
3. Administrator zobowiązuje się do stosowania zasady minimalizacji danych i do niewprowadzania do Serwisu danych umożliwiających bezpośrednią identyfikację ucznia, w szczególności numeru PESEL, adresu zamieszkania i numeru telefonu, oraz do posługiwania się oznaczeniem zastępczym (inicjały, kod).
4. Serwis nie jest przeznaczony do przetwarzania danych szczególnych kategorii, o których mowa w art. 9 RODO, w postaci umożliwiającej identyfikację osoby. Jeżeli Administrator wprowadzi takie dane, oświadcza, że dysponuje podstawą prawną wynikającą z art. 9 ust. 2 RODO i ponosi z tego tytułu wyłączną odpowiedzialność.
5. Podmiot przetwarzający może stosować mechanizmy techniczne ograniczające przesłanie danych identyfikujących. Mechanizmy te mają charakter pomocniczy i nie przenoszą na Podmiot przetwarzający odpowiedzialności za zakres danych wprowadzanych przez Administratora.

§ 4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający, stosownie do art. 28 ust. 3 RODO, zobowiązuje się do tego, że:

1. przetwarza dane wyłącznie na udokumentowane polecenie Administratora; za takie polecenie uznaje się treść niniejszej Umowy oraz każdorazowe skorzystanie przez upoważnionego Użytkownika z funkcji Serwisu. Podmiot przetwarzający informuje Administratora, jeżeli jego zdaniem polecenie narusza przepisy o ochronie danych osobowych;
2. zapewnia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi zachowania tajemnicy;
3. stosuje środki techniczne i organizacyjne odpowiadające art. 32 RODO, w tym szyfrowanie transmisji, kontrolę dostępu na poziomie wierszy bazy danych, uwierzytelnianie użytkowników, rejestrowanie zdarzeń oraz kopie zapasowe;
4. korzysta z podprzetwarzających wyłącznie na zasadach określonych w § 5;
5. pomaga Administratorowi — w miarę możliwości i uwzględniając charakter przetwarzania — w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą; czynności wykraczające poza funkcje samoobsługowe Serwisu wykonywane są za wynagrodzeniem, zgodnie z § 6 ust. 4;
6. pomaga Administratorowi w wywiązaniu się z obowiązków wynikających z art. 32–36 RODO w zakresie posiadanych informacji; o stwierdzonym naruszeniu ochrony danych osobowych informuje Administratora bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, przekazując informacje, którymi dysponuje;
7. po zakończeniu świadczenia usług usuwa powierzone dane w terminie 30 dni, chyba że Administrator w tym terminie zażąda ich zwrotu — wówczas dane są udostępniane w powszechnie używanym formacie; dłuższe przechowywanie jest dopuszczalne wyłącznie w zakresie wymaganym przepisami prawa;
8. udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia audyt na zasadach określonych w § 6.

§ 5. Podprzetwarzający

1. Administrator udziela Podmiotowi przetwarzającemu ogólnej pisemnej zgody na korzystanie z podprzetwarzających w rozumieniu art. 28 ust. 2 RODO.
2. Aktualny wykaz podprzetwarzających jest publikowany w Polityce prywatności Serwisu i obejmuje w szczególności dostawców hostingu, poczty elektronicznej oraz dostawcę modelu językowego.
3. O zamierzonej zmianie wykazu Podmiot przetwarzający informuje z wyprzedzeniem co najmniej 14 dni. Administrator może w tym terminie wnieść uzasadniony sprzeciw; skorzystanie ze sprzeciwu uprawnia Administratora do wypowiedzenia umowy o świadczenie usług ze skutkiem na koniec opłaconego okresu rozliczeniowego, bez dalszych roszczeń wobec Podmiotu przetwarzającego.
4. Podmiot przetwarzający nakłada na podprzetwarzających obowiązki odpowiadające obowiązkom z niniejszej Umowy i odpowiada za ich działania jak za własne, z uwzględnieniem ograniczeń określonych w § 7.

§ 6. Audyt

1. Administrator ma prawo do przeprowadzenia audytu przetwarzania nie częściej niż raz na 12 miesięcy, a niezależnie od tego limitu — po stwierdzonym naruszeniu ochrony danych lub na żądanie organu nadzorczego.
2. Audyt wymaga zawiadomienia z co najmniej 30-dniowym wyprzedzeniem, odbywa się w dniach i godzinach pracy Podmiotu przetwarzającego, po zawarciu umowy o zachowaniu poufności, i nie może obejmować danych innych klientów ani infrastruktury podprzetwarzających.
3. W pierwszej kolejności Podmiot przetwarzający realizuje uprawnienie audytowe poprzez udzielenie odpowiedzi na kwestionariusz lub udostępnienie dokumentacji; audyt na miejscu przysługuje, jeżeli informacje te okażą się niewystarczające.
4. Koszty audytu ponosi Administrator. Zaangażowanie Podmiotu przetwarzającego przekraczające 8 roboczogodzin w roku kalendarzowym — obejmujące również pomoc, o której mowa w § 4 ust. 5 — rozliczane jest według stawki 250 zł netto za godzinę.

§ 7. Odpowiedzialność

1. Odpowiedzialność Podmiotu przetwarzającego wobec Administratora z tytułu niniejszej Umowy ograniczona jest do rzeczywistej szkody i do wysokości opłat uiszczonych przez Administratora w okresie 12 miesięcy poprzedzających zdarzenie będące źródłem szkody.
2. Wyłączona jest odpowiedzialność za utracone korzyści oraz szkody pośrednie.
3. Administrator zwolni Podmiot przetwarzający z odpowiedzialności i zaspokoi roszczenia osób trzecich, organów lub innych podmiotów skierowane przeciwko Podmiotowi przetwarzającemu, w zakresie, w jakim wynikają one z: braku podstawy prawnej przetwarzania po stronie Administratora, naruszenia § 3 ust. 3 lub 4, poleceń niezgodnych z prawem albo udostępnienia konta osobom nieuprawnionym.
4. Materiały generowane przez Serwis stanowią projekt roboczy. Podmiot przetwarzający nie odpowiada za treść merytoryczną dokumentacji zatwierdzonej przez Administratora ani za decyzje podjęte na jej podstawie.
5. Ograniczenia i wyłączenia określone w ust. 1–4 nie mają zastosowania do szkody wyrządzonej umyślnie oraz w zakresie, w jakim ich zastosowanie jest niedopuszczalne w świetle przepisów prawa. W szczególności nie ograniczają one odpowiedzialności wobec osób, których dane dotyczą, na podstawie art. 82 RODO, ani odpowiedzialności wobec organu nadzorczego.

§ 8. Zmiany Umowy

1. Zmiana niniejszej Umowy wymaga poinformowania Administratora z wyprzedzeniem co najmniej 14 dni. Administrator, który nie akceptuje zmiany, może wypowiedzieć umowę o świadczenie usług ze skutkiem na dzień wejścia zmiany w życie.
2. Zmiany wynikające bezpośrednio ze zmiany przepisów prawa lub z decyzji organu nadzorczego mogą wejść w życie w terminie wynikającym z tych przepisów lub decyzji.

§ 9. Postanowienia końcowe

1. W sprawach nieuregulowanych stosuje się RODO oraz przepisy prawa polskiego.
2. Nieważność któregokolwiek z postanowień Umowy nie wpływa na ważność pozostałych postanowień; w miejsce postanowienia nieważnego stosuje się postanowienie najbliższe jego celowi i zgodne z prawem.
3. Spory rozstrzyga sąd właściwy dla siedziby Podmiotu przetwarzającego, o ile przepisy bezwzględnie obowiązujące nie stanowią inaczej.