Vzor k vyplnění a podpisu ředitelem školy a provozovatelem. V tisku zvolte Uložit jako PDF. Nejde o dokument pro rodiče.

Smlouva o zpracování osobních údajů

podle čl. 28 Nařízení (EU) 2016/679 (GDPR)
k provozu aplikace Hejbni kostrou!

Tato smlouva upravuje vztah mezi školou jako správcem a provozovatelem aplikace jako zpracovatelem. Nenahrazuje informace ani souhlas určené zákonným zástupcům.

1. Smluvní strany

Správce (škola)	Název: IČO: Sídlo: Zastoupená (ředitel/ka):
Zpracovatel	Učitelé v síti s.r.o. se sídlem č.p. 19, 566 01 Džbánov IČO: 298 71 468 zapsaná v obchodním rejstříku vedeném Krajským soudem v Hradci Králové, oddíl C, vložka 57304 e-mail: info@ucitelevsiti.cz

2. Předmět a účel zpracování

Zpracovatel poskytuje škole aplikaci pro evidenci a vyhodnocování pohybových výkonů žáků v tělesné výchově (včetně žebříčků, Quest Areny a souvisejících exportů). Zpracování probíhá výhradně podle pokynů správce a pro účely vzdělávání / hodnocení TV.

Doba trvání: po dobu využívání aplikace školou, nejdéle do ukončení smlouvy / výmazu dat školy.

3. Kategorie subjektů a údajů

Subjekty údajů	Žáci školy, učitelé a další uživatelské účty zřízené školou
Údaje žáků	Jméno, příjmení, třída, pohlaví, výkony a body v disciplínách, školní rok, účast ve výzvách/soutěžích/odznacích, případně důkaz mimoškolní aktivity (PDF/obrázek — jen pro vyhodnocení, ne pro prezentaci školy), pedagogický příznak „cvičí s úlevou“ bez diagnózy
Údaje uživatelů	Uživatelské jméno, role, hash hesla, auditní záznamy o obsluze
Zpracovatel nezpracovává	Rodné číslo, adresu, diagnózy, zdravotnickou dokumentaci; fotografie určené k prezentaci školy (důkazy mimoškolní aktivity smí být nahrány jen jako podklad k hodnocení)

4. Povinnosti zpracovatele

zpracovává údaje jen pro účel v čl. 2 a podle pokynů správce,
zajišťuje důvěrnost (přístup podle rolí, izolace dat jednotlivých škol),
hesla ukládá pouze v hashované podobě; GDPR operace (export, výmaz) eviduje v auditním logu,
nepoužije údaje k vlastnímu marketingu ani je nepředá jiné škole,
oznámí správci narušení zabezpečení bez zbytečného odkladu,
po skončení spolupráce data školy podle pokynu správce vymaže nebo mu je předá, ledaže mu uložení ukládá právo,
pomůže správci při uplatnění práv subjektů (přístup, oprava, výmaz/anonymizace) v rozsahu funkcí aplikace.

5. Povinnosti správce (školy)

rozhoduje o účelu a rozsahu zpracování a odpovídá za právní základ vůči žákům a zákonným zástupcům,
informuje zákonné zástupce o používání aplikace (informační povinnost dle čl. 13 GDPR); individuální souhlas k tomuto účelu se nevyžaduje,
zřizuje a ruší uživatelské účty, spravuje oprávnění a neukládá do aplikace diagnózy ani rodná čísla,
vyřizuje žádosti zákonných zástupců (případně požádá zpracovatele o součinnost v aplikaci).

6. Další zpracovatelé (subdodavatelé)

Zpracovatel smí využít poskytovatele hostingu, záloh a provozu serveru v EU / EHP, pokud dodržují srovnatelnou úroveň ochrany. Na žádost správce sdělí aktuální seznam subdodavatelů. Přenesení údajů mimo EU jen se zárukami podle GDPR a se souhlasem správce, není-li stanoveno jinak právem.

7. Zabezpečení

Zpracovatel přijímá přiměřená technická a organizační opatření: šifrovaný přenos (HTTPS v provozu), autentizace, oddělení škol, omezení oprávnění, zálohy, evidence přístupů k GDPR operacím.

8. Mlčenlivost a odpovědnost

Osoby oprávněné zpracovávat údaje jsou vázány mlčenlivostí. Každá strana odpovídá za porušení svých povinností podle GDPR. Tato smlouva je vzorem k podpisu; škola může požádat o úpravu svého DPO před podpisem.

9. Závěrečná ustanovení

Smlouva se uzavírá na dobu využívání aplikace. Lze ji ukončit výpovědí při skončení užívání aplikace. Řídí se právem České republiky. Vyhotovena ve dvou stejnopisech, po jednom pro každou stranu.

V dne

Správce — škola
jméno, funkce, podpis

Zpracovatel — Učitelé v síti s.r.o.
jméno, funkce, podpis

Tento dokument je praktický vzor podle čl. 28 GDPR, nikoli individuální právní poradou. Před ostrým provozem jej může škola nechat zkontrolovat svým pověřencem pro ochranu osobních údajů.