Vzor k vyplnění a podpisu ředitelem školy a provozovatelem. Pro soubor použijte tlačítko PDF. Nejde o dokument pro rodiče.

Smlouva o zpracování osobních údajů

podle čl. 28 Nařízení (EU) 2016/679 (GDPR)
k provozu aplikace Hejbni kostrou!

Tato smlouva upravuje vztah mezi školou jako správcem a provozovatelem aplikace jako zpracovatelem. Nenahrazuje informace ani souhlas určené zákonným zástupcům.

Škola zůstává správcem osobních údajů a odpovídá za zákonnost zpracování i za výběr spolehlivého dodavatele. Skutečnost, že se u evidence výkonů v TV zpravidla nevyžaduje individuální souhlas zákonných zástupců, neznamená, že se škola této odpovědnosti zbavuje.

1. Smluvní strany

Správce (škola)	Název školy: IČO: Sídlo: Zastoupená (ředitel/ka):
Zpracovatel	Učitelé v síti s.r.o. se sídlem č.p. 19, 566 01 Džbánov IČO: 298 71 468 zapsaná v obchodním rejstříku vedeném Krajským soudem v Hradci Králové, oddíl C, vložka 57304 e-mail: info@ucitelevsiti.cz

2. Předmět a účel zpracování

Zpracovatel poskytuje škole aplikaci pro evidenci a vyhodnocování pohybových výkonů žáků v tělesné výchově (včetně žebříčků, Quest Areny a souvisejících exportů). Zpracování probíhá výhradně podle pokynů správce a pro účely vzdělávání / hodnocení TV.

Doba trvání: po dobu využívání aplikace školou, nejdéle do ukončení smlouvy / výmazu dat školy.

3. Kategorie subjektů a údajů

Subjekty údajů	Žáci školy, učitelé a další uživatelské účty zřízené školou
Údaje žáků	Jméno, příjmení, třída, pohlaví, výkony a body v disciplínách, školní rok, účast ve výzvách/soutěžích/odznacích, případně důkaz mimoškolní aktivity (PDF/obrázek — jen pro vyhodnocení, ne pro prezentaci školy), pedagogický příznak „cvičí s úlevou“ bez diagnózy
Údaje uživatelů	Uživatelské jméno, role, hash hesla, auditní záznamy o obsluze
Zpracovatel nezpracovává	Rodné číslo, adresu, diagnózy, zdravotnickou dokumentaci; fotografie určené k prezentaci školy (důkazy mimoškolní aktivity smí být nahrány jen jako podklad k hodnocení)

4. Přístupová matice (kdo co vidí)

Údaj / funkce	Přístup
Evidence výkonů, body	Učitel / admin školy / superadmin; žák u vlastních výsledků; u ostatních žáků dle nastavení školy (anonymní žebříčky; proklik na detail spolužáka lze vypnout)
„Cvičí s úlevou“ (bez diagnózy)	Jen učitel, admin školy a superadmin — žák nevidí
Důkaz mimoškolní aktivity	Jen žák u sebe (nahrání) + učitel / admin / superadmin (hodnocení) — spolužáci nevidí

5. Povinnosti zpracovatele

zpracovává údaje jen pro účel v čl. 2 a podle pokynů správce,
zajišťuje důvěrnost (přístup podle rolí, izolace dat jednotlivých škol),
hesla ukládá pouze v hashované podobě; GDPR operace (export, výmaz) eviduje v auditním logu,
nepoužije údaje k vlastnímu marketingu ani je nepředá jiné škole,
poskytne správci přiměřenou součinnost při plnění povinností GDPR (žádosti subjektů, součinnost vůči ÚOOÚ),
umožní správci na písemnou žádost přiměřenou kontrolu / audit opatření (po předchozí domluvě termínu, bez ohrožení bezpečnosti a tajemství jiných škol),
po skončení spolupráce data školy podle pokynu správce vymaže nebo mu je předá, ledaže mu uložení ukládá právo.

6. Povinnosti správce (školy)

rozhoduje o účelu a rozsahu zpracování a odpovídá za právní základ vůči žákům a zákonným zástupcům,
informuje zákonné zástupce o používání aplikace (informační povinnost dle čl. 13 GDPR); individuální souhlas k tomuto účelu se nevyžaduje — tím se škola nezbavuje odpovědnosti správce,
zřizuje a ruší uživatelské účty, spravuje oprávnění a neukládá do aplikace diagnózy ani rodná čísla,
vyřizuje žádosti zákonných zástupců (případně požádá zpracovatele o součinnost v aplikaci).

7. Další zpracovatelé (subdodavatelé)

Zpracovatel smí využít poskytovatele hostingu, záloh a provozu serveru v EU / EHP, pokud dodržují srovnatelnou úroveň ochrany. Aktuální seznam subdodavatelů sdělí správci na žádost a při podstatné změně subdodavatele jej informuje předem (nejméně 14 dnů), aby mohl vznést námitku. Přenesení údajů mimo EU jen se zárukami podle GDPR a se souhlasem správce, není-li stanoveno jinak právem.

8. Bezpečnostní incident

Zpracovatel oznámí správci narušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 72 hodin od zjištění, pokud je to možné. Oznámení obsahuje zejména: povahu incidentu, kategorie a přibližný počet dotčených subjektů / záznamů (je-li známo), pravděpodobné důsledky a přijatá / navrhovaná opatření. Zpracovatel poskytne součinnost při plnění povinnosti správce vůči ÚOOÚ a subjektům údajů.

9. Zabezpečení

Zpracovatel přijímá přiměřená technická a organizační opatření: šifrovaný přenos (HTTPS v provozu), autentizace, oddělení škol, omezení oprávnění, zálohy, evidence přístupů k GDPR operacím.

10. Doba uchování a ukončení spolupráce

Údaje aktivních žáků se uchovávají po dobu docházky a využívání aplikace školou. Po odchodu žáka ze školy (nebo jakmile správce označí údaje jako nepotřebné) zpracovatel na pokyn správce provede výmaz nebo skutečnou anonymizaci tak, aby údaje již nebylo možné přiřadit konkrétnímu žákovi. Po ukončení smlouvy zpracovatel na pokyn správce do 30 dnů předá export (je-li požadován) a do dalších 30 dnů provede výmaz nebo skutečnou anonymizaci údajů školy / žáka, ledaže mu uložení ukládá právo. Dlouhodobé uchovávání „absolventů“ bez konkrétní lhůty a pokynu správce se neprovádí. Technické prostředky anonymizace / výmazu jsou dostupné správci v administraci aplikace; zpracovatel poskytne součinnost, aby lhůty byly dodrženy.

11. Mlčenlivost a odpovědnost

Osoby oprávněné zpracovávat údaje jsou vázány mlčenlivostí. Každá strana odpovídá za porušení svých povinností podle GDPR. Tato smlouva je vzorem k podpisu; škola může požádat o úpravu svého DPO před podpisem.

12. Závěrečná ustanovení

Smlouva se uzavírá na dobu využívání aplikace. Lze ji ukončit výpovědí při skončení užívání aplikace. Řídí se právem České republiky. Vyhotovena ve dvou stejnopisech, po jednom pro každou stranu.

V dne

Správce — škola
jméno, funkce, podpis

Zpracovatel — Učitelé v síti s.r.o.
jméno, funkce, podpis

Tento dokument je praktický vzor podle čl. 28 GDPR, nikoli individuální právní porada. Před ostrým provozem jej může škola nechat zkontrolovat svým pověřencem pro ochranu osobních údajů.