Umowa powierzenia przetwarzania danych

Niniejsza Umowa powierzenia przetwarzania danych ("DPA") stanowi część Warunków dla szkół i firm zawartych między szkołą lub organizacją ("Klient" lub "Administrator") a Locuto.PRO ("Podmiot przetwarzający", "my") i reguluje przetwarzanie danych osobowych realizowane przez nas w imieniu Klienta. Została opracowana tak, aby spełniać wymogi art. 28 ogólnego rozporządzenia o ochronie danych UE ("RODO").

Jeśli Klient wymaga podpisanego egzemplarza, dostarczymy go na żądanie pod adresem [email protected].

1. Role stron

Klient jest administratorem, a Locuto.PRO podmiotem przetwarzającym w odniesieniu do danych osobowych przetwarzanych za pośrednictwem Usługi w imieniu Klienta ("Dane osobowe Klienta"). Każda ze stron będzie wypełniać swoje obowiązki wynikające z obowiązującego prawa ochrony danych.

2. Zakres i szczegóły przetwarzania

Przedmiot, czas trwania, charakter i cel przetwarzania, rodzaje danych osobowych oraz kategorie osób, których dane dotyczą, opisano w Załączniku A. Przetwarzamy Dane osobowe Klienta przez czas trwania umowy i w zakresie niezbędnym do świadczenia Usługi.

3. Przetwarzanie na udokumentowane polecenie

Będziemy przetwarzać Dane osobowe Klienta wyłącznie na udokumentowane polecenie Klienta, w tym polecenia wydane poprzez konfigurację i korzystanie z Usługi oraz niniejszą DPA, chyba że obowiązek innego działania nakłada na nas prawo UE lub państwa członkowskiego (w takim przypadku poinformujemy Klienta, o ile prawo tego nie zakazuje). Poinformujemy Klienta, jeśli naszym zdaniem polecenie narusza prawo ochrony danych.

4. Poufność

Zapewniamy, że osoby upoważnione do przetwarzania Danych osobowych Klienta są zobowiązane do zachowania poufności i przetwarzają dane wyłącznie w zakresie niezbędnym do świadczenia Usługi.

5. Środki bezpieczeństwa

Wdrażamy odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa odpowiadający ryzyku, uwzględniając stan wiedzy technicznej i charakter danych. Podsumowanie tych środków przedstawiono w Załączniku B.

6. Podprocesorzy

Klient udziela ogólnej zgody na korzystanie przez nas z podprocesorów w celu świadczenia Usługi. Nasi aktualni podprocesorzy są wymienieni na stronie Lista podprocesorów. Nakładamy na naszych podprocesorów obowiązki w zakresie ochrony danych w istocie podobne do określonych w niniejszej DPA i pozostajemy odpowiedzialni za ich działanie. Zapewnimy mechanizm powiadamiania o zmianach podprocesorów oraz rozsądną możliwość wniesienia sprzeciwu z uzasadnionych względów ochrony danych.

7. Pomoc w realizacji praw osób, których dane dotyczą

Uwzględniając charakter przetwarzania, będziemy w miarę możliwości pomagać Klientowi odpowiednimi środkami w realizacji żądań osób, których dane dotyczą, korzystających ze swoich praw na mocy RODO (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie i sprzeciw).

8. Zgłaszanie naruszeń ochrony danych osobowych

Powiadomimy Klienta bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego Danych osobowych Klienta oraz przekażemy informacje rozsądnie nam dostępne, aby pomóc Klientowi wypełnić jego własne obowiązki w zakresie powiadamiania.

9. Pomoc w ocenach skutków (DPIA)

Zapewnimy Klientowi rozsądną pomoc w zakresie ocen skutków dla ochrony danych oraz uprzednich konsultacji z organami nadzorczymi, gdy jest to wymagane i z uwzględnieniem informacji nam dostępnych.

10. Zwrot lub usunięcie danych

Z chwilą zakończenia Usługi, według wyboru Klienta i na żądanie zgłoszone w rozsądnym terminie, udostępnimy Dane osobowe Klienta do wyeksportowania, a następnie je usuniemy, chyba że ich zachowanie jest wymagane prawem. Część treści, taka jak nagrania lekcji, jest również automatycznie usuwana po upływie właściwego okresu retencji.

11. Audyty i informacje

Udostępnimy Klientowi informacje rozsądnie niezbędne do wykazania zgodności z art. 28 RODO oraz umożliwimy audyty, w tym inspekcje, prowadzone przez Klienta lub upoważnionego przez niego audytora i będziemy w nich współuczestniczyć, z zastrzeżeniem rozsądnych warunków poufności i bezpieczeństwa oraz rozsądnego uprzedniego powiadomienia.

12. Przekazywanie danych za granicę

Część podprocesorów znajduje się poza Europejskim Obszarem Gospodarczym. Gdy przekazujemy Dane osobowe Klienta poza EOG, opieramy się na odpowiednim mechanizmie przekazywania, takim jak standardowe klauzule umowne Komisji Europejskiej, które w stosownych przypadkach są włączone do niniejszej DPA przez odniesienie.

13. Dzieci i uczniowie (osoby małoletnie)

Klient przyjmuje do wiadomości, że jego Uprawnieni Użytkownicy mogą być osobami małoletnimi. Klient, jako administrator, odpowiada za ustalenie ważnej podstawy prawnej przetwarzania danych osobowych osób małoletnich oraz za uzyskanie wszelkiej zgody rodzica lub opiekuna wymaganej przez obowiązujące prawo (na przykład, gdy uczeń nie ukończył wieku wyrażania zgody w środowisku cyfrowym, który w Polsce wynosi 16 lat, a w całym EOG mieści się w przedziale od 13 do 16 lat). Przetwarzamy dane osobowe osób małoletnich wyłącznie na polecenie Klienta w celu świadczenia Usługi, nie wykorzystujemy ich do reklamy ani profilowania i stosujemy dodatkową ochronę (np. nie włączamy analityki z nagrywaniem sesji dla kont rozpoznanych jako należące do osób małoletnich). Gdy Klient podlega przepisom takim jak FERPA lub COPPA w Stanach Zjednoczonych, Klient odpowiada za zgodność, a my będziemy działać jako usługodawca / przedstawiciel szkoły działający w jego imieniu.

14. Odpowiedzialność

Odpowiedzialność każdej ze stron wynikająca z niniejszej DPA lub z nią związana podlega ograniczeniom i wyłączeniom określonym w Warunkach dla szkół i firm, w tym łącznemu limitowi odpowiedzialności, z wyjątkiem zakresu, w jakim takie ograniczenie nie jest dozwolone przez obowiązujące prawo ochrony danych.

15. Postanowienia ogólne

Niniejsza DPA podlega prawu polskiemu. W przypadku sprzeczności między niniejszą DPA a pozostałymi postanowieniami umowy w zakresie przetwarzania danych osobowych pierwszeństwo ma niniejsza DPA. Jeżeli którekolwiek z postanowień okaże się bezskuteczne, pozostałe postanowienia pozostają w mocy.

Załącznik A — Szczegóły przetwarzania

• Przedmiot: udostępnienie Klientowi platformy do nauki języków Locuto.PRO.
• Czas trwania: okres obowiązywania umowy oraz okres niezbędny do późniejszego zwrotu lub usunięcia danych.
• Charakter i cel: hosting, przechowywanie i przetwarzanie danych osobowych w celu obsługi platformy, w tym kont, lekcji, nagrań, ocen, komunikacji i funkcji wspomaganych SI.
• Kategorie osób, których dane dotyczą: administratorzy, nauczyciele i uczniowie Klienta (którzy mogą być osobami małoletnimi).
• Rodzaje danych osobowych: dane identyfikacyjne i kontaktowe (imię i nazwisko, e-mail, opcjonalnie telefon), dane profilu (data urodzenia, kraj, język, awatar, opis), dane dotyczące nauki i aktywności, treści lekcji i prac domowych oraz odpowiedzi, dźwięk i obraz z lekcji na żywo i nagrań, dane o użytkowaniu i dane diagnostyczne.
• Szczególne kategorie danych: Usługa nie jest przeznaczona do zbierania danych szczególnych kategorii; Klient nie powinien przesyłać takich danych w polach tekstowych ani treściowych.

Załącznik B — Środki techniczne i organizacyjne

• szyfrowanie danych w trakcie przesyłania (HTTPS/TLS);
• kontrola dostępu i uprawnienia oparte na rolach, z izolacją między organizacjami (tenant isolation);
• zabezpieczenia uwierzytelniania, w tym ochrona sesji i CSRF;
• korzystanie z renomowanych dostawców hostingu i przechowywania danych posiadających własne certyfikaty bezpieczeństwa;
• ograniczone czasowo, podpisane adresy URL do dostępu do przechowywanych mediów i nagrań;
• rejestrowanie zdarzeń, monitorowanie błędów i monitorowanie niezawodności;
• automatyczne usuwanie nagrań i niektórych mediów po upływie okresu retencji;
• obowiązki poufności nałożone na personel i podprocesorów.

Kontakt

W sprawach dotyczących ochrony danych lub w celu uzyskania podpisanej DPA skontaktuj się z nami pod adresem [email protected].