Notorio

Umowa powierzenia przetwarzania danych osobowych

Załącznik nr 1 do Regulaminu serwisu Notorio (notorio.pl)

Umowa zawarta w wykonaniu art. 28 ust. 3 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) pomiędzy:

  • Korepetytorem — osobą lub organizacją, która prowadzi w Serwisie dane własnych Uczniów, w imieniu której umowę akceptuje jej konto korepetytora — dalej Administrator,
  • Piotr Prusinowski, prowadzącym(-ą) działalność nierejestrowaną, adres do korespondencji: ul. Obrońców Westerplatte 1B lok. 1, 05-220 Zielonka, e-mail: kontakt@notorio.pl — dalej Podmiot przetwarzający.

Umowę zawiera się w formie elektronicznej: przez zaznaczenie akceptacji przy zakładaniu konta korepetytora albo przyciskiem akceptacji w Serwisie, w każdym przypadku przed zaproszeniem pierwszego Ucznia. Serwis zapisuje datę akceptacji i konto, które jej dokonało.

§1. Przedmiot i cel

  1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w zakresie i celu niezbędnym do świadczenia usługi udostępnienia serwisu Notorio (notorio.pl) na warunkach regulaminu Serwisu.
  2. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za takie polecenie uważa się w szczególności czynności wykonywane przez Administratora w Serwisie (zapraszanie Uczniów, planowanie zajęć, przypisywanie i ocenianie zadań).

§2. Zakres danych i kategorie osób

  1. Kategorie osób: Uczniowie Administratora (w tym osoby małoletnie) oraz ich Opiekunowie.
  2. Rodzaje danych: imię i nazwisko lub nazwa wyświetlana, adres e-mail, login, numer telefonu Opiekuna (opcjonalnie), terminy i tematy zajęć, adnotacje o opłaceniu zajęć, zadania domowe, rozwiązania zadań i ich oceny, notatki, wgrane pliki i skany, dane techniczne logowania.
  3. Powierzenie nie obejmuje szczególnych kategorii danych (art. 9 RODO). Administrator zobowiązuje się nie wprowadzać ich do Serwisu.

§3. Czas trwania

Umowa obowiązuje przez czas korzystania przez Administratora z Serwisu. Po jej zakończeniu stosuje się §8.

§4. Obowiązki Podmiotu przetwarzającego

Podmiot przetwarzający zobowiązuje się:

  1. przetwarzać dane wyłącznie w celu i zakresie określonym w §1–2;
  2. zapewnić, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy, i uzyskiwać dostęp do treści powierzonych danych (m.in. notatek, rozwiązań, przesłanych plików) wyłącznie, gdy jest to niezbędne: na prośbę Administratora lub Ucznia (wsparcie techniczne), w celu usunięcia awarii lub zbadania incydentu bezpieczeństwa, przy tworzeniu i odtwarzaniu kopii zapasowych albo gdy wymaga tego prawo;
  3. stosować środki techniczne i organizacyjne zapewniające bezpieczeństwo danych (art. 32 RODO), w szczególności: szyfrowanie połączeń (HTTPS), przechowywanie haseł wyłącznie w postaci skrótów kryptograficznych, odseparowanie danych poszczególnych Korepetytorów, ograniczanie liczby prób logowania, regularne kopie zapasowe przechowywane poza serwerem produkcyjnym;
  4. pomagać Administratorowi, w miarę możliwości, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, przenoszenie) — w tym przekazywać Administratorowi żądania otrzymane bezpośrednio od Uczniów lub Opiekunów;
  5. zgłaszać Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, wraz z informacjami wymaganymi przez art. 33 ust. 3 RODO, w zakresie, w jakim są dostępne;
  6. udostępniać Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO.

§5. Dalsze powierzenie (podprocesorzy)

  1. Administrator wyraża ogólną zgodę na dalsze powierzenie danych podmiotom wymienionym w punkcie 5 Polityki prywatności Serwisu (notorio.pl/prywatnosc), w szczególności: dostawcy serwera VPS, dostawcy wysyłki poczty e-mail, dostawcy raportowania błędów oraz dostawcy przestrzeni na kopie zapasowe.
  2. O zamiarze dodania lub zmiany podprocesora Podmiot przetwarzający informuje Administratora e-mailem z co najmniej 14-dniowym wyprzedzeniem. Administrator może zgłosić sprzeciw; sprzeciw uprawnia strony do rozwiązania umowy.
  3. Podmiot przetwarzający nakłada na podprocesorów obowiązki ochrony danych nie mniejsze niż wynikające z niniejszej umowy.

§6. Obowiązki Administratora

Administrator oświadcza, że posiada podstawę prawną przetwarzania powierzonych danych, w tym zgodę Opiekuna na założenie konta Ucznia małoletniego, oraz że poinformował osoby, których dane dotyczą, o przetwarzaniu (art. 13 RODO).

§7. Kontrola

Administrator ma prawo do kontroli zgodności przetwarzania z umową, w formie pisemnych pytań albo — po uprzedzeniu z 14-dniowym wyprzedzeniem — audytu, w sposób nieutrudniający działania Serwisu.

§8. Zakończenie umowy

Po zakończeniu umowy Podmiot przetwarzający, zależnie od decyzji Administratora, zwraca mu dane w powszechnie używanym formacie elektronicznym albo je usuwa w ciągu 30 dni — z zastrzeżeniem danych pozostających w kopiach zapasowych, które są usuwane w ramach ich rotacji (do 30 dni), chyba że przepisy prawa nakazują dalsze przechowywanie.

§9. Postanowienia końcowe

  1. W sprawach nieuregulowanych stosuje się przepisy RODO i Kodeksu cywilnego.
  2. O zmianie umowy Podmiot przetwarzający informuje Administratora e-mailem z co najmniej 14-dniowym wyprzedzeniem. Administrator, który nie akceptuje zmiany, może rozwiązać umowę przez usunięcie konta; do tego czasu obowiązuje dotychczasowa treść.
  3. Treść umowy jest dostępna pod adresem notorio.pl/umowa-powierzenia. Na prośbę Administratora Podmiot przetwarzający przesyła ją e-mailem wraz z datą akceptacji.