Niniejsza umowa powierzenia przetwarzania danych (DPA) ma zastosowanie, gdy zostanie włączona do umowy lub zaakceptowana jako część umowy pomiędzy szkołą lub organizacją edukacyjną (Administratorem) a OUR-CS Sp. z o.o. (Podmiotem przetwarzającym) dotyczącej korzystania z Edulytics.

1. Przedmiot przetwarzania

Podmiot przetwarzający przetwarza dane osobowe wyłącznie w zakresie niezbędnym do świadczenia Edulytics i usług powiązanych na rzecz Administratora.

2. Czas trwania

Przetwarzanie trwa przez okres korzystania przez szkołę z Edulytics oraz przez dodatkowy okres niezbędny do wykonania uzgodnionego zwrotu lub usunięcia danych oraz obowiązków prawnych, księgowych, bezpieczeństwa lub związanych ze sporami.

3. Charakter i cel przetwarzania

Przetwarzanie może obejmować zbieranie, utrwalanie, organizowanie, przechowywanie, pobieranie, przeglądanie, analizę, obliczanie, przekazywanie w niezbędnym zakresie, ograniczanie i usuwanie. Cele mogą obejmować zarządzanie kontami, ocenianie edukacyjne, realizację programu nauczania, analizę uczenia się uczniów, pomiar postępów i opanowania materiału, nauczanie diagnostyczne i adaptacyjne, raportowanie, bezpieczeństwo i wsparcie techniczne.

4. Kategorie osób, których dane dotyczą

Osobami, których dane dotyczą, mogą być uczniowie, nauczyciele, administratorzy szkolni, koordynatorzy przedmiotowi i inni upoważnieni pracownicy szkoły.

5. Rodzaje danych osobowych

Dane osobowe mogą obejmować imiona i nazwiska, adresy e-mail, identyfikatory użytkowników, informacje o szkole i klasie, role kont, dane programowe, pytania i odpowiedzi w ocenianiu, wyniki oceniania, efekty uczenia się, wskaźniki opanowania i pewności, aktywność edukacyjną oraz zapisy techniczne lub audytowe.

6. Polecenia Administratora

Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, chyba że przetwarzanie jest wymagane przez obowiązujące prawo. Jeżeli Podmiot przetwarzający uzna, że polecenie narusza przepisy o ochronie danych, poinformuje Administratora, chyba że prawo zabrania takiego powiadomienia.

7. Poufność

Osoby upoważnione do przetwarzania danych osobowych podlegają odpowiednim zobowiązaniom do zachowania poufności lub właściwemu ustawowemu obowiązkowi poufności.

8. Bezpieczeństwo

Podmiot przetwarzający wdraża środki techniczne i organizacyjne mające zapewnić poziom bezpieczeństwa odpowiedni do ryzyka. Środki mogą obejmować kontrolę dostępu, uwierzytelnianie, uprawnienia oparte na rolach, rejestrowanie i monitorowanie, szyfrowanie transmisji, testy bezpieczeństwa, analizę podatności, procedury kopii zapasowych i odtwarzania oraz kontrolowany dostęp administracyjny.

9. Dalsze podmioty przetwarzające

Administrator upoważnia Podmiot przetwarzający do korzystania z dalszych podmiotów przetwarzających, gdy jest to niezbędne do świadczenia, zabezpieczenia i obsługi Edulytics, z zastrzeżeniem obowiązujących przepisów o ochronie danych oraz umowy handlowej. Podmiot przetwarzający zapewnia, że dostawcy ci są związani odpowiednimi obowiązkami w zakresie ochrony danych. Wymagane prawem lub umową informacje dotyczące takiego przetwarzania są udostępniane Administratorowi.

10. Przekazywanie danych poza EOG

Podmiot przetwarzający nie przekazuje danych osobowych poza Europejski Obszar Gospodarczy bez zastosowania zgodnego z prawem mechanizmu przekazywania, jeżeli jest on wymagany przez obowiązujące przepisy o ochronie danych.

11. Wsparcie w realizacji praw osób

Uwzględniając charakter przetwarzania, Podmiot przetwarzający udziela Administratorowi rozsądnego wsparcia w odpowiadaniu na żądania dotyczące praw osób, których dane dotyczą.

12. Naruszenia ochrony danych

Podmiot przetwarzający zawiadamia Administratora bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego danych przetwarzanych w imieniu Administratora i przekazuje dostępne informacje rozsądnie niezbędne do realizacji obowiązków prawnych Administratora.

13. Oceny skutków dla ochrony danych

W rozsądnie wymaganym zakresie i z uwzględnieniem charakteru przetwarzania Podmiot przetwarzający wspiera Administratora informacjami niezbędnymi do przeprowadzenia ocen skutków dla ochrony danych i związanych z nimi konsultacji.

14. Zwrot i usunięcie danych

Po zakończeniu świadczenia usługi Podmiot przetwarzający, zgodnie z poleceniami Administratora i obowiązującym prawem, zwraca dane osobowe, udostępnia odpowiedni eksport i/lub usuwa dane osobowe. Nie dotyczy to danych, których dalsze przechowywanie jest wymagane przez obowiązujące prawo.

15. Informacje i audyty

Podmiot przetwarzający udostępnia informacje rozsądnie niezbędne do wykazania zgodności z obowiązkami dotyczącymi przetwarzania danych. Ustalenia audytowe muszą w rozsądny sposób uwzględniać bezpieczeństwo, poufność, wpływ operacyjny oraz ochronę informacji innych klientów.

16. Odpowiedzialność i warunki nadrzędne

Odpowiedzialność, warunki handlowe i prawo właściwe podlegają głównej umowie o świadczenie usługi, chyba że bezwzględnie obowiązujące przepisy o ochronie danych stanowią inaczej.