Договор за обработка на данни

1. Страни и роли

Този договор се сключва между училището, което ползва платформата School Exams, наричано „администратор“, и «ФИРМА», ЕИК «ЕИК», със седалище «седалище и адрес на управление», наричано „обработващ“.

Училището определя целите и средствата на обработването на данните на своите учители и ученици. То е администратор по смисъла на чл. 4, т. 7 от GDPR.

Ние обработваме тези данни само за да предоставим услугата и само по нареждане на училището. Ние сме обработващ по смисъла на чл. 4, т. 8.

Този договор е неразделна част от абонаментния договор и се подписва заедно с него.

2. Предмет, срок, естество и цел на обработването

Предмет: обработване на лични данни на учители и ученици, необходимо за организиране, провеждане, оценяване и архивиране на училищни изпити.

Естество на обработването: събиране, записване, съхранение, структуриране, справка, използване, ограничаване, изтриване и предаване на данните към упълномощени потребители на училището.

Цел: предоставяне на платформата съгласно абонаментния договор. Не обработваме данните за никаква своя цел — нито за анализ, нито за обучение на модели, нито за реклама.

Срок: за срока на абонаментния договор и за срока след прекратяването му, определен в раздел 11.

3. Категории субекти и видове данни

Категории субекти на данни: ученици, учители и административен персонал на училището.

Видове данни: имена; служебен или училищен имейл адрес; клас и учебна група; дисциплина; съдържание на изпитни работи и отговори; оценки, точки и коментари по критерии; прикачени от потребителя файлове; дневник на действията в системата; технически данни за достъпа, включително IP адрес и данни за сесията.

Не се обработват специални категории данни по чл. 9 от GDPR, освен ако училището не въведе такива по своя инициатива в свободен текст. Училището отговаря за това дали такова въвеждане е допустимо.

4. Обработване само по нареждане на администратора

Обработваме личните данни само по документирано нареждане на училището, включително при предаване към трета държава, освен ако не сме задължени по правото на ЕС или на държава членка. В такъв случай уведомяваме училището преди обработването, освен ако законът не забранява това. (чл. 28, параграф 3, буква а)

Настройките, направени от училището в платформата, и абонаментният договор представляват документирано нареждане.

Ако смятаме, че дадено нареждане нарушава GDPR или друга разпоредба за защита на данните, уведомяваме училището незабавно.

5. Поверителност на лицата с достъп

Лицата, оправомощени да обработват личните данни, са поели ангажимент за поверителност или са обвързани от подходящо законово задължение за поверителност. (чл. 28, параграф 3, буква б)

Достъп имат само служители, на които той е необходим за поддръжката на услугата, и само в необходимия обем.

6. Мерки за сигурност

Прилагаме подходящи технически и организационни мерки по чл. 32 от GDPR. (чл. 28, параграф 3, буква в)

— изолация на данните по училище на ниво база данни — данните на едно училище не са достъпни за друго;

— шифроване на целия трафик със съвременни протоколи; по-старите версии са изключени;

— една активна сесия на потребител — при нов вход предишните сесии се прекратяват;

— ограничения на честотата на заявките поотделно за основното API, за файловете и за управлението;

— разделяне на процесите — базата, кешът и приложението работят с отделни права;

— по избор на училището — ограничаване на изпитите само до IP адресите на училищната мрежа;

— дневник на всяко чувствително действие: кой, кога и върху какво;

— редовни архиви и периодична проверка чрез възстановяване в отделна среда.

Мерките са описани подробно на страницата за сигурност на този сайт.

7. Подобработващи

Училището дава общо предварително разрешение за ползване на подобработващи. (чл. 28, параграф 3, буква г, във връзка с параграфи 2 и 4)

Към момента подобработващ е доставчикът на инфраструктура «хостинг доставчик и държава», който осигурява хостинг на приложението, базата данни и електронната поща.

Уведомяваме училището писмено най-малко 30 дни преди привличане или замяна на подобработващ. Училището може да възрази в този срок; при основателно възражение то има право да прекрати договора без санкция.

На всеки подобработващ налагаме същите задължения за защита на данните, каквито имаме ние. Отговаряме пред училището за действията му както за свои.

8. Съдействие при упражняване на правата на субектите

Подпомагаме училището с подходящи технически и организационни мерки при отговора на искания за упражняване на права по глава III от GDPR. (чл. 28, параграф 3, буква д)

Платформата предоставя за целта: преглед на съхраняваните за потребителя данни; експорт в машинночетим формат JSON; заявка за изтриване на акаунт, която след одобрение води до каскадно изтриване.

Ако искане постъпи направо при нас, не му отговаряме по същество, а го препращаме на училището без ненужно забавяне.

9. Съдействие по чл. 32–36 и уведомяване при нарушение

Подпомагаме училището да изпълни задълженията си по чл. 32–36 от GDPR, като отчитаме естеството на обработването и информацията, с която разполагаме. (чл. 28, параграф 3, буква е)

При нарушение на сигурността на личните данни уведомяваме училището без ненужно забавяне и не по-късно от 72 часа, откакто сме узнали за него.

Уведомлението съдържа: какво се е случило, кои категории и приблизително колко субекти и записи са засегнати, вероятните последици и мерките, които сме предприели или предлагаме.

10. Изтриване или връщане на данните

След края на предоставянето на услугата, по избор на училището, заличаваме или връщаме всички лични данни и заличаваме съществуващите копия, освен ако правото на ЕС или на държава членка изисква съхранението им. (чл. 28, параграф 3, буква ж)

Училището заявява избора си писмено до 30 дни след прекратяването. Ако не заяви избор, след изтичане на този срок пристъпваме към заличаване.

Архивните копия се заличават при изтичане на обичайния им цикъл на съхранение.

11. Информация и одит

Предоставяме на училището цялата информация, необходима за доказване на изпълнението на задълженията по чл. 28, и допускаме и подпомагаме одити, включително проверки, извършвани от училището или от друг одитор, упълномощен от него. (чл. 28, параграф 3, буква з)

Одитите се извършват след писмено предизвестие, в работно време и по начин, който не нарушава сигурността на данните на други училища.

12. Място на обработване

Данните се обработват в рамките на Европейското икономическо пространство.

Не предаваме данни към трета държава без нареждане на училището и без основание по глава V от GDPR.