Συμφωνία επεξεργασίας δεδομένων

1. Μέρη και ρόλοι

Η παρούσα συμφωνία συνάπτεται μεταξύ του σχολείου που χρησιμοποιεί την πλατφόρμα School Exams, εφεξής «υπεύθυνος επεξεργασίας», και της «ФИРМА», EIK «ЕИК», με έδρα «седалище и адрес на управление», εφεξής «εκτελών την επεξεργασία».

Το σχολείο καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας των δεδομένων των εκπαιδευτικών και των μαθητών του. Είναι υπεύθυνος επεξεργασίας κατά την έννοια του άρθρου 4 σημείο 7 του ΓΚΠΔ.

Επεξεργαζόμαστε τα δεδομένα αυτά μόνο για την παροχή της υπηρεσίας και μόνο κατ’ εντολή του σχολείου. Είμαστε εκτελούντες την επεξεργασία κατά την έννοια του άρθρου 4 σημείο 8.

Η παρούσα συμφωνία αποτελεί αναπόσπαστο μέρος της σύμβασης συνδρομής και υπογράφεται μαζί με αυτήν.

2. Αντικείμενο, διάρκεια, φύση και σκοπός της επεξεργασίας

Αντικείμενο: επεξεργασία προσωπικών δεδομένων εκπαιδευτικών και μαθητών, αναγκαία για την οργάνωση, διεξαγωγή, βαθμολόγηση και αρχειοθέτηση σχολικών εξετάσεων.

Φύση της επεξεργασίας: συλλογή, καταχώριση, αποθήκευση, διάρθρωση, αναζήτηση, χρήση, περιορισμός, διαγραφή και διαβίβαση των δεδομένων σε εξουσιοδοτημένους χρήστες του σχολείου.

Σκοπός: παροχή της πλατφόρμας σύμφωνα με τη σύμβαση συνδρομής. Δεν επεξεργαζόμαστε τα δεδομένα για κανέναν δικό μας σκοπό — ούτε για ανάλυση, ούτε για εκπαίδευση μοντέλων, ούτε για διαφήμιση.

Διάρκεια: για τη διάρκεια της σύμβασης συνδρομής και για το διάστημα μετά τη λήξη της που ορίζεται στην ενότητα 10.

3. Κατηγορίες υποκειμένων και είδη δεδομένων

Κατηγορίες υποκειμένων των δεδομένων: μαθητές, εκπαιδευτικοί και διοικητικό προσωπικό του σχολείου.

Είδη δεδομένων: ονόματα· επαγγελματική ή σχολική διεύθυνση email· τάξη και ομάδα· μάθημα· περιεχόμενο γραπτών εξετάσεων και απαντήσεων· βαθμοί, μονάδες και σχόλια ανά κριτήριο· αρχεία που επισυνάπτει ο χρήστης· αρχείο καταγραφής ενεργειών στο σύστημα· τεχνικά δεδομένα πρόσβασης, συμπεριλαμβανομένων της διεύθυνσης IP και των δεδομένων συνεδρίας.

Δεν υποβάλλονται σε επεξεργασία ειδικές κατηγορίες δεδομένων σύμφωνα με το άρθρο 9 του ΓΚΠΔ, εκτός αν το σχολείο τις εισαγάγει με δική του πρωτοβουλία σε ελεύθερο κείμενο. Το σχολείο ευθύνεται για το αν μια τέτοια εισαγωγή είναι επιτρεπτή.

4. Επεξεργασία μόνο κατ’ εντολή του υπευθύνου

Επεξεργαζόμαστε τα προσωπικά δεδομένα μόνο βάσει καταγεγραμμένων εντολών του σχολείου, μεταξύ άλλων όσον αφορά τη διαβίβαση σε τρίτη χώρα, εκτός αν υποχρεούμαστε από το δίκαιο της Ένωσης ή κράτους μέλους. Στην περίπτωση αυτή ενημερώνουμε το σχολείο πριν από την επεξεργασία, εκτός αν ο νόμος το απαγορεύει. (άρθρο 28 παράγραφος 3 στοιχείο α)

Οι ρυθμίσεις που κάνει το σχολείο στην πλατφόρμα και η σύμβαση συνδρομής αποτελούν καταγεγραμμένες εντολές.

Αν κρίνουμε ότι μια εντολή παραβιάζει τον ΓΚΠΔ ή άλλες διατάξεις για την προστασία δεδομένων, ενημερώνουμε αμέσως το σχολείο.

5. Εμπιστευτικότητα των προσώπων με πρόσβαση

Τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα προσωπικά δεδομένα έχουν δεσμευτεί να τηρούν εμπιστευτικότητα ή υπέχουν κατάλληλη νόμιμη υποχρέωση εμπιστευτικότητας. (άρθρο 28 παράγραφος 3 στοιχείο β)

Πρόσβαση έχουν μόνο οι υπάλληλοι που τη χρειάζονται για τη συντήρηση της υπηρεσίας, και μόνο στον αναγκαίο βαθμό.

6. Μέτρα ασφαλείας

Εφαρμόζουμε κατάλληλα τεχνικά και οργανωτικά μέτρα σύμφωνα με το άρθρο 32 του ΓΚΠΔ. (άρθρο 28 παράγραφος 3 στοιχείο γ)

— απομόνωση των δεδομένων ανά σχολείο σε επίπεδο βάσης δεδομένων — τα δεδομένα ενός σχολείου δεν είναι προσβάσιμα σε άλλο·

— κρυπτογράφηση όλης της κίνησης με σύγχρονα πρωτόκολλα· οι παλαιότερες εκδόσεις είναι απενεργοποιημένες·

— μία ενεργή συνεδρία ανά χρήστη — μια νέα σύνδεση τερματίζει τις προηγούμενες συνεδρίες·

— όρια συχνότητας αιτημάτων, χωριστά για το κύριο API, για τα αρχεία και για τη διαχείριση·

— διαχωρισμός διεργασιών — η βάση δεδομένων, η κρυφή μνήμη και η εφαρμογή λειτουργούν με χωριστά δικαιώματα·

— κατ’ επιλογή του σχολείου — περιορισμός των εξετάσεων μόνο στις διευθύνσεις IP του σχολικού δικτύου·

— αρχείο καταγραφής κάθε ευαίσθητης ενέργειας: ποιος, πότε και σε τι·

— τακτικά αντίγραφα ασφαλείας και περιοδικός έλεγχος με επαναφορά τους σε χωριστό περιβάλλον.

Τα μέτρα περιγράφονται λεπτομερώς στη σελίδα ασφάλειας αυτού του ιστότοπου.

7. Υπεργολάβοι επεξεργασίας

Το σχολείο παρέχει γενική προηγούμενη άδεια για τη χρήση υπεργολάβων επεξεργασίας. (άρθρο 28 παράγραφος 3 στοιχείο δ, σε συνδυασμό με τις παραγράφους 2 και 4)

Επί του παρόντος υπεργολάβος επεξεργασίας είναι ο πάροχος υποδομής «хостинг доставчик и държава», ο οποίος παρέχει τη φιλοξενία της εφαρμογής, της βάσης δεδομένων και του ηλεκτρονικού ταχυδρομείου.

Ενημερώνουμε εγγράφως το σχολείο τουλάχιστον 30 ημέρες πριν από την πρόσληψη ή την αντικατάσταση υπεργολάβου επεξεργασίας. Το σχολείο μπορεί να αντιταχθεί εντός αυτής της προθεσμίας· σε περίπτωση βάσιμης αντίρρησης έχει δικαίωμα να καταγγείλει τη σύμβαση χωρίς κύρωση.

Επιβάλλουμε σε κάθε υπεργολάβο επεξεργασίας τις ίδιες υποχρεώσεις προστασίας δεδομένων που έχουμε κι εμείς. Ευθυνόμαστε έναντι του σχολείου για τις πράξεις του όπως για τις δικές μας.

8. Συνδρομή στην άσκηση των δικαιωμάτων των υποκειμένων

Συνδράμουμε το σχολείο με κατάλληλα τεχνικά και οργανωτικά μέτρα στην απάντηση σε αιτήματα άσκησης δικαιωμάτων σύμφωνα με το κεφάλαιο III του ΓΚΠΔ. (άρθρο 28 παράγραφος 3 στοιχείο ε)

Για τον σκοπό αυτό η πλατφόρμα παρέχει: προβολή των δεδομένων που είναι αποθηκευμένα για τον χρήστη· εξαγωγή σε μηχαναγνώσιμη μορφή JSON· αίτημα διαγραφής λογαριασμού που, μετά την έγκρισή του, οδηγεί σε διαδοχική διαγραφή.

Αν ένα αίτημα περιέλθει απευθείας σε εμάς, δεν απαντάμε επί της ουσίας, αλλά το διαβιβάζουμε στο σχολείο χωρίς αδικαιολόγητη καθυστέρηση.

9. Συνδρομή βάσει των άρθρων 32–36 και γνωστοποίηση παραβίασης

Συνδράμουμε το σχολείο στην εκπλήρωση των υποχρεώσεών του βάσει των άρθρων 32–36 του ΓΚΠΔ, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που έχουμε στη διάθεσή μας. (άρθρο 28 παράγραφος 3 στοιχείο στ)

Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα ενημερώνουμε το σχολείο χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 72 ωρών από τη στιγμή που λάβαμε γνώση της.

Η γνωστοποίηση περιλαμβάνει: τι συνέβη, ποιες κατηγορίες και περίπου πόσα υποκείμενα και εγγραφές επηρεάζονται, τις πιθανές συνέπειες και τα μέτρα που λάβαμε ή προτείνουμε.

10. Διαγραφή ή επιστροφή των δεδομένων

Μετά το τέλος της παροχής της υπηρεσίας, κατ’ επιλογή του σχολείου, διαγράφουμε ή επιστρέφουμε όλα τα προσωπικά δεδομένα και διαγράφουμε τα υπάρχοντα αντίγραφα, εκτός αν το δίκαιο της Ένωσης ή κράτους μέλους απαιτεί την αποθήκευσή τους. (άρθρο 28 παράγραφος 3 στοιχείο ζ)

Το σχολείο δηλώνει εγγράφως την επιλογή του εντός 30 ημερών από τη λήξη. Αν δεν δηλώσει επιλογή, μετά την παρέλευση της προθεσμίας αυτής προχωρούμε σε διαγραφή.

Τα αντίγραφα ασφαλείας διαγράφονται με τη λήξη του συνήθους κύκλου διατήρησής τους.

11. Πληροφορίες και έλεγχοι

Θέτουμε στη διάθεση του σχολείου κάθε πληροφορία αναγκαία για την απόδειξη της συμμόρφωσης με τις υποχρεώσεις του άρθρου 28 και επιτρέπουμε και διευκολύνουμε ελέγχους, συμπεριλαμβανομένων επιθεωρήσεων, που διενεργούνται από το σχολείο ή από άλλον ελεγκτή εντεταλμένο από αυτό. (άρθρο 28 παράγραφος 3 στοιχείο η)

Οι έλεγχοι διενεργούνται κατόπιν έγγραφης ειδοποίησης, σε ώρες εργασίας και με τρόπο που δεν θέτει σε κίνδυνο την ασφάλεια των δεδομένων άλλων σχολείων.

12. Τόπος επεξεργασίας

Τα δεδομένα υποβάλλονται σε επεξεργασία εντός του Ευρωπαϊκού Οικονομικού Χώρου.

Δεν διαβιβάζουμε δεδομένα σε τρίτη χώρα χωρίς εντολή του σχολείου και χωρίς βάση σύμφωνα με το κεφάλαιο V του ΓΚΠΔ.