Acordo de tratamento de dados

1. Partes e funções

O presente acordo é celebrado entre a escola que utiliza a plataforma School Exams, doravante «responsável pelo tratamento», e «ФИРМА», EIK «ЕИК», com sede em «седалище и адрес на управление», doravante «subcontratante».

A escola determina as finalidades e os meios do tratamento dos dados dos seus professores e alunos. É responsável pelo tratamento na aceção do art. 4.º, ponto 7, do RGPD.

Tratamos estes dados apenas para prestar o serviço e apenas segundo as instruções da escola. Somos subcontratantes na aceção do art. 4.º, ponto 8.

O presente acordo faz parte integrante do contrato de subscrição e é assinado juntamente com ele.

2. Objeto, duração, natureza e finalidade do tratamento

Objeto: tratamento de dados pessoais de professores e alunos necessário para organizar, realizar, classificar e arquivar exames escolares.

Natureza do tratamento: recolha, registo, conservação, estruturação, consulta, utilização, limitação, apagamento e transmissão dos dados a utilizadores autorizados da escola.

Finalidade: prestação da plataforma nos termos do contrato de subscrição. Não tratamos os dados para qualquer finalidade própria — nem para análise, nem para treinar modelos, nem para publicidade.

Duração: durante a vigência do contrato de subscrição e durante o período posterior à sua cessação fixado na secção 10.

3. Categorias de titulares e tipos de dados

Categorias de titulares dos dados: alunos, professores e pessoal administrativo da escola.

Tipos de dados: nomes; endereço de e-mail profissional ou escolar; turma e grupo; disciplina; conteúdo das provas de exame e das respostas; classificações, pontos e comentários por critério; ficheiros anexados pelo utilizador; registo das ações no sistema; dados técnicos de acesso, incluindo o endereço IP e os dados de sessão.

Não são tratadas categorias especiais de dados nos termos do art. 9.º do RGPD, salvo se a escola as introduzir por iniciativa própria em texto livre. A escola é responsável pela admissibilidade de tal introdução.

4. Tratamento apenas segundo instruções do responsável

Tratamos os dados pessoais apenas mediante instruções documentadas da escola, incluindo no que respeita a transferências para um país terceiro, salvo se a tal formos obrigados pelo direito da União ou de um Estado-Membro. Nesse caso, informamos a escola antes do tratamento, salvo se a lei o proibir. (art. 28.º, n.º 3, alínea a))

As configurações efetuadas pela escola na plataforma e o contrato de subscrição constituem instruções documentadas.

Se considerarmos que uma instrução viola o RGPD ou outras disposições em matéria de proteção de dados, informamos imediatamente a escola.

5. Confidencialidade das pessoas com acesso

As pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada. (art. 28.º, n.º 3, alínea b))

Só têm acesso os colaboradores que dele necessitam para a manutenção do serviço, e apenas na medida necessária.

6. Medidas de segurança

Aplicamos medidas técnicas e organizativas adequadas nos termos do art. 32.º do RGPD. (art. 28.º, n.º 3, alínea c))

— isolamento dos dados por escola ao nível da base de dados — os dados de uma escola não são acessíveis a outra;

— cifragem de todo o tráfego com protocolos modernos; as versões mais antigas estão desativadas;

— uma sessão ativa por utilizador — um novo início de sessão termina as sessões anteriores;

— limites à frequência de pedidos, separadamente para a API principal, para os ficheiros e para a gestão;

— separação de processos — a base de dados, a cache e a aplicação funcionam com permissões separadas;

— por opção da escola — restrição dos exames aos endereços IP da rede da escola;

— um registo de cada ação sensível: quem, quando e sobre o quê;

— cópias de segurança regulares e verificação periódica através da sua reposição num ambiente separado.

As medidas estão descritas em pormenor na página de segurança deste sítio.

7. Subcontratantes ulteriores

A escola concede uma autorização geral prévia para o recurso a subcontratantes ulteriores. (art. 28.º, n.º 3, alínea d), em conjugação com os n.ºs 2 e 4)

Atualmente, o subcontratante ulterior é o fornecedor de infraestrutura «хостинг доставчик и държава», que assegura o alojamento da aplicação, da base de dados e do correio eletrónico.

Notificamos a escola por escrito com, pelo menos, 30 dias de antecedência antes de contratar ou substituir um subcontratante ulterior. A escola pode opor-se nesse prazo; em caso de oposição fundamentada, tem o direito de resolver o contrato sem penalização.

Impomos a cada subcontratante ulterior as mesmas obrigações de proteção de dados que nós temos. Respondemos perante a escola pelos seus atos como pelos nossos.

8. Assistência no exercício dos direitos dos titulares

Prestamos assistência à escola, através de medidas técnicas e organizativas adequadas, na resposta aos pedidos de exercício dos direitos previstos no capítulo III do RGPD. (art. 28.º, n.º 3, alínea e))

Para o efeito, a plataforma disponibiliza: a consulta dos dados conservados sobre o utilizador; a exportação no formato de leitura automática JSON; um pedido de eliminação da conta que, uma vez aprovado, conduz a um apagamento em cascata.

Se um pedido nos chegar diretamente, não lhe respondemos quanto ao mérito, mas reencaminhamo-lo para a escola sem demora injustificada.

9. Assistência nos termos dos art. 32.º a 36.º e notificação de violações

Prestamos assistência à escola no cumprimento das suas obrigações nos termos dos art. 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e a informação de que dispomos. (art. 28.º, n.º 3, alínea f))

Em caso de violação de dados pessoais, notificamos a escola sem demora injustificada e, o mais tardar, 72 horas após dela termos tido conhecimento.

A notificação inclui: o que aconteceu, que categorias e aproximadamente quantos titulares e registos foram afetados, as consequências prováveis e as medidas que tomámos ou propomos.

10. Apagamento ou devolução dos dados

Após o termo da prestação do serviço, à escolha da escola, apagamos ou devolvemos todos os dados pessoais e apagamos as cópias existentes, salvo se o direito da União ou de um Estado-Membro exigir a sua conservação. (art. 28.º, n.º 3, alínea g))

A escola comunica a sua escolha por escrito no prazo de 30 dias após a cessação. Se não comunicar qualquer escolha, procedemos ao apagamento findo esse prazo.

As cópias de segurança são apagadas no termo do seu ciclo habitual de conservação.

11. Informação e auditorias

Disponibilizamos à escola todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no art. 28.º e facilitamos e contribuímos para auditorias, incluindo inspeções, conduzidas pela escola ou por outro auditor por ela mandatado. (art. 28.º, n.º 3, alínea h))

As auditorias realizam-se após aviso escrito, em horário de expediente e de forma a não comprometer a segurança dos dados de outras escolas.

12. Local do tratamento

Os dados são tratados no Espaço Económico Europeu.

Não transferimos dados para um país terceiro sem instruções da escola e sem fundamento nos termos do capítulo V do RGPD.