Соглашение об обработке данных

1. Стороны и роли

Настоящее соглашение заключается между школой, пользующейся платформой School Exams, далее «контролёр», и «ФИРМА», ЕИК «ЕИК», с местонахождением «седалище и адрес на управление», далее «обработчик».

Школа определяет цели и средства обработки данных своих учителей и учеников. Она является контролёром по смыслу ст. 4(7) GDPR.

Мы обрабатываем эти данные только для предоставления услуги и только по поручению школы. Мы являемся обработчиком по смыслу ст. 4(8).

Настоящее соглашение является неотъемлемой частью договора подписки и подписывается вместе с ним.

2. Предмет, срок, характер и цель обработки

Предмет: обработка персональных данных учителей и учеников, необходимая для организации, проведения, оценивания и архивирования школьных экзаменов.

Характер обработки: сбор, запись, хранение, структурирование, извлечение, использование, ограничение, удаление и передача данных уполномоченным пользователям школы.

Цель: предоставление платформы в соответствии с договором подписки. Мы не обрабатываем данные ни в каких собственных целях — ни для анализа, ни для обучения моделей, ни для рекламы.

Срок: в течение срока действия договора подписки и в течение срока после его прекращения, установленного в разделе 10.

3. Категории субъектов и виды данных

Категории субъектов данных: ученики, учителя и административный персонал школы.

Виды данных: имена; служебный или школьный адрес электронной почты; класс и учебная группа; предмет; содержание экзаменационных работ и ответов; оценки, баллы и комментарии по критериям; файлы, прикреплённые пользователем; журнал действий в системе; технические данные о доступе, включая IP-адрес и данные сеанса.

Специальные категории данных по ст. 9 GDPR не обрабатываются, если только школа не введёт их по собственной инициативе в свободном тексте. Школа отвечает за допустимость такого ввода.

4. Обработка только по поручению контролёра

Мы обрабатываем персональные данные только по документально оформленному поручению школы, в том числе в отношении передачи в третью страну, если только этого не требует право ЕС или государства-члена. В таком случае мы уведомляем школу до начала обработки, если закон этого не запрещает. (ст. 28(3)(a))

Настройки, сделанные школой в платформе, и договор подписки являются документально оформленным поручением.

Если мы считаем, что поручение нарушает GDPR или иные положения о защите данных, мы незамедлительно уведомляем школу.

5. Конфиденциальность лиц, имеющих доступ

Лица, уполномоченные обрабатывать персональные данные, приняли на себя обязательство о конфиденциальности или связаны надлежащей законной обязанностью соблюдать конфиденциальность. (ст. 28(3)(b))

Доступ имеют только сотрудники, которым он необходим для обслуживания услуги, и только в необходимом объёме.

6. Меры безопасности

Мы применяем надлежащие технические и организационные меры по ст. 32 GDPR. (ст. 28(3)(c))

— изоляция данных по школам на уровне базы данных — данные одной школы недоступны другой;

— шифрование всего трафика современными протоколами; более старые версии отключены;

— один активный сеанс на пользователя — новый вход завершает предыдущие сеансы;

— ограничение частоты запросов отдельно для основного API, для файлов и для управления;

— разделение процессов — база данных, кэш и приложение работают с раздельными правами;

— по выбору школы — ограничение экзаменов только IP-адресами школьной сети;

— журнал каждого чувствительного действия: кто, когда и над чем;

— регулярные резервные копии и периодическая проверка путём восстановления в отдельной среде.

Меры подробно описаны на странице безопасности этого сайта.

7. Субобработчики

Школа даёт общее предварительное разрешение на привлечение субобработчиков. (ст. 28(3)(d) во взаимосвязи с пунктами 2 и 4)

В настоящее время субобработчиком является поставщик инфраструктуры «хостинг доставчик и държава», обеспечивающий хостинг приложения, базы данных и электронной почты.

Мы письменно уведомляем школу не менее чем за 30 дней до привлечения или замены субобработчика. Школа может возразить в этот срок; при обоснованном возражении она вправе расторгнуть договор без штрафных санкций.

Мы возлагаем на каждого субобработчика те же обязанности по защите данных, что и на себя. Перед школой мы отвечаем за его действия как за свои.

8. Содействие в осуществлении прав субъектов

Мы содействуем школе надлежащими техническими и организационными мерами в ответе на запросы об осуществлении прав по главе III GDPR. (ст. 28(3)(e))

Для этого платформа предоставляет: просмотр данных, хранящихся о пользователе; экспорт в машиночитаемом формате JSON; запрос на удаление учётной записи, который после одобрения приводит к каскадному удалению.

Если запрос поступает непосредственно к нам, мы не отвечаем на него по существу, а без неоправданной задержки пересылаем его школе.

9. Содействие по ст. 32–36 и уведомление о нарушениях

Мы содействуем школе в выполнении её обязанностей по ст. 32–36 GDPR с учётом характера обработки и имеющейся у нас информации. (ст. 28(3)(f))

При нарушении безопасности персональных данных мы уведомляем школу без неоправданной задержки и не позднее 72 часов с момента, когда нам стало о нём известно.

Уведомление содержит: что произошло, какие категории и приблизительно сколько субъектов и записей затронуто, вероятные последствия и меры, которые мы приняли или предлагаем.

10. Удаление или возврат данных

После окончания предоставления услуги по выбору школы мы удаляем или возвращаем все персональные данные и удаляем существующие копии, если только право ЕС или государства-члена не требует их хранения. (ст. 28(3)(g))

Школа письменно сообщает о своём выборе в течение 30 дней после прекращения. Если выбор не сообщён, по истечении этого срока мы приступаем к удалению.

Резервные копии удаляются по истечении их обычного цикла хранения.

11. Информация и аудит

Мы предоставляем школе всю информацию, необходимую для подтверждения выполнения обязанностей по ст. 28, и допускаем и содействуем проведению аудитов, включая проверки, проводимые школой или другим уполномоченным ею аудитором. (ст. 28(3)(h))

Аудиты проводятся после письменного уведомления, в рабочее время и таким образом, чтобы не нарушать безопасность данных других школ.

12. Место обработки

Данные обрабатываются в пределах Европейской экономической зоны.

Мы не передаём данные в третью страну без поручения школы и без основания по главе V GDPR.