Umowa powierzenia przetwarzania danych osobowych

1. Strony i charakter umowy

Niniejsza Umowa powierzenia (dalej: „Umowa") zawierana jest pomiędzy Szkołą — jako administratorem danych — a Operatorem Klasi — jako podmiotem przetwarzającym (procesorem).

Umowa zostaje zawarta z chwilą akceptacji podczas zakładania konta i obowiązuje przez czas korzystania z Usługi. Stanowi realizację obowiązku, o którym mowa w art. 28 RODO.

2. Przedmiot i czas przetwarzania

Operator przetwarza powierzone dane wyłącznie w celu i zakresie niezbędnym do świadczenia Usługi, na udokumentowane polecenie Szkoły (którym jest m.in. korzystanie z funkcji Aplikacji oraz niniejsza Umowa).

Przetwarzanie trwa przez okres korzystania z Usługi i kończy się wraz z usunięciem lub zwrotem danych zgodnie z pkt 7.

3. Rodzaj danych i kategorie osób

Kategorie osób: uczniowie (w tym małoletni) oraz ich rodzice/opiekunowie, a także — w zakresie wprowadzonym przez Szkołę — kadra.

Rodzaj danych: dane identyfikacyjne i kontaktowe, data urodzenia, przynależność do grup, obecność, dane o składkach i płatnościach, zgody na wyjazdy oraz — jeśli Szkoła je wprowadzi — informacje istotne dla bezpieczeństwa uczestnika wyjazdu (mogące obejmować dane o stanie zdrowia).

4. Obowiązki Operatora (procesora)

Przetwarzanie danych wyłącznie na udokumentowane polecenie Szkoły.

Zapewnienie, by osoby upoważnione do przetwarzania zobowiązały się do zachowania poufności.

Stosowanie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych (art. 32 RODO).

Wspieranie Szkoły w realizacji żądań osób, których dane dotyczą, oraz w wypełnianiu obowiązków z art. 32–36 RODO.

Zgłaszanie Szkole naruszenia ochrony danych bez zbędnej zwłoki po jego stwierdzeniu.

Udostępnianie Szkole informacji niezbędnych do wykazania spełnienia obowiązków oraz umożliwienie audytów na rozsądnych zasadach.

5. Podpowierzenie (dalsi procesorzy)

Szkoła wyraża ogólną zgodę na korzystanie przez Operatora z dalszych podmiotów przetwarzających (podprocesorów) wymienionych w Polityce prywatności (m.in. Supabase, Resend, SMSAPI, Stripe, Vercel).

Operator zapewnia, że na podprocesorów nałożone są obowiązki ochrony danych nie mniejsze niż w niniejszej Umowie, oraz informuje Szkołę o zamierzonych zmianach, umożliwiając zgłoszenie sprzeciwu.

6. Przekazywanie poza EOG

Jeśli realizacja Usługi wymaga przekazania danych poza Europejski Obszar Gospodarczy, następuje to wyłącznie przy zastosowaniu mechanizmów zgodnych z RODO (np. standardowe klauzule umowne).

7. Zakończenie i usunięcie danych

Po zakończeniu świadczenia Usługi Operator, zgodnie z decyzją Szkoły, usuwa lub zwraca powierzone dane oraz usuwa istniejące kopie, chyba że obowiązek dalszego przechowywania wynika z przepisów prawa.

8. Odpowiedzialność

Każda ze stron odpowiada za naruszenia w zakresie swoich obowiązków wynikających z RODO i niniejszej Umowy. Postanowienia o ograniczeniu odpowiedzialności zawarte w Regulaminie stosuje się odpowiednio, z zastrzeżeniem bezwzględnie obowiązujących przepisów o ochronie danych.