Umowa powierzenia przetwarzania danych osobowych

Strony umowy

1. Administrator (Szkoła): nazwa, adres i dane kontaktowe placówki wskazane w komparycji zawieranej umowy.
2. Podmiot przetwarzający (operator platformy Uzdolnieni.com): Uzdolnieni sp. z o.o. z siedzibą w Niepołomicach, ul. Szałwiowa 11, 32-005 Niepołomice, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS: 0001179007, NIP: 6832147490, e-mail: kontakt@uzdolnieni.com.

§ 1. Przedmiot umowy

1. Administrator (Szkoła) powierza Podmiotowi przetwarzającemu (operatorowi platformy Uzdolnieni.com) dane osobowe do przetwarzania w celu i zakresie określonym niniejszą umową, w związku ze świadczeniem usługi platformy wsparcia doradztwa zawodowego.
2. Podmiot przetwarzający zobowiązuje się przetwarzać powierzone dane wyłącznie na udokumentowane polecenie Administratora, w zakresie i celu określonym w umowie (art. 28 ust. 3 lit. a RODO).

§ 2. Zakres i cel przetwarzania

Kategoria osób	Zakres danych	Cel
Uczniowie	imię i nazwisko, klasa/oddział, login lub adres e-mail, odpowiedzi i wyniki testów predyspozycji, treści procesu doradczego (analiza, plan działań, raporty)	realizacja doradztwa zawodowego w szkole (diagnoza predyspozycji, analiza, raporty)
Rodzice / opiekunowie	dane kontaktowe w zakresie przekazanym przez szkołę (opcjonalnie)	przekazanie raportu dla rodzica, komunikacja szkoły z domem
Doradcy zawodowi / pracownicy szkoły	imię i nazwisko, służbowy adres e-mail	prowadzenie kont użytkowników platformy

§ 3. Obowiązki podmiotu przetwarzającego

1. Przechowywanie powierzonych danych wyłącznie na terytorium Unii Europejskiej, na serwerach zlokalizowanych w Niemczech. Zasady przetwarzania przez dostawcę modelu językowego określa § 4.
2. Zapewnienie środków technicznych i organizacyjnych adekwatnych do ryzyka (art. 32 RODO), w tym: szyfrowanie danych osobowych w bazie (dane identyfikujące przechowywane w postaci zaszyfrowanej), szyfrowana transmisja (TLS), kontrola dostępu oparta na rolach, rozdzielenie środowisk, kopie zapasowe.
3. Dopuszczenie do przetwarzania wyłącznie osób upoważnionych, zobowiązanych do zachowania poufności.
4. Wsparcie Administratora w realizacji praw osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania), w terminie umożliwiającym Administratorowi dotrzymanie terminów ustawowych.
5. Zgłaszanie Administratorowi naruszeń ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od wykrycia, wraz z informacjami wymaganymi przez art. 33 ust. 3 RODO.
6. Usunięcie lub zwrot danych po zakończeniu świadczenia usługi, zgodnie z decyzją Administratora (§ 6), oraz usunięcie istniejących kopii, chyba że prawo Unii lub państwa członkowskiego nakazuje ich przechowywanie.
7. Udostępnianie Administratorowi informacji niezbędnych do wykazania zgodności z art. 28 RODO. Na pisemny wniosek Administratora, raz w każdym okresie 12 miesięcy i nieodpłatnie, Podmiot przetwarzający przekazuje pakiet dokumentacyjny obejmujący opis zastosowanych środków technicznych i organizacyjnych, aktualną listę dalszych podmiotów przetwarzających, posiadane certyfikaty dostawców oraz podsumowanie wyników audytów.
8. Umożliwienie audytu lub inspekcji, jeżeli Administrator poweźmie uzasadnione wątpliwości oparte na okolicznościach faktycznych co do zgodności przetwarzania z Umową, albo po stwierdzeniu naruszenia ochrony danych osobowych. Audyt odbywa się nie częściej niż raz w każdym okresie 12 miesięcy, po pisemnym uprzedzeniu z co najmniej 21-dniowym wyprzedzeniem, w godzinach pracy Podmiotu przetwarzającego i bez zakłócania jego działalności, w zakresie uzgodnionym przez Strony przed rozpoczęciem audytu. Audytor zobowiązany jest do zachowania poufności i nie może być podmiotem konkurencyjnym wobec Podmiotu przetwarzającego. Koszty audytu ponosi Administrator, według stawki godzinowej wskazanej w cenniku Podmiotu przetwarzającego.
9. Uprawnienia kontrolne wobec dalszych podmiotów przetwarzających Podmiot przetwarzający realizuje we własnym zakresie, na podstawie zawartych z nimi umów, i przekazuje Administratorowi ich wyniki w ramach pakietu dokumentacyjnego, o którym mowa powyżej.

§ 4. Podpowierzenie

1. Podmiot przetwarzający korzysta z dalszych podmiotów przetwarzających (dostawcy infrastruktury serwerowej z przechowywaniem danych na terytorium Unii Europejskiej oraz dostawca modelu językowego AI) wymienionych w załączniku nr 1.
2. Administrator udziela ogólnego upoważnienia do korzystania z dalszych podmiotów przetwarzających wskazanych w załączniku nr 1. Podmiot przetwarzający informuje Administratora pocztą elektroniczną o zamierzonej zmianie po powzięciu informacji od dostawcy. Administrator może w terminie 14 dni zgłosić umotywowany sprzeciw oparty na przesłankach dotyczących ochrony danych osobowych. Podmiot przetwarzający rozpatruje sprzeciw i w miarę możliwości proponuje rozwiązanie alternatywne. Administrator przyjmuje do wiadomości, że podtrzymanie sprzeciwu może uniemożliwić dalsze świadczenie usługi, a w konsekwencji prowadzić do rozwiązania Umowy przez Podmiot przetwarzający.
3. Do dostawcy modelu AI nie są przekazywane dane identyfikujące ucznia (imię, nazwisko, login, e-mail) — patrz „Opis zastosowania sztucznej inteligencji”.
4. Dostawca modelu językowego jest podmiotem z siedzibą w Unii Europejskiej. W celu świadczenia usługi może on przekazywać dane poza Europejski Obszar Gospodarczy. Przekazanie takie następuje na podstawie zabezpieczeń wymaganych przez rozdział V RODO, w szczególności standardowych klauzul umownych lub decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (art. 45 RODO). Zapytania i odpowiedzi nie są przechowywane przez dostawcę modelu, a dane nie są wykorzystywane do trenowania modeli.

§ 5. Odpowiedzialność

1. Podmiot przetwarzający odpowiada za szkody spowodowane przetwarzaniem niezgodnym z umową lub RODO.
2. Administrator pozostaje odpowiedzialny za podstawę prawną przetwarzania i realizację obowiązku informacyjnego.

§ 6. Okres obowiązywania i usunięcie danych

1. Umowa obowiązuje przez okres świadczenia usługi.
2. Po zakończeniu umowy lub zakończeniu cyklu kształcenia ucznia dane są usuwane zgodnie z „Polityką retencji i usuwania danych” stanowiącą załącznik nr 2, chyba że Administrator zażąda wcześniejszego usunięcia lub zwrotu.

Załączniki

• Załącznik nr 1 — lista dalszych podmiotów przetwarzających.
• Załącznik nr 2 — Polityka retencji i usuwania danych.
• Załącznik nr 3 — Opis zastosowania sztucznej inteligencji.

Podpisy stron

Administrator (Szkoła) ………………………………………… data, pieczęć i podpis

Podmiot przetwarzający ………………………………………… data i podpis