Smlouva o zpracování osobních údajů (DPA)

1. Údaje o poskytovateli

Tato smlouva o zpracování osobních údajů tvoří součást dohody mezi zákazníkem používajícím TeachersFlow („správce“) a TeachersFlow („zpracovatel“), pokud TeachersFlow zpracovává osobní údaje jménem správce.

• Poskytovatel: Jan Maxa
• IČO: 24495689
• Adresa: Renoirova 652/16, 152 00 Praha 5, Česká republika
• E-mail: info@teachersflow.com

Pro účely této smlouvy vystupuje poskytovatel jako zpracovatel. Smlouva je určena ke splnění požadavků článku 28 GDPR. Pokud potřebujete podepsanou kopii, kontaktujte nás.

2. Role

Správce rozhoduje, jaké osobní údaje zadá do TeachersFlow a proč je zpracovává. TeachersFlow je zpracovává pouze za účelem poskytování, zabezpečení, podpory a vylepšování služby nebo podle jiných pokynů správce dovolených právem.

3. Povinnosti správce

• Používat TeachersFlow pouze s platným právním základem a po splnění informačních povinností a získání potřebných oprávnění a souhlasů.
• Zajistit, aby pokyny pro TeachersFlow byly zákonné.
• Chránit přístup k účtu a odpovědně spravovat přístup organizací, učitelů, žáků a odkazy na aktivity a portály.
• Kontrolovat výstupy AI před použitím se žáky nebo při rozhodování o vzdělávání.
• Vyřizovat žádosti subjektů údajů, pokud správce odpovídá za příslušné údaje.

4. Povinnosti zpracovatele

TeachersFlow bude:

• Zpracovávat osobní údaje pouze podle doložených pokynů správce, včetně těchto podmínek a nastavení produktu.
• Zajišťovat, aby osoby oprávněné zpracovávat osobní údaje byly vázány mlčenlivostí.
• Používat vhodná technická a organizační opatření popsaná v příloze 2.
• V přiměřeně možném rozsahu pomáhat správci s žádostmi subjektů údajů a povinnostmi podle GDPR.
• Bez zbytečného odkladu informovat správce poté, co se dozví o porušení zabezpečení osobních údajů správce.
• Po skončení služby osobní údaje vymazat nebo vrátit, s výhradou právních požadavků, záloh, fakturačních, bezpečnostních a podpůrných záznamů a postupu mazání v produktu.

5. Další zpracovatelé

Správce povoluje TeachersFlow využívat další zpracovatele uvedené v příloze 3. TeachersFlow jim uloží povinnosti ochrany údajů odpovídající poskytovaným službám.

O významných změnách dalších zpracovatelů budeme informovat e-mailem, oznámením v produktu nebo aktualizací právní stránky. Správce může vznést námitku z přiměřených důvodů ochrany údajů na adrese info@teachersflow.com. Pokud strany námitku nevyřeší, může správce přestat využívat dotčenou službu.

6. Mezinárodní předávání

Někteří další zpracovatelé mohou osobní údaje zpracovávat mimo EHP, včetně Spojených států. Je-li to vyžadováno, TeachersFlow použije vhodné záruky, například rozhodnutí o odpovídající ochraně, standardní smluvní doložky a podmínky předávání údajů dalších zpracovatelů.

7. Audity a informace

TeachersFlow poskytne přiměřené informace potřebné k doložení souladu s touto smlouvou. Audity musí být přiměřené, omezené na ochranu údajů, nesmějí narušovat službu, musejí chránit důvěrné informace a je nutné o ně požádat s přiměřeným předstihem.

8. Příloha 1 – Podrobnosti zpracování

• Předmět: provoz TeachersFlow pro učitele, školy, organizace a oprávněný přístup žáků.
• Doba trvání: po dobu používání služby správcem a dále po dobu lhůty pro smazání, uchování záloh a zákonem požadovaného nebo povoleného uchovávání.
• Povaha zpracování: shromažďování, ukládání, uspořádání, vyhledávání, hostování, zobrazování, sdílení, úpravy, zpracování AI a souborů, podpora fakturace, zabezpečení, mazání a export.
• Účel: pracovní postupy při výuce, nástroje AI pro učitele, pomoc s hodnocením, vytváření plánů a podkladů, sledování pokroku žáků, aktivity, materiály, správa organizací, fakturace, podpora, vyřizování zpětné vazby, zabezpečení a soulad s předpisy.
• Subjekty údajů: učitelé, správci a učitelé organizací, žáci, rodiče a zákonní zástupci dostávající odkazy, účastníci aktivit a další osoby, jejichž údaje správce zadá.
• Osobní údaje: jména, e-maily, identifikátory účtů, údaje o organizaci, žácích, třídách a předmětech, známky, podklady pro hodnocení, poznámky, odpovědi a odevzdání aktivit, soubory, fotografie, diktovaný zvuk, materiály, text a metadata Google Docs, zadání a výstupy AI, zprávy a paměť Flowee, zprávy podpoře, zpětná vazba, počítadla využití, přístupové tokeny, fakturační identifikátory a technické údaje.
• Zvláštní kategorie: TeachersFlow není určen pro údaje zvláštních kategorií, pokud se je správce nerozhodne zadat a nemá k tomu zákonný základ. Správce by neměl zadávat nepotřebné citlivé údaje.

9. Příloha 2 – Bezpečnostní opatření

• Řízení přístupu: ověřování účtů, relační cookies httpOnly, přístup podle rolí, propojení s organizacemi a podle okolností zásada nejmenších oprávnění.
• Ochrana přihlašovacích údajů: hashování hesel a zneplatnění tokenů po obnovení hesla.
• Ochrana tokenů: tokeny Google OAuth se před uložením šifrují.
• Zabezpečení přenosu: HTTPS/TLS pro produkční webový provoz nasazený za HTTPS.
• Bezpečnost aplikace: omezení četnosti a velikosti požadavků, nastavení CORS, bezpečnostní hlavičky, limity vstupů a ověřování oprávnění na serveru.
• Oddělení údajů: přístup k uživatelům, organizacím, třídám, žákům a materiálům se kontroluje v aplikaci.
• Mazání: plánování smazání účtu, připomínky ve lhůtě na rozmyšlenou, mazání z primárních systémů v přiměřeně možném rozsahu a mazání podporovaných uložených souborů, s výhradou záloh, logů a zákonem požadovaného uchovávání.
• Správa poskytovatelů: využívání zavedených poskytovatelů infrastruktury, databáze, plateb, e-mailu, analytiky, úložiště a AI.

10. Příloha 3 – Další zpracovatelé

• Google Cloud a Google Cloud Storage: hosting, infrastruktura, ukládání souborů a zabezpečení.
• Google Gemini / Google AI: zpracování textů, obrázků a vektorových reprezentací pro funkce AI.
• Google: přihlášení, Google Docs a Disk, Google Analytics, Google Tag a související služby doručované prohlížečem.
• MongoDB Atlas: hostování databáze, ukládání dat a vektorové vyhledávání.
• Stripe: platby, předplatné, faktury, fakturační portál a prevence podvodů.
• Mailgun: doručování provozních e-mailů.
• Deepgram: převod diktovaného zvuku na text a psaného textu na hlas.
• PostHog (hostovaný v EU): produktová analytika a maskované přehrávání relací pro měření používání a vylepšování služby. Záznamy vyžadují souhlas s analytikou. Hodnoty formulářů a obsah učitelů a studentů i vytvořené výstupy jsou maskované a média v aplikaci jsou blokované. Veřejné texty webu a ověřené texty rozhraní aplikace včetně známých chybových hlášení zůstávají čitelné.
• Poskytovatelé doručování obsahu: načítání knihoven v prohlížeči, například MathJax, pokud se používají.

11. Ochrana údajů žáků v USA (FERPA a COPPA)

Tato část se použije, je-li správcem škola, školní obvod nebo jiná vzdělávací instituce či agentura ve Spojených státech nebo jinak zpracovává údaje amerických žáků. Doplňuje ostatní části této smlouvy.

• Postavení školního úředníka (FERPA): V rozsahu, v jakém se na správce vztahuje Family Educational Rights and Privacy Act (FERPA, 20 U.S.C. 1232g; 34 CFR Part 99), správce určuje TeachersFlow jako „školního úředníka“ s „oprávněným vzdělávacím zájmem“ podle 34 CFR 99.31(a)(1). TeachersFlow vykonává institucionální službu či činnost, kterou by správce jinak zajišťoval vlastními zaměstnanci, zůstává pod přímou kontrolou správce ohledně používání a uchovávání vzdělávacích záznamů, používá je jen k povolenému vzdělávacímu účelu a dále je nezpřístupňuje, ledaže to dovoluje FERPA nebo přikáže správce.
• Děti mladší 13 let (COPPA): Žáci si nevytvářejí vlastní účty. Pokud se použije Children's Online Privacy Protection Act (COPPA), správce, tedy škola nebo učitel, uděluje v souladu s pokyny FTC souhlas jménem rodičů se shromažďováním a používáním osobních údajů dítěte pro vzdělávací účel. TeachersFlow je shromažďuje a používá pouze k poskytování služby a na pokyn správce podporuje přístup a smazání.
• Bez komerčního využití údajů žáků: TeachersFlow neprodává osobní údaje žáků, nepoužívá je k cílené reklamě ani k reklamním či behaviorálním profilům a netrénuje na nich modely AI.
• Přístup, oprava, export a smazání: Na pokyn správce lze vzdělávací záznamy a údaje žáků prohlížet, opravovat, exportovat a mazat pomocí funkcí služby, s výhradou záloh, logů a zákonem požadovaného uchovávání.
• Zabezpečení a oznámení incidentu: TeachersFlow udržuje opatření z přílohy 2 a bez zbytečného odkladu informuje správce o zjištěném porušení zabezpečení údajů žáků, aby správce mohl splnit oznamovací povinnosti podle příslušného práva amerických států.
• Státní předpisy o ochraně údajů žáků: Tyto závazky mají podpořit soulad správce s příslušnými státními předpisy v USA, například kalifornským SOPIPA a obdobnými zákony jiných států.

„Vzdělávací záznamy“ a „žák“ mají v této části význam podle FERPA. „Údaje žáků“ znamenají osobní údaje o žákovi, které správce zadal do služby. Pokud americká škola či školní obvod vyžaduje vlastní smlouvu o ochraně údajů, kontaktujte info@teachersflow.com.

12. Rozhodné právo

Tato smlouva se řídí právem České republiky.

13. Kontakt

Dotazy k této smlouvě můžete poslat na info@teachersflow.com.