Zpracovatelská smlouva

Tento dokument je smlouvou o zpracování osobních údajů podle čl. 28 Nařízení (EU) 2016/679 (GDPR), uzavíranou mezi školou (správce) a poskytovatelem služby Snadná výuka, Filipem Škeříkem, IČO 08305269 (zpracovatel). Vztahuje se výhradně na školy se školní licencí — netýká se individuálních učitelů, jejichž vztah k nám řeší zásady ochrany osobních údajů.

Škola tuto smlouvu akceptuje zaškrtnutím políčka při žádosti o školní licenci v Nastavení → Předplatné. Podepsanou přílohu k vlastní dokumentaci poskytneme na vyžádání e-mailem.

Stáhnout jako PDF

1. Proč tahle smlouva existuje

Když učitel do zasedacího pořádku, týdenních služeb, rozřazovače do skupin nebo losovacího kola zapíše jména žáků, zpracovává tím škola osobní údaje dětí. V tu chvíli je škola správcem těchto údajů a Snadná výuka zpracovatelem — a čl. 28 GDPR vyžaduje mezi nimi písemnou smlouvu, dřív než ke zpracování dojde.

2. Kategorie subjektů a údajů

Subjektem údajů jsou žáci školy. Rozsah dat vždy volí učitel sám — stačí křestní jméno nebo iniciály, žádné pole není povinně celé jméno. Přehled, kde která data v aplikaci vznikají:

Žádný jiný nástroj (křížovky, osmisměrky, přesmyčky, pravidla třídy, šibenice, pexeso, bingo, únikovky, výukové materiály) údaje o konkrétních žácích neukládá.

3. Účel a doba zpracování

Účelem zpracování je výhradně organizace výuky (rozsazení do lavic, rozpis služeb, rozřazení do skupin, losování). Zpracování trvá po dobu aktivní školní licence. Po jejím ukončení platí retenční pravidla podle článku 9.

4. Údaje o žácích nikdy nejdou do AI

Údaje o žácích zpracováváme výhradně na našem serveru v EU a nepředáváme je poskytovatelům AI (Google Gemini, DeepSeek) ani žádné jiné třetí straně. AI funkce v aplikaci pracují s tématy, seznamy slov nebo pravidly třídy — nikdy se jmény konkrétních dětí. Toto omezení je vynucené i technicky: žádná AI funkce v kódu aplikace nemá přístup k modelům, které údaje o žácích ukládají (viz automatizovaný test StudentDataNeverReachesAiTest, který sestavení aplikace zastaví, pokud by se to v budoucnu změnilo).

5. Povinnosti zpracovatele

• Zpracovatel zpracovává osobní údaje pouze na základě doložených pokynů správce (tj. v rozsahu, který učitel sám zadá do nástrojů).
• Osoby oprávněné zpracovávat údaje jsou vázány mlčenlivostí.
• Zpracovatel přijímá technická a organizační opatření podle čl. 32 GDPR — viz článek 7 níže.
• Zpracovatel nezapojí dalšího zpracovatele (podzpracovatele) bez obecného souhlasu správce uděleného touto smlouvou — viz článek 6 — a případnou změnu oznámí předem.
• Zpracovatel je nápomocen správci s odpovídajícími technickými a organizačními opatřeními pro splnění povinnosti reagovat na žádosti o výkon práv subjektů údajů.
• Zpracovatel je nápomocen správci při zajišťování souladu se zabezpečením zpracování, oznamováním porušení zabezpečení a posouzením vlivu na ochranu osobních údajů.
• Po ukončení poskytování služby údaje vymaže nebo vrátí správci, podle jeho volby — viz článek 9.
• Poskytne správci veškeré informace potřebné k doložení souladu s čl. 28 GDPR a umožní audity.

6. Podzpracovatelé

Aktuální seznam podzpracovatelů (poskytovatel hostingu, e-mailu, AI služeb pro ostatní funkce aplikace, chybové reporty) je na samostatné stránce seznam podzpracovatelů. Podzpracovatelé nezpracovávají údaje o žácích (viz článek 4) — v seznamu jsou pro úplnost obrazu zpracování celé aplikace. Změnu seznamu oznámíme e-mailem alespoň 30 dní předem; škola má právo v té lhůtě proti změně vznést námitku.

7. Bezpečnostní opatření

Hesla se ukládají výhradně jako nevratné hashe, veškerá komunikace probíhá šifrovaně (HTTPS), přístup k produkčním datům mají jen pověřené osoby a účty administrátorů vyžadují dvoufaktorové ověření. Data jsou uložena na serverech v EU.

8. Postup při porušení zabezpečení

Zjistí-li zpracovatel porušení zabezpečení osobních údajů, které by mohlo znamenat riziko pro práva a svobody žáků, oznámí to správci bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, včetně popisu povahy incidentu a přijatých opatření — aby správce stihl svou vlastní 72hodinovou oznamovací lhůtu vůči Úřadu pro ochranu osobních údajů podle čl. 33 GDPR.

9. Osud dat po skončení zpracování

Po ukončení školní licence (zrušení nebo nezaplacené obnovení) má škola 30 dní na požádání o export dat nebo na obnovení licence. Po uplynutí této lhůty se účty přiřazené ke škole a jejich uložený obsah trvale a nevratně smažou (viz PurgeDeletedUsersCommand). Export si škola může kdykoliv vyžádat dřív e-mailem na info@snadnavyuka.cz.

10. Věk uživatelů

Snadná výuka je určena učitelům, ne žákům. Účet smí založit pouze osoba starší 18 let jednající jako zaměstnanec nebo zástupce školy — přímo se žáky jako uživateli aplikace nepočítáme, a proto se na ně nevztahuje zvláštní režim souhlasu dítěte podle čl. 8 GDPR.

11. Kontakt

Dotazy k této smlouvě směřujte na info@snadnavyuka.cz.