Smlouva o zpracování osobních údajů

uzavřená podle čl. 28 nařízení (EU) 2016/679 (GDPR) mezi Lektorem jako správcem a společností DUTORU, s.r.o., IČO 24504165, se sídlem Nové sady 988/2, Staré Brno, 602 00 Brno, jako zpracovatelem (dále „Zpracovatel“). Smlouva je součástí Obchodních podmínek a Lektor ji uzavírá registrací.

1. Předmět a doba zpracování

1. Zpracovatel zpracovává pro Lektora osobní údaje jeho studentů a jejich zákonných zástupců, které Lektor nebo studenti vloží do Služby, výhradně za účelem poskytování Služby.
2. Zpracování trvá po dobu užívání Služby Lektorem a končí podle čl. 6.

2. Rozsah zpracování

• Subjekty údajů: studenti Lektora (včetně nezletilých), jejich zákonní zástupci, zájemci, kteří Lektora kontaktují.
• Kategorie údajů: jméno, e-mail, telefon, údaje o lekcích (termíny, témata, poznámky, úkoly), soubory a materiály, zprávy, záznamy o platbách, obsah sdílené tabule, údaje o účasti v audio hovoru (bez nahrávání).
• Povaha zpracování: uložení, zobrazení oprávněným uživatelům, přenos (e-maily, audio hovor v reálném čase), záloha a výmaz.
• Zvláštní kategorie údajů (např. zdravotní stav) Lektor do Služby nevkládá, ledaže je to nezbytné a má k tomu právní základ. Audio hovory se nenahrávají.

3. Povinnosti Zpracovatele

1. zpracovávat údaje jen na základě doložených pokynů Lektora, za které se považuje užívání funkcí Služby a tato smlouva,
2. zajistit, aby osoby oprávněné k přístupu byly vázány mlčenlivostí,
3. přijmout technická a organizační opatření podle čl. 32 GDPR, zejména šifrování přenosu, řízení přístupů (údaje vidí jen Lektor a příslušný student), hashování hesel, krátkodobé podepsané odkazy k souborům, zálohování a zaznamenávání bezpečnostních událostí,
4. být Lektorovi nápomocen při vyřizování žádostí subjektů údajů a při plnění povinností podle čl. 32–36 GDPR,
5. ohlásit Lektorovi porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin od jeho zjištění,
6. poskytnout Lektorovi informace potřebné k doložení souladu s čl. 28 GDPR a umožnit audit v rozumném rozsahu, po předchozím ohlášení a na náklady Lektora.

4. Další zpracovatelé

1. Lektor uděluje obecné povolení k zapojení dalších zpracovatelů. Ke dni účinnosti jsou zapojeni:

• Railway Corporation – hosting aplikace, databáze a úložiště souborů (EU (region Evropa) / USA – standardní smluvní doložky)
• Cloudflare, Inc. – DNS a ochrana proti útokům (celosvětově – EU-US Data Privacy Framework, SCC)
• Resend, Inc. – odesílání e-mailů (přihlášení, pozvánky, připomínky) (USA – SCC)
• Daily.co (Daily, Inc.) – audio hovory (USA – EU-US Data Privacy Framework, SCC)
• Stripe Payments Europe, Ltd. – platby předplatného DUTORU (Irsko / USA – SCC)

1. O zamýšlené změně dalších zpracovatelů Zpracovatel informuje Lektora e-mailem nejméně 14 dní předem. Lektor může vznést námitku; nedojde-li k dohodě, může smlouvu ukončit zrušením účtu.
2. Zpracovatel uloží dalším zpracovatelům stejné povinnosti ochrany údajů, jaké má sám.

5. Povinnosti Lektora

1. Lektor odpovídá za to, že má k zpracování údajů studentů právní základ (zpravidla smlouva o výuce), že studenty o zpracování informoval a že u nezletilých má souhlas zákonného zástupce.
2. Lektor do Služby vkládá jen údaje nezbytné pro výuku a udržuje je přesné.

6. Ukončení a výmaz

1. Lektor může účet kdykoli smazat v aplikaci (Účet → Smazat účet). Zpracovatel tím údaje studentů vymaže okamžitě, ze záloh nejpozději do 90 dnů, nestanoví-li zákon jinak. Před smazáním si Lektor může potřebné údaje (např. materiály a potvrzení o platbách) stáhnout sám.
2. Student, který má vlastní účet, si zachovává přístup ke svému účtu; údaje vedené Lektorem (lekce, poznámky, materiály, platby) mu po ukončení vztahu přestanou být dostupné.