Umowa powierzenia przetwarzania danych osobowych (art. 28 RODO) — wzór

RODO art. 28 · Wzór 13-10-2026

Pobierz wzór (.docx) · Drukuj lub zapisz jako PDF

Strony

Administrator (Szkoła): {{NAZWA_SZKOLY}}, NIP/REGON {{NIP_SZKOLY}}, adres {{ADRES_SZKOLY}}, reprezentowana przez {{REPREZENTANT}} ({{STANOWISKO}}). Kontakt w sprawie ochrony danych (IOD): {{EMAIL_IOD}}.

Podmiot przetwarzający (Simulath): Amparo Corredor, NIF 22554493A, adres Av. Rei en Jaume I, 3, Walencja (Hiszpania), działająca pod nazwą handlową Simulath. Kontakt: info@simulath.com.

1. Przedmiot umowy

Podmiot przetwarzający świadczy na rzecz Szkoły usługę symulatorów edukacyjnych Simulath (wirtualne klasy, laboratoria takie jak ElectraLab, tutor AI i panel nauczyciela) i przetwarza dane osobowe w imieniu Szkoły wyłącznie w zakresie niezbędnym do świadczenia usługi.

2. Czas trwania

Przez okres obowiązywania licencji lub pilotażu Szkoły. Po zakończeniu stosuje się pkt 11.

3. Charakter i cel

Rejestracja uczniów w klasach za pomocą kodu i pseudonimu; zapis postępów i aktywności w laboratoriach; odpowiedzi tutora AI; zbiorcze informacje dla nauczyciela. Cel: wsparcie dydaktyki zgodnie z decyzją Szkoły. Simulath nie wykorzystuje danych do celów własnych, reklamy ani profilowania.

4. Dane i osoby

Osoby: uczniowie (w tym małoletni) i nauczyciele Szkoły. Dane: pseudonim ucznia, klasa, używane laboratoria, postępy, próby, daty aktywności, techniczny identyfikator sesji; wiadomości do tutora AI i kontekst symulacji; e-mail i klasy nauczyciela. Nie są przetwarzane szczególne kategorie danych (art. 9 RODO). Szkoła poinformuje uczniów, aby nie podawali pełnego imienia i nazwiska ani danych osobowych w czacie.

5. Obowiązki Szkoły

Określenie podstawy prawnej i poinformowanie uczniów i rodziców (art. 13-14 RODO); przekazywanie tylko niezbędnych danych; wydawanie udokumentowanych poleceń; nadzór nad przetwarzaniem.

6. Obowiązki Podmiotu przetwarzającego

a) Przetwarzanie danych wyłącznie na udokumentowane polecenie Szkoły, także w zakresie przekazywania danych do państw trzecich, oraz informowanie, jeśli polecenie narusza prawo. b) Zapewnienie poufności osób upoważnionych. c) Stosowanie środków bezpieczeństwa z pkt 7. d) Przestrzeganie zasad dalszego powierzenia (pkt 8). e) Pomoc w realizacji praw osób (pkt 9). f) Pomoc w wywiązywaniu się z art. 32-36 RODO. g) Usunięcie lub zwrot danych po zakończeniu (pkt 11). h) Udostępnianie informacji niezbędnych do wykazania zgodności i umożliwienie audytów po uprzednim zawiadomieniu. i) Prowadzenie rejestru kategorii czynności przetwarzania (art. 30 ust. 2 RODO).

7. Środki bezpieczeństwa

HTTPS/TLS; HSTS; cookies sesyjne Secure i HttpOnly; dostęp do danych ograniczony do właścicielki; uczniowie bez e-maila i hasła (pseudonim); kopie zapasowe {{CZESTOTLIWOSC_KOPII}}; rejestr incydentów.

8. Dalsze powierzenie

Szkoła udziela ogólnej zgody na poniższych podprzetwarzających. Podmiot przetwarzający poinformuje Szkołę co najmniej 30 dni przed dodaniem lub zmianą podprzetwarzającego, a Szkoła może wnieść sprzeciw. Każdy podprzetwarzający zostanie zobowiązany do równoważnych obowiązków.

9. Prawa osób

Jeśli uczeń, rodzic lub nauczyciel zwróci się do Podmiotu przetwarzającego, ten w ciągu 10 dni roboczych poinformuje Szkołę i pomoże w odpowiedzi (np. eksport lub usunięcie danych klasy lub pseudonimu).

10. Naruszenia ochrony danych

Podmiot przetwarzający zgłosi Szkole naruszenie bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, z informacjami z art. 33 ust. 3 RODO dostępnymi w danym momencie.

11. Zakończenie

Według wyboru Szkoły Podmiot przetwarzający zwróci dane (eksport CSV) lub usunie je w ciągu 30 dni od zakończenia usługi, chyba że prawo nakazuje ich przechowywanie, i potwierdzi to na piśmie na żądanie.

12. Przekazywanie poza EOG

Niektórzy podprzetwarzający mają siedzibę w USA. Przekazywanie opiera się na EU-US Data Privacy Framework (jeśli dostawca jest certyfikowany) lub standardowych klauzulach umownych (art. 46 RODO).

13. Sztuczna inteligencja

Tutor AI zawsze informuje, że jest AI, nie ocenia uczniów i nie podejmuje decyzji; decyzje dydaktyczne należą do nauczyciela. Wiadomości do tutora są przesyłane do OpenAI w celu wygenerowania odpowiedzi.

14. Prawo właściwe

Umowa podlega RODO i prawu hiszpańskiemu. W sprawach ochrony danych ma pierwszeństwo przed innymi umowami Stron.

Załącznik I — Zatwierdzeni podprzetwarzający

Podpisy

Za Szkołę: ____________________ Data: __________

Za Podmiot przetwarzający: Amparo Corredor ____________________ Data: __________