Powierzenie danych osobowych

1. Zakres powierzenia

Szkoła wskazana przy zamówieniu jest administratorem danych, a Bigawerk sp. z o.o., ul. Świeradowska 47, 02-662 Warszawa, KRS 0001218771 — podmiotem przetwarzającym. DPA jest częścią umowy ChimeTable; obowiązuje od rozpoczęcia przetwarzania, również podczas okresu próbnego, do zakończenia zwrotu i usunięcia danych oraz ich kopii.

Celem jest organizacja zajęć i komunikacja w zamówionej usłudze. Operacje obejmują zbieranie, utrwalanie, porządkowanie, przechowywanie, odczyt, zmianę, udostępnianie upoważnionym odbiorcom, przesyłanie, eksport, usuwanie i zabezpieczenie.

Osoby	Dane
Kursanci, w tym dzieci, opiekunowie, lektorzy, pracownicy, współpracownicy i kontakty Szkoły	Tożsamość, kontakty, identyfikatory, wiek lub grupa wiekowa, relacje opiekuńcze i organizacyjne; grupy, plany, dostępność, obecność, role i historia zmian; treść i statusy wiadomości, członkostwo, zgody, identyfikatory udostępniania oraz niezbędne metadane i logi.

Zakres ogranicza się do używanych usług. Dane szczególnych kategorii, w tym zdrowotne, oraz dane o wyrokach i naruszeniach prawa (art. 9 i 10 RODO) nie należą do standardowego zakresu usługi. Ich przetwarzanie wymaga wcześniejszego odrębnego uzgodnienia; nie należy wprowadzać ich także w notatkach. Własne cele Bigawerk, np. rozliczenia umowy, opisuje polityka prywatności; nie uprawniają do własnego wykorzystania danych kursantów.

2. Polecenia Szkoły

Szkoła określa cele i podstawy prawne przetwarzania, informuje osoby, ogranicza dane do niezbędnego zakresu i upoważnia użytkowników. Może wydawać polecenia, żądać informacji, pomocy i audytu. Poleceniami są umowa, działania upoważnionych użytkowników i dyspozycje e-mail.

Działamy wyłącznie na udokumentowane polecenia, również przy transferach, chyba że prawo UE lub państwa członkowskiego wymaga inaczej; uprzedzamy o tym, o ile nie jest to zabronione. Jeżeli uznamy, że polecenie narusza przepisy o ochronie danych, niezwłocznie informujemy Szkołę i wstrzymujemy je w koniecznym zakresie. Prace poza usługą mogą wymagać uzgodnienia kosztu, ale obowiązki ustawowe nie zależą od dokupienia usługi.

3. Bezpieczeństwo i poufność

Dostęp mają tylko upoważnione osoby zobowiązane do poufności, w niezbędnym zakresie. Regularnie weryfikujemy uprawnienia i odbieramy zbędne dostępy.

Stosujemy zabezpieczenia odpowiednie do ryzyka zgodnie z art. 32 RODO: uwierzytelnianie i izolację szkół, ochronę transmisji i danych przechowywanych, zarządzanie sekretami, ograniczony dostęp administracyjny, kopie i odtwarzanie, aktualizacje i obsługę podatności, logi i reagowanie na incydenty. Minimalizujemy dane testowe i diagnostyczne oraz regularnie sprawdzamy skuteczność ochrony.

Możemy zmieniać technologie bez aneksu, zachowując uzgodniony poziom ochrony. Udostępniamy informacje o zabezpieczeniach przed powierzeniem i przy istotnych zmianach.

4. Pomoc i naruszenia

Uwzględniając charakter przetwarzania i dostępne informacje, pomagamy realizować prawa osób oraz obowiązki z art. 32–36 RODO, w tym ocenę skutków i konsultacje z organem. Żądania osób przekazujemy Szkole bez zbędnej zwłoki; nie rozstrzygamy ich samodzielnie bez polecenia lub obowiązku prawnego.

Naruszenie ochrony powierzonych danych zgłaszamy bez zbędnej zwłoki po jego stwierdzeniu na wskazany kontakt Szkoły lub administratora konta. Podajemy charakter, kategorie i przybliżoną liczbę osób oraz rekordów, skutki, środki zaradcze i kontakt; brakujące informacje uzupełniamy. Zabezpieczamy dowody, ograniczamy skutki i pomagamy w zawiadomieniach. Kontakt: kontakt@chimetable.com.

5. Podwykonawcy i transfery

Szkoła udziela nam ogólnego upoważnienia do korzystania z dalszych podmiotów przetwarzających, zwanych tu podwykonawcami. Ich rejestr przekazujemy przed powierzeniem w wersji do zachowania. Wskazuje tożsamość, rolę, lokalizacje i podstawy transferów każdego podwykonawcy.

Dodanie lub zastąpienie podwykonawcy zgłaszamy e-mailem z wyprzedzeniem pozwalającym Szkole zapoznać się ze zmianą i wnieść uzasadniony sprzeciw dotyczący ochrony danych przed nowym powierzeniem. Rozpatrujemy sprzeciw przed rozpoczęciem przetwarzania przez nowego podwykonawcę. Jeśli nie znajdziemy rozwiązania, każda strona może zakończyć dotkniętą część usługi przed zmianą, bez kary, ze zwrotem niewykorzystanej opłaty i odbiorem danych.

Korzystamy z podwykonawców zapewniających wystarczające gwarancje ochrony danych i nakładamy na nich obowiązki odpowiadające DPA. Odpowiadamy za wykonanie tych obowiązków. Transfery poza EOG wymagają warunków rozdziału V RODO, ujawnionej podstawy i niezbędnych dodatkowych zabezpieczeń. Usługi wybrane samodzielnie przez Szkołę oceniamy według rzeczywistych ról; nie zwalnia to nas z obowiązków wobec własnych podwykonawców.

6. Informacje i audyt

Udostępniamy dowody zgodności z art. 28 RODO i współpracujemy przy audytach, w tym inspekcjach Szkoły lub jej audytora. Raporty i certyfikaty nie zastępują potrzebnej kontroli.

Zakres i termin uzgadniamy z rozsądnym wyprzedzeniem, uwzględniając pilność incydentu lub żądania organu. Chronimy inne szkoły i informacje niezwiązane z audytem, nie blokując weryfikacji. Szkoła ponosi koszty swojego audytu oraz zwraca nasze uzasadnione, udokumentowane koszty i wydatki związane z jego przeprowadzeniem. Przewidywane koszty podajemy z góry; rozliczenie nie może uniemożliwiać ani nadmiernie utrudniać wykonywania praw z art. 28 RODO.

7. Zwrot i usunięcie

Po zakończeniu usługi zwracamy lub usuwamy dane według decyzji Szkoły i usuwamy kopie, zachowując prawa odbioru z punktu 9 regulaminu. W okresie odbioru przetwarzamy je tylko dla bezpiecznego zakończenia i wykonania poleceń.

Po tym okresie i wykonaniu terminowych żądań usuwamy dane aktywne bez zbędnej zwłoki, a pozostałości w odizolowanych kopiach zapasowych usuwamy wraz z wygaśnięciem ich cyklu retencji, wskazanego w informacji o usuwaniu kopii. Kopii nie używamy do bieżącej obsługi; przy odtworzeniu ponownie wykonujemy wcześniejsze polecenia usunięcia. Na żądanie potwierdzamy zakończenie.

Gdy prawo UE lub państwa członkowskiego wymaga zachowania, wskazujemy podstawę i zakres, o ile wolno, i blokujemy inne wykorzystanie. Zachowanie faktur nie uzasadnia zachowania bazy kursantów.

Rozwój usługi bez zmiany celów, kategorii danych i uzgodnionej ochrony nie wymaga aneksu. Nowe cele, istotne rozszerzenie danych lub obniżenie gwarancji wymagają osobnego uzgodnienia; podwykonawców zmieniamy według punktu 5. Wspólny limit odpowiedzialności z umowy i DPA oraz jego wyjątki określa punkt 10 regulaminu. Nie ogranicza on obowiązków ustawowych, praw osób, uprawnień organów ani roszczeń zwrotnych z art. 82 ust. 5 RODO.