Ochrana osobních údajů

1. Dvě různé role

U části údajů je provozovatel správcem — rozhoduje o účelu i prostředcích zpracování. Jde o údaje uživatelů služby: kontaktní osoby školy a firmy, přihlašovací údaje, fakturační údaje a komunikaci.

U údajů žáků, jejich zákonných zástupců a průběhu praxe je správcem škola, případně firma. Provozovatel je zpracovatelem a zpracovává je jen podle jejich pokynů. Podmínky popisuje dokument Zpracování osobních údajů pro školy a firmy.

2. Jaké údaje zpracováváme jako správce

• identifikační a kontaktní údaje uživatele: jméno, příjmení, pracovní e-mail, telefon,
• přihlašovací údaje: e-mail a otisk hesla (heslo v čitelné podobě neukládáme),
• provozní údaje: IP adresa, čas přihlášení a záznamy o činnosti v systému,
• fakturační údaje školy nebo firmy,
• obsah komunikace s podporou.

3. Co naopak neukládáme

Rodné číslo žáka systém neukládá vůbec, a to ani ve školní části. Tiskové sestavy, které kolonku pro rodné číslo obsahují podle úředního vzoru, ji nechávají prázdnou.

U lékařských posudků se eviduje pouze závěr (způsobilý / způsobilý s podmínkou / nezpůsobilý) a platnost. Diagnóza, omezení ani poznámka lékaře se neukládají a systém pro ně nemá pole.

4. Právní základ a doba uložení

• plnění smlouvy (čl. 6 odst. 1 písm. b GDPR) — po dobu trvání smlouvy a 30 dnů po jejím ukončení,
• plnění právní povinnosti (písm. c) — účetní doklady 10 let podle zákona o DPH a o účetnictví,
• oprávněný zájem (písm. f) — záznamy o přihlášení a činnosti kvůli bezpečnosti, zpravidla 12 měsíců.

Záznamy o činnosti (audit) jsou nezbytnou součástí služby: bez nich by nešlo doložit, kdo potvrdil docházku nebo uzamkl výkaz. Nemažou se dřív než data, ke kterým se vztahují.

5. Komu údaje předáváme

Údaje neprodáváme a nepředáváme k marketingovým účelům. Předávají se pouze poskytovatelům, bez kterých službu nelze provozovat:

• poskytovatel hostingu a datového úložiště (servery v České republice),
• poskytovatel odesílání e-mailů,
• účetní a daňový poradce v rozsahu fakturačních údajů.

Údaje se nepředávají mimo Evropský hospodářský prostor.

6. Zabezpečení

• veškerá komunikace probíhá šifrovaně přes HTTPS,
• hesla se ukládají jen jako otisk (bcrypt), nikdy v čitelné podobě,
• přístup k datům je oddělený podle školy, firmy a osoby; každý dotaz je filtrovaný kontextem přihlášeného,
• nahlédnutí do citlivých údajů (například karty žáka) zanechává záznam v auditu,
• nahrané soubory leží na neveřejném úložišti a vydávají se jen po ověření oprávnění,
• zálohy se pořizují pravidelně a jejich obnova se zkouší.

7. Vaše práva

Máte právo na přístup ke svým údajům, na jejich opravu, výmaz, omezení zpracování, na přenositelnost a právo vznést námitku proti zpracování z oprávněného zájmu. Uplatnit je můžete e-mailem na adrese uvedené výše; odpovíme do jednoho měsíce.

Týká-li se požadavek údajů žáka, obraťte se na školu — ta je jejich správcem. Provozovatel jí požadavek předá a poskytne součinnost.

Máte také právo podat stížnost u Úřadu pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7.