Podmínky zpracování osobních údajů pro školy a firmy

1. Postavení stran

Správcem osobních údajů žáků a jejich zákonných zástupců je škola. U údajů svých zaměstnanců (instruktorů) je správcem firma. Provozovatel je v obou případech zpracovatelem podle čl. 28 nařízení (EU) 2016/679 (GDPR).

Provozovatel zpracovává údaje výhradně na základě doložených pokynů správce. Pokynem se rozumí i užívání funkcí systému správcem a jeho uživateli.

2. Předmět, doba a účel zpracování

Účelem je provoz systému pro evidenci odborných praxí: vedení dokumentace o průběhu praxe, smluv s poskytovateli praxe, docházky, výkazů hodin a navazujících agend, které si správce zapnul.

Zpracování trvá po dobu trvání smlouvy o užívání služby a 30 dnů po jejím ukončení (lhůta pro export dat).

3. Kategorie subjektů a údajů

Subjekty údajů: žáci a studenti, jejich zákonní zástupci, zaměstnanci školy a zaměstnanci firmy.

Kategorie údajů:

• identifikační a kontaktní údaje (jméno, datum narození, adresa, e-mail, telefon),
• údaje o studiu (třída, ročník, obor vzdělání),
• údaje o průběhu praxe (umístění, docházka, odpracované hodiny, deník, hodnocení),
• závěr a platnost lékařského posudku — bez diagnózy a bez zdravotního obsahu,
• údaje o úrazu v rozsahu knihy úrazů a záznamu o úrazu (zvláštní kategorie údajů podle čl. 9 GDPR),
• údaje o odměně za produktivní činnost.

Rodné číslo se nezpracovává vůbec.

4. Povinnosti zpracovatele

Provozovatel se zavazuje:

• zpracovávat údaje jen podle pokynů správce a nepoužívat je k vlastním účelům,
• zavázat osoby s přístupem k údajům mlčenlivostí,
• přijmout technická a organizační opatření podle čl. 32 GDPR (šifrovaný přenos, oddělení dat podle školy a firmy, otisky hesel, audit přístupů, neveřejné úložiště souborů, zálohy),
• být správci nápomocen při odpovídání na žádosti subjektů údajů a při posouzení vlivu na ochranu údajů,
• ohlásit správci porušení zabezpečení bez zbytečného odkladu, nejpozději do 24 hodin od zjištění,
• po ukončení smlouvy údaje na pokyn správce smazat nebo vrátit.

5. Zvláštní kategorie údajů

Údaje o úrazu jsou údaje o zdravotním stavu. Systém k nim proto přistupuje odděleně: detail úrazu vidí škola, zákonný zástupce a dotčený žák; firma se dozví pouze to, že úraz byl nahlášen. Nahlédnutí zanechává záznam v auditu.

U lékařských posudků se vede jen závěr a platnost. Firma vidí pouze příznak, zda žák platný posudek má.

6. Další zpracovatelé

Správce uděluje provozovateli obecné povolení zapojit další zpracovatele. Provozovatel je zavazuje stejnými povinnostmi a odpovídá za jejich plnění. Aktuálně jde o poskytovatele hostingu a datového úložiště se servery v České republice a o poskytovatele odesílání e-mailů.

O změně v okruhu dalších zpracovatelů provozovatel správce vyrozumí předem, aby proti ní mohl vznést námitku.

7. Místo zpracování

Údaje se zpracovávají na území České republiky a nepředávají se mimo Evropský hospodářský prostor.

8. Kontrola

Správce má právo ověřit plnění těchto podmínek. Provozovatel mu na vyžádání poskytne informace nezbytné k doložení souladu a umožní audit v předem dohodnutém termínu tak, aby nenarušil provoz služby a ochranu údajů ostatních správců.