Umowa powierzenia przetwarzania danych

Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: Umowa powierzenia) stanowi Załącznik nr 2 do Warunków korzystania z LingoDesk i jest ich integralną częścią. Określa zasady przetwarzania przez Usługodawcę danych osobowych, których administratorem jest Organizacja, zgodnie z art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: RODO).

Zawarcie Umowy powierzenia. Umowa powierzenia zostaje zawarta pomiędzy Organizacją a Usługodawcą z chwilą akceptacji Warunków korzystania i rejestracji konta Organizacji — nie wymaga odrębnego podpisu ani wymiany dokumentów. Obowiązuje przez cały okres świadczenia Usługi.

1. Definicje

Pojęcia pisane wielką literą mają znaczenie nadane im w Warunkach korzystania. Ponadto:

Administrator — Organizacja (szkoła językowa lub inny podmiot prowadzący konto w Usłudze), która samodzielnie ustala cele i sposoby przetwarzania danych wprowadzanych do Usługi.
Podmiot przetwarzający / Procesor — Usługodawca: Krzysztof Gerc Software, ul. Bocianów 20/23, 41-807 Zabrze, NIP: 6482831026 (działalność gospodarcza wpisana do CEIDG), e-mail: kontakt@lingodesk.pl.
Dane powierzone — dane osobowe wprowadzane do Usługi przez Organizację lub jej Użytkowników albo generowane w Usłudze w związku z jej działaniem, opisane w sekcji 4.
Podprocesor — dalszy podmiot przetwarzający, z którego usług korzysta Procesor w celu świadczenia Usługi (sekcja 7).

2. Oświadczenia Organizacji

Organizacja oświadcza, że jest administratorem Danych powierzonych albo jest uprawniona do ich powierzenia na podstawie umowy zawartej z właściwym administratorem.
Organizacja oświadcza, że dysponuje podstawą prawną przetwarzania Danych powierzonych, w tym danych osób małoletnich, oraz że zrealizowała wobec osób, których dane dotyczą, obowiązek informacyjny (art. 13–14 RODO).
Organizacja odpowiada za prawidłowość, aktualność i adekwatność wprowadzanych danych oraz za zakres danych wprowadzanych do pól opisowych (sekcja 4.3).

3. Przedmiot, charakter i cel przetwarzania

Przedmiot — przetwarzanie Danych powierzonych w zakresie niezbędnym do świadczenia Usługi.
Cel — umożliwienie Organizacji prowadzenia działalności edukacyjnej w Usłudze: zarządzanie kursantami, lektorami i kursami, planowanie zajęć, rejestracja frekwencji, rozliczenia i płatności, komunikacja z kursantami i opiekunami, prowadzenie dokumentacji oraz — jeżeli Organizacja aktywuje moduł — nagrywanie zajęć.
Charakter — przetwarzanie w systemach teleinformatycznych, o charakterze ciągłym, przez czas obowiązywania umowy o świadczenie Usługi.
Czas trwania — przez okres obowiązywania umowy o świadczenie Usługi, z zastrzeżeniem sekcji 12 (postępowanie z danymi po zakończeniu).

4. Kategorie osób i zakres powierzonych danych

Poniższy wykaz odpowiada zakresowi danych faktycznie przetwarzanych w Usłudze.

4.1 Kategorie osób, których dane dotyczą

kursanci (uczniowie), w tym osoby małoletnie,
rodzice i opiekunowie prawni kursantów,
lektorzy i inni współpracownicy Organizacji,
kadra administracyjna Organizacji (właściciele, menedżerowie, kadry, metodycy),
kandydaci zgłaszający się przez publiczny formularz zgłoszeniowy,
osoby potwierdzające dokumenty elektronicznie,
osoby wskazane jako płatnicy w zaimportowanych wyciągach bankowych lub transakcjach płatniczych.

4.2 Zakres danych

Dane identyfikacyjne i kontaktowe — imię, nazwisko, adres e-mail, numer telefonu, adres (pole opisowe), identyfikator konta Google w przypadku logowania przez Google, awatar (jeżeli został dodany).
Dane kursanta — numer kursanta, data zapisu, poziom językowy, język nauki, cele nauki, informacja o małoletności, etykiety, dane kontaktowe opiekuna (imię, e-mail, telefon), numer rachunku bankowego (wykorzystywany do dopasowywania wpłat przy imporcie wyciągów), kontakt na wypadek nagły.
Dane lektora — języki i specjalizacje, biogram, stawki wynagrodzenia, typ umowy, deklarowana dostępność, rozliczenia wypłat oraz dokumenty kadrowe przechowywane jako pliki (umowa współpracy, kwestionariusz osobowy, dokument tożsamości).
Dane o przebiegu nauki — zapisy na kursy, terminy i tryb zajęć, frekwencja wraz z notatkami, prace domowe (treść oddana przez kursanta, załączniki, oceny i informacja zwrotna lektora), notatki z zajęć.
Dane finansowe — wpłaty, metody i statusy płatności, waluty i kursy przeliczeniowe, salda i historia operacji na saldzie, raty, rozliczenia okresowe, faktury oraz dane pochodzące z importowanych wyciągów bankowych (nazwa płatnika, numer rachunku, kwota, tytuł przelewu).
Dane ze zgłoszeń — imię i nazwisko, e-mail, telefon, preferencje kursowe, dostępność, uwagi kandydata oraz notatki wewnętrzne Organizacji.
Dokumenty i potwierdzenia — dokumenty kursantów i lektorów oraz — przy elektronicznym potwierdzaniu dokumentów — data potwierdzenia i adres IP osoby potwierdzającej.
Dane techniczne i bezpieczeństwa — historia logowań (data, a dla kont personelu także adres IP i identyfikator przeglądarki), logi czynności administracyjnych (dziennik systemowy), powiadomienia wysyłane w ramach Usługi.
Nagrania zajęć — jeżeli Organizacja aktywowała moduł nagrań: nagrania audio lub wideo obejmujące głos, a w przypadku wideo także wizerunek uczestników zajęć (sekcja 9).

Dane, których Usługa nie zbiera w odrębnych polach: numer PESEL, numer dowodu osobistego lub paszportu, data urodzenia, płeć, obywatelstwo. Usługa nie przewiduje pól przeznaczonych na dane szczególnych kategorii (art. 9 RODO).

4.3 Pola opisowe — odpowiedzialność Organizacji

Usługa udostępnia pola tekstu swobodnego (m.in. notatki wewnętrzne o kursancie, notatki z zajęć, notatki do frekwencji, cele nauki, uwagi w zgłoszeniach, informacja zwrotna do prac domowych). Usługodawca nie analizuje ani nie ogranicza treści wprowadzanych do tych pól. Organizacja zobowiązuje się nie umieszczać w nich danych szczególnych kategorii (m.in. dotyczących zdrowia, przekonań, pochodzenia) — a jeżeli przetwarzanie takich danych jest w jej działalności niezbędne, zapewnia dla nich odrębną podstawę prawną zgodnie z art. 9 RODO. Usługodawca nie ponosi odpowiedzialności za zakres danych wprowadzonych przez Organizację ponad zakres niezbędny do korzystania z Usługi.

5. Zakres operacji na danych

Procesor wykonuje na Danych powierzonych wyłącznie operacje niezbędne do świadczenia Usługi: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie (w tym wysyłkę wiadomości e-mail do osób wskazanych przez Organizację oraz eksport danych do plików CSV i PDF na żądanie Organizacji), ograniczanie, usuwanie lub niszczenie.

6. Obowiązki Procesora

Procesor przetwarza Dane powierzone wyłącznie na udokumentowane polecenie Administratora. Za takie polecenie uważa się niniejszą Umowę powierzenia, Warunki korzystania, korzystanie z funkcji Usługi przez Użytkowników Organizacji oraz polecenia przekazane pocztą elektroniczną. Jeżeli obowiązek przetwarzania wynika z prawa Unii lub prawa krajowego, Procesor informuje o tym Administratora przed przetwarzaniem, chyba że prawo tego zakazuje.
Procesor niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.
Procesor zapewnia, aby osoby upoważnione do przetwarzania Danych powierzonych zobowiązały się do zachowania poufności lub podlegały ustawowemu obowiązkowi zachowania tajemnicy. Dostęp do Danych powierzonych mają wyłącznie osoby, którym jest on niezbędny do świadczenia Usługi lub obsługi zgłoszeń Organizacji.
Procesor wdraża środki techniczne i organizacyjne opisane w sekcji 8 (art. 32 RODO).
Procesor przestrzega warunków korzystania z Podprocesorów określonych w sekcji 7.
Procesor — biorąc pod uwagę charakter przetwarzania i w miarę możliwości — pomaga Administratorowi w realizacji żądań osób, których dane dotyczą (sekcja 10), oraz w wypełnianiu obowiązków wynikających z art. 32–36 RODO.
Procesor udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia weryfikację na zasadach określonych w sekcji 11.

7. Podprocesorzy

Administrator udziela Procesorowi ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających w zakresie niezbędnym do świadczenia Usługi (art. 28 ust. 2 RODO). Procesor zapewnia, że każdy Podprocesor daje wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych oraz że nałożone są na niego — w drodze umowy — te same obowiązki ochrony danych, które wynikają z niniejszej Umowy powierzenia. Za działania Podprocesora Procesor odpowiada wobec Administratora jak za działania własne.

Na dzień ostatniej aktualizacji Procesor korzysta z następujących Podprocesorów:

Supabase — hosting bazy danych oraz przechowywanie plików (dokumenty kursantów i lektorów, materiały dydaktyczne, załączniki prac domowych, logotypy).
Vercel — hosting aplikacji; obsługa ruchu HTTP, w tym adresów IP i nagłówków przeglądarki osób korzystających z Usługi.
Cloudflare — przechowywanie nagrań zajęć w usłudze R2, w zasobniku o jurysdykcji Unii Europejskiej.
Resend — wysyłka wiadomości e-mail (powiadomienia, przypomnienia, potwierdzenia, linki aktywacyjne i linki do potwierdzania dokumentów) wraz z ich treścią i adresami odbiorców.
Google — uwierzytelnianie kont (logowanie przez Google) oraz jednokierunkowy odczyt wydarzeń z kalendarza Użytkownika, jeżeli Użytkownik połączy swoje konto (sekcja 4 Polityki prywatności). Ponadto usługa Google Gemini, wykorzystywana wyłącznie przy imporcie wyciągów bankowych do zaproponowania mapowania kolumn: przekazywane są nagłówki kolumn oraz próbka pierwszych trzech wierszy importowanego pliku, która może zawierać dane osobowe płatnika.
Stripe — obsługa płatności kursantów, jeżeli Organizacja połączy własne konto Stripe; przekazywane są adres e-mail płatnika, kwota oraz identyfikatory rozliczeniowe.
Fakturownia — wystawianie faktur dla kursantów, jeżeli Organizacja połączy własne konto; przekazywane są dane nabywcy (imię i nazwisko, e-mail, adres) oraz dane transakcji.
Microsoft — tworzenie spotkań online, jeżeli Organizacja korzysta z integracji Microsoft Teams; przekazywany jest wyłącznie tytuł spotkania i jego termin, bez listy uczestników.

Narodowy Bank Polski (interfejs kursów walut) nie jest Podprocesorem — Procesor pobiera z niego wyłącznie publiczne kursy walut i nie przekazuje tam żadnych danych osobowych.

Zmiana Podprocesorów. Aktualna lista Podprocesorów jest publikowana w niniejszym dokumencie. O zamierzonym dodaniu lub zastąpieniu Podprocesora Procesor poinformuje Organizację pocztą elektroniczną lub w Usłudze z co najmniej 30-dniowym wyprzedzeniem. Organizacja może w tym terminie wnieść uzasadniony sprzeciw. Jeżeli sprzeciwu nie da się uwzględnić bez istotnego ograniczenia Usługi, Organizacji przysługuje prawo wypowiedzenia umowy o świadczenie Usługi ze skutkiem na koniec opłaconego okresu rozliczeniowego, bez ponoszenia dodatkowych kosztów.

8. Środki techniczne i organizacyjne (art. 32 RODO)

Procesor wdraża środki odpowiadające ryzyku naruszenia praw i wolności osób, których dane dotyczą, w szczególności:

Szyfrowanie transmisji — cała komunikacja z Usługą odbywa się przez HTTPS/TLS.
Ochrona haseł — hasła przechowywane wyłącznie w postaci skrótu kryptograficznego (bcrypt); Procesor nie zna haseł Użytkowników i nie jest w stanie ich odtworzyć.
Szyfrowanie sekretów w spoczynku — klucze i tokeny integracji Organizacji (Stripe, Fakturownia) przechowywane w postaci zaszyfrowanej algorytmem AES-256-GCM; nie są zwracane w odpowiedziach interfejsu ani prezentowane w Usłudze.
Izolacja danych między Organizacjami — architektura wielopodmiotowa, w której każde zapytanie do bazy jest ograniczone do danych jednej Organizacji; identyfikator Organizacji pochodzi z podpisanego tokenu sesji, a nie z parametrów żądania.
Kontrola dostępu oparta na rolach — siedem ról o rozłącznym zakresie uprawnień, z możliwością wyłączania poszczególnych modułów dla konkretnych kont oraz ograniczania lektorom dostępu do danych kontaktowych kursantów (dane są wówczas maskowane po stronie serwera, nie tylko ukrywane w interfejsie).
Ograniczony dostęp do plików — dokumenty i nagrania udostępniane wyłącznie przez czasowe, podpisane adresy URL o krótkim okresie ważności; adresy nie są publiczne i wygasają samoczynnie.
Rejestrowanie czynności — dziennik operacji zmieniających dane (kto, kiedy, jaka operacja, wynik) oraz historia logowań; treść żądań zapisywana w postaci zredagowanej, z automatycznym usuwaniem danych uwierzytelniających.
Ograniczanie liczby żądań — mechanizmy przeciwdziałające automatycznemu odpytywaniu Usługi i atakom na konta (w tym zaostrzony limit prób logowania).
Walidacja i oczyszczanie treści — kontrola danych wejściowych oraz oczyszczanie treści formatowanych po stronie serwera, w celu ograniczenia ryzyka wstrzyknięcia niebezpiecznego kodu.
Ograniczanie retencji — automatyczne usuwanie nagrań po upływie okresu retencji ustawionego przez Organizację oraz automatyczne usuwanie dzienników systemowych po 180 dniach.

9. Nagrania zajęć

Nagrywanie zajęć jest funkcją opcjonalną, aktywowaną na poziomie Organizacji. Nagranie obejmuje głos, a w przypadku wideo także wizerunek uczestników — jest to najbardziej wrażliwa kategoria danych przetwarzanych w Usłudze.

Za zapewnienie podstawy prawnej nagrywania, poinformowanie uczestników oraz uzyskanie wymaganych prawem zgód (w przypadku osób małoletnich — zgód opiekunów) odpowiada wyłącznie Organizacja jako Administrator.
Nagrania są przechowywane w zasobniku o jurysdykcji Unii Europejskiej i udostępniane wyłącznie przez czasowe, podpisane adresy URL.
Dostęp mają wyłącznie: kadra zarządzająca Organizacji, lektor prowadzący dane zajęcia oraz kursant — o ile Organizacja udostępni mu nagranie.
Nagrania są automatycznie i trwale usuwane po upływie okresu retencji ustawionego przez Organizację (3, 6 lub 12 miesięcy; domyślnie 6).

10. Pomoc w realizacji praw osób, których dane dotyczą

Żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie danych, sprzeciw), realizuje Organizacja jako Administrator. Usługa udostępnia w tym celu narzędzia umożliwiające samodzielne wykonanie żądania: podgląd i edycję danych, archiwizację oraz trwałe usuwanie rekordów, a także eksport danych.

Jeżeli osoba, której dane dotyczą, skieruje żądanie bezpośrednio do Procesora, Procesor — o ile nie jest administratorem tych danych — nie odpowiada na nie merytorycznie i niezwłocznie przekazuje je Organizacji. Na udokumentowane polecenie Organizacji Procesor udziela jej pomocy technicznej w wykonaniu żądania w zakresie, w jakim Organizacja nie może wykonać go samodzielnie za pomocą funkcji Usługi.

11. Naruszenia ochrony danych

Procesor, po stwierdzeniu naruszenia ochrony Danych powierzonych, zgłasza je Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia (art. 33 ust. 2 RODO).
Zgłoszenie zawiera — w zakresie posiadanych informacji — opis charakteru naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, których dotyczy, opis możliwych konsekwencji oraz zastosowanych lub proponowanych środków zaradczych.
Obowiązek zgłoszenia naruszenia organowi nadzorczemu oraz zawiadomienia osób, których dane dotyczą, spoczywa na Administratorze. Procesor udziela mu w tym zakresie niezbędnej pomocy.
Procesor niezwłocznie zawiadamia Administratora również o otrzymaniu żądania udostępnienia Danych powierzonych organowi publicznemu, chyba że zawiadomienia zakazuje przepis prawa lub decyzja właściwego organu.

12. Weryfikacja i audyt

Procesor udostępnia Administratorowi — na jego pisemne lub elektroniczne żądanie — informacje niezbędne do wykazania spełnienia obowiązków wynikających z art. 28 RODO.
Administrator ma prawo przeprowadzić audyt, w tym inspekcję, w zakresie obiektywnie niezbędnym do wykazania zgodności przetwarzania z niniejszą Umową powierzenia. Audyt wymaga uprzedniego uzgodnienia terminu i zakresu, z zawiadomieniem z co najmniej 14-dniowym wyprzedzeniem, i odbywa się w dni robocze w godzinach pracy Procesora.
Audyt nie może naruszać tajemnicy przedsiębiorstwa Procesora ani bezpieczeństwa i poufności danych innych Organizacji. Czynności wymagające dostępu do systemów Procesora nie mogą trwać łącznie dłużej niż jeden dzień roboczy w roku kalendarzowym, chyba że obowiązek szerszego audytu wynika z decyzji organu nadzorczego albo z konieczności wyjaśnienia stwierdzonego naruszenia.
Koszty audytu prowadzonego przez Administratora lub działający na jego rzecz podmiot trzeci ponosi Administrator. Procesorowi przysługuje zwrot uzasadnionych kosztów udziału w audycie wykraczającym poza zakres wskazany powyżej.

13. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część Podprocesorów wskazanych w sekcji 7 ma siedzibę poza EOG lub może przetwarzać dane poza EOG. W takich przypadkach przekazanie odbywa się wyłącznie z zastosowaniem mechanizmów przewidzianych w rozdziale V RODO — w szczególności decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU–U.S. Data Privacy Framework) albo standardowych klauzul umownych (SCC) — wraz z dodatkowymi zabezpieczeniami, jeżeli są wymagane. Nagrania zajęć są przechowywane w zasobniku o jurysdykcji Unii Europejskiej.

14. Odpowiedzialność

Procesor odpowiada za szkody spowodowane przetwarzaniem Danych powierzonych niezgodnie z niniejszą Umową powierzenia lub przepisami o ochronie danych, na zasadach określonych w art. 82 RODO oraz — w zakresie dopuszczalnym prawem — z uwzględnieniem ograniczeń odpowiedzialności przewidzianych w sekcji 12 Warunków korzystania.
Administrator odpowiada za szkody poniesione przez Procesora wskutek naruszenia przez Administratora obowiązków wynikających z niniejszej Umowy powierzenia, w szczególności wskutek powierzenia danych bez podstawy prawnej, złożenia nieprawdziwych oświadczeń (sekcja 2) lub wprowadzenia do Usługi danych wykraczających poza zakres niezbędny do korzystania z niej (sekcja 4.3).
Ograniczenia odpowiedzialności nie mają zastosowania do szkód wyrządzonych umyślnie ani do przypadków, w których ograniczenie odpowiedzialności jest niedopuszczalne z mocy prawa.

15. Okres obowiązywania i postępowanie z danymi po zakończeniu

Umowa powierzenia obowiązuje przez okres obowiązywania umowy o świadczenie Usługi i wygasa wraz z nią.
Przed zakończeniem umowy Organizacja może samodzielnie wyeksportować swoje dane za pomocą funkcji Usługi.
Po zakończeniu umowy Procesor — zgodnie z wyborem Organizacji — usuwa Dane powierzone albo zwraca je Organizacji. W braku odmiennej dyspozycji Organizacji dane są usuwane lub anonimizowane w terminie 30 dni od zakończenia umowy.
Procesor może zachować Dane powierzone wyłącznie w zakresie i przez czas wymagany przepisami prawa (w szczególności przepisami podatkowymi i o rachunkowości) albo niezbędny do ustalenia, dochodzenia lub obrony roszczeń — stosując do nich nadal środki ochrony opisane w sekcji 8.

16. Zmiany Umowy powierzenia

Zmiana niniejszej Umowy powierzenia następuje w trybie przewidzianym dla zmiany Warunków korzystania (sekcja 14 Warunków) — z poinformowaniem Organizacji z co najmniej 14-dniowym wyprzedzeniem. Zmiana listy Podprocesorów podlega odrębnemu, 30-dniowemu trybowi opisanemu w sekcji 7.

17. Postanowienia końcowe

W sprawach nieuregulowanych stosuje się Warunki korzystania, Politykę prywatności oraz przepisy RODO i prawa polskiego. W razie rozbieżności pomiędzy niniejszą Umową powierzenia a Warunkami korzystania — w zakresie przetwarzania danych osobowych pierwszeństwo mają postanowienia niniejszej Umowy powierzenia.

Kontakt w sprawach ochrony danych: kontakt@lingodesk.pl.

Zobacz także: Warunki korzystania · Zasady rozliczeń · Polityka prywatności

Umowa powierzenia przetwarzania danych osobowych