Umowa zawierana jest elektronicznie przy zakładaniu akademii pomiędzy:
Administratorem danych - Klientem, który zakłada akademię szkoleniową w ramach Platformy, wskazanym w formularzu rejestracji (dalej: Administrator),
a Podmiotem przetwarzającym: (dalej: Procesor) - operatorem Platformy.
1. Przedmiot i czas trwania przetwarzania
Procesor przetwarza dane osobowe w imieniu Administratora wyłącznie w celu świadczenia usługi platformy szkoleniowej online (hosting akademii, konta uczestników, obsługa postępu nauki, certyfikatów i komunikacji). Umowa obowiązuje przez czas świadczenia usługi głównej; jej rozwiązanie następuje wraz z zakończeniem usługi.
2. Charakter i cel przetwarzania
Przetwarzanie ma charakter ciągły i odbywa się w systemie informatycznym. Cel: umożliwienie Administratorowi prowadzenia szkoleń online dla jego uczestników, w tym rejestracji kont, realizacji dostępów, śledzenia postępu, wystawiania certyfikatów oraz komunikacji związanej ze szkoleniami.
3. Rodzaj danych i kategorie osób
Dane zwykłe uczestników szkoleń i personelu Administratora: imię i nazwisko, adres e-mail, dane logowania (hasła w postaci skrótu kryptograficznego), adres IP i dane techniczne logowań, postęp nauki, wyniki quizów, certyfikaty, treść komentarzy i notatek oraz odpowiedzi na dodatkowe pola formularza rejestracji zdefiniowane przez Administratora. Platforma nie jest przeznaczona do przetwarzania szczególnych kategorii danych (art. 9 RODO) i Administrator zobowiązuje się ich nie wprowadzać.
4. Obowiązki Procesora
Procesor: (a) przetwarza dane wyłącznie na udokumentowane polecenie Administratora, którym jest konfiguracja i korzystanie z Platformy; (b) zapewnia, by osoby upoważnione zobowiązały się do zachowania tajemnicy; (c) wdraża środki techniczne i organizacyjne opisane w pkt 7; (d) przestrzega warunków podpowierzenia z pkt 6; (e) w miarę możliwości pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (Platforma udostępnia wbudowany eksport danych i mechanizmy usuwania); (f) pomaga Administratorowi w obowiązkach z art. 32-36 RODO; (g) po zakończeniu usługi usuwa dane z systemów produkcyjnych, a kopie zapasowe ulegają nadpisaniu w cyklu rotacji do 30 dni; (h) udostępnia informacje niezbędne do wykazania zgodności oraz umożliwia audyty, o których mowa w pkt 8.
5. Obowiązki Administratora
Administrator zapewnia podstawę prawną przetwarzania danych swoich uczestników, realizuje wobec nich obowiązek informacyjny oraz odpowiada za treści i zakres danych wprowadzanych do Platformy, w tym za konfigurację dodatkowych pól rejestracji.
6. Podpowierzenie
Administrator wyraża ogólną zgodę na korzystanie przez Procesora z dalszych podmiotów przetwarzających w zakresie infrastruktury: dostawcy hostingu i poczty elektronicznej oraz dostawcy sieci dostarczania treści wideo (BunnyWay d.o.o., Słowenia) - wszyscy z siedzibą w Europejskim Obszarze Gospodarczym. Procesor poinformuje Administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia podprocesorów, dając możliwość wyrażenia sprzeciwu.
7. Środki bezpieczeństwa
Procesor stosuje w szczególności: izolację danych każdej akademii w odrębnej bazie danych; szyfrowanie danych dostępowych do baz; hasła użytkowników wyłącznie w postaci skrótów (bcrypt); dwuskładnikowe uwierzytelnianie kont administracyjnych; ograniczanie prób logowania; rejestrowanie zdarzeń administracyjnych; codzienne kopie zapasowe z rotacją; dostęp do plików szkoleniowych wyłącznie po autoryzacji.
8. Audyt
Administrator ma prawo do audytu zgodności przetwarzania z niniejszą umową, po uprzednim uzgodnieniu terminu z wyprzedzeniem co najmniej 14 dni, w sposób nieuciążliwy dla działania Platformy i nie częściej niż raz w roku, chyba że audyt jest wymagany przez organ nadzorczy.
9. Naruszenia ochrony danych
Procesor zawiadamia Administratora o stwierdzonym naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia, przekazując informacje umożliwiające Administratorowi wykonanie obowiązków z art. 33-34 RODO.
10. Postanowienia końcowe
W sprawach nieuregulowanych stosuje się przepisy RODO i prawa polskiego. Umowa zostaje zaakceptowana elektronicznie w procesie zakładania akademii; potwierdzenie akceptacji wraz z datą jest przechowywane w systemie Platformy.
Egzemplarz z danymi Administratora i datą akceptacji można pobrać w każdej chwili z pulpitu panelu akademii.