Umowa powierzenia przetwarzania danych osobowych

WERSJA TESTOWA z 17.10.2026, jeszcze niesprawdzona przez prawnika. Obowiązuje w okresie testów platformy. Przed uruchomieniem płatności zastąpi ją wersja sprawdzona przez prawnika. Wszystkie wersje są wymienione pod treścią.

Umowa jest zawierana przy zakładaniu obszaru na platformie Korki z matmy (https://korkizmatmy.online) pomiędzy korepetytorem zakładającym obszar (dalej: Administrator) a Luna Design Agencja Interaktywna Sławomir Oruba, Jakubowo Lubińskie 34, 59-170 Przemków, NIP 894-308-59-07, REGON 365522810 (dalej: Podmiot przetwarzający). Umowa wykonuje art. 28 RODO.

1. Przedmiot i czas

1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych, które wprowadza do swojego obszaru na platformie, w zakresie i celu opisanym niżej, na czas korzystania z platformy.
2. Kategorie osób: uczniowie (także niepełnoletni), rodzice i opiekunowie, osoby kontaktowe (np. osoby wysyłające zgłoszenia z formularza „Umów pierwszą rozmowę” na stronie korepetytora).
3. Rodzaje danych: imiona i nazwiska, adresy e-mail, numery telefonów, klasa i szkoła, plan i historia zajęć, notatki z lekcji, tablice i prace domowe, rozliczenia i wpłaty, zdjęcia i pliki dodane do lekcji, dane do faktur, treść zgłoszeń z formularza.
4. Charakter i cel przetwarzania: przechowywanie i udostępnianie danych w narzędziu do prowadzenia korepetycji (panel, strona korepetytora, strefa ucznia i rodzica, lekcje online, rozliczenia, powiadomienia).

2. Obowiązki Podmiotu przetwarzającego

1. Przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem jest korzystanie z funkcji platformy i ustawienia obszaru.
2. Zapewnia, że osoby z dostępem do danych zobowiązały się do zachowania tajemnicy.
3. Stosuje środki bezpieczeństwa z art. 32 RODO: osobne przechowywanie danych każdego obszaru i testy rozdzielenia obszarów, szyfrowane połączenia, hasła i kody tylko w postaci skrótu, codzienne kopie zapasowe szyfrowane przed wysłaniem poza serwer, ograniczony dostęp administracyjny z drugim składnikiem logowania, dzienniki zdarzeń.
4. Pomaga Administratorowi w realizacji praw osób, których dane dotyczą (np. eksport albo usunięcie danych ucznia), oraz w wykonaniu obowiązków z art. 32-36 RODO.
5. Zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego wykrycia.
6. Do danych w obszarze Administratora zagląda tylko na jego prośbę albo gdy jest to niezbędne do usunięcia awarii lub zagrożenia bezpieczeństwa. Każde takie wejście jest zapisywane.
7. Nie przetwarza powierzonych danych we własnych celach, w szczególności nie używa ich do reklam.

3. Dalsze powierzenie (podprzetwarzający)

1. Administrator zgadza się na korzystanie z następujących podprzetwarzających:
   • Contabo GmbH (Niemcy): serwery w Unii Europejskiej (platforma, poczta wychodząca, kopie zapasowe);
   • Cloudflare, Inc. (USA): DNS domeny, przekaźnik połączeń wideo (TURN) i ochrona formularzy przed botami (Turnstile), gdy zostanie włączona; przekazanie na podstawie Ram ochrony danych UE-USA i standardowych klauzul umownych;
   • Google LLC (USA): serwery STUN, które przy zestawianiu połączenia wideo poznają adres IP uczestnika lekcji; podstawa przekazania jak wyżej;
   • dostawca funkcji sztucznej inteligencji: dopiero po ich włączeniu. Obecnie funkcje AI w nowych obszarach są wyłączone, a o dostawcy poinformujemy przed włączeniem.
2. Rejestrator domeny (hostido) nie ma dostępu do danych w obszarach.
3. Usługi, które Administrator sam włącza w ustawieniach obszaru (np. SMS, bank, KSeF), korzystają z dostawców wskazanych przy ich włączeniu.
4. O zamiarze zmiany podprzetwarzających Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może wnieść sprzeciw i usunąć obszar.
5. Podmiot przetwarzający nakłada na podprzetwarzających obowiązki ochrony danych odpowiadające tej umowie.

4. Obowiązki Administratora

1. Administrator odpowiada za podstawę przetwarzania danych uczniów i rodziców (np. umowa o korepetycje, zgoda rodzica) i za poinformowanie ich o przetwarzaniu. Platforma udostępnia na stronie korepetytora wzór informacji o danych z formularza.
2. Platforma jest w okresie testów. Podmiot przetwarzający zaleca, żeby Administrator zaczął od danych przykładowych albo własnych, a dane uczniów i rodziców wprowadzał, gdy sprawdzi, że funkcje, z których korzysta, działają poprawnie.

5. Zakończenie

1. Po zakończeniu korzystania z platformy Podmiot przetwarzający, według wyboru Administratora, zwraca dane (eksport) albo je usuwa w ciągu 30 dni. Kopie zapasowe bazy danych są szyfrowane i przechowywane najwyżej 6 tygodni (14 kopii dziennych i 4 tygodniowe); przy odtwarzaniu kopii obszary usunięte wcześniej nie są przywracane.
2. Podmiot przetwarzający udostępnia informacje potrzebne do wykazania spełnienia obowiązków i umożliwia audyt po uzgodnieniu terminu.
3. W sprawach nieuregulowanych stosuje się RODO i przepisy prawa polskiego.