Umowa powierzenia przetwarzania danych osobowych
WERSJA TESTOWA z 17.10.2026, jeszcze niesprawdzona przez prawnika. Obowiązuje w okresie testów platformy. Przed uruchomieniem płatności zastąpi ją wersja sprawdzona przez prawnika. Wszystkie wersje są wymienione pod treścią.
Umowa jest zawierana przy zakładaniu obszaru na platformie Korki z matmy (https://korkizmatmy.online) pomiędzy korepetytorem zakładającym obszar (dalej: Administrator) a Luna Design Agencja Interaktywna Sławomir Oruba, Jakubowo Lubińskie 34, 59-170 Przemków, NIP 894-308-59-07, REGON 365522810 (dalej: Podmiot przetwarzający). Umowa wykonuje art. 28 RODO.
1. Przedmiot i czas
- Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych, które wprowadza do swojego obszaru na platformie, w zakresie i celu opisanym niżej, na czas korzystania z platformy.
- Kategorie osób: uczniowie (także niepełnoletni), rodzice i opiekunowie, osoby kontaktowe (np. osoby wysyłające zgłoszenia z formularza „Umów pierwszą rozmowę” na stronie korepetytora).
- Rodzaje danych: imiona i nazwiska, adresy e-mail, numery telefonów, klasa i szkoła, plan i historia zajęć, notatki z lekcji, tablice i prace domowe, rozliczenia i wpłaty, zdjęcia i pliki dodane do lekcji, dane do faktur, treść zgłoszeń z formularza.
- Charakter i cel przetwarzania: przechowywanie i udostępnianie danych w narzędziu do prowadzenia korepetycji (panel, strona korepetytora, strefa ucznia i rodzica, lekcje online, rozliczenia, powiadomienia).
2. Obowiązki Podmiotu przetwarzającego
- Przetwarza dane wyłącznie na udokumentowane polecenie Administratora; poleceniem jest korzystanie z funkcji platformy i ustawienia obszaru.
- Zapewnia, że osoby z dostępem do danych zobowiązały się do zachowania tajemnicy.
- Stosuje środki bezpieczeństwa z art. 32 RODO: osobne przechowywanie danych każdego obszaru i testy rozdzielenia obszarów, szyfrowane połączenia, hasła i kody tylko w postaci skrótu, codzienne kopie zapasowe szyfrowane przed wysłaniem poza serwer, ograniczony dostęp administracyjny z drugim składnikiem logowania, dzienniki zdarzeń.
- Pomaga Administratorowi w realizacji praw osób, których dane dotyczą (np. eksport albo usunięcie danych ucznia), oraz w wykonaniu obowiązków z art. 32-36 RODO.
- Zgłasza Administratorowi naruszenie ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego wykrycia.
- Do danych w obszarze Administratora zagląda tylko na jego prośbę albo gdy jest to niezbędne do usunięcia awarii lub zagrożenia bezpieczeństwa. Każde takie wejście jest zapisywane.
- Nie przetwarza powierzonych danych we własnych celach, w szczególności nie używa ich do reklam.
3. Dalsze powierzenie (podprzetwarzający)
- Administrator zgadza się na korzystanie z następujących podprzetwarzających:
- Contabo GmbH (Niemcy): serwery w Unii Europejskiej (platforma, poczta wychodząca, kopie zapasowe);
- Cloudflare, Inc. (USA): DNS domeny, przekaźnik połączeń wideo (TURN) i ochrona formularzy przed botami (Turnstile), gdy zostanie włączona; przekazanie na podstawie Ram ochrony danych UE-USA i standardowych klauzul umownych;
- Google LLC (USA): serwery STUN, które przy zestawianiu połączenia wideo poznają adres IP uczestnika lekcji; podstawa przekazania jak wyżej;
- dostawca funkcji sztucznej inteligencji: dopiero po ich włączeniu. Obecnie funkcje AI w nowych obszarach są wyłączone, a o dostawcy poinformujemy przed włączeniem.
- Rejestrator domeny (hostido) nie ma dostępu do danych w obszarach.
- Usługi, które Administrator sam włącza w ustawieniach obszaru (np. SMS, bank, KSeF), korzystają z dostawców wskazanych przy ich włączeniu.
- O zamiarze zmiany podprzetwarzających Podmiot przetwarzający informuje Administratora e-mailem co najmniej 14 dni wcześniej. Administrator może wnieść sprzeciw i usunąć obszar.
- Podmiot przetwarzający nakłada na podprzetwarzających obowiązki ochrony danych odpowiadające tej umowie.
4. Obowiązki Administratora
- Administrator odpowiada za podstawę przetwarzania danych uczniów i rodziców (np. umowa o korepetycje, zgoda rodzica) i za poinformowanie ich o przetwarzaniu. Platforma udostępnia na stronie korepetytora wzór informacji o danych z formularza.
- Platforma jest w okresie testów. Podmiot przetwarzający zaleca, żeby Administrator zaczął od danych przykładowych albo własnych, a dane uczniów i rodziców wprowadzał, gdy sprawdzi, że funkcje, z których korzysta, działają poprawnie.
5. Zakończenie
- Po zakończeniu korzystania z platformy Podmiot przetwarzający, według wyboru Administratora, zwraca dane (eksport) albo je usuwa w ciągu 30 dni. Kopie zapasowe bazy danych są szyfrowane i przechowywane najwyżej 6 tygodni (14 kopii dziennych i 4 tygodniowe); przy odtwarzaniu kopii obszary usunięte wcześniej nie są przywracane.
- Podmiot przetwarzający udostępnia informacje potrzebne do wykazania spełnienia obowiązków i umożliwia audyt po uzgodnieniu terminu.
- W sprawach nieuregulowanych stosuje się RODO i przepisy prawa polskiego.