Zpracovatelská smlouva

Předmětem této Smlouvy je úprava podmínek, za nichž Zpracovatel zpracovává osobní údaje jménem Správce při poskytování služby Kurikula, zejména při nahrání, analýze, revizi, schvalování a exportu školních vzdělávacích programů (ŠVP) podle aktuálních Rámcových vzdělávacích programů (RVP).

Zpracování probíhá po dobu licence a po jejím konci po dobu uchování. Po konci licence Zpracovatel uchová dokumenty a účet Správce 3 roky, aby je Správce mohl číst, stáhnout a po obnovení licence dál používat. Uchování je pokynem Správce podle této Smlouvy a Správce ho může kdykoli zkrátit. Před koncem lhůty Zpracovatel Správce upozorní e-mailem 60 a 14 dní předem. Poté dokumenty smaže a do 30 dnů i účet a organizaci, pokud právní předpis nevyžaduje jejich uložení. Kopie v provozních zálohách se smažou v běžném cyklu záloh. Účetní doklady Zpracovatel uchovává 10 let kvůli účetním a daňovým předpisům.

Na žádost Správce Zpracovatel osobní údaje kdykoli smaže, nebo je Správci předá jako balík ZIP (Odnést si vše) a poté smaže. Žádost posílá ředitel nebo správce školy na adresu Zpracovatele. Zpracovatel ji vyřídí do 30 dnů od jejího ověření.

Zpracovatel zpracovává osobní údaje výhradně za účelem poskytování služby Správci. Zpracování zahrnuje zejména:

• Nahrání, uložení, čtení a strukturování dokumentů ŠVP.
• Porovnání obsahu dokumentu s RVP podklady, modelovými dokumenty a metodickými daty.
• Analýzu obsahu pomocí modelů Google Gemini a dalších aplikačních pravidel za účelem návrhů změn a gap analýzy.
• Generování, zobrazení, úpravu, schvalování nebo odmítání návrhů změn v editoru.
• Export schválených změn do DOCX a uchování historie rozhodnutí.
• Správu uživatelských účtů, rolí, pozvánek, auditních záznamů a technické podpory.
• Vedení deníku školy, do kterého se zapisuje, kdo a kdy ve škole provedl klíčovou akci, včetně přístupů podpory a hostů. V některých záznamech jsou i názvy (například nástroje AI) a jméno toho, kdo nástroj ověřil.
• Zaslání odkazu pro hosta (inspekce, rada školy) a jednorázového kódu na e-mailovou adresu, kterou Správce zadal.
• Vedení písemných rozhovorů se zaměstnanci školy pomocí modelu AI (Kultura školy): zaslání osobního odkazu na e-mail zaměstnance, uložení odpovědí, příprava bodů, které zaměstnanec sám potvrdí, a souhrnů pro přípravu ŠVP.
• Dočasné ukládání výsledků a mezipaměti pro dokončení zpracování, zrychlení služby a snížení opakovaných výpočtů.

Zpracovatel nezpracovává osobní údaje pro trénink modelů umělé inteligence, prodej dat ani marketing třetích stran.

Pro účely zpracování osobních údajů v rámci služby platí:

• Správce (škola) určuje účely a prostředky zpracování osobních údajů obsažených v dokumentech ŠVP a v údajích svých pracovníků.
• Zpracovatel (Kurikula) zpracovává osobní údaje pouze na základě doložených pokynů Správce, této Smlouvy, obchodních podmínek a právních předpisů.

Zpracování se může týkat těchto kategorií osob:

• Pedagogičtí pracovníci školy, asistenti pedagoga, vedení školy a další pracovníci uvedení v dokumentech ŠVP.
• Uživatelé aplikace pověření Správcem, včetně administrátorů, koordinátorů, učitelů a pozvaných členů týmu.
• Kontaktní osoby Správce pro licenci, fakturaci, podporu a pilotní testování.
• Zaměstnanci školy pozvaní do rozhovorů Kultury školy.
• Ve výjimečných případech jiné osoby uvedené v nahraném dokumentu, pokud je Správce v dokumentu ponechá.

Služba není určena pro zpracování detailních osobních údajů žáků ani zvláštních kategorií osobních údajů dle čl. 9 GDPR. Správce má před nahráním dokumentu odstranit údaje, které pro revizi ŠVP nejsou nezbytné.

V rozhovorech Kultury školy mohou zaměstnanci do odpovědí napsat jména žáků nebo zdravotní údaje. Zpracovatel se je z odpovědí snaží vynechat, ale nemusí se to povést vždy. Zaměstnanec proto každou odpověď označenou ke kontrole a každý bod před odesláním vidí a může je opravit nebo smazat.

• Jméno, příjmení, pracovní zařazení, funkce a předměty.
• E-mail, telefon a další kontaktní údaje uživatelů nebo školy.
• Obsah ŠVP dokumentů, komentáře, návrhy změn, rozhodnutí, poznámky a exporty.
• Údaje o škole, organizaci, licenci, objednávce, IČO a fakturačních podkladech.
• Technické údaje jako IP adresa, auditní logy, identifikátory relace, stav zpracování, chybové záznamy a diagnostika.
• E-mailová adresa hosta, kterou Správce zadal pro odkaz inspekce nebo rady školy.
• Odpovědi zaměstnanců v rozhovorech Kultury školy, body vzniklé z odpovědí (včetně role a stupně zaměstnance), souhrny, rozhodnutí školy o rozporech a stav účasti zaměstnance.

Správce uděluje Zpracovateli obecné povolení zapojit níže uvedené podzpracovatele. Zpracovatel informuje Správce o podstatných změnách v okruhu podzpracovatelů s předstihem alespoň 14 dnů, aby měl Správce možnost vznést odůvodněnou námitku.

• Google LLC (Google Cloud, Gemini) pro analýzu dokumentů, návrhy změn a volitelné přihlášení účtem Google. AI: Google Cloud (Vertex AI) a Gemini API. Místo zpracování neurčujeme.
• Inngest pro řízení úloh na pozadí, například zpracování nahraného dokumentu.
• Upstash pro Redis mezipaměť a dočasné provozní údaje.
• Seznam.cz, a.s. (e-mail přes SMTP) pro systémové e-maily, ověření účtu, pozvánky, oznámení a vyřízení žádostí.
• Sentry pro sledování chyb a stability aplikace.
• Crisp pro chat podpory, když ho uživatel otevře.
• Plausible Analytics pro měření návštěvnosti webu bez cookies.
• Cohere pro řazení výsledků při porovnání textu ŠVP s RVP. Do služby se posílají úseky textu nahraného dokumentu školy (včetně jmen, pokud jsou v textu) a veřejné znění RVP. Údaje z účtů uživatelů se neposílají. Místo zpracování neurčujeme.
• PECKA z.ú., IČO 19806850 (myúčto, ucto.pecka.ai) pro vystavení a odeslání faktur a evidenci plateb. Dostává fakturační údaje školy (název, IČO, DIČ, adresu), fakturační e-mail a adresy, na které fakturu posíláme.
• apitalks pro dohledání typu školy podle IČO v rejstříku škol.

Pokud dochází k předání osobních údajů mimo EHP, Zpracovatel používá odpovídající záruky dle GDPR, zejména smlouvy o zpracování osobních údajů, standardní smluvní doložky nebo jiné platné mechanismy.

Zpracovatel udržuje opatření odpovídající riziku zpracování dle čl. 32 GDPR, zejména:

• Šifrovaný přenos dat přes TLS.
• Šifrování dat v klidu na úrovni poskytovatelů infrastruktury.
• Řízení přístupu podle rolí a principu nejnižších oprávnění.
• Logickou izolaci dat jednotlivých škol podle organizace.
• Auditní záznamy klíčových operací a přístupů.
• Přístup podpory k dokumentu školy jen po povolení Správce, s uvedením důvodu, na omezenou dobu a se záznamem v deníku školy.
• U Kultury školy čte celý přepis rozhovoru kromě zaměstnance jen koordinace nebo ředitel školy, a to jen s povolením zaměstnance. Každé čtení se zapíše do auditního záznamu Zpracovatele bez textu. Odpověď na otázku, co by vedení mělo slyšet, nečte nikdo jiný než zaměstnanec. Společný zápis komise čte jen její vedoucí.
• Rozložení podle role a stupně a citace se v souhrnech Kultury školy ukazují jen u skupin od 3 lidí a citace jen tehdy, když ji zaměstnanec povolil.
• E-maily a telefony se z odpovědí v rozhovoru nahrazují zástupkou před uložením a před odesláním modelu.
• Ověřování e-mailu a ochranu přihlášení.
• Minimalizaci dat v požadavcích na externí služby.
• V textu dokumentů odesílaném modelu se zástupkou nahrazují jen e-maily a telefony; jména osob uvedená v dokumentu se nenahrazují.
• Zálohování, monitoring, detekci chyb a řízení incidentů.
• Vázání oprávněných osob mlčenlivostí a omezení přístupu k produkčním datům.

Zpracovatel se zavazuje, že:

• Bude osobní údaje zpracovávat pouze na základě pokynů Správce.
• Zajistí, aby osoby oprávněné zpracovávat osobní údaje byly vázány povinností mlčenlivosti.
• Přijme opatření požadovaná dle čl. 32 GDPR.
• Bude dodržovat podmínky pro zapojení dalších podzpracovatelů dle čl. 28 odst. 2 a 4 GDPR.
• Pomůže Správci přiměřenými technickými a organizačními opatřeními při vyřizování práv subjektů údajů.
• Umožní Správci stáhnout všechny jeho dokumenty a deník školy jako balík ZIP (Odnést si vše).
• Umožní každému zaměstnanci, který se zúčastnil rozhovoru Kultury školy, svůj rozhovor kdykoli sám smazat, i po odeslání; po uzavření sběru přes účet nebo přes platný osobní odkaz, dokud se přepis sám nesmaže. Pokud odkaz nefunguje, může o smazání požádat Zpracovatele. Smazání odstraní přepis a body; body, na kterých stojí potvrzený bod profilu školy, zůstanou bez textu, citace a vazby na zaměstnance.
• Přepisy rozhovorů Kultury školy smaže 90 dní po uzavření sběru. Zůstanou odeslané body, rozpory a rozhodnutí o nich, body profilu školy a jméno, e-mail a stav účasti zaměstnance. Do té doby je u odeslaných bodů uložená i citace z odpovědi, koordinace ji ale vidí jen u bodů, kde ji zaměstnanec povolil; při smazání přepisů se citace u bodů bez povolení vymaže. Přepis může zůstat v zálohách databáze do jejich běžné obměny; zálohy slouží jen k obnově služby.
• Pomůže Správci při plnění povinností dle čl. 32 až 36 GDPR, včetně bezpečnosti, incidentů a posouzení vlivu, pokud je to vzhledem k povaze zpracování možné.
• Po konci licence uchová dokumenty a účet Správce 3 roky a poté je smaže, pokud právní předpis nevyžaduje jejich uložení. Dříve je smaže nebo předá, když o to Správce požádá. Kopie v provozních zálohách se smažou v běžném cyklu záloh.
• Poskytne informace potřebné k doložení splnění povinností dle čl. 28 GDPR a umožní přiměřené audity nebo inspekce.
• Neprodleně informuje Správce, pokud se domnívá, že pokyn Správce porušuje GDPR nebo jiné předpisy o ochraně osobních údajů.

V případě porušení zabezpečení osobních údajů Zpracovatel informuje Správce bez zbytečného odkladu, nejpozději do 48 hodin od zjištění incidentu, na kontaktní e-mail uvedený v účtu Správce. Oznámení bude obsahovat dostupné informace o povaze incidentu, kategoriích údajů a subjektů, pravděpodobných důsledcích a přijatých nebo navrhovaných opatřeních.

Zpracovatel neurčil pověřence pro ochranu osobních údajů (DPO), neboť mu tato povinnost nevzniká dle čl. 37 GDPR. Dotazy k ochraně osobních údajů a plnění této Smlouvy zasílejte na:

Webforte Technologies s.r.o.
IČO: 23364343
Korunní 2569/108, Vinohrady, 101 00 Praha 10
E-mail: [email protected]

Tato Smlouva se řídí právním řádem České republiky a přímo použitelným právem EU, zejména GDPR. V případě rozporu mezi touto Smlouvou a obchodními podmínkami Kurikula má v otázkách ochrany osobních údajů přednost tato Smlouva.

Zpracovatel může tuto Smlouvu aktualizovat v návaznosti na změny služby, právních předpisů nebo podzpracovatelů. O podstatných změnách bude Správce informován e-mailem nebo oznámením v aplikaci.