Ako EduDots spĺňa požiadavky GDPR

EduDots (prevádzkovaná spoločnosťou e-Support s.r.o., so sídlom Černyševského 10, 851 01 Bratislava, IČO: 54143381) pri spracúvaní údajov detí a pedagógov vystupuje ako sprostredkovateľ (processor) v zmysle čl. 28 nariadenia GDPR. Materská škola, ktorá EduDots používa, je prevádzkovateľ (controller) – ona určuje, prečo a ako sa údaje o deťoch spracúvajú, a EduDots jej na to poskytuje technické riešenie. Podrobnosti tohto vzťahu upravuje Zmluva o spracúvaní osobných údajov, ktorá tvorí Prílohu č. 1 Všeobecných obchodných podmienok a uzatvára sa elektronicky pri objednávke služby (na požiadanie aj v podpísanej listinnej podobe) – tento dokument ju dopĺňa, nenahrádza.

1. Aké osobné údaje spracúvame

V mene prevádzkovateľa (školy) spracúvame najmä:

• identifikačné údaje dieťaťa – meno, priezvisko, dátum narodenia/vek, trieda,
• výsledky pedagogickej diagnostiky zadané pedagógom (hodnotenia jednotlivých vývinových oblastí),
• identifikačné a prihlasovacie údaje pedagogických zamestnancov, ktorí systém používajú (meno, e-mail),
• technické a prevádzkové údaje potrebné na zabezpečenie a prevádzku systému (logy, IP adresa).

EduDots nespracúva rodné čísla ani iné citlivé identifikátory nad rámec toho, čo je nevyhnutné pre pedagogickú diagnostiku. Zbierame len údaje, ktoré sú pre daný účel skutočne potrebné (zásada minimalizácie).

2. Prečo a na základe čoho údaje spracúvame

Právny základ spracúvania určuje prevádzkovateľ (materská škola), keďže EduDots je len sprostredkovateľ. Vo väčšine prípadov ide o plnenie úlohy vo verejnom záujme, resp. zákonnú povinnosť prevádzkovateľa pri vedení pedagogickej dokumentácie podľa zákona č. 245/2008 Z. z. o výchove a vzdelávaní (najmä § 11, ktorý upravuje spracúvanie osobných údajov detí v pedagogickej dokumentácii), prípadne o oprávnený záujem alebo súhlas zákonného zástupcu, ak diagnostika presahuje rámec bežnej povinnej dokumentácie. EduDots poskytuje prevádzkovateľovi všetky informácie a súčinnosť potrebnú na to, aby si túto povinnosť vedel splniť.

3. Dve roly EduDots: kedy sme sprostredkovateľ a kedy prevádzkovateľ

Pre úplnú transparentnosť rozlišujeme dve situácie:

• Údaje detí a pedagógov vložené školou do systému: tu je EduDots sprostredkovateľom a spracúva ich výlučne podľa pokynov školy.
• Kontaktné, zmluvné a fakturačné údaje zákazníkov (napr. meno a e-mail riaditeľa, fakturačné údaje školy, komunikácia s podporou): tu je e-Support s.r.o. sám prevádzkovateľom.

4. Kde sú údaje uložené

EduDots je postavený a prevádzkovaný na platforme Macaly (LANGTAIL.COM s.r.o., so sídlom Praha, Česká republika), ktorá poskytuje hosting aplikácie aj databázy. Podľa písomného vyjadrenia Macaly sú publikované projekty hostované v EÚ regióne poskytovateľa Vercel Inc. (Frankfurt, Nemecko) a databáza beží v EÚ regióne poskytovateľa Convex, Inc. (Írsko); obe služby sú chránené sieťou Cloudflare, Inc., ktorá zrýchľuje doručovanie obsahu a chráni pred útokmi. Každý projekt má v Macaly vlastnú izolovanú databázu, takže údaje jednotlivých zákazníkov EduDots sa navzájom nemiešajú. Osobné údaje detí sú teda fyzicky uložené výhradne v dátových centrách na území EÚ.

5. Komu údaje sprístupňujeme (ďalší sprostredkovatelia)

EduDots využíva nasledujúcich ďalších sprostredkovateľov (subdodávateľov). V súlade so zásadou minimalizácie (čl. 25 GDPR) majú k údajom detí technický prístup len tí subdodávatelia, ktorí ho na poskytovanie Služby nevyhnutne potrebujú – ostatní pracujú výlučne s kontaktnými a fakturačnými údajmi školy ako zákazníka (pozri bod 3).

Subdodávateľ s prístupom k údajom detí:

• Macaly (LANGTAIL.COM s.r.o., Praha, Česká republika) – hosting a prevádzka aplikácie a databázy. Macaly pri poskytovaní tejto služby využíva vlastných subdodávateľov obmedzených na EÚ regióny: Vercel Inc. (EÚ región Frankfurt) pre hosting aplikácie a Convex, Inc. (EÚ región Írsko) pre databázu, doplnené sieťou Cloudflare, Inc. pre zrýchlenie doručovania obsahu a ochranu pred útokmi. Aktuálny zoznam všetkých subdodávateľov Macaly je verejne dostupný na macaly.com/dpa. Toto je jediný reťazec subdodávateľov s technickým prístupom k údajom detí.

Subdodávatelia bez prístupu k údajom detí (spracúvajú len údaje školy ako zákazníka):

• Macaly – odosielanie systémových e-mailov (notifikácie, obnova hesla) – spracúva len kontaktné údaje Používateľov (meno, e-mail).

Okrem vyššie uvedených EduDots nevyužíva žiadnych ďalších sprostredkovateľov. Aktuálny zoznam subdodávateľov je kedykoľvek k dispozícii a o plánovanej zmene alebo doplnení subdodávateľa s prístupom k údajom detí budeme zákazníkov vopred informovať, aby mali možnosť vzniesť námietky (čl. 28 ods. 2 GDPR).

EduDots ako sprostredkovateľ nezdieľa uložené údaje so žiadnymi tretími stranami nad rámec tohto zoznamu. Výnimkou sú iba
(a) odoslania dát, ktoré si vyžiadal a inicioval samotný zákazník – prevádzkovateľ (napr. export), a
(b) prípady, keď nám sprístupnenie ukladá zákon alebo rozhodnutie oprávneného orgánu verejnej moci; o takejto žiadosti zákazníka informujeme, pokiaľ nám to zákon nezakazuje.

6. Ako dlho údaje uchovávame

• Diagnostické údaje o deťoch: po dobu trvania zmluvného vzťahu so školou. Po jeho skončení sú vymazané z produkčného systému do 24 hodín; záložné kópie obsahujúce tieto údaje sa prepíšu/vymažú do 7 dní (štandardný cyklus zálohovania infraštruktúry), pokiaľ jeho vlastný registratúrny poriadok nevyžaduje inú lehotu.
• Prístupové a bezpečnostné logy: 6 mesiacov, potom natrvalo odstránené.
• Údaje po zrušení služby: pozri bod 17.

Odporúčame každej škole overiť si, akú lehotu uchovávania pedagogickej dokumentácie predpisuje jej vlastný registratúrny plán, a nastaviť si ju v systéme.

7. Technické a organizačné opatrenia

EduDots implementuje vhodné technické a organizačné opatrenia zodpovedajúce úrovni rizika a zabezpečujúce bezpečnosť komunikácie medzi zákazníkom a systémom EduDots – vrátane riadenia prístupov, oddelenia dát jednotlivých zákazníkov, pravidelných aktualizácií a monitorovania zraniteľností.

8. Šifrovanie

EduDots používa šifrovanie na ochranu prenosu údajov. HTTPS je predvolene aktivovaný pre všetkých používateľov.

9. Zálohovanie

EduDots pravidelne zálohuje dáta a na ukladanie záloh používa rovnako zabezpečené dátové centrá ako pre ostrú prevádzku.

10. Bezpečnostné logy

Z bezpečnostných dôvodov EduDots uchováva logy o aktivite používateľov – napríklad pre prípad, že niekto zneužije heslo iného používateľa. Logy pomáhajú pri analýze bezpečnostných incidentov a po 6 mesiacoch sa natrvalo odstránia.

11. Zamestnanci a mlčanlivosť

Zamestnanci e-Support s.r.o. s prístupom do EduDots podpísali dohodu o mlčanlivosti a ochrane spracúvaných osobných údajov. Prístup k údajom majú len tí zamestnanci, ktorí ho nevyhnutne potrebujú na plnenie svojich pracovných úloh.

12. Prenos údajov do tretích krajín

EduDots neprenáša osobné údaje detí mimo Európskej únie/Európskeho hospodárskeho priestoru – dáta sú fyzicky uložené v dátových centrách v Nemecku a Írsku (bod 4). Niektorí poskytovatelia infraštruktúry, ktorých na tieto EÚ regióny Macaly využíva (Vercel, Convex, Cloudflare), sú spoločnosťami so sídlom v USA. Aj keď k fyzickému prenosu údajov mimo EÚ nedochádza, takéto usporiadanie môže podliehať doplnkovým zárukám podľa kapitoly V GDPR; Macaly vo svojej Zmluve o spracúvaní osobných údajov (dostupnej na macaly.com/dpa) deklaruje použitie uznávaných mechanizmov pre tento prípad (rozhodnutie o primeranosti, štandardné zmluvné doložky alebo EU-US Data Privacy Framework).

13. Automatizované rozhodovanie a profilovanie

EduDots nevykonáva automatizované individuálne rozhodovanie ani profilovanie v zmysle čl. 22 GDPR. Všetky hodnotenia zadáva pedagóg a všetky výstupy (grafy, prehľady) sú len vizualizáciou týchto hodnotení. Systém nehodnotí deti automaticky, nevytvára o nich samostatné závery a interpretácia výsledkov je vždy v rukách pedagóga. Samotná aplikácia navyše nevyužíva žiadne vlastné funkcie umelej inteligencie za bežnej prevádzky (runtime) – nástroje AI boli použité výlučne pri vývoji aplikácie (generovanie kódu), nie pri jej používaní pedagógmi, a bežné používanie Služby preto nezahŕňa spracúvanie údajov detí prostredníctvom AI modelov.

14. Práva dotknutých osôb

Dotknuté osoby (napr. zákonní zástupcovia detí) majú právo na:

• prístup k svojim osobným údajom,
• opravu nesprávnych údajov,
• výmaz údajov („právo na zabudnutie" – pozri bod 15),
• obmedzenie spracúvania,
• prenositeľnosť údajov (pozri bod 16),
• namietanie proti spracúvaniu,
• podanie sťažnosti Úradu na ochranu osobných údajov Slovenskej republiky (dataprotection.gov.sk).

Tieto práva si dotknutá osoba uplatňuje primárne u prevádzkovateľa (školy). EduDots ako sprostredkovateľ poskytuje škole pri vybavovaní týchto žiadostí potrebnú súčinnosť.

15. Právo na zabudnutie

EduDots zaručuje právo na zabudnutie. Na požiadanie prevádzkovateľa budú všetky označené údaje zo systému odstránené.

16. Prenositeľnosť údajov a zmena poskytovateľa

EduDots zaručuje prenositeľnosť údajov. Všetky údaje vložené do systému môže prevádzkovateľ kedykoľvek bezplatne exportovať v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte (napr. CSV), ak ich chce presunúť do inej služby alebo do vlastnej infraštruktúry. Postupujeme pritom v súlade s nariadením EÚ 2023/2854 (Akt o údajoch / Data Act), ktoré upravuje práva zákazníkov pri zmene poskytovateľa cloudových služieb – podrobnosti sú uvedené vo Všeobecných obchodných podmienkach.

17. Čo sa deje po zrušení služby

EduDots má zavedené postupy, ktoré po zrušení služby odstránia údaje zadané zákazníkom, z produkčného systému do 24 hodín od ukončenia zmluvného vzťahu; záložné kópie obsahujúce tieto údaje sa prepíšu/vymažú do 7 dní (štandardný cyklus zálohovania infraštruktúry), pokiaľ sa so zákazníkom nedohodneme inak. Pred výmazom má zákazník možnosť všetky svoje dáta exportovať (pozri bod 16).

18. Súhrnné štatistiky

EduDots zhromažďuje súhrnné (agregované, anonymizované) štatistické údaje o používaní služby. Tieto údaje neumožňujú identifikáciu konkrétneho dieťaťa ani učiteľa a používajú sa výlučne na zlepšovanie kvality služby.

19. Analytika a cookies

Používanie cookies a podobných technológií sa okrem GDPR riadi aj § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách – iné než technicky nevyhnutné cookies ukladáme len s predchádzajúcim súhlasom používateľa (cookie lišta). Podrobnosti upravujú Zásady používania cookies.

20. Bezpečnostné incidenty

Zraniteľnosti softvéru sledujeme pomocou komerčne dostupných nástrojov. V prípade porušenia ochrany osobných údajov budeme bez zbytočného odkladu informovať zákazníka (prevádzkovateľa) v súlade s čl. 33 ods. 2 GDPR a vykonáme potrebné opatrenia na zmiernenie možných negatívnych dôsledkov. Prevádzkovateľ je následne zodpovedný za posúdenie, či je potrebné incident nahlásiť Úradu na ochranu osobných údajov SR (do 72 hodín) a/alebo dotknutým osobám; EduDots mu na to poskytne všetky dostupné informácie.

21. Posúdenie vplyvu (DPIA) a záznamy o spracúvaní

Keďže EduDots spracúva údaje detí (zraniteľných dotknutých osôb), berieme do úvahy, že prevádzkovateľom môže v závislosti od rozsahu a spôsobu použitia vzniknúť povinnosť vykonať posúdenie vplyvu na ochranu údajov (DPIA) podľa čl. 35 GDPR. EduDots poskytne školám podklady o fungovaní systému potrebné pre takéto posúdenie. EduDots zároveň vedie záznamy o spracovateľských činnostiach vykonávaných v mene prevádzkovateľov podľa čl. 30 ods. 2 GDPR.

22. Zmluva o spracúvaní osobných údajov a audity

Podrobnosti vzťahu medzi EduDots (sprostredkovateľ) a školou (prevádzkovateľ) – vrátane predmetu, rozsahu, účelu a doby spracúvania – upravuje Zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR, ktorá tvorí Prílohu č. 1 Všeobecných obchodných podmienok a uzatvára sa elektronicky spolu s objednávkou služby; na požiadanie ju vyhotovíme aj v podpísanej listinnej podobe (napr. pre potreby zriaďovateľa alebo Centrálneho registra zmlúv). Prevádzkovateľ má v súlade s čl. 28 ods. 3 písm. h) GDPR právo na informácie potrebné na preukázanie splnenia povinností a právo na vykonanie auditu; EduDots mu k tomu poskytne potrebnú súčinnosť.

23. Kontakt

V prípade akýchkoľvek otázok týkajúcich sa ochrany osobných údajov nás môžete kontaktovať na gdpr@edudots.sk.

24. Osobitná poznámka k údajom o deťoch

Sme si vedomí, že údaje spracúvané v EduDots sa týkajú detí, a preto im venujeme zvýšenú pozornosť. Uplatňujeme zásadu minimalizácie (zbierame len údaje nevyhnutné pre pedagogickú diagnostiku), obmedzujeme prístup k údajom len na oprávnených pedagógov konkrétnej školy a priebežne vyhodnocujeme, či niektorý zo spracúvaných údajov nie je možné z evidencie odstrániť alebo agregovať.