EduDots a ochrana osobných údajov detí – informácia pre školy

Naposledy aktualizované: DOPLNIŤ

Tento dokument vysvetľuje, ako EduDots spracúva osobné údaje detí a pedagógov v mene školy. Nie je zásadami ochrany osobných údajov spoločnosti e-Support s.r.o.; tie sú dostupné samostatne na edudots.eu/ochrana-osobnych-udajov a týkajú sa spracúvania údajov zákazníkov, ktoré e-Support vykonáva vo vlastnom mene.

EduDots (prevádzkovaná spoločnosťou e-Support s.r.o., so sídlom Černyševského 10, 851 01 Bratislava, IČO: 54143381) pri spracúvaní údajov detí a pedagógov vystupuje ako sprostredkovateľ (processor) v zmysle čl. 28 nariadenia GDPR. Materská škola, ktorá EduDots používa, je prevádzkovateľ (controller) – ona určuje, prečo a ako sa údaje o deťoch spracúvajú, a EduDots jej na to poskytuje technické riešenie. Podrobnosti tohto vzťahu upravuje Zmluva o spracúvaní osobných údajov, ktorá tvorí Prílohu č. 1 Všeobecných obchodných podmienok a uzatvára sa elektronicky pri registrácii alebo objednávke služby (na požiadanie aj v podpísanej listinnej podobe) – tento dokument ju dopĺňa, nenahrádza.

1. Aké osobné údaje spracúvame

V mene prevádzkovateľa (školy) spracúvame najmä:

• identifikačné údaje dieťaťa – meno, priezvisko, dátum narodenia/vek, trieda,

• výsledky pedagogickej diagnostiky zadané pedagógom (hodnotenia jednotlivých vývinových oblastí),

• identifikačné a prihlasovacie údaje pedagogických zamestnancov, ktorí systém používajú (meno, e-mail),

• technické a prevádzkové údaje potrebné na zabezpečenie a prevádzku systému (logy, IP adresa).

EduDots nespracúva rodné čísla. Hodnotenia a poznámky, ktoré do systému zadáva pedagóg, však môžu obsahovať údaje o zdraví dieťaťa v zmysle čl. 9 GDPR – napríklad informácie o oneskorenom vývine, o špeciálnych výchovno-vzdelávacích potrebách alebo o uplatnených podporných opatreniach. Škola ako prevádzkovateľ zodpovedá za to, že má pre takéto spracúvanie výnimku podľa čl. 9 ods. 2 GDPR a § 16 zákona č. 18/2018 Z. z. Na tieto údaje uplatňujeme zvýšené opatrenia uvedené v bode 7. Zbierame len údaje, ktoré sú pre daný účel skutočne potrebné (zásada minimalizácie).

2. Prečo a na základe čoho údaje spracúvame

Právny základ spracúvania určuje prevádzkovateľ (materská škola), keďže EduDots je len sprostredkovateľ. Vo väčšine prípadov ide o plnenie úlohy vo verejnom záujme, resp. zákonnú povinnosť prevádzkovateľa pri vedení pedagogickej dokumentácie podľa zákona č. 245/2008 Z. z. o výchove a vzdelávaní (najmä § 11, ktorý upravuje spracúvanie osobných údajov detí v pedagogickej dokumentácii). Škola by si mala overiť, či rozsah údajov, ktoré do EduDots zadáva, zodpovedá rámcu § 11. Ak ho presahuje, potrebuje iný právny základ. Upozorňujeme na dve veci: súhlas zákonného zástupcu je pri škole ako orgáne verejnej moci spravidla nevhodným právnym základom, pretože rodič sa vzhľadom na nerovnováhu postavenia nemôže slobodne rozhodnúť (recitál 43 GDPR); a oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR sa na spracúvanie vykonávané orgánom verejnej moci pri plnení jeho úloh neuplatňuje. EduDots poskytuje prevádzkovateľovi všetky informácie a súčinnosť potrebnú na to, aby si túto povinnosť vedel splniť.

3. Dve roly EduDots: kedy sme sprostredkovateľ a kedy prevádzkovateľ

Pre úplnú transparentnosť rozlišujeme dve situácie:

• Údaje detí a pedagógov vložené školou do systému: tu je EduDots sprostredkovateľom a spracúva ich výlučne podľa pokynov školy.

• Kontaktné, zmluvné a fakturačné údaje zákazníkov (napr. meno a e-mail riaditeľa, fakturačné údaje školy, komunikácia s podporou): tu je e-Support s.r.o. sám prevádzkovateľom.

4. Kde sú údaje uložené

EduDots je postavený a prevádzkovaný na platforme Macaly (LANGTAIL.COM s.r.o., so sídlom Praha, Česká republika), ktorá poskytuje hosting aplikácie aj databázy. Aplikácia beží v EÚ regióne poskytovateľa Vercel Inc. (Frankfurt, Nemecko) a databáza v EÚ regióne poskytovateľa Convex, Inc. (Írsko); obe sú chránené sieťou Cloudflare, Inc.

Údaje jednotlivých škôl sú v rámci aplikácie logicky oddelené; každá škola vidí výlučne údaje svojich detí a pedagógov. Produkčná databáza s osobnými údajmi detí je uložená výhradne v dátových centrách na území EÚ.

5. Komu údaje sprístupňujeme (ďalší sprostredkovatelia)

EduDots využíva nasledujúcich ďalších sprostredkovateľov (subdodávateľov). V súlade so zásadou minimalizácie (čl. 25 GDPR) majú k údajom detí technický prístup len tí subdodávatelia, ktorí ho na poskytovanie Služby nevyhnutne potrebujú – ostatní pracujú výlučne s kontaktnými a fakturačnými údajmi školy ako zákazníka (pozri bod 3).

Subdodávatelia s prístupom k údajom detí a pedagógov:

• Macaly (LANGTAIL.COM s.r.o., Praha, Česká republika) – hosting a prevádzka aplikácie a databázy. Macaly pri poskytovaní tejto služby využíva vlastných subdodávateľov: Vercel Inc. (EÚ región Frankfurt) pre hosting aplikácie a Convex, Inc. (EÚ región Írsko) pre databázu, doplnené sieťou Cloudflare, Inc. pre zrýchlenie doručovania obsahu a ochranu pred útokmi (sieťová prevádzka môže byť spracúvaná aj mimo EÚ). Aktuálny zoznam všetkých subdodávateľov Macaly je verejne dostupný na macaly.com/dpa.

• Astrodon Corporation (Resend), USA – subdodávateľ Macaly – odosielanie systémových e-mailov (overovacie a prihlasovacie kódy, obnova hesla, potvrdenie zrušenia účtu, upozornenia týkajúce sa predplatného a zmluvy). Tento dodávateľ spracúva e-mailovú adresu používateľského účtu, ktorá je osobným údajom spracúvaným v mene školy; ide preto o ďalšieho sprostredkovateľa v zmysle čl. 28 GDPR. Miesto spracúvania: USA; mechanizmus pri prenose mimo EÚ: DOPLNIŤ.

Aktuálny a úplný zoznam subdodávateľov vrátane mechanizmov pri prenose mimo EÚ je vždy dostupný v Prílohe č. 3 Zmluvy o spracúvaní osobných údajov, ktorú zverejňujeme aj na stránke edudots.eu/subdodavatelia. O plánovanej zmene subdodávateľa s prístupom k údajom informujeme školy spravidla najmenej 30 dní vopred, aby mali možnosť vzniesť námietky (čl. 28 ods. 2 GDPR); podrobnosti upravuje čl. VIII Zmluvy o spracúvaní osobných údajov.

EduDots ako sprostredkovateľ nezdieľa uložené údaje so žiadnymi tretími stranami nad rámec tohto zoznamu. Výnimkou sú iba (a) odoslania dát, ktoré si vyžiadal a inicioval samotný zákazník – prevádzkovateľ (napr. export), a (b) prípady, keď nám sprístupnenie ukladá zákon alebo rozhodnutie oprávneného orgánu verejnej moci; o takejto žiadosti zákazníka informujeme, pokiaľ nám to zákon nezakazuje.

6. Ako dlho údaje uchovávame

• Diagnostické údaje o deťoch: po dobu trvania zmluvného vzťahu so školou. Po jeho skončení nasleduje prechodné obdobie na migráciu a lehota na získanie údajov podľa Všeobecných obchodných podmienok; až po ich uplynutí sú údaje vymazané z produkčného systému do 5 pracovných dní a zo záložných kópií najneskôr do DOPLNIŤ dní. Pred vykonaním výmazu školu vyzveme, aby potvrdila, že si údaje exportovala a splnila svoje povinnosti podľa zákona č. 395/2002 Z. z. o archívoch a registratúrach. Ak škola zruší účet v nastaveniach aplikácie, údaje na jej pokyn vymažeme bez zbytočného odkladu (bod 13.7 VOP); aj v tomto prípade si najprv vyžiadame potvrdenie o exporte.

• Prístupové a bezpečnostné logy: 6 mesiacov, potom natrvalo odstránené. Táto lehota platí aj po skončení zmluvy; logy nie sú súčasťou výmazu podľa predchádzajúceho odseku.

Odporúčame každej škole overiť si, akú lehotu uchovávania pedagogickej dokumentácie predpisuje jej vlastný registratúrny plán, a exportovať si údaje pred skončením zmluvy.

7. Technické a organizačné opatrenia

Úplný prehľad opatrení je v Prílohe č. 2 Zmluvy o spracúvaní osobných údajov. V súhrne: prístup do administrácie len po prihlásení a formulár pre pedagógov len cez neverejný odkaz s bezpečnostným kódom; šifrovanie prenosu (HTTPS/TLS); logické oddelenie údajov jednotlivých škôl; prístup zamestnancov e-Support len na základe pracovnej potreby, s evidenciou a logovaním každého prístupu; písomné záväzky mlčanlivosti; pravidelné zálohovanie; sledovanie zraniteľností a pravidelné aktualizácie; pravidelné posudzovanie účinnosti opatrení; interný postup pre riešenie a dokumentovanie bezpečnostných incidentov; vývoj a testovanie len so zdrojovým kódom a s fiktívnymi údajmi – údaje detí sa na vývoj ani testovanie nepoužívajú, hoci vývojové prostredie platformy je napojené na produkčnú databázu (bod 9.5 zmluvy). Zvýšené opatrenia pre citlivé údaje: pri zadávaní údajov do polí voľného textu zobrazujeme upozornenie, aby pedagóg uvádzal údaje o zdraví dieťaťa len v rozsahu nevyhnutnom pre pedagogickú diagnostiku.

8. Prenos údajov do tretích krajín

Osobné údaje detí sú uložené v dátových centrách na území EÚ – v Nemecku a Írsku (bod 4). Poskytovatelia tejto infraštruktúry (Vercel, Convex, Cloudflare) sú spoločnosťami so sídlom v USA. Keďže nemožno vylúčiť, že ich personál k údajom vzdialene pristúpi z USA napríklad pri riešení technického incidentu, považujeme toto usporiadanie za prenos do tretej krajiny v zmysle kapitoly V GDPR a uplatňujeme naň príslušné záruky. Konkrétny mechanizmus pre každého z týchto poskytovateľov je uvedený v Prílohe č. 3 Zmluvy o spracúvaní osobných údajov. Systémové e-maily doručuje Astrodon Corporation (Resend), pri ktorom sa e-mailová adresa používateľského účtu spracúva priamo v USA (bod 5); aj na tento prenos sa vzťahuje mechanizmus uvedený v Prílohe č. 3 Zmluvy o spracúvaní osobných údajov. Škole na požiadanie sprístupníme kópiu uzavretých štandardných zmluvných doložiek a zhrnutie posúdenia vplyvu prenosu, ktoré k tomu udržiavame.

9. Automatizované rozhodovanie a profilovanie

EduDots nevykonáva automatizované individuálne rozhodovanie ani profilovanie v zmysle čl. 22 GDPR. Všetky hodnotenia zadáva pedagóg a všetky výstupy (grafy, prehľady) sú len vizualizáciou týchto hodnotení. Systém nehodnotí deti automaticky, nevytvára o nich samostatné závery a interpretácia výsledkov je vždy v rukách pedagóga. Samotná aplikácia navyše nevyužíva žiadne vlastné funkcie umelej inteligencie za bežnej prevádzky (runtime) – nástroje AI boli použité výlučne pri vývoji aplikácie (generovanie kódu), nie pri jej používaní pedagógmi, a bežné používanie Služby preto nezahŕňa spracúvanie údajov detí prostredníctvom AI modelov. Tento stav je zmluvne zaistený: podľa Zmluvy o spracúvaní osobných údajov by sme školu o zavedení akejkoľvek funkcionality založenej na umelej inteligencii museli informovať najmenej 60 dní vopred a škola by mala právo zmluvu z tohto dôvodu vypovedať bez sankcie.

10. Práva dotknutých osôb

Dotknuté osoby (napr. zákonní zástupcovia detí) majú právo na prístup k údajom, opravu, výmaz, obmedzenie spracúvania a na podanie sťažnosti Úradu na ochranu osobných údajov Slovenskej republiky (dataprotection.gov.sk). Právo na prenositeľnosť a právo namietať sa uplatnia len pri niektorých právnych základoch. Rozsah práv totiž závisí od právneho základu, ktorý určila škola:

Tieto práva si dotknutá osoba uplatňuje primárne u prevádzkovateľa (školy). EduDots ako sprostredkovateľ poskytuje škole pri vybavovaní týchto žiadostí potrebnú súčinnosť. Sám žiadosti vecne nevybavuje a dotknutú osobu odkáže na školu.

11. Právo na zabudnutie

Na pokyn školy odstránime zo systému všetky označené údaje. Upozorňujeme, že právo na výmaz podľa čl. 17 GDPR nie je absolútne – pri spracúvaní na základe zákonnej povinnosti alebo úlohy vo verejnom záujme je obmedzené podľa čl. 17 ods. 3 písm. b) GDPR. O tom, či je žiadosti možné vyhovieť, rozhoduje škola ako prevádzkovateľ.

12. Prenositeľnosť údajov a zmena poskytovateľa

Škola ako zákazník môže všetky údaje vložené do systému kedykoľvek exportovať v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte (napr. JSON), ak ich chce presunúť do inej služby alebo do vlastnej infraštruktúry. Postupujeme pritom v súlade s nariadením EÚ 2023/2854 (Akt o údajoch / Data Act), ktoré upravuje práva zákazníkov pri zmene poskytovateľa cloudových služieb – podrobnosti sú uvedené vo Všeobecných obchodných podmienkach. Ide o iné právo než prenositeľnosť podľa čl. 20 GDPR: patrí škole ako zákazníkovi, nie rodičovi, a uplatňuje sa bez ohľadu na právny základ spracúvania.

13. Čo sa deje po zrušení služby

Postup po skončení zmluvy je popísaný v bode 6.

14. Súhrnné štatistiky

EduDots zhromažďuje súhrnné (agregované, anonymizované) štatistické údaje o používaní služby. Tieto údaje neumožňujú identifikáciu konkrétneho dieťaťa ani učiteľa a používajú sa výlučne na zlepšovanie kvality služby. Robíme tak na základe pokynu školy podľa Zmluvy o spracúvaní osobných údajov; škola môže tento pokyn kedykoľvek odvolať.

15. Analytika a cookies

Používame výlučne technicky nevyhnutné cookies a obdobné technológie; na tie sa podľa § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách súhlas nevyžaduje. Analytické, marketingové ani personalizačné cookies tretích strán nepoužívame. Ak by sme ich v budúcnosti zaviedli, urobíme tak len na základe predchádzajúceho súhlasu. Podrobnosti upravujú Zásady používania cookies.

16. Bezpečnostné incidenty

Zraniteľnosti softvéru sledujeme pomocou komerčne dostupných nástrojov. V prípade porušenia ochrany osobných údajov budeme bez zbytočného odkladu, najneskôr do 24 hodín od zistenia, informovať zákazníka (prevádzkovateľa) v súlade s čl. 33 ods. 2 GDPR a vykonáme potrebné opatrenia na zmiernenie možných negatívnych dôsledkov. Prevádzkovateľ je následne zodpovedný za posúdenie, či je potrebné incident nahlásiť Úradu na ochranu osobných údajov SR (do 72 hodín) a/alebo dotknutým osobám; EduDots mu na to poskytne všetky dostupné informácie. Na požiadanie pripravíme aj návrh textu oznámenia pre úrad a pre dotknuté osoby; rozhodnutie o podaní oznámenia je na škole.

17. Posúdenie vplyvu (DPIA) a záznamy o spracúvaní

Spracúvanie v EduDots zahŕňa systematické hodnotenie zraniteľných dotknutých osôb – detí. Podľa kritérií Európskeho výboru pre ochranu údajov ide o kombináciu, pri ktorej je posúdenie vplyvu na ochranu údajov podľa čl. 35 GDPR spravidla potrebné. Odporúčame každej škole, aby ho pred nasadením vykonala. Poskytneme jej na to vzorový podklad s opisom spracovateľských operácií, tokov údajov a bezpečnostných opatrení; zodpovednosť za obsah a závery posúdenia zostáva škole. EduDots zároveň vedie záznamy o spracovateľských činnostiach vykonávaných v mene prevádzkovateľov podľa čl. 30 ods. 2 GDPR.

18. Zmluva o spracúvaní osobných údajov a audity

Podrobnosti vzťahu medzi EduDots (sprostredkovateľ) a školou (prevádzkovateľ) – vrátane predmetu, rozsahu, účelu a doby spracúvania – upravuje Zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR, ktorá tvorí Prílohu č. 1 Všeobecných obchodných podmienok a uzatvára sa elektronicky spolu s registráciou alebo objednávkou služby; na požiadanie ju vyhotovíme aj v podpísanej listinnej podobe (napr. pre potreby zriaďovateľa alebo Centrálneho registra zmlúv). Prevádzkovateľ má v súlade s čl. 28 ods. 3 písm. h) GDPR právo na informácie potrebné na preukázanie splnenia povinností a právo na vykonanie auditu; EduDots mu k tomu poskytne potrebnú súčinnosť.

19. Kontakt

V prípade akýchkoľvek otázok týkajúcich sa ochrany osobných údajov nás môžete kontaktovať na gdpr@edudots.eu.

20. Osobitná poznámka k údajom o deťoch

Sme si vedomí, že údaje spracúvané v EduDots sa týkajú detí, a preto im venujeme zvýšenú pozornosť. Uplatňujeme zásadu minimalizácie (zbierame len údaje nevyhnutné pre pedagogickú diagnostiku), obmedzujeme prístup k údajom len na oprávnených pedagógov konkrétnej školy a priebežne vyhodnocujeme, či niektorý zo spracúvaných údajov nie je možné z evidencie odstrániť alebo agregovať.

Tento dokument dopĺňa Zmluvu o spracúvaní osobných údajov a nenahrádza ju. Nenahrádza ani informačnú povinnosť školy voči zákonným zástupcom podľa čl. 13 GDPR; vzor na jej splnenie poskytneme na požiadanie. Spracúvanie sa riadi Nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 (GDPR), zákonom č. 18/2018 Z. z. o ochrane osobných údajov a zákonom č. 452/2021 Z. z. o elektronických komunikáciách.