Umowa powierzenia przetwarzania danych osobowych (Strefa korepetytora)

§ 1. Definicje

Pojęcia pisane wielką literą mają znaczenie nadane w Regulaminie Strefy korepetytora (dalej: „Regulamin Strefy”) i w RODO. „Dane” oznaczają dane osobowe Uczniów i Rodziców oraz innych osób, które Administrator wprowadza do Strefy albo które powstają w Strefie w związku z korzystaniem z niej przez Administratora, jego Uczniów i Rodziców.

§ 2. Przedmiot i cel

1. Administrator powierza Przetwarzającemu przetwarzanie Danych w celu świadczenia usług Strefy opisanych w Regulaminie Strefy: prowadzenia ewidencji Uczniów i grup, kalendarza Lekcji i przypomnień, zadawania, oddawania i oceniania prac, pytań Uczniów, raportów dla Rodziców, zbierania zgód Rodziców, nagrywania Lekcji i ich podsumowań, Materiałów, Asystenta, ewidencji stawek i wpłat od Rodziców oraz eksportu danych.
2. Przetwarzający przetwarza Dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem są Regulamin Strefy, niniejsza Umowa oraz działania Administratora w panelu (np. dodanie Ucznia, wysłanie prośby o zgodę, włączenie Sali Zoom, Premium lub Telegrama, zatwierdzenie propozycji Asystenta). Jeżeli polecenie, zdaniem Przetwarzającego, narusza RODO lub inne przepisy, Przetwarzający niezwłocznie informuje o tym Administratora.
3. Umowa nie obejmuje danych, których administratorem jest Przetwarzający, w szczególności danych Konta Ucznia w Serwisie (nauka własna, Maturownik Pro, fiszki, kompendium błędów) przetwarzanych na podstawie umowy Ucznia z Przetwarzającym, ani danych Administratora jako Użytkownika (Konto, rozliczenia, połączenie z Telegramem).

§ 3. Charakter, kategorie osób i danych

1. Przetwarzanie polega na zbieraniu, utrwalaniu, przechowywaniu, porządkowaniu, przeglądaniu, wykorzystywaniu, ujawnianiu przez przesłanie (Uczniom, Rodzicom, Administratorowi), łączeniu, ograniczaniu i usuwaniu Danych, w sposób zautomatyzowany, w tym z użyciem AI.
2. Kategorie osób: Uczniowie Administratora, w tym osoby niepełnoletnie; Rodzice (rodzice albo opiekunowie prawni) niepełnoletnich Uczniów; inni uczestnicy Lekcji w Sali Zoom. Kategorie danych:
   1. Identyfikacja i kontakt Ucznia: imię i nazwisko, adres e-mail, telefon, rok matury, przedmiot, województwo szkoły, oznaczenie pełnoletności, identyfikator Konta w Serwisie
   2. Identyfikacja i kontakt Rodzica: imię, adres e-mail, telefon, daty wypisu z raportów, z e-maili o przełożeniach i odwołaniach oraz z wiadomości Administratora
   3. Zgody Rodzica: rodzaj zgody (wgląd, nagrywanie), stan, wersja tekstu, data, źródło, skrót adresu IP (SHA-256)
   4. Zajęcia: terminy, tryb, adres Lekcji stacjonarnej, temat, obecność (także z raportu uczestników Zooma: nazwa wyświetlana, adres e-mail, czas), odwołania i przełożenia, plan Lekcji
   5. Wyniki i postępy: prace, rozwiązania (tekst i zdjęcia), oceny ręczne i AI, diagnozy, umiejętności, terminy i prośby o przedłużenie, pytania do Administratora (tekst i nagrania głosowe do 2 min), odpowiedzi
   6. Rozmowy z AI: rozmowy Ucznia z korepetytorem AI przy zadaniach z prac Administratora, w zakresie z rozdz. IV ust. 5 Regulaminu Strefy
   7. Nagrania i transkrypcje: obraz i głos uczestników Lekcji w Sali Zoom, transkrypcja z podpisami mówców, podsumowanie Lekcji, notatka dla Ucznia
   8. Notatki Administratora: prywatne notatki o Uczniu i Lekcji, ocena „jak poszło”, notatka o Uczniu
   9. Rozliczenia z Rodzicem: stawka za Lekcję, sposób płatności, ewidencja wpłat (kwota, data, notatka)
   10. Raporty: migawka raportu (obecność, prace, wyniki, umiejętności, plan), komentarz Administratora
   11. Komunikacja: log wysłanych e-maili i przypomnień (odbiorca, rodzaj, czas), treść wiadomości Asystenta i, po włączeniu Telegrama, skrócona treść wiadomości w Telegramie
   12. Linki: skróty SHA-256 tokenów Linków (zgoda, wypis, raport, kalendarz), cel, ważność
3. Dane nie obejmują szczególnych kategorii danych (art. 9 RODO). Administrator nie wprowadza takich danych do Strefy; jeżeli pojawią się w treściach (np. w notatce, nagraniu), Administrator odpowiada za podstawę ich przetwarzania.

§ 4. Czas przetwarzania

Umowa obowiązuje przez czas korzystania przez Administratora ze Strefy, a po jej zakończeniu do wykonania § 10. Okresy przechowywania poszczególnych Danych w czasie trwania Umowy:

1. Nagranie Lekcji (Bunny Stream) i transkrypcja: 12 miesięcy od udostępnienia nagrania (e-mail do Administratora 14 dni wcześniej), potem usunięcie; wcześniej po zakończeniu Strefy (§ 10)
2. Kopia nagrania w Zoomie: do przeniesienia do Bunny Stream; nagranie bez zgody: usunięcie od razu po zakończeniu Lekcji
3. Link zgody Rodzica: ważny 90 dni
4. Link do raportu: ważny 90 dni; wcześniej nieważny po wycofaniu zgody na wgląd albo po zakończeniu Strefy
5. Link wypisu, subskrypcja kalendarza: do unieważnienia
6. Kod łączenia z Telegramem: 10 minut
7. Historia wiadomości w Telegramie (treść skrócona): 90 dni
8. Streszczenia rozmów z Asystentem przez telefon: 90 dni
9. Transkrypcja słuchanej Lekcji (dźwięku nie przechowujemy): do wysłania notatki z Lekcji, najpóźniej 7 dni
10. Plik eksportu: 7 dni
11. Pozostałe Dane: do usunięcia przez Administratora albo do zakończenia Umowy (§ 10)

[DO UZUPEŁNIENIA: kod nie usuwa dziś wygasłych tokenów, logu e-maili (notification_log) ani rozmowy z Asystentem (assistant_messages); ustalić okresy (np. 12 miesięcy) i dopisać zadanie sprzątające, potem wpisać tu]

§ 5. Obowiązki Przetwarzającego

1. Przetwarzający:
   1. przetwarza Dane wyłącznie w celu i zakresie z § 2, także w razie przekazania do państwa trzeciego (§ 6);
   2. zapewnia, że osoby upoważnione do przetwarzania Danych (właściciel i współpracownicy obsługujący Serwis) zobowiązały się do zachowania poufności;
   3. stosuje środki techniczne i organizacyjne z § 7;
   4. korzysta z dalszych podmiotów przetwarzających na zasadach § 6;
   5. pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób (art. 15–22 RODO): udostępnia eksport Danych i funkcje usuwania w panelu, a pozostałe żądania przekazane przez Administratora na adres kontakt@maturownik.com realizuje w ciągu 14 dni;
   6. pomaga Administratorowi wywiązać się z obowiązków z art. 32–36 RODO, w tym przekazuje informacje do oceny skutków (opis przetwarzania i ocena skutków dla Strefy prowadzone przez Przetwarzającego są dostępne na prośbę);
   7. udostępnia Administratorowi informacje potrzebne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyty (§ 8);
   8. niezwłocznie przekazuje Administratorowi żądanie osoby, której Dane dotyczą, skierowane bezpośrednio do Przetwarzającego, bez odpowiadania na nie, chyba że Administrator tak poleci; wyjątek: Rodzic wycofuje zgodę i wypisuje się z raportów samodzielnie przez Link wypisu, a skutek widać w panelu Administratora.
2. Przetwarzający prowadzi rejestr kategorii czynności przetwarzania dokonywanych w imieniu Administratora (art. 30 ust. 2 RODO).

§ 6. Dalsze podmioty przetwarzające

1. Administrator udziela Przetwarzającemu ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Lista na dzień zawarcia Umowy:
   1. Supabase, Inc. – zakres: baza danych, logowanie, pliki (prace, Materiały, nagrania głosowe, eksporty); kiedy: zawsze; lokalizacja danych: UE (AWS eu-west-1, Irlandia); dostęp serwisowy z USA; podstawa przekazania poza EOG: standardowe klauzule umowne (SCC) [DO UZUPEŁNIENIA: sprawdzić w DPA Supabase, czy także DPF]
   2. Vercel Inc. – zakres: hosting aplikacji i funkcji serwera; kiedy: zawsze; lokalizacja danych: funkcje w UE (dub1, Dublin); infrastruktura i logi także w USA; podstawa przekazania poza EOG: EU-US Data Privacy Framework i SCC
   3. Resend [DO UZUPEŁNIENIA: pełna nazwa podmiotu z DPA Resend] – zakres: wysyłka e-maili do Uczniów, Rodziców i Administratora; kiedy: zawsze; lokalizacja danych: USA; podstawa przekazania poza EOG: [DO UZUPEŁNIENIA: DPF albo SCC wg DPA Resend]
   4. Stripe Payments Europe, Limited – zakres: dane płatnicze Administratora; kiedy: przy Premium i Sali Zoom; lokalizacja danych: Irlandia; część infrastruktury w USA; podstawa przekazania poza EOG: SCC i DPF (Stripe, Inc.)
   5. inFakt [DO UZUPEŁNIENIA: pełna nazwa i adres spółki] – zakres: faktury dla Administratora; kiedy: po opłaceniu Rachunku; lokalizacja danych: Polska; podstawa przekazania poza EOG: nie dotyczy
   6. Zoom Communications, Inc. – zakres: Lekcje w Sali Zoom: obraz, głos, nazwy i adresy e-mail uczestników, nagranie w chmurze i transkrypcja, raport uczestników; kiedy: przy Sali Zoom; lokalizacja danych: USA; podstawa przekazania poza EOG: EU-US Data Privacy Framework i SCC
   7. BunnyWay d.o.o. (Bunny Stream) – zakres: przechowywanie i odtwarzanie nagrań Lekcji; kiedy: przy nagrywaniu Lekcji; lokalizacja danych: UE (Frankfurt, bez replikacji poza UE); podstawa przekazania poza EOG: nie dotyczy
   8. Dostawca AI: [DO UZUPEŁNIENIA: docelowo Amazon Web Services EMEA SARL (Amazon Bedrock, region UE); dziś kod używa dostawcy Serwisu, Anthropic PBC (USA), a AI Strefy jest wyłączone do decyzji o koszcie] – zakres: ocena rozwiązań, podsumowania Lekcji, szkice raportów, zadania z Materiałów, Asystent; kiedy: przy funkcjach AI; lokalizacja danych: [DO UZUPEŁNIENIA: UE po wdrożeniu Bedrock; do tego czasu USA]; podstawa przekazania poza EOG: [DO UZUPEŁNIENIA: przy Anthropic SCC]
   9. Google [DO UZUPEŁNIENIA: Google Ireland Limited albo Google LLC wg warunków Google Maps Platform] – zakres: Mapy (Distance Matrix): adresy kolejnych Lekcji stacjonarnych tego samego dnia, do policzenia czasu dojazdu między nimi; kiedy: gdy Przetwarzający włączy obliczanie dojazdów (dziś wyłączone); lokalizacja danych: USA; podstawa przekazania poza EOG: EU-US Data Privacy Framework i SCC
   10. Telegram Messenger Inc. / Telegram FZ-LLC – zakres: wiadomości Asystenta i przypomnienia, pliki wysyłane przez Asystenta; kiedy: tylko gdy Administrator samodzielnie włączy kanał Telegram (ust. 4); lokalizacja danych: poza EOG; podstawa przekazania poza EOG: brak umowy powierzenia z Telegramem; przekazanie na polecenie Administratora (ust. 4)
   11. ElevenLabs [DO UZUPEŁNIENIA: pełna nazwa podmiotu z DPA ElevenLabs] – zakres: agent głosowy telefonu do Asystenta: rozpoznanie mowy, model rozmowy, synteza głosu; treść odpowiedzi Asystenta (imiona Uczniów, terminy, sprawy); kiedy: tylko gdy Administrator samodzielnie włączy telefon do Asystenta; lokalizacja danych: [DO UZUPEŁNIENIA: USA albo UE wg planu]; podstawa przekazania poza EOG: [DO UZUPEŁNIENIA: SCC albo DPF wg DPA ElevenLabs]
   12. Twilio [DO UZUPEŁNIENIA: podmiot z DPA Twilio] – zakres: numer telefonu Asystenta i połączenie głosowe z Administratorem (numer dzwoniącego, głos); kiedy: jak wyżej; lokalizacja danych: USA; podstawa przekazania poza EOG: [DO UZUPEŁNIENIA: DPF albo SCC wg DPA Twilio]
   13. ElevenLabs (Scribe, rozpoznawanie mowy) – zakres: dźwięk słuchanej Lekcji na żywo, zwrot transkrypcji; kiedy: tylko gdy Administrator włączy słuchanie przy Lekcji; lokalizacja danych: [DO UZUPEŁNIENIA: UE (region residency) albo USA wg planu]; podstawa przekazania poza EOG: [DO UZUPEŁNIENIA: SCC albo DPF wg DPA ElevenLabs]
   14. Rozpoznawanie mowy w przeglądarce Administratora (Apple albo Google) – zakres: jak wyżej, do czasu włączenia ElevenLabs; lokalizacja danych: poza EOG; podstawa: warunki dostawcy przeglądarki [DO UZUPEŁNIENIA: czy dopuszczamy na pilotażu]
2. Dysk Google: Strefa zapisuje wyłącznie odnośnik do pliku wskazanego przez Administratora; plik otwiera Uczeń bezpośrednio w usłudze Google, a Przetwarzający nie przekazuje Danych do Google w tym celu. [DO UZUPEŁNIENIA: po wdrożeniu okna wyboru plików Google (Picker, zakres drive.file) dopisać Google do tabeli]
3. Przetwarzający informuje Administratora e-mailem o zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić sprzeciw na adres kontakt@maturownik.com; jeżeli strony nie dojdą do porozumienia, Administrator może wypowiedzieć Umowę i umowę o korzystanie ze Strefy ze skutkiem przed zmianą. Przetwarzający nakłada na dalszy podmiot te same obowiązki ochrony danych i odpowiada wobec Administratora za ich wykonanie.
4. Telegram. Administrator może włączyć kanał Telegram dla danych swoich Uczniów. Włączając go, Administrator wydaje polecenie przekazywania tych danych do Telegrama w zakresie potrzebnym do działania Asystenta i przypomnień, przyjmuje do wiadomości przekazanie poza EOG i brak szyfrowania końcowego oraz może kanał wyłączyć w każdej chwili. Przetwarzający nie zawiera z Telegramem umowy powierzenia; przekazanie odbywa się na polecenie Administratora i jest opisane w polityce prywatności. Kanał jest przeznaczony wyłącznie dla Administratora; Uczniowie i Rodzice nie otrzymują wiadomości z bota.
5. Telefon do Asystenta. Administrator, który ma Ucznia w pakiecie Na żywo, może zapisać w Ustawieniach swój numer telefonu i rozmawiać z Asystentem przez telefon. Włączając go, Administrator wydaje polecenie przekazywania danych swoich Uczniów i Rodziców potrzebnych do odpowiedzi Asystenta (imiona, terminy Lekcji, sprawy, wpłaty) do dostawców rozmowy głosowej z tabeli i przyjmuje do wiadomości przekazanie poza EOG. Przetwarzający nie nagrywa rozmów i nie przechowuje ich zapisu, a w ustawieniach dostawców wyłącza nagrywanie i zapis; w Serwisie zostaje krótkie streszczenie przez 90 dni. Z telefonu korzysta wyłącznie Administrator; Uczniowie i Rodzice nie rozmawiają z Asystentem przez telefon.
6. Asystent słucha Lekcji. Administrator może włączyć w Ustawieniach słuchanie Lekcji przez Asystenta, a potem włączać je przy Lekcji indywidualnej Ucznia w pakiecie Na żywo, wyłącznie przy zgodzie na nagrywanie zajęć. Włączając je, Administrator wydaje polecenie przekazywania dźwięku Lekcji z mikrofonu swojego urządzenia do dostawcy rozpoznawania mowy z tabeli. Przetwarzający nie przechowuje dźwięku; transkrypcję udostępnia wyłącznie Administratorowi i usuwa ją po wysłaniu notatki z Lekcji, najpóźniej po 7 dniach. Uczeń widzi, że Lekcja jest słuchana, i może słuchanie wyłączyć.
7. Przekazanie Danych poza EOG odbywa się wyłącznie na podstawie z rozdziału V RODO wskazanej w tabeli.

§ 7. Środki bezpieczeństwa

Przetwarzający stosuje w szczególności:

1. kontrolę dostępu na poziomie bazy danych (Row Level Security włączone na każdej tabeli Strefy, domyślnie zamknięte): Administrator widzi wyłącznie swoich Uczniów; Uczeń nie widzi prywatnych notatek, transkrypcji, podsumowań dla Administratora ani rozliczeń; Rodzic nie ma konta ani roli w bazie;
2. Linki dla Rodziców: losowy token 256-bitowy, w bazie wyłącznie jego skrót SHA-256, cel, ważność i możliwość unieważnienia; bez ważnego tokenu strona nie pokazuje żadnych danych Ucznia;
3. szyfrowanie transmisji (HTTPS) i szyfrowanie tokenów integracji (AES-256-GCM, klucz poza bazą), tabele z tokenami bez dostępu z przeglądarki;
4. odtwarzanie nagrań przez odnośnik podpisany na serwerze dla jednego nagrania, ważny 4 godziny, po sprawdzeniu dostępu;
5. pliki w prywatnych zasobnikach, dostępne przez podpisane odnośniki o krótkiej ważności;
6. weryfikację podpisów webhooków dostawców (Stripe, Zoom, Bunny) i sekretu webhooka Telegrama;
7. zapis zgód Rodziców z wersją tekstu, datą i skrótem adresu IP; sprawdzanie zgód przed każdą Lekcją nagrywaną i przed każdym raportem;
8. zatwierdzanie każdej zmiany proponowanej przez Asystenta przez Administratora, w Telegramie tylko z przypiętego czatu i w ciągu 24 godzin; e-mail przy każdym nowym połączeniu z Telegramem;
9. testy uprawnień bazy danych dla każdej tabeli Strefy przed wdrożeniem zmian.

§ 8. Audyt

1. Administrator może sprawdzać, czy Przetwarzający przestrzega Umowy, w szczególności przez pisemne pytania (odpowiedź w ciągu 14 dni) albo audyt przeprowadzony przez Administratora lub upoważnionego audytora związanego tajemnicą, zapowiedziany z co najmniej 14-dniowym wyprzedzeniem, w dni robocze, nie częściej niż raz w roku, chyba że po naruszeniu ochrony Danych.
2. Audyt nie obejmuje danych innych Korepetytorów ani tajemnicy przedsiębiorstwa Przetwarzającego i dalszych podmiotów; w ich zakresie Przetwarzający udostępnia raporty i certyfikaty dostawców. Koszty audytu ponosi Administrator.

§ 9. Naruszenia ochrony danych

1. Przetwarzający zgłasza Administratorowi naruszenie ochrony Danych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, e-mailem na adres Konta, tak aby Administrator mógł dochować 72 godzin na zgłoszenie do Prezesa UODO (art. 33 RODO).
2. Zgłoszenie zawiera, w miarę możliwości: opis naruszenia, kategorie i przybliżoną liczbę osób i rekordów, prawdopodobne skutki, zastosowane i proponowane środki oraz kontakt. Informacje niedostępne od razu Przetwarzający przekazuje sukcesywnie.
3. Przetwarzający dokumentuje naruszenia i pomaga Administratorowi w zawiadomieniu osób, których Dane dotyczą (art. 34 RODO), w tym, na polecenie Administratora, wysyłając im wiadomość w jego imieniu.

§ 10. Zakończenie Umowy: usunięcie albo zwrot Danych

1. Przed zakończeniem korzystania ze Strefy Administrator może pobrać Dane eksportem (rozdz. XI ust. 3 Regulaminu Strefy); to jest zwrot Danych w rozumieniu art. 28 ust. 3 lit. g RODO.
2. Po upływie 30 dni od wypowiedzenia przez Administratora (albo od zakończenia umowy przez Przetwarzającego) Przetwarzający usuwa Materiały, nagrania Lekcji i transkrypcje, odwołuje przyszłe Lekcje i unieważnia Linki do raportów.
3. Dane, które Uczeń zachowuje na swoim Koncie (prace z ocenami, notatki z Lekcji), przechodzą wraz z zakończeniem Umowy do przetwarzania przez Przetwarzającego jako administratora na podstawie umowy z Uczniem o prowadzenie Konta; Administrator wyraża na to zgodę, a Uczeń jest o tym informowany w polityce prywatności. [DO UZUPEŁNIENIA: decyzja 02.11 „uczniowie zachowują prace i notatki”; ta zmiana roli wymaga potwierdzenia, 06-tech.md sekcja 7]
4. Pozostałe Dane (kontakty Rodziców, zgody, prywatne notatki, stawki i wpłaty, podsumowania, raporty, log komunikacji) Przetwarzający usuwa w ciągu [DO UZUPEŁNIENIA: np. 30] dni od kroku z ust. 2, chyba że przepis prawa nakazuje dalsze przechowywanie. [DO UZUPEŁNIENIA: kod tego dziś nie robi; zadanie usuwania potrzebne przed pilotażem]
5. Kopie zapasowe bazy danych są nadpisywane w cyklu dostawcy [DO UZUPEŁNIENIA: okres kopii w planie Supabase, np. 7 dni]; Dane w kopiach nie są w tym czasie przetwarzane w innym celu.
6. Na prośbę Administratora Przetwarzający potwierdza e-mailem wykonanie usunięcia.

§ 11. Odpowiedzialność i postanowienia końcowe

1. Strony odpowiadają za szkody wyrządzone osobom, których Dane dotyczą, na zasadach art. 82 RODO. W pozostałym zakresie stosuje się postanowienia o odpowiedzialności Regulaminu Strefy.
2. Umowa jest zawierana na czas obowiązywania umowy o korzystanie ze Strefy i rozwiązuje się razem z nią, z zachowaniem § 10.
3. Zmiany Umowy wymagają ponownej akceptacji Administratora w Serwisie (rozdz. XV ust. 4 Regulaminu Strefy). Zmiana listy z § 6 następuje w trybie § 6 ust. 3.
4. W sprawach nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych i Kodeks cywilny. Prawem właściwym jest prawo polskie.
5. Umowa obowiązuje od [DO UZUPEŁNIENIA: data, ta sama co Regulamin Strefy] r. Wersja: [DO UZUPEŁNIENIA: nowa wartość WERSJA_REGULAMINU w src/lib/korepetytor/zgody.ts].