Umowa powierzenia przetwarzania danych osobowych

Wersja z dnia 14.10.2026 · dotyczy usługi „Testy dla klasy” (tablicapro.pl/testy)

§ 1. Strony

  1. Administrator — szkoła (placówka), w imieniu której działa nauczyciel korzystający z konta w serwisie TablicaPro. Nauczyciel może zawrzeć umowę we własnym imieniu wyłącznie wtedy, gdy prowadzi zajęcia poza szkołą (np. zajęcia prywatne) i samodzielnie decyduje o celach i sposobach przetwarzania danych — wówczas to on jest Administratorem.
  2. Podmiot przetwarzający — Dawid Chaber, ul. Kleeberga 15, 21-413 Serokomla, kontakt: kontakt@tablicapro.pl.
  3. Umowa zostaje zawarta w formie elektronicznej z chwilą jej akceptacji na koncie nauczyciela (art. 28 ust. 9 RODO). Nauczyciel działający w imieniu szkoły oświadcza, że jest do tego upoważniony oraz że korzystanie z usługi jest zgodne z wewnętrznymi zasadami szkoły dotyczącymi ochrony danych osobowych. Szkoła może zamiast tego zawrzeć umowę o tej samej treści w formie pisemnej.
  4. Korespondencję związaną z umową, w tym zawiadomienia z § 4 ust. 6 i § 5 ust. 3, Podmiot przetwarzający kieruje na adres e-mail konta nauczyciela, który zaakceptował umowę.

§ 2. Przedmiot, charakter i cel przetwarzania

  1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych uczniów wyłącznie w celu przeprowadzenia testów online, ich oceny i udostępnienia wyników Administratorowi.
  2. Kategorie osób: uczniowie rozwiązujący testy udostępnione przez Administratora.
  3. Zakres danych: oznaczenie klasy, numer w dzienniku, imię i nazwisko (wyłącznie gdy Administrator włączy to pole w ustawieniach testu, a uczeń je poda), odpowiedzi, wynik i ocena, czas rozpoczęcia i oddania testu, zapis zdarzeń w trakcie testu (opuszczenie okna, wyjście z pełnego ekranu i podobne) oraz losowy identyfikator przeglądarki zapisany w pliku cookie TSTDEV (ważnym 1 dzień). Adres IP ucznia nie jest zapisywany w wynikach. Usługa nie służy do przetwarzania szczególnych kategorii danych (art. 9 RODO) i Administrator nie umieszcza ich w treści testów.
  4. Charakter przetwarzania: zbieranie, przechowywanie, porządkowanie, przeglądanie, udostępnianie Administratorowi, eksport, usuwanie.
  5. Na stronach testów nie są stosowane narzędzia analityczne ani marketingowe (w tym Google Analytics i piksel Meta), a dane uczniów nie są wykorzystywane do celów marketingowych ani profilowania.

§ 3. Czas trwania i usunięcie danych

  1. Umowa obowiązuje przez czas korzystania z usługi.
  2. Wyniki są usuwane automatycznie po 365 dniach od rozpoczęcia testu, a wcześniej — gdy Administrator usunie test lub poszczególne podejście.
  3. Przed zakończeniem korzystania z usługi Administrator może pobrać wyniki w formacie CSV (funkcja dostępna w panelu). Na żądanie Administratora Podmiot przetwarzający przekazuje mu wyniki w tym formacie.
  4. Po zakończeniu korzystania z usługi (usunięcie konta) Podmiot przetwarzający usuwa powierzone dane w ciągu 30 dni, a z kopii zapasowych — w terminie ich rotacji, nie później niż 14 dni po tym terminie, chyba że przepis prawa Unii lub prawa polskiego nakazuje ich dalsze przechowywanie. Na żądanie Administratora Podmiot przetwarzający potwierdza usunięcie danych wiadomością e-mail.

§ 4. Obowiązki Podmiotu przetwarzającego

  1. Podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora — poleceniem są ustawienia testu i czynności wykonywane w panelu — chyba że obowiązek przetwarzania wynika z prawa Unii lub prawa polskiego; w takim przypadku informuje o nim Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania.
  2. Podmiot przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów o ochronie danych.
  3. Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania poufności lub podlegają ustawowemu obowiązkowi zachowania poufności.
  4. Podmiot przetwarzający stosuje środki techniczne i organizacyjne, o których mowa w art. 32 RODO, w szczególności:
    1. szyfrowane połączenie (HTTPS) i pliki cookie z atrybutami HttpOnly, Secure i SameSite;
    2. przechowywanie bazy danych poza katalogiem publicznym serwera;
    3. dostęp do wyników wyłącznie dla nauczyciela, który utworzył test;
    4. przechowywanie haseł nauczycieli wyłącznie w postaci skrótu (hash);
    5. ochronę przed atakami na logowanie (blokada po nieudanych próbach) oraz dziennik zdarzeń systemowych;
    6. codzienne kopie zapasowe z ograniczonym okresem przechowywania (do 14 dni);
    7. minimalizację zakresu danych (m.in. brak zapisu adresu IP ucznia w wynikach, imię i nazwisko tylko na wyraźne ustawienie Administratora).
  5. Podmiot przetwarzający, uwzględniając charakter przetwarzania, pomaga Administratorowi wywiązać się z obowiązku odpowiadania na żądania osób, których dane dotyczą (art. 15–22 RODO), oraz z obowiązków z art. 32–36 RODO. Żądanie ucznia lub rodzica, które trafi do Podmiotu przetwarzającego, zostaje niezwłocznie przekazane Administratorowi; Podmiot przetwarzający nie odpowiada na nie samodzielnie.
  6. Podmiot przetwarzający zgłasza Administratorowi stwierdzone naruszenie ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia. Zgłoszenie zawiera — w miarę dostępności — informacje wskazane w art. 33 ust. 3 RODO: charakter naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, kontakt do Podmiotu przetwarzającego, możliwe konsekwencje oraz zastosowane lub proponowane środki zaradcze. Informacje niedostępne w chwili zgłoszenia są przekazywane sukcesywnie.
  7. Podmiot przetwarzający prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO.
  8. Podmiot przetwarzający udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia przeprowadzenie audytu lub inspekcji przez Administratora lub upoważnionego przez niego audytora, po uprzednim uzgodnieniu terminu, nie częściej niż raz w roku, chyba że zachodzi uzasadnione podejrzenie naruszenia lub audytu żąda organ nadzorczy. Audyt może mieć formę pisemnych pytań i odpowiedzi.

§ 5. Dalsze powierzenie

  1. Administrator wyraża ogólną zgodę na korzystanie przez Podmiot przetwarzający z usług dalszych podmiotów przetwarzających. Na dzień zawarcia umowy jest to dostawca hostingu, na którego serwerach w Polsce przechowywana jest baza danych (Seohost).
  2. Podmiot przetwarzający nakłada na dalszy podmiot przetwarzający, w drodze umowy, te same obowiązki ochrony danych, jakie wynikają z niniejszej umowy, w szczególności obowiązek zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych. Podmiot przetwarzający odpowiada wobec Administratora za wypełnienie obowiązków przez dalszy podmiot przetwarzający (art. 28 ust. 4 RODO).
  3. O zamiarze dodania lub zmiany dalszego podmiotu przetwarzającego Podmiot przetwarzający informuje Administratora z co najmniej 14-dniowym wyprzedzeniem. Administrator może w tym terminie sprzeciwić się zmianie; w takim przypadku może zaprzestać korzystania z usługi i pobrać dane zgodnie z § 3 ust. 3.
  4. Dane nie są przekazywane poza Europejski Obszar Gospodarczy ani do organizacji międzynarodowych.

§ 6. Obowiązki i prawa Administratora

  1. Administrator oświadcza, że posiada podstawę prawną przetwarzania danych uczniów w zakresie objętym umową (w szczególności w związku z realizacją zadań dydaktycznych szkoły) i że ustalił zakres danych zbieranych w teście, ograniczając go do niezbędnego minimum.
  2. Administrator informuje uczniów (i w razie potrzeby ich rodziców) o przetwarzaniu danych zgodnie z art. 13 RODO i realizuje ich prawa.
  3. Administrator ma prawo wydawać polecenia dotyczące przetwarzania (za pomocą ustawień testu i panelu, a w pozostałym zakresie — e-mailem), żądać informacji i przeprowadzać audyty na zasadach określonych w § 4 ust. 8.

§ 7. Postanowienia końcowe

  1. W sprawach nieuregulowanych stosuje się Regulamin serwisu TablicaPro, RODO oraz przepisy prawa polskiego. W razie sprzeczności postanowienia niniejszej umowy mają pierwszeństwo przed Regulaminem w zakresie ochrony danych osobowych.
  2. Zmiana treści umowy wymaga ponownej akceptacji; do tego czasu obowiązuje wersja zaakceptowana wcześniej.
  3. Administrator może wypowiedzieć umowę w każdym czasie, usuwając konto lub zaprzestając korzystania z usługi; skutki określa § 3 ust. 3–4.

Aby zachować kopię, wydrukuj tę stronę lub zapisz ją jako PDF (Ctrl+P).