Umowa powierzenia przetwarzania danych osobowych

Wzór, wersja: 1.0  |  Obowiązuje od: 2026-11-10

§ 1. Strony i zawarcie umowy

1. Podmiotem przetwarzającym jest EDUHERO POLSKA spółka z ograniczoną odpowiedzialnością z siedzibą pod adresem ul. Pod Modrzewiami 6, 34-200 Sucha Beskidzka, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla Krakowa-Śródmieścia w Krakowie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS 0001271218, NIP 552-174-64-37, REGON 545882133, kapitał zakładowy 5 000 zł, adres e-mail: kontakt@eduhero.pl (dalej: „my” albo „Podmiot przetwarzający”).
2. Administratorem jest Mentor zakładający Konta Uczniów we własnym imieniu (w szczególności jako korepetytor) albo szkoła lub placówka, za którą działa jej dyrektor lub osoba przez niego upoważniona (dalej: „Administrator”). Nauczyciel zakładający Konta Uczniom w ramach zajęć szkoły działa w jej imieniu i oświadcza, że ma jej upoważnienie.
3. Umowę zawiera Administrator, który zakłada albo zamierza zakładać Konto Ucznia albo zawiera umowę o Plan Abonamentowy (Regulamin, rozdziały XVIII i XIX) — z chwilą zaznaczenia przez Administratora pola akceptacji tej umowy; utrwalamy datę, wersję wzoru i Konto, z którego złożono oświadczenie. Na żądanie Administratora zawieramy ją także w postaci dokumentu podpisanego przez obie strony, w tym kwalifikowanym podpisem elektronicznym albo podpisem zaufanym, w brzmieniu tego wzoru.
4. Pojęciom użytym w umowie nadajemy znaczenie z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (dalej: „RODO”) oraz z Regulaminu Platformy.

§ 2. Przedmiot, charakter, cel i czas przetwarzania

1. Administrator powierza nam przetwarzanie danych osobowych w zakresie opisanym w § 3, wyłącznie w celu świadczenia usług Platformy EduHero (eduhero.pl): prowadzenia Kont Uczniów i nauczycieli, udostępniania i oceniania materiałów edukacyjnych, rejestrowania wyników i postępów nauki, komunikacji w ramach Platformy oraz tworzenia materiałów dydaktycznych, także z użyciem sztucznej inteligencji.
2. Przetwarzanie obejmuje: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przesłanie dalszym podmiotom przetwarzającym (§ 6), ograniczanie, usuwanie i niszczenie danych.
3. Nie przetwarzamy powierzonych danych w żadnym innym celu, w szczególności nie wykorzystujemy ich do marketingu, do profilowania w celach handlowych ani do trenowania modeli sztucznej inteligencji. Niezależnie od tej umowy przetwarzamy dane Uczniów jako odrębny administrator wyłącznie w celach bezpieczeństwa i moderacji treści, rozliczeń, obsługi reklamacji i wykonania obowiązków prawnych (Polityka Prywatności).
4. Umowa trwa tak długo jak umowa o świadczenie usług Platformy z Administratorem, z uwzględnieniem § 9.

§ 3. Kategorie osób i danych

1. Osoby: Uczniowie, których Konta zakłada Administrator albo którym Administrator nadał dostęp do Platformy (w tym przez import listy); nauczyciele i inni członkowie kadry Administratora korzystający z Platformy w jego imieniu; rodzice albo opiekunowie Uczniów — w zakresie, w jakim Administrator wprowadza ich dane.
2. Dane — w zakresie wprowadzonym przez Administratora lub przez Ucznia: imię i nazwisko, login, adres e-mail (przy Koncie zakładanym przez Administratora może to być adres zastępczy nadany przez Platformę), klasa albo Grupa, data urodzenia i płeć (jeżeli Administrator je poda), zdjęcie profilowe, treści tworzone przez Ucznia (odpowiedzi, wypracowania, w tym zdjęcia prac pisanych odręcznie, nagrania głosu przy ćwiczeniach mowy), wyniki, oceny i informacje zwrotne, postępy i czas nauki, historia aktywności, dane techniczne logowania.
3. Platforma nie służy do przetwarzania szczególnych kategorii danych (art. 9 RODO) ani danych o wyrokach (art. 10 RODO). Administrator nie wprowadza takich danych i poucza Uczniów, żeby ich nie podawali, w szczególności w odpowiedziach na pytania otwarte i w wypracowaniach.

§ 4. Nasze obowiązki

1. Przetwarzamy dane wyłącznie na udokumentowane polecenie Administratora. Takim poleceniem są: ta umowa, Regulamin, czynności wykonywane przez Administratora na Platformie (zakładanie, zmiana i usuwanie Kont, przypisywanie materiałów, korzystanie z funkcji) oraz polecenia przesłane nam e-mailem — także co do przekazywania danych do państwa trzeciego (Załącznik nr 1), chyba że obowiązek przetwarzania nakłada na nas prawo Unii lub prawo polskie; wtedy informujemy o nim Administratora przed rozpoczęciem przetwarzania, o ile prawo tego nie zabrania z uwagi na ważny interes publiczny. Jeżeli polecenie naszym zdaniem narusza RODO lub inne przepisy, niezwłocznie informujemy o tym Administratora.
2. Do danych dopuszczamy wyłącznie osoby, które ich potrzebują do świadczenia usług, upoważnione przez nas i zobowiązane do zachowania tajemnicy, także po ustaniu współpracy.
3. Stosujemy środki bezpieczeństwa opisane w § 5 (art. 32 RODO).
4. Pomagamy Administratorowi wykonywać obowiązki wobec osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw), oraz obowiązki z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne nam informacje. Żądanie osoby, które trafi do nas, przekazujemy Administratorowi bez zbędnej zwłoki i nie rozpatrujemy go sami, chyba że Administrator nas o to poprosi.
5. Eksport materiałów dydaktycznych Administrator wykonuje sam, w panelu. Eksport danych osobowych Uczniów (dane Kont, wyniki, postępy) wykonujemy na żądanie w terminie 7 dni, w formacie nadającym się do odczytu maszynowego.
6. Udostępniamy Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwiamy audyty na zasadach z § 8.

§ 5. Bezpieczeństwo

1. Stosujemy w szczególności: szyfrowanie całej transmisji (HTTPS); przechowywanie haseł wyłącznie w postaci skrótów kryptograficznych — z jednym wyjątkiem: hasło startowe nadane Uczniowi przez Administratora jest czytelne dla Administratora (do wydruku kart logowania) tylko do pierwszego zalogowania Ucznia, po czym usuwamy jego jawną postać; dostęp administracyjny do serwera wyłącznie kluczem kryptograficznym; kontrolę dostępu według ról; codzienne kopie zapasowe przechowywane na serwerze i w drugiej, niezależnej lokalizacji w Polsce; ograniczenie przechowywania treści poleceń wysyłanych do modeli AI do 30 dni; automatyczną moderację treści.
2. Minimalizacja przed przekazaniem do AI. Tam, gdzie polecenie dla modelu AI nie wymaga imienia i nazwiska (np. konsultacje pedagogiczne, opisy profilu), zastępujemy je znacznikami i odtwarzamy dopiero u siebie (pseudonimizacja, art. 4 pkt 5 RODO). Do modeli AI trafiają jednak dane niezbędne do działania danej funkcji, w szczególności: lista uczniów przy imporcie klasy, treść odpowiedzi i wypracowań przy ocenianiu, zdjęcia prac odręcznych przy ich odczycie, nagrania głosu przy ćwiczeniach mowy, zdjęcia profilowe przy moderacji.
3. Materiały źródłowe Administratora. Wgrane pliki (PDF, obrazy) oraz tekst z nich wyodrębniony lub wklejony usuwamy najpóźniej po 30 dniach; zdjęcia prac odręcznych dołączone do wyników Ucznia przechowujemy razem z tymi wynikami. Administrator przyjmuje do wiadomości, że wygenerowane materiały dydaktyczne zawierają dosłowne fragmenty materiału źródłowego; stanowią one część tych materiałów i podlegają usunięciu razem z nimi.
4. Piosenki edukacyjne. Do usługi generowania muzyki przekazujemy wyłącznie tekst piosenki i gatunek, bez danych identyfikujących Ucznia. Funkcja nie służy do przetwarzania danych osobowych: Administrator nie wpisuje imion ani innych danych osobowych w temat i tekst piosenki.

§ 6. Dalsze powierzenie

1. Administrator udziela nam ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających. Ich aktualny wykaz zawiera Załącznik nr 1.
2. Dalszym podmiotom nakładamy, w drodze umowy, obowiązki ochrony danych nie słabsze niż w tej umowie. Za ich działania odpowiadamy wobec Administratora jak za własne (art. 28 ust. 4 RODO).
3. O zamiarze dodania albo zmiany dalszego podmiotu informujemy Administratora e-mailem na adres przypisany do jego Konta co najmniej 14 dni wcześniej. Administrator może w tym czasie zgłosić uzasadniony sprzeciw; jeżeli nie uzgodnimy rozwiązania, może rozwiązać umowę o świadczenie usług ze skutkiem natychmiastowym, a przy opłaconym Planie Abonamentowym otrzymuje zwrot za pozostałe dni (Regulamin, rozdział XVIII ust. 14).
4. Przekazywanie poza Europejski Obszar Gospodarczy odbywa się wyłącznie na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (w tym EU–US Data Privacy Framework dla podmiotów nim objętych) albo standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO). Dane przechowywane przez nas w bazie i kopiach zapasowych znajdują się w EOG; poza EOG mogą być przetwarzane przy wywołaniach usług wskazanych w Załączniku nr 1.

§ 7. Naruszenia ochrony danych

Naruszenie ochrony powierzonych danych zgłaszamy Administratorowi bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, przekazując informacje, które Administrator musi podać organowi nadzorczemu (art. 33 ust. 3 RODO), a gdy nie są jeszcze znane — uzupełniając je niezwłocznie. Pomagamy Administratorowi zawiadomić osoby, których dane dotyczą, jeżeli jest to wymagane.

§ 8. Kontrola i audyt

1. Administrator może sprawdzać, jak przetwarzamy dane: w pierwszej kolejności przez pytania na piśmie, na które odpowiadamy w ciągu 14 dni, a jeżeli to nie wystarczy — przez audyt prowadzony przez Administratora albo upoważnionego audytora zobowiązanego do zachowania tajemnicy.
2. O audycie Administrator zawiadamia nas co najmniej 14 dni wcześniej. Audyt odbywa się w dni robocze, nie częściej niż raz w roku (nie dotyczy to audytu po naruszeniu ochrony danych), na koszt Administratora i w sposób, który nie narusza bezpieczeństwa danych innych naszych klientów.

§ 9. Zakończenie umowy i usunięcie danych

1. Umowa wygasa z końcem umowy o świadczenie usług Platformy z Administratorem albo gdy Administrator nie ma już na Platformie żadnych Kont Uczniów, którymi zarządza.
2. Po zakończeniu umowy Administrator ma 30 dni, żeby pobrać eksport materiałów i zażądać eksportu danych Uczniów albo przekazania Kont Uczniom (przejęcia Konta przez Ucznia). Administrator poleca nam przekazać Konto Uczniowi, który zażąda tego zgodnie z Regulaminem; od chwili przejęcia jesteśmy administratorem tych danych. Po tym terminie usuwamy powierzone dane, a z kopii zapasowych znikają one w ich zwykłym cyklu, nie dłuższym niż 30 dni. Nie usuwamy danych, których przechowywania wymagają przepisy prawa, oraz danych Uczniów, którzy przejęli swoje Konta i od tej chwili korzystają z Platformy na własny rachunek.
3. Na żądanie Administratora potwierdzamy usunięcie danych e-mailem.

§ 10. Odpowiedzialność

1. Odpowiadamy za szkodę wyrządzoną przetwarzaniem niezgodnym z tą umową lub z RODO na zasadach art. 82 RODO i przepisów Kodeksu cywilnego.
2. Wobec Administratora, który nie jest Konsumentem ani Przedsiębiorcą na prawach konsumenta, nasza odpowiedzialność z tytułu tej umowy obejmuje szkodę rzeczywistą. Ograniczenie to nie dotyczy szkody wyrządzonej umyślnie lub wskutek rażącego niedbalstwa ani roszczeń osób, których dane dotyczą.

§ 11. Postanowienia końcowe

1. W sprawach ochrony danych osobowych ta umowa ma pierwszeństwo przed Regulaminem. W sprawach w niej nieuregulowanych stosuje się RODO, ustawę o ochronie danych osobowych i Kodeks cywilny.
2. Zmiany tego wzoru wprowadzamy w trybie przewidzianym dla zmiany Regulaminu (rozdział XV), z wyjątkiem aktualizacji Załącznika nr 1, do której stosuje się § 6 ust. 3. Umowę podpisaną przez strony zmienia się w formie, w jakiej została zawarta.
3. Umowa podlega prawu polskiemu.

Załącznik nr 1. Dalsze podmioty przetwarzające

Wykaz nie obejmuje podmiotów, którym nie przekazujemy danych osobowych powierzonych przez Administratora, w szczególności operatora płatności (który przetwarza dane płatnika jako odrębny administrator) i usługi generowania muzyki (§ 5 ust. 4).