Zásady ochrany osobních údajů (GDPR)

Projekt MarauderLabs (dále jen „Poskytovatel“), provozovaný fyzickou osobou: Jiří Bendík, kontaktní adresa: Širočiny 60, 375 01 Týn nad Vltavou, přistupuje k ochraně osobních údajů s maximální odpovědností, vědom si specifických legislativních požadavků kladených na instituce v oblasti vzdělávání. Tyto zásady popisují způsob, rozsah a právní základ zpracování osobních údajů v rámci provozu webových stránek a poskytování produktů a služeb v rámci našeho ekosystému.

1. Identifikace smluvních rolí (Správce vs. Zpracovatel)

V souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 (GDPR) dochází v rámci ekosystému MarauderLabs k rozdělení odpovědnosti následovně:

• Škola (Objednatel): Vystupuje v pozici Správce osobních údajů. Škola určuje účel a prostředky zpracování osobních údajů svých žáků, zákonných zástupců a zaměstnanců.
• Poskytovatel (MarauderLabs): Vystupuje v pozici Zpracovatele osobních údajů výhradně u cloudových služeb (SaaS), kde dochází k ukládání dat na infrastrukturu Poskytovatele. V těchto případech zpracovává osobní údaje pouze na základě písemné Zpracovatelské smlouvy (DPA) uzavřené se Školou. U produktů s povahou statického obsahu, tiskovin či prezenčních služeb Poskytovatel v roli zpracovatele osobních údajů vůči Škole nevystupuje.

A. Provoz webu a e-mailová komunikace (Obecné údaje)

Webové rozhraní marauderlabs.cz neobsahuje žádné kontaktní ani poptávkové formuláře, které by ukládaly data do databází Poskytovatele. Veškerá komunikace probíhá výhradně prostřednictvím přímých e-mailových odkazů. Při zaslání e-mailové poptávky zpracováváme pouze údaje, které nám sami dobrovolně zašlete:

• Rozsah údajů: E-mailová adresa, jméno, příjmení, text zprávy a případně telefonní číslo či název školy/organizace.
• Účel: Odpověď na váš dotaz, vyřízení poptávky a jednání o uzavření objednávky či licenční smlouvy.
• Právní základ: Zpracování je nezbytné pro splnění smlouvy nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost subjektu údajů podle čl. 6 odst. 1 písm. b) GDPR.

B. Modul Lumora (Schránka důvěry – SaaS model)

Nástroj Lumora je provozován jako cloudová aplikace (SaaS) hostovaná u poskytovatele. Je navržen s primárním důrazem na anonymitu.

• Anonymita podání: Systém cíleně neloguje, neukládá a nezpracovává IP adresy ani jiné síťové identifikátory osob odesílajících hlášení.
• Obsahové zpracování: Pokud podávající osoba dobrovolně uvede v textu hlášení identifikační údaje (své nebo třetích osob), stávají se tyto informace předmětem zpracování na serverech Poskytovatele. Může docházet ke zpracování zvláštních kategorií osobních údajů (čl. 9 GDPR) a údajů týkajících se trestných činů (čl. 10 GDPR). Data jsou uložena v šifrované podobě.
• Právní základ pro Školu: Plnění právní povinnosti správce podle čl. 6 odst. 1 písm. c) GDPR (předcházení rizikovému chování a šikaně podle školského zákona) a plnění úkolu prováděného ve veřejném zájmu podle čl. 6 odst. 1 písm. e) GDPR.

C. Modul SynapsED (Digitální vzdělávací systém – SaaS bez registrace)

Systém SynapsED (LMS) je provozován jako cloudová služba bez nutnosti uživatelských účtů.

• Zpracování jména a validace výsledků: Pokud žák po dokončení testu zadá své jméno pro vygenerování výsledku chráněného kryptografickým hashem, tato data jsou následně ověřována backendovou aplikací Poskytovatele za účelem kontroly integrity dat (validátor).
• Absolutní bezukládací režim (Stateless): Validace v PHP prostředí probíhá výhradně v operační paměti pro okamžité zobrazení výsledku učiteli. Tato identifikační data nejsou ukládána do žádných trvalých databází, nejsou logována na disk a po ukončení validačního requestu jsou z paměti serveru bezodkladně smazána.
• Právní základ: Plnění licenční smlouvy uzavřené se Školou podle čl. 6 odst. 1 písm. b) GDPR, přičemž systém je z technické podstaty nastaven tak, aby u Poskytovatele nezanechával žádnou trvalou datovou stopu osobních údajů žáků.

D. Modul ML Playbooks (Krizové postupy – Digitální a tištěný obsah)

Tento produkt obsahuje metodické materiály, digitální PDF příručky, plakáty a karty určené k tisku či interní elektronické distribuci ve Škole.

• Rozsah zpracování: Poskytovatel v rámci tohoto modulu nezpracovává, neukládá ani neshromažďuje žádné osobní údaje žáků či zaměstnanců Školy. Veškerá manipulace s obsahem (včetně případného tisku a distribuce) probíhá plně interně v režimu a pod odpovědností Školy.

E. Modul Spark (Praktická školení a webináře – Služby)

Jedná se o prezenční nebo online vzdělávací služby poskytované lektory Poskytovatele pedagogickým pracovníkům.

• Rozsah údajů: Jména a e-maily přihlášených pedagogů (pouze pro účely organizace školení, zaslání odkazu na webinář či vystavení osvědčení o účasti).
• Právní základ: Plnění smlouvy o zajištění školení podle čl. 6 odst. 1 písm. b) GDPR. Osobní údaje účastníků nejsou využívány k žádným jiným účelům a po ukončení akce a jejím vyúčtování jsou uchovávány pouze po dobu vyžadovanou zákony o účetnictví.

3. Doba uchování osobních údajů

Osobní údaje jsou uchovávány pouze po dobu nezbytně nutnou:

• E-mailová poptávka a komunikace: Údaje z e-mailových dotazů jsou v případě neuzavření spolupráce likvidovány (mazány z e-mailové schránky Poskytovatele) nejpozději do 6 měsíců od poslední komunikace.
• Data v SaaS aplikacích (Lumora): Data zpracovávaná v cloudové aplikaci Lumora jsou uchovávána výhradně po dobu trvání smluvního vztahu se školou. Po ukončení licence jsou všechna data z databází bezodkladně a trvale smazána.
• Účetní a daňové doklady (Modul Spark a placené služby): Údaje uvedené na fakturách a daňových dokladech jsou z důvodu plnění zákonných povinností uchovávány po dobu 10 let od konce zdaňovacího období, ve kterém se plnění uskutečnilo (podle zákona o účetnictví a zákona o DPH).

4. Technické a organizační zabezpečení dat

Jako technologický partner garantujeme vysoký standard zabezpečení v souladu s čl. 32 GDPR:

• Lokalizace dat: Veškerá cloudová infrastruktura (pro moduly Lumora a SynapsED) je provozována výhradně na serverech na území České republiky. Poskytovatel nerealizuje přenosy osobních údajů do třetích zemí mimo EU/EHP.
• Zabezpečení přenosu a úložišť: Veškerá komunikace s aplikacemi je šifrována protokolem HTTPS. Úložiště dat jsou chráněna přístupovými právy omezenými pouze na nezbytné systémové operace.
• Subdodavatelé a zpracování dat: Provozovatel prohlašuje, že veškerá data uživatelů a zákazníků (včetně dat zpracovávaných v rámci platforem Lumora a SynapsED) jsou ukládána a zpracovávána výhradně v datových centrech na území České republiky a Evropské unie. Data nejsou předávána do třetích zemí mimo EU. Provozovatel využívá k zajištění chodu služeb pouze prověřené poskytovatele webhostingu a serverové infrastruktury splňující nejvyšší standardy zabezpečení a požadavky nařízení GDPR.

5. Používání Cookies

V souladu s našimi samostatnými Zásadami používání cookies nepoužíváme žádné analytické, marketingové ani sledovací cookies třetích stran. Používáme výhradně nezbytné technické cookies pro zajištění stability a zabezpečení aplikací.

6. Práva subjektů údajů a kontakty

Dotčené osoby mají v souladu s GDPR právo požadovat od Správce (Školy), případně od Poskytovatele (v rozsahu, v jakém vystupuje jako samostatný správce u poptávek či školení), následující práva:

• Právo na přístup k osobním údajům a vystavení potvrzení o jejich zpracování.
• Právo na opravu nepřesných nebo neúplných údajů.
• Právo na výmaz („právo být zapomenut“), pokud již pominul účel nebo právní základ zpracování.
• Právo na omezení zpracování v případech předvídaných nařízením GDPR.
• Právo na přenositelnost údajů k jinému správci ve strukturovaném a strojově čitelném formátu.
• Právo vznést námitku proti zpracování založenému na oprávněném zájmu.