Smlouva o zpracování osobních údajů

Mezi mateřskou školou a 4V3D OÜ, pro skupinovou službu Minute Mission. Verze 1.0, 23. září 2026.

Toto je české znění smlouvy. Smlouva je zveřejněna také v angličtině a estonštině a právě tato dvě znění jsou rozhodující. Zákazníci v Estonsku podepisují estonské znění. Pokud se tento překlad liší od anglického znění, platí anglické znění.

Jak smlouvu uzavřít

Dvě cesty se stejným účinkem.

• Při objednávce. Zaškrtněte políčko, kterým přijímáte tuto smlouvu, verzi 1.0. Verze a datum se zaznamenají k Vašemu účtu, kopie přesného znění, které jste přijali, Vám přijde e-mailem a zůstane dostupná ve Vašem účtu.
• Na papíře, pokud Vaše organizace potřebuje podpis. Napište nám na info@4v3d.ee a pošleme Vám stejné znění jako dokument s tabulkou pro Vaše údaje. Podepište jej elektronicky (kvalifikovaným podpisem podle eIDAS, přes DocuSign, Adobe Sign nebo vlastním národním řešením) a pošlete zpět. 4V3D OÜ podepíše stejný soubor a vrátí Vám jej. Smlouva nabývá účinnosti pozdějším z obou podpisů.

Zpracovatel: 4V3D OÜ, registrační číslo 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonsko. Zástupce: Oskar Viil, jednatel. Kontakt: info@4v3d.ee.

1. Co tato smlouva upravuje

Mateřská škola (správce) používá Minute Mission, webovou aplikaci provozovanou 4V3D OÜ (zpracovatel), ve které učitelka vede tabuli úkolů a odměn pro třídu. Za tím účelem 4V3D OÜ zpracovává osobní údaje popsané v Příloze II jménem mateřské školy a podle jejích pokynů.

Tato smlouva obsahuje vše, co podle čl. 28 odst. 3 GDPR a podle UK GDPR musí být mezi správcem a zpracovatelem sjednáno písemně. Platí bez ohledu na to, zda je mateřská škola usazena v EHP nebo ve Spojeném království.

2. Které právo se na Vás vztahuje

• Mateřská škola v EHP. Použije se GDPR. Použije se i oddíl 3.
• Mateřská škola ve Spojeném království. Použije se UK GDPR a Data Protection Act 2018. Níže uvedené odkazy na GDPR se čtou jako odkazy na UK GDPR, odkazy na dozorový úřad jako odkazy na Information Commissioner a oddíl 3 se nepoužije.
• Mateřská škola kdekoli jinde. Vztahuje se na Vás Vaše vlastní právo na ochranu osobních údajů a tyto podmínky zavazují 4V3D OÜ smluvně. 4V3D OÜ je usazen v Evropské unii, takže se na toto zpracování GDPR vztahuje tak jako tak. Nic zde neomezuje právo, které Vám dává Váš vlastní právní řád.

3. Standardní smluvní doložky Evropské komise

Je-li mateřská škola usazena v EHP, uplatní strany standardní smluvní doložky mezi správci a zpracovateli obsažené v příloze prováděcího rozhodnutí Komise (EU) 2021/915, v jejich úředním anglickém znění. Tyto doložky jsou součástí této smlouvy a níže uvedené přílohy jsou jejich přílohami. Doložka 5 (přistoupení) se nepoužije. V doložce 7.7 se použije varianta 2: obecné písemné povolení dalších zpracovatelů, s oznámením každé změny 30 dní předem. Pokud se doložky a tato smlouva liší, mají přednost doložky.

4. K čemu se která strana zavazuje

4V3D OÜ se zavazuje:

• Zpracovávat osobní údaje pouze za účelem poskytování služby a pouze podle doložených pokynů mateřské školy, včetně pokynů k předání do třetí země. Těmito pokyny jsou tato smlouva a způsob, jakým mateřská škola službu používá. Pokud by právo EU nebo členského státu vyžadovalo od 4V3D OÜ jiné zpracování, oznámí to 4V3D OÜ mateřské škole předem, ledaže to takové právo zakazuje.
• Nikdy nepoužívat údaje pro vlastní účely, neprodávat je, nepoužívat je k trénování čehokoli a neukazovat je nikomu kromě dalších zpracovatelů uvedených v Příloze IV.
• Zajistit, aby každý, kdo má přístup, byl vázán mlčenlivostí.
• Udržovat bezpečnostní opatření uvedená v Příloze III a neoslabovat je.
• Používat pouze další zpracovatele uvedené v Příloze IV. 4V3D OÜ může dalšího zpracovatele přidat nebo vyměnit a kontaktní osobě mateřské školy to písemně oznámí 30 dní předem. Mateřská škola může v této lhůtě 30 dní vznést námitku; pokud se námitku nepodaří vyřešit, může mateřská škola službu ukončit a dostane zpět peníze za nevyužitou část měsíce.
• Pomáhat mateřské škole s odpovědí na žádost rodiče nebo zaměstnance. Učitelky a ředitel si tyto údaje ve službě už sami mohou zobrazit, opravit, exportovat a smazat. Pokud žádost dorazí místo toho k 4V3D OÜ, je do pěti pracovních dnů předána kontaktní osobě mateřské školy a 4V3D OÜ na ni sám neodpovídá.
• Pomáhat mateřské škole s jejími povinnostmi podle čl. 32 až 36 GDPR (zabezpečení, ohlašování porušení, posouzení vlivu, předchozí konzultace), s ohledem na to, co 4V3D OÜ skutečně ví.
• Oznámit kontaktní osobě mateřské školy porušení zabezpečení osobních údajů do 24 hodin od okamžiku, kdy se o něm dozví, s tím, co je v tu chvíli známo, a se zbytkem, jakmile je zjištěn.
• Po skončení služby smazat údaje do 30 dnů, nebo je na žádost mateřské školy nejprve předat zpět. Ze šifrovaných záloh zmizí do 90 dnů. 4V3D OÜ písemně potvrdí, kdy byly údaje smazány.
• Zpřístupnit informace potřebné k prokázání plnění těchto povinností a umožnit audit. V praxi to znamená písemné odpovědi a dokumentaci na vyžádání. Audit na místě nebo audit provedený třetí stranou lze domluvit s oznámením 30 dní předem, na náklady mateřské školy, nejvýše jednou za rok, ledaže došlo k porušení zabezpečení.
• Neprodleně mateřskou školu upozornit, pokud se pokyn jeví jako porušení práva na ochranu osobních údajů.

Mateřská škola se zavazuje:

• Zajistit, že má pro toto zpracování právní základ a že rodiče byli informováni. 4V3D OÜ rodiče nevidí a nemůže to za Vás udělat.
• Držet údaje ve službě v mezích popsaných v Příloze II. Do volného textu zejména nepište příjmení dítěte, údaje o zdraví, hodnocení dítěte ani nic o poměrech v rodině.
• Udržovat údaje svého účtu správné a oznámit 4V3D OÜ, když se změní kontaktní osoba.
• Spravovat účty svých zaměstnanců: zrušit přihlášení učitelky, když odchází.

5. Dvě věci, které nejsou zpracováním pro Vás

Řečeno zde rovnou, aby později nikdo nemusel hádat.

• Účty zaměstnanců. Jméno, e-mailová adresa a heslo učitelky nebo ředitele jsou potřeba k tomu, aby služba vůbec běžela, a o tom, jak ji provozovat, rozhoduje 4V3D OÜ. Pro tento úzký účel je 4V3D OÜ správcem, nikoli zpracovatelem, a použijí se jeho vlastní zásady ochrany osobních údajů. Vše, co se týká dětí, je zpracování pro mateřskou školu a je kryto touto smlouvou.
• Placení za službu. Pokud mateřská škola platí kartou, platbu zajišťuje Stripe Payments Europe Ltd. Stripe dostává fakturační jméno, adresu, DIČ, e-mail a údaje o kartě mateřské školy a žádné údaje o dítěti. Správcem těchto fakturačních údajů je 4V3D OÜ. Stripe tedy podle této smlouvy není dalším zpracovatelem a není v Příloze IV.

6. Trvání, rozhodné právo a odpovědnost

Tato smlouva trvá tak dlouho, dokud 4V3D OÜ zpracovává údaje mateřské školy, a přetrvává po skončení služby až do smazání údajů.

Použije se estonské právo a příslušné jsou soudy kraje Harju, ledaže je mateřská škola veřejnou institucí, jejíž vlastní pravidla vyžadují její národní právo a soudy; v takovém případě se na tom strany dohodnou před podpisem.

Odpovědnost je upravena v Podmínkách používání Minute Mission, které tato smlouva doplňuje a nenahrazuje.

Příloha I. Strany

Správce: mateřská škola, určená podle údajů, které uvede při objednávce nebo vyplní do podepisovaného vyhotovení. Role: správce údajů dětí vedených na tabuli třídy.

Zpracovatel: 4V3D OÜ, registrační číslo 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonsko. Kontakt: Oskar Viil, jednatel, info@4v3d.ee. Pověřenec pro ochranu osobních údajů nebyl jmenován, protože to zde GDPR nevyžaduje.

Každá strana může svou kontaktní osobu změnit písemným sdělením druhé straně.

Příloha II. Popis zpracování

Příloha III. Bezpečnostní opatření

• Údaje jsou v Evropské unii. Aplikace a její zálohy běží v datovém centru Hetzner Online GmbH v Helsinkách ve Finsku (s certifikací ISO/IEC 27001). Servisní e-maily odesílá Scaleway SAS ve Francii. K žádnému předání do třetí země nedochází.
• Vše, co jde po síti, je šifrované (HTTPS, s platnou Content Security Policy). Hesla se nikdy neukládají, jen jejich otisk, a tokeny relací se ukládají rovněž jako otisk, takže kopie databáze není svazkem funkčních klíčů.
• Každá třída je samostatný účet. Učitelka vidí jen děti ze své třídy. Ředitel má jedno přihlášení ke svým třídám a nemá přístup k žádným cizím.
• Do účtu třídy nelze nahrát fotografie, push notifikace jsou vypnuté a obrázky dětí jsou pevná sada kreseb.
• Denní šifrované zálohy, uchovávané 14 dní na serveru a 90 dní mimo něj. Jsou šifrované veřejným klíčem, který sám server nemá, takže server své vlastní zálohy nepřečte. Obnova ze zálohy byla vyzkoušena.
• Přístup k serveru má pouze jednatel 4V3D OÜ. Není žádný zaměstnanec, dodavatel ani pracovník podpory s přístupem.
• Žádná analytika, žádné reklamní nástroje a žádné sledování. Jediným pravidelným hlášením je denní počet registrací, aktivních účtů a chyb, který neobsahuje žádná jména.
• Omezení počtu pokusů při přihlášení a registraci a limit 30 dní na to, jak daleko zpět lze úkol odškrtnout, aby omyl nebo zneužití nemohly přepsat měsíce historie.
• Písemná bezpečnostní prověrka celého zdrojového kódu proběhla dvakrát externím modelem, naposledy 20. září 2026, a její zjištění byla uzavřena.

Příloha IV. Další zpracovatelé

Oba jsou v Evropské unii. Mimo EU není žádný další zpracovatel a není zde žádné mezinárodní předání, které by bylo třeba posuzovat.