Umowa powierzenia przetwarzania danych osobowych

Między przedszkolem a 4V3D OÜ, dotycząca usługi grupowej Minute Mission. Wersja 1.0, 23 września 2026.

To jest tekst umowy w języku polskim. Umowa jest publikowana także po angielsku i po estońsku i to właśnie te dwa teksty są wiążące. Klienci w Estonii podpisują tekst estoński. Jeżeli to tłumaczenie różni się od tekstu angielskiego, rozstrzyga tekst angielski.

Jak zawrzeć tę umowę

Dwa sposoby, oba o tym samym skutku.

• Przy składaniu zamówienia. Proszę zaznaczyć pole, w którym akceptują Państwo tę umowę w wersji 1.0. Wersja i data zostają zapisane przy Państwa koncie, kopia dokładnie tego tekstu, który Państwo zaakceptowali, zostaje wysłana na Państwa adres e-mail i pozostaje dostępna na koncie.
• Na papierze, jeżeli Państwa placówka potrzebuje podpisu. Prosimy napisać do nas na info@4v3d.ee, a wyślemy ten sam tekst jako dokument z tabelą na Państwa dane. Prosimy podpisać go elektronicznie (podpisem kwalifikowanym eIDAS, przez DocuSign, Adobe Sign albo we własnym krajowym systemie) i odesłać. 4V3D OÜ podpisuje ten sam plik i odsyła go Państwu. Umowa wchodzi w życie z chwilą złożenia późniejszego z dwóch podpisów.

Podmiot przetwarzający: 4V3D OÜ, numer rejestrowy 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonia. Przedstawiciel: Oskar Viil, członek zarządu. Kontakt: info@4v3d.ee.

1. Czego dotyczy ta umowa

Przedszkole (administrator) korzysta z Minute Mission, aplikacji internetowej prowadzonej przez 4V3D OÜ (podmiot przetwarzający), w której nauczyciel prowadzi tablicę zadań i nagród grupy. W tym celu 4V3D OÜ przetwarza dane osobowe opisane w Załączniku II w imieniu przedszkola i zgodnie z jego poleceniami.

Ta umowa obejmuje wszystko, co zgodnie z art. 28 ust. 3 RODO oraz UK GDPR musi zostać uzgodnione na piśmie między administratorem a podmiotem przetwarzającym. Obowiązuje niezależnie od tego, czy przedszkole ma siedzibę w EOG lub w Zjednoczonym Królestwie.

2. Jakie prawo Państwa dotyczy

• Przedszkole w EOG. Stosuje się RODO. Stosuje się także punkt 3.
• Przedszkole w Zjednoczonym Królestwie. Stosuje się UK GDPR oraz Data Protection Act 2018. Dalsze odesłania do RODO czyta się jako odesłania do UK GDPR, odesłania do organu nadzorczego jako odesłania do Information Commissioner, a punktu 3 nie stosuje się.
• Przedszkole w każdym innym miejscu. Dotyczy Państwa własne prawo ochrony danych, a te postanowienia wiążą 4V3D OÜ jako umowa. 4V3D OÜ ma siedzibę w Unii Europejskiej, więc przy tym przetwarzaniu i tak podlega RODO. Nic tutaj nie ogranicza praw, które daje Państwu własne prawo krajowe.

3. Standardowe klauzule umowne Komisji Europejskiej

Jeżeli przedszkole ma siedzibę w EOG, strony stosują standardowe klauzule umowne między administratorami a podmiotami przetwarzającymi, zawarte w załączniku do decyzji wykonawczej Komisji (EU) 2021/915, w ich oficjalnym brzmieniu angielskim. Klauzule te stanowią część tej umowy, a poniższe załączniki są ich załącznikami. Klauzuli 5 (przystąpienie) nie stosuje się. W klauzuli 7.7 stosuje się opcję 2: ogólna pisemna zgoda na dalsze podmioty przetwarzające, z powiadomieniem o każdej zmianie na 30 dni wcześniej. Jeżeli klauzule i ta umowa się różnią, pierwszeństwo mają klauzule.

4. Do czego zobowiązuje się każda ze stron

4V3D OÜ zobowiązuje się:

• Przetwarzać dane osobowe wyłącznie w celu świadczenia usługi i wyłącznie na udokumentowane polecenie przedszkola, w tym w zakresie przekazywania do państwa trzeciego. Tymi poleceniami są ta umowa oraz sposób, w jaki przedszkole korzysta z usługi. Jeżeli prawo UE lub prawo państwa członkowskiego będzie wymagać od 4V3D OÜ innego przetwarzania, 4V3D OÜ najpierw poinformuje o tym przedszkole, chyba że prawo to tego zakazuje.
• Nigdy nie wykorzystywać danych do własnych celów, nie sprzedawać ich, nie używać ich do trenowania czegokolwiek i nie udostępniać ich nikomu poza dalszymi podmiotami przetwarzającymi wymienionymi w Załączniku IV.
• Zadbać o to, by każdy, kto ma dostęp, był zobowiązany do zachowania poufności.
• Utrzymywać środki bezpieczeństwa z Załącznika III i ich nie osłabiać.
• Korzystać wyłącznie z dalszych podmiotów przetwarzających wymienionych w Załączniku IV. 4V3D OÜ może taki podmiot dodać lub zmienić i wcześniej przekazuje osobie do kontaktu po stronie przedszkola pisemne powiadomienie na 30 dni. Przedszkole może w ciągu tych 30 dni zgłosić sprzeciw; jeżeli sprzeciwu nie uda się rozstrzygnąć, przedszkole może zakończyć usługę i otrzymuje zwrot za niewykorzystaną część miesiąca.
• Pomagać przedszkolu w odpowiedzi na żądanie rodzica lub pracownika. Nauczyciele i dyrektor mogą te dane w usłudze już sami przeglądać, poprawiać, eksportować i usuwać. Jeżeli żądanie trafi do 4V3D OÜ, zostaje ono w ciągu pięciu dni roboczych przekazane osobie do kontaktu po stronie przedszkola i nie jest załatwiane bezpośrednio.
• Pomagać przedszkolu w wypełnianiu obowiązków z art. 32 do 36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków, uprzednie konsultacje), z uwzględnieniem tego, co 4V3D OÜ faktycznie wie.
• Poinformować osobę do kontaktu po stronie przedszkola o naruszeniu ochrony danych osobowych w ciągu 24 godzin od stwierdzenia naruszenia, podając to, co wiadomo w tym momencie, a resztę w miarę ustalania.
• Po zakończeniu usługi usunąć dane w ciągu 30 dni albo, na życzenie przedszkola, najpierw je zwrócić. Z zaszyfrowanych kopii zapasowych znikają one w ciągu 90 dni. 4V3D OÜ potwierdza na piśmie, kiedy dane zostały usunięte.
• Udostępniać informacje potrzebne do wykazania wykonania tych obowiązków i umożliwiać audyt. W praktyce oznacza to pisemne odpowiedzi i dokumentację na żądanie. Audyt na miejscu lub audyt przez podmiot zewnętrzny można uzgodnić z 30-dniowym wyprzedzeniem, na koszt przedszkola, nie częściej niż raz w roku, chyba że doszło do naruszenia.
• Niezwłocznie poinformować przedszkole, jeżeli polecenie wydaje się naruszać prawo ochrony danych.

Przedszkole zobowiązuje się:

• Zadbać o to, by miało podstawę prawną tego przetwarzania i by rodzice zostali poinformowani. 4V3D OÜ nie ma kontaktu z rodzicami i nie może zrobić tego za Państwa.
• Utrzymywać dane w usłudze w granicach opisanych w Załączniku II. W szczególności nie wpisywać w pole tekstowe nazwiska dziecka, informacji o zdrowiu, oceny dziecka ani niczego o sytuacji rodziny.
• Dbać o poprawność danych swojego konta i informować 4V3D OÜ o zmianie osoby do kontaktu.
• Zarządzać kontami swoich pracowników: usuwać dostęp nauczyciela, gdy ten odchodzi z pracy.

5. Dwie rzeczy, które nie są przetwarzaniem w Państwa imieniu

Napisane tutaj wprost, żeby nikt nie musiał potem zgadywać.

• Konta pracowników. Imię i nazwisko, adres e-mail oraz hasło nauczyciela albo dyrektora są potrzebne, żeby usługa w ogóle działała, a o tym, jak ją prowadzić, decyduje 4V3D OÜ. W tym wąskim zakresie 4V3D OÜ jest administratorem, a nie podmiotem przetwarzającym, i stosuje się jego własna polityka prywatności. Wszystko, co dotyczy dzieci, jest przetwarzaniem w imieniu przedszkola i jest objęte tą umową.
• Płatność za usługę. Jeżeli przedszkole płaci kartą, płatność obsługuje Stripe Payments Europe Ltd. Stripe otrzymuje nazwę do faktury, adres, numer VAT, adres e-mail i dane karty przedszkola oraz żadnych danych dziecka. Administratorem tych danych rozliczeniowych jest 4V3D OÜ. Stripe nie jest zatem dalszym podmiotem przetwarzającym w rozumieniu tej umowy i nie ma go w Załączniku IV.

6. Czas obowiązywania, prawo właściwe i odpowiedzialność

Ta umowa obowiązuje tak długo, jak 4V3D OÜ przetwarza dane przedszkola, i pozostaje w mocy po zakończeniu usługi aż do usunięcia danych.

Właściwe jest prawo estońskie, a sprawy rozstrzygają sądy okręgu Harju, chyba że przedszkole jest podmiotem publicznym, którego własne przepisy wymagają prawa i sądów krajowych; w takim przypadku strony uzgadniają to przed podpisaniem.

Odpowiedzialność określają Warunki korzystania z Minute Mission, które ta umowa uzupełnia i których nie zastępuje.

Załącznik I. Strony

Administrator: przedszkole, identyfikowane na podstawie danych, które podaje przy zamówieniu albo wpisuje do podpisywanego egzemplarza. Rola: administrator danych dzieci prowadzonych na tablicy grupy.

Podmiot przetwarzający: 4V3D OÜ, numer rejestrowy 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonia. Kontakt: Oskar Viil, członek zarządu, info@4v3d.ee. Nie wyznaczono inspektora ochrony danych, ponieważ RODO tego tutaj nie wymaga.

Każda ze stron może zmienić swoją osobę do kontaktu, pisząc o tym drugiej stronie.

Załącznik II. Opis przetwarzania

Załącznik III. Środki bezpieczeństwa

• Dane są w Unii Europejskiej. Aplikacja i jej kopie zapasowe działają w centrum danych Hetzner Online GmbH w Helsinkach w Finlandii (z certyfikatem ISO/IEC 27001). Pocztę systemową wysyła Scaleway SAS we Francji. Nie ma przekazywania do państwa trzeciego.
• Wszystko, co idzie przez sieć, jest szyfrowane (HTTPS, obowiązuje Content Security Policy). Hasła nigdy nie są przechowywane, tylko ich skrót, a tokeny sesji też są przechowywane w postaci skrótu, więc kopia bazy danych nie jest zestawem działających kluczy.
• Każda grupa to osobne konto. Nauczyciel widzi tylko dzieci ze swojej grupy. Dyrektor ma jedno logowanie do swoich grup i nie ma dostępu do żadnych innych.
• Na konto grupy nie da się wgrać zdjęć, powiadomienia push są wyłączone, a obrazki dzieci są wybierane z gotowego zestawu rysunków.
• Codzienne szyfrowane kopie zapasowe, przechowywane 14 dni na serwerze i 90 dni poza nim. Są szyfrowane kluczem publicznym, którego sam serwer nie ma, więc serwer nie może odczytać własnych kopii. Odtwarzanie z kopii zostało przetestowane.
• Dostęp do serwera ma wyłącznie członek zarządu 4V3D OÜ. Nie ma żadnego pracownika, podwykonawcy ani konsultanta wsparcia z dostępem.
• Żadnej analityki, żadnych narzędzi reklamowych i żadnego śledzenia. Jedynym regularnym raportem jest dzienna liczba rejestracji, aktywnych kont i błędów, bez żadnych nazwisk.
• Ograniczenie liczby prób przy logowaniu i rejestracji oraz limit 30 dni na to, jak daleko wstecz można odhaczyć zadanie, żeby pomyłka albo nadużycie nie przepisały historii z wielu miesięcy.
• Pisemny przegląd bezpieczeństwa całego kodu źródłowego został wykonany dwukrotnie przez zewnętrzny model, ostatnio 20 września 2026, a wnioski zostały wdrożone.

Załącznik IV. Dalsze podmioty przetwarzające

Oba podmioty są w Unii Europejskiej. Nie ma dalszego podmiotu przetwarzającego poza UE i nie ma międzynarodowego przekazywania danych, które trzeba by oceniać.