1. Zmluvné strany a rozsah
Sprostredkovateľ: Classigo (MFdigital s.r.o.), Rožňavská 1, 040 11 Košice, Slovenská republika, IČO 46300996, IČ DPH 2023323896. Spoločnosť je registrovaná podľa § 7a zákona č. 222/2004 Z. z. o DPH a nie je platiteľom DPH. Zápis: Obchodný register Mestského súdu Košice, oddiel: Sro, vložka č. 28243/V. Kontaktný e-mail pre ochranu údajov: privacy@classigo.eu.
Prevádzkovateľ: škola alebo iný zákazník, ktorý uzatvoril zmluvu na používanie Classigo a určuje účely a prostriedky spracúvania školských osobných údajov. Identitou Prevádzkovateľa je právnická alebo fyzická osoba uvedená v zákazníckom účte alebo v osobitnom potvrdení DPA. Osoba prijímajúca DPA potvrdzuje oprávnenie konať za Prevádzkovateľa.
Classigo je služba prevádzkovaná Sprostredkovateľom. Táto DPA sa vzťahuje na osobné údaje, ktoré Sprostredkovateľ spracúva v mene Prevádzkovateľa pri poskytovaní funkcií služby zvolených školou a jej používateľmi. Každý zákazník určuje účely spracúvania svojich školských údajov samostatne.
Pri spracúvaní údajov potrebných na vlastnú registráciu a správu zákazníka, fakturáciu predplatného, bezpečnosť platformy, vlastnú analytiku, podporu alebo dobrovoľný newsletter určuje účely Sprostredkovateľ sám a koná ako samostatný prevádzkovateľ. Také spracúvanie nie je predmetom tejto DPA. Stripe pre SaaS predplatné a MailerLite pre newsletter sa používajú na vlastné podnikateľské účely Classigo; ak sa ich účel zmení na spracúvanie školských údajov, ich právny režim sa musí prehodnotiť.
2. Predmet, trvanie, povaha a účel spracúvania
Predmetom je spracúvanie osobných údajov nevyhnutné na poskytnutie, zabezpečenie, podporu a ukončenie používania Classigo podľa tejto DPA a zdokumentovaných pokynov Prevádzkovateľa. Povaha spracúvania zahŕňa najmä získavanie od Prevádzkovateľa alebo používateľov, zaznamenávanie, usporadúvanie, uchovávanie, vyhľadávanie, zobrazovanie, úpravu, používanie, prenos oprávneným sub-sprostredkovateľom, export, obmedzenie a vymazanie údajov.
Spracúvanie trvá po dobu účinnosti zmluvy o službe a následne iba v rozsahu potrebnom na vykonanie pokynov na vrátenie alebo vymazanie, obnovu školy počas stanovenej lehoty, splnenie právnej povinnosti alebo bezpečné uzavretie spracúvania. Konkrétne činnosti a kategórie sú uvedené v Prílohe A.
3. Pokyny a povinnosti Prevádzkovateľa
Zdokumentovanými pokynmi sú táto DPA, zmluva o službe, výber a konfigurácia funkcií v účte, úkony oprávnených používateľov v aplikácii a následné písomné pokyny oprávnenej osoby. Sprostredkovateľ nespracúva školské údaje na vlastné účely. Ak právny predpis Únie alebo členského štátu vyžaduje iné spracúvanie, Sprostredkovateľ o tom Prevádzkovateľa vopred informuje, ak to zákon nezakazuje.
Prevádzkovateľ zodpovedá za zákonnosť spracúvania, právny základ, transparentné informovanie dotknutých osôb, presnosť a minimalizáciu údajov, určenie lehôt uchovávania, správu používateľských oprávnení a zákonnosť pokynov. Prevádzkovateľ rozhoduje, či do služby vloží údaje detí alebo osobitné kategórie údajov, a zabezpečí právny základ a primerané ochranné opatrenia. Do voľných textových polí a súborov nemá vkladať údaje, ktoré nie sú potrebné na účel služby.
4. Povinnosti Sprostredkovateľa
- Spracúvať osobné údaje iba na zdokumentované pokyny Prevádzkovateľa a na účely uvedené v tejto DPA.
- Zabezpečiť, aby sa osoby oprávnené spracúvať údaje zaviazali k dôvernosti alebo podliehali primeranej zákonnej povinnosti mlčanlivosti.
- Uplatňovať primerané technické a organizačné opatrenia opísané v Prílohe B; ich uplatnenie sa posudzuje podľa skutočne nasadenej konfigurácie.
- Dodržiavať podmienky pre zapojenie ďalších sprostredkovateľov podľa článku 7 a Prílohy C.
- Vzhľadom na povahu spracúvania pomáhať Prevádzkovateľovi primeranými technickými a organizačnými opatreniami pri vybavovaní žiadostí dotknutých osôb.
- Poskytovať primeranú súčinnosť pri povinnostiach podľa článkov 32 až 36 GDPR s prihliadnutím na povahu spracúvania a informácie, ktoré má k dispozícii.
- Po skončení spracúvania podľa článku 10 podľa pokynu Prevádzkovateľa osobné údaje vrátiť alebo vymazať, okrem uchovávania vyžadovaného právom.
- Poskytnúť informácie potrebné na preukázanie plnenia povinností podľa článku 28 GDPR a umožniť audity podľa článku 11.
- Bez zbytočného odkladu upozorniť Prevádzkovateľa, ak sa podľa jeho názoru pokyn javí ako porušujúci GDPR alebo iné pravidlá ochrany údajov.
5. Mlčanlivosť a bezpečnosť
Sprostredkovateľ obmedzí prístup k osobným údajom na osoby a systémy potrebné na poskytovanie služby, prevádzku, podporu alebo bezpečnosť. Prístup zamestnancov alebo podpory k obsahu školských údajov sa vykonáva iba v rozsahu potrebnom na pokyn, podporu, riešenie incidentu alebo zákonnú povinnosť. Sprostredkovateľ zachováva dôvernosť údajov aj po skončení tejto DPA v rozsahu, v akom mu údaje zostávajú dostupné.
Príloha B opisuje opatrenia používané pri poskytovaní služby. Nie je certifikáciou ani výsledkom penetračného testu a nepredstavuje záruku všetkých vlastností cloudových služieb. Táto DPA nepotvrdzuje, že všetky uložené údaje, údaje prenášané medzi systémami a zálohy sú šifrované, ani že poskytovatelia používajú konkrétne formy viacfaktorového overenia, sieťovej segmentácie, pravidelných testov obnovy alebo bezpečnostného auditu či aké fyzické bezpečnostné opatrenia používajú. Podmienky Laravel Cloud vyžadujú písomné schválenie spracúvania citlivých údajov. Táto DPA také samostatné schválenie nenahrádza a nepotvrdzuje, či bolo vydané pre spracúvanie Classigo.
6. Pomoc pri právach osôb a regulačných povinnostiach
Ak Sprostredkovateľ dostane žiadosť týkajúcu sa školských údajov, neodpovie na ňu vecne v mene Prevádzkovateľa, pokiaľ na to nemá jeho pokyn alebo zákonnú povinnosť. Žiadosť bez zbytočného odkladu postúpi Prevádzkovateľovi alebo ho upozorní, aby ju vybavil. Na základe dostupných funkcií a informácií pomôže pri prístupe, oprave, obmedzení, exporte alebo vymazaní údajov.
Sprostredkovateľ poskytne primeranú súčinnosť pri posúdení vplyvu na ochranu údajov, predchádzajúcej konzultácii s dozorným orgánom a pri preukazovaní bezpečnostných opatrení. Rozsah pomoci zohľadňuje informácie dostupné Sprostredkovateľovi; Prevádzkovateľ zostáva zodpovedný za vlastné rozhodnutia a zákonné lehoty.
7. Sub-sprostredkovatelia
Prevádzkovateľ udeľuje všeobecné písomné oprávnenie používať poskytovateľov a na účely uvedené v Prílohe C v rozsahu tam opísaných podmienok. Priamy sprostredkovateľ Classigo môže zapojiť ďalšieho sprostredkovateľa iba v rámci svojho zmluvného reťazca a v súlade s článkom 28 ods. 2 a 4 GDPR. Poskytovatelia označení v Prílohe C ako služby, ktorých právne postavenie nie je určené alebo ktorých podmienky nie sú potvrdené, nie sú týmto všeobecným oprávnením schválené na prenos školských osobných údajov. Dostupnosť funkcie alebo technického prepojenia sama osebe nie je oprávnením zapojiť poskytovateľa.
Sprostredkovateľ uloží každému schválenému sub-sprostredkovateľovi rovnaké povinnosti ochrany údajov, aké má podľa tejto DPA, v rozsahu jeho spracúvania. Pred zmenou alebo pridaním sub-sprostredkovateľa oznámi Prevádzkovateľovi zmenu vopred a poskytne mu reálnu možnosť odôvodnene namietať pred začatím spracúvania. Oznámenie sa doručí na kontaktný e-mail administrátora školy evidovaný v zákazníckom účte, prípadne iným preukázateľným elektronickým spôsobom. Ak sa strany nedohodnú na riešení, Prevádzkovateľ môže ukončiť dotknutú funkciu alebo zmluvu o službe v rozsahu dovolenom zmluvou a právom. Oznámenie o zmene uvedie lehotu a spôsob podania námietky. Nový alebo náhradný poskytovateľ školských údajov sa nezapojí pred tým, ako budú tieto podmienky určené a oznámené.
8. Prenosy mimo EHP
Produkčné databázy, ich zálohy a aplikačné logy Laravel Cloud sú vo Frankfurte a podľa potvrdenia Laravel sa nereplikujú mimo zvoleného regiónu. Objektové úložisko používa Cloudflare R2 nakonfigurované na ukladanie v EÚ. To neznamená, že všetko spracúvanie alebo všetky prístupy zostávajú v EHP: Cloudflare používa globálnu edge sieť, riadiace metadáta spracúva v USA, v USA vytvára súhrnné monitorovacie metriky a k údajom môže pristupovať medzinárodný personál. Pri voliteľných externých službách, najmä pri AI službe OpenAI, môžu nastať ďalšie medzinárodné prenosy.
Každý prenos mimo EHP sa vykoná iba na zdokumentovaný pokyn Prevádzkovateľa a pri splnení kapitoly V GDPR. Laravel potvrdil, že jeho DPA zahŕňa štandardné zmluvné doložky pre príslušné medzinárodné prenosy. Pri OpenAI sa uplatňuje podpísaná DPA s OpenAI Ireland Ltd.; tá upravuje príslušné mechanizmy ďalších prenosov. Táto DPA nesľubuje konkrétnu dobu uchovávania ani regionálnu konfiguráciu OpenAI API pre Classigo. Pri ďalších poskytovateľoch sa konkrétny mechanizmus a jeho použiteľnosť posudzujú podľa služby a účtu. Ak sa prenos alebo prístup vyžaduje právnym predpisom, Sprostredkovateľ informuje Prevádzkovateľa, ak to právny predpis nezakazuje.
9. Bezpečnostný incident
Po tom, ako sa Sprostredkovateľ dozvie o porušení ochrany osobných údajov týkajúcom sa spracúvania podľa tejto DPA, oznámi ho Prevádzkovateľovi bez zbytočného odkladu. Oznámenie uvedie informácie dostupné v tom čase, najmä povahu incidentu, dotknuté kategórie a približný rozsah, pravdepodobné následky, vykonané alebo plánované opatrenia a kontaktný bod. Ak nie je možné poskytnúť všetky informácie naraz, doplní ich postupne bez zbytočného odkladu. Prevádzkovateľ zodpovedá za rozhodnutie o oznámení dozornému orgánu a dotknutým osobám.
10. Export, ukončenie, vrátenie a vymazanie
Počas aktívneho prístupu môže administrátor školy požiadať o export prostredníctvom funkcie dostupnej v aplikácii. Dokončený archív je dostupný sedem dní; prístup na stiahnutie je obmedzený na administrátora, ktorý export vyžiadal. Export nemusí obsahovať konfiguráciu, auditné záznamy, zálohy ani údaje vedené samostatne u externých poskytovateľov.
Pri žiadosti o zrušenie školy sa prístup pozastaví. Obnova je možná počas 30 dní od žiadosti; školské údaje počas tejto doby zostávajú uchované na účely možnej obnovy. Po uplynutí tejto lehoty sa trvalé odstránenie nespúšťa automaticky a vyžaduje samostatné manuálne schválenie superadministrátorom Classigo. Údaje zostávajú uchované, kým sa schválené odstránenie nedokončí. Samotné ukončenie prístupu nepotvrdzuje úplné vymazanie údajov zo všetkých systémov. Táto DPA nepotvrdzuje okamžité odstránenie údajov u externých poskytovateľov ani zo záloh; uplatňujú sa aj ich podmienky a lehoty uchovávania.
Na konci spracúvania Prevádzkovateľ zvolí vrátenie alebo vymazanie školských údajov; ak to právny predpis vyžaduje, Sprostredkovateľ príslušné údaje uchová a obmedzí ich ďalšie spracúvanie na tento účel. Laravel potvrdil, že po ukončení služby vymaže zákaznícke údaje a zálohy najneskôr do 30 dní, s výnimkou údajov, ktoré musí uchovať podľa právneho predpisu. Samostatné nastavenie retencie databázových záloh Classigo je 7 dní; táto lehota sa nevzťahuje na všetky PostgreSQL zálohy. Pri Serverless PostgreSQL PITR sa retencia riadi samostatným recovery window, ktoré môže byť nastavené až na 30 dní; konkrétne nastavenie sa môže líšiť. Neon uchováva samostatné šifrované zálohy 30 dní, po ktorých sa odstránia. Laravel uvádza, že nakonfigurované databázové zálohy sa po uplynutí svojej lehoty automaticky a trvalo odstránia. Cloudflare R2 štandardne nemá zálohy spravované Laravelom; objekty sa odstránia pri výslovnom odstránení alebo zmazaní bucketu. Tieto pravidlá sa nevzťahujú na iných poskytovateľov, napríklad OpenAI alebo Nightwatch; ich uchovávanie sa riadi príslušnými podmienkami a nastaveniami.
11. Informácie, audity a kontroly
Sprostredkovateľ sprístupní Prevádzkovateľovi informácie, ktoré má k dispozícii a ktoré sú potrebné na preukázanie plnenia tejto DPA a článku 28 GDPR. Prevádzkovateľ môže vykonať audit alebo poveriť nezávislého audítora, vrátane kontroly na mieste, ak je to potrebné a primerané. Strany vopred dohodnú rozsah, termín a pravidlá dôvernosti a bezpečnosti tak, aby audit neprimerane neohrozil údaje iných škôl ani bezpečnosť služby. Sprostredkovateľ oznámi zistené nesplnenie povinností a prijme primerané nápravné opatrenia.
12. Nezákonný pokyn, zodpovednosť a zmeny
Ak sa Sprostredkovateľ domnieva, že pokyn porušuje GDPR alebo iný predpis na ochranu údajov, upozorní na to Prevádzkovateľa a môže pozastaviť vykonanie dotknutého pokynu do jeho potvrdenia alebo opravy, ak tým neporuší právnu povinnosť. Zodpovednosť strán sa posudzuje podľa GDPR, najmä článkov 28 a 82, a ostatných uplatniteľných právnych predpisov; táto DPA nevylučuje práva dotknutých osôb ani zákonnú zodpovednosť.
Zmena DPA sa vykoná v písomnej alebo elektronickej forme, ktorá umožňuje preukázať jej znenie, verziu, čas a osoby, ktoré ju prijali. Ak ustanovenie stratí účinnosť, ostatné ustanovenia zostávajú zachované v rozsahu dovolenom právom. DPA sa riadi právom Slovenskej republiky a priamo uplatniteľným právom EÚ, bez obmedzenia kogentných práv dotknutých osôb a príslušnosti dozorných orgánov a súdov.
Príloha A — Opis spracúvania
| Predmet a účel | Poskytovanie školského SaaS: evidencia škôl a pobočiek, používateľov a oprávnení, študentov a kontaktov, kurzov, lekcií, dochádzky, prihlášok, hodnotení, platieb, fakturačných podkladov, komunikácie a súborov; technická podpora, bezpečnosť, synchronizácie a export podľa pokynov školy. |
|---|---|
| Trvanie | Počas zmluvy o službe a následné obdobie potrebné na vykonanie pokynov, 30-dňovú obnovu po zrušení školy, schválené odstránenie a zákonné uchovávanie. Dokončený export je dostupný 7 dní. Retencia databázových záloh Classigo je nastavená na 7 dní; táto lehota sa nevzťahuje na všetky PostgreSQL zálohy. Serverless PostgreSQL PITR sa riadi samostatným recovery window až do 30 dní; konkrétne nastavenie Classigo nie je potvrdené. Neon uchováva samostatné šifrované zálohy 30 dní. Laravel uvádza, že zákaznícke údaje a zálohy po ukončení služby vymaže najneskôr do 30 dní, s výnimkou zákonného uchovávania. Retencia aplikačných logov závisí od plánu služby; konkrétny plán Classigo nie je potvrdený. |
| Povaha operácií | Zber, záznam, usporiadanie, uloženie, zmena, vyhľadanie, zobrazenie, použitie, prenos, sprístupnenie podľa oprávnení, obmedzenie, export a odstránenie. |
| Dotknuté osoby | Študenti vrátane maloletých; rodičia, zákonní zástupcovia a iné kontaktné osoby; učitelia, lektori a zamestnanci školy; uchádzači a osoby, ktoré podávajú prihlášku; administrátori a ďalší používatelia školy; príjemcovia školských oznámení. |
| Typy údajov | Meno, kontaktné a adresné údaje, dátum narodenia, identifikátory vložené školou, fotografie, vzťahy ku kontaktom, používateľské účty a roly, kurz a rozvrh, dochádzka a ospravedlnenia, hodnotenia a poznámky, prihláškové odpovede a súhlasy, školské poplatky, platby a fakturačné záznamy, obsah správ, údaje kalendárových udalostí, prístupové a prevádzkové záznamy, súbory a prílohy. Voľný text alebo súbor môže obsahovať osobitné kategórie údajov. Táto DPA sama osebe neurčuje účel ani právny základ školy na ich spracúvanie. |
| Citlivé údaje a deti | Škola môže spracúvať údaje maloletých. Údaje o zdraví a iné osobitné kategórie vyžadujú samostatné posúdenie nevyhnutnosti, právneho základu, informovania a ochranných opatrení. Podmienky Laravel Cloud vyžadujú písomné schválenie na spracúvanie citlivých údajov; táto DPA také schválenie nenahrádza. Také údaje sa nesmú vložiť do služby bez zdokumentovaného pokynu školy, právneho posúdenia a požadovaného schválenia. |
Príloha B — Technické a organizačné opatrenia
- Oddelenie zákazníckych údajov: údaje každej školy sa spracúvajú v samostatnom tenantovom kontexte. PostgreSQL používa samostatnú schému školy; ďalšie podporované databázové režimy používajú samostatné databázy. Centrálne záznamy sa uchovávajú oddelene od školských tabuliek.
- Riadenie prístupu: prístup do aplikácie vyžaduje autentifikáciu a riadi sa rolami a oprávneniami; pri príslušných funkciách aj rozsahom pobočky. Citlivé AI operácie vyžadujú serverové schválenie a opätovné overenie oprávnenia.
- Autentifikačné údaje: heslá sa ukladajú vo forme kryptografického hashu. Google Calendar OAuth tokeny sa ukladajú šifrovane. Tieto opatrenia neznamenajú, že všetky osobné údaje v databáze sú šifrované.
- Ochrana webových požiadaviek: webové formuláre používajú ochranu proti CSRF. Vybrané prihlasovacie, webhookové a citlivé akcie majú limity požiadaviek alebo kontrolu podpisu.
- Úlohy na pozadí: úlohy, ktoré pracujú so školskými údajmi, obnovia kontext príslušnej školy pred ich spracovaním. Vybrané citlivé operácie používajú transakcie, zámky alebo kontrolu stavu.
- Export školy: exporty sa ukladajú oddelene s obmedzeným prístupom. Stiahnutie sa kontroluje podľa administrátorského oprávnenia, vlastníctva exportu a školy. Tým sa nepotvrdzujú všetky pravidlá prístupu cloudového poskytovateľa ani nastavenia iných úložísk.
- Umiestnenie a zálohy: databázy, databázové zálohy a aplikačné logy Laravel Cloud sú vo Frankfurte a nereplikujú sa mimo zvoleného regiónu. Cloudflare R2 je nakonfigurované na ukladanie v EÚ. Retencia databázových záloh Classigo je 7 dní; Serverless PostgreSQL PITR používa osobitné recovery window, ktoré môže byť nastavené až na 30 dní. Neon uchováva samostatné šifrované zálohy 30 dní. Laravel uvádza, že nakonfigurované zálohy po uplynutí lehoty odstraňuje a po ukončení služby odstráni zákaznícke údaje a zálohy do 30 dní, s výnimkou zákonného uchovávania. Laravel štandardne nespravuje zálohy R2.
- Logy a medzinárodné prístupy: retencia Laravel Cloud logov závisí od plánu služby a môže byť 1, 7 alebo 30 dní. Cloudflare používa globálnu edge sieť; riadiace metadáta a súhrnné monitorovacie metriky spracúva aj v USA a k údajom môže pristupovať medzinárodný personál. Laravel uvádza, že jeho DPA zahŕňa štandardné zmluvné doložky pre príslušné prenosy. Nie všetok prístup alebo spracúvanie preto zostáva v EHP.
- Monitoring: Laravel Nightwatch spracúva výkonové a prevádzkové udalosti vo Frankfurte. Telemetria môže obsahovať identifikátory a text výnimky vrátane osobných údajov. Doba uchovávania telemetrie nie je potvrdená.
- Rozsah vyhlásení: Táto DPA nevyhlasuje šifrovanie všetkých databáz, údajov pri prenose a záloh, viacfaktorové overenie u všetkých poskytovateľov, konkrétnu správu cloudových identít ani sieťovú segmentáciu, pravidelné testy obnovy, penetračné testy, certifikáciu, bezpečnostné školenia, konkrétny rozsah monitorovania ani bezpečnostnú reakčnú lehotu.
Príloha C — Sub-sprostredkovatelia a externé služby
Príloha rozlišuje priamych poskytovateľov Classigo od ďalších sprostredkovateľov v reťazci Laravel Cloud. Voliteľné služby sa používajú po aktivácii funkcie, pripojení účtu alebo podľa pokynu školy. Ak je pri službe uvedené, že jej právne postavenie nie je určené, táto DPA ju neschvaľuje ako sub-sprostredkovateľa podľa článku 28 GDPR. Pripojenie externého účtu môže napriek tomu prenášať údaje danej služby; jeho právne postavenie a príslušné zmluvné podmienky sa posudzujú osobitne.
| Poskytovateľ a vzťah | Účel a typ údajov | Umiestnenie, uchovávanie a podmienky |
|---|---|---|
| Laravel Cloud — priamy poskytovateľ infraštruktúry; Laravel Holdings, Inc. (Delaware, USA) | Hostovanie produkčnej aplikácie, databáz, aplikačných logov, databázových záloh a objektového úložiska. Môžu sa spracúvať školské záznamy, súbory a technické údaje. | Databázy, zálohy a aplikačné logy sú vo Frankfurte a nereplikujú sa mimo zvoleného regiónu. Úložisko používa Cloudflare R2 nakonfigurované na ukladanie v EÚ. DPA Laravel Cloud z 1. októbra 2026 je súčasťou Cloud Terms of Service. Register subdodávateľov je dostupný v Laravel Trust Center. Samostatná retencia databázových záloh Classigo je 7 dní; táto lehota sa nevzťahuje na PostgreSQL PITR ani zálohy Neon. Retencia logov závisí od plánu služby a môže byť 1, 7 alebo 30 dní; konkrétny plán Classigo nie je potvrdený. Laravel uvádza, že po ukončení služby vymaže zákaznícke údaje a zálohy do 30 dní, s výnimkou zákonného uchovávania. |
| Laravel Cloud Serverless PostgreSQL / Neon — databázový reťazec Laravel Cloud | Hostovanie tenantových databáz a spracúvanie školských záznamov v produkcii. | PITR sa riadi samostatne nastaveným recovery window, ktoré môže byť až 30 dní; konkrétna hodnota Classigo nie je potvrdená a táto lehota je nezávislá od 7-dňovej retencie databázových záloh Classigo. Neon uchováva samostatné šifrované zálohy 30 dní. Právna entita a rozdelenie zodpovedností v reťazci sú uvedené v dokumentácii Laravel Trust Center a DPA. |
| Cloudflare R2 a sieť Cloudflare — objektové úložisko v reťazci Laravel Cloud | Ukladanie objektov Classigo vrátane súborov a archívov exportu; pri použití globálnej edge siete sa môžu spracúvať súvisiace prenosové údaje. | R2 je nakonfigurované na ukladanie v EÚ. Laravel štandardne nespravuje zálohy R2; objekty sa mažú pri výslovnom odstránení alebo zmazaní bucketu. Cloudflare používa globálnu edge sieť, riadiace metadáta spracúva v USA, v USA vytvára súhrnné monitorovacie metriky a možný je prístup medzinárodného personálu. Laravel uvádza, že jeho DPA zahŕňa štandardné zmluvné doložky pre príslušné prenosy. Presné mapovanie entity a nastavení konkrétneho účtu sa riadi aktuálnou dokumentáciou Laravel Trust Center. |
| AWS — ďalší sprostredkovateľ v reťazci Laravel Cloud; nie priamy poskytovateľ MFdigital | AWS je uvedený v registri subdodávateľov Laravel Cloud; jeho zoznam subdodávateľov je dostupný v Trust Center. | Potvrdená služba AWS v reťazci Classigo: Amazon SES v regióne eu-central-1. Ďalšie mapovanie služieb, lokality a retencia nie sú v tejto DPA určené. Zmluvným poskytovateľom MFdigital je Laravel Cloud. |
| Amazon SES — e-mailová služba v reťazci Laravel Cloud | Doručenie transakčných e-mailov Classigo vrátane školských oznámení; údaje príjemcu a obsah správy môžu zahŕňať osobné údaje študentov, rodičov alebo pracovníkov školy. | eu-central-1. Sprístupnenie prebieha cez Laravel Cloud. Ďalšie doby uchovávania a poskytovateľské logy nie sú potvrdené. |
| OpenAI Ireland Ltd. — priamy voliteľný AI poskytovateľ | Spracovanie promptov a kontextu z autorizovaných nástrojov pri použití AI funkcií školy; môžu sa týkať študentov vrátane maloletých, rodičov, učiteľov, kurzov, dochádzky, prihlášok, hodnotení a komunikácie. | DPA s OpenAI Ireland Ltd. je podpísaná. Medzinárodné spracúvanie alebo prenosy môžu nastať. Konkrétna API retencia a regionálna konfigurácia OpenAI pre Classigo nie sú potvrdené. OpenAI DPA · zoznam subdodávateľov. |
| Laravel Nightwatch — aktívna produkčná služba monitoringu | Výkonové a prevádzkové udalosti aplikácie. Telemetria môže obsahovať identifikátory a text výnimky, ktorý môže zahŕňať osobné údaje; údaje môžu byť prítomné aj v súhrnných udalostiach požiadaviek, príkazov, úloh na pozadí alebo plánovaných úloh. | Telemetria sa spracúva vo Frankfurte a na službu sa vzťahuje DPA Laravelu. Doba uchovávania telemetrie nie je potvrdená. |
| Google Calendar — voliteľná externá integrácia, právne postavenie neklasifikované | Učiteľ a študent pripájajú vlastné účty samostatne; Classigo synchronizuje udalosti lekcií do pripojených kalendárov. Tým môže dochádzať k prenosu osobných údajov spoločnosti Google. | Táto príloha Google nezaraďuje medzi schválených sub-sprostredkovateľov podľa článku 28 GDPR. Pri používaní integrácie môžu byť údaje prenesené do Google. Účet/projekt, príslušné podmienky, právna rola, región, retencia a prenosové mechanizmy si vyžadujú samostatné posúdenie. |
| MailerLite a Stripe — spracúvanie na vlastné účely MFdigital | MailerLite pre marketing Classigo; Stripe pre predplatné a platby za Classigo. Nie sú používané na spracovanie študentských platieb škôl. | Nie sú sub-sprostredkovateľmi školských údajov podľa potvrdeného účelu. Ich použitie na školské údaje by vyžadovalo nové posúdenie a aktualizáciu DPA. |
Prijatie a evidencia
Pri registrácii sa prijatie zaznamenáva oddelene od dobrovoľného marketingového súhlasu a od informácie o ochrane súkromia. Evidencia obsahuje identifikátor a názov školy, ID, meno a e-mail prijímajúceho administrátora, potvrdenie jeho oprávnenia konať za školu, UTC čas, jazyk, verzie a SHA-256 kontrolné odtlačky zobrazených dokumentov. Samotná návšteva tejto stránky prijatím zmluvy nie je.