Powierzenie danych klasy w dlaklasy.pl

Wersja 1.0 z 29 października 2026 r.

1. Strony i zawarcie umowy

Stronami są administrator ewidencji konkretnej klasy, wskazany imieniem i nazwiskiem lub pełną nazwą wraz z adresem do kontaktu w potwierdzeniu zawarcia tej umowy, oraz Kamil Puchowski, prowadzący działalność Konsoleigry.pl Kamil Puchowski, NIP 5322025936, ul. Marii Konopnickiej 1C, 05-410 Józefów, kontakt portal@dlaklasy.pl, zwany dalej usługodawcą.

Potwierdzenie identyfikuje klasę, administratora i uprawnionego przedstawiciela, jeżeli działa w jego imieniu, oraz przyjętą wersję i datę zawarcia. Umowę zawiera się w formie elektronicznej przed przekazaniem danych. Przyjęcie regulaminu konta przez dowolnego rodzica nie zastępuje przyjęcia powierzenia przez administratora. Jeżeli administratorów jest więcej, wskazuje się wszystkich oraz ich uzgodniony sposób reprezentacji i punkt kontaktowy.

O roli administratora decyduje rzeczywiste ustalanie celów i zasadniczych sposobów przetwarzania, a nie nazwa roli w aplikacji. Administrator odpowiada za legalność ewidencji, przekazanie informacji osobom, dobór upoważnionych osób i poleceń. Usługodawca odpowiada za wykonanie własnych obowiązków podmiotu przetwarzającego. Postanowienia nie wyłączają odpowiedzialności wynikającej z prawa.

2. Przedmiot i czas przetwarzania

Przedmiotem jest prowadzenie, przechowywanie, porządkowanie, udostępnianie uprawnionym osobom, zabezpieczanie, kopiowanie, wydawanie i usuwanie ewidencji rozliczeń klasy w aplikacji. Celem jest obsługa zbiórek, wpłat, wydatków, zwrotów, korekt, dokumentów i komunikacji o rozliczeniach.

Dane dotyczą dzieci, rodziców i opiekunów, osób prowadzących rozliczenia oraz płatników, odbiorców i osób wskazanych w niezbędnych dokumentach. Obejmują imiona i nazwiska, dane kontaktowe dorosłych, powiązania z klasą i opiekunem, kwoty, daty, statusy, opisy, dane odbiorcy wpłat, niezbędne dane dokumentów i historię korekt. Nie obejmują zamierzonego przetwarzania numerów PESEL, skanów dokumentów tożsamości, danych o zdrowiu ani innych danych szczególnych kategorii czy o wyrokach skazujących. Nie należy ich wprowadzać również do pól tekstowych i załączników.

Umowa obejmuje czas prowadzenia ewidencji oraz uzgodnione przechowywanie historii i usuwanie. Standardowe polecenie administratora obejmuje terminy z polityki prywatności: 12 miesięcy kalendarzowych po rozliczeniu i zamknięciu klasy albo po odejściu i rozliczeniu dziecka, liczone od późniejszego zdarzenia; codzienną obsługę usuwania oraz własne kopie przez 30 dni. Rezygnacja jednego użytkownika nie kończy automatycznie powierzenia dotyczącego całej klasy.

3. Polecenia i poufność

Usługodawca przetwarza dane wyłącznie na udokumentowane polecenie administratora, w tym w zakresie transferów poza EOG. Polecenia wynikają z umowy, operacji wykonywanych przez upoważnione osoby i zweryfikowanych dyspozycji przekazanych na portal@dlaklasy.pl. Nie używa danych do własnej reklamy, trenowania modeli ani tworzenia profili rodzin.

Jeżeli przetwarzanie nakazuje prawo Unii lub państwa członkowskiego, usługodawca przed działaniem informuje administratora o tym obowiązku, chyba że prawo zabrania takiej informacji. Niezwłocznie wskazuje także polecenie, które jego zdaniem narusza przepisy ochrony danych, i wstrzymuje zakwestionowaną czynność do wyjaśnienia, z zachowaniem wymogów prawa.

Dostęp otrzymują wyłącznie osoby upoważnione i zobowiązane do poufności. Upoważnienie ogranicza się do potrzebnych zadań; obowiązek poufności nie ustaje wraz z zakończeniem współpracy.

4. Zabezpieczenia

Usługodawca stosuje środki odpowiadające ryzyku zgodnie z art. 32 RODO: HTTPS, skróty haseł, kontrolę sesji i uprawnień, możliwość drugiego składnika logowania, oddzielenie oryginałów dokumentów od kopii dla rodziców, prywatny magazyn plików, rejestrowanie zdarzeń bezpieczeństwa, regularne aktualizacje, codzienne zaszyfrowane kopie oraz odtwarzanie z uwzględnieniem wykonanych usunięć i odwołaniem dawnych sesji. Sprawdza skuteczność zabezpieczeń i proces odtwarzania. Zmiana środka nie może obniżyć uzgodnionego poziomu ochrony.

Administrator odpowiada za poprawne role, informowanie rodziców, powiązania opiekunów z dziećmi, weryfikację i zasłanianie dokumentów, oznaczenie dokumentów rozliczanego dziecka oraz właściwe zamknięcie rozliczeń. Czynności te nie zdejmują z usługodawcy odpowiedzialności za zabezpieczenia aplikacji.

5. Dalsze powierzenie i transfery

Administrator udziela szczegółowej zgody na korzystanie z dhosting.pl Sp. z o.o., ul. Pamiętna 14B/2, 02-972 Warszawa, NIP 7010198361, KRS 0000336780, w zakresie hostingu WWW i bazy, magazynu dokumentów, poczty i kopii. Przed przekazaniem danych usługodawca zapewnia wiążące warunki dalszego powierzenia oraz sprawdza zakres dalszych podwykonawców i lokalizacje. Sama ta zgoda nie potwierdza, że umowa z hostingiem została już zawarta.

Zaangażowanie lub zastąpienie innym podmiotem przetwarzającym, również w łańcuchu dalszego powierzenia, wymaga uprzedniego przedstawienia jego tożsamości, zadania, lokalizacji i warunków administratorowi oraz jego udokumentowanej zgody. Brak odpowiedzi nie jest zgodą. Jeśli brak zgody uniemożliwia dalszą usługę, strony uzgadniają jej zakończenie z wydaniem lub usunięciem danych.

Na dalszy podmiot nakłada się odpowiednie obowiązki ochrony danych co najmniej równoważne tej umowie. Usługodawca pozostaje wobec administratora odpowiedzialny za wykonanie przez niego obowiązków. Transfer poza EOG wymaga udokumentowanego polecenia i spełnienia warunków rozdziału V RODO; nie jest domyślnym elementem zgody na hosting.

6. Wnioski osób, incydenty i współpraca

Usługodawca bez zbędnej zwłoki przekazuje administratorowi wnioski dotyczące powierzonych danych i wspiera ich obsługę odpowiednimi środkami technicznymi i organizacyjnymi. Nie podejmuje za administratora decyzji merytorycznej, chyba że został do tego upoważniony lub wymaga tego prawo. Przy obsłudze nie ujawnia danych innych rodzin bez podstawy.

Po stwierdzeniu naruszenia ochrony powierzonych danych usługodawca zawiadamia administratora bez zbędnej zwłoki. Pierwsze zawiadomienie przekazuje także wtedy, gdy nie zna jeszcze wszystkich szczegółów, następnie je uzupełnia. Podaje znany charakter i zakres naruszenia, kategorie i przybliżoną liczbę osób i zapisów, możliwe skutki, zastosowane lub planowane środki oraz kontakt do obsługi. Zabezpiecza dowody, ogranicza skutki i współpracuje przy wymaganych zawiadomieniach.

Uwzględniając charakter przetwarzania i dostępne informacje, pomaga w wykonywaniu obowiązków z art. 32–36 RODO, w tym ocenie ryzyka, ocenie skutków, konsultacji z organem i obsłudze naruszeń. Administrator podejmuje decyzje o zgłoszeniach we własnym zakresie; nie ogranicza to samodzielnych obowiązków usługodawcy.

7. Informacje i audyt

Usługodawca udostępnia informacje potrzebne do wykazania wykonania obowiązków i umożliwia audyty, w tym inspekcje administratora lub upoważnionego audytora. Strony uzgadniają sposób chroniący dane innych klas, tajemnice i ciągłość usługi. Uzgodnienie nie może wyłączyć skutecznej kontroli, działań pilnych ani uprawnień organu nadzorczego. Stwierdzone uchybienia są dokumentowane i usuwane w terminie odpowiednim do ryzyka.

8. Zakończenie i usunięcie

Po zakończeniu świadczenia przetwarzania usługodawca, według wyboru administratora, zwraca lub usuwa dane oraz usuwa istniejące kopie, chyba że prawo Unii lub państwa członkowskiego wymaga dalszego przechowywania. Zwrot następuje w uzgodnionym, czytelnym formacie, z bezpiecznym przekazaniem uprawnionej osobie. Dane są usuwane bez zbędnej zwłoki; kopie odizolowane od zwykłego użycia wygasają zgodnie z uzgodnioną rotacją. Terminy dodatkowych kopii hostingu muszą być objęte warunkami dalszego powierzenia.

Dwunastomiesięczna historia po zamknięciu klasy jest dalszą usługą na uzgodnione polecenie, a nie obowiązkowym przetrzymywaniem danych wbrew skutecznemu żądaniu administratora. Prawne żądanie wcześniejszego usunięcia nie wymaga oczekiwania na zwykły termin retencji. Usługodawca potwierdza wykonanie i wskazuje konkretną podstawę oraz zakres, jeśli prawo wymaga zachowania części danych.

Umowa nie obejmuje danych, dla których usługodawca sam jest administratorem, takich jak niezbędna obsługa własnych kont, bezpieczeństwa i reklamacji; te zasady określa polityka prywatności. Nie można jednak przenieść do tej kategorii całej powierzonej historii tylko po to, aby zachować ją po zakończeniu usługi.