Tietojenkäsittelysopimus

Tietojenkäsittelysopimus kouluille

Sopimuspuolina ovat Mindomoa käyttävä koulu, koululautakunta tai koulupiiri taikka opettaja, joka käyttää Mindomoa luokan kanssa (”koulu”), sekä Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Romania (”Mindomo”, ”me”).

1. Osapuolet ja soveltamisala

• Koulu on rekisterinpitäjä. Mindomo on henkilötietojen käsittelijä.
• Tämä DPA kattaa henkilötiedot, jotka ovat koulun oppilaiden, opettajien ja henkilökunnan sekä opettajan luokan oppilaiden tileillä ja sisällössä, niin kauan kuin käsittelemme niitä koulun lukuun.
• Liitteessä 1 kuvataan tiedot. Jos tämä DPA ja käyttöehdot poikkeavat toisistaan henkilötietojen osalta, sovelletaan tätä DPA:ta.

2. Ohjeet

Käsittelemme tietoja vain tarjotaksemme Mindomon koululle, sen oppilaille ja sen henkilökunnalle sellaisena kuin koulun ylläpitäjät ja opettajat sen määrittävät, sekä koulun muiden dokumentoitujen ohjeiden mukaisesti, ellei laki muuta edellytä; silloin ilmoitamme siitä koululle ensin, ellei laki sitä kiellä. Ilmoitamme koululle, jos katsomme, että ohje rikkoo tietosuojalainsäädäntöä. Emme koskaan myy tietoja, emme koskaan käytä niitä mainontaan emmekä koskaan käytä niitä tekoälymallien kouluttamiseen.

3. Luottamuksellisuus

Jokaista Mindomon palveluksessa olevaa, jolla on pääsy tietoihin, sitoo salassapitovelvollisuus, ja hän käyttää tietoja vain silloin, kun se on tarpeen palvelun tai tuen tarjoamiseksi.

4. Tietoturva

Suojaamme tiedot teknisillä ja organisatorisilla toimenpiteillä, jotka kuvataan Tietoturva-sivullamme. Mindomo on sertifioitu standardien ISO/IEC 27001 ja ISO/IEC 27701 mukaisesti.

5. Alikäsittelijät

• Koulu hyväksyy liitteessä 2 mainitut alikäsittelijät. Kutakin sitoo sopimus, jossa on samat tietosuojavelvoitteet kuin tässä DPA:ssa.
• Ilmoitamme uudesta alikäsittelijästä vähintään 30 päivää etukäteen tällä sivulla ja sähköpostitse koulun ylläpitäjille. Koulu voi vastustaa muutosta perustellusta tietosuojaan liittyvästä syystä; jos emme pysty ratkaisemaan asiaa, koulu voi päättää lisenssinsä ja saada maksunsa käyttämättömän osan takaisin.
• Siirrot EU:n ulkopuolelle perustuvat EU:n ja Yhdysvaltojen tietosuojakehykseen (EU-US Data Privacy Framework) tai Euroopan komission vakiosopimuslausekkeisiin.

6. Avunanto

Autamme koulua vastaamaan oppilaiden, vanhempien ja henkilökunnan pyyntöihin (pääsy tietoihin, oikaisu, poistaminen, vienti), pääasiassa Mindomon ja sen hallintakonsolin työkalujen avulla, sekä tekemään omat arviointinsa, kuten tietosuojaa koskevan vaikutustenarvioinnin. Välitämme koululle kaikki sen tietoja koskevat pyynnöt, jotka saamme, myös vanhemmalta tulleet.

7. Tietoturvaloukkaukset

Ilmoitamme koululle sen tietoihin kohdistuvasta henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä saatuamme sen tietoomme, kerromme, mitä tiedämme ja mitä teemme asialle, ja täydennämme tietoja sitä mukaa kuin saamme lisää selville.

8. Kun lisenssi päättyy

Koulu päättää, mitä sen tiedoille tapahtuu. Se voi milloin tahansa pyytää vientiä tai poistamista tuen tai hallintakonsolin kautta. Jos se ei anna ohjeita lisenssinsä päättyessä, sovelletaan seuraavaa, ja koulu valitsee tämän hyväksymällä tämän DPA:n:

• Tilit, joiden käyttäjät ovat itse hyväksyneet käyttöehtomme (opettajat, henkilökunta ja itse rekisteröityneet oppilaat), jatkuvat käyttäjien omina tileinä sisältöineen. Lisenssin päättymisestä alkaen Mindomo on niiden rekisterinpitäjä tietosuojakäytäntönsä mukaisesti.
• Koulun luomat tilit (PIN-koodilla, CSV-tuonnilla tai luokkalistasta taikka Cleverin, Skolonin tai LTI:n kautta luodut) pysyvät koulun tietoina muuttumattomina, joten uusittu lisenssi jatkuu siitä, mihin edellinen päättyi. Voimme poistaa tilin, jolle kukaan ei ole kirjautunut sisään 12 kuukauteen lisenssin päättymisen jälkeen, ilmoitettuamme siitä koulun ylläpitäjille. Emme koskaan muuta tällaista tiliä oma-aloitteisesti henkilökohtaiseksi tiliksi: oppilaan, joka haluaa jatkaa sen käyttöä, on ensin itse hyväksyttävä ehtomme.
• Koulu voi sen sijaan pyytää, että kaikki sen tilit poistetaan tai että vain sen luomat tilit poistetaan.

9. Auditoinnit

Osoitamme noudattavamme tätä DPA:ta ISO/IEC 27001- ja 27701-sertifikaateillamme ja niiden auditointiraporteilla sekä vastaamalla koulun kohtuullisiin kysymyksiin. Paikan päällä tehtäviä auditointeja järjestetään vain, kun laki niitä edellyttää, kohtuullisella ennakkoilmoituksella ja koulun kustannuksella.

Liite 1. Mitä käsittelemme

• Rekisteröidyt: koulun oppilaat, opettajat ja henkilökunta; vanhemmat, kun oppilas nimeää vanhemman hyväksyntää varten; muut henkilöt, jotka koulu kutsuu.
• Tiedot: tilitiedot (nimi, sähköpostiosoite tai käyttäjätunnus, rooli, ikäryhmä, luokka- ja ryhmäjäsenyydet); sisältö, jota he luovat, lataavat ja jakavat; kommentit, tehtävät, palaute ja arvosanat; Mindomo AI:lle lähetetyt pyynnöt ja avustajan keskustelut, kun koulu sallii Mindomo AI:n; tietoturvalokit (IP-osoite, selain, sisäänkirjautumiset).
• Tarkoitus: Mindomon tarjoaminen koululle, sen oppilaille ja sen henkilökunnalle opetusta varten.
• Kesto: niin kauan kuin koulu käyttää Mindomoa, sen jälkeen §8:n mukaisesti.
• Sijainti: isännöinti Saksassa, varmuuskopiot Saksassa.

Liite 2. Alikäsittelijät

Palvelut, jotka koulu yhdistää itse, kuten Clever, Skolon, Yilan, koulun oppimisalusta (LTI), sen kertakirjautuminen (SAML) tai Google Classroom, ovat koulun omia palveluja eivätkä meidän alikäsittelijöitämme.

Kun ominaisuus hakee Microsoftin kautta verkosta tai kuvia, hakukysely lähetetään Microsoftin hakupalveluun, joka voi käsitellä sitä EU:n ulkopuolella. Näissä hauissa Microsoft ei ole alikäsittelijämme: se käsittelee kyselyn omalla vastuullaan Microsoft Privacy Statement -tietosuojalausekkeensa mukaisesti.

Liite 3. Maakohtaiset ehdot kouluille

Yhdysvallat

• Mindomo toimii FERPA-lain tarkoittamana ”school official” -tahona (koulun toimihenkilönä), jolla on oikeutettu koulutuksellinen intressi, ja koulun välittömässä valvonnassa opintotietojen (education records) käytön ja ylläpidon osalta.
• Koulu valtuuttaa oppilaidensa tilit COPPA-lain nojalla vain opetuskäyttöön eikä mihinkään muuhun kaupalliseen tarkoitukseen.
• Ei mainontaa oppilaille, ei oppilaiden tietojen myyntiä eikä oppilaiden profilointia.
• Kun lisenssi on maksullinen, allekirjoitamme pyynnöstä koulupiirin tai osavaltion oman tietosuojasopimuksen.

Kanada

• Koululautakunnalla säilyy oppilaidensa henkilötietojen hallinta ja määräysvalta (custody and control) Ontarion Municipal Freedom of Information and Protection of Privacy Act -lain (MFIPPA) ja muiden provinssien vastaavien lakien nojalla; näitä ovat esimerkiksi British Columbian FOIPPA, Québecin laki 25 ja Albertan tietosuojalait.
• Tiedot säilytetään Saksassa.
• Sopimuksen päättyessä palautamme tai poistamme tiedot lautakunnan ohjeiden mukaisesti (§8).
• Kun lisenssi on maksullinen, allekirjoitamme pyynnöstä lautakunnan oman sopimuksen.

Yhdistynyt kuningaskunta

• Sovelletaan UK GDPR:ää ja Data Protection Act 2018 -lakia, soveltuvin osin yleisen tietosuoja-asetuksen (GDPR) sijasta.
• Edustajamme Yhdistyneessä kuningaskunnassa: Silvana Carpineanu, dpo@mindomo.com.
• Siirtoihin Yhdistyneestä kuningaskunnasta sovelletaan sen omia sääntöjä: EU:n ja Yhdysvaltojen tietosuojakehyksen Yhdistynyttä kuningaskuntaa koskevaa laajennusta (UK Extension) tai vakiosopimuslausekkeiden Yhdistynyttä kuningaskuntaa koskevaa lisäystä (UK Addendum).

Näin koulut hyväksyvät tämän DPA:n

• Jokainen koulu ja opettaja, millä tahansa tilauksella, ilmaisella tai maksullisella: tätä DPA:ta sovelletaan, kun ylläpitäjä hyväksyy käyttöehdot koulun puolesta tai kun opettaja käyttää Mindomoa luokan kanssa. Mitään ei tarvitse allekirjoittaa.
• Kun lisenssi on maksullinen, toimitamme lisäksi tästä DPA:sta meidän puolestamme allekirjoitetun kappaleen tai allekirjoitamme koulun, koulupiirin tai koululautakunnan oman sopimuksen. Pyydä osoitteesta support@mindomo.com.

Tietojenkäsittelysopimus yrityksille

Sopimuspuolina ovat yritys, tiimi tai muu organisaatio, joka käyttää Mindomoa jäseniään varten (”organisaatio”), sekä Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Romania (”Mindomo”, ”me”). Koulut käyttävät kouluille tarkoitettua versiota.

1. Osapuolet ja soveltamisala

• Organisaatio on rekisterinpitäjä. Mindomo on henkilötietojen käsittelijä.
• Tämä DPA kattaa henkilötiedot, jotka ovat organisaation jäsenten (työntekijöiden, toimeksisaajien ja muiden henkilöiden, jotka se lisää tiimiinsä) tileillä ja sisällössä, niin kauan kuin käsittelemme niitä organisaation lukuun.
• Liitteessä 1 kuvataan tiedot. Jos tämä DPA ja käyttöehdot poikkeavat toisistaan henkilötietojen osalta, sovelletaan tätä DPA:ta.
• Organisaation ostojen ja laskujen sekä sen ylläpitäjien yhteystietojen osalta, kun organisaatio on asiakkaamme, Mindomo on rekisterinpitäjä tietosuojakäytäntönsä mukaisesti.

2. Ohjeet

Käsittelemme tietoja vain tarjotaksemme Mindomon organisaatiolle ja sen jäsenille sellaisena kuin organisaation ylläpitäjät sen määrittävät, sekä organisaation muiden dokumentoitujen ohjeiden mukaisesti, ellei laki muuta edellytä; silloin ilmoitamme siitä organisaatiolle ensin, ellei laki sitä kiellä. Ilmoitamme organisaatiolle, jos katsomme, että ohje rikkoo tietosuojalainsäädäntöä. Emme koskaan myy tietoja, emme koskaan käytä niitä mainontaan emmekä koskaan käytä niitä tekoälymallien kouluttamiseen.

3. Luottamuksellisuus

Jokaista Mindomon palveluksessa olevaa, jolla on pääsy tietoihin, sitoo salassapitovelvollisuus, ja hän käyttää tietoja vain silloin, kun se on tarpeen palvelun tai tuen tarjoamiseksi.

4. Tietoturva

Suojaamme tiedot teknisillä ja organisatorisilla toimenpiteillä, jotka kuvataan Tietoturva-sivullamme. Mindomo on sertifioitu standardien ISO/IEC 27001 ja ISO/IEC 27701 mukaisesti.

5. Alikäsittelijät

• Organisaatio hyväksyy liitteessä 2 mainitut alikäsittelijät. Kutakin sitoo sopimus, jossa on samat tietosuojavelvoitteet kuin tässä DPA:ssa.
• Ilmoitamme uudesta alikäsittelijästä vähintään 30 päivää etukäteen tällä sivulla ja sähköpostitse organisaation ylläpitäjille. Organisaatio voi vastustaa muutosta perustellusta tietosuojaan liittyvästä syystä; jos emme pysty ratkaisemaan asiaa, organisaatio voi päättää lisenssinsä ja saada maksunsa käyttämättömän osan takaisin.
• Siirrot EU:n ulkopuolelle perustuvat EU:n ja Yhdysvaltojen tietosuojakehykseen (EU-US Data Privacy Framework) tai Euroopan komission vakiosopimuslausekkeisiin.

6. Avunanto

Autamme organisaatiota vastaamaan sen jäsenten pyyntöihin (pääsy tietoihin, oikaisu, poistaminen, vienti), pääasiassa Mindomon ja sen hallintakonsolin työkalujen avulla, sekä tekemään omat arviointinsa, kuten tietosuojaa koskevan vaikutustenarvioinnin. Välitämme organisaatiolle kaikki sen tietoja koskevat pyynnöt, jotka saamme.

7. Tietoturvaloukkaukset

Ilmoitamme organisaatiolle sen tietoihin kohdistuvasta henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä saatuamme sen tietoomme, kerromme, mitä tiedämme ja mitä teemme asialle, ja täydennämme tietoja sitä mukaa kuin saamme lisää selville.

8. Kun lisenssi päättyy tai jäsen lähtee

Organisaatio päättää, mitä sen tiedoille tapahtuu. Se voi milloin tahansa pyytää vientiä tai poistamista tuen tai hallintakonsolin kautta. Jos se ei anna ohjeita lisenssinsä päättyessä, sovelletaan seuraavaa, ja organisaatio valitsee tämän hyväksymällä tämän DPA:n:

• Tilit, joiden käyttäjät ovat itse hyväksyneet käyttöehtomme, jatkuvat käyttäjien omina tileinä, ja mukana on heidän sisältönsä tiimin jaettujen kansioiden ulkopuolelta. Lisenssin päättymisestä alkaen Mindomo on niiden rekisterinpitäjä tietosuojakäytäntönsä mukaisesti.
• Jokainen organisaation itse luoma tili pysyy organisaation tietona muuttumattomana, joten uusittu lisenssi jatkuu siitä, mihin edellinen päättyi. Voimme poistaa tilin, jolle kukaan ei ole kirjautunut sisään 12 kuukauteen lisenssin päättymisen jälkeen, ilmoitettuamme siitä organisaation ylläpitäjille.
• Organisaatio voi sen sijaan pyytää, että kaikki sen tilit poistetaan tai että vain sen luomat tilit poistetaan.

Kun jäsen lähtee tiimistä lisenssin ollessa voimassa, hänen tiimin jaettuihin kansioihin luomansa sisältö jää tiimille, jos ylläpitäjä poistaa hänet; itse lähtevä jäsen saa ottaa sen mukaansa, kun hän jatkaa omalla maksullisella tilauksellaan, ja muussa tapauksessa se jää tiimille. Koko sääntö on käyttöehtojen osassa B.

9. Auditoinnit

Osoitamme noudattavamme tätä DPA:ta ISO/IEC 27001- ja 27701-sertifikaateillamme ja niiden auditointiraporteilla sekä vastaamalla organisaation kohtuullisiin kysymyksiin. Paikan päällä tehtäviä auditointeja järjestetään vain, kun laki niitä edellyttää, kohtuullisella ennakkoilmoituksella ja organisaation kustannuksella.

Liite 1. Mitä käsittelemme

• Rekisteröidyt: organisaation työntekijät, toimeksisaajat ja muut jäsenet sekä henkilöt, jotka se kutsuu työskentelemään heidän kanssaan.
• Tiedot: tilitiedot (nimi, sähköpostiosoite, rooli, ryhmäjäsenyydet); sisältö, jota he luovat, lataavat ja jakavat; kommentit ja tehtävät; Mindomo AI:lle lähetetyt pyynnöt ja avustajan keskustelut, kun organisaatio sallii Mindomo AI:n; tietoturvalokit (IP-osoite, selain, sisäänkirjautumiset).
• Tarkoitus: Mindomon tarjoaminen organisaatiolle ja sen jäsenille.
• Kesto: niin kauan kuin organisaatio käyttää Mindomoa, sen jälkeen §8:n mukaisesti.
• Sijainti: isännöinti Saksassa, varmuuskopiot Saksassa.

Liite 2. Alikäsittelijät

Palvelut, jotka organisaatio yhdistää itse, kuten sen kertakirjautuminen (SAML), ovat organisaation omia palveluja eivätkä meidän alikäsittelijöitämme.

Kun ominaisuus hakee Microsoftin kautta verkosta tai kuvia, hakukysely lähetetään Microsoftin hakupalveluun, joka voi käsitellä sitä EU:n ulkopuolella. Näissä hauissa Microsoft ei ole alikäsittelijämme: se käsittelee kyselyn omalla vastuullaan Microsoft Privacy Statement -tietosuojalausekkeensa mukaisesti.

Liite 3. Maakohtaiset ehdot yrityksille

Yhdistynyt kuningaskunta

• Sovelletaan UK GDPR:ää ja Data Protection Act 2018 -lakia, soveltuvin osin yleisen tietosuoja-asetuksen (GDPR) sijasta.
• Edustajamme Yhdistyneessä kuningaskunnassa: Silvana Carpineanu, dpo@mindomo.com.
• Siirtoihin Yhdistyneestä kuningaskunnasta sovelletaan sen omia sääntöjä: EU:n ja Yhdysvaltojen tietosuojakehyksen Yhdistynyttä kuningaskuntaa koskevaa laajennusta (UK Extension) tai vakiosopimuslausekkeiden Yhdistynyttä kuningaskuntaa koskevaa lisäystä (UK Addendum).

Yhdysvallat

• Kun organisaatioon sovelletaan jotakin Yhdysvaltojen osavaltion tietosuojalakia, kuten Kalifornian kuluttajien tietosuojalakia (California Consumer Privacy Act), Mindomo toimii sen ”service provider”- tai ”processor”-tahona (palveluntarjoajana tai käsittelijänä): käytämme tietoja vain tarjotaksemme Mindomon organisaatiolle, emmekä myy tai jaa niitä tai yhdistä niitä muista lähteistä saatuihin tietoihin omia tarkoituksiamme varten.

Näin organisaatiot hyväksyvät tämän DPA:n

• Jokainen organisaatio, millä tahansa tilauksella, ilmaisella tai maksullisella: tätä DPA:ta sovelletaan, kun ylläpitäjä hyväksyy käyttöehdot organisaation puolesta. Mitään ei tarvitse allekirjoittaa.
• Kun lisenssi on maksullinen, toimitamme lisäksi tästä DPA:sta meidän puolestamme allekirjoitetun kappaleen tai allekirjoitamme organisaation oman tietojenkäsittelysopimuksen. Pyydä osoitteesta support@mindomo.com.