Соглашение об обработке данных

Соглашение об обработке данных для школ

Между школой, школьным советом или школьным округом, которые используют Mindomo, либо учителем, который использует Mindomo с классом («школа»), и Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Румыния («Mindomo», «мы»).

1. Стороны и сфера действия

• Школа является контролёром. Mindomo является обработчиком.
• Настоящее DPA распространяется на персональные данные в аккаунтах и контенте учеников, учителей и сотрудников школы, а также учеников класса учителя — до тех пор, пока мы обрабатываем их для школы.
• Данные описаны в Приложении 1. Если настоящее DPA и Условия использования расходятся в том, что касается персональных данных, преимущество имеет настоящее DPA.

2. Указания

Мы обрабатываем данные только для того, чтобы предоставлять Mindomo школе, её ученикам и её сотрудникам так, как его настроили её администраторы и учителя, и по другим её документированным указаниям, если закон не требует иного; в таком случае мы сначала сообщаем об этом школе, если закон этого не запрещает. Мы сообщаем школе, если считаем, что указание нарушает законодательство о защите данных. Мы никогда не продаём данные, никогда не используем их для рекламы и никогда не используем их для обучения моделей ИИ.

3. Конфиденциальность

Все в Mindomo, кто может получить доступ к данным, связаны обязательством конфиденциальности и обращаются к данным, только когда это нужно для предоставления сервиса или поддержки.

4. Безопасность

Мы защищаем данные с помощью технических и организационных мер, описанных на нашей странице Безопасность. Mindomo сертифицирован по стандартам ISO/IEC 27001 и ISO/IEC 27701.

5. Субобработчики

• Школа разрешает привлекать субобработчиков, указанных в Приложении 2. Каждый из них связан договором с теми же обязательствами по защите данных, что и в настоящем DPA.
• О новом субобработчике мы объявляем не менее чем за 30 дней — на этой странице и по электронной почте администраторам школы. Школа может возразить по обоснованной причине, связанной с защитой данных; если мы не можем устранить причину возражения, школа может прекратить лицензию и получить обратно неиспользованную часть платы.
• Передача за пределы ЕС опирается на Рамочную программу ЕС — США по защите конфиденциальности данных (EU-US Data Privacy Framework) или на стандартные договорные условия Европейской комиссии.

6. Помощь

Мы помогаем школе отвечать на запросы учеников, родителей и сотрудников (доступ, исправление, удаление, экспорт) — в основном с помощью инструментов в Mindomo и его панели администратора, — а также с её собственными оценками, такими как оценка воздействия на защиту данных. Мы пересылаем школе любой полученный нами запрос о её данных, включая запрос родителя.

7. Нарушения безопасности данных

О нарушении безопасности персональных данных, которое затрагивает данные школы, мы уведомляем школу без неоправданной задержки после того, как нам стало о нём известно, сообщаем, что нам известно и что мы предпринимаем, и дополняем эти сведения по мере того, как узнаём больше.

8. Когда лицензия заканчивается

Школа решает, что происходит с её данными. Она может в любое время запросить экспорт или удаление — через службу поддержки или панель администратора. Если она не даёт указаний, когда заканчивается её лицензия, действует следующее, и школа выбирает это, принимая настоящее DPA:

• Аккаунты, пользователи которых сами приняли наши Условия использования (учителя, сотрудники и ученики, которые зарегистрировались самостоятельно), продолжают существовать как собственные аккаунты пользователей, вместе с их контентом. С момента окончания лицензии их контролёром является Mindomo в соответствии со своей Политикой конфиденциальности.
• Аккаунты, созданные школой (с PIN-кодом, через импорт CSV или список класса либо через Clever, Skolon или LTI), остаются данными школы, без изменений, так что при продлении работа продолжается с того места, где она остановилась. Мы можем удалить такой аккаунт, если в него никто не входил 12 месяцев после окончания лицензии, предварительно уведомив администраторов школы. Мы никогда не превращаем такой аккаунт в личный по собственной инициативе: ученик, который хочет продолжать им пользоваться, должен сначала сам принять наши Условия.
• Вместо этого школа может потребовать удалить все её аккаунты или только те аккаунты, которые создала она.

9. Аудит

Мы подтверждаем соблюдение настоящего DPA сертификатами ISO/IEC 27001 и 27701 и отчётами об их аудите, а также ответами на обоснованные вопросы школы. Аудит на месте проводится только там, где этого требует закон, с разумным предварительным уведомлением и за счёт школы.

Приложение 1. Что мы обрабатываем

• Субъекты персональных данных: ученики, учителя и сотрудники школы; родители, если ученик указывает родителя для одобрения; другие люди, которых приглашает школа.
• Данные: данные аккаунта (имя, адрес электронной почты или имя пользователя, роль, возрастная группа, принадлежность к классам и группам); контент, который они создают, загружают и которым делятся; комментарии, задания, отзывы и оценки; запросы к Mindomo AI и чаты с ассистентом, если школа разрешает Mindomo AI; журналы безопасности (IP-адрес, браузер, входы).
• Цель: предоставление Mindomo школе, её ученикам и её сотрудникам в образовательных целях.
• Срок: пока школа использует Mindomo, затем — как описано в §8.
• Место: хостинг в Германии, резервные копии в Германии.

Приложение 2. Субобработчики

Сервисы, которые школа подключает сама, например Clever, Skolon, Yilan, её учебная платформа (LTI), её система единого входа (SAML) или Google Classroom, являются собственными сервисами школы, а не нашими субобработчиками.

Когда функция выполняет через Microsoft поиск в интернете или поиск изображений, поисковый запрос отправляется в поисковый сервис Microsoft, который может обрабатывать его за пределами ЕС. В отношении таких поисков Microsoft не является нашим субобработчиком: Microsoft обрабатывает запрос под собственную ответственность, в соответствии с документом Microsoft Privacy Statement.

Приложение 3. Условия для школ в отдельных странах

США

• Mindomo действует как «school official» (должностное лицо школы) с законным образовательным интересом в соответствии с FERPA, под прямым контролем школы в том, что касается использования и ведения образовательных записей.
• Школа разрешает аккаунты своих учеников в соответствии с COPPA — только для образовательного использования и ни для каких иных коммерческих целей.
• Никакой рекламы для учеников, никакой продажи данных учеников и никакого профилирования учеников.
• При платной лицензии мы по запросу подписываем собственное соглашение округа или штата о конфиденциальности данных.

Канада

• Школьный совет сохраняет владение персональной информацией своих учеников и контроль над ней в соответствии с Законом провинции Онтарио о свободе информации и защите частной жизни на муниципальном уровне (Municipal Freedom of Information and Protection of Privacy Act, MFIPPA) и аналогичными законами других провинций, такими как FOIPPA Британской Колумбии, Закон 25 Квебека и законы Альберты о защите частной жизни.
• Данные хранятся в Германии.
• По окончании договора мы возвращаем или удаляем данные по указанию совета (§8).
• При платной лицензии мы по запросу подписываем собственное соглашение совета.

Великобритания

• Применяются UK GDPR и британский Закон о защите данных (Data Protection Act 2018) — вместо GDPR там, где это уместно.
• Наш представитель в Великобритании: Silvana Carpineanu, dpo@mindomo.com.
• Передача из Великобритании подчиняется британским правилам: британскому расширению Рамочной программы ЕС — США по защите конфиденциальности данных (UK Extension to the EU-US Data Privacy Framework) или британскому дополнению к стандартным договорным условиям.

Как школы принимают настоящее DPA

• Каждая школа и каждый учитель, на любом тарифе, бесплатном или платном: настоящее DPA действует, когда администратор принимает Условия использования от имени школы или когда учитель использует Mindomo с классом. Ничего подписывать не нужно.
• При платной лицензии мы также предоставляем экземпляр настоящего DPA, подписанный и с нашей стороны, или подписываем собственное соглашение школы, округа или совета. Обратитесь по адресу support@mindomo.com.

Соглашение об обработке данных для бизнеса

Между компанией, командой или иной организацией, которая использует Mindomo для своих участников («организация»), и Expert Software Applications SRL, Str. Ciprian Porumbescu 5A, 300236 Timișoara, Румыния («Mindomo», «мы»). Школы используют версию для школ.

1. Стороны и сфера действия

• Организация является контролёром. Mindomo является обработчиком.
• Настоящее DPA распространяется на персональные данные в аккаунтах и контенте участников организации (сотрудников, подрядчиков и других людей, которых она добавляет в свою команду) — до тех пор, пока мы обрабатываем их для организации.
• Данные описаны в Приложении 1. Если настоящее DPA и Условия использования расходятся в том, что касается персональных данных, преимущество имеет настоящее DPA.
• В отношении покупок и счетов организации и контактных данных её администраторов как нашего клиента Mindomo является контролёром в соответствии со своей Политикой конфиденциальности.

2. Указания

Мы обрабатываем данные только для того, чтобы предоставлять Mindomo организации и её участникам так, как его настроили её администраторы, и по другим её документированным указаниям, если закон не требует иного; в таком случае мы сначала сообщаем об этом организации, если закон этого не запрещает. Мы сообщаем организации, если считаем, что указание нарушает законодательство о защите данных. Мы никогда не продаём данные, никогда не используем их для рекламы и никогда не используем их для обучения моделей ИИ.

3. Конфиденциальность

Все в Mindomo, кто может получить доступ к данным, связаны обязательством конфиденциальности и обращаются к данным, только когда это нужно для предоставления сервиса или поддержки.

4. Безопасность

Мы защищаем данные с помощью технических и организационных мер, описанных на нашей странице Безопасность. Mindomo сертифицирован по стандартам ISO/IEC 27001 и ISO/IEC 27701.

5. Субобработчики

• Организация разрешает привлекать субобработчиков, указанных в Приложении 2. Каждый из них связан договором с теми же обязательствами по защите данных, что и в настоящем DPA.
• О новом субобработчике мы объявляем не менее чем за 30 дней — на этой странице и по электронной почте администраторам организации. Организация может возразить по обоснованной причине, связанной с защитой данных; если мы не можем устранить причину возражения, организация может прекратить лицензию и получить обратно неиспользованную часть платы.
• Передача за пределы ЕС опирается на Рамочную программу ЕС — США по защите конфиденциальности данных (EU-US Data Privacy Framework) или на стандартные договорные условия Европейской комиссии.

6. Помощь

Мы помогаем организации отвечать на запросы её участников (доступ, исправление, удаление, экспорт) — в основном с помощью инструментов в Mindomo и его панели администратора, — а также с её собственными оценками, такими как оценка воздействия на защиту данных. Мы пересылаем организации любой полученный нами запрос о её данных.

7. Нарушения безопасности данных

О нарушении безопасности персональных данных, которое затрагивает данные организации, мы уведомляем организацию без неоправданной задержки после того, как нам стало о нём известно, сообщаем, что нам известно и что мы предпринимаем, и дополняем эти сведения по мере того, как узнаём больше.

8. Когда лицензия заканчивается или участник уходит

Организация решает, что происходит с её данными. Она может в любое время запросить экспорт или удаление — через службу поддержки или панель администратора. Если она не даёт указаний, когда заканчивается её лицензия, действует следующее, и организация выбирает это, принимая настоящее DPA:

• Аккаунты, пользователи которых сами приняли наши Условия использования, продолжают существовать как собственные аккаунты пользователей, вместе с их контентом вне общих папок команды. С момента окончания лицензии их контролёром является Mindomo в соответствии со своей Политикой конфиденциальности.
• Любой аккаунт, который организация создала сама, остаётся данными организации, без изменений, так что при продлении работа продолжается с того места, где она остановилась. Мы можем удалить такой аккаунт, если в него никто не входил 12 месяцев после окончания лицензии, предварительно уведомив администраторов организации.
• Вместо этого организация может потребовать удалить все её аккаунты или только те аккаунты, которые создала она.

Когда участник покидает команду, пока действует лицензия, контент, созданный им в общих папках команды, остаётся у команды, если его удаляет администратор; участник, который уходит сам, может забрать этот контент с собой, если продолжает работу на собственном платном тарифе, а в противном случае контент остаётся у команды. Полное правило — в Части B Условий использования.

9. Аудит

Мы подтверждаем соблюдение настоящего DPA сертификатами ISO/IEC 27001 и 27701 и отчётами об их аудите, а также ответами на обоснованные вопросы организации. Аудит на месте проводится только там, где этого требует закон, с разумным предварительным уведомлением и за счёт организации.

Приложение 1. Что мы обрабатываем

• Субъекты персональных данных: сотрудники, подрядчики и другие участники организации, а также люди, которых она приглашает работать с ними.
• Данные: данные аккаунта (имя, адрес электронной почты, роль, принадлежность к группам); контент, который они создают, загружают и которым делятся; комментарии и задачи; запросы к Mindomo AI и чаты с ассистентом, если организация разрешает Mindomo AI; журналы безопасности (IP-адрес, браузер, входы).
• Цель: предоставление Mindomo организации и её участникам.
• Срок: пока организация использует Mindomo, затем — как описано в §8.
• Место: хостинг в Германии, резервные копии в Германии.

Приложение 2. Субобработчики

Сервисы, которые организация подключает сама, например её система единого входа (SAML), являются собственными сервисами организации, а не нашими субобработчиками.

Когда функция выполняет через Microsoft поиск в интернете или поиск изображений, поисковый запрос отправляется в поисковый сервис Microsoft, который может обрабатывать его за пределами ЕС. В отношении таких поисков Microsoft не является нашим субобработчиком: Microsoft обрабатывает запрос под собственную ответственность, в соответствии с документом Microsoft Privacy Statement.

Приложение 3. Условия для бизнеса в отдельных странах

Великобритания

• Применяются UK GDPR и британский Закон о защите данных (Data Protection Act 2018) — вместо GDPR там, где это уместно.
• Наш представитель в Великобритании: Silvana Carpineanu, dpo@mindomo.com.
• Передача из Великобритании подчиняется британским правилам: британскому расширению Рамочной программы ЕС — США по защите конфиденциальности данных (UK Extension to the EU-US Data Privacy Framework) или британскому дополнению к стандартным договорным условиям.

США

• Если к организации применяется закон какого-либо штата США о защите персональных данных, например Закон штата Калифорния о защите конфиденциальности потребителей (California Consumer Privacy Act), Mindomo действует как её «service provider» (поставщик услуг) или «processor» (обработчик): мы используем данные только для того, чтобы предоставлять Mindomo организации, не продаём их и не передаём их третьим лицам, а также не объединяем их с данными из других источников для собственных целей.

Как организации принимают настоящее DPA

• Каждая организация, на любом тарифе, бесплатном или платном: настоящее DPA действует, когда администратор принимает Условия использования от имени организации. Ничего подписывать не нужно.
• При платной лицензии мы также предоставляем экземпляр настоящего DPA, подписанный и с нашей стороны, или подписываем собственное соглашение организации об обработке данных. Обратитесь по адресу support@mindomo.com.