資料處理協議

學校適用的資料處理協議

立約雙方為：使用 Mindomo 的學校、教育局或學區，或與班級一起使用 Mindomo 的教師（下稱「學校」），以及 Expert Software Applications SRL，Str. Ciprian Porumbescu 5A, 300236 Timișoara，羅馬尼亞（下稱「Mindomo」、「我們」）。

1. 當事人與適用範圍

• 學校是控管者。Mindomo 是處理者。
• 本 DPA 涵蓋學校的學生、教師與職員，以及教師班級中學生的帳戶與內容中的個人資料，以我們為學校處理該等資料的期間為限。
• 附件 1 說明所涉資料。本 DPA 與使用條款就個人資料有不同規定時，以本 DPA 為準。

2. 指示

我們處理資料，僅為依學校管理員與教師的設定向學校及其學生與教職員提供 Mindomo，以及依學校其他留有紀錄的指示為之，但法律另有要求者不在此限；於此情形，我們會先告知學校，但法律禁止告知者除外。如果我們認為某項指示違反資料保護法規，會告知學校。我們絕不販售資料，絕不將資料用於廣告，也絕不用於訓練 AI 模型。

3. 保密

Mindomo 內可以存取資料的每一個人均負有保密義務，且僅在提供服務或支援所必要時才存取資料。

4. 安全性

我們以安全性頁面所述的技術上及組織上之措施保護資料。Mindomo 已通過 ISO/IEC 27001 與 ISO/IEC 27701 驗證。

5. 複處理者

• 學校授權使用附件 2 所列的複處理者，即受我們委託處理資料的其他處理者。每一複處理者均受契約拘束，負有與本 DPA 相同的資料保護義務。
• 我們會至少提前 30 天在本頁面公告新的複處理者，並以電子郵件通知學校的管理員。學校可以基於合理的資料保護理由提出異議；如果我們無法解決，學校可以終止其授權，並取回費用中未使用的部分。
• 移轉至歐盟以外，以歐盟－美國資料隱私框架（EU-US Data Privacy Framework）或歐盟執行委員會的標準契約條款為依據。

6. 協助

我們協助學校答覆學生、家長與教職員的請求（查閱、更正、刪除、匯出），主要透過 Mindomo 及其管理主控台中的工具；也協助學校進行其自身的評估，例如資料保護影響評估。我們收到與學校資料有關的任何請求（包括家長的請求），都會轉交給學校。

7. 個人資料侵害

發生影響學校資料的個人資料侵害時，我們會在知悉後通知學校，不無故遲延，並告知我們所知的情況與正在採取的措施；隨著我們掌握更多資訊，會持續向學校更新。

8. 授權終止時

由學校決定其資料的處置。學校可以隨時透過客服支援或管理主控台要求匯出或刪除。如果學校在授權終止時未給予指示，則適用下列規定；學校接受本 DPA，即表示選擇此一處置方式：

• 使用者曾自行接受我們使用條款的帳戶（教師、職員，以及自行註冊的學生）會作為該使用者自己的帳戶，連同其內容繼續存在。自授權終止時起，Mindomo 依其隱私權政策成為這些帳戶的控管者。
• 學校建立的帳戶（以 PIN 碼、CSV 匯入或班級名單建立，或透過 Clever、Skolon 或 LTI 建立）仍為學校的資料，維持不變，因此續訂後可以從中斷處繼續。授權終止後已 12 個月無人登入的帳戶，我們可以在通知學校的管理員後刪除。我們絕不會自行將這類帳戶轉為個人帳戶：想要繼續使用的學生，必須先自行接受我們的使用條款。
• 學校也可以改為要求刪除其所有帳戶，或僅刪除其建立的帳戶。

9. 稽核

我們以 ISO/IEC 27001 與 27701 證書及其稽核報告，並以答覆學校的合理提問，證明我們遵守本 DPA。實地稽核僅在法律有要求時進行，須經合理的事先通知，費用由學校負擔。

附件 1. 我們處理的資料

• 資料當事人：學校的學生、教師與職員；家長（學生指定家長以取得核准時）；學校邀請的其他人。
• 資料：帳戶資料（姓名、電子郵件地址或使用者名稱、角色、年齡層、所屬班級與群組）；其建立、上傳及分享的內容；留言、作業、回饋與成績；Mindomo AI 的請求與助理對話（學校允許使用 Mindomo AI 時）；安全性記錄（IP 位址、瀏覽器、登入紀錄）。
• 目的：為教育目的向學校及其學生與教職員提供 Mindomo。
• 期間：學校使用 Mindomo 的期間，其後依 §8 所述。
• 地點：託管於德國，備份也在德國。

附件 2. 複處理者

學校自行連結的服務，例如 Clever、Skolon、Yilan、其學習平台（LTI）、其單一登入（SAML）或 Google Classroom，是學校自己的服務，不是我們的複處理者。

功能透過 Microsoft 搜尋網路或圖片時，其搜尋查詢會傳送給 Microsoft 的搜尋服務，Microsoft 可能在歐盟以外處理該查詢。就這些搜尋而言，Microsoft 不是我們的複處理者：Microsoft 依 Microsoft Privacy Statement 自行負責處理該查詢。

附件 3. 學校適用的各國條款

美國

• Mindomo 依 FERPA 作為具有正當教育利益的「school official」（學校人員），在學校對教育紀錄之使用與維護的直接控制下行事。
• 學校依 COPPA 授權其學生的帳戶，僅供教育用途使用，不得用於任何其他商業目的。
• 不向學生投放廣告，不販售學生資料，也不對學生進行剖析（profiling）。
• 持有付費授權者，我們會應要求簽署學區或州自己的資料隱私協議。

加拿大

• 依安大略省《市政資訊自由及隱私保護法》（Municipal Freedom of Information and Protection of Privacy Act，MFIPPA）及其他各省的同等法律，例如卑詩省的 FOIPPA、魁北克省的《第 25 號法》及亞伯達省的隱私法規，教育局保有對其學生個人資料的保管與控制。
• 資料儲存於德國。
• 契約終止時，我們依教育局的指示返還或刪除資料（§8）。
• 持有付費授權者，我們會應要求簽署教育局自己的協議。

英國

• 適用 UK GDPR 與英國《資料保護法》（Data Protection Act 2018），並於相關情形取代 GDPR。
• 我們在英國的代表：Silvana Carpineanu，dpo@mindomo.com。
• 自英國的移轉依英國的規則辦理：歐盟－美國資料隱私框架的英國延伸機制（UK Extension），或標準契約條款的英國附錄（UK addendum）。

學校如何接受本 DPA

• 每一所學校與每一位教師，無論使用何種方案、免費或付費：管理員代表學校接受使用條款時，或教師與班級一起使用 Mindomo 時，本 DPA 即適用。無須簽署任何文件。
• 持有付費授權者，我們另提供經我們簽署的本 DPA 副本，或簽署學校、學區或教育局自己的協議。請洽 support@mindomo.com。

企業適用的資料處理協議

立約雙方為：為其成員使用 Mindomo 的公司、團隊或其他組織（下稱「組織」），以及 Expert Software Applications SRL，Str. Ciprian Porumbescu 5A, 300236 Timișoara，羅馬尼亞（下稱「Mindomo」、「我們」）。學校請使用學校適用的版本。

1. 當事人與適用範圍

• 組織是控管者。Mindomo 是處理者。
• 本 DPA 涵蓋組織成員（員工、外包人員及組織加入其團隊的其他人）的帳戶與內容中的個人資料，以我們為組織處理該等資料的期間為限。
• 附件 1 說明所涉資料。本 DPA 與使用條款就個人資料有不同規定時，以本 DPA 為準。
• 對組織的購買與發票，以及組織管理員作為我們客戶的聯絡資料，Mindomo 依其隱私權政策為控管者。

2. 指示

我們處理資料，僅為依組織管理員的設定向組織及其成員提供 Mindomo，以及依組織其他留有紀錄的指示為之，但法律另有要求者不在此限；於此情形，我們會先告知組織，但法律禁止告知者除外。如果我們認為某項指示違反資料保護法規，會告知組織。我們絕不販售資料，絕不將資料用於廣告，也絕不用於訓練 AI 模型。

3. 保密

Mindomo 內可以存取資料的每一個人均負有保密義務，且僅在提供服務或支援所必要時才存取資料。

4. 安全性

我們以安全性頁面所述的技術上及組織上之措施保護資料。Mindomo 已通過 ISO/IEC 27001 與 ISO/IEC 27701 驗證。

5. 複處理者

• 組織授權使用附件 2 所列的複處理者，即受我們委託處理資料的其他處理者。每一複處理者均受契約拘束，負有與本 DPA 相同的資料保護義務。
• 我們會至少提前 30 天在本頁面公告新的複處理者，並以電子郵件通知組織的管理員。組織可以基於合理的資料保護理由提出異議；如果我們無法解決，組織可以終止其授權，並取回費用中未使用的部分。
• 移轉至歐盟以外，以歐盟－美國資料隱私框架（EU-US Data Privacy Framework）或歐盟執行委員會的標準契約條款為依據。

6. 協助

我們協助組織答覆其成員的請求（查閱、更正、刪除、匯出），主要透過 Mindomo 及其管理主控台中的工具；也協助組織進行其自身的評估，例如資料保護影響評估。我們收到與組織資料有關的任何請求，都會轉交給組織。

7. 個人資料侵害

發生影響組織資料的個人資料侵害時，我們會在知悉後通知組織，不無故遲延，並告知我們所知的情況與正在採取的措施；隨著我們掌握更多資訊，會持續向組織更新。

8. 授權終止或成員離開時

由組織決定其資料的處置。組織可以隨時透過客服支援或管理主控台要求匯出或刪除。如果組織在授權終止時未給予指示，則適用下列規定；組織接受本 DPA，即表示選擇此一處置方式：

• 使用者曾自行接受我們使用條款的帳戶會作為該使用者自己的帳戶，連同其在團隊共用資料夾以外的內容繼續存在。自授權終止時起，Mindomo 依其隱私權政策成為這些帳戶的控管者。
• 組織自行建立的任何帳戶仍為組織的資料，維持不變，因此續訂後可以從中斷處繼續。授權終止後已 12 個月無人登入的帳戶，我們可以在通知組織的管理員後刪除。
• 組織也可以改為要求刪除其所有帳戶，或僅刪除其建立的帳戶。

成員離開團隊時，如果授權仍在有效期間：由管理員移除者，其在團隊共用資料夾中建立的內容留在團隊；自行離開的成員如繼續使用自己的付費方案，可以帶走該內容，否則該內容留在團隊。完整規則載於使用條款 B 部分。

9. 稽核

我們以 ISO/IEC 27001 與 27701 證書及其稽核報告，並以答覆組織的合理提問，證明我們遵守本 DPA。實地稽核僅在法律有要求時進行，須經合理的事先通知，費用由組織負擔。

附件 1. 我們處理的資料

• 資料當事人：組織的員工、外包人員與其他成員，以及組織邀請來與其共同工作的人。
• 資料：帳戶資料（姓名、電子郵件地址、角色、所屬群組）；其建立、上傳及分享的內容；留言與任務；Mindomo AI 的請求與助理對話（組織允許使用 Mindomo AI 時）；安全性記錄（IP 位址、瀏覽器、登入紀錄）。
• 目的：向組織及其成員提供 Mindomo。
• 期間：組織使用 Mindomo 的期間，其後依 §8 所述。
• 地點：託管於德國，備份也在德國。

附件 2. 複處理者

組織自行連結的服務，例如其單一登入（SAML），是組織自己的服務，不是我們的複處理者。

功能透過 Microsoft 搜尋網路或圖片時，其搜尋查詢會傳送給 Microsoft 的搜尋服務，Microsoft 可能在歐盟以外處理該查詢。就這些搜尋而言，Microsoft 不是我們的複處理者：Microsoft 依 Microsoft Privacy Statement 自行負責處理該查詢。

附件 3. 企業適用的各國條款

英國

• 適用 UK GDPR 與英國《資料保護法》（Data Protection Act 2018），並於相關情形取代 GDPR。
• 我們在英國的代表：Silvana Carpineanu，dpo@mindomo.com。
• 自英國的移轉依英國的規則辦理：歐盟－美國資料隱私框架的英國延伸機制（UK Extension），或標準契約條款的英國附錄（UK addendum）。

美國

• 組織適用美國某州的隱私法（例如《加州消費者隱私法》（California Consumer Privacy Act））時，Mindomo 作為其「service provider」（服務提供者）或「processor」（處理者）行事：我們僅為向組織提供 Mindomo 而使用資料，不販售或分享資料，也不為我們自己的目的將其與其他來源的資料結合。

組織如何接受本 DPA

• 每一個組織，無論使用何種方案、免費或付費：管理員代表組織接受使用條款時，本 DPA 即適用。無須簽署任何文件。
• 持有付費授權者，我們另提供經我們簽署的本 DPA 副本，或簽署組織自己的資料處理協議。請洽 support@mindomo.com。