Wzór umowy. Szkoła akceptuje ją elektronicznie w panelu (Profil szkoły → Umowa powierzenia), a dane szkoły uzupełniają się wtedy same.

Umowa powierzenia przetwarzania danych osobowych

Wersja 2026-10-23 · zawierana w formie elektronicznej (art. 28 ust. 9 RODO)

zawarta pomiędzy:

[nazwa szkoły], [adres szkoły] – zwaną dalej Administratorem,

a

NetBox24 Sp. Z o.o., Łużna 2, 38-322 Łużna, NIP 738-216-97-00, KRS 0001024567 (Sąd Rejonowy dla Krakowa-Śródmieścia w Krakowie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego.), kapitał zakładowy 10 000 zł – zwanym dalej Przetwarzającym,

w związku z korzystaniem przez Administratora z usługi Szkolny Dzwonek na podstawie Regulaminu (dalej: Umowa główna).

§ 1. Przedmiot

1. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w imieniu Administratora, w zakresie i celu określonym w niniejszej umowie, zgodnie z art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).
2. Przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Za udokumentowane polecenie uważa się w szczególności czynności wykonywane przez Użytkowników Administratora w panelu usługi.

§ 2. Zakres, cel i czas przetwarzania

1. Kategorie osób: uczniowie, rodzice i opiekunowie prawni uczniów, pracownicy szkoły, inne osoby dodane przez Administratora do grup odbiorców.
2. Kategorie danych: imię i nazwisko, oddział, numer telefonu, adres e-mail, język korespondencji, informacja o zgodzie na kontakt, funkcja pracownika, treść wiadomości, odpowiedzi odbiorców (potwierdzenia, usprawiedliwienia nieobecności wraz z ogólnym powodem, decyzje i podpisy przy zgodach, wybrane terminy konsultacji, informacje o wpłatach), dane kont Użytkowników, adresy IP i daty zdarzeń w dzienniku.
3. Charakter operacji: zbieranie, przechowywanie, porządkowanie, wysyłanie wiadomości przez operatora SMS lub pocztę e-mail wskazaną przez Administratora, udostępnianie Użytkownikom, eksport i usuwanie.
4. Cel: komunikacja szkoły z uczniami, rodzicami i opiekunami oraz obsługa ich odpowiedzi.
5. Czas: przez okres obowiązywania Umowy głównej oraz do 30 dni po jej zakończeniu (na eksport danych przez Administratora). Wiadomości i odpowiedzi starsze niż 730 dni są usuwane automatycznie.

§ 3. Obowiązki Przetwarzającego

Przetwarzający zobowiązuje się:

1. przetwarzać dane wyłącznie w celu i zakresie określonym w § 2 oraz na polecenie Administratora, także w odniesieniu do przekazywania danych do państwa trzeciego – Przetwarzający nie przekazuje danych poza Europejski Obszar Gospodarczy;
2. zapewnić, aby osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy;
3. stosować środki techniczne i organizacyjne opisane w § 5, wymagane na mocy art. 32 RODO;
4. przestrzegać warunków korzystania z usług innego podmiotu przetwarzającego, o których mowa w § 4;
5. pomagać Administratorowi, w miarę możliwości, w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą – panel umożliwia samodzielny wgląd, poprawianie, eksport i usuwanie danych;
6. pomagać Administratorowi w wywiązywaniu się z obowiązków określonych w art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne informacje;
7. po zakończeniu świadczenia usług usunąć wszelkie dane osobowe oraz ich istniejące kopie, zgodnie z § 7;
8. udostępniać Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwiać przeprowadzanie audytów, w tym inspekcji, zgodnie z § 6.

§ 4. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na korzystanie przez Przetwarzającego z następujących podmiotów przetwarzających:
   • hosting serwera: Hostinger International Ltd. – serwer VPS w Unii Europejskiej;
   • przechowywanie zaszyfrowanej kopii zapasowej bazy danych: HITME.pl – Marek Bajerski, ul. Wiczlińska 34, 81-578 Gdynia, NIP 8792487067 – serwer dedykowany usługodawcy w centrum danych w Gdańsku (kopia zaszyfrowana AES-256) – kopia jest szyfrowana kluczem Przetwarzającego przed wysłaniem, a dostawca nie ma do niego dostępu;
   • wysyłka wiadomości e-mail (powiadomienia, moduł „E-mail zamiast SMS”): ;
   • moduł „Powiadomienia w telefonie”: usługa powiadomień przeglądarki wybranej przez odbiorcę (Google, Apple lub Mozilla) – przekazuje wyłącznie treść zaszyfrowaną end-to-end (RFC 8291), której nie może odczytać.
2. Operatora SMS wybiera Administrator i zawiera z nim odrębną umowę. Przetwarzający przekazuje do operatora SMS wyłącznie numer telefonu i treść wiadomości, z konta Administratora i na jego polecenie.
3. O zamiarze zmiany lub dodania podmiotu przetwarzającego Przetwarzający informuje Administratora e-mailem z co najmniej 14-dniowym wyprzedzeniem. Administrator może w tym czasie wyrazić sprzeciw, a w razie jego nieuwzględnienia – wypowiedzieć Umowę główną.
4. Przetwarzający nakłada na dalszych przetwarzających te same obowiązki ochrony danych, jakie wynikają z niniejszej umowy.

§ 5. Bezpieczeństwo

Przetwarzający stosuje w szczególności następujące środki:

• szyfrowanie połączeń (HTTPS/TLS) i serwer zlokalizowany w Unii Europejskiej;
• role i uprawnienia – Użytkownik widzi tylko dane potrzebne do jego pracy (np. wychowawca wyłącznie swoje oddziały);
• obowiązkowe logowanie dwuskładnikowe dla administratorów, blokada konta po nieudanych próbach logowania, hasła tymczasowe wymagające zmiany;
• szyfrowanie kluczy dostępowych do bramki SMS i sekretów 2FA w bazie danych;
• dziennik zdarzeń rejestrujący logowania, wysyłki, eksporty i zmiany ustawień;
• codzienne kopie zapasowe bazy danych przechowywane przez ograniczony czas;
• linki odpowiedzi z losowym identyfikatorem, ważne przez ograniczony czas, pokazujące tylko imię ucznia i oddział;
• automatyczne usuwanie starych wiadomości i wpisów dziennika (retencja).

§ 6. Kontrola

1. Administrator ma prawo kontrolować przestrzeganie niniejszej umowy, w szczególności przez żądanie informacji i wyjaśnień na piśmie, na które Przetwarzający odpowiada w ciągu 14 dni.
2. Kontrola w siedzibie Przetwarzającego wymaga uprzedzenia z co najmniej 14-dniowym wyprzedzeniem, odbywa się w dni robocze i nie może naruszać tajemnicy przedsiębiorstwa ani danych innych klientów.

§ 7. Naruszenia ochrony danych i zakończenie przetwarzania

1. Przetwarzający zawiadamia Administratora o stwierdzonym naruszeniu ochrony danych osobowych bez zbędnej zwłoki, nie później niż w ciągu 36 godzin od jego stwierdzenia, przekazując informacje wymienione w art. 33 ust. 3 RODO w zakresie, w jakim są mu znane.
2. Po zakończeniu Umowy głównej Administrator może przez 30 dni pobrać wszystkie dane (eksport ZIP w panelu). Po upływie tego terminu Przetwarzający trwale usuwa dane osobowe z systemu, a z kopii zapasowych – wraz z ich naturalną rotacją, nie później niż w ciągu kolejnych 30 dni.
3. Na żądanie Administratora Przetwarzający potwierdza usunięcie danych e-mailem.

§ 8. Postanowienia końcowe

1. Umowa obowiązuje przez czas obowiązywania Umowy głównej i wygasa wraz z zakończeniem przetwarzania danych.
2. W sprawach nieuregulowanych stosuje się przepisy RODO, ustawy o ochronie danych osobowych oraz Kodeksu cywilnego.
3. Kontakt w sprawach ochrony danych – Przetwarzający: kontakt@dzwonekszkolny.pl.