Termos de tratamento de dados para escolas

Estes termos são celebrados entre a escola ou outra instituição de ensino que usa uma conta escolar (a “Escola”) e a Omnibus, Ltd., endereço disponível mediante solicitação (“nós”). Eles fazem parte do contrato ou da oferta com base na qual a conta escolar é fornecida e prevalecem sobre ele em matéria de proteção de dados. Foram redigidos para atender ao art. 28 do GDPR / UK GDPR e, para escolas na Turquia, ao art. 12 da KVKK.

Os membros da equipe também têm suas próprias contas Earbunny; o uso que fazem do app fora da conta escolar é regido pela nossa política de privacidade.

Nenhum dado de categoria especial e nenhum dado pessoal de alunos é tratado em nome da Escola. A Escola não deve carregar nem nos enviar dados pessoais de alunos.

Tratamos os dados da Escola somente de acordo com as instruções documentadas da Escola, que são estes termos e as configurações da Escola na conta escolar, salvo se a lei exigir o contrário (caso em que informamos a Escola antes, a menos que a lei o proíba). Informamos a Escola se considerarmos que uma instrução viola a lei de proteção de dados.

Somente os membros da nossa equipe que precisam podem acessar os dados da Escola, e eles estão sujeitos a um dever de confidencialidade. Todo acesso da equipe a dados pessoais é registrado.

Aplicamos as medidas técnicas e organizacionais do anexo, adequadas ao risco (art. 32 do GDPR). Podemos aprimorá-las com o tempo, mas não reduziremos o nível geral de proteção.

A Escola dá autorização geral para usarmos os suboperadores listados na nossa página de suboperadores. Enviamos um e-mail à Escola com pelo menos 30 dias de antecedência antes de adicionar ou substituir um deles. A Escola pode se opor por motivos razoáveis de proteção de dados; se não pudermos atender à objeção, a Escola pode encerrar a conta escolar. Vinculamos cada suboperador a obrigações de proteção de dados equivalentes a estes termos e continuamos responsáveis por ele.

Os dados da Escola são hospedados na UE. Quando um suboperador os trata fora da UE/EEE, do Reino Unido ou da Turquia, usamos uma decisão de adequação (incluindo o Data Privacy Framework UE–EUA, quando aplicável) ou Cláusulas Contratuais Padrão e, para dados da Turquia, as salvaguardas do art. 9 da KVKK.

Levando em conta a natureza do tratamento, ajudamos a Escola a responder a solicitações de membros da equipe que exerçam seus direitos de proteção de dados, bem como em avaliações de impacto sobre a proteção de dados e em consultas a autoridades (arts. 32 a 36 do GDPR). Se recebermos diretamente uma solicitação sobre dados da Escola, nós a encaminhamos à Escola.

Notificamos a Escola sem demora injustificada e, em qualquer caso, em até 72 horas após tomarmos conhecimento de um incidente que afete dados da Escola. A notificação descreve, na medida do que se sabe, o que aconteceu, os dados e as pessoas afetados, as consequências prováveis e as medidas adotadas ou propostas, e indica um contato. Acrescentamos informações à medida que ficam disponíveis e ajudamos a Escola a cumprir os seus próprios deveres de notificação.

Quando a conta escolar termina, eliminamos a organização, as turmas, os códigos de turma e as atribuições da equipe da Escola em até 30 dias, a menos que a Escola peça uma cópia antes ou que a lei nos obrigue a guardar algo. Os backups são sobrescritos em até mais 30 dias. Os vínculos dos alunos com as turmas terminam; as famílias mantêm suas próprias contas e dados do Earbunny, que não são afetados.

Disponibilizamos as informações necessárias para demonstrar o cumprimento destes termos. A Escola pode auditar o nosso cumprimento uma vez por ano ou após um incidente, com aviso prévio de pelo menos 30 dias, às suas próprias custas e sob confidencialidade. Podemos responder primeiro com documentos, questionários ou relatórios; uma auditoria presencial é possível quando estes não forem suficientes.

A responsabilidade de cada parte nos termos deste documento segue o contrato com base no qual a conta escolar é fornecida, exceto quando a lei não permitir limitá-la.

Estes termos são regidos pela lei do seguinte país: o país onde a Omnibus, Ltd. está registrada, salvo se uma norma obrigatória aplicável à Escola, como a legislação do setor público ou de proteção de dados do seu país, exigir o contrário.

• Criptografia em trânsito (TLS) e em repouso, inclusive nos backups.
• Hospedagem na UE; backups criptografados mantidos por 30 dias.
• Uma única regra de acesso verificada em cada solicitação; a equipe da escola vê apenas relatórios anônimos das próprias turmas, e os códigos de turma ficam visíveis apenas para os administradores escolares.
• Os relatórios são bloqueados quando menos de 10 alunos enviaram dados e não contêm nomes nem identificadores.
• Sessões de curta duração; o acesso termina com um código enviado por e-mail; limites de taxa e proteção contra bots no acesso e nos códigos.
• Verificação em duas etapas para as nossas contas de administrador; todo acesso da equipe a dados pessoais é registrado.
• Códigos de acesso e de pareamento não são gravados nos registros de produção; os relatórios de falhas não contêm dados pessoais além de um ID opaco.
• Separação entre os ambientes de produção e de teste; acesso concedido com base na necessidade de conhecer.
• Processo de resposta a incidentes com notificação conforme a seção 11.

Dúvidas sobre estes termos ou uma cópia assinada: schools [at] earbunny.app. Mais na nossa página de segurança.