Smlouva o zpracování osobních údajů

Verze 29. 9. 2026

Smluvní strany

Správce: škola, která si objednala licenci Škola (identifikace podle objednávky a faktury).

Zpracovatel: Pavel VItešník, DiS., IČO 75774372, se sídlem Bezručova 1580/7, 586 01 Jihlava, provozovatel služby naucme.cz. Kontakt: info@naucme.cz.

1. Předmět a doba trvání

Zpracovatel zpracovává pro správce osobní údaje při poskytování služby naucme.cz v rámci licence Škola. Smlouva platí po dobu trvání licence a dále do splnění povinností podle článku 9. Je součástí licence; uzavírá se v elektronické podobě (čl. 28 odst. 9 GDPR) souhlasem při objednávce.

2. Povaha a účel zpracování

Uložení a zobrazení údajů, které učitelé správce zadají do aplikace; vytvoření návrhů výukových materiálů, hodnocení a komunikace jazykovým modelem; evidence známek a slovního hodnocení; domácí úkoly s odevzdáním; podklady pro podpůrná opatření. Účelem je podpora výuky a pedagogické práce učitelů správce. Zpracovatel údaje nepoužívá pro vlastní účely, s výjimkou souhrnných provozních statistik používání (počty přihlášení a použitých nástrojů, bez obsahu materiálů a bez údajů o žácích), které slouží jen k zajištění a zlepšení služby. Údaje neprodává a nepoužívá je k trénování modelů.

3. Kategorie subjektů a osobních údajů

Subjekty	Údaje
Zaměstnanci správce (učitelé, vedení)	jméno, e-mail, předmět a ročník, otisk hesla, záznamy o přihlášení a používání
Žáci	iniciály nebo kód (případně jméno, pokud ho učitel zadá), třída, známky a slovní hodnocení, odevzdané odpovědi a práce, popis vzdělávacích potřeb
Zákonní zástupci	jméno a obsah návrhu zprávy, pokud je učitel zadá

Zvláštní kategorie údajů (čl. 9 GDPR) — podklady k podpůrným opatřením (IVP, PLPP) mohou obsahovat údaje o zdravotním stavu, pokud je učitel zadá. Aplikace u žáků pracuje s iniciálami nebo kódem a celé jméno nevyžaduje. Správce zajistí, aby učitelé zadávali údaje o žácích jen v nezbytném rozsahu a přednostně pod kódem. Podklady PLPP a pedagogické diagnostiky se do aplikace neukládají: rozpracovaný text drží server nejvýš dvě hodiny kvůli dokončení generování a do záloh se nedostane.

4. Pokyny správce

Zpracovatel zpracovává osobní údaje jen na doložené pokyny správce. Pokyny jsou tato smlouva a nastavení a úkony, které v aplikaci provádějí správce a jeho učitelé. Má-li zpracovatel za to, že pokyn porušuje právní předpis, neprodleně na to správce upozorní. Předat osobní údaje do třetí země nebo mezinárodní organizaci smí zpracovatel jen na pokyn správce (za podmínek článku 7). Ukládá-li mu zpracování právo EU nebo České republiky, informuje o tom správce předem, ledaže to tento právní předpis zakazuje.

5. Mlčenlivost

K údajům má přístup jen zpracovatel osobně, a to v rozsahu nutném pro provoz, zálohy a řešení požadavků správce. Každá další osoba, které by přístup umožnil, bude zavázána mlčenlivostí.

6. Zabezpečení (čl. 32 GDPR)

• šifrovaný přenos (HTTPS); hesla uložená jen jako nevratný otisk;
• oddělené úložiště každého účtu; datové soubory nepřístupné z webu; podklady k podpůrným opatřením v odděleném úložišti a bez možnosti veřejného sdílení;
• ochrana formulářů proti podvržení (CSRF), omezení opakovaných pokusů o přihlášení, bezpečnostní záznamy uchovávané 90 dní;
• denní zálohy; kopie mimo server jen šifrované (AES-256), klíč má pouze zpracovatel;
• minimalizace: u žáků iniciály nebo kód; zadání se jazykovému modelu posílá jen v rozsahu konkrétního materiálu, ne celý obsah účtu.

7. Další zpracovatelé a předání mimo EHP

Správce uděluje obecné povolení k zapojení těchto dalších zpracovatelů:

Kdo	Činnost
Poskytovatel webhostingu provozovatele	provoz aplikace, uložení všech dat a odesílání e-mailů
Anthropic PBC, USA	zpracování textu zadání a vytvoření návrhu jazykovým modelem — vždy jen jeden z uvedených poskytovatelů AI, podle nastavení provozovatele; data z rozhraní API poskytovatel nepoužívá k trénování modelů. Předání mimo EHP: standardní smluvní doložky schválené Evropskou komisí (čl. 46 odst. 2 písm. c) GDPR), které jsou součástí smlouvy o zpracování s poskytovatelem
Mistral AI SAS, Francie (EU)	zpracování textu zadání a vytvoření návrhu jazykovým modelem — vždy jen jeden z uvedených poskytovatelů AI, podle nastavení provozovatele; data z rozhraní API poskytovatel nepoužívá k trénování modelů
Úložiště záloh provozovatele (e-mailová schránka, případně úložiště FTPS/WebDAV)	jen šifrované kopie záloh (AES-256); poskytovatel úložiště nemá klíč k jejich obsahu

Zpracovatel je zavazuje povinnostmi odpovídajícími této smlouvě (čl. 28 odst. 4 GDPR). Změnu v seznamu oznámí správci e-mailem nejméně 30 dní předem; správce může ze závažného důvodu vznést námitku a licenci ukončit s vrácením poměrné části ceny. Jazykovému modelu se předává jen text zadání, který učitel odešle — proto aplikace vede k používání kódů místo jmen.

8. Součinnost

• Práva subjektů údajů — každý účet si v aplikaci sám stáhne svá data v ZIP (materiály, třídní hodnocení, kvízy se statistikami, domácí úkoly s odevzdanými pracemi, tematické plány a profil účtu), údaje opraví nebo účet trvale smaže. Individuální vzdělávací plány (IVP) do samoobslužného exportu nejdou; zpracovatel je předá na žádost správce do 30 dnů. Podklady z diagnostiky a PLPP se neukládají (bod 3), proto je není co předat. Člen sborovny smaže účet sám poté, co ho správce školy ze sborovny odebere (odebráním se účet odpojí od licence a zůstává učiteli); údaje o žácích z něj zpracovatel na pokyn správce vymaže (bod 9). S ostatními žádostmi pomůže do 10 dnů.
• Porušení zabezpečení — zpracovatel ho správci ohlásí bez zbytečného odkladu, nejpozději do 48 hodin od zjištění, s informacemi podle čl. 33 odst. 3 GDPR, aby správce stihl lhůtu 72 hodin.
• Posouzení vlivu a konzultace — zpracovatel poskytne informace potřebné pro posouzení vlivu (čl. 35) a předchozí konzultaci (čl. 36).

9. Konec zpracování

Po skončení licence nebo na pokyn správce zpracovatel do 30 dnů podle volby správce předá údaje (export) nebo je vymaže, včetně údajů o žácích v účtech učitelů sborovny. Ze záloh údaje zmizí jejich přirozeným přepsáním, nejpozději do 90 dnů. Účet, který si učitel vede sám za sebe, po skončení licence zůstává jeho osobním účtem — údaje o žácích z něj zpracovatel na pokyn správce vymaže.

10. Informace a audit

Zpracovatel poskytne správci informace potřebné k doložení plnění povinností podle čl. 28 GDPR a umožní audit nebo kontrolu po předchozí dohodě. Náklady kontroly nese správce, ledaže kontrola zjistí porušení této smlouvy.

11. Závěrečná ujednání

Smlouva se řídí českým právem. Změnu znění oznámí zpracovatel nejméně 30 dní předem. Kontakt ve věcech ochrany osobních údajů: info@naucme.cz.