Smlouva o zpracování osobních údajů

Pro školy s licencí Molekulárium Plus – Škola: úkoly třídě s výsledky žáků. Smlouvu za školu uzavře správce licence v aplikaci jedním potvrzením; provozovatel uloží, kdy a z jakého účtu se to stalo a které znění platí.

Znění ze dne 13. 10. 2026

1. Smluvní strany a uzavření smlouvy

1. 1.1 Správcem osobních údajů je škola (nebo její zřizovatel), pro kterou je zřízena licence Molekulárium Plus – Škola a za kterou smlouvu uzavřel správce licence (dále jen „škola“).
2. 1.2 Zpracovatelem je provozovatel Molekulária: Jiří Hlaváč, IČO 23836300, se sídlem Trhové Dušníky 151, 261 01 Trhové Dušníky, e-mail kontakt@molekularium.app (dále jen „provozovatel“).
3. 1.3 Smlouva je uzavřena okamžikem, kdy správce licence Škola v aplikaci potvrdí, že má oprávnění jednat za školu (nebo její souhlas) a že za školu se smlouvou souhlasí. Provozovatel uloží datum a čas potvrzení, e-mail účtu, ze kterého bylo uděleno, a datum znění smlouvy. Škola si potvrzení i znění smlouvy kdykoli zobrazí v aplikaci (Účet → Učitelé) a na této stránce.
4. 1.4 Smlouva se uzavírá podle čl. 28 nařízení (EU) 2016/679 (GDPR) a doplňuje obchodní podmínky (čl. 6.17). Pojmy „učitel“ a „správce licence“ mají význam podle obchodních podmínek.

2. Předmět, účel a rozsah zpracování

1. 2.1 Provozovatel pro školu zpracovává osobní údaje žáků v rozsahu nezbytném k tomu, aby učitelé školy mohli v aplikaci zadávat žákům úkoly a vidět jejich výsledky (funkce „úkoly s výsledky“).
2. 2.2 Zpracování spočívá v uložení údajů, jejich zobrazení učiteli, který úkol zadal, v jejich souhrnu a exportu do tabulky (CSV) na pokyn učitele a v jejich výmazu. Provozovatel údaje nepoužije k žádnému jinému účelu – zejména ne k marketingu, profilování, srovnávání žáků mimo úkol ani k trénování modelů umělé inteligence.
3. 2.3 Subjekty údajů: žáci školy, kteří otevřou úkol s výsledky od učitele a odešlou výsledek některé jeho výzvy.
4. 2.4 Osobní údaje:
   • jméno nebo přezdívka, kterou žák v úkolu zadá,
   • náhodné označení prohlížeče žáka, které vytvoří aplikace (nesouvisí se zařízením ani s jinými údaji),
   • výsledky výzev úkolu: počet hvězd, dokončení nebo vzdání, počet chyb, použití nápovědy nebo ukázaného řešení, čas řešení, počet pokusů a čas odeslání,
   • technické záznamy o požadavcích (IP adresa a čas), které krátce uchovávají poskytovatelé hostingu kvůli provozu a zabezpečení.
   Zvláštní kategorie osobních údajů (čl. 9 GDPR) se nezpracovávají.
5. 2.5 Doba zpracování: úkol i výsledky se automaticky smažou po konci školního roku (31. srpna), ve kterém byl úkol zadán. Učitel může úkol nebo výsledky jednotlivého žáka smazat kdykoli dříve. Smazáním účtu učitele se smažou i jeho úkoly a výsledky.

3. Povinnosti školy

1. 3.1 Škola odpovídá za to, že pro zpracování má právní základ (zpravidla plnění úkolu ve veřejném zájmu při vzdělávání podle čl. 6 odst. 1 písm. e) GDPR), a za informování žáků a jejich zákonných zástupců.
2. 3.2 Škola určuje, kteří učitelé licenci používají (pozvání do licence správcem). Pokyny ke zpracování dává škola prostřednictvím aplikace – zadáním, zobrazením, exportem a smazáním úkolů a výsledků učitelem – nebo e-mailem na kontakt@molekularium.app.
3. 3.3 Provozovatel doporučuje, aby žáci zadávali jen křestní jméno, iniciály nebo přezdívku domluvenou s učitelem, a ne údaje, které nejsou k vyhodnocení úkolu potřeba.

4. Povinnosti provozovatele

Provozovatel se zavazuje:

1. 4.1 zpracovávat osobní údaje jen na doložené pokyny školy (čl. 3.2), ledaže mu zpracování ukládá právo Evropské unie nebo České republiky – pak školu předem informuje, pokud to právo nezakazuje; upozorní školu, pokud by podle jeho názoru pokyn porušoval GDPR,
2. 4.2 zajistit, aby osoby oprávněné osobní údaje zpracovávat byly zavázány mlčenlivostí,
3. 4.3 přijmout technická a organizační opatření podle čl. 32 GDPR (čl. 5 této smlouvy),
4. 4.4 dodržovat podmínky pro zapojení dalších zpracovatelů (čl. 6),
5. 4.5 pomáhat škole vyřizovat žádosti žáků a jejich zákonných zástupců o výkon práv podle GDPR (přístup, oprava, výmaz, omezení zpracování): učitel výsledky zobrazí, stáhne nebo smaže přímo v aplikaci; ostatní provozovatel vyřídí na žádost školy nejpozději do 7 dnů; žádost doručenou přímo provozovateli předá škole,
6. 4.6 pomáhat škole plnit povinnosti podle čl. 32 až 36 GDPR s ohledem na povahu zpracování a informace, které má k dispozici,
7. 4.7 ohlásit škole porušení zabezpečení osobních údajů bez zbytečného odkladu, nejpozději do 48 hodin poté, co se o něm dozví – e-mailem na účet správce licence, s popisem povahy porušení, dotčených údajů, pravděpodobných důsledků a přijatých opatření,
8. 4.8 po skončení zpracování osobní údaje smazat (čl. 2.5 a 7), pokud právo neukládá jejich uchování,
9. 4.9 poskytnout škole informace potřebné k doložení splnění povinností podle této smlouvy a umožnit audity a kontroly prováděné školou nebo auditorem, kterého škola pověří – v přiměřeném rozsahu, po předchozí dohodě a zpravidla písemnou formou.

5. Technická a organizační opatření

• Minimalizace: žák nemá účet a nezadává e-mail ani jiné kontaktní údaje; jeho prohlížeč má jen náhodné označení. Úkol přijme výsledky nejvýše od 200 žáků.
• Přístup k výsledkům má jen učitel, který úkol zadal (přihlášení kódem z e-mailu). Databáze je přístupná jen serveru licencí, ne přímo z aplikace; provozovatel do údajů nahlíží jen kvůli řešení technické závady nebo žádosti školy.
• Šifrovaný přenos (HTTPS/TLS) a šifrování uložených dat u poskytovatele databáze; údaje jsou uložené v datovém centru v EU (Frankfurt).
• Kontrola vstupů (jméno nejvýše 40 znaků, bez HTML), automatický výmaz po konci školního roku a výmaz na pokyn učitele.
• Zálohy databáze vede poskytovatel databáze; smazané údaje z nich zmizí nejpozději do 30 dnů.

6. Další zpracovatelé

1. 6.1 Škola uděluje obecné povolení k zapojení dalších zpracovatelů. Nyní jsou zapojeni:
   • Supabase, Inc. (USA) – databáze a server licencí; údaje jsou uložené v datovém centru v EU (Frankfurt), případný přístup z USA je zajištěn standardními smluvními doložkami,
   • Cloudflare, Inc. (USA) – doručení webové aplikace a ochrana před útoky (IP adresa při načítání stránky); rámec EU-USA pro ochranu údajů (Data Privacy Framework) a standardní smluvní doložky.
2. 6.2 O zamýšleném přidání nebo nahrazení dalšího zpracovatele informuje provozovatel školu nejméně 30 dní předem e-mailem na účet správce licence a na této stránce. Škola může proti změně vznést námitku; pokud se strany nedohodnou, může škola smlouvu ukončit (čl. 7.2).
3. 6.3 Provozovatel dalším zpracovatelům smluvně uloží stejné povinnosti ochrany osobních údajů, jaké má podle této smlouvy, a za jejich plnění odpovídá škole jako za vlastní.

7. Trvání a ukončení

1. 7.1 Smlouva se uzavírá na dobu trvání licence Škola. Po jejím skončení se řídí touto smlouvou i údaje, které v aplikaci zůstaly, až do jejich smazání podle čl. 2.5.
2. 7.2 Škola může smlouvu kdykoli ukončit e-mailem na kontakt@molekularium.app. Provozovatel pak do 30 dnů smaže všechny úkoly s výsledky učitelů školy a úkoly s výsledky přestanou být pro školu dostupné, dokud smlouvu znovu neuzavře. Před ukončením si učitelé mohou výsledky stáhnout do tabulky.
3. 7.3 Změnu znění smlouvy (například kvůli změně právních předpisů, dalších zpracovatelů nebo funkcí aplikace) oznámí provozovatel nejméně 30 dní předem e-mailem na účet správce licence. Nové znění správce odsouhlasí v aplikaci; dokud se tak nestane, platí pro zpracování dosavadní znění.

8. Závěrečná ustanovení

1. 8.1 Odpovědnost stran za škodu způsobenou porušením povinností podle GDPR se řídí čl. 82 GDPR.
2. 8.2 Smlouva se řídí právem České republiky. Pokud se liší od obchodních podmínek, má přednost tato smlouva.
3. 8.3 Kontakt pro ochranu osobních údajů: kontakt@molekularium.app. Údaje provozovatele:

Provozovatel

Jiří Hlaváč

IČO

23836300

Sídlo

Trhové Dušníky 151, 261 01 Trhové Dušníky

Zápis

zapsán v živnostenském rejstříku vedeném Městským úřadem Příbram

E-mail

kontakt@molekularium.app

Jak Molekulárium zpracovává osobní údaje mimo úkoly s výsledky (účty učitelů, platby, web), popisují zásady ochrany osobních údajů.