Договор об обработке данных
Версия v1.0
Договор об обработке данных согласно ст. 28 GDPR между контролёром (школой) и KIDO как обработчиком данных.
§ 1 Стороны договора
Контролёр: школа (согласно регистрационным данным в аккаунте KIDO). Обработчик: KIDO UG (haftungsbeschränkt) i.G., [TODO: полный адрес, как в выходных данных].
§ 2 Предмет обработки
Обработка персональных данных родителей и детей (данные о записи) с целью предоставления системы записи по поручению школы.
§ 3 Срок действия
Соглашение действует в течение срока действия основного договора между KIDO и школой.
§ 4 Категории данных и субъекты данных
Категории данных: имя, возраст (ребёнок); имя, E-Mail, телефон (родитель); статус заявки; заметки школы. Субъекты данных: родители и дети, записывающиеся на курс в школе.
§ 5 Обязанности обработчика
KIDO обрабатывает данные исключительно по задокументированным указаниям школы, защищает их в соответствии с современным уровнем техники (TLS, RLS, AES-256 at-rest в Supabase), обязывает всех сотрудников к конфиденциальности и поддерживает школу в обеспечении прав субъектов данных.
§ 6 Субподрядчики
KIDO привлекает следующих субподрядчиков (местоположение в ЕС): • Supabase Inc. — eu-central-1 (база данных и аутентификация) • Vercel Inc. — Франкфурт (хостинг приложения) • Stripe Payments Europe Ltd. — Ирландия (платежи, AVV/SCC оформлены) • Resend — ЕС (транзакционные E-Mail) • PostHog — EU-Cloud (аналитика, только после согласия конечного пользователя) • Sentry — регион ЕС (мониторинг ошибок) • Google Maps — внешняя карта (только после согласия конечного пользователя)
§ 7 Прекращение
При прекращении основного договора все персональные данные удаляются в течение 30 дней или по запросу передаются (экспорт данных доступен в аккаунте).
§ 8 Принятие
Принятие осуществляется путём установки галочки AVV в шаге онбординга и документируется с отметкой времени, IP-адресом и версией договора в журнале аудита (DSGVO-04).