Zpracování osobních údajů pro školy (zpracovatelské podmínky, čl. 28 GDPR)
Účinné od 23. října 2026
1. Strany a role
Správcem osobních údajů žáků a učitelů, které do webu skoly.kreativni-mozek.cz (dále „služba“) zadá škola – její učitelé a správce školního účtu –, je škola. Zpracovatelem je provozovatel služby:
Atelier ZeBra s.r.o., IČO 04874871, DIČ CZ04874871, se sídlem Velká Losenice 293, 592 11 Velká Losenice, zapsaná v obchodním rejstříku vedeném Krajským soudem v Brně, oddíl C, vložka 92345, provozovatel značky Kreativní mozek.
Kontakt: e-mail info@atelier-zebra.eu, tel. 773 070 808.
Tyto podmínky jsou součástí smlouvy o užívání služby (Obchodní a licenční podmínky) a platí pro bezplatné užívání i pro školní licenci. Škola je přijímá registrací školy, resp. tím, že její učitelé službu se žáky používají. Samostatný podpis není potřeba; pokud ho škola pro svou evidenci chce, zašleme jí podmínky na požádání k podpisu.
Tyto podmínky se nevztahují na údaje, u kterých je správcem provozovatel: domácí účty rodičů a děti v nich, učitelský účet (přihlašovací e-mail, heslo, jméno), objednávky licence, hlášení chyb, hlasování veřejnosti u Výtvarné výzvy a počitadlo návštěv. Ty popisuje Ochrana osobních údajů.
2. Předmět, povaha a účel zpracování
Provozovatel zpracovává osobní údaje jen za účelem poskytování služby škole: vedení tříd a žáků, přihlašování žáků, zadávání úkolů, vyhodnocování odpovědí a zobrazování výsledků učitelům a žákům, plánování učiva (Cesta učivem), moduly Přijímačky a Maturita nanečisto, účast tříd v Lize škol a ve výzvách, nahrávání výtvarných prací do Výtvarné výzvy, technická podpora, zabezpečení a zálohování. Zpracování zahrnuje shromáždění, uložení, uspořádání, zobrazení oprávněným uživatelům, export a výmaz; probíhá automatizovaně v databázi služby.
3. Doba zpracování
Po dobu, kdy škola službu používá, a poté do výmazu podle čl. 12.
4. Kategorie subjektů údajů
- žáci školy (ročníky 1–13, tedy i děti mladší 15 let),
- učitelé a další pedagogičtí pracovníci školy.
5. Kategorie osobních údajů
| Kdo | Údaje | Odkud |
|---|---|---|
| Žák – označení | přezdívka nebo kód (nejvýš 24 znaků), třída, ročník, škola | zadá učitel; v modulech Přijímačky a Maturita si přezdívku zadá žák sám při připojení kódem třídy a může ji změnit |
| Žák – přihlášení | osobní kód žáka, čtyřmístný PIN (uložený tak, aby ho učitel třídy mohl žákovi zobrazit), náhodný přístupový klíč; neúspěšné pokusy o přihlášení (1 den) | vytvoří služba |
| Žák – výsledky a činnost | odehrané hry a úlohy (hra, čas, trvání, úspěšnost, body, odpovědi po jednotlivých úlohách), plnění úkolů; v Přijímačkách a Maturitě odpovědi v testech, čas a nápovědy, mapa znalostí, chybovník, body XP, série dní, odznaky, zvolený typ přípravy a datum přijímací zkoušky (pokud ho žák zadá); v Cestě učivem hodnocení učitele „zvládnuto / procvičit“ u tématu; technický záznam událostí (např. připojení do třídy) | vzniká při používání služby |
| Žák – Výtvarná výzva | fotografie výtvarné práce (ne fotografie dítěte), název práce, třída; nepovinně jméno autora jen pro interní potřebu (vidí ho jen učitel, který práci nahrál, a administrátorka; veřejně se nezobrazuje) | nahraje učitel se souhlasem zákonných zástupců |
| Učitel | jméno (nepovinné), e-mail, role ve škole (učitel / správce školního účtu), třídy, úkoly a plány, které vytvořil, výsledky jeho vlastních her | zadá učitel; e-mail z jeho účtu |
Služba nevyžaduje a nemá zpracovávat jména a příjmení žáků, e-maily žáků, fotografie dětí, data narození, rodná čísla, adresy ani zvláštní kategorie údajů (čl. 9 GDPR). Škola zajistí, aby je učitelé nezadávali do volných textových polí (přezdívka, název práce, autor, poznámka k úkolu).
6. Pokyny správce
- Provozovatel zpracovává osobní údaje jen na základě doložených pokynů školy. Pokyny jsou tyto podmínky, úkony oprávněných uživatelů školy ve službě (založení, úprava a smazání tříd, žáků, úkolů a prací, export) a písemné pokyny školy zaslané e-mailem.
- Pokud by pokyn podle názoru provozovatele porušoval právní předpisy, školu na to bez zbytečného odkladu upozorní.
- Údaje nepoužívá k jiným účelům – zejména ne k marketingu, reklamě, profilování pro reklamu ani k prodeji. Smí z nich vytvářet souhrnné statistiky bez vazby na konkrétního žáka (např. úspěšnost jednotlivých úloh) ke zlepšování úloh; takové statistiky jsou anonymní a neobsahují osobní údaje.
- Údaje předá třetí osobě nebo orgánu veřejné moci jen tehdy, ukládá-li to právní předpis; školu o tom informuje, pokud to předpis nezakazuje.
7. Mlčenlivost
Provozovatel zachovává mlčenlivost o osobních údajích i o bezpečnostních opatřeních, a to i po skončení spolupráce. K údajům má přístup jen provozovatel (osoba pověřená správou služby), a to jen v rozsahu nutném pro podporu a provoz. Každá další osoba, která by k údajům potřebovala přístup (např. programátor), bude zavázána mlčenlivostí.
8. Technická a organizační opatření
- Šifrované spojení: web i databáze se používají přes HTTPS.
- Řízení přístupu v databázi: u tabulek je zapnuté zabezpečení na úrovni řádků (Row Level Security). Tabulky se žáky, výsledky, úkoly a objednávkami nejsou z prohlížeče přímo čitelné ani zapisovatelné – vše jde přes databázové funkce, které ověřují, kdo volá.
- Oprávnění: třídu, její žáky a výsledky vidí a spravuje jen učitel, který třídu založil, správce školního účtu a administrátorka provozovatele. Žák vidí jen své výsledky. Veřejně se zobrazuje jen škola a označení třídy v žebříčcích a schválené výtvarné práce bez jmen.
- Minimalizace údajů: žáci nemají e-mail, heslo ani účet se jménem; přihlašují se kódem třídy, osobním kódem a PINem. Web učitele vede k tomu, aby používali přezdívky a ne skutečná jména.
- Ochrana přihlášení žáků: po 8 chybných pokusech na žáka nebo 40 na třídu během 15 minut se přihlašování dočasně zablokuje; novým PINem učitel zneplatní přihlášení žáka na všech zařízeních.
- Hesla učitelů spravuje služba Supabase Auth a ukládá je jen v podobě hashe; přihlášení přes Google je volitelné.
- Fotografie prací se před nahráním v prohlížeči zmenší a znovu uloží, čímž se odstraní metadata souboru (např. poloha GPS). Ukládají se do veřejného úložiště obrázků (kvůli galerii) pod adresou s náhodným identifikátorem.
- Hlasování veřejnosti ukládá kvůli ochraně proti podvodům jen otisk (hash) IP adresy, ne adresu samotnou.
- Výmaz: učitel může smazat žáka nebo třídu (smažou se i výsledky), správce školy může smazat školní účet; žáka nebo celou třídu lze také anonymizovat (např. na konci školního roku). Staré údaje maže automatický úklid jednou týdně podle lhůt v Ochraně osobních údajů (výsledky her a odpovědi starší 24 měsíců).
- Záznam citlivých činností: změny licencí a rolí, mazání a anonymizace žáků a tříd, export a ukončení školy se zapisují do záznamu, který vidí jen administrátorka; záznam neobsahuje přezdívky, PINy ani e-maily a uchovává se 3 roky.
- Zabezpečení administrace: přístup do správy databáze, hostingu a e-mailu je chráněn individuálními přihlašovacími údaji; administrace webu je dostupná jen účtu s rolí administrátora.
- Zálohy: databázi zálohuje poskytovatel Supabase podle sjednaného tarifu; zálohy se automaticky přepisují a nejstarší je nejvýše 14 dní stará.
9. Subzpracovatelé
Škola uděluje obecné povolení k zapojení subzpracovatelů uvedených níže. O zamýšlené změně (přidání nebo nahrazení) provozovatel informuje správce školního účtu e-mailem předem; škola může do té doby vznést námitku, a pokud se strany nedohodnou, službu ukončit. Provozovatel ukládá subzpracovatelům stejné povinnosti ochrany údajů a za jejich plnění odpovídá.
| Služba | Účel | Údaje | Umístění dat | Smlouva (DPA) |
|---|---|---|---|---|
| Supabase (Supabase, Inc., USA) | databáze, přihlášení učitelů (Supabase Auth), úložiště fotografií výtvarných prací, data hry Verš za veršem | všechny údaje podle čl. 5 | EU – Irsko (datové centrum AWS eu-west-1); společnost sídlí v USA, případný přístup z USA kryjí standardní smluvní doložky EU | DPA Supabase (supabase.com/legal/dpa) – součást obchodních podmínek Supabase |
| Webkitty (Webkitty hosting s.r.o., IČO 19863209, Plzeň) | hosting webu, náhled sdílených výtvarných prací (prace.php) | technické záznamy serveru (IP adresa, čas, adresa stránky, typ prohlížeče); údaje o žácích se na hostingu neukládají | Česká republika | obchodní podmínky a zásady zpracování osobních údajů Webkitty |
| Odesílání e-mailů pro přihlášení (potvrzení registrace, obnovení hesla – Supabase Auth) | doručení přihlašovacích e-mailů učitelům | e-mail učitele, jednorázový odkaz | e-mailová služba Supabase (Supabase, Inc.) | DPA Supabase (viz výše) |
| Render (render.com, USA) | herní server hry Město, jméno (hra více hráčů) | přezdívka hráče a odpovědi v herní místnosti po dobu hry, IP adresa | Render Services, Inc., USA; certifikace EU-US Data Privacy Framework; server hry provozuje provozovatel webu | DPA Render (render.com/dpa) – součást obchodních podmínek Render |
Služby, které údaje žáků nezpracovávají (nejde o subzpracovatele školy): SimpleShop – objednávky licence (správcem je provozovatel); Google – volitelné přihlášení učitele účtem Google (samostatný správce); PeerJS (0.peerjs.com) – spojení dvou hráčů hry Dáma (jen technické údaje o spojení a IP adresa); jsDelivr, cdnjs, unpkg, cdn.socket.io a flagcdn.com – načítání knihoven a obrázků vlajek v některých hrách (IP adresa).
10. Součinnost se školou
- Export: správce školního účtu si může kdykoli stáhnout údaje školy (Škola a licence → Údaje a soukromí → Stáhnout údaje školy). Export obsahuje školu, licence, učitele, třídy, žáky (přezdívky), jejich odehrané hry a úkoly. Ostatní údaje (např. odpovědi v Přijímačkách a Maturitě, Cesta učivem, výtvarné práce) poskytneme na žádost e-mailem.
- Oprava: učitel může žáka přejmenovat a vygenerovat nový PIN; ostatní opravy na žádost.
- Výmaz: učitel může smazat žáka nebo třídu, správce školy školní účet (viz čl. 12).
- Žádosti subjektů údajů: obrátí-li se žák, zákonný zástupce nebo učitel přímo na provozovatele, předá žádost bez zbytečného odkladu škole a nebude ji sama vyřizovat, pokud se se školou nedohodne jinak. Se žádostmi, které škola sama v aplikaci nevyřeší, pomůže nejpozději do 10 pracovních dnů.
- Poskytne škole informace potřebné pro posouzení vlivu (čl. 35 GDPR), pro zabezpečení a pro ohlašování porušení zabezpečení.
11. Porušení zabezpečení osobních údajů
Zjistí-li provozovatel porušení zabezpečení, které se týká údajů školy, oznámí je správci školního účtu e-mailem bez zbytečného odkladu. Uvede povahu porušení, dotčené kategorie a přibližný počet subjektů a záznamů, pravděpodobné důsledky a přijatá či navrhovaná opatření; chybějící informace doplní postupně.
12. Konec služby, vrácení a výmaz údajů
- Správce školního účtu si může kdykoli stáhnout export a smazat školní účet. Tím se smažou žáci a všechny jejich výsledky, úkoly tříd a kód pro učitele, třídy se skryjí a učitelé se od školy odpojí (jejich učitelské účty zůstávají).
- Po skončení užívání služby – smazáním školního účtu nebo na písemnou žádost školy – provozovatel podle volby školy údaje vrátí (export) a nejpozději do 30 dnů smaže i ostatní osobní údaje školy (např. skryté třídy, výtvarné práce, plány Cesty učivem).
- Ze záloh údaje zmizí s jejich pravidelným přepisem, nejpozději do 14 dnů.
- Zachovány zůstávají jen údaje, které je provozovatel povinen uchovat podle zákona (např. daňové doklady o licenci), a výsledky tříd v historických žebříčcích Ligy škol (škola, označení třídy, body) – bez údajů o jednotlivých žácích.
13. Audit a kontrola
Provozovatel poskytne škole informace potřebné k doložení plnění těchto podmínek (tento dokument, popis opatření, seznam subzpracovatelů a jejich certifikace – Supabase má certifikaci SOC 2 Type 2 a ISO 27001). Škola nebo jí pověřený auditor vázaný mlčenlivostí může provést kontrolu po předchozím oznámení alespoň 30 dnů předem, zpravidla písemným dotazníkem, nejvýše jednou ročně (častěji jen po porušení zabezpečení); náklady kontroly nese škola.
14. Závěrečná ustanovení
Vztahy neupravené těmito podmínkami se řídí nařízením (EU) 2016/679 (GDPR), zákonem č. 110/2019 Sb., o zpracování osobních údajů, a právním řádem České republiky. Změny těchto podmínek oznámí provozovatel správcům školních účtů nejméně 30 dnů předem. Kontakt: e-mail info@atelier-zebra.eu, tel. 773 070 808.