Споразумение за обработване на лични данни (чл. 28 ОРЗД)

Това е стандартното споразумение за училища; то е част от договора на всяко училище или от приемането на Общите условия на Connecta.


Последна актуализация	8 ноември 2026 г.
Администратор	Училището или образователната институция, която използва Connecta („Училището“)
Обработващ лични данни	„Кънекта Едукейшън“ ДПК (Connecta Education), дружество с променлив капитал, ЕИК 208902353, седалище и адрес на управление: гр. София 1000, р-н Оборище, ул. „Стара планина“ № 16, ет. 4 („Connecta“)
Контакт	[email protected]

1. Роли и обхват

1.1 За личните данни на ученици, родители и служители, които Училището или неговите учители въвеждат в Connecta или които възникват при използването на Connecta за Училището, Училището е администратор, а Connecta - обработващ лични данни.

1.2 Когато родител се регистрира в Connecta директно (потребителската услуга) и по-късно свърже детето с Училището, Connecta е администратор за потребителското отношение, а Училището - за училищното. Всеки отговаря за своята част.

1.3 Това споразумение се прилага, докато Connecta обработва лични данни от името на Училището, и остава в сила до изтриването или връщането на тези данни.

2. Описание на обработването (Приложение 1)


Предмет	Предоставяне на платформата Connecta на Училището
Цел	Подкрепа на преподаването и ученето (AI наставник Сократ, упражнения, тестове, задания), безопасно общуване в класа (чат с модерация GoodTalk), родителско съгласие и комуникация, администриране на класове и служители
Субекти на данните	Ученици (предимно непълнолетни), техните родители, настойници и попечители, учители и училищни служители
Категории данни	Идентификационни и контактни данни (имена; имейл само за възрастни); членство в клас и училище; училищна работа, отговори, снимки на домашни, разговори с AI наставника; чат съобщения и записи от модерация; записи за съгласие; технически логове и логове за сигурност
Специални категории	Не се предвиждат. Училището инструктира учителите да не въвеждат здравни или други данни от специални категории. Ако такива данни се появят в свободен текст (напр. чат съобщение), те се обработват само като част от това съдържание
Срок	Срокът на използване на Connecta от Училището плюс сроковете в графика за съхранение
Местоположение	Основно съхранение и резервни копия в ЕС (Scaleway, Варшава, Полша). AI функциите, включително тези, които детето използва, работят с модели на Scaleway (Scaleway Generative APIs, Париж, Франция, ЕС) или с OpenAI (Съединени американски щати, САЩ). Connecta избира доставчика за всяка функция и може да го промени; списъкът на подизпълнителите посочва доставчиците и къде се намират. Предаване извън ЕИП само както е посочено в списъка на подизпълнителите

3. Задължения на Connecta

Connecta:

а) обработва личните данни само по документирано нареждане на Училището - такова нареждане са това споразумение, Общите условия и настройките на платформата, които Училището използва - и уведомява Училището, ако счита, че дадено нареждане нарушава законодателството за защита на данните;

б) гарантира, че всички лица, оправомощени да обработват данните, са обвързани с поверителност;

в) прилага техническите и организационните мерки от Приложение 2;

г) използва подизпълнители (други обработващи лични данни по смисъла на чл. 28, параграф 2 от ОРЗД) само съгласно раздел 5;

д) подпомага Училището, съобразно естеството на обработването, при отговаряне на искания на субекти на данни (достъп, коригиране, изтриване, ограничаване, преносимост, възражение) и препраща на Училището всяко искане, получено директно;

е) подпомага Училището по отношение на сигурността, уведомяването за нарушения, оценките на въздействието върху защитата на данните и предварителните консултации (чл. 32-36 от ОРЗД). Оценката на въздействието върху защитата на данните, която Connecta е изготвила за AI функциите, е на разположение на Училището при поискване;

ж) при прекратяване на услугата, по избор на Училището, изтрива или връща личните данни, освен когато правото на ЕС или българското право изисква съхранение на част от тях (например записи за съгласие и одит);

з) предоставя цялата информация, необходима за доказване на съответствието, и позволява и съдейства при одити (раздел 7).

Connecta никога не: продава данните; използва ги за реклама или профилиране с маркетингова цел; използва данни на деца за обучение на AI модели, нито позволява това на подизпълнител; комбинира данните на Училището с тези на други клиенти, освен в анонимизиран и обобщен вид за опериране и подобряване на услугата.

4. Задължения на Училището

Училището:

а) има правно основание за обработването и е информирало учениците, родителите и служителите за него;

б) осигурява родителското съгласие, което платформата изисква, където то е необходимо, чрез процеса за съгласие в платформата;

в) дава достъп само на служители, които се нуждаят от него, и го премахва при напускане;

г) не дава нареждания на Connecta да обработва данни в нарушение на закона.

5. Подизпълнители

5.1 Училището дава общо писмено разрешение Connecta да използва подизпълнители. Актуалният списък е публикуван на connecta.education/subprocessors и представлява Приложение 3.

5.2 Connecta уведомява Училището за всяко планирано добавяне или замяна поне 30 дни предварително по имейл до администратора на Училището и в публикувания списък. Смяната на AI доставчика, който обработва данни на деца, се счита за промяна. В този срок Училището може да възрази на основателни съображения за защита на данните; страните търсят решение добросъвестно и ако такова не бъде намерено, Училището може да прекрати засегнатата услуга без неустойка.

5.3 Connecta налага договорно на всеки подизпълнител задължения за защита на данните, които са поне толкова строги, колкото това споразумение, и отговаря пред Училището за тяхното изпълнение.

6. Предаване на лични данни на трети държави

Предаване извън ЕИП се извършва само както е посочено в списъка на подизпълнителите и въз основа или на решение относно адекватното ниво на защита (чл. 45 от ОРЗД), включително Рамката за защита на данните между ЕС и САЩ (Решение за изпълнение (ЕС) 2023/1795 на Комисията), когато получателят е сертифициран по нея, или на подходящи гаранции (чл. 46 от ОРЗД), а именно стандартните договорни клаузи на Европейската комисия, с допълнителни мерки. Това включва заявките към OpenAI в САЩ за AI функциите, които в момента са възложени на него и които могат да съдържат отговори и съобщения на деца и работа, качена от учител. Заявките към AI доставчиците съдържат само това, което функцията изисква, и Connecta не включва в тях името на детето, идентификатора на профила му, училището или класа му. OpenAI по подразбиране не използва за обучение на моделите си данните, изпратени през неговия API. Където условията с даден доставчик още не са сключени, списъкът на подизпълнителите го посочва.

7. Одити

Connecta отговаря на основателни писмени въпроси на Училището относно съответствието и предоставя съответната документация (това споразумение, регистъра на подизпълнителите, оценката на въздействието, обобщения за сигурността). Одит на място или от трета страна е възможен веднъж годишно с 30-дневно предизвестие, за сметка на Училището, при спазване на поверителност и без достъп до данни на други клиенти, или по всяко време, когато надзорен орган го изисква.

8. Нарушения на сигурността на личните данни

Connecta уведомява Училището без ненужно забавяне и във всички случаи в рамките на 48 часа след като узнае за нарушение, засягащо данните на Училището, с известното към момента: естеството на нарушението, категориите и приблизителния брой засегнати лица и записи, вероятните последици и предприетите или предлаганите мерки. Connecta информира Училището допълнително, когато научи повече, така че Училището да може да изпълни 72-часовото си задължение към Комисията за защита на личните данни.

9. Отговорност и предимство

Отговорността е съгласно договора на Училището или Общите условия, при спазване на чл. 82 от ОРЗД. При противоречие между това споразумение и договора или Общите условия по въпроси на защитата на данните предимство има това споразумение. То се урежда от българското право.

Приложение 2 - Технически и организационни мерки (обобщение)

Местоположение: цялото съхранение и резервните копия са в ЕС (Варшава, Полша).
Криптиране при пренос (TLS) и при съхранение.
Контрол на достъпа: всеки профил се създава от отговорно лице нагоре по веригата (училище, учител, родител); отказ по подразбиране на всяка крайна точка; всяко училище вижда само своите данни; достъпът на служители до продукционната среда е ограничен и се записва.
Удостоверяване: паролите се хешират с argon2id; еднократни и краткотрайни връзки за вход; защитени HttpOnly бисквитки за сесия, ограничени по тип потребител.
Минимизиране на данните: до дете никога не се изпраща имейл; AI заявките не носят преки идентификатори; докладите за грешки са конфигурирани да не изпращат лични данни като имена или имейл адреси.
Цялост на записите: записите за съгласие и одит са само за добавяне и са защитени от промяна на ниво база данни.
Устойчивост: редовни резервни копия, наблюдение и известяване; проверки за сигурност при всяко издание.
Хора: задължения за поверителност; проверяващите съобщения са обучени за безопасност на децата.
Съхранение: съгласно графика за съхранение на Connecta.

Приложение 3 - Подизпълнители

Вж. списъка на подизпълнителите, актуализиран съгласно раздел 5.

Data Processing Agreement (GDPR Article 28)

This is the standard agreement for schools; it forms part of every school’s contract or acceptance of the Connecta terms.


Last updated	8 November 2026
Controller	The school or educational institution that uses Connecta (“the School”)
Processor	”Кънекта Едукейшън” ДПК (Connecta Education), a variable capital company, ЕИК 208902353, seat and registered address: 16 Stara Planina St., floor 4, Oborishte district, 1000 Sofia, Bulgaria (“Connecta”)
Contact	[email protected]

1. Roles and scope

1.1 For the personal data of students, parents and staff that the School or its teachers enter into Connecta, or that arises from their use of Connecta for the School, the School is the controller and Connecta is the processor.

1.2 Where a parent registers with Connecta directly (the consumer service) and later links that child to the School, Connecta is the controller for the consumer relationship and the School is the controller for its school relationship. Each is responsible for its own part.

1.3 This agreement applies for as long as Connecta processes personal data on the School’s behalf, and survives until that data has been deleted or returned.

2. Details of the processing (Annex 1)


Subject matter	Providing the Connecta platform to the School
Purpose	Teaching and learning support (AI tutor Socrat, practice, tests, assignments), safe class communication (chat with GoodTalk moderation), parental consent and communication, administration of classes and staff
Data subjects	Students (mostly minors), their parents and guardians, teachers and school staff
Categories of data	Identity and contact data (names; email for adults only); class and school membership; schoolwork, answers, photos of homework, AI tutor conversations; chat messages and moderation records; consent records; technical and security logs
Special categories	Not intended. The School instructs teachers not to enter health or other special-category data. If such data appears in free text (e.g. a chat message), it is processed only as part of that content
Duration	The term of the School’s use of Connecta plus the retention periods in the retention schedule
Location	Primary storage and backups in the EU (Scaleway, Warsaw, Poland). The AI features, including those a child uses, run on Scaleway models (Scaleway Generative APIs, Paris, France, EU) or on OpenAI (United States). Connecta chooses the provider for each feature and may change it; the subprocessor list names the providers and where they are. Transfers outside the EEA only as listed in the subprocessor list

3. Connecta’s obligations

Connecta will:

a) process the personal data only on the School’s documented instructions - this agreement, the terms and the School’s use of the platform’s settings are those instructions - and tell the School if it believes an instruction breaks data protection law;

b) ensure that everyone authorised to process the data is bound by confidentiality;

c) apply the technical and organisational measures in Annex 2;

d) use subprocessors (other processors within the meaning of Article 28(2) GDPR) only under section 5;

e) help the School, taking into account the nature of the processing, to answer data subjects’ requests (access, rectification, erasure, restriction, portability, objection), and forward to the School any request it receives directly;

f) help the School with security, breach notification, data protection impact assessments and prior consultation (Articles 32 to 36 GDPR). Connecta’s DPIA for the AI features is available to the School on request;

g) at the end of the service, at the School’s choice, delete or return the personal data, except where EU or Bulgarian law requires it to keep some of it (for example consent and audit records);

h) make available all information needed to demonstrate compliance and allow for and contribute to audits (section 7).

Connecta will never: sell the data; use it for advertising or profiling for marketing; use children’s data to train AI models, or allow a subprocessor to do so; combine the School’s data with the data of other customers except in anonymised, aggregated form to operate and improve the service.

4. The School’s obligations

The School:

a) has a lawful basis for the processing and has informed students, parents and staff about it;

b) obtains the parental consent the platform asks for where it is required, through the platform’s consent flow;

c) gives access only to staff who need it, and removes access when someone leaves;

d) does not instruct Connecta to process data in a way that breaks the law.

5. Subprocessors

5.1 The School gives general written authorisation for Connecta to use subprocessors. The current list is published at connecta.education/subprocessors and forms Annex 3.

5.2 Connecta will notify the School of any intended addition or replacement at least 30 days in advance, by email to the School’s administrator and on the published list. A change of the AI provider that processes children’s data counts as a change. The School may object on reasonable data protection grounds within that period; the parties will then look for a solution in good faith, and if none is found the School may terminate the affected service without penalty.

5.3 Connecta imposes on every subprocessor, by contract, data protection obligations at least as protective as this agreement, and remains liable to the School for their performance.

6. Transfers of personal data to third countries

Transfers outside the EEA take place only as stated in the subprocessor list, either on the basis of an adequacy decision (Article 45 GDPR), including the EU-US Data Privacy Framework (Commission Implementing Decision (EU) 2023/1795) where the recipient is certified under it, or subject to appropriate safeguards (Article 46 GDPR), namely the European Commission’s standard contractual clauses, with supplementary measures. This includes requests to OpenAI in the United States for the AI features currently assigned to it, which can carry children’s answers and messages and work a teacher uploads. Requests to AI providers carry only what the feature needs, and Connecta does not include a child’s name, account identifier, school or class. OpenAI does not use data sent through its API to train its models by default. Where terms with a provider are not yet concluded, the subprocessor list says so.

7. Audits

Connecta will answer the School’s reasonable written questions about compliance and provide its relevant documentation (this agreement, the subprocessor register, the DPIA, security summaries). An on-site or third-party audit is possible once per year on 30 days’ notice, at the School’s cost, under confidentiality, and without access to other customers’ data, or at any time where a supervisory authority requires it.

8. Personal data breaches

Connecta will notify the School without undue delay and in any case within 48 hours of becoming aware of a breach affecting the School’s data, with what is known at the time: the nature of the breach, categories and approximate numbers of people and records, likely consequences, and measures taken or proposed. It will update the School as more becomes known, so that the School can meet its 72-hour obligation to the Commission for Personal Data Protection.

9. Liability and precedence

Liability is as set out in the School’s contract or the terms, subject to Article 82 GDPR. Where this agreement conflicts with the contract or the terms on data protection, this agreement prevails. It is governed by Bulgarian law.

Annex 2 - Technical and organisational measures (summary)

Location: all storage and backups in the EU (Warsaw, Poland).
Encryption in transit (TLS) and at rest.
Access control: every account is created by a responsible upstream person (school, teacher, parent); default-deny authorisation on every endpoint; each school sees only its own data; staff access to production is limited and logged.
Authentication: passwords hashed with argon2id; single-use, short-lived sign-in links; secure, HttpOnly session cookies scoped per audience.
Data minimisation: no email is ever sent to a child; AI requests carry no direct identifiers; error reports configured not to send personal data such as names or email addresses.
Integrity of records: consent and audit records are append-only and protected against change at database level.
Resilience: regular backups, monitoring and alerting; security checks on every release.
People: confidentiality obligations; moderation reviewers trained for child safety.
Retention: per Connecta’s retention schedule.

Annex 3 - Subprocessors

See the list of subprocessors, as updated under section 5.