Marrëveshje për përpunimin e të dhënave

Kjo Marrëveshje për Përpunimin e të Dhënave (« DPA ») është pjesë e Termave dhe Kushteve dhe e Politikës së Privatësisë midis palëve dhe rregullon përpunimin e të dhënave personale të kryer nga përpunuesi në emër të kontrolluesit në lidhje me platformën Mektebi. Ajo lidhet ashtu siç kërkon Ligji për Mbrojtjen e të Dhënave Personale i Republikës së Maqedonisë së Veriut (Gazeta Zyrtare e RMV-së nr. 42/2020, i ndryshuar) (« LPDP »), i cili është i harmonizuar me Rregulloren e Përgjithshme të BE-së për Mbrojtjen e të Dhënave (GDPR). Aty ku kontrolluesi është i themeluar në Zvicër, zbatohet në vend të kësaj varianti zviceran i kësaj DPA.

1. Palët

• Përpunuesi: FETOSOFT DOOEL, Goce Delchev 2/32, 1300 Kumanovo, Maqedonia e Veriut — support@fetosoft.com
• Kontrolluesi: shkolla / xhamia që pranon këtë DPA, e identifikuar nga llogaria e saj në platformë dhe nga personi që e pranon në emër të saj.

Kjo DPA hyn në fuqi në datën në të cilën kontrolluesi e pranon atë në platformë (e regjistruar në mënyrë elektronike).

2. Përkufizime

Termat si « të dhëna personale », « kategori të veçanta të të dhënave personale », « përpunim », « kontrollues », « përpunues », « nën-përpunues », « subjekt i të dhënave », « shkelje e të dhënave personale » dhe « autoritet mbikëqyrës » kanë kuptimet që u jepen atyre në LPDP. « Agjencia » nënkupton Agjencinë për Mbrojtjen e të Dhënave Personale të Republikës së Maqedonisë së Veriut (AZLP), Shkup.

3. Rolet e palëve

3.1 Kontrolluesi përcakton qëllimet dhe mjetet e përpunimit të të dhënave personale të nxënësve, prindërve dhe mësuesve të tij dhe është përgjegjës për ligjshmërinë e atij përpunimi — përfshirë çdo pëlqim të kërkuar, në veçanti pëlqimin e qartë për të dhënat e kategorisë së veçantë (konteksti fetar) dhe pëlqimin e prindit/kujdestarit për fëmijët aty ku kërkohet nga ligji i zbatueshëm për kontrolluesin.

3.2 Përpunuesi i përpunon ato të dhëna personale vetëm sipas udhëzimeve të dokumentuara të kontrolluesit, ashtu siç përcaktohet në këtë DPA dhe në Shtojcën 1.

3.3 FETOSOFT vepron si kontrollues i pavarur vetëm për të dhënat e kufizuara të administrimit të llogarisë, të regjistrave të sigurisë dhe të vizitorëve të faqes të përshkruara në Politikën e tij të Privatësisë; ai përpunim është jashtë fushës së zbatimit të kësaj DPA.

4. Lënda dhe udhëzimet

4.1 Natyra, qëllimi, llojet e të dhënave dhe subjektet e të dhënave janë përshkruar në Shtojcën 1.

4.2 Përpunuesi i përpunon të dhënat personale vetëm sipas udhëzimeve të dokumentuara të kontrolluesit — përfshirë operimin e veçorive të platformës siç janë konfiguruar nga kontrolluesi — përveç nëse kërkohet të veprojë ndryshe nga ligji; në atë rast e informon kontrolluesin paraprakisht, përveç nëse ligji e ndalon këtë.

4.3 Përpunuesi e informon kontrolluesin nëse, sipas mendimit të tij, një udhëzim shkel LPDP ose ligj tjetër të zbatueshëm për mbrojtjen e të dhënave.

4.4 Përpunuesi nuk duhet t'i përdorë të dhënat personale për qëllimet e veta, nuk duhet t'i shesë ose t'i vërë në dispozicion për qëllime tregtare, dhe nuk duhet t'i përdorë për reklamim, profilizim ose analitikë. Kjo nuk përfshin statistikat e vetë përpunuesit për vizitorët e faqes publike të internetit (pika 3.3): Google Analytics funksionon vetëm në faqen publike të internetit, për vizitorët që nuk janë të kyçur dhe vetëm me pëlqimin e tyre për kukit, dhe kurrë brenda platformës apo aplikacioneve.

5. Detyrimet e përpunuesit

• Konfidencialiteti — personat e autorizuar për të përpunuar të dhënat janë të detyruar nga konfidencialiteti dhe i përpunojnë ato vetëm sipas udhëzimit.
• Siguria — masa të përshtatshme teknike dhe organizative siç kërkohet nga LPDP, të përshkruara në Shtojcën 2.
• Nën-përpunuesit — vetëm ata në Shtojcën 3 ose të tjerë të autorizuar sipas nenit 6.
• Të drejtat e subjekteve të të dhënave — të ndihmojë kontrolluesin, për aq sa është e mundur, t'u përgjigjet subjekteve të të dhënave që ushtrojnë të drejtat e tyre sipas LPDP.
• Ndihma — të ndihmojë me sigurinë, njoftimin e shkeljeve, vlerësimet e ndikimit dhe konsultimin paraprak me Agjencinë, duke marrë parasysh informacionin që ka në dispozicion përpunuesi.
• Njoftimi i shkeljeve — të njoftojë kontrolluesin pa vonesë të panevojshme pasi merr dijeni për një shkelje të të dhënave personale, me informacionin që i nevojitet kontrolluesit për të përmbushur detyrimet e veta të njoftimit.
• Fshirja ose kthimi — sipas zgjedhjes së kontrolluesit, të fshijë ose të kthejë të gjitha të dhënat personale pas përfundimit të shërbimeve dhe të fshijë kopjet ekzistuese, përveç nëse ruajtja kërkohet me ligj.
• Regjistrimet dhe auditimet — të vërë në dispozicion informacionin e nevojshëm për të demonstruar përputhshmërinë, dhe të mundësojë e të kontribuojë në auditime me njoftim të arsyeshëm, në varësi të konfidencialitetit.

6. Nën-përpunuesit

6.1 Kontrolluesi jep një autorizim të përgjithshëm për të angazhuar nën-përpunuesit në Shtojcën 3.

6.2 Përpunuesi i vendos secilit nën-përpunues, me kontratë, detyrime të barasvlershme për mbrojtjen e të dhënave dhe mbetet plotësisht përgjegjës për veprimtarinë e tij.

6.3 Përpunuesi jep një njoftim paraprak prej të paktën 30 ditësh për shtimin ose zëvendësimin e një nën-përpunuesi, gjatë të cilit kontrolluesi mund të kundërshtojë mbi baza të arsyeshme të mbrojtjes së të dhënave; nëse nuk zgjidhet, kontrolluesi mund të ndërpresë shërbimin e prekur.

7. Transferimet ndërkombëtare

7.1 Aplikacioni, baza e të dhënave dhe skedarët e ngarkuar strehohen brenda Zonës Ekonomike Evropiane (Shtojca 3).

7.2 Përpunuesi dhe personeli i tij kanë qasje në të dhënat personale nga Maqedonia e Veriut për të operuar dhe mbështetur platformën. Aty ku ligji i zbatueshëm për kontrolluesin e trajton Maqedoninë e Veriut si një vend pa nivel të përshtatshëm mbrojtjeje (për shembull, sipas GDPR-së së BE-së), kjo qasje mbulohet nga masa mbrojtëse të përshtatshme — klauzolat standarde kontraktuale të BE-së (Moduli Dy, kontrollues te përpunues) në Shtojcën 4, të cilat palët i lidhin.

7.3 Disa nën-përpunues (Shtojca 3) përpunojnë të dhëna të kufizuara në Shtetet e Bashkuara, sipas Data Privacy Framework BE–SHBA aty ku marrësi është i certifikuar, ose përndryshe sipas klauzolave në Shtojcën 4.

7.4 Në rast konflikti midis kësaj DPA dhe klauzolave të Shtojcës 4 në lidhje me mbrojtjen e të dhënave të transferuara, mbizotërojnë klauzolat.

8. Detyrimet e kontrolluesit

Kontrolluesi garanton se ka një bazë ligjore të vlefshme sipas ligjit të zbatueshëm për përpunimin që udhëzon, se u ka dhënë subjekteve të të dhënave informacionin e kërkuar dhe se ka marrë çdo pëlqim të kërkuar (përfshirë për të dhënat e kategorisë së veçantë dhe të dhënat e fëmijëve). Ai është përgjegjës për saktësinë e të dhënave që fut dhe për menaxhimin e të drejtave të qasjes së administratorëve, mësuesve dhe prindërve të tij.

9. Përgjegjësia

Secila palë është përgjegjëse për dëmin e shkaktuar nga një përpunim që shkel ligjin e zbatueshëm për mbrojtjen e të dhënave.

10. Afati dhe ndërprerja

Kjo DPA mbetet në fuqi për aq kohë sa përpunuesi përpunon të dhëna personale në emër të kontrolluesit. Klauzolat që, nga natyra e tyre, duhet të mbeten në fuqi (konfidencialiteti, fshirja/kthimi, klauzolat e Shtojcës 4, përgjegjësia) mbeten në fuqi pas ndërprerjes.

11. Ligji në fuqi dhe juridiksioni

Kjo DPA rregullohet nga ligjet e Republikës së Maqedonisë së Veriut, dhe gjykatat e Shkupit kanë juridiksion, pa cenuar rregullat e detyrueshme të mbrojtjes së të dhënave ose të mbrojtjes së konsumatorit të zbatueshme për kontrolluesin ose subjektet e të dhënave në vendin ku banojnë. Klauzolat e Shtojcës 4 ruajnë dispozitat e tyre të veta për ligjin në fuqi dhe forumin për çështjet që ato mbulojnë.

12. Pranimi

Kjo DPA lidhet në mënyrë elektronike nga një përfaqësues i autorizuar i kontrolluesit që e pranon atë në platformë; platforma regjistron personin që e pranon, rolin e tij, shkollën, versionin e dokumentit, si dhe datën dhe orën.

---

Shtojca 1 — Përshkrimi i përpunimit

• Lënda: ofrimi i platformës Mektebi për edukimin islam dhe menaxhimin e shkollës.
• Kohëzgjatja: për aq kohë sa kontrolluesi mban një llogari.
• Kategoritë e subjekteve të të dhënave: nxënësit e kontrolluesit (përfshirë të miturit), prindërit/kujdestarët, mësuesit dhe administratorët, persona të tjerë që ata i përmendin në mesazhe ose shënime, si dhe persona të tjerë, zëri i të cilëve dëgjohet në një incizim.
• Llojet e të dhënave personale: identifikim & kontakt (emër, email, telefon, hash i fjalëkalimit, gjuhë); profil (titull nderi/titull islam, gjini, datë lindjeje, nivel, lidhje me mentorin); adresë (e enkriptuar); të dhëna arsimore (regjistrime, nota, ecuri në mësime, frekuentim, marrëdhënie kujdestarie); përmbajtje (foto, materiale mësimore — tekst, imazhe, audio); siguri (sekrete me dy faktorë).
• Funksionet për familjet: njoftimet e mungesave të dërguara nga familjet (datat dhe një shënim opsional që mund të përmendë një arsye shëndetësore; të enkriptuara, fshihen 12 muaj pas përfundimit të vitit shkollor); të dhënat e shpërndarjes së njoftimeve (kush e ka marrë dhe hapur një njoftim të xhamisë dhe cili kujdestar e ka konfirmuar për cilin fëmijë; fshihen 12 muaj pas skadimit të njoftimit).
• Mesazhet: bisedat brenda xhamisë së kontrolluesit ndërmjet nxënësve, prindërve, mësuesve dhe administratorëve të saj: teksti i mesazheve (i enkriptuar), regjistrime zanore, foto, skedarë PDF dhe linqe te mësime, kurse dhe detyra; statusi i leximit; bllokimet ndërmjet përdoruesve; raportimet e mesazheve, që u shkojnë administratorëve të kontrolluesit dhe kutisë së moderimit të përpunuesit, i cili i shqyrton brenda 24 orësh. Ruhen derisa autori ta fshijë një mesazh brenda 15 minutave, ose fshihen bashkë me kursin, me personin për të cilin është biseda ose me llogarinë e kontrolluesit.
• Arsyet e mungesës dhe përparimi në mësim: arsyeja fakultative e dhënë në një njoftim mungese (i sëmurë, familja, udhëtim ose tjetër); regjistrimet e recitimeve (çfarë u recitua, rezultati dhe një shënim fakultativ i enkriptuar); vërejtjet e mësuesve dhe raportet e publikuara të përparimit (pamje të enkriptuara), me shënimin se një prind i ka parë; pika e arritur në audion e një mësimi.
• Incizimet e recitimeve: incizime zanore fakultative të recitimit të një nxënësi, të bëra nga një mësues kur regjistron një recitim, vetëm aty ku kontrolluesi i ka aktivizuar incizimet dhe jo për nxënësit që ai i ka përjashtuar; ruhen bashkë me atë regjistrim recitimi; dëgjohen vetëm nga stafi i kontrolluesit, nga nxënësi dhe nga prindërit e miratuar të një nxënësi nën 18 vjeç (ose pa datë lindjeje të regjistruar), përmes linqeve që skadojnë pas pesë minutash; nuk publikohen kurrë, nuk u jepen kurrë xhamive të tjera dhe nuk dërgohen me email ose me njoftim push; nuk përpunohen për ta identifikuar dikë nga zëri dhe nuk analizohen automatikisht. Fshihen menjëherë kur stafi i kontrolluesit e heq incizimin ose e fshin regjistrimin e recitimit, kur nxënësi hiqet nga xhamia ose e fshin vetë llogarinë e tij, si dhe bashkë me llogarinë e kontrolluesit.
• Ushtrimet e mësimit: përgjigjet e një nxënësi në ushtrimet e mësimit, që mund të përfshijnë vizatime ose shkrim dore, foto të një faqeje të fletores së punës dhe, me të njëjtat kushte si incizimet e recitimeve, incizime të nxënësit duke lexuar; si dhe një shënim zanor fakultativ i mësuesit në një detyrë shtëpie të korrigjuar. U shfaqen të njëjtëve persona si incizimet e recitimeve, përmes linqeve që skadojnë pas pesë minutash. Skedarët fshihen kur nxënësi hiqet nga xhamia ose e fshin vetë llogarinë e tij, si dhe bashkë me llogarinë e kontrolluesit.
• Ndjekja e një nxënësi: cili anëtar i stafit të kontrolluesit ndjek cilin nxënës, dhe njoftimet që kjo i sjell atij anëtari të stafit (një shënim, një recitim ose një mungesë e regjistruar nga dikush tjetër, ose një detyrë e dorëzuar nga nxënësi). E disponueshme vetëm për stafin e kontrolluesit dhe e kufizuar brenda xhamisë së kontrolluesit.
• Të dhëna teknike: regjistrimet e sesioneve (një hash i çelësit të sesionit dhe kohët e krijimit dhe të përdorimit të fundit; pa adresë IP); tokeni i linkut privat të kalendarit të një nxënësi ose prindi; tokenët e njoftimeve push.
• Kategoritë e veçanta: të dhëna që zbulojnë bindjen fetare (të natyrshme në regjistrimin në një xhami/mekteb, në titujt islamë dhe në incizimet e një nxënësi që reciton Kur'anin), të përpunuara mbi bazën e pëlqimit të qartë që siguron kontrolluesi. Ato përfshijnë edhe të dhëna shëndetësore kur një njoftim mungese jep arsyen „i sëmurë“ ose shënimi i tij përmend një sëmundje; këto përdoren vetëm që kontrolluesi të organizojë mësimin dhe të arsyetojë mungesat. Incizimet e recitimeve dhe leximet në ushtrime nuk janë të dhëna biometrike: ato nuk përpunohen me mjete teknike specifike për ta identifikuar një person nga zëri (neni 4(14) i GDPR-së).

Shtojca 2 — Masat teknike dhe organizative

• Enkriptim gjatë transmetimit (HTTPS/TLS) për të gjithë trafikun.
• Enkriptim në ruajtje për të dhënat personale të ndjeshme: adresat, numrat e telefonit, datat e lindjes, gjininë, titujt fetarë, të dhënat e marrëdhënies kujdestare, shënimet e mësuesve, notat dhe vërejtjet për notat e frekuentimin, sekretet me dy faktorë dhe shenjat e qasjes.
• Fjalëkalimet ruhen vetëm si hash-e me kripë (bcrypt); cookie sesioni të enkriptuar; vërtetim opsional me dy faktorë.
• Gjithashtu të enkriptuara në ruajtje: teksti i mesazheve të bisedave, shënimet e njoftimeve të mungesës, shënimet për recitimet, vërejtjet në raportet e përparimit dhe raportet e publikuara. Skedarët në biseda, dorëzime, njoftime dhe ushtrime mësimi, si dhe incizimet e recitimeve, u jepen vetëm përdoruesve të autorizuar, përmes linqeve që skadojnë pas pesë minutash. Sesionet në server ruajnë vetëm një hash të çelësit të sesionit dhe mbarojnë me daljen nga llogaria ose pas dy javësh pa përdorim.
• Izolim i rreptë i qiramarrësve — të dhënat e secilës shkollë janë të ndara dhe platforma e zbaton këtë ndarje; një person që i përket më shumë se një shkolle ka një profil të veçantë në secilën shkollë, dhe asnjë shkollë nuk mund të shohë të dhënat që një shkollë tjetër ka për atë person. Llogaria e tij e hyrjes (emri, adresa e emailit, fotografia e profilit dhe fjalëkalimi) është një llogari e vetme që e menaxhon vetë; emri, adresa e emailit dhe fotografia e profilit janë të dukshme për çdo shkollë së cilës i përket, dhe asnjë shkollë nuk mund t'ia ndryshojë llogarinë e hyrjes një personi që i përket edhe një shkolle tjetër.
• Qasje me privilegjin më të vogël, e bazuar në role (administrator / mësues / prind / nxënës).
• Asnjë nxjerrje ose importim masiv i të dhënave personale të anëtarëve nuk u vihet në dispozicion përdoruesve të shkollës — regjistrat krijohen dhe mirëmbahen një nga një.
• Asnjë analitikë, reklamim, gjurmim ose profilizim brenda platformës apo aplikacioneve (Google Analytics funksionon vetëm në faqen publike të internetit, për vizitorët që nuk janë të kyçur dhe vetëm me pëlqimin e tyre për kukit), dhe asnjë shitje ose ndarje tregtare e të dhënave personale.
• Strehim brenda Zonës Ekonomike Evropiane; monitorim i gabimeve/disponueshmërisë; regjistrim sigurie; kopje rezervë të rregullta me ruajtje të kontrolluar.

Shtojca 3 — Nën-përpunuesit e miratuar

Shtojca 4 — Klauzolat standarde kontraktuale

Për transferimet që i kërkojnë, palët lidhin klauzolat standarde kontraktuale të BE-së (Moduli Dy: kontrollues te përpunues), Vendimi Zbatues i Komisionit (BE) 2021/914. Shtojca e klauzolave plotësohet nga Shtojcat 1–3 më sipër.

---

Ky dokument ofrohet për transparencë dhe nuk përbën këshillë juridike. Ai rishikohet kundrejt ligjit aktual të zbatueshëm para se të mbështeteni në të.