All Mighty Sync ("AMSync", "we", "us") is a school-management application operated by All Mighty Sync, Azize Šaćirbegović 16, Sarajevo. This policy explains what personal data we process, why, on what legal basis, who receives it, how long we keep it, how we protect it, and the rights you have under the EU General Data Protection Regulation (GDPR) and applicable national law.

1. Who is responsible for your data

AMSync is used by educational organizations ("Schools"): schools, academies, clubs, theatres and similar. Two roles matter:

• The School is the data controller for the information it enters about its members (students, parents, teachers, staff): attendance, groups, schedules, messages, payments, assessment results and so on. The School decides what is recorded and why. We act as the School's data processor, only on its documented instructions, under a Data Processing Agreement (Article 28 GDPR).
• AMSync is the data controller for account-level data (your login, basic profile, security records) and for how we operate and improve the service.

Contact for privacy questions and requests: support@allmightysync.com.

2. Your account and your information belong to you

Your personal account — your login and your personal profile — belongs to you alone. You are the sole owner of your account and of your personal information.

• Nobody — not a teacher, not an administrator, not AMSync — can see your password: it is stored only as a salted cryptographic hash. Please never share it with anyone.
• A School decides who is a member of its organization and what it records about activity there (such as attendance), but it does not own your account. If you belong to more than one organization, each of them sees only its own data about you.
• You can change your details, export your data and delete your account at any time (see "Your rights").

3. Who can see your personal data

Access to your personal data is deliberately narrow. Within your School it is limited to:

• you;
• your teachers — the teachers who work with you;
• your School's administrators; and
• for a student, their linked parent or guardian.

Other organizations on AMSync cannot see it. This is enforced in the database itself, not only in the app's screens.

4. Sensitive data: PIN-protected and logged

Health and safety information (for example allergies, medical alerts and medication) gets extra protection:

• It is stored encrypted.
• It can be opened only with a special personal PIN code by the people authorised to see it. Repeated wrong PIN attempts lock access.
• Every time it is viewed or changed — and every refused attempt — the system records who accessed it, in what role, and when. This trail cannot be skipped, so any access can be traced afterwards.

5. What data we process

Depending on your role (administrator, teacher, parent, student) and on what your School chooses to use:

• Account & profile: name, email, phone, role, language, profile picture, and your password — stored only as a salted cryptographic hash, never in plain text.
• Organization data: school name, contact details, terminology, settings.
• Educational records: groups and classes, schedules, attendance and excuses, learning materials, gallery media, assessments and portfolio results, checklists, incident reports.
• Messages: announcements and inbox messages you send or receive.
• Financial data: membership and payment status, payment proofs you upload, and — for teachers — pay settings and work logs, where the School uses payments.
• Date of birth, where a School records it. It is stored in encrypted form and used for age rules (for example for minors).
• Health and safety information (for example allergies, medical alerts, medication, emergency contacts), only if the School chooses to record it. This is a special category of data. It is entered by the School or a parent/guardian, is shown only to authorised people, has additional access protection, and is used only to look after the person's safety and wellbeing.
• Technical data: sign-in tokens, basic device and session information, the app version, and the push-notification token for your device.

We do not ask for more than a School needs to run its activities, and we do not sell personal data or use it for advertising or profiling.

6. Why we use it, and on what legal basis

7. Who receives your data

• Your School and the people it authorises (administrators, teachers, and a student's linked parents or guardians), each within their role.
• Service providers (sub-processors) that help us run AMSync, bound by data-protection terms and acting only on our instructions:
  • Cloud infrastructure provider — database, authentication and file storage (hosted in the EU, Ireland)
  • Notifications and diagnostics provider — push notifications, app analytics and crash reports
  • E-mail delivery provider — transactional email (invitations, password resets)
  • Web delivery provider — delivery of the web app
• Public authorities, only where the law requires it.

We do not sell data and we do not share it with advertisers. An up-to-date list is also part of our Data Processing Agreement and available on request.

8. Where your data is stored and international transfers

Our database and file storage are located in the European Union (Ireland). Some providers (for example our notification and web-delivery providers) may process limited data outside the EEA. Where that happens we rely on appropriate safeguards required by the GDPR, such as the EU–US Data Privacy Framework or Standard Contractual Clauses.

9. Analytics, crash reports and cookies

• App analytics: which screens are visited and basic technical information (app version, device type, test or production environment).
• Crash reports: crash reports and technical diagnostics so we can fix errors.
• In-house feature-usage records: which features are used, linked to account, role and organization, so we can see what works and prioritise improvements.

This is used only to run, support and improve AMSync — never for advertising, and never sold. The web app stores only what it needs to work (your session and preferences). We do not use advertising or cross-site tracking cookies.

10. How long we keep data

• Logs and notifications: Usage records are deleted after 12 months. Notifications are deleted after 12 months once read, and in any case after 24 months. Security, audit, consent and financial records are kept for as long as needed to show compliance, handle claims or meet legal duties.
• While your account or your School's organization is active, we keep data so the service works and the School's records stay complete.
• When you delete your account, your login is closed and your private data — contact details, date of birth, address, photo, emergency contacts, health and safety information, device tokens, notifications and uploaded attachments — is erased. Your name, role and group history may remain in the School's historical records (for example past attendance and reports) so the School's records stay accurate. You can ask us to also remove or anonymise your name where the law allows — see "Your rights".
• When an organization is deleted, its data is removed from the production database; backups are purged within 30 days.
• Where the law requires us to keep something (for example financial records), we keep it for as long as required and no longer.

11. How we protect your data

• Our information-security management follows the principles of ISO/IEC 27001 (risk-based access control, encryption, logging, incident response, supplier checks and regular reviews). This describes how we work; it is not a certification.
• Sensitive fields — date of birth, home address, health and safety information, emergency contacts — are encrypted individually in the database, in addition to the protection of the whole database.
• Encryption in transit (HTTPS/TLS) and at rest; sensitive fields such as date of birth are additionally encrypted.
• Passwords are stored only as salted cryptographic hashes.
• Access control by organization and role, enforced in the database itself (row-level security), so each person can reach only the data they are entitled to. Schools cannot see each other's data.
• Multi-factor authentication is available; important actions are written to an audit log.
• A written breach-response procedure. If a personal-data breach affects you, we notify the affected School without undue delay and within 72 hours of becoming aware of it, and the competent authority and individuals where the law requires.

12. Children's data

AMSync is a business tool sold to organizations; it is not a consumer app for children and children cannot register themselves. Student accounts are created by a School administrator or a parent/guardian. The School is responsible for obtaining the parental or guardian consent that applicable law requires before enrolling a minor (for example GDPR Article 8). We do not use students' data for advertising, profiling or any purpose beyond providing the service. Parents and guardians can exercise their child's rights through the School or by contacting us.

13. Your rights

Subject to applicable law you have the right to:

• access your data and receive a copy;
• correct data that is wrong or incomplete;
• erase your data ("right to be forgotten");
• restrict how your data is used;
• data portability — receive your data in a common, machine-readable format;
• object to processing based on legitimate interests;
• withdraw consent at any time, without affecting earlier processing;
• not be subject to decisions based solely on automated processing that significantly affect you — AMSync does not make such decisions (suggested assessment grades are proposals that a teacher reviews).

For data your School controls, you can contact the School; we help it respond. For your account and our own processing, write to support@allmightysync.com. We aim to answer within one month. We may need to confirm who you are first.

Requests, and information on request. You can send a request from the app (Settings → Help → Privacy and data requests). For security reasons we do not publish the names of our service providers or the details of our technical and organisational measures; you can ask for them. To protect your data we first verify who is asking, using limited data (the name, e-mail and organization of your account — we do not ask for identity documents unless the law requires it), and we keep a register of every request: who asked, for what, when, and what we answered.

14. Complaints

You have the right to lodge a complaint with a data-protection supervisory authority, for example the Croatian Personal Data Protection Agency (AZOP, azop.hr), the Personal Data Protection Agency of Bosnia and Herzegovina (azlp.ba), or the authority in your country of residence. We would appreciate the chance to resolve your concern first.

15. Account & data deletion

You can delete your account in the app: Settings → Security → Delete account.

• If you are the only administrator of an organization, you must delete the organization first (Organization Settings → Delete organization). This permanently removes all of its data and cannot be undone.
• Deleting an organization does not delete other members' accounts — they are detached from the organization.

If you cannot use the app, see our Account Deletion page.

16. Changes

We will update this policy as needed. If a change is important, we will tell you in the app and, where required, ask you to review or accept it again. The "Last updated" date above always shows the current version.

All Mighty Sync ("AMSync", "mi", "nas") je aplikacija za upravljanje školama koju vodi All Mighty Sync, Azize Šaćirbegović 16, Sarajevo. Ova pravila objašnjavaju koje osobne podatke obrađujemo, zašto, na kojoj pravnoj osnovi, tko ih prima, koliko ih dugo čuvamo, kako ih štitimo i koja prava imate prema Općoj uredbi o zaštiti podataka (GDPR) i primjenjivom nacionalnom pravu.

1. Tko je odgovoran za vaše podatke

AMSync koriste obrazovne organizacije ("Škole"): škole, akademije, klubovi, kazališta i slično. Važne su dvije uloge:

• Škola je voditelj obrade podataka koje unosi o svojim članovima (polaznicima, roditeljima, voditeljima, osoblju): prisutnost, grupe, rasporedi, poruke, plaćanja, rezultati procjena i dr. Škola odlučuje što se evidentira i zašto. Mi smo izvršitelj obrade i djelujemo isključivo prema dokumentiranim uputama Škole, na temelju Ugovora o obradi podataka (članak 28. GDPR-a).
• AMSync je voditelj obrade podataka na razini računa (vaša prijava, osnovni profil, sigurnosni zapisi) te načina na koji pokrećemo i unapređujemo uslugu.

Kontakt za pitanja i zahtjeve o privatnosti: support@allmightysync.com.

2. Vaš račun i vaši podaci pripadaju vama

Vaš osobni račun — vaša prijava i vaš osobni profil — pripada isključivo vama. Vi ste jedini vlasnik svog računa i svojih osobnih podataka.

• Nitko — ni voditelj, ni administrator, ni AMSync — ne može vidjeti vašu lozinku: pohranjena je isključivo kao hashirani podaci s kriptografskom soli. Molimo vas da je nikada ne dijelite ni s kim.
• Škola odlučuje tko je član njezine organizacije i što evidentira o aktivnostima u njoj (npr. prisutnost), ali nije vlasnik vašeg računa. Ako ste član više organizacija, svaka od njih vidi samo svoje podatke o vama.
• Svoje podatke možete u svakom trenutku promijeniti, izvesti i možete izbrisati račun (vidi "Vaša prava").

3. Tko može vidjeti vaše osobne podatke

Pristup vašim osobnim podacima namjerno je uzak. Unutar vaše Škole ograničen je na:

• vas;
• vaše voditelje — voditelje koji rade s vama;
• administratore vaše Škole; te
• za polaznika, njegova povezanog roditelja ili skrbnika.

Druge organizacije na AMSync-u ne mogu ih vidjeti. To se provodi u samoj bazi podataka, a ne samo na zaslonima aplikacije.

4. Osjetljivi podaci: zaštićeni PIN-om i evidentirani

Podaci o zdravlju i sigurnosti (npr. alergije, medicinska upozorenja i lijekovi) imaju dodatnu zaštitu:

• Pohranjeni su šifrirani.
• Mogu se otvoriti samo uz poseban osobni PIN kôd, i to samo osobe koje na to imaju pravo. Višekratno pogrešno unošenje PIN-a blokira pristup.
• Svaki put kad se podaci pregledaju ili izmijene — i svaki odbijeni pokušaj — sustav bilježi tko im je pristupio, u kojoj ulozi i kada. Taj se trag ne može zaobići, pa se svaki pristup može naknadno utvrditi.

5. Koje podatke obrađujemo

Ovisno o vašoj ulozi (administrator, voditelj, roditelj, polaznik) i o tome što vaša Škola koristi:

• Račun i profil: ime, e-mail, telefon, ulogu, jezik, profilnu sliku i lozinku — pohranjenu isključivo kao hashirane podatke s kriptografskom soli, nikada u čistom tekstu.
• Podatke organizacije: naziv škole, kontakt podatke, terminologiju, postavke.
• Obrazovnu evidenciju: grupe i razrede, rasporede, prisutnost i opravdanja, materijale, medije u galeriji, procjene i rezultate portfelja, kontrolne popise, izvješća o incidentima.
• Poruke: obavijesti i poruke u pretincu koje šaljete ili primate.
• Financijske podatke: status članarine i plaćanja, dokaze o uplati koje učitate te — za voditelje — postavke plaća i evidenciju rada, ako Škola koristi plaćanja.
• Datum rođenja i nacionalni identifikacijski broj, ako ih Škola evidentira. Pohranjuju se u šifriranom obliku i koriste za pravila o dobi (npr. za maloljetnike).
• Podatke o zdravlju i sigurnosti (npr. alergije, medicinska upozorenja, lijekovi, kontakti za hitne slučajeve), samo ako ih Škola odluči evidentirati. To je posebna kategorija podataka. Unosi ih Škola ili roditelj/skrbnik, vide ih samo ovlaštene osobe, dodatno su zaštićeni pristupom i koriste se isključivo za brigu o sigurnosti i dobrobiti osobe.
• Tehničke podatke: tokene za prijavu, osnovne informacije o uređaju i sesiji, verziju aplikacije i token za push obavijesti vašeg uređaja.

Ne tražimo više podataka nego što Školi treba za rad, a osobne podatke ne prodajemo niti ih koristimo za oglašavanje ili profiliranje.

6. Zašto ih koristimo i na kojoj pravnoj osnovi

7. Tko prima vaše podatke

• Vaša Škola i osobe koje ona ovlasti (administratori, voditelji te povezani roditelji ili skrbnici polaznika), svaka u okviru svoje uloge.
• Pružatelji usluga (podobrađivači) koji nam pomažu u radu AMSync-a, vezani ugovorima o zaštiti podataka i djeluju isključivo prema našim uputama:
  • Pružatelj infrastrukture u oblaku — baza podataka, autentifikacija i pohrana datoteka (smješteno u EU, Irska)
  • Pružatelj obavijesti i dijagnostike — push obavijesti, analitika aplikacije i izvješća o padovima
  • Pružatelj slanja e-pošte — transakcijska e-pošta (pozivnice, vraćanje lozinke)
  • Pružatelj isporuke web-aplikacije — isporuka web aplikacije
• Javna tijela, samo kada to zahtijeva zakon.

Podatke ne prodajemo niti ih dijelimo s oglašivačima. Aktualni popis dio je i našeg Ugovora o obradi podataka te je dostupan na zahtjev.

8. Gdje se podaci nalaze i međunarodni prijenosi

Naša baza podataka i pohrana datoteka nalaze se u Europskoj uniji (Irska). Neki pružatelji (npr. naši pružatelji obavijesti i isporuke web-aplikacije) mogu obrađivati ograničene podatke izvan EGP-a. Kada se to događa, oslanjamo se na odgovarajuće zaštitne mjere koje zahtijeva GDPR, kao što su Okvir za privatnost podataka EU–SAD ili standardne ugovorne klauzule.

9. Analitika, izvješća o padovima i kolačići

• Analitika aplikacije: koje se zaslone posjećuje i osnovne tehničke informacije (verzija aplikacije, vrsta uređaja, testno ili produkcijsko okruženje).
• Izvješća o padovima: izvješća o padovima i tehnička dijagnostika kako bismo mogli ispraviti pogreške.
• Vlastita evidencija korištenja značajki: koje se značajke koriste, povezano s računom, ulogom i organizacijom, kako bismo vidjeli što funkcionira i odredili prioritete.

Koristi se isključivo za rad, podršku i unapređenje AMSync-a — nikada za oglašavanje i nikada se ne prodaje. Web aplikacija pohranjuje samo ono što joj treba za rad (vašu sesiju i postavke). Ne koristimo oglašivačke kolačiće niti praćenje između različitih web-stranica.

10. Koliko dugo čuvamo podatke

• Zapisi i obavijesti: Zapisi o korištenju brišu se nakon 12 mjeseci. Obavijesti se brišu nakon 12 mjeseci ako su pročitane, a u svakom slučaju nakon 24 mjeseca. Sigurnosni, revizijski, privolni i financijski zapisi čuvaju se onoliko koliko je potrebno za dokazivanje usklađenosti, rješavanje zahtjeva ili ispunjenje zakonskih obveza.
• Dok je vaš račun ili organizacija vaše Škole aktivna, čuvamo podatke kako bi usluga radila, a evidencija Škole ostala potpuna.
• Kada izbrišete račun, vaša se prijava zatvara, a vaši privatni podaci — kontakt podaci, datum rođenja, adresa, fotografija, kontakti za hitne slučajeve, podaci o zdravlju i sigurnosti, tokeni uređaja, obavijesti i učitani prilozi — brišu se. Vaše ime, uloga i povijest grupa mogu ostati u povijesnoj evidenciji Škole (npr. prošla prisutnost i izvješća) kako bi evidencija Škole ostala točna. Možete zatražiti da i ime uklonimo ili anonimiziramo, kada to zakon dopušta — vidi "Vaša prava".
• Kada se organizacija izbriše, njezini se podaci uklanjaju iz produkcijske baze podataka; sigurnosne kopije brišu se u roku od 30 dana.
• Kada nam zakon nalaže da nešto zadržimo (npr. financijsku evidenciju), čuvamo to onoliko dugo koliko je propisano i ne dulje.

11. Kako štitimo vaše podatke

• Naše upravljanje informacijskom sigurnošću slijedi načela norme ISO/IEC 27001 (kontrola pristupa prema riziku, šifriranje, bilježenje, postupanje s incidentima, provjera dobavljača i redovita preispitivanja). To opisuje kako radimo; nije certifikat.
• Osjetljiva polja — datum rođenja, kućna adresa, zdravstveni podaci i podaci o sigurnosti, kontakti za hitne slučajeve — dodatno su pojedinačno šifrirana u bazi podataka, povrh zaštite cijele baze.
• Šifriranje tijekom prijenosa (HTTPS/TLS) i u mirovanju; osjetljiva polja poput datuma rođenja dodatno su šifrirana.
• Lozinke se pohranjuju isključivo kao hashirani podaci s kriptografskom soli.
• Kontrola pristupa po organizaciji i ulozi, provedena u samoj bazi podataka (sigurnost na razini redaka), tako da svatko može doći samo do podataka na koje ima pravo. Škole ne mogu vidjeti podatke jedna druge.
• Dostupna je višefaktorska autentifikacija; važne se radnje bilježe u evidenciji aktivnosti (audit log).
• Pisani postupak za slučaj povrede podataka. Ako povreda osobnih podataka utječe na vas, obavijestit ćemo pogođenu Školu bez nepotrebnog odgađanja i unutar 72 sata od saznanja, a nadležno tijelo i pojedince kada to zahtijeva zakon.

12. Podaci o djeci

AMSync je poslovni alat koji se prodaje organizacijama; nije potrošačka aplikacija za djecu i djeca se ne mogu sama registrirati. Račune polaznika izrađuje administrator Škole ili roditelj/skrbnik. Škola je odgovorna za pribavljanje roditeljske suglasnosti ili suglasnosti skrbnika koju zahtijeva primjenjivo pravo prije upisa maloljetnika (npr. članak 8. GDPR-a). Podatke o polaznicima ne koristimo za oglašavanje, profiliranje niti za bilo koju svrhu izvan pružanja usluge. Roditelji i skrbnici mogu ostvariti prava svog djeteta putem Škole ili obraćanjem nama.

13. Vaša prava

U skladu s primjenjivim pravom imate pravo:

• na pristup svojim podacima i dobivanje njihove preslike;
• na ispravak netočnih ili nepotpunih podataka;
• na brisanje svojih podataka ("pravo na zaborav");
• na ograničenje obrade;
• na prenosivost podataka — primiti svoje podatke u uobičajenom, strojno čitljivom obliku;
• na prigovor na obradu koja se temelji na legitimnim interesima;
• na povlačenje privole u bilo kojem trenutku, bez utjecaja na raniju obradu;
• da se na vas ne primjenjuje odluka koja se temelji isključivo na automatiziranoj obradi i značajno vas pogađa — AMSync ne donosi takve odluke (predložene ocjene procjena su prijedlozi koje voditelj pregledava).

Za podatke koje kontrolira vaša Škola možete se obratiti Školi; mi joj pomažemo odgovoriti. Za vaš račun i našu vlastitu obradu pišite na support@allmightysync.com. Nastojimo odgovoriti unutar mjesec dana. Možda ćemo prvo trebati potvrditi tko ste.

Zahtjevi i informacije na zahtjev. Zahtjev možete poslati iz aplikacije (Postavke → Pomoć → Privatnost i zahtjevi za podatke). Iz sigurnosnih razloga ne objavljujemo nazive naših pružatelja usluga niti pojedinosti o tehničkim i organizacijskim mjerama; možete ih zatražiti. Radi zaštite vaših podataka najprije provjeravamo tko traži, uz ograničen skup podataka (ime, e-pošta i organizacija vašeg računa — ne tražimo isprave osim ako to zakon zahtijeva), te vodimo evidenciju svakog zahtjeva: tko je tražio, što, kada i što smo odgovorili.

14. Pritužbe

Imate pravo podnijeti pritužbu nadzornom tijelu za zaštitu podataka, npr. Agenciji za zaštitu osobnih podataka (AZOP, azop.hr), Agenciji za zaštitu ličnih podataka u Bosni i Hercegovini (azlp.ba) ili tijelu u državi vašeg boravišta. Bit ćemo zahvalni ako nam prvo date priliku da riješimo vaš problem.

15. Brisanje računa i podataka

Račun možete izbrisati u aplikaciji: Postavke → Sigurnost → Izbriši račun.

• Ako ste jedini administrator organizacije, prvo morate izbrisati organizaciju (Postavke organizacije → Izbriši organizaciju). Time se trajno uklanjaju svi njezini podaci i to se ne može poništiti.
• Brisanje organizacije ne briše račune ostalih članova — oni se odvajaju od organizacije.

Ako ne možete koristiti aplikaciju, pogledajte našu stranicu Brisanje računa.

16. Izmjene

Ova ćemo pravila po potrebi ažurirati. Ako je izmjena važna, obavijestit ćemo vas u aplikaciji i, kada je potrebno, zatražiti da je ponovno pregledate ili prihvatite. Datum "Zadnje ažuriranje" uvijek prikazuje aktualnu verziju.

All Mighty Sync ("AMSync", "mi", "nas") je aplikacija za upravljanje školama koju vodi All Mighty Sync, Azize Šaćirbegović 16, Sarajevo. Ova pravila objašnjavaju koje lične podatke obrađujemo, zašto, na kojoj pravnoj osnovi, ko ih prima, koliko dugo ih čuvamo, kako ih štitimo i koja prava imate prema Općoj uredbi o zaštiti podataka (GDPR) i važećim zakonima o zaštiti ličnih podataka.

1. Ko je odgovoran za vaše podatke

AMSync koriste obrazovne organizacije ("škole"): škole, akademije, klubovi, pozorišta i slično. Važne su dvije uloge:

• Škola je kontrolor podataka koje unosi o svojim članovima (učenicima, roditeljima, nastavnicima, osoblju): prisustvo, grupe, rasporedi, poruke, plaćanja, rezultati procjena i dr. Škola odlučuje šta se evidentira i zašto. Mi smo obrađivač podataka i djelujemo isključivo prema dokumentiranim uputama škole, na osnovu Ugovora o obradi podataka (član 28. GDPR-a).
• AMSync je kontrolor podataka na nivou računa (vaša prijava, osnovni profil, sigurnosni zapisi) te načina na koji pokrećemo i unapređujemo uslugu.

Kontakt za pitanja i zahtjeve o privatnosti: support@allmightysync.com.

2. Vaš račun i vaši podaci pripadaju vama

Vaš lični račun — vaša prijava i vaš lični profil — pripada isključivo vama. Vi ste jedini vlasnik svog računa i svojih ličnih podataka.

• Niko — ni nastavnik, ni administrator, ni AMSync — ne može vidjeti vašu lozinku: pohranjena je isključivo kao heširani podaci s kriptografskom soli. Molimo vas da je nikada ne dijelite ni s kim.
• Škola odlučuje ko je član njene organizacije i šta evidentira o aktivnostima u njoj (npr. prisustvo), ali nije vlasnik vašeg računa. Ako ste član više organizacija, svaka od njih vidi samo svoje podatke o vama.
• Svoje podatke možete u svakom trenutku promijeniti, izvesti i možete izbrisati račun (vidi "Vaša prava").

3. Ko može vidjeti vaše lične podatke

Pristup vašim ličnim podacima namjerno je uzak. Unutar vaše škole ograničen je na:

• vas;
• vaše nastavnike — nastavnike koji rade s vama;
• administratore vaše škole; te
• za učenika, njegovog povezanog roditelja ili staratelja.

Druge organizacije na AMSync-u ne mogu ih vidjeti. To se provodi u samoj bazi podataka, a ne samo na ekranima aplikacije.

4. Osjetljivi podaci: zaštićeni PIN-om i evidentirani

Podaci o zdravlju i sigurnosti (npr. alergije, medicinska upozorenja i lijekovi) imaju dodatnu zaštitu:

• Pohranjeni su šifrirani.
• Mogu se otvoriti samo uz poseban lični PIN kod, i to samo osobe koje na to imaju pravo. Višestruko pogrešno unošenje PIN-a blokira pristup.
• Svaki put kada se podaci pregledaju ili izmijene — i svaki odbijeni pokušaj — sistem bilježi ko im je pristupio, u kojoj ulozi i kada. Taj trag se ne može zaobići, pa se svaki pristup može naknadno utvrditi.

5. Koje podatke obrađujemo

Ovisno o vašoj ulozi (administrator, nastavnik, roditelj, učenik) i o tome šta vaša škola koristi:

• Račun i profil: ime, e-mail, telefon, ulogu, jezik, profilnu sliku i lozinku — pohranjenu isključivo kao heširani podaci s kriptografskom soli, nikada u čistom tekstu.
• Podatke organizacije: naziv škole, kontakt podatke, terminologiju, postavke.
• Obrazovnu evidenciju: grupe i razrede, rasporede, prisustvo i opravdanja, materijale, medije u galeriji, procjene i rezultate portfolija, kontrolne liste, izvještaje o incidentima.
• Poruke: obavijesti i poruke u sandučetu koje šaljete ili primate.
• Finansijske podatke: status članarine i plaćanja, dokaze o uplati koje učitate te — za nastavnike — postavke plata i evidenciju rada, ako škola koristi plaćanja.
• Datum rođenja, ako ga škola evidentira. Pohranjuje se u šifriranom obliku i koristi za pravila o dobi (npr. za maloljetnike).
• Podatke o zdravlju i sigurnosti (npr. alergije, medicinska upozorenja, lijekovi, kontakti za hitne slučajeve), samo ako ih škola odluči evidentirati. To je posebna kategorija podataka. Unosi ih škola ili roditelj/staratelj, vide ih samo ovlaštene osobe, dodatno su zaštićeni pristupom i koriste se isključivo za brigu o sigurnosti i dobrobiti osobe.
• Tehničke podatke: tokene za prijavu, osnovne informacije o uređaju i sesiji, verziju aplikacije i token za push obavijesti vašeg uređaja.

Ne tražimo više podataka nego što školi treba za rad, a lične podatke ne prodajemo niti ih koristimo za oglašavanje ili profiliranje.

6. Zašto ih koristimo i na kojoj pravnoj osnovi

7. Ko prima vaše podatke

• Vaša škola i osobe koje ona ovlasti (administratori, nastavnici te povezani roditelji ili staratelji učenika), svaka u okviru svoje uloge.
• Pružaoci usluga (podobrađivači) koji nam pomažu u radu AMSync-a, vezani ugovorima o zaštiti podataka i djeluju isključivo prema našim uputama:
  • Pružalac infrastrukture u oblaku — baza podataka, autentifikacija i pohrana datoteka (smješteno u EU, Irska)
  • Pružalac obavještenja i dijagnostike — push obavijesti, analitika aplikacije i izvještaji o padovima
  • Pružalac slanja e-pošte — transakcijska e-pošta (pozivnice, vraćanje lozinke)
  • Pružalac isporuke web-aplikacije — isporuka web aplikacije
• Javni organi, samo kada to zahtijeva zakon.

Podatke ne prodajemo niti ih dijelimo s oglašivačima. Aktuelni spisak je i dio našeg Ugovora o obradi podataka te je dostupan na zahtjev.

8. Gdje se podaci nalaze i međunarodni prijenosi

Naša baza podataka i pohrana datoteka nalaze se u Evropskoj uniji (Irska). Neki pružaoci (npr. naši pružaoci obavještenja i isporuke web-aplikacije) mogu obrađivati ograničene podatke izvan EGP-a. Kada se to dešava, oslanjamo se na odgovarajuće zaštitne mjere koje zahtijeva GDPR, kao što su Okvir za privatnost podataka EU–SAD ili standardne ugovorne klauzule.

9. Analitika, izvještaji o padovima i kolačići

• Analitika aplikacije: koji se ekrani posjećuju i osnovne tehničke informacije (verzija aplikacije, vrsta uređaja, testno ili produkcijsko okruženje).
• Izvještaji o padovima: izvještaji o padovima i tehnička dijagnostika kako bismo mogli ispraviti greške.
• Vlastita evidencija korištenja funkcija: koje se funkcije koriste, povezano s računom, ulogom i organizacijom, kako bismo vidjeli šta funkcionira i odredili prioritete.

Koristi se isključivo za rad, podršku i unapređenje AMSync-a — nikada za oglašavanje i nikada se ne prodaje. Web aplikacija pohranjuje samo ono što joj treba za rad (vašu sesiju i postavke). Ne koristimo oglašivačke kolačiće niti praćenje između različitih web-stranica.

10. Koliko dugo čuvamo podatke

• Zapisi i obavještenja: Zapisi o korištenju brišu se nakon 12 mjeseci. Obavještenja se brišu nakon 12 mjeseci ako su pročitana, a u svakom slučaju nakon 24 mjeseca. Sigurnosni, revizijski, zapisi o saglasnosti i finansijski zapisi čuvaju se onoliko koliko je potrebno za dokazivanje usklađenosti, rješavanje zahtjeva ili ispunjenje zakonskih obaveza.
• Dok je vaš račun ili organizacija vaše škole aktivna, čuvamo podatke kako bi usluga radila, a evidencija škole ostala potpuna.
• Kada izbrišete račun, vaša prijava se zatvara, a vaši privatni podaci — kontakt podaci, datum rođenja, adresa, fotografija, kontakti za hitne slučajeve, podaci o zdravlju i sigurnosti, tokeni uređaja, obavijesti i učitani prilozi — brišu se. Vaše ime, uloga i historija grupa mogu ostati u historijskoj evidenciji škole (npr. prošlo prisustvo i izvještaji) kako bi evidencija škole ostala tačna. Možete zatražiti da i ime uklonimo ili anonimiziramo, kada to zakon dopušta — vidi "Vaša prava".
• Kada se organizacija izbriše, njeni podaci se uklanjaju iz produkcijske baze podataka; sigurnosne kopije brišu se u roku od 30 dana.
• Kada nam zakon nalaže da nešto zadržimo (npr. finansijsku evidenciju), čuvamo to onoliko dugo koliko je propisano i ne duže.

11. Kako štitimo vaše podatke

• Naše upravljanje informacijskom sigurnošću slijedi principe standarda ISO/IEC 27001 (kontrola pristupa prema riziku, šifriranje, bilježenje, postupanje s incidentima, provjera dobavljača i redovne revizije). To opisuje kako radimo; nije certifikat.
• Osjetljiva polja — datum rođenja, kućna adresa, zdravstveni podaci i podaci o sigurnosti, kontakti za hitne slučajeve — dodatno su pojedinačno šifrirana u bazi podataka, povrh zaštite cijele baze.
• Šifriranje tokom prijenosa (HTTPS/TLS) i u mirovanju; osjetljiva polja poput datuma rođenja dodatno su šifrirana.
• Lozinke se pohranjuju isključivo kao heširani podaci s kriptografskom soli.
• Kontrola pristupa po organizaciji i ulozi, provedena u samoj bazi podataka (sigurnost na nivou redova), tako da svako može doći samo do podataka na koje ima pravo. Škole ne mogu vidjeti podatke jedna drugoj.
• Dostupna je višefaktorska autentifikacija; važne radnje bilježe se u evidenciji aktivnosti (audit log).
• Pisani postupak za slučaj povrede podataka. Ako povreda ličnih podataka utiče na vas, obavijestit ćemo pogođenu školu bez nepotrebnog odgađanja i u roku od 72 sata od saznanja, a nadležni organ i pojedince kada to zahtijeva zakon.

12. Podaci o djeci

AMSync je poslovni alat koji se prodaje organizacijama; nije potrošačka aplikacija za djecu i djeca se ne mogu sama registrirati. Račune učenika izrađuje administrator škole ili roditelj/staratelj. Škola je odgovorna za pribavljanje saglasnosti roditelja ili staratelja koju zahtijeva važeći zakon prije upisa maloljetnika (npr. član 8. GDPR-a). Podatke o učenicima ne koristimo za oglašavanje, profiliranje niti za bilo koju svrhu izvan pružanja usluge. Roditelji i staratelji mogu ostvariti prava svog djeteta putem škole ili obraćanjem nama.

13. Vaša prava

U skladu s važećim zakonima imate pravo:

• na pristup svojim podacima i dobivanje njihove kopije;
• na ispravku netačnih ili nepotpunih podataka;
• na brisanje svojih podataka ("pravo na zaborav");
• na ograničenje obrade;
• na prenosivost podataka — primiti svoje podatke u uobičajenom, mašinski čitljivom obliku;
• na prigovor na obradu koja se temelji na legitimnim interesima;
• na povlačenje saglasnosti u bilo kojem trenutku, bez utjecaja na raniju obradu;
• da se na vas ne primjenjuje odluka koja se temelji isključivo na automatiziranoj obradi i značajno vas pogađa — AMSync ne donosi takve odluke (predložene ocjene procjena su prijedlozi koje nastavnik pregleda).

Za podatke koje kontroliše vaša škola možete se obratiti školi; mi joj pomažemo da odgovori. Za vaš račun i našu vlastitu obradu pišite na support@allmightysync.com. Nastojimo odgovoriti u roku od mjesec dana. Možda ćemo prvo trebati potvrditi ko ste.

Zahtjevi i informacije na zahtjev. Zahtjev možete poslati iz aplikacije (Postavke → Pomoć → Privatnost i zahtjevi za podatke). Iz sigurnosnih razloga ne objavljujemo nazive naših pružalaca usluga niti pojedinosti o tehničkim i organizacijskim mjerama; možete ih zatražiti. Radi zaštite vaših podataka prvo provjeravamo ko traži, uz ograničen skup podataka (ime, e-pošta i organizacija vašeg naloga — ne tražimo lične dokumente osim ako zakon to zahtijeva), te vodimo evidenciju svakog zahtjeva: ko je tražio, šta, kada i šta smo odgovorili.

14. Pritužbe

Imate pravo podnijeti pritužbu nadzornom organu za zaštitu podataka, npr. Agenciji za zaštitu ličnih podataka u Bosni i Hercegovini (azlp.ba) ili organu u državi vašeg boravišta. Bit ćemo zahvalni ako nam prvo date priliku da riješimo vaš problem.

15. Brisanje računa i podataka

Račun možete izbrisati u aplikaciji: Postavke → Sigurnost → Izbriši račun.

• Ako ste jedini administrator organizacije, prvo morate izbrisati organizaciju (Postavke organizacije → Izbriši organizaciju). Time se trajno uklanjaju svi njeni podaci i to se ne može poništiti.
• Brisanje organizacije ne briše račune ostalih članova — oni se odvajaju od organizacije.

Ako ne možete koristiti aplikaciju, pogledajte našu stranicu Brisanje računa.

16. Izmjene

Ova pravila ćemo po potrebi ažurirati. Ako je izmjena važna, obavijestit ćemo vas u aplikaciji i, kada je potrebno, tražiti da je ponovo pregledate ili prihvatite. Datum "Posljednje ažuriranje" uvijek prikazuje aktuelnu verziju.

All Mighty Sync („AMSync“, „ми“, „нас“) је апликација за управљање школама коју води All Mighty Sync, Azize Šaćirbegović 16, Сарајево. Ова правила објашњавају које личне податке обрађујемо, зашто, на којем правном основу, ко их прима, колико дуго их чувамо, како их штитимо и која права имате према Општој уредби о заштити података (GDPR) и важећим прописима о заштити података о личности.

1. Ко је одговоран за ваше податке

AMSync користе образовне организације („школе“): школе, академије, клубови, позоришта и слично. Важне су две улоге:

• Школа је руковалац подацима које уноси о својим члановима (ученицима, родитељима, наставницима, особљу): присуство, групе, распореди, поруке, плаћања, резултати процена и др. Школа одлучује шта се евидентира и зашто. Ми смо обрађивач и поступамо искључиво по документованим упутствима школе, на основу Уговора о обради података (члан 28. GDPR-а).
• AMSync је руковалац подацима на нивоу налога (ваша пријава, основни профил, безбедносни записи) и начином на који покрећемо и унапређујемо услугу.

Контакт за питања и захтеве о приватности: support@allmightysync.com.

2. Ваш налог и ваши подаци припадају вама

Ваш лични налог — ваша пријава и ваш лични профил — припада искључиво вама. Ви сте једини власник свог налога и својих личних података.

• Нико — ни наставник, ни администратор, ни AMSync — не може видети вашу лозинку: похрањена је искључиво као хеширани подаци са криптографском сољу. Молимо вас да је никада не делите ни са ким.
• Школа одлучује ко је члан њене организације и шта евидентира о активностима у њој (нпр. присуство), али није власник вашег налога. Ако сте члан више организација, свака од њих види само своје податке о вама.
• Своје податке можете у сваком тренутку променити, извести и можете обрисати налог (видите „Ваша права“).

3. Ко може видети ваше личне податке

Приступ вашим личним подацима намерно је узак. Унутар ваше школе ограничен је на:

• вас;
• ваше наставнике — наставнике који раде са вама;
• администраторе ваше школе; и
• за ученика, његовог повезаног родитеља или старатеља.

Друге организације на AMSync-у не могу их видети. То се спроводи у самој бази података, а не само на екранима апликације.

4. Осетљиви подаци: заштићени ПИН-ом и евидентирани

Подаци о здрављу и безбедности (нпр. алергије, медицинска упозорења и лекови) имају додатну заштиту:

• Похрањени су шифровани.
• Могу се отворити само уз посебан лични ПИН код, и то само особе које на то имају право. Вишеструко погрешно уношење ПИН-а блокира приступ.
• Сваки пут када се подаци прегледају или измене — и сваки одбијени покушај — систем бележи ко им је приступио, у којој улози и када. Тај траг се не може заобићи, па се сваки приступ може накнадно утврдити.

5. Које податке обрађујемо

У зависности од ваше улоге (администратор, наставник, родитељ, ученик) и од тога шта ваша школа користи:

• Налог и профил: име, имејл, телефон, улогу, језик, профилну слику и лозинку — похрањену искључиво као хеширани подаци са криптографском сољу, никада у чистом тексту.
• Податке организације: назив школе, контакт податке, терминологију, подешавања.
• Образовну евиденцију: групе и разреде, распореде, присуство и оправдања, материјале, медије у галерији, процене и резултате портфолија, контролне листе, извештаје о инцидентима.
• Поруке: обавештења и поруке у сандучету које шаљете или примате.
• Финансијске податке: статус чланарине и плаћања, доказе о уплати које отпремите и — за наставнике — подешавања плата и евиденцију рада, ако школа користи плаћања.
• Датум рођења, ако га школа евидентира. Похрањује се у шифрованом облику и користи за правила о узрасту (нпр. за малолетнике).
• Податке о здрављу и безбедности (нпр. алергије, медицинска упозорења, лекови, контакти за хитне случајеве), само ако их школа одлучи евидентирати. То је посебна врста података. Уноси их школа или родитељ/старатељ, виде их само овлашћена лица, додатно су заштићени приступом и користе се искључиво за бригу о безбедности и добробити особе.
• Техничке податке: токене за пријаву, основне информације о уређају и сесији, верзију апликације и токен за push обавештења вашег уређаја.

Не тражимо више података него што је школи потребно за рад, а личне податке не продајемо нити их користимо за оглашавање или профилисање.

6. Зашто их користимо и на ком правном основу

7. Ко прима ваше податке

• Ваша школа и лица која она овласти (администратори, наставници и повезани родитељи или старатељи ученика), сваки у оквиру своје улоге.
• Пружаоци услуга (подобрађивачи) који нам помажу у раду AMSync-а, везани уговорима о заштити података и поступају искључиво по нашим упутствима:
  • Пружалац инфраструктуре у облаку — база података, аутентификација и похрана датотека (смештено у ЕУ, Ирска)
  • Пружалац обавештења и дијагностике — push обавештења, аналитика апликације и извештаји о падовима
  • Пружалац слања е-поште — трансакциона е-пошта (позивнице, враћање лозинке)
  • Пружалац испоруке веб-апликације — испорука веб-апликације
• Јавни органи, само када то захтева закон.

Податке не продајемо нити их делимо са оглашивачима. Актуелни списак је и део нашег Уговора о обради података и доступан је на захтев.

8. Где се подаци налазе и међународни преноси

Наша база података и похрана датотека налазе се у Европској унији (Ирска). Неки пружаоци (нпр. наши пружаоци обавештења и испоруке веб-апликације) могу обрађивати ограничене податке ван ЕЕП-а. Када се то дешава, ослањамо се на одговарајуће заштитне мере које захтева GDPR, као што су Оквир за приватност података ЕУ–САД или стандардне уговорне клаузуле.

9. Аналитика, извештаји о падовима и колачићи

• Аналитика апликације: који се екрани посећују и основне техничке информације (верзија апликације, врста уређаја, тестно или продукционо окружење).
• Извештаји о падовима: извештаји о падовима и техничка дијагностика како бисмо могли да исправимо грешке.
• Сопствена евиденција коришћења функција: које се функције користе, повезано са налогом, улогом и организацијом, како бисмо видели шта функционише и одредили приоритете.

Користи се искључиво за рад, подршку и унапређење AMSync-а — никада за оглашавање и никада се не продаје. Веб-апликација похрањује само оно што јој треба за рад (вашу сесију и подешавања). Не користимо огласне колачиће нити праћење између различитих веб-сајтова.

10. Колико дуго чувамо податке

• Записи и обавештења: Записи о коришћењу бришу се након 12 месеци. Обавештења се бришу након 12 месеци ако су прочитана, а у сваком случају након 24 месеца. Безбедносни, ревизијски, записи о сагласности и финансијски записи чувају се онолико колико је потребно за доказивање усклађености, решавање захтева или испуњење законских обавеза.
• Док је ваш налог или организација ваше школе активна, чувамо податке како би услуга радила, а евиденција школе остала потпуна.
• Када обришете налог, ваша пријава се затвара, а ваши приватни подаци — контакт подаци, датум рођења, адреса, фотографија, контакти за хитне случајеве, подаци о здрављу и безбедности, токени уређаја, обавештења и отпремљени прилози — бришу се. Ваше име, улога и историја група могу остати у историјској евиденцији школе (нпр. прошло присуство и извештаји) како би евиденција школе остала тачна. Можете затражити да и име уклонимо или анонимизујемо, када то закон дозвољава — видите „Ваша права“.
• Када се организација обрише, њени подаци се уклањају из продукционе базе података; резервне копије бришу се у року од 30 дана.
• Када нам закон налаже да нешто задржимо (нпр. финансијску евиденцију), чувамо то онолико дуго колико је прописано и не дуже.

11. Како штитимо ваше податке

• Наше управљање информационом безбедношћу прати принципе стандарда ISO/IEC 27001 (контрола приступа према ризику, шифровање, бележење, поступање са инцидентима, провера добављача и редовна преиспитивања). Ово описује како радимо; није сертификат.
• Осетљива поља — датум рођења, кућна адреса, здравствени подаци и подаци о безбедности, контакти за хитне случајеве — додатно су појединачно шифрована у бази података, поврх заштите целе базе.
• Шифровање током преноса (HTTPS/TLS) и у мировању; осетљива поља попут датума рођења додатно су шифрована.
• Лозинке се похрањују искључиво као хеширани подаци са криптографском сољу.
• Контрола приступа по организацији и улози, спроведена у самој бази података (безбедност на нивоу редова), тако да свако може доћи само до података на које има право. Школе не могу видети податке једна другој.
• Доступна је вишефакторска аутентификација; важне радње бележе се у евиденцији активности (audit log).
• Писани поступак за случај повреде података. Ако повреда података о личности утиче на вас, обавестићемо погођену школу без непотребног одлагања и у року од 72 сата од сазнања, а надлежни орган и појединце када то захтева закон.

12. Подаци о деци

AMSync је пословни алат који се продаје организацијама; није потрошачка апликација за децу и деца не могу сама да се региструју. Налоге ученика прави администратор школе или родитељ/старатељ. Школа је одговорна за прибављање сагласности родитеља или старатеља коју захтева важећи закон пре уписа малолетника (нпр. члан 8. GDPR-а). Податке о ученицима не користимо за оглашавање, профилисање нити за било коју сврху изван пружања услуге. Родитељи и старатељи могу остварити права свог детета путем школе или обраћањем нама.

13. Ваша права

У складу са важећим прописима имате право:

• на приступ својим подацима и добијање њихове копије;
• на исправку нетачних или непотпуних података;
• на брисање својих података („право на заборав“);
• на ограничење обраде;
• на преносивост података — да примите своје податке у уобичајеном, машински читљивом облику;
• на приговор на обраду која се заснива на легитимним интересима;
• на опозив сагласности у било ком тренутку, без утицаја на раније вршену обраду;
• да се на вас не примењује одлука која се заснива искључиво на аутоматизованој обради и значајно вас погађа — AMSync не доноси такве одлуке (предложене оцене процена су предлози које наставник прегледа).

За податке које контролише ваша школа можете се обратити школи; ми јој помажемо да одговори. За ваш налог и нашу сопствену обраду пишите на support@allmightysync.com. Настојимо да одговоримо у року од месец дана. Можда ћемо прво морати да потврдимо ко сте.

Захтеви и информације на захтев. Захтев можете послати из апликације (Подешавања → Помоћ → Приватност и захтеви за податке). Из безбедносних разлога не објављујемо називе наших пружалаца услуга нити појединости о техничким и организационим мерама; можете их затражити. Ради заштите ваших података прво проверавамо ко тражи, уз ограничен скуп података (име, е-пошта и организација вашег налога — не тражимо личне исправе осим ако закон то захтева), и водимо евиденцију сваког захтева: ко је тражио, шта, када и шта смо одговорили.

14. Притужбе

Имате право да поднесете притужбу надзорном органу за заштиту података, нпр. Поверенику за информације од јавног значаја и заштиту података о личности (poverenik.rs), Агенцији за заштиту личних података у Босни и Херцеговини (azlp.ba) или органу у држави вашег боравишта. Бићемо захвални ако нам прво дате прилику да решимо ваш проблем.

15. Брисање налога и података

Налог можете обрисати у апликацији: Подешавања → Безбедност → Обриши налог.

• Ако сте једини администратор организације, прво морате обрисати организацију (Подешавања организације → Обриши организацију). Тиме се трајно уклањају сви њени подаци и то се не може поништити.
• Брисање организације не брише налоге осталих чланова — они се одвајају од организације.

Ако не можете користити апликацију, погледајте нашу страницу Брисање налога.

16. Измене

Ова правила ћемо по потреби ажурирати. Ако је измена важна, обавестићемо вас у апликацији и, када је потребно, затражити да је поново прегледате или прихватите. Датум „Последње ажурирање“ увек приказује актуелну верзију.

All Mighty Sync („AMSync“, „wir“, „uns“) ist eine Anwendung zur Schulverwaltung, betrieben von All Mighty Sync, Azize Šaćirbegović 16, Sarajevo. Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten wir verarbeiten, warum, auf welcher Rechtsgrundlage, wer sie erhält, wie lange wir sie speichern, wie wir sie schützen und welche Rechte Sie nach der Datenschutz-Grundverordnung (DSGVO/GDPR) und dem anwendbaren nationalen Recht haben.

1. Wer für Ihre Daten verantwortlich ist

AMSync wird von Bildungsorganisationen („Schulen“) genutzt: Schulen, Akademien, Vereine, Theater und Ähnliches. Zwei Rollen sind wichtig:

• Die Schule ist Verantwortlicher für die Daten, die sie über ihre Mitglieder erfasst (Schüler, Eltern, Lehrer, Mitarbeiter): Anwesenheit, Gruppen, Stundenpläne, Nachrichten, Zahlungen, Bewertungsergebnisse und mehr. Die Schule entscheidet, was erfasst wird und warum. Wir sind Auftragsverarbeiter und handeln ausschließlich auf dokumentierte Weisung der Schule auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO).
• AMSync ist Verantwortlicher für Daten auf Kontoebene (Ihr Login, Ihr Basisprofil, Sicherheitsprotokolle) und dafür, wie wir den Dienst betreiben und verbessern.

Kontakt für Datenschutzfragen und -anfragen: support@allmightysync.com.

2. Ihr Konto und Ihre Daten gehören Ihnen

Ihr persönliches Konto — Ihr Login und Ihr persönliches Profil — gehört allein Ihnen. Sie sind der alleinige Eigentümer Ihres Kontos und Ihrer persönlichen Daten.

• Niemand — weder ein Lehrer noch ein Administrator noch AMSync — kann Ihr Passwort sehen: Es wird ausschließlich als gesalzener kryptografischer Hash gespeichert. Bitte geben Sie es niemals weiter.
• Eine Schule entscheidet, wer Mitglied ihrer Organisation ist und was sie über Aktivitäten dort erfasst (z. B. Anwesenheit), ist aber nicht Eigentümerin Ihres Kontos. Wenn Sie mehreren Organisationen angehören, sieht jede nur ihre eigenen Daten über Sie.
• Sie können Ihre Angaben jederzeit ändern, Ihre Daten exportieren und Ihr Konto löschen (siehe „Ihre Rechte“).

3. Wer Ihre persönlichen Daten sehen kann

Der Zugriff auf Ihre persönlichen Daten ist bewusst eng begrenzt. Innerhalb Ihrer Schule beschränkt er sich auf:

• Sie selbst;
• Ihre Lehrer — die Lehrer, die mit Ihnen arbeiten;
• die Administratoren Ihrer Schule; und
• bei Schülern deren verknüpfte Eltern oder Erziehungsberechtigte.

Andere Organisationen auf AMSync können sie nicht sehen. Das wird in der Datenbank selbst durchgesetzt, nicht nur in den Bildschirmen der App.

4. Sensible Daten: PIN-geschützt und protokolliert

Gesundheits- und Sicherheitsinformationen (z. B. Allergien, medizinische Hinweise und Medikamente) erhalten zusätzlichen Schutz:

• Sie werden verschlüsselt gespeichert.
• Sie können nur mit einem speziellen persönlichen PIN-Code geöffnet werden, und zwar nur von berechtigten Personen. Mehrfach falsche PIN-Eingaben sperren den Zugriff.
• Jedes Mal, wenn sie angesehen oder geändert werden — und bei jedem abgelehnten Versuch —, hält das System fest, wer in welcher Rolle und wann darauf zugegriffen hat. Diese Spur lässt sich nicht umgehen, sodass jeder Zugriff nachträglich nachvollzogen werden kann.

5. Welche Daten wir verarbeiten

Je nach Ihrer Rolle (Administrator, Lehrer, Elternteil, Schüler) und danach, was Ihre Schule nutzt:

• Konto und Profil: Name, E-Mail, Telefon, Rolle, Sprache, Profilbild und Ihr Passwort — ausschließlich als gesalzener kryptografischer Hash gespeichert, niemals im Klartext.
• Organisationsdaten: Schulname, Kontaktdaten, Terminologie, Einstellungen.
• Bildungsunterlagen: Gruppen und Klassen, Stundenpläne, Anwesenheit und Entschuldigungen, Lernmaterialien, Galeriemedien, Bewertungen und Portfolio-Ergebnisse, Checklisten, Vorfallsberichte.
• Nachrichten: Mitteilungen und Posteingangsnachrichten, die Sie senden oder erhalten.
• Finanzdaten: Mitgliedschafts- und Zahlungsstatus, von Ihnen hochgeladene Zahlungsbelege und — bei Lehrern — Vergütungseinstellungen und Arbeitsprotokolle, sofern die Schule Zahlungen nutzt.
• Geburtsdatum, soweit eine Schule es erfasst. Es wird verschlüsselt gespeichert und für Altersregeln verwendet (z. B. bei Minderjährigen).
• Gesundheits- und Sicherheitsinformationen (z. B. Allergien, medizinische Hinweise, Medikamente, Notfallkontakte), nur wenn die Schule sie erfassen möchte. Dies ist eine besondere Kategorie von Daten. Sie werden von der Schule oder einem Elternteil/Erziehungsberechtigten eingegeben, nur berechtigten Personen angezeigt, zusätzlich zugriffsgeschützt und ausschließlich zur Sicherheit und zum Wohl der Person verwendet.
• Technische Daten: Anmelde-Token, grundlegende Geräte- und Sitzungsinformationen, die App-Version und das Push-Benachrichtigungs-Token Ihres Geräts.

Wir verlangen nicht mehr Daten, als eine Schule für ihren Betrieb benötigt, und wir verkaufen personenbezogene Daten nicht und nutzen sie nicht für Werbung oder Profiling.

6. Wofür wir sie nutzen und auf welcher Rechtsgrundlage

7. Wer Ihre Daten erhält

• Ihre Schule und die von ihr autorisierten Personen (Administratoren, Lehrer sowie verknüpfte Eltern oder Erziehungsberechtigte eines Schülers), jeweils im Rahmen ihrer Rolle.
• Dienstleister (Unterauftragsverarbeiter), die uns beim Betrieb von AMSync helfen, an Datenschutzvereinbarungen gebunden sind und ausschließlich auf unsere Weisung handeln:
  • Cloud-Infrastrukturanbieter — Datenbank, Authentifizierung und Dateispeicher (gehostet in der EU, Irland)
  • Anbieter für Benachrichtigungen und Diagnose — Push-Benachrichtigungen, App-Analysen und Absturzberichte
  • E-Mail-Versanddienstleister — Transaktions-E-Mails (Einladungen, Passwort-Zurücksetzung)
  • Anbieter für die Bereitstellung der Web-App — Bereitstellung der Web-App
• Behörden, nur wenn das Gesetz es verlangt.

Wir verkaufen keine Daten und geben sie nicht an Werbetreibende weiter. Eine aktuelle Liste ist auch Teil unseres Auftragsverarbeitungsvertrags und auf Anfrage erhältlich.

8. Wo Ihre Daten gespeichert werden und internationale Übermittlungen

Unsere Datenbank und unser Dateispeicher befinden sich in der Europäischen Union (Irland). Einige Anbieter (z. B. unsere Anbieter für Benachrichtigungen und Web-Bereitstellung) können begrenzte Daten außerhalb des EWR verarbeiten. In diesem Fall stützen wir uns auf die von der DSGVO geforderten geeigneten Garantien, etwa das EU-US Data Privacy Framework oder Standardvertragsklauseln.

9. Analysen, Absturzberichte und Cookies

• App-Analyse: welche Bildschirme aufgerufen werden und grundlegende technische Informationen (App-Version, Gerätetyp, Test- oder Produktivumgebung).
• Absturzberichte: Absturzberichte und technische Diagnosen, damit wir Fehler beheben können.
• Eigene Erfassung der Funktionsnutzung: welche Funktionen genutzt werden, verknüpft mit Konto, Rolle und Organisation, damit wir sehen, was funktioniert, und Verbesserungen priorisieren können.

Dies dient ausschließlich dem Betrieb, dem Support und der Verbesserung von AMSync — niemals der Werbung, und es wird nie verkauft. Die Web-App speichert nur, was sie zum Funktionieren braucht (Ihre Sitzung und Einstellungen). Wir verwenden keine Werbe-Cookies und kein websiteübergreifendes Tracking.

10. Wie lange wir Daten speichern

• Protokolle und Benachrichtigungen: Nutzungsdaten werden nach 12 Monaten gelöscht. Benachrichtigungen werden nach 12 Monaten gelöscht, sobald sie gelesen sind, in jedem Fall nach 24 Monaten. Sicherheits-, Prüf-, Einwilligungs- und Finanzaufzeichnungen werden so lange aufbewahrt, wie es zum Nachweis der Einhaltung, zur Bearbeitung von Ansprüchen oder für gesetzliche Pflichten nötig ist.
• Solange Ihr Konto oder die Organisation Ihrer Schule aktiv ist, speichern wir Daten, damit der Dienst funktioniert und die Unterlagen der Schule vollständig bleiben.
• Wenn Sie Ihr Konto löschen, wird Ihr Login geschlossen, und Ihre privaten Daten — Kontaktdaten, Geburtsdatum, Adresse, Foto, Notfallkontakte, Gesundheits- und Sicherheitsinformationen, Geräte-Token, Benachrichtigungen und hochgeladene Anhänge — werden gelöscht. Ihr Name, Ihre Rolle und Ihr Gruppenverlauf können in den historischen Unterlagen der Schule verbleiben (z. B. frühere Anwesenheit und Berichte), damit diese korrekt bleiben. Sie können verlangen, dass wir auch Ihren Namen entfernen oder anonymisieren, sofern das Gesetz es erlaubt — siehe „Ihre Rechte“.
• Wird eine Organisation gelöscht, werden ihre Daten aus der Produktionsdatenbank entfernt; Sicherungskopien werden innerhalb von 30 Tagen gelöscht.
• Wo das Gesetz uns zur Aufbewahrung verpflichtet (z. B. Finanzunterlagen), bewahren wir die Daten so lange wie vorgeschrieben und nicht länger auf.

11. Wie wir Ihre Daten schützen

• Unser Informationssicherheits-Management folgt den Grundsätzen von ISO/IEC 27001 (risikobasierte Zugriffskontrolle, Verschlüsselung, Protokollierung, Vorfallbehandlung, Lieferantenprüfung und regelmäßige Überprüfungen). Das beschreibt, wie wir arbeiten; es ist keine Zertifizierung.
• Sensible Felder — Geburtsdatum, Wohnadresse, Gesundheits- und Sicherheitsinformationen, Notfallkontakte — sind in der Datenbank zusätzlich einzeln verschlüsselt, über den Schutz der gesamten Datenbank hinaus.
• Verschlüsselung bei der Übertragung (HTTPS/TLS) und im Ruhezustand; sensible Felder wie das Geburtsdatum sind zusätzlich verschlüsselt.
• Passwörter werden ausschließlich als gesalzene kryptografische Hashes gespeichert.
• Zugriffskontrolle nach Organisation und Rolle, in der Datenbank selbst durchgesetzt (Row-Level-Security), sodass jede Person nur auf die Daten zugreifen kann, auf die sie ein Recht hat. Schulen können die Daten anderer Schulen nicht einsehen.
• Mehrfaktor-Authentifizierung ist verfügbar; wichtige Aktionen werden in einem Audit-Protokoll festgehalten.
• Ein schriftliches Verfahren für Datenpannen. Betrifft eine Verletzung des Schutzes personenbezogener Daten Sie, informieren wir die betroffene Schule unverzüglich und innerhalb von 72 Stunden nach Kenntnisnahme sowie die zuständige Behörde und Betroffene, soweit das Gesetz es verlangt.

12. Daten von Kindern

AMSync ist ein Geschäftswerkzeug, das an Organisationen verkauft wird; es ist keine Verbraucher-App für Kinder, und Kinder können sich nicht selbst registrieren. Schülerkonten werden von einem Administrator der Schule oder einem Elternteil/Erziehungsberechtigten angelegt. Die Schule ist dafür verantwortlich, vor der Aufnahme eines Minderjährigen die nach geltendem Recht erforderliche Einwilligung der Eltern oder Erziehungsberechtigten einzuholen (z. B. Art. 8 DSGVO). Wir nutzen Schülerdaten nicht für Werbung, Profiling oder Zwecke außerhalb der Bereitstellung des Dienstes. Eltern und Erziehungsberechtigte können die Rechte ihres Kindes über die Schule oder direkt bei uns ausüben.

13. Ihre Rechte

Nach geltendem Recht haben Sie das Recht auf:

• Auskunft über Ihre Daten und Erhalt einer Kopie;
• Berichtigung unrichtiger oder unvollständiger Daten;
• Löschung Ihrer Daten („Recht auf Vergessenwerden“);
• Einschränkung der Verarbeitung;
• Datenübertragbarkeit — Ihre Daten in einem gängigen, maschinenlesbaren Format zu erhalten;
• Widerspruch gegen eine auf berechtigten Interessen beruhende Verarbeitung;
• Widerruf einer Einwilligung jederzeit, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird;
• nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die Sie erheblich beeinträchtigt — AMSync trifft keine solchen Entscheidungen (vorgeschlagene Bewertungsnoten sind Vorschläge, die ein Lehrer prüft).

Für Daten, die Ihre Schule verantwortet, können Sie sich an die Schule wenden; wir unterstützen sie bei der Beantwortung. Für Ihr Konto und unsere eigene Verarbeitung schreiben Sie an support@allmightysync.com. Wir bemühen uns, innerhalb eines Monats zu antworten. Möglicherweise müssen wir zuerst Ihre Identität bestätigen.

Anfragen und Auskünfte auf Anfrage. Sie können eine Anfrage aus der App senden (Einstellungen → Hilfe → Datenschutz- und Datenanfragen). Aus Sicherheitsgründen veröffentlichen wir weder die Namen unserer Dienstleister noch die Einzelheiten unserer technischen und organisatorischen Maßnahmen; Sie können sie anfragen. Zum Schutz Ihrer Daten prüfen wir zuerst, wer fragt, anhand begrenzter Daten (Name, E-Mail und Organisation Ihres Kontos — Ausweisdokumente verlangen wir nur, wenn das Gesetz es erfordert), und wir führen ein Verzeichnis jeder Anfrage: wer gefragt hat, wonach, wann und was wir geantwortet haben.

14. Beschwerden

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI, bfdi.bund.de), der österreichischen Datenschutzbehörde (dsb.gv.at), dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (edoeb.admin.ch) oder der Behörde Ihres Wohnsitzlandes. Wir freuen uns, wenn Sie uns zuerst Gelegenheit geben, Ihr Anliegen zu klären.

15. Konto- und Datenlöschung

Sie können Ihr Konto in der App löschen: Einstellungen → Sicherheit → Konto löschen.

• Wenn Sie der einzige Administrator einer Organisation sind, müssen Sie zuerst die Organisation löschen (Organisationseinstellungen → Organisation löschen). Dadurch werden alle ihre Daten dauerhaft entfernt, und das kann nicht rückgängig gemacht werden.
• Das Löschen einer Organisation löscht die Konten anderer Mitglieder nicht — sie werden von der Organisation getrennt.

Wenn Sie die App nicht nutzen können, siehe unsere Seite Konto löschen.

16. Änderungen

Wir aktualisieren diese Erklärung bei Bedarf. Bei wesentlichen Änderungen informieren wir Sie in der App und bitten Sie, soweit erforderlich, sie erneut zu prüfen oder zu bestätigen. Das Datum „Zuletzt aktualisiert“ zeigt stets die aktuelle Version.