1 Общие положения
Настоящая Политика обработки персональных данных определяет порядок и условия обработки персональных данных индивидуальным предпринимателем Варакиным Сергеем Леонидовичем и устанавливает меры, направленные на защиту прав субъектов персональных данных.
Политика применяется ко всей обработке персональных данных Оператором, включая обработку на сайте sereban.ru, в учебной информационной системе, посредством электронной почты и используемых Оператором российских сервисов связи, на площадках Авито и Профи, в сообществах и сообщениях MAX и ВКонтакте, при проведении занятий, сопровождении учеников и осуществлении расчётов.
Оператор обрабатывает только те персональные данные, которые необходимы для определённых в настоящей Политике целей, и не использует их способом, несовместимым с такими целями.
Оператор персональных данных: индивидуальный предприниматель Варакин Сергей Леонидович, ИНН 614344404604, ОГРНИП 325930100000562. Адрес электронной почты для обращений по вопросам обработки персональных данных: varakinsergey2906@mail.ru.
Политика разработана в соответствии с Конституцией Российской Федерации, Гражданским кодексом Российской Федерации, Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных», Федеральным законом от 13 марта 2006 года № 38-ФЗ «О рекламе» и иными применимыми нормативными правовыми актами Российской Федерации.
2 Основные понятия
В Политике используются понятия «персональные данные», «обработка персональных данных», «оператор», «предоставление», «распространение», «блокирование», «уничтожение», «информационная система персональных данных» и другие понятия в значениях, установленных Федеральным законом № 152-ФЗ.
Субъектами персональных данных для целей настоящей Политики являются посетители сайта, лица, направившие обращение, ученики, их родители и иные законные представители, заказчики образовательных услуг, кураторы, подрядчики и иные исполнители Оператора.
3 Принципы обработки
- обработка осуществляется законно, добросовестно и только для заранее определённых целей;
- состав данных соответствует целям обработки и не является избыточным;
- неточные или устаревшие данные уточняются либо удаляются;
- данные хранятся не дольше, чем этого требуют цели обработки или закон;
- по достижении целей данные уничтожаются либо обезличиваются, если закон не требует их дальнейшего хранения;
- доступ предоставляется только лицам, которым он необходим для выполнения договорных обязанностей.
4 Цели состав данных основания и сроки обработки
4.1 Рассмотрение обращений и запись на обучение
- Субъекты
- потенциальные ученики, родители и иные законные представители
- Персональные данные
- имя, фамилия при предоставлении, номер телефона, адрес электронной почты, идентификатор и сведения профиля на площадке или в сервисе связи, возраст или класс ученика, выбранный предмет, цель обращения и содержание переписки
- Правовое основание
- действия по инициативе субъекта до заключения договора; согласие, когда оно требуется законом
- Операции
- сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление уполномоченным исполнителям, блокирование и уничтожение
- Срок
- до заключения договора либо 90 календарных дней после последнего взаимодействия, если договор не заключён; при наличии отдельного согласия на информационные и рекламные сообщения контактные данные хранятся в срок, указанный в пункте 4.6
4.2 Заключение и исполнение договора об обучении
- Субъекты
- ученики, заказчики, родители и иные законные представители
- Персональные данные
- фамилия, имя, отчество при наличии, контактные данные, возраст, класс, сведения о законном представителе, сведения о выбранной программе и расписании, посещаемость, домашние задания, учебные ответы, результаты, прогресс, комментарии и переписка по исполнению договора
- Правовое основание
- заключение и исполнение договора; исполнение обязанностей, установленных законодательством Российской Федерации; согласие — для данных и действий, которым требуется отдельное согласие
- Операции
- сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача в пределах поручения, блокирование, удаление и уничтожение
- Срок
- в течение срока договора и 3 лет после его прекращения, если более длительный срок не требуется законом или для разрешения спора
4.3 Работа учебной информационной системы
- Субъекты
- ученики, кураторы и Оператор
- Персональные данные
- имя, логин, идентификатор учётной записи, роль и статус пользователя, идентификатор назначенного куратора, хэш и соль пароля, сведения о сессиях, ответы на задания, число попыток, правильность ответов, время выполнения, история прогресса, комментарии проверки, сведения об активности и действиях в системе
- Правовое основание
- исполнение договора; законный интерес Оператора в обеспечении работоспособности и безопасности системы при условии соблюдения прав субъекта
- Операции
- автоматизированная и смешанная обработка, включая сбор, запись, хранение, извлечение, использование, предоставление доступа, блокирование, архивирование, удаление и уничтожение
- Срок
- учебные сведения — срок договора плюс 3 года; технические журналы и сведения о сессиях — не более 1 года, если более длительное хранение не требуется для расследования инцидента или исполнения закона
4.4 Расчёты налоговый и бухгалтерский учёт
- Субъекты
- заказчики, плательщики, кураторы, подрядчики и исполнители
- Персональные данные
- фамилия, имя, отчество, ИНН при необходимости, реквизиты договора, сведения о сумме, дате, назначении и способе платежа, банковские реквизиты в объёме, содержащемся в расчётных документах, сведения о чеках и возвратах
- Правовое основание
- исполнение договора и обязанностей Оператора, установленных налоговым, расчётным и иным законодательством Российской Федерации
- Операции
- сбор, запись, систематизация, хранение, использование, предоставление банкам и государственным органам в установленных законом случаях, блокирование и уничтожение
- Срок
- не менее 5 лет либо иной срок, прямо установленный применимым законодательством
4.5 Сервисные сообщения
- Субъекты
- ученики, заказчики и законные представители
- Персональные данные
- имя, контактные данные, сведения о договоре, группе, расписании, занятиях и необходимых организационных действиях
- Правовое основание
- исполнение договора и действия по инициативе субъекта до его заключения
- Операции
- использование контактных данных и направление сообщений, непосредственно связанных с обращением или обучением
- Срок
- в течение периода рассмотрения обращения и действия договора; подтверждения существенных сообщений могут храниться в пределах общего срока хранения договорных данных
4.6 Информационные и рекламные сообщения
- Субъекты
- лица, предоставившие отдельное предварительное согласие
- Персональные данные
- имя, номер телефона, адрес электронной почты, идентификатор профиля и сведения о предпочтительном канале связи
- Правовое основание
- отдельное предварительное согласие субъекта в соответствии с законодательством о персональных данных и рекламе
- Операции
- хранение, использование и направление сообщений
- Срок
- до отзыва согласия, но не более 5 лет с даты его получения или последующего подтверждения; по истечении этого срока для продолжения обработки требуется новое согласие; сведения, необходимые для подтверждения отзыва и недопущения повторной рассылки, могут храниться в минимальном объёме дольше
4.7 Запись занятий
- Субъекты
- ученики, преподаватель и иные участники занятия
- Персональные данные
- изображение, голос, имя или отображаемое имя, ответы и сообщения участника, демонстрируемые им материалы
- Правовое основание
- отдельное информированное согласие; в отношении несовершеннолетнего — согласие законного представителя в применимых случаях
- Операции
- запись, хранение, просмотр уполномоченными лицами, предоставление участникам соответствующей группы, удаление и уничтожение
- Срок
- не более 5 лет после занятия при наличии отдельного согласия на запись и такое хранение; при отзыве согласия запись уничтожается, если отсутствует иное законное основание для её хранения
4.8 Публикация отзывов и результатов
- Субъекты
- ученики, заказчики и законные представители
- Персональные данные
- имя или псевдоним, изображение, текст и содержание отзыва, учебный результат и иные сведения, прямо перечисленные в отдельном согласии
- Правовое основание
- отдельное согласие на обработку персональных данных, разрешённых субъектом для распространения
- Операции
- публикация на указанных в согласии ресурсах, хранение, изменение и удаление публикации
- Срок
- до истечения срока согласия, его отзыва или удаления публикации Оператором — в зависимости от того, что наступит раньше, с учётом правил прекращения распространения
4.9 Работа с кураторами и исполнителями
- Субъекты
- самозанятые, индивидуальные предприниматели и иные исполнители
- Персональные данные
- фамилия, имя, отчество, контактные данные, ИНН, сведения о статусе налогоплательщика, реквизиты договора, акты, отчёты, чеки и расчётные сведения
- Правовое основание
- заключение и исполнение договора; исполнение обязанностей, установленных законом
- Операции
- сбор, запись, хранение, проверка, использование, предоставление государственным органам в предусмотренных законом случаях, блокирование и уничтожение
- Срок
- в течение договора и не менее 5 лет после года соответствующей операции в части документов, необходимых для налогового и договорного учёта
4.10 Защита прав и информационная безопасность
- Субъекты
- все категории субъектов, взаимодействующих с Оператором
- Персональные данные
- данные, содержащиеся в договорах, переписке, технических журналах, сведениях об авторизации, действиях пользователей и обстоятельствах инцидента
- Правовое основание
- исполнение обязанностей по обеспечению безопасности; осуществление и защита прав и законных интересов Оператора и третьих лиц при соблюдении прав субъекта
- Операции
- сбор, сопоставление, анализ, хранение, блокирование, предоставление компетентным органам и уничтожение
- Срок
- технические журналы — до 1 года; материалы претензии, спора или инцидента — до окончательного урегулирования и истечения применимых сроков защиты права
5 Источники получения данных
Оператор получает персональные данные непосредственно от субъекта, его законного представителя или заказчика, а также при использовании субъектом сайта и учебной системы. Данные могут поступать через электронную почту, MAX, ВКонтакте, Авито и Профи в соответствии с настройками и правилами соответствующей площадки.
Авито, Профи, ВКонтакте и MAX самостоятельно определяют обработку данных внутри собственных сервисов в пределах своих пользовательских документов. После передачи данных Оператору их последующая обработка регулируется настоящей Политикой.
При предоставлении данных другого лица передающее их лицо подтверждает наличие законного основания для такой передачи. Родитель или иной законный представитель предоставляет данные несовершеннолетнего в пределах своих полномочий.
6 Условия обработки и передачи
Оператор обрабатывает данные с согласия субъекта, для заключения и исполнения договора, для исполнения обязанностей, установленных законом, а также в иных случаях, прямо предусмотренных статьёй 6 Федерального закона № 152-ФЗ.
Оператор вправе поручить обработку персональных данных лицу на основании договора. В поручении определяются перечень данных, операции и цели обработки, обязанность соблюдать конфиденциальность, требования к безопасности, порядок подтверждения принятых мер, уведомления об инцидентах и уничтожения данных.
Самозанятые кураторы получают доступ только к сведениям закреплённых за ними учеников и только в объёме, необходимом для организационного сопровождения. Кураторы не вправе создавать собственные базы, копировать сведения для личных целей или передавать их третьим лицам.
Для размещения сайта и учебной системы Оператор использует российскую инфраструктуру Timeweb. При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации.
Расчёты могут осуществляться через обслуживающий банк, включая Систему быстрых платежей. Банк обрабатывает сведения о расчёте на собственных законных основаниях. Оператор не получает и не хранит реквизиты платёжной карты, если ввод таких реквизитов производится непосредственно на стороне банка или платёжного провайдера.
Подключение нового сервиса управления отношениями с клиентами, интернет-эквайринга или иного обработчика допускается после проверки места хранения данных, условий договора и мер защиты. При необходимости Оператор до начала использования обновляет настоящую Политику, согласия и уведомление уполномоченного органа.
Оператор не осуществляет трансграничную передачу персональных данных. До начала такой передачи Оператор выполнит требования статьи 12 Федерального закона № 152-ФЗ, включая получение необходимых сведений и направление уведомления уполномоченному органу.
Персональные данные могут быть предоставлены государственным органам, судам и иным уполномоченным лицам в случаях и порядке, предусмотренных законодательством Российской Федерации.
7 Специальные категории и биометрические данные
Оператор не запрашивает и целенаправленно не обрабатывает сведения о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья и интимной жизни.
Изображение и голос в записях занятий не используются Оператором для установления личности и не обрабатываются как биометрические персональные данные. Использование таких сведений для идентификации допускается только при наличии отдельного законного основания и соблюдении специальных требований закона.
8 Порядок прекращения обработки и уничтожения
Обработка прекращается при достижении цели, истечении срока хранения, отзыве согласия, выявлении неправомерной обработки либо по законному требованию субъекта или уполномоченного органа, если отсутствует иное основание для продолжения обработки.
Электронные данные удаляются из рабочих информационных систем средствами соответствующих систем с последующим удалением из резервных копий в пределах установленного цикла резервного копирования. Бумажные носители уничтожаются способом, исключающим восстановление содержания. Факт уничтожения подтверждается актом или выгрузкой из журнала событий, когда такое подтверждение требуется законом.
Отзыв согласия не влияет на законность обработки, выполненной до его получения. После отзыва Оператор вправе продолжить обработку только при наличии основания, не зависящего от согласия.
9 Права субъекта
- получать сведения об обработке своих персональных данных;
- требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или ненужных данных;
- отозвать согласие и отказаться от рекламных сообщений;
- требовать прекращения обработки в случаях, установленных законом;
- обжаловать действия Оператора в Роскомнадзор или в суд;
- осуществлять иные права, предусмотренные законодательством Российской Федерации.
Обращение направляется на varakinsergey2906@mail.ru. Оно должно позволять идентифицировать заявителя и содержание требования. Оператор рассматривает обращение в сроки, установленные Федеральным законом № 152-ФЗ, и вправе запросить сведения, необходимые для подтверждения личности и полномочий заявителя.
10 Меры защиты
- разграничение доступа по ролям и предоставление минимально необходимого объёма прав;
- использование средств аутентификации, защищённых соединений и журналирования значимых действий;
- ограничение доступа кураторов сведениями закреплённых учеников;
- резервное копирование и контроль восстановления данных;
- проверка подрядчиков и закрепление требований к обработке в договорах;
- оценка рисков, внутренний контроль и реагирование на инциденты;
- ознакомление лиц, имеющих доступ к данным, с требованиями конфиденциальности и безопасности.
При выявлении инцидента Оператор принимает меры для прекращения нарушения, уменьшения возможного вреда, сохранения необходимых сведений об обстоятельствах события и уведомления Роскомнадзора в предусмотренных законом случаях и сроки.
11 Заключительные положения
Политика действует с даты утверждения до замены новой редакцией. Оператор пересматривает её при изменении законодательства, целей обработки, состава информационных систем, перечня обработчиков или фактического порядка работы.
Актуальная редакция размещается на сайте sereban.ru в свободном доступе. Новая редакция применяется с даты её публикации, если в ней не указан более поздний срок.
Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.