Редакция 1.0 Действует с {{ДАТА_РЕДАКЦИИ}} Ч. 3 ст. 6 152-ФЗ

Условия обработки персональных данных по поручению

Настоящий документ является неотъемлемой частью Пользовательского соглашения и представляет собой поручение на обработку персональных данных, выдаваемое Школой в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ.

Оператор — Школа (Пользователь, создавший рабочее пространство на Платформе и приглашающий в него преподавателей, кураторов и учеников).
Обработчик — {{ОПЕРАТОР}}, ИНН {{ИНН}}, адрес: {{АДРЕС}}.
Поручение считается выданным с момента создания Школы на Платформе.

Предмет поручения

Оператор поручает, а Обработчик принимает на себя обязательство обрабатывать персональные данные Участников Школы (преподавателей, кураторов, учеников, а при необходимости — их законных представителей) от имени и в интересах Оператора, в объёме и на условиях, установленных настоящим документом. Обработчик обрабатывает данные исключительно по поручению Оператора и не вправе использовать их в собственных целях, в том числе для собственного маркетинга, профилирования или обучения моделей машинного обучения, предназначенных для третьих лиц. Обработчик не обязан получать согласие субъектов персональных данных. Получение необходимых согласий (включая согласия законных представителей несовершеннолетних и согласия участников на запись занятий) и обеспечение иных законных оснований обработки — обязанность Оператора.

Цели обработки

предоставление Участникам доступа к рабочему пространству Школы и учебным материалам;
организация и проведение занятий, включая видеозанятия и их запись;
хранение учебных материалов, домашних работ и сообщений;
автоматическая подготовка расшифровки занятия, конспекта, таймкодов и проектов тестовых заданий;
учёт прогресса обучения и формирование отчётности внутри Школы;
техническая поддержка Оператора и Участников;
обеспечение безопасности и предотвращение несанкционированного доступа.

Категории субъектов и перечень персональных данных

Категория субъектов	Персональные данные
Преподаватели, кураторы	Фамилия, имя, адрес электронной почты, роль, фотография профиля и сведения «о себе» (при заполнении), учебная активность
Ученики	Фамилия, имя, адрес электронной почты, роль, состав курсов и групп, выполненные задания и работы, результаты тестов, прогресс обучения, сообщения в чате Платформы
Участники занятий	Аудио- и видеоданные занятия, запись занятия, текстовая расшифровка речи, время подключения и отключения
Все Участники	Технические данные: IP-адрес, сведения об устройстве и браузере, идентификаторы сессий, журналы действий

Оператор обязуется не размещать на Платформе специальные категории персональных данных (в частности, сведения о состоянии здоровья) и биометрические персональные данные. Если такие данные всё же будут размещены, Оператор самостоятельно отвечает за наличие предусмотренных законом оснований их обработки.

Перечень разрешённых действий и способы обработки

Обработчик вправе совершать следующие действия: сбор (получение от Оператора и Участников), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) — только лицам, указанным в разделе 6, — обезличивание, блокирование, удаление, уничтожение.

Обработка осуществляется автоматизированным, неавтоматизированным и смешанным способом с использованием баз данных, расположенных на территории Российской Федерации. Распространение персональных данных (раскрытие неограниченному кругу лиц) не допускается.

Требования к защите персональных данных

Обработчик обязуется соблюдать конфиденциальность персональных данных и обеспечивать их безопасность при обработке в соответствии со ст. 19 152-ФЗ, в том числе:

определять угрозы безопасности и применять меры, соответствующие требуемому уровню защищённости, установленному постановлением Правительства РФ от 01.11.2012 № 1119;
ограничивать доступ к данным кругом работников, которым он необходим для исполнения обязанностей, и вести учёт таких лиц;
применять шифрование каналов передачи данных, разграничение прав доступа по ролям, хранение паролей в виде необратимых хэшей, выдачу временных ссылок ограниченного срока действия для доступа к файлам;
вести журналы действий пользователей и администраторов, осуществлять резервное копирование и контроль восстановления;
обнаруживать факты несанкционированного доступа и принимать меры по их устранению;
оценивать эффективность принимаемых мер до ввода в эксплуатацию новых функций, обрабатывающих персональные данные.

Привлечение третьих лиц

Оператор даёт Обработчику общее согласие на привлечение третьих лиц (субобработчиков) для исполнения поручения при условии возложения на них обязанностей, не менее строгих, чем предусмотренные настоящим документом. Обработчик отвечает перед Оператором за действия привлечённых лиц как за свои собственные. Актуальный перечень субобработчиков:

Лицо	Назначение	Расположение
{{ХОСТИНГ_ПРОВАЙДЕР}}	Размещение серверов и хранение данных	Российская Федерация
{{ПОЧТОВЫЙ_СЕРВИС}}	Доставка служебных писем	Российская Федерация
{{ПЛАТЁЖНЫЙ_СЕРВИС}}	Приём платежей от Школы	Российская Федерация

Об изменении перечня субобработчиков Обработчик уведомляет Оператора не менее чем за 15 календарных дней путём публикации на настоящей странице и уведомления в интерфейсе Платформы. При несогласии Оператор вправе расторгнуть договор с возвратом стоимости неиспользованного периода.

Содействие Оператору

Обработчик содействует Оператору в исполнении его обязанностей перед субъектами: предоставляет по запросу Оператора сведения об обрабатываемых данных, обеспечивает техническую возможность их уточнения, блокирования, выгрузки и уничтожения. Срок исполнения запроса Оператора — не более 5 рабочих дней. Если субъект обратится напрямую к Обработчику, Обработчик не отвечает по существу, а перенаправляет обращение Оператору в течение 3 рабочих дней и уведомляет об этом субъекта. Обработчик предоставляет Оператору по его запросу описание применяемых мер защиты, достаточное для оценки их соответствия требованиям законодательства, не чаще одного раза в год, за исключением случаев инцидентов.

Инциденты

При обнаружении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, обрабатываемых по настоящему поручению, Обработчик:

уведомляет Оператора незамедлительно, но не позднее 24 часов с момента обнаружения, с указанием характера инцидента, категорий и примерного объёма затронутых данных и принятых мер;
оказывает Оператору содействие в подготовке уведомлений в Роскомнадзор, предусмотренных ч. 3.1 ст. 21 152-ФЗ (в течение 24 и 72 часов);
принимает меры по устранению последствий и предотвращению повторения инцидента.

Ответственность

Перед субъектами персональных данных за действия Обработчика отвечает Оператор (ч. 5 ст. 6 152-ФЗ). Обработчик отвечает перед Оператором за нарушение условий настоящего поручения. Обработчик не отвечает за правомерность состава данных, размещённых Оператором и Участниками, за наличие необходимых согласий и за содержание учебного процесса.

Срок действия и прекращение

Поручение действует в течение срока действия Пользовательского соглашения между Оператором и Обработчиком. По прекращении договора Обработчик в течение 30 календарных дней обеспечивает Оператору возможность выгрузки данных, после чего уничтожает их, включая копии в резервных копиях (в резервных копиях — в течение 90 дней в соответствии с циклом их ротации). По требованию Оператора данные уничтожаются ранее указанного срока; факт уничтожения подтверждается актом в форме электронного документа.