Сервис: «EDU Расписание», https://edurasp.ru
Редакция: 1.0 от [ДД.ММ.ГГГГ]
Дата вступления в силу: [ДД.ММ.ГГГГ]
1.1. Настоящая Политика (далее — Политика) определяет порядок обработки и защиты персональных данных (далее — ПДн) в информационном сервисе «EDU Расписание», размещённом в сети «Интернет» по адресу https://edurasp.ru (далее — Сервис).
1.2. Политика разработана во исполнение п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ и подлежит опубликованию в порядке ч. 2 ст. 18.1 Закона № 152-ФЗ.
1.3. Оператор персональных данных:
| Реквизит | Значение |
|---|---|
| Ф. И. О. | Митрофанов Артём Андреевич |
| Статус | физическое лицо — налогоплательщик налога на профессиональный доход (самозанятый) |
| ИНН | 701755094100 |
| Адрес для направления письменной корреспонденции | адрес, указанный в реестре операторов, осуществляющих обработку персональных данных (реестровая запись № [___]), — https://pd.rkn.gov.ru/operators-registry/operators-list/ |
| Адрес электронной почты (основной канал связи) | educheck@artyom-mitrofanov.ru |
| Телефон | [+7 ___ — указать или удалить строку] |
| Номер в реестре операторов ПДн | [номер и дата регистрации в реестре Роскомнадзора] |
1.4. Лицо, ответственное за организацию обработки персональных данных (п. 1 ч. 1 ст. 18.1 Закона № 152-ФЗ): Митрофанов Артём Андреевич, e‑mail educheck@artyom-mitrofanov.ru.
1.5. Политика применяется ко всем ПДн, которые Оператор получает от субъектов ПДн через Сервис, по электронной почте и иными способами.
1.6. Используемые термины («персональные данные», «обработка», «оператор», «блокирование», «уничтожение», «обезличивание» и др.) применяются в значениях, установленных ст. 3 Закона № 152-ФЗ.
Обработка ПДн осуществляется на основании:
и о защите информации»;
(п. 5 ч. 1 ст. 6 Закона № 152-ФЗ);
(ч. 3 ст. 6 Закона № 152-ФЗ);
3.1. Оператор действует как самостоятельный оператор ПДн в отношении:
3.2. Оператор действует как лицо, осуществляющее обработку по поручению оператора (ч. 3 ст. 6 Закона № 152-ФЗ), в отношении ПДн, которые образовательная организация самостоятельно вносит в Сервис, — прежде всего Ф. И. О. педагогических работников и сведений об их учебной нагрузке. В этом случае оператором является образовательная организация (школа), а Оператор Сервиса выполняет её поручение в объёме и на условиях, установленных документом «Условия поручения на обработку персональных данных» (приложение к Договору-оферте), опубликованным по адресу https://edurasp.ru/docs/dpa.
3.3. Образовательная организация самостоятельно отвечает за наличие правового основания для обработки ПДн своих работников, за уведомление их о передаче данных Оператору и за достоверность вносимых данных.
3.4. Сервис не предназначен для обработки персональных данных обучающихся. Сведения об учениках вносятся в Сервис исключительно в обезличенном виде (количество учащихся в классе, наименование класса) и персональными данными не являются. Внесение в Сервис Ф. И. О., дат рождения и иных сведений об обучающихся не допускается.
(контактные лица);
(обработка по поручению, п. 3.2);
| Данные | Цель | Основание | Срок |
|---|---|---|---|
| Наименование образовательной организации | идентификация клиента | п. 5 ч. 1 ст. 6 (договор) | см. раздел 8 |
| Ф. И. О. руководителя (директора) | оформление доступа и договорных документов | п. 1 ч. 1 ст. 6 (согласие) | см. раздел 8 |
| Ф. И. О. контактного лица | идентификация пользователя, связь | п. 1 ч. 1 ст. 6 (согласие) | см. раздел 8 |
| Должность контактного лица | подтверждение полномочий | п. 1 ч. 1 ст. 6 (согласие) | см. раздел 8 |
| Телефон | связь по вопросам доступа и поддержки | п. 1 ч. 1 ст. 6 (согласие) | см. раздел 8 |
| Адрес электронной почты | логин, направление доступа, поддержка | п. 1 ч. 1 ст. 6 (согласие) | см. раздел 8 |
Логин (адрес электронной почты), отображаемое имя (Ф. И. О.), хэш пароля, роль, признак активности, дата создания, дата и время последнего входа, признак необходимости смены пароля, одноразовые ссылки для входа (в виде хэша). Цели: аутентификация, разграничение доступа, восстановление доступа, информационная безопасность. Основание: п. 5 ч. 1 ст. 6 Закона № 152-ФЗ (исполнение договора) и п. 1 ч. 1 ст. 6 (согласие).
Идентификатор пользователя, дата и время события, тип действия, краткое описание действия, идентификатор образовательной организации, а также IP‑адрес, с которого совершено действие. Цели: обеспечение безопасности ПДн, расследование инцидентов, разрешение спорных ситуаций, исполнение обязанностей по ст. 19 Закона № 152-ФЗ. Основание: п. 7 ч. 1 ст. 6 Закона № 152-ФЗ (законный интерес Оператора и образовательной организации) и требования ч. 3.1 ст. 21 Закона № 152-ФЗ. Срок хранения: [12] месяцев с даты события, после чего записи автоматически удаляются либо обезличиваются.
IP‑адрес, дата и время запроса, запрошенный URL, код ответа, User-Agent, идентификатор сессионного cookie‑файла. Хранятся в журналах веб‑сервера. Цели: обеспечение работоспособности и безопасности Сервиса, защита от атак и подбора паролей. Основание: п. 7 ч. 1 ст. 6 Закона № 152-ФЗ. Срок хранения журналов веб‑сервера: [30] дней. Подробнее об используемых cookie‑файлах — в документе «Уведомление об использовании cookie‑файлов» (https://edurasp.ru/docs/cookie).
Ф. И. О. педагогических работников, сведения об их учебной нагрузке, ограничениях по времени работы, закреплении за классами и кабинетами; наименования классов, количество обучающихся в классах (обезличенно), учебный план, расписание. Цель: составление, проверка и выгрузка расписания уроков и тарификации по заданию образовательной организации. Основание: ч. 3 ст. 6 Закона № 152-ФЗ (поручение оператора — образовательной организации).
Оператор не обрабатывает специальные категории ПДн (ст. 10 Закона № 152-ФЗ) и биометрические ПДн (ст. 11 Закона № 152-ФЗ).
Сервис не предназначен для использования лицами, не достигшими 18 лет, и не предполагает сбор их персональных данных.
6.1. Обработка ПДн осуществляется с использованием средств автоматизации, а также без их использования. Совершаемые действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
6.2. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки ПДн (ст. 16 Закона № 152-ФЗ).
6.3. Оператор не осуществляет трансграничную передачу персональных данных (ст. 12 Закона № 152-ФЗ).
7.1. В соответствии с ч. 5 ст. 18 Закона № 152-ФЗ запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации.
7.2. Серверные мощности Сервиса размещены у российского хостинг‑провайдера [ООО «Таймвэб» (Timeweb), ИНН ___], центр обработки данных — [г. Москва, Российская Федерация]. Резервные копии баз данных также хранятся на территории Российской Федерации.
8.1. ПДн обрабатываются не дольше, чем этого требуют цели обработки.
8.2. Сроки:
| Категория | Срок хранения |
|---|---|
| ПДн представителя школы, ПДн учётной записи | в течение срока действия договора и [1 год] после его прекращения (для разрешения возможных споров), если субъект не отозвал согласие ранее |
| Данные, внесённые школой (обработка по поручению) | до прекращения действия поручения; после прекращения — уничтожение в срок [30] дней, если школа не запросила возврат/выгрузку |
| Журнал действий пользователей | [12] месяцев |
| Журналы веб‑сервера (nginx) | [30] дней |
| Резервные копии | [14] дней с даты создания копии |
| Документы, подтверждающие получение согласия | [3 года] с даты прекращения обработки (срок исковой давности) |
8.3. При достижении цели обработки Оператор прекращает обработку и уничтожает ПДн в срок, не превышающий 30 дней с даты достижения цели (ч. 4 ст. 21 Закона № 152-ФЗ), если иное не предусмотрено договором или законом.
8.4. При отзыве субъектом согласия Оператор прекращает обработку и уничтожает ПДн в срок, не превышающий 30 дней с даты поступления отзыва (ч. 5 ст. 21 Закона № 152-ФЗ), за исключением случаев, когда обработка может продолжаться на ином правовом основании (например, для исполнения договора или соблюдения требований законодательства).
8.5. Уничтожение ПДн подтверждается актом об уничтожении и выгрузкой из журнала событий информационной системы в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.
8.6. При технической невозможности немедленного уничтожения ПДн из резервных копий Оператор осуществляет их блокирование и обеспечивает уничтожение в срок не более
6 месяцев (п. 4 Требований, утв. приказом Роскомнадзора от 28.10.2022 № 179).
9.1. Оператор не продаёт и не передаёт ПДн третьим лицам, за исключением случаев, указанных ниже.
9.2. Привлекаемые лица (обработка по поручению Оператора, ч. 3 ст. 6 Закона № 152-ФЗ):
| Лицо | Назначение | Данные | Место обработки |
|---|---|---|---|
| [ООО «Таймвэб» / иной хостинг‑провайдер], ИНН [___] | размещение серверов, хранение данных | все данные Сервиса | Российская Федерация |
| [Провайдер SMTP‑рассылки, наименование, ИНН] | доставка служебных писем | адрес электронной почты, Ф. И. О. | Российская Федерация |
| [ООО «___», ИНН ___] — платёжный агент | приём оплаты, документооборот | Ф. И. О., e‑mail, реквизиты школы | Российская Федерация |
9.3. ПДн могут быть предоставлены органам государственной власти в случаях и в порядке, предусмотренных законодательством Российской Федерации.
9.4. Оператор не осуществляет распространение ПДн (ст. 10.1 Закона № 152-ФЗ) и не размещает ПДн в открытом доступе.
10.1. Субъект ПДн вправе (ст. 14 Закона № 152-ФЗ):
неточные, незаконно полученные или не являются необходимыми для заявленной цели;
10.2. Порядок обращения. Запрос направляется:
(кнопки «Выгрузить мои данные», «Отозвать согласие», «Удалить аккаунт»);
и предпочтительный канал взаимодействия с Оператором;
осуществляющих обработку персональных данных (https://pd.rkn.gov.ru/operators-registry/operators-list/, реестровая запись № [___]).
Обращение, направленное по электронной почте, рассматривается в те же сроки, что и письменное.
10.3. Запрос должен содержать: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с Оператором (например, адрес электронной почты учётной записи), подпись субъекта или его представителя (ч. 3 ст. 14 Закона № 152-ФЗ). Для запросов из личного кабинета личность считается подтверждённой аутентификацией.
10.4. Сроки ответа Оператора:
(срок может быть продлён, но не более чем на 5 рабочих дней, с уведомлением субъекта);
подтверждающих неточность;
10.5. Отзыв согласия на обработку ПДн, необходимых для предоставления доступа к Сервису, влечёт прекращение предоставления доступа (блокирование и последующее удаление учётной записи).
11.1. Правовые и организационные меры (ст. 18.1 Закона № 152-ФЗ):
от 27.10.2022 № 178);
11.2. Технические меры (ст. 19 Закона № 152-ФЗ):
с HTTP на HTTPS;
в открытом виде не хранятся;
12.1. В случае неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлёкшей нарушение прав субъектов, Оператор:
причинах, предполагаемом вреде, принятых мерах и о лице, уполномоченном на взаимодействие (п. 1 ч. 3.1 ст. 21 Закона № 152-ФЗ);
и о лицах, действия которых стали причиной инцидента (п. 2 ч. 3.1 ст. 21 Закона № 152-ФЗ);
обрабатываемые по её поручению.
13.1. Актуальная редакция Политики постоянно доступна по адресу https://edurasp.ru/privacy (и в разделе «Документы» подвала сайта).
13.2. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента опубликования, если иное не указано в самой редакции. Оператор уведомляет пользователей о существенных изменениях по адресу электронной почты и/или уведомлением в личном кабинете не менее чем за [10] дней до вступления изменений в силу.
13.3. Архив предыдущих редакций Политики размещается по адресу https://edurasp.ru/docs/privacy/archive.
13.4. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.
Контакт по вопросам обработки персональных данных: educheck@artyom-mitrofanov.ru.
Надзорный орган: Роскомнадзор, https://rkn.gov.ru, https://pd.rkn.gov.ru.