Сервис: «EDU Расписание», https://edurasp.ru
Редакция: 1.0 от [ДД.ММ.ГГГГ]
Опубликовано: https://edurasp.ru/docs/dpa
1.1. Оператор персональных данных — образовательная организация, акцептовавшая Договор-оферту (далее — Школа).
1.2. Лицо, осуществляющее обработку персональных данных по поручению оператора («Обработчик») — Митрофанов Артём Андреевич, физическое лицо — налогоплательщик налога на профессиональный доход (самозанятый), ИНН 701755094100, e‑mail: educheck@artyom-mitrofanov.ru, номер в реестре операторов, осуществляющих обработку персональных данных: [___] (адрес Обработчика содержится в указанном реестре).
1.3. Школа поручает, а Обработчик принимает на себя обязательство осуществлять обработку персональных данных работников Школы на условиях настоящего Поручения (ч. 3 ст. 6 Закона № 152-ФЗ).
1.4. Поручение выдаётся с согласия субъектов персональных данных либо на ином законном основании, наличие которого обеспечивает Школа.
1.5. Ответственность перед субъектом персональных данных за действия Обработчика несёт Школа (ч. 5 ст. 6 Закона № 152-ФЗ). Обработчик несёт ответственность перед Школой в соответствии с настоящим Поручением и Договором-офертой.
2.1. Категории субъектов: педагогические работники и иные работники Школы, сведения о которых вносятся в Сервис; руководитель Школы.
2.2. Перечень обрабатываемых персональных данных:
2.3. Персональные данные обучающихся Сервисом не обрабатываются. Сведения об учениках вносятся исключительно в обезличенном виде (наименование класса, количество обучающихся). Внесение Ф. И. О. и иных идентифицирующих сведений об обучающихся Договором запрещено.
2.4. Обработчик не обрабатывает по настоящему Поручению специальные категории персональных данных (ст. 10 Закона № 152-ФЗ) и биометрические персональные данные (ст. 11 Закона № 152-ФЗ). Школа обязуется не вносить такие данные в Сервис.
Обработка осуществляется исключительно в следующих целях:
пользователей Школы;
Обработка в любых иных целях, в том числе в собственных целях Обработчика, маркетинговых целях, для обучения моделей машинного обучения на неагрегированных данных, не допускается.
Обработчик вправе совершать следующие действия: сбор (получение от Школы), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление доступа уполномоченным пользователям Школы), блокирование, удаление, уничтожение, резервное копирование и восстановление из резервных копий, обезличивание.
Распространение персональных данных, передача третьим лицам (кроме указанных в разделе 7) и трансграничная передача не осуществляются.
5.1. Обрабатывать персональные данные только в объёме, целях и способами, указанными в настоящем Поручении, и только по указанию Школы.
5.2. Соблюдать конфиденциальность персональных данных: не раскрывать и не распространять их третьим лицам без согласия Школы, если иное не предусмотрено федеральным законом (ст. 7, ч. 3 ст. 6 Закона № 152-ФЗ).
5.3. Обеспечивать безопасность персональных данных при их обработке, соблюдая требования ст. 19 Закона № 152-ФЗ, Постановления Правительства РФ от 01.11.2012 № 1119 и приказа ФСТЭК России от 18.02.2013 № 21, в том числе:
ему набор мер;
Закона № 152-ФЗ);
на территории Российской Федерации не менее [14] дней;
5.4. Обеспечить, чтобы лица, допущенные к обработке персональных данных, были ознакомлены с требованиями законодательства и приняли обязательство о неразглашении.
5.5. По запросу Школы в срок не более [10] рабочих дней предоставлять сведения и документы, подтверждающие соблюдение требований настоящего Поручения (перечень принимаемых мер, сведения о лицах, допущенных к обработке, о привлечённых лицах, акты об уничтожении).
5.6. Уведомлять Школу об инцидентах. При выявлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, обрабатываемых по настоящему Поручению, Обработчик уведомляет Школу не позднее 12 часов с момента выявления, чтобы Школа могла исполнить обязанность уведомить Роскомнадзор в течение 24 часов (п. 1 ч. 3.1 ст. 21 Закона № 152-ФЗ), и не позднее 48 часов передаёт результаты внутреннего расследования (для исполнения Школой п. 2 ч. 3.1 ст. 21). Уведомление направляется на адрес электронной почты, указанный Школой при регистрации, и дублируется уведомлением в Личном кабинете.
5.7. Содействовать Школе в реализации прав субъектов персональных данных: по запросу Школы в срок не более [5] рабочих дней предоставлять сведения об обрабатываемых данных конкретного субъекта, вносить уточнения, осуществлять блокирование или уничтожение данных.
5.8. Не обязан самостоятельно получать согласие субъектов персональных данных (ч. 4 ст. 6 Закона № 152-ФЗ) — эта обязанность лежит на Школе.
5.9. По окончании обработки — уничтожить персональные данные в порядке раздела 8.
5.10. Не передавать персональные данные третьим лицам, кроме привлечённых лиц, перечисленных в разделе 7, и государственных органов в случаях, установленных законом.
6.1. Школа гарантирует наличие законного основания для обработки персональных данных работников и для передачи их Обработчику, в том числе соблюдение ст. 86–88 Трудового кодекса РФ.
6.2. Школа обязуется:
персональные данные;
данных;
пользователей;
6.3. Школа как оператор самостоятельно рассматривает обращения субъектов персональных данных, уведомляет Роскомнадзор об инцидентах в порядке ч. 3.1 ст. 21 Закона № 152-ФЗ и несёт ответственность перед субъектами (ч. 5 ст. 6 Закона № 152-ФЗ).
7.1. Обработчик вправе привлекать к обработке следующих лиц (с сохранением требований настоящего Поручения):
| Лицо | Роль | Обрабатываемые данные | Место |
|---|---|---|---|
| [ООО «Таймвэб», ИНН ___] | хостинг, размещение серверов и резервных копий | все данные Школы в Сервисе | Российская Федерация, [г. Москва] |
| [Провайдер SMTP, ИНН ___] | доставка служебных писем | Ф. И. О., e‑mail пользователей Школы | Российская Федерация |
7.2. Обработчик уведомляет Школу об изменении перечня привлечённых лиц путём публикации новой редакции настоящего Поручения и уведомления в Личном кабинете не менее чем за [10] календарных дней. Школа вправе в течение этого срока заявить мотивированное возражение; при недостижении согласия Школа вправе расторгнуть Договор без применения санкций.
7.3. За действия привлечённых лиц перед Школой отвечает Обработчик.
8.1. Поручение действует с момента акцепта Договора-оферты и до его прекращения.
8.2. В течение [30] календарных дней после прекращения Договора Школа вправе выгрузить свои данные средствами Сервиса. По истечении этого срока Обработчик уничтожает персональные данные.
8.3. По письменному указанию Школы Обработчик уничтожает персональные данные досрочно — в срок не более [10] рабочих дней с даты получения указания.
8.4. Уничтожение подтверждается актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий информационной системы в соответствии с Требованиями, утверждёнными приказом Роскомнадзора от 28.10.2022 № 179. Акт направляется Школе в течение [5] рабочих дней с даты уничтожения.
8.5. Данные в резервных копиях уничтожаются по мере ротации копий, но не позднее
[6] месяцев с даты уничтожения основных данных; до этого момента они блокируются и не используются.
9.1. За нарушение требований настоящего Поручения Обработчик возмещает Школе документально подтверждённые убытки, включая суммы административных штрафов, наложенных на Школу вследствие виновных действий (бездействия) Обработчика.
9.2. Обработчик не отвечает за последствия внесения Школой в Сервис данных без законного основания, избыточных данных либо данных, запрещённых п. 2.3–2.4.
9.3. Ограничение ответственности Обработчика, установленное Договором-офертой, не применяется к нарушениям требований о конфиденциальности и безопасности персональных данных, совершённым умышленно или по грубой неосторожности.
10.1. В части, не урегулированной настоящим Поручением, применяются положения Договора-оферты и законодательства Российской Федерации.
10.2. Актуальная редакция Поручения размещается по адресу https://edurasp.ru/docs/dpa. Архив редакций — https://edurasp.ru/docs/dpa/archive.
СОГЛАШЕНИЕ О ПОРУЧЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ № ____
г. ____________ «___» __________ 20__ г.
_______________________________________________ (полное наименование образовательной
организации), ИНН ______________, в лице ________________________, действующего
на основании ______________, именуемое в дальнейшем «Оператор», с одной стороны, и
_______________________________________________, ИНН ______________, именуемый
в дальнейшем «Обработчик», с другой стороны, заключили настоящее Соглашение
о нижеследующем:
1. Оператор поручает Обработчику обработку персональных данных на условиях, размещённых
по адресу https://edurasp.ru/docs/dpa (редакция ___ от __.__.____), которые являются
неотъемлемой частью настоящего Соглашения и прилагаются к нему на ___ листах.
2. Настоящее Соглашение является приложением к Договору-оферте, акцептованному
Оператором «___» __________ 20__ г.
3. Соглашение вступает в силу с даты подписания и действует в течение срока действия
Договора.
Оператор: ________________ / ________________ / М. П.
Обработчик: ______________ / ________________ /