Политика в отношении обработки персональных данных

1. Общие положения

Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон») и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Оператором.

Политика применяется ко всем персональным данным, которые Оператор получает через сайт uni100.ru (далее — «Сайт») и личный кабинет на Сайте (далее — «Личный кабинет»), а также при оказании образовательных услуг: о посетителях Сайта, обучающихся, их родителях (законных представителях) и работниках Оператора.

Политика описывает, как Оператор обращается с персональными данными, и не заменяет согласие на их обработку. Согласие даётся отдельно — при отправке заявки на Сайте и при регистрации в Личном кабинете, отметкой в соответствующем поле формы.

2. Сведения об Операторе

3. Основные понятия

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу (субъекту персональных данных).
• Оператор — лицо, указанное в разделе 2, самостоятельно организующее и осуществляющее обработку персональных данных, а также определяющее цели обработки, состав данных и действия с ними.
• Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Субъект персональных данных — физическое лицо, к которому относятся персональные данные: посетитель Сайта, обучающийся, родитель (законный представитель) обучающегося, работник Оператора.
• Личный кабинет — раздел Сайта с доступом по номеру телефона и паролю, в котором родители, обучающиеся и преподаватели видят расписание, посещаемость, домашние задания, сведения об оплате и ведут переписку.
• Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются материальные носители.

4. Категории субъектов и обрабатываемых персональных данных

1. Посетители Сайта, оставившие заявку: имя (так, как оно указано в заявке), номер контактного телефона, класс обучения, интересующие учебные предметы; дата, время и IP-адрес отправки заявки — только как подтверждение факта согласия.
2. Родители (законные представители) обучающихся: фамилия, имя, отчество; номер телефона (в том числе используемый для входа в Личный кабинет), дополнительный номер телефона второго родителя; сведения о предпочтительном способе связи и используемых мессенджерах; пароль от Личного кабинета — только в виде необратимого криптографического хеша, исходный пароль Оператору неизвестен; переписка в Личном кабинете и приложенные к ней файлы; сведения о начислениях и оплатах; дата, время и IP-адрес при регистрации в Личном кабинете — как подтверждение согласия.
3. Обучающиеся: фамилия, имя; класс и наименование образовательной организации (школы); номер телефона и имя пользователя в мессенджере, если они сообщены; изучаемые предметы и учебные группы; дата начала занятий и номер договора; расписание занятий; сведения о посещаемости, в том числе о причинах пропусков (без указания диагнозов и иных сведений о здоровье); сведения о выполнении домашних заданий и сданные в Личный кабинет работы (тексты, файлы, изображения); переписка в Личном кабинете.
4. Работники Оператора и лица, привлекаемые по гражданско-правовым договорам (преподаватели): фамилия, имя, номер телефона, учётная запись в Личном кабинете, сведения о проведённых занятиях, а также иные данные — в объёме, необходимом для исполнения требований трудового и налогового законодательства.

Оператор не обрабатывает специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, судимости) и биометрические персональные данные.

Персональные данные обучающихся, не достигших 18 лет, обрабатываются с согласия их родителей (законных представителей). Согласие на обработку данных ребёнка даёт родитель — при регистрации в Личном кабинете или при заключении договора.

5. Цели обработки персональных данных

• обработка заявки, оставленной на Сайте, и обратная связь, включая телефонный звонок для записи на вводное занятие;
• заключение и исполнение договора об оказании образовательных услуг;
• организация учебного процесса: формирование групп и расписания, учёт посещаемости и выполнения домашних заданий;
• предоставление доступа к Личному кабинету и информирование родителей и обучающихся о расписании, посещаемости, домашних заданиях и оплатах;
• связь между преподавателями, обучающимися и родителями через сообщения в Личном кабинете;
• начисление платы за занятия и учёт расчётов, расчёт оплаты труда преподавателей;
• сбор обезличенной статистики посещаемости Сайта для улучшения его работы;
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации.

6. Правовые основания обработки

• согласие субъекта персональных данных или его законного представителя (п. 1 ч. 1 ст. 6 и ст. 9 Закона);
• исполнение договора, стороной которого либо выгодоприобретателем по которому является субъект персональных данных, а также заключение такого договора по инициативе субъекта (п. 5 ч. 1 ст. 6 Закона);
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (п. 2 ч. 1 ст. 6 Закона), в том числе Гражданским кодексом Российской Федерации, Налоговым кодексом Российской Федерации и Федеральным законом от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации».

7. Порядок и условия обработки

Обработка осуществляется как с использованием средств автоматизации, так и без их использования, способами: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача в случаях, указанных в разделе 8, блокирование, удаление, уничтожение.

Информационная система Оператора (Сайт, Личный кабинет и база данных) размещена на сервере, расположенном на территории Российской Федерации. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона).

Доступ к данным в Личном кабинете разграничен по ролям:

• родитель видит сведения только о своих детях: расписание, посещаемость, домашние задания, начисления и оплаты;
• обучающийся видит своё расписание, посещаемость, домашние задания и чаты своих учебных групп;
• преподаватели работают с данными обучающихся и родителей в объёме, необходимом для ведения занятий и связи с семьями; чат учебной группы доступен только её участникам и её преподавателю;
• сведения о расчётах, управление учётными записями и заявками с Сайта доступны только преподавателям, которым Оператор предоставил права администратора.

Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных.

8. Передача персональных данных

Оператор не продаёт персональные данные и не передаёт их третьим лицам в маркетинговых целях. Персональные данные становятся доступны следующим лицам — только в указанном объёме:

• поставщику услуг хостинга — в силу размещения информационной системы на его сервере на территории Российской Федерации; поставщик не использует данные в собственных целях;
• ООО «ЯНДЕКС» (сервис Яндекс.Метрика) — данные о посещении Сайта, только если Пользователь разрешил аналитические файлы cookie (см. раздел 12);
• государственным органам — по основаниям и в порядке, установленным законодательством Российской Федерации.

Уведомления Оператору о новых заявках по электронной почте не содержат персональных данных заявителя: в письме сообщается только о факте поступления заявки, а сами данные доступны лишь в Личном кабинете.

Трансграничная передача персональных данных (на территорию иностранных государств) Оператором не осуществляется.

При открытии страниц Сайта браузер Пользователя загружает файлы шрифтов с сервиса Google Fonts. При этом браузер, как и при обращении к любому сайту, сообщает сервису технические данные о запросе (IP-адрес, сведения о браузере). Оператор этих данных не получает, не передаёт сервису никаких иных сведений и не использует их для идентификации Пользователя.

9. Сроки обработки и хранения

Персональные данные обрабатываются до достижения целей обработки либо до отзыва согласия, если иное не предусмотрено договором или законом.

• данные из заявок, не завершившихся заключением договора, — не более 1 (одного) года с момента поступления заявки;
• данные обучающихся и их родителей (законных представителей), в том числе учётные записи Личного кабинета, — в течение срока обучения и 3 (трёх) лет после его окончания, если более длительный срок не установлен законодательством;
• сведения о подтверждении согласия (дата, время, IP-адрес) — в течение срока обработки данных, к которым относится согласие, и 3 (трёх) лет после его окончания, как доказательство законности обработки;
• данные, срок хранения которых установлен законодательством (бухгалтерские и налоговые документы), — в течение установленного срока.

По достижении целей обработки, по истечении сроков хранения или при отзыве согласия персональные данные уничтожаются либо обезличиваются, если основания для их дальнейшего хранения не предусмотрены законом.

10. Права субъекта персональных данных

Субъект персональных данных (а за несовершеннолетнего обучающегося — его родитель, законный представитель) имеет право:

• получать информацию об обработке своих персональных данных, в том числе о правовых основаниях, целях, способах и сроках обработки и о лицах, которым данные могут быть предоставлены;
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных и потребовать удаления учётной записи в Личном кабинете;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

Для реализации своих прав субъект направляет Оператору запрос на адрес электронной почты или почтовый адрес, указанные в разделе 2, либо лично в учебном центре. Запрос должен содержать сведения, позволяющие идентифицировать субъекта (фамилию, имя, номер телефона, указанный при обращении или регистрации), и подпись субъекта или его представителя.

Оператор отвечает на запрос в срок не более 10 (десяти) рабочих дней с момента его получения; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления. При отзыве согласия Оператор прекращает обработку и уничтожает персональные данные в срок не более 30 (тридцати) дней, если иное не предусмотрено законом или договором.

Отзыв согласия не лишает Оператора права продолжить обработку данных, если она необходима для исполнения договора или требований законодательства (п. 2–11 ч. 1 ст. 6 Закона), а также не влияет на законность обработки, проведённой до отзыва.

11. Меры по обеспечению безопасности

Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, в том числе:

• назначение лица, ответственного за организацию обработки персональных данных;
• разграничение прав доступа по ролям в Личном кабинете (раздел 7);
• использование защищённого соединения (протокол HTTPS) при передаче данных между Сайтом и пользователем;
• хранение паролей исключительно в виде необратимых криптографических хешей;
• ограничение частоты обращений к формам Сайта и попыток входа для противодействия подбору паролей и автоматизированному сбору данных;
• одноразовые и ограниченные по сроку ссылки-приглашения для регистрации родителей в Личном кабинете;
• резервное копирование базы данных и контроль её сохранности;
• ознакомление работников с законодательством о персональных данных и настоящей Политикой.

12. Файлы cookie, хранилище браузера и веб-аналитика

Для работы Личного кабинета в хранилище браузера пользователя сохраняется ключ авторизованной сессии — он нужен, чтобы не вводить пароль при каждом переходе по страницам, и удаляется при выходе из Личного кабинета.

Для сбора обезличенной статистики посещаемости Сайта используется сервис Яндекс.Метрика (ООО «ЯНДЕКС»). Сервис получает сведения о посещённых страницах, источнике перехода, времени визита, типе устройства и браузера, а также IP-адрес. Аналитические файлы cookie устанавливаются только после согласия Пользователя, выраженного нажатием кнопки «Принять» в информационном баннере.

Пользователь вправе отказаться от аналитических cookie, нажав «Отклонить» в баннере, а также удалить или запретить сохранение файлов cookie в настройках браузера. Отказ не влияет на доступность основных функций Сайта.

Условия обработки данных сервисом Яндекс.Метрика: yandex.ru/legal/confidential.

13. Заключительные положения

Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её публикации на Сайте, если иное не предусмотрено новой редакцией.

Действующая редакция Политики постоянно доступна по адресу uni100.ru/site/privacy.html. Тексты согласий на обработку персональных данных: для заявки — uni100.ru/site/consent.html, для Личного кабинета — uni100.ru/site/consent-lk.html.

Вопросы по настоящей Политике можно направить по контактам, указанным в разделе 2.