Политика обработки персональных данных

1. Оператор персональных данных

Оператором персональных данных (далее — «Оператор») является:

Оператор включён в Реестр операторов, осуществляющих обработку персональных данных, под регистрационным номером 100257704. Проверить: pd.rkn.gov.ru.

2. Общие положения

Настоящая Политика разработана в соответствии с:

• Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Приказом Роскомнадзора от 05.09.2013 № 996 «Об утверждении требований и методов по обезличиванию персональных данных»;
• Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральным законом от 27.11.2018 № 422-ФЗ «О проведении эксперимента по установлению специального налогового режима „Налог на профессиональный доход“».

Сайт alibekov-lectorium.ru оказывает информационно-консультационные услуги в сфере подготовки к государственной итоговой аттестации (ОГЭ и ЕГЭ) по истории, а также репетиторские услуги для обучающихся 5–11 классов. Деятельность осуществляется в статусе самозанятого и не подлежит лицензированию согласно ч. 2 ст. 91 Федерального закона № 273-ФЗ «Об образовании в Российской Федерации».

Политика применяется ко всем процессам обработки персональных данных, осуществляемым Оператором, и является публичным документом. Актуальная редакция размещена по адресу alibekov-lectorium.ru/privacy/.

3. Основные термины

• Персональные данные (ПД) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
• Субъект ПД — физическое лицо, чьи персональные данные обрабатываются.
• Обработка ПД — любое действие с персональными данными, включая сбор, запись, хранение, использование, передачу и уничтожение.
• Согласие — конкретное, информированное и сознательное волеизъявление субъекта на обработку его ПД.
• Обработчик — лицо, обрабатывающее ПД по поручению Оператора.
• Законный представитель — родитель, усыновитель, опекун или попечитель несовершеннолетнего субъекта ПД.

4. Категории субъектов персональных данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

• Клиенты — лица, оставившие заявку через форму обратной связи или обратившиеся через иные каналы связи.
• Учащиеся — лица, с которыми достигнута договорённость о проведении занятий (совершеннолетние и несовершеннолетние).
• Законные представители учащихся — родители или опекуны несовершеннолетних учащихся.
• Пользователи сайта — посетители сайта, не оставляющие заявку (в части данных, собираемых сервисами веб-аналитики).

5. Состав обрабатываемых персональных данных

В зависимости от категории субъекта Оператор обрабатывает следующие категории ПД:

5.1. Клиенты и учащиеся

• Фамилия, имя, отчество
• Дата рождения и/или возраст
• Номер мобильного телефона
• Адрес электронной почты
• Идентификатор в мессенджерах (Telegram @username, VK, Ватсап, Макс и аналогичные)
• Класс обучения или ступень образования
• Название образовательного учреждения (при добровольном указании)

5.2. Данные, связанные с учебным процессом

• Результаты выполнения тестов и контрольных заданий
• Учебные работы, загружаемые учащимся (файлы PDF и иные форматы)
• Оценочные комментарии и рекомендации преподавателя
• История занятий и участия в учебном процессе

5.3. Финансовые данные

• Факт оплаты и сумма оказанных услуг
• Номер чека самозанятого (для целей исполнения требований 422-ФЗ)

Оператор не хранит реквизиты платёжных карт, номера банковских счетов и иные реквизиты, позволяющие совершать операции от имени субъекта.

5.4. Технические данные (автоматический сбор)

• IP-адрес
• Идентификаторы сессии и файлы cookie
• Тип и версия браузера, операционной системы (User-Agent)
• Данные о действиях на сайте (просмотренные страницы, клики, скролл, время посещения)
• Источник перехода на сайт (Referrer) и страница, с которой отправлена заявка
• UTM-метки рекламной кампании (utm_source, utm_medium, utm_campaign, utm_content, utm_term) — если переход совершён по рекламной ссылке

Оператор не обрабатывает специальные категории персональных данных (расовая и национальная принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, сведения о судимости) и биометрические персональные данные.

6. Цели обработки персональных данных

• Оказание информационно-консультационных услуг в сфере подготовки к ОГЭ/ЕГЭ и школьной программе
• Связь с клиентами и учащимися по вопросам проведения занятий
• Заключение и исполнение договорных обязательств
• Ведение учёта успеваемости учащихся и хранение результатов выполненных работ
• Формирование индивидуальной траектории обучения
• Направление уведомлений о занятиях, учебных материалах и изменениях в расписании
• Обеспечение работоспособности сайта и личных кабинетов учащихся
• Сбор обезличенной статистики посещаемости для улучшения сайта
• Защита прав Оператора в случае возникновения споров
• Исполнение требований налогового законодательства Российской Федерации (422-ФЗ)

7. Правовые основания обработки

• Согласие субъекта персональных данных (ст. 6 ч. 1 п. 1 152-ФЗ)
• Согласие законного представителя несовершеннолетнего субъекта (ст. 9 ч. 6 152-ФЗ)
• Исполнение договора, стороной которого является субъект (ст. 6 ч. 1 п. 5 152-ФЗ)
• Исполнение обязанностей, возложенных на Оператора законодательством РФ (ст. 6 ч. 1 п. 2 152-ФЗ) — для целей налоговой отчётности по 422-ФЗ

8. Способы и условия обработки персональных данных

Обработка персональных данных осуществляется Оператором смешанным способом — с использованием средств автоматизации (информационные системы Оператора, база данных сайта) и без их использования (при ведении записей вручную в ходе занятий).

Оператор осуществляет следующие действия с персональными данными:

• Сбор
• Запись
• Систематизация
• Накопление
• Хранение
• Уточнение (обновление, изменение)
• Извлечение
• Использование
• Передача (предоставление, доступ)
• Обезличивание
• Блокирование
• Удаление
• Уничтожение

Оператор не осуществляет принятие решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, исключительно на основе автоматизированной обработки персональных данных.

9. Порядок получения согласия

Согласие на обработку персональных данных предоставляется субъектом путём проставления отметки в чекбоксе «Согласен с Политикой обработки персональных данных» в форме обратной связи на сайте. Проставление отметки означает, что субъект ознакомлен с настоящей Политикой в полном объёме и даёт согласие на обработку персональных данных на условиях, изложенных в ней.

Согласие считается конкретным, информированным и сознательным в соответствии с требованиями ст. 9 ч. 4 152-ФЗ. Предмет согласия детализирован в настоящей Политике:

• Оператор — Алибеков А. Г., самозанятый, ИНН 503236877842 (раздел 1)
• Состав обрабатываемых данных — раздел 5
• Цели обработки — раздел 6
• Срок обработки — раздел 13
• Порядок отзыва согласия — раздел 17

В случае, если субъекту персональных данных менее 18 лет, согласие на обработку его ПД предоставляет законный представитель (родитель, опекун). Заполняя форму от имени несовершеннолетнего, законный представитель подтверждает наличие у него соответствующих полномочий. Ответственность за достоверность сведений о возрасте субъекта и наличии полномочий у лица, заполнившего форму, несёт лицо, заполнившее форму.

Согласие считается данным на срок, необходимый для достижения целей обработки, и до момента его отзыва субъектом или законным представителем.

10. Обработка персональных данных несовершеннолетних

Оператор осознаёт, что основная целевая аудитория сайта — учащиеся 5–11 классов, в том числе не достигшие возраста 18 лет. В отношении обработки персональных данных несовершеннолетних Оператор руководствуется ст. 28 Гражданского кодекса РФ и ст. 9 Федерального закона № 152-ФЗ.

• Обработка ПД детей до 14 лет осуществляется исключительно с согласия их законного представителя.
• Обработка ПД несовершеннолетних от 14 до 18 лет — с согласия самого субъекта и (в случае заключения договора возмездного оказания услуг) законного представителя.
• Оператор не направляет несовершеннолетним рекламные и маркетинговые материалы без согласия законного представителя.
• При обнаружении факта обработки ПД несовершеннолетнего без соответствующего согласия Оператор незамедлительно прекращает такую обработку и удаляет данные.

11. Передача персональных данных третьим лицам

Оператор не передаёт персональные данные субъектов третьим лицам, за исключением случаев, предусмотренных законодательством РФ, или при наличии отдельного согласия субъекта.

Для выполнения отдельных функций Оператор привлекает следующих обработчиков, действующих на основании поручений и соглашений в соответствии со ст. 6 ч. 3 152-ФЗ:

Политика конфиденциальности Яндекса: yandex.ru/legal/confidential/.

12. Хранение и локализация персональных данных

В соответствии с требованиями ч. 5 ст. 18 Федерального закона № 152-ФЗ все персональные данные граждан Российской Федерации обрабатываются и хранятся исключительно на территории Российской Федерации с использованием баз данных, находящихся на территории РФ.

13. Сроки хранения и порядок уничтожения данных

Персональные данные хранятся в течение следующих сроков:

По истечении срока хранения или по обоснованному требованию субъекта персональные данные уничтожаются путём безвозвратного удаления из информационных систем Оператора. Уничтожение производится в течение 30 дней с момента возникновения основания.

• Отзыв согласия субъектом — уничтожение в течение 30 дней
• Достижение цели обработки — уничтожение в течение 30 дней
• Истечение установленного срока хранения — уничтожение в плановом порядке
• Прекращение деятельности Оператора — уничтожение всех данных

14. Использование файлов cookie

Сайт использует файлы cookie и аналогичные технологии для обеспечения работы сайта и сбора обезличенной статистики. Файлы cookie делятся на следующие категории:

• Технические cookie (обязательные) — необходимы для работы сайта (сессии, безопасность CSRF, согласие на cookie). Не могут быть отключены без потери функциональности.
• Аналитические cookie — устанавливаются сервисом Яндекс Метрика после получения согласия пользователя. Срок жизни — до 25 месяцев.

При первом посещении сайта пользователю предоставляется информация об использовании cookie с возможностью принять или отклонить использование аналитических cookie. При отклонении сервис «Яндекс Метрика» не подключается, сайт продолжает работать в полном объёме. Дополнительно ограничить cookie можно в настройках браузера; при этом часть функциональности сайта может быть ограничена.

15. Меры по обеспечению безопасности персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий:

• Использование протокола HTTPS с TLS-шифрованием (SSL-сертификат Let's Encrypt)
• Политика безопасности контента (Content Security Policy)
• Ограничение частоты запросов к уязвимым эндпоинтам (rate limiting)
• Разграничение прав доступа к административной панели сайта
• Регулярное резервное копирование базы данных
• Встроенные средства защиты веб-фреймворка Django (защита от CSRF, SQL-инъекций, XSS)
• Хранение базы данных в защищённой области файловой системы сервера
• Лицензионное антивирусное ПО на рабочем месте Оператора
• Соблюдение требований Постановления Правительства РФ от 01.11.2012 № 1119
• Ограничение круга лиц, имеющих доступ к персональным данным
• Назначение ответственного за организацию обработки персональных данных
• Разработка и поддержание в актуальном состоянии настоящей Политики и иных внутренних документов

16. Права субъектов персональных данных

В соответствии с главой 3 Федерального закона № 152-ФЗ субъект персональных данных вправе:

• Получить информацию об обработке его персональных данных
• Требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными или незаконно полученными
• Отозвать согласие на обработку персональных данных в любой момент
• Обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке (ст. 17 152-ФЗ)
• Получать иные права, предусмотренные законодательством РФ о персональных данных

Запрос субъекта рассматривается Оператором в течение 30 дней с момента его получения. Ответ направляется по указанному в запросе адресу.

17. Порядок отзыва согласия на обработку

Субъект персональных данных (или его законный представитель) вправе в любой момент отозвать данное им согласие на обработку персональных данных. Для отзыва согласия достаточно направить Оператору письменное уведомление на электронную почту, указанную в разделе 1 настоящей Политики.

В уведомлении должны быть указаны: фамилия, имя, отчество субъекта; контактные данные для связи; факт отзыва согласия; дата. С момента получения отзыва Оператор прекращает обработку персональных данных субъекта, за исключением случаев, когда дальнейшая обработка необходима в соответствии с законодательством РФ. Почтовый адрес Оператора для направления официальной корреспонденции предоставляется отдельно по запросу.

18. Уведомление об инцидентах с персональными данными

В случае выявления инцидента, связанного с неправомерной или случайной передачей, уничтожением, изменением, блокированием, копированием, предоставлением, распространением персональных данных, Оператор в порядке, установленном ст. 21 152-ФЗ:

• В течение 24 часов уведомляет Роскомнадзор о факте инцидента
• В течение 72 часов направляет Роскомнадзору отчёт о результатах внутреннего расследования
• Уведомляет субъектов персональных данных, чьи данные были затронуты инцидентом

19. Контакты Оператора

По всем вопросам обработки персональных данных, а также для реализации прав субъекта обращайтесь:

20. Изменения Политики

Оператор вправе вносить изменения в настоящую Политику. Актуальная версия документа всегда доступна по адресу alibekov-lectorium.ru/privacy/. О существенных изменениях Оператор уведомляет путём публикации новой редакции на сайте не позднее чем за 10 дней до вступления изменений в силу.