Политика в отношении обработки персональных данных

Настоящая Политика в отношении обработки персональных данных (далее — «Политика») определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Нуждина Анастасия Андреевна (самозанятая, ИНН 745504693277; далее — «Оператор»).

Политика составлена во исполнение требования п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и опубликована в свободном доступе по адресу https://solfedgio-time.ru/privacy.

Политика распространяется на все персональные данные, которые Оператор получает через сайт https://solfedgio-time.ru (далее — «Сайт»), через личный кабинет ученика, при переписке и телефонных разговорах, а также в ходе проведения занятий — независимо от того, используются при этом средства автоматизации или нет.

Оператор не является индивидуальным предпринимателем или организацией: занятия проводит физическое лицо, применяющее специальный налоговый режим «налог на профессиональный доход (НПД), Федеральный закон № 422-ФЗ от 27.11.2018». Функции ответственного за организацию обработки персональных данных Оператор осуществляет лично.

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (ст. 3 152-ФЗ).
• Субъект — человек, к которому относятся персональные данные: посетитель Сайта, ученик, его законный представитель.
• Обработка — любое действие с персональными данными: сбор, запись, хранение, уточнение, использование, передача, удаление.
• Законный представитель — родитель, опекун или иной представитель несовершеннолетнего, действующий от его имени.

Оператор обрабатывает данные четырёх категорий людей и только в том объёме, который указан ниже.

3.1. Посетители Сайта, оставившие заявку

• имя (или то, как человек себя назвал);
• номер телефона;
• для кого занятие — для ребёнка или для взрослого;
• интересующее направление занятий и удобный день или время;
• дата, время и IP-адрес, с которого дано согласие на обработку данных — Оператор фиксирует их, чтобы иметь возможность подтвердить факт получения согласия.

3.2. Ученики и их законные представители (после начала занятий)

• фамилия, имя, отчество ученика; дата рождения; пол (если указан);
• фамилия, имя и телефон законного представителя, связь «ребёнок — представитель»;
• номера телефонов, адрес электронной почты, имя пользователя в мессенджере;
• город, при очных занятиях — адрес или удобная локация;
• имя и телефон человека для экстренной связи;
• учебные сведения: направление и группа, расписание, посещаемость, домашние задания и присланные к ним файлы, аудио- и видеозаписи выполненных упражнений, комментарии преподавателя, прогресс по курсам;
• сведения о расчётах: оплаченные абонементы и занятия, суммы, даты и способ платежа, остаток на балансе, применённая скидка.

3.3. Пользователи личного кабинета

• логин и адрес электронной почты, пароль — только в виде необратимого хеша;
• журнал входов: дата и время, IP-адрес, тип устройства и браузера, результат входа — это необходимо для защиты кабинета от подбора пароля.

3.4. Особые случаи

Сведения о состоянии здоровья (противопоказания, аллергии, перенесённые травмы) относятся к специальным категориям персональных данных (ст. 10 152-ФЗ). Оператор не запрашивает их по умолчанию и не собирает медицинские документы. Такие сведения обрабатываются только если законный представитель или взрослый ученик сообщил их сам и дал на это отдельное письменное согласие, и только с одной целью — безопасно проводить занятия. Их достаточно сообщать в объёме «что нельзя делать на занятии», без диагнозов.

Фотографии и видеозаписи с учениками Оператор публикует только при наличии отдельного согласия на использование изображения (ст. 152.1 Гражданского кодекса РФ), а для ребёнка — согласия его законного представителя. Такое согласие всегда добровольное: отказ от него никак не влияет на занятия и их стоимость. Согласие можно отозвать, и снимок будет удалён с Сайта и из социальных сетей Оператора.

Иных специальных категорий данных (расовая и национальная принадлежность, политические взгляды, религиозные убеждения, интимная жизнь) и биометрических персональных данных Оператор не обрабатывает.

• связаться с человеком, оставившим заявку, и согласовать пробное занятие;
• заключить и исполнить договор на оказание услуг (Договор-оферту), вести расписание и учёт занятий;
• проверять домашние задания и показывать ученику его прогресс;
• принимать оплату, вести учёт платежей и выдавать чеки, как требует 422-ФЗ;
• сообщать об организационных изменениях: перенос или отмена занятия, изменение расписания, напоминание о занятии и о необходимости продлить абонемент;
• обеспечивать безопасность личного кабинета и разбирать спорные ситуации;
• соблюдать требования законодательства РФ и отвечать на законные запросы государственных органов.

Для рекламных рассылок и других маркетинговых целей персональные данные не используются. Если Оператор решит рассылать новости и акции, он предварительно запросит на это отдельное согласие, от которого можно отказаться без последствий для занятий (ст. 18 Федерального закона «О рекламе»).

Оператор не продаёт и не передаёт базы данных третьим лицам для их собственных целей.

• согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ) — для заявки с Сайта; за несовершеннолетнего согласие даёт законный представитель;
• исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ) — для данных, без которых нельзя провести и учесть занятие;
• отдельное письменное согласие (п. 1 ч. 2 ст. 10 152-ФЗ) — для сведений о состоянии здоровья;
• согласие гражданина (ст. 152.1 ГК РФ) — для публикации фотографий и видеозаписей;
• исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 152-ФЗ) — налоговый учёт дохода и выдача чеков по 422-ФЗ, ответы на запросы уполномоченных органов.

Обработка ведётся смешанным способом: часть данных хранится в электронной базе CRM, часть — на бумаге (подписанные согласия). Доступ к базе имеет только Оператор и привлечённый им технический специалист в объёме, необходимом для поддержки системы; доступ разграничен по ролям и защищён паролем.

Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки его персональных данных (ст. 16 152-ФЗ).

Предоставление данных — добровольное. Но без имени и телефона Оператор не сможет связаться и организовать занятия: в этом случае услуга не может быть оказана.

Базы данных, содержащие персональные данные граждан Российской Федерации, размещены на сервере, расположенном на территории Российской Федерации, — как требует ч. 5 ст. 18 152-ФЗ. Сервер арендован у ООО «Бегет» (Российская Федерация).

Сроки хранения:

• заявка с Сайта, не превратившаяся в занятия — 1 год с даты обращения;
• данные ученика и законного представителя — в течение обучения и 3 года после последнего занятия (общий срок исковой давности по ст. 196 ГК РФ);
• сведения о расчётах — в течение срока, установленного налоговым законодательством (5 лет), поскольку они нужны для подтверждения дохода;
• подписанные согласия — в течение срока их действия и 3 года после отзыва: это доказательство правомерности обработки;
• сведения о состоянии здоровья, фотографии и видеозаписи — до отзыва соответствующего согласия;
• учётная запись личного кабинета и журнал входов — до удаления учётной записи.

По достижении цели обработки или при отзыве согласия данные уничтожаются в срок, не превышающий 30 дней (ч. 3 и ч. 5 ст. 21 152-ФЗ), если у Оператора не осталось иного законного основания их хранить — например, незакрытых расчётов.

Оператор передаёт персональные данные только в следующих случаях:

• хостинг-провайдеру — ООО «Бегет» (Российская Федерация), на чьём сервере размещены Сайт и база данных. Провайдер действует по поручению Оператора (ч. 3 ст. 6 152-ФЗ) и не вправе использовать данные в своих целях;
• техническому специалисту, обслуживающему Сайт и CRM, — в объёме, необходимом для устранения неисправностей, с обязательством соблюдать конфиденциальность;
• уполномоченным государственным органам — по мотивированному запросу в порядке, установленном законом;
• оператору мессенджера или связи — в объёме сообщения, если субъект сам выбрал этот способ общения и написал Оператору.

Если в дальнейшем будет подключён приём онлайн-платежей, данные, необходимые для платежа, будут передаваться платёжному сервису как самостоятельному оператору; об этом будет указано на странице оплаты и в новой редакции Политики.

Трансграничная передача. Оператор не передаёт персональные данные на территорию иностранных государств. Если такая передача когда-либо станет необходимой, Оператор до её начала уведомит Роскомнадзор в порядке ст. 12 152-ФЗ и обновит настоящую Политику.

Занятия проводятся в том числе с детьми, поэтому большая часть данных поступает от родителей. Согласие на обработку персональных данных ребёнка даёт его законный представитель — заполняя форму на Сайте или подписывая согласие перед началом занятий. Заполняя форму для ребёнка, представитель подтверждает, что действует от его имени и вправе передавать эти данные.

Законный представитель вправе получить все сведения об обработке данных ребёнка, потребовать их исправления или удаления и отозвать согласие — в том же порядке, что описан в разделе 10.

В отношении своих данных (или данных своего ребёнка) вы вправе:

• узнать, обрабатывает ли Оператор ваши данные, и получить их состав, цели и сроки хранения;
• потребовать уточнить неточные или неполные данные;
• потребовать заблокировать или уничтожить данные, если они обрабатываются незаконно;
• отозвать согласие на обработку полностью или в части — например, только на фотографии;
• возражать против решений, принимаемых автоматически (Оператор таких решений не принимает);
• обжаловать действия Оператора в Роскомнадзор (rkn.gov.ru) или в суд.

Запрос, требование или отзыв согласия направляйте на адрес nastya.nuzhdina.01@list.ru — с указанием фамилии, имени и номера телефона, по которому Оператор сможет найти вашу запись, и сути обращения. Отозвать согласие можно и на бумаге при личной встрече.

Сроки ответа, установленные законом и соблюдаемые Оператором:

• сведения об обработке — 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней с уведомлением о причинах (ч. 1 ст. 20 152-ФЗ);
• уточнение, блокирование или уничтожение неправомерно обрабатываемых данных — 7 рабочих дней с момента подтверждения (ч. 1 ст. 21 152-ФЗ);
• прекращение обработки и уничтожение данных после отзыва согласия — 30 дней (ч. 5 ст. 21 152-ФЗ).

Отзыв согласия не отменяет занятий, которые уже состоялись, и не освобождает от оплаты за них. Но после отзыва Оператор не сможет продолжать вести учёт занятий и связь — то есть продолжать обучение.

• передача данных между браузером и сервером только по шифрованному соединению HTTPS;
• пароли хранятся в виде необратимого хеша, а не в открытом виде;
• доступ в CRM разграничен по роли: преподаватель, администратор, владелец;
• защита от подбора пароля: блокировка после серии неудачных попыток и журнал входов;
• резервное копирование базы данных, чтобы данные не потерялись и не пришлось собирать их заново;
• перечень лиц с доступом к данным сведён к минимуму; бумажные согласия хранятся в закрытом виде.

Если несмотря на эти меры произойдёт утечка, Оператор уведомит Роскомнадзор в течение 24 часов с момента обнаружения и сообщит о результатах внутренней проверки в течение 72 часов, как требует ч. 3.1 ст. 21 152-ФЗ.

Сайт не использует файлы cookie для отслеживания посетителей и не подключает внешние системы веб-аналитики, рекламные пиксели и счётчики социальных сетей. Профилирование посетителей не ведётся.

Как и любой веб-сервер, Сайт фиксирует в технических журналах IP-адрес, дату и время обращения, адрес запрошенной страницы и тип браузера. Эти записи используются только для устранения сбоев и защиты от атак. Если на Сайте появится система аналитики, эта Политика будет обновлена до её подключения.

Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации по адресу https://solfedgio-time.ru/privacy; дата редакции указана в начале документа. Изменения, существенно меняющие состав данных или цели обработки, не распространяются на ранее собранные данные без нового согласия.

Согласие, которое даётся при отправке формы на Сайте, приведено отдельным документом: Согласие на обработку персональных данных. Условия самих занятий — в Договоре-оферте.