Поручение на обработку персональных данных (DPA)

Краткая суть. Школа, размещая свои программы на платформе LAAV, остаётся Оператором персональных данных своих Учеников. ИП Вааль А.А. (LAAV) выступает обработчиком по поручению (процессором): хранит и обрабатывает данные Учеников только по поручению Школы и в её интересах, не для своих целей. Настоящий документ — обязательное по закону поручение (ч. 3 ст. 6 152-ФЗ), часть Оферты для школ.

1. Стороны

Оператор — Школа-арендатор, акцептовавшая Оферту платформы LAAV и размещающая свои программы на Платформе.

Обработчик (процессор) — Индивидуальный предприниматель Вааль Александр Александрович, ИНН 544301521701, ОГРНИП 320547600090153, регистрационный номер в реестре операторов ПД Роскомнадзора 54-25-018492.

Настоящее Поручение заключается в момент акцепта Школой Оферты платформы LAAV и действует в течение всего срока размещения Школы на Платформе.

2. Предмет поручения

2.1. Оператор поручает Обработчику обработку персональных данных Учеников Оператора, размещаемых и формируемых при использовании Платформы, а Обработчик обязуется осуществлять такую обработку исключительно по поручению и в интересах Оператора.

2.2. Обработчик не определяет цели и состав обработки самостоятельно и не вправе обрабатывать данные Учеников Оператора для собственных целей, включая собственный маркетинг и аналитику вне интересов Оператора. Самостоятельных целей обработки данных Учеников Оператора у Обработчика нет; любое использование этих данных допускается только по поручению и в интересах Оператора.

3. Перечень действий с персональными данными

Обработчик вправе совершать следующие действия исключительно в объёме, необходимом для функционирования Платформы: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление доступа уполномоченным сотрудникам Оператора), блокирование, удаление, уничтожение, обезличивание. Распространение персональных данных Учеников Обработчиком не осуществляется.

4. Категории субъектов и персональных данных

Субъекты: Ученики Оператора (физические лица, зарегистрированные в пространстве Школы), сотрудники Оператора, получившие доступ к Платформе.

Категории ПД: фамилия, имя, отчество, адрес электронной почты, телефон, Telegram-логин, город, дата рождения, аватар, прогресс обучения, история платежей и доступов, технические данные (IP-адрес, cookie, данные сессии), а также содержание переписки Ученика в подключённых Оператором каналах (бот Школы, Telegram Business Школы), задачи и заметки сотрудников Оператора по Ученику и сведения о смене статуса Ученика в разделе работы с клиентами. Конкретный состав определяется настройками Оператора. Специальные и биометрические категории ПД по умолчанию не обрабатываются.

5. Цели обработки

Обработка осуществляется исключительно в целях, определённых Оператором: предоставление Ученикам доступа к программам Оператора, идентификация и авторизация, приём оплат и формирование фискальных документов, коммуникация с Учениками от имени Оператора, ведение прогресса обучения, техническая поддержка. Иные цели требуют отдельного поручения Оператора.

По указанию Оператора Обработчик обрабатывает текст, введённый пользователями Оператора в функции искусственного интеллекта (черновики материалов, оформление урока, аналитическая записка, ответ на вопрос Ученика в уроке, если Оператор включил такую функцию). В аналитических записках по работе команды за день выдержки из переписки и задач обезличиваются до передачи в функцию: сотрудник назван ролью с номером, Ученик номером, адреса электронной почты, телефоны и имена пользователей заменяются словами.

Идентификаторы Учеников (имя, адрес электронной почты, номер телефона) Обработчик в такой текст не включает; текст запроса и ответ не сохраняет. Оператор обеспечивает наличие согласий Учеников на такую обработку в соответствии со статьёй 9 Федерального закона № 152-ФЗ и несёт ответственность за содержание вводимого текста.

6. Требования к защите персональных данных (ст. 19 152-ФЗ)

Обработчик применяет следующие технические и организационные меры защиты:

• Локализация: хранение и обработка ПД на серверах на территории Российской Федерации (ООО «Таймвеб») — ч. 5 ст. 18 152-ФЗ;
• Изоляция данных Школ (multi-tenant): данные каждой Школы логически изолированы; разграничение доступа на уровне приложения и базы данных (Row-Level Security) исключает доступ одной Школы к данным другой;
• шифрование канала связи (TLS), хэширование паролей (bcrypt), разграничение прав доступа по ролям, журналирование действий (audit-log), регулярное резервное копирование;
• обеспечение уровня защищённости информационной системы в соответствии с Постановлением Правительства РФ № 1119 от 01.11.2012.

7. Привлечение третьих лиц (субобработчиков)

7.1. Оператор даёт согласие на привлечение Обработчиком следующих субобработчиков, расположенных на территории РФ, в объёме, необходимом для функционирования Платформы:

• ООО «Таймвеб» — хостинг и хранение данных;
• ООО «Кинескоп» — воспроизведение видео и эфиров;
• ООО «КлаудПэйментс» — приём платежей;
• ООО «Эвотор ОФД» — формирование фискальных чеков;
• ООО «Регистратор доменных имён РЕГ.РУ» — доставка электронной почты.

7.2. Обработчик обеспечивает, чтобы субобработчики соблюдали требования к защите ПД не ниже установленных настоящим Поручением. О привлечении нового субобработчика Обработчик уведомляет Оператора заблаговременно.

8. Содействие Оператору

8.1. Обработчик содействует Оператору в исполнении обязанностей перед субъектами ПД: предоставляет технические возможности для ответа на обращения Учеников (доступ, уточнение, блокирование, удаление данных — ст. 14 152-ФЗ).

8.2. Уведомление об инцидентах. При выявлении факта неправомерного доступа к персональным данным Учеников Оператора Обработчик уведомляет Оператора в срок не позднее 24 (двадцати четырёх) часов с момента обнаружения, с описанием инцидента и принятых мер, для исполнения Оператором обязанности уведомления Роскомнадзора (ч. 3.1 ст. 21 152-ФЗ).

9. Конфиденциальность

Обработчик обеспечивает конфиденциальность персональных данных Учеников Оператора, не раскрывает и не распространяет их без согласия Оператора, за исключением случаев, предусмотренных законодательством РФ. Сотрудники Обработчика, имеющие доступ к ПД, обязаны соблюдать режим конфиденциальности.

10. Возврат и уничтожение данных при прекращении

10.1. При прекращении размещения Школы на Платформе Обработчик по выбору Оператора возвращает (предоставляет для экспорта) либо уничтожает персональные данные Учеников Оператора в срок не позднее 30 (тридцати) календарных дней с момента прекращения, за исключением данных, обязательное хранение которых установлено законодательством РФ (фискальные документы — 4 года по 54-ФЗ и ст. 23 НК РФ).

10.2. По требованию Оператора Обработчик уничтожает обрабатываемые персональные данные в срок не позднее 10 (десяти) рабочих дней (ч. 5 ст. 21 152-ФЗ), если иной срок не установлен законом.

11. Срок и заключительные положения

11.1. Поручение действует в течение всего срока действия Оферты платформы LAAV и прекращается одновременно с ней (с учётом сроков уничтожения данных по разделу 10).

11.2. В соответствии со статьёй 6 152-ФЗ ответственность перед субъектами персональных данных за действия Обработчика несёт Оператор; Обработчик несёт ответственность перед Оператором. Обработчик обязан соблюдать принципы и правила обработки персональных данных, предусмотренные 152-ФЗ, и не обязан получать согласие субъектов персональных данных на обработку, осуществляемую им по поручению Оператора.

11.3. Обработчик не вправе передавать обрабатываемые по настоящему Поручению персональные данные Учеников Оператора третьим лицам, за исключением субобработчиков, указанных в разделе 7, и случаев, предусмотренных законодательством Российской Федерации.

11.4. Настоящее Поручение является неотъемлемой частью Оферты платформы LAAV и применяется в связи с разделом 12 Политики конфиденциальности (роль процессора при multi-tenant обработке).

12. Реквизиты Обработчика

Индивидуальный предприниматель Вааль Александр Александрович
ИНН: 544301521701 · ОГРНИП: 320547600090153
Регистрационный номер в реестре операторов ПД Роскомнадзора: 54-25-018492
Email: support@vaalacademy.online