Поручение на обработку персональных данных (DPA)

1. Стороны

Оператор: Школа, акцептовавшая Оферту платформы LAAV и размещающая свои программы на Платформе.

Обработчик: Индивидуальный предприниматель Вааль Александр Александрович, ИНН 544301521701, ОГРНИП 320547600090153, регистрационный номер в реестре операторов ПД Роскомнадзора 54-25-018492.

Поручение заключается в момент акцепта Школой Оферты и действует весь срок размещения Школы на Платформе.

2. Предмет поручения

2.1. Оператор поручает Обработчику обработку персональных данных, которые Оператор и допущенные им лица размещают и формируют на Платформе, включая данные Учеников, работников и контрагентов Оператора. Обработчик обрабатывает их исключительно по поручению и в интересах Оператора.

2.2. Обработчик не определяет цели и состав обработки и не обрабатывает данные Учеников в собственных целях, включая собственный маркетинг и аналитику вне интересов Оператора.

3. Перечень действий с персональными данными

В объёме, необходимом для работы Платформы: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление доступа сотрудникам Оператора и лицам, которым Оператор предоставил доступ к пространству Школы), блокирование, удаление, уничтожение, обезличивание. Распространение данных Учеников Обработчиком не осуществляется.

4. Категории субъектов и персональных данных

Субъекты: Ученики Оператора, сотрудники Оператора с доступом к Платформе, иные физические лица, сведения о которых содержатся в загруженных Оператором документах.

Категории ПД: фамилия, имя, отчество, адрес электронной почты, телефон, Telegram-логин, город, дата рождения, аватар, прогресс обучения, история платежей и доступов, технические данные (IP-адрес, cookie, данные сессии), источник регистрации (код источника или промокода, содержавшийся в ссылке, по которой Ученик зарегистрировался в пространстве Школы, дата и время записи этого кода), сведения об участии в реферальной программе Оператора (кем приглашён Ученик, приглашённые им лица, начисленные и списанные баллы), переписка Ученика в подключённых Оператором каналах (бот Школы, Telegram Business Школы), задачи и заметки сотрудников Оператора по Ученику, смена статуса Ученика в разделе работы с клиентами. Конкретный состав определяется настройками Оператора.

В разделе «Документы»: содержание загруженных файлов. Состав определяет Оператор; Обработчик содержание файлов не просматривает и не изменяет.

Специальные и биометрические категории ПД (ст. 10 и 11 152-ФЗ) не обрабатываются. Оператор не размещает на Платформе документы с такими данными и отвечает за их размещение.

5. Цели обработки

Обработка ведётся исключительно в целях, определённых Оператором: предоставление Ученикам доступа к программам Оператора, идентификация и авторизация, приём оплат и формирование фискальных документов, коммуникация с Учениками от имени Оператора, ведение прогресса обучения, учёт источников регистрации Учеников для анализа Оператором собственных каналов привлечения и продаж, ведение реферальной программы Оператора (если Оператор её включил), хранение документов Оператора, техническая поддержка. Иные цели требуют отдельного поручения Оператора.

Источник регистрации записывается один раз, при регистрации Ученика по ссылке с кодом, и далее не изменяется. Запись видна уполномоченным сотрудникам Оператора в карточке Ученика, отчёте о регистрациях и выгрузке списка Учеников. Обработчик не использует источник регистрации в собственных целях. Оператор отражает такую обработку в своей политике в отношении обработки персональных данных (ст. 18.1 152-ФЗ), а условия реферальной программы публикует сам.

Доступ к документам предоставляет Оператор и отвечает за действия допущенных им лиц. Файлы раздела «Документы» не передаются в функции искусственного интеллекта.

По указанию Оператора Обработчик обрабатывает текст, введённый пользователями Оператора в функции искусственного интеллекта (черновики материалов, оформление урока, аналитическая записка, ответ на вопрос Ученика в уроке, если Оператор включил такую функцию). В аналитических записках по работе команды за день выдержки из переписки и задач обезличиваются до передачи в функцию: сотрудник назван ролью с номером, Ученик номером, адреса электронной почты, телефоны и имена пользователей заменяются словами.

Идентификаторы Учеников (имя, адрес электронной почты, номер телефона) Обработчик в такой текст не включает; текст запроса и ответ не сохраняет. Оператор обеспечивает наличие согласий Учеников на такую обработку в соответствии со статьёй 9 Федерального закона № 152-ФЗ и несёт ответственность за содержание вводимого текста.

6. Требования к защите персональных данных (ст. 19 152-ФЗ)

Обработчик применяет следующие технические и организационные меры защиты:

• Локализация: хранение и обработка ПД на серверах на территории Российской Федерации (ООО «Таймвеб») - ч. 5 ст. 18 152-ФЗ;
• Изоляция данных Школ (multi-tenant): данные каждой Школы логически изолированы; разграничение доступа на уровне приложения и базы данных (Row-Level Security) исключает доступ одной Школы к данным другой;
• шифрование канала связи (TLS), хэширование паролей (bcrypt), разграничение прав доступа по ролям, журналирование действий (audit-log), регулярное резервное копирование;
• обеспечение уровня защищённости информационной системы в соответствии с Постановлением Правительства РФ № 1119 от 01.11.2012.

7. Субобработчики

7.1. Оператор даёт согласие на привлечение Обработчиком следующих субобработчиков, расположенных на территории РФ, в объёме, необходимом для функционирования Платформы:

• ООО «Таймвеб»: хостинг и хранение данных;
• ООО «Кинескоп»: воспроизведение видео и эфиров;
• ООО «КлаудПэйментс»: приём платежей;
• ООО «Эвотор ОФД»: формирование фискальных чеков;
• ООО «Регистратор доменных имён РЕГ.РУ»: доставка электронной почты.

7.2. Обработчик обеспечивает соблюдение субобработчиками требований к защите ПД не ниже установленных Поручением и заблаговременно уведомляет Оператора о привлечении нового субобработчика.

8. Содействие Оператору

8.1. Обработчик предоставляет Оператору технические возможности для ответа на обращения Учеников: доступ, уточнение, блокирование и удаление данных (ст. 14 152-ФЗ).

8.2. Инциденты. О неправомерном доступе к данным Учеников Обработчик уведомляет Оператора не позднее 24 (двадцати четырёх) часов с момента обнаружения, с описанием инцидента и принятых мер, для уведомления Оператором Роскомнадзора (ч. 3.1 ст. 21 152-ФЗ).

9. Конфиденциальность

Обработчик не раскрывает и не распространяет данные Учеников без согласия Оператора, кроме случаев, предусмотренных законом. Сотрудники Обработчика с доступом к ПД соблюдают режим конфиденциальности.

10. Возврат и уничтожение данных

10.1. При прекращении размещения Школы Обработчик по выбору Оператора предоставляет данные Учеников для выгрузки либо уничтожает их не позднее 30 (тридцати) календарных дней с момента прекращения, кроме данных, срок хранения которых установлен законом (фискальные документы: 4 года, 54-ФЗ и ст. 23 НК РФ). Сроки хранения своих документов обеспечивает Оператор.

10.2. По требованию Оператора Обработчик уничтожает данные не позднее 10 (десяти) рабочих дней (ч. 5 ст. 21 152-ФЗ), если иной срок не установлен законом.

11. Срок и заключительные положения

11.1. Поручение действует весь срок действия Оферты платформы LAAV и прекращается вместе с ней (с учётом сроков раздела 10).

11.2. Перед субъектами ПД за действия Обработчика отвечает Оператор, Обработчик отвечает перед Оператором (ст. 6 152-ФЗ). Обработчик соблюдает принципы и правила обработки, предусмотренные 152-ФЗ, и не обязан получать согласие субъектов на обработку по поручению.

11.3. Обработчик не передаёт данные Учеников третьим лицам, кроме субобработчиков из раздела 7 и случаев, предусмотренных законом.

11.4. Поручение является неотъемлемой частью Оферты платформы LAAV и применяется вместе с разделом 2 Политики конфиденциальности.

11.5. Настоящая редакция Поручения действует с момента её опубликования для Школ, акцептовавших Оферту после этого момента. Для Школ, акцептовавших Оферту ранее, она вступает в силу по истечении 14 (четырнадцати) календарных дней со дня направления Школе уведомления об изменении (п. 11.2 Оферты); до этого действует предыдущая редакция.

12. Реквизиты Обработчика

Индивидуальный предприниматель Вааль Александр Александрович
ИНН: 544301521701 · ОГРНИП: 320547600090153
Регистрационный номер в реестре операторов ПД Роскомнадзора: 54-25-018492
Email: support@laav.io