Поручение на обработку персональных данных (DPA)

Краткая суть. Школа, размещая свои программы на платформе LAAV, остаётся Оператором персональных данных своих Учеников. ИП Вааль А.А. (LAAV) выступает обработчиком по поручению (процессором): хранит и обрабатывает данные Учеников только по поручению Школы и в её интересах, не для своих целей. Настоящий документ — обязательное по закону поручение (ч. 3 ст. 6 152-ФЗ), часть Оферты для школ.

1. Стороны

Оператор — Школа-арендатор, акцептовавшая Оферту платформы LAAV и размещающая свои программы на Платформе.

Обработчик (процессор) — Индивидуальный предприниматель Вааль Александр Александрович, ИНН 544301521701, ОГРНИП 320547600090153, регистрационный номер в реестре операторов ПД Роскомнадзора 54-25-018492.

Настоящее Поручение заключается в момент акцепта Школой Оферты платформы LAAV и действует в течение всего срока размещения Школы на Платформе.

2. Предмет поручения

2.1. Оператор поручает Обработчику обработку персональных данных Учеников Оператора, размещаемых и формируемых при использовании Платформы, а Обработчик обязуется осуществлять такую обработку исключительно по поручению и в интересах Оператора.

2.2. Обработчик не определяет цели и состав обработки самостоятельно и не вправе обрабатывать данные Учеников Оператора для собственных целей, включая собственный маркетинг и аналитику вне интересов Оператора. Самостоятельных целей обработки данных Учеников Оператора у Обработчика нет; любое использование этих данных допускается только по поручению и в интересах Оператора.

3. Перечень действий с персональными данными

Обработчик вправе совершать следующие действия исключительно в объёме, необходимом для функционирования Платформы: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление доступа уполномоченным сотрудникам Оператора), блокирование, удаление, уничтожение, обезличивание. Распространение персональных данных Учеников Обработчиком не осуществляется.

4. Категории субъектов и персональных данных

Субъекты: Ученики Оператора (физические лица, зарегистрированные в пространстве Школы), сотрудники Оператора, получившие доступ к Платформе.

Категории ПД: фамилия, имя, отчество, адрес электронной почты, телефон, Telegram-логин, город, дата рождения, аватар, прогресс обучения, история платежей и доступов, технические данные (IP-адрес, cookie, данные сессии). Конкретный состав определяется настройками Оператора. Специальные и биометрические категории ПД по умолчанию не обрабатываются.

5. Цели обработки

Обработка осуществляется исключительно в целях, определённых Оператором: предоставление Ученикам доступа к программам Оператора, идентификация и авторизация, приём оплат и формирование фискальных документов, коммуникация с Учениками от имени Оператора, ведение прогресса обучения, техническая поддержка. Иные цели требуют отдельного поручения Оператора.

6. Требования к защите персональных данных (ст. 19 152-ФЗ)

Обработчик применяет следующие технические и организационные меры защиты:

• Локализация: хранение и обработка ПД на серверах на территории Российской Федерации (ООО «Таймвеб») — ч. 5 ст. 18 152-ФЗ;
• Изоляция данных Школ (multi-tenant): данные каждой Школы логически изолированы; разграничение доступа на уровне приложения и базы данных (Row-Level Security) исключает доступ одной Школы к данным другой;
• шифрование канала связи (TLS), хэширование паролей (bcrypt), разграничение прав доступа по ролям, журналирование действий (audit-log), регулярное резервное копирование;
• обеспечение уровня защищённости информационной системы в соответствии с Постановлением Правительства РФ № 1119 от 01.11.2012.

7. Привлечение третьих лиц (субобработчиков)

7.1. Оператор даёт согласие на привлечение Обработчиком следующих субобработчиков, расположенных на территории РФ, в объёме, необходимом для функционирования Платформы:

• ООО «Таймвеб» — хостинг и хранение данных;
• ООО «Кинескоп» — воспроизведение видео и эфиров;
• ООО «КлаудПэйментс» — приём платежей;
• ООО «Эвотор ОФД» — формирование фискальных чеков;
• ООО «Регистратор доменных имён РЕГ.РУ» — доставка электронной почты.

7.2. Обработчик обеспечивает, чтобы субобработчики соблюдали требования к защите ПД не ниже установленных настоящим Поручением. О привлечении нового субобработчика Обработчик уведомляет Оператора заблаговременно.

8. Содействие Оператору

8.1. Обработчик содействует Оператору в исполнении обязанностей перед субъектами ПД: предоставляет технические возможности для ответа на обращения Учеников (доступ, уточнение, блокирование, удаление данных — ст. 14 152-ФЗ).

8.2. Уведомление об инцидентах. При выявлении факта неправомерного доступа к персональным данным Учеников Оператора Обработчик уведомляет Оператора в срок не позднее 24 (двадцати четырёх) часов с момента обнаружения, с описанием инцидента и принятых мер, для исполнения Оператором обязанности уведомления Роскомнадзора (ч. 3.1 ст. 21 152-ФЗ).

9. Конфиденциальность

Обработчик обеспечивает конфиденциальность персональных данных Учеников Оператора, не раскрывает и не распространяет их без согласия Оператора, за исключением случаев, предусмотренных законодательством РФ. Сотрудники Обработчика, имеющие доступ к ПД, обязаны соблюдать режим конфиденциальности.

10. Возврат и уничтожение данных при прекращении

10.1. При прекращении размещения Школы на Платформе Обработчик по выбору Оператора возвращает (предоставляет для экспорта) либо уничтожает персональные данные Учеников Оператора в срок не позднее 30 (тридцати) календарных дней с момента прекращения, за исключением данных, обязательное хранение которых установлено законодательством РФ (фискальные документы — 4 года по 54-ФЗ и ст. 23 НК РФ).

10.2. По требованию Оператора Обработчик уничтожает обрабатываемые персональные данные в срок не позднее 10 (десяти) рабочих дней (ч. 5 ст. 21 152-ФЗ), если иной срок не установлен законом.

11. Срок и заключительные положения

11.1. Поручение действует в течение всего срока действия Оферты платформы LAAV и прекращается одновременно с ней (с учётом сроков уничтожения данных по разделу 10).

11.2. Настоящее Поручение является неотъемлемой частью Оферты платформы LAAV и применяется в связи с разделом 12 Политики конфиденциальности (роль процессора при multi-tenant обработке).

12. Реквизиты Обработчика

Индивидуальный предприниматель Вааль Александр Александрович
ИНН: 544301521701 · ОГРНИП: 320547600090153
Регистрационный номер в реестре операторов ПД Роскомнадзора: 54-25-018492
Email: support@vaalacademy.online