Порядок хранения и обработки персональных данных

Утверждено ИП Абасова Смела Артуровна. Действует с момента размещения на сайте.

1. Назначение и область применения

Настоящий документ определяет порядок хранения и обработки персональных данных (далее — ПДн) в мобильном приложении «На Отлично!» (далее — Приложение) и на связанных с ним технических средствах в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ), иными нормативными правовыми актами РФ.

Документ обязателен к исполнению при любой обработке ПДн, осуществляемой в рамках деятельности по оказанию образовательных услуг с использованием Приложения.

2. Определения

Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн).
Обработка ПДн — любое действие (операция) или совокупность действий с ПДн, совершаемых с использованием средств автоматизации или без них (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение).
Оператор — ИП Абасова Смела Артуровна (ИНН 180804769640), самостоятельно организующая и осуществляющая обработку ПДн.
Обезличивание ПДн — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту.
Мягкое удаление (soft delete) — деактивация учётной записи пользователя с сохранением данных в системе для возможности восстановления и исполнения требований законодательства.

3. Оператор и ответственные лица

Оператор персональных данных: ИП Абасова Смела Артуровна, ИНН 180804769640.

Ответственность за организацию обработки и защиты ПДн, за принятие решений по вопросам обработки ПДн, а также за обеспечение соблюдения требований 152-ФЗ несёт индивидуальный предприниматель Абасова Смела Артуровна.

По вопросам, связанным с обработкой ПДн: naotlichno.otlichno@mail.ru, +7 995 207 32 22.

4. Состав обрабатываемых персональных данных

4.1. ПДн, предоставляемые субъектом при регистрации и в настройках:

имя, фамилия;
адрес электронной почты (контакт, логин для входа);
номер телефона (контактная информация);
пароль для входа (хранится в виде криптографического хеша, не подлежит восстановлению в исходном виде).

4.2. ПДн и иные данные, формируемые при использовании Приложения:

сведения о сессиях входа (идентификатор устройства, дата и время, IP-адрес в объёме логирования);
история бронирований занятий, записей на уроки;
сведения о платежах (факт, сумма, статус, идентификатор платёжной системы) — реквизиты платёжного средства Оператору не передаются, их обработку осуществляет платёжная система ЮKassa;
переписка в чате с преподавателем (в рамках функционала Приложения);
данные, необходимые для учёта и исполнения обязанностей по законодательству РФ (в т.ч. налоговому, бухгалтерскому).

5. Цели и правовые основания обработки

Цели обработки ПДн:

предоставление доступа к Приложению и оказание образовательных (репетиторских) услуг;
связь между учеником и преподавателем, организация и проведение занятий;
обработка бронирований и приём оплаты за занятия;
направление уведомлений и напоминаний о занятиях, изменениях в расписании;
исполнение договора на оказание услуг;
исполнение обязанностей, предусмотренных законодательством РФ (учёт, отчётность, хранение документов).

Правовые основания: согласие субъекта ПДн, исполнение договора, возложенные на Оператора обязанности по законодательству Российской Федерации.

6. Порядок и условия обработки

Обработка ПДн осуществляется с использованием средств автоматизации (серверное программное обеспечение, базы данных, системы хранения) на территории Российской Федерации.

Сбор ПДн осуществляется при регистрации в Приложении, внесении изменений в профиль, использовании функций бронирования, чата, оплаты. Обработка производится в объёме и в сроки, необходимые для достижения заявленных целей.

При обработке соблюдаются принципы: законности, ограничения цели обработки, достоверности и достаточности данных, ограничения срока хранения, конфиденциальности.

7. Сроки хранения персональных данных

7.1. В период активного использования Приложения — ПДн хранятся в течение всего срока действия учётной записи и оказания услуг.

7.2. После инициирования субъектом удаления аккаунта (мягкое удаление):

в течение 3 месяцев данные сохраняются для возможности восстановления аккаунта при повторном входе с теми же учётными данными;
по истечении 3 месяцев восстановление средствами Приложения не предусмотрено; данные продолжают храниться в соответствии с п. 7.3.

7.3. После мягкого удаления — в течение 3 лет ПДн (в т.ч. имя, фамилия, email, телефон, история занятий и платежей) хранятся в связи с требованиями законодательства и в целях учёта. По истечении 3 лет в отношении email и телефона проводится обезличивание (п. 8).

7.4. Документы и данные, подлежащие хранению по закону (в т.ч. в целях налогового и бухгалтерского учёта), хранятся в сроки, установленные законодательством РФ (в т.ч. не менее 5 лет по ряду категорий). Такие данные по истечении общих сроков, указанных в п. 7.3, могут сохраняться в обезличенном или в предусмотренном законом виде.

8. Обезличивание персональных данных

По истечении 3 лет с даты мягкого удаления учётной записи в отношении персональных данных адрес электронной почты и номер телефона выполняется обезличивание: значения заменяются на уникальные заглушки, не позволяющие идентифицировать субъекта ПДн (например, вида deleted+[id]@anonymized.local и deleted_[id]). Сессии пользователя принудительно деактивируются.

Имя, фамилия, а также обезличенные сведения об истории занятий, платежах и иная информация, не позволяющая идентифицировать субъекта, могут сохраняться для аналитики, внутреннего учёта и в объёме, требуемом законодательством РФ. Физическое уничтожение записей в части, необходимой для исполнения требований закона (бухгалтерские, налоговые документы и т.п.), не производится до истечения сроков, установленных законодательством.

9. Место хранения персональных данных

Обработка и хранение ПДн осуществляются на технических средствах (серверах) провайдера хостинга Beget (Российская Федерация). Данные размещены на территории РФ. С провайдером заключён договор, в котором предусмотрены обязанности по обеспечению конфиденциальности и безопасности обрабатываемых по поручению Оператора персональных данных.

Реквизиты платёжных средств (банковские карты и т.п.) не передаются Оператору и не хранятся на его средствах; их обработку осуществляет платёжная система ЮKassa (ООО «ЮKassa», РФ) в соответствии с собственными правилами. Оператор получает и хранит только сведения о факте, сумме и статусе платежа, необходимые для учёта занятий и исполнения договора.

10. Передача персональных данных третьим лицам

Передача ПДн третьим лицам осуществляется только в следующих случаях:

Провайдер хостинга (Beget) — в объёме, необходимом для размещения и функционирования программного обеспечения и баз данных; передача обусловлена договором и технической необходимостью; провайдер выступает в качестве лица, осуществляющего обработку ПДн по поручению Оператора.
Платёжная система ЮKassa — в объёме, необходимом для проведения платежей (идентификатор пользователя, сумма, назначение). Реквизиты платёжного средства передаются субъектом напрямую ЮKassa; Оператор их не получает и не обрабатывает.
Государственные органы — в случаях и в объёме, предусмотренных законодательством РФ (по законному запросу, в рамках процессуальных обязанностей и т.п.).

Иная передача ПДн третьим лицам без согласия субъекта не осуществляется, за исключением случаев, прямо предусмотренных федеральными законами.

11. Меры по обеспечению безопасности персональных данных

Технические меры:

шифрование данных при передаче по каналам связи (HTTPS/TLS);
хранение паролей в виде криптографических хешей (необратимое хеширование), исключающее восстановление исходного пароля;
ограничение доступа к базам данных и серверному ПО по учётным записям, разграничение прав;
резервное копирование данных на регулярной основе;
мониторинг и реагирование на инциденты, связанные с безопасностью.

Организационные меры:

назначение ответственности за обработку и защиту ПДн;
заключение с провайдером хостинга договора, содержащего условия обработки ПДн по поручению Оператора;
информирование субъектов ПДн о порядке обработки через Политику конфиденциальности и настоящий документ;
рассмотрение обращений субъектов ПДн в установленные сроки (не более 30 календарных дней).

12. Права субъекта персональных данных

Субъект ПДн имеет право: получать сведения, касающиеся обработки его ПДн; требовать уточнения, блокирования, удаления ПДн в случаях, предусмотренных 152-ФЗ; отозвать согласие на обработку; обжаловать действия или бездействие Оператора в Роскомнадзор.

Реализация права на удаление (прекращение обработки в отношении учётной записи) осуществляется путём самостоятельного удаления аккаунта в Приложении в порядке, изложенном в разделе «Удаление аккаунта». По иным запросам (уточнение, доступ к сведениям об обработке, отзыв согласия) субъект вправе обратиться к Оператору по контактам, указанным в п. 3. Срок рассмотрения обращения — не более 30 календарных дней с даты его получения.

13. Внесение изменений в документ

Оператор вправе вносить изменения в настоящий документ в связи с изменением законодательства, технологии обработки, состава обрабатываемых данных или иных существенных обстоятельств. Новая редакция вступает в силу с момента её размещения на сайте, если иное не указано в тексте. Рекомендуется периодически знакомиться с актуальной редакцией.

14. Согласование с Политикой конфиденциальности

Настоящий документ является приложением и дополнением к Политике конфиденциальности Приложения. В случае расхождений между документами в вопросах, относящихся к правам субъектов ПДн и к срокам хранения, приоритет имеют положения, наиболее благоприятные для субъекта ПДн, если иное не предусмотрено императивными требованиями законодательства РФ.

15. Контакты Оператора

ИП Абасова Смела Артуровна, ИНН 180804769640.
Email: naotlichno.otlichno@mail.ru
Телефон: +7 995 207 32 22

← На главную