Поручение на обработку персональных данных

Стороны

Пользователь Сервиса TutorFlow, акцептовавший Оферту, — оператор персональных данных (далее — Оператор), и ИП Ковалев Дмитрий Александрович (ИНН 613301599139, ОГРНИП 316237500005180, адрес: 350037, РФ, Краснодарский край, г. Краснодар, х. Ленина, ул. Хуторская, д. 45), владелец Сервиса TutorFlow, Исполнитель по Оферте — лицо, осуществляющее обработку персональных данных по поручению Оператора (далее — Обработчик).

Термины используются в значениях, установленных Офертой и Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон).

1. Заключение поручения

1.1. Настоящее поручение заключается акцептом Оферты (в том числе принятием её новой редакции) и является её неотъемлемой частью (часть 3 статьи 6 Закона, пункт 3 статьи 434 и пункт 3 статьи 438 Гражданского кодекса РФ).

1.2. Факт, дата, время и редакция принятых документов фиксируются в журнале Сервиса. По запросу Оператора Обработчик направляет подтверждение акцепта.

2. Цели обработки

Ведение учёта учеников и их законных представителей, расписания, посещаемости, домашних заданий и оплат; отправка уведомлений по каналам, выбранным Оператором; предоставление ученикам и законным представителям доступа к личному кабинету и отчётам; техническая поддержка и обеспечение безопасности Сервиса.

3. Субъекты и перечень персональных данных

3.1. Субъекты: ученики (в том числе несовершеннолетние), их законные представители и плательщики; лица, обратившиеся к Оператору (заявки); сотрудники Оператора — в части сведений, внесённых Оператором (расписание, ставки, расчёты вознаграждения).

3.2. Персональные данные: фамилия, имя, отчество; телефон; адрес электронной почты; идентификаторы в мессенджерах и на подключённых площадках; класс, учебное заведение, изучаемые предметы; сведения о занятиях, посещаемости, домашних заданиях и успеваемости; сведения об оплатах и балансе; переписка с Оператором через подключённые каналы; иные сведения, внесённые Оператором в пределах целей раздела 2.

3.3. Специальные категории и биометрические персональные данные по настоящему поручению не обрабатываются. Оператор обязуется не вносить их в Сервис.

4. Перечень действий и способ обработки

Сбор (через формы Сервиса по инициативе Оператора), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) лицам, которым Оператор открыл доступ, и привлечённым лицам по разделу 8, блокирование, удаление, уничтожение. Способ — с использованием средств автоматизации.

5. Обязанности Обработчика

• обрабатывать персональные данные только в целях и пределах настоящего поручения и не использовать их в собственных целях;
• соблюдать конфиденциальность персональных данных;
• соблюдать требования части 5 статьи 18 Закона (запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории Российской Федерации), статей 18.1 и 19 Закона;
• применять правовые, организационные и технические меры защиты, в том числе разграничение доступа, журналирование действий, шифрование резервных копий, антивирусную и сетевую защиту;
• допускать к персональным данным только работников и привлечённых лиц, которым это необходимо для исполнения поручения.

6. Документы по запросу Оператора

По запросу Оператора в течение срока действия поручения, в том числе до начала обработки, Обработчик в течение 10 (десяти) рабочих дней предоставляет документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных статьёй 6 Закона.

7. Инциденты

7.1. О выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов (часть 3.1 статьи 21 Закона), Обработчик уведомляет Оператора незамедлительно, не позднее 12 (двенадцати) часов с момента выявления, — по электронной почте и в личном кабинете, с указанием известных сведений о характере инцидента, предполагаемых причинах, затронутых данных и принятых мерах.

7.2. Результаты внутреннего расследования Обработчик направляет Оператору не позднее 48 (сорока восьми) часов с момента выявления инцидента.

8. Привлечённые лица

8.1. Оператор поручает Обработчику привлекать к обработке лиц, указанных в Перечне привлечённых лиц, с указанием выполняемых ими операций и места обработки.

8.2. Обработчик возлагает на привлечённых лиц обязанности по защите персональных данных не ниже установленных настоящим поручением и уведомляет Оператора об изменении перечня не позднее чем за 10 (десять) дней через личный кабинет или по электронной почте.

8.3. Каналы, которые Оператор подключает к Сервису самостоятельно (мессенджеры, площадки объявлений и т.п.), используются по выбору и под ответственность Оператора. Подключая такой канал, Оператор поручает Обработчику передавать через него сведения в объёме, необходимом для работы канала.

9. Запросы субъектов

9.1. По запросу Оператора Обработчик в течение 5 (пяти) рабочих дней оказывает содействие в ответе на запрос субъекта персональных данных (статьи 14, 20, 21 Закона): предоставляет сведения, уточняет, блокирует или уничтожает персональные данные.

9.2. Запросы субъектов, поступившие непосредственно Обработчику, он пересылает Оператору.

10. Обязанности Оператора

• обеспечить законные основания обработки и поручения её Обработчику, в том числе получить согласия законных представителей несовершеннолетних в случаях, когда они требуются;
• обеспечить достоверность вносимых данных;
• уведомить уполномоченный орган по защите прав субъектов персональных данных о своей обработке в случаях, предусмотренных статьёй 22 Закона;
• предоставлять доступ к Сервису только уполномоченным лицам;
• не вносить в Сервис специальные категории и биометрические персональные данные.

11. Прекращение обработки

11.1. После прекращения Договора Оператору доступна выгрузка данных в течение 30 (тридцати) дней. По истечении этого срока персональные данные уничтожаются в течение 30 (тридцати) дней; по запросу Оператора Обработчик выдаёт подтверждение уничтожения.

11.2. Резервные копии перезаписываются в соответствии с регламентом резервного копирования (срок хранения — не более 90 дней) и до перезаписи не используются для обработки, за исключением восстановления данных по запросу Оператора.

12. Ответственность

Каждая сторона отвечает за исполнение своих обязанностей. Обработчик несёт ответственность перед Оператором (часть 5 статьи 6 Закона). Ограничение ответственности по пункту 8.3 Оферты не применяется к нарушению обязанностей, предусмотренных разделами 5–7 настоящего поручения.

13. Срок действия

Поручение действует с момента акцепта Оферты до прекращения Договора, а в части уничтожения данных и конфиденциальности — до полного исполнения соответствующих обязательств.