Соглашение о поручении обработки персональных данных

1.1. Оператор поручает Исполнителю обработку персональных данных, оператором которых является Оператор, а Исполнитель обязуется обрабатывать их на условиях Соглашения при предоставлении Оператору доступа к Сервису.

1.2. Соглашение заключено на основании части 3 статьи 6 Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» (далее — «Закон о персональных данных»).

1.3. Цели обработки, категории субъектов и состав персональных данных определяет Оператор; они перечислены в разделе 2 и Приложении 1. Исполнитель обрабатывает персональные данные только в этих целях и не использует их в своих интересах, в том числе для рекламы и маркетинга.

1.4. Соглашение не распространяется на данные лица, зарегистрировавшего кабинет Оператора в Сервисе, на данные для входа (адрес электронной почты и пароль), которые сотрудники Оператора сами указывают при регистрации в Сервисе, и на сведения об оплате доступа к Сервису. Их Исполнитель обрабатывает как самостоятельный оператор по Политике обработки персональных данных.

2.1. Персональные данные обрабатываются в целях:

• ведения Оператором учёта учеников, занятий, расписания, абонементов и оплат;
• направления ученикам и их законным представителям напоминаний о занятиях, оплате и домашних заданиях через Telegram и ВКонтакте — только тем, кто сам подключил бота Сервиса;
• предоставления ученику персональной страницы с расписанием, остатком абонемента и домашними заданиями — по уникальной ссылке, которую ученику передаёт Оператор;
• предоставления сотрудникам Оператора доступа к данным в пределах ролей, назначенных Оператором;
• направления сотрудникам Оператора уведомлений о занятиях и изменениях расписания — в Telegram, ВКонтакте или push-уведомлениями браузера, если сотрудник сам их подключил;
• приёма заявок учеников на запись к Оператору — если Оператор включил запись в Сервисе.

2.2. Специальные категории персональных данных (статья 10 Закона о персональных данных) и биометрические персональные данные (статья 11) по Соглашению не обрабатываются. Оператор не вносит такие данные в Сервис.

3.1. Исполнитель совершает с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.

3.2. Передача (предоставление, доступ) допускается только Оператору и его сотрудникам в пределах их ролей; самому субъекту — на его персональной странице и в адресованных ему уведомлениях; лицам, указанным в Приложении 2, — в объёме, необходимом для их функции.

3.3. Обработка ведётся с использованием средств автоматизации. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных).

3.4. Персональные данные вносят в Сервис Оператор и его сотрудники. Идентификаторы в мессенджерах поступают от самого субъекта, когда он подключает бота Сервиса по ссылке, полученной от Оператора; у сотрудников — когда сотрудник сам подключает уведомления.

Исполнитель обязуется:

4.1. обрабатывать персональные данные только в соответствии с Соглашением и указаниями Оператора; если указание противоречит закону — сообщить об этом Оператору и не исполнять его;

4.2. соблюдать конфиденциальность персональных данных: не раскрывать их третьим лицам и не распространять без согласия субъекта, если иное не предусмотрено федеральным законом;

4.3. обеспечивать безопасность персональных данных при обработке и принимать меры, предусмотренные статьями 18.1 и 19 Закона о персональных данных. Перечень мер приведён в Приложении 3. Исполнитель вправе заменять меры на равные или более надёжные;

4.4. соблюдать требование части 5 статьи 18 Закона о персональных данных о хранении данных граждан Российской Федерации в базах данных на территории Российской Федерации;

4.5. по запросу Оператора в течение срока действия Соглашения, в том числе до начала обработки, в течение 10 (десяти) рабочих дней предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных Соглашением и статьёй 6 Закона о персональных данных;

4.6. уведомлять Оператора о неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлёкшей нарушение прав субъектов (часть 3.1 статьи 21 Закона о персональных данных), — незамедлительно, но не позднее 12 (двенадцати) часов с момента выявления, сообщая известные сведения об инциденте, его вероятных причинах, затронутых данных и принятых мерах; результаты внутреннего расследования направлять не позднее 48 (сорока восьми) часов с момента выявления;

4.7. по запросу Оператора в течение 3 (трёх) рабочих дней предоставлять сведения об обработке персональных данных конкретного субъекта, а также уточнять, блокировать или уничтожать его данные — чтобы Оператор мог в установленные законом сроки ответить субъекту или уполномоченному органу;

4.8. обращения субъектов, поступившие к Исполнителю напрямую, в течение 2 (двух) рабочих дней пересылать Оператору и сообщать субъекту, кому передано обращение; по существу не отвечать без указания Оператора;

4.9. привлекать к обработке только лиц, указанных в Приложении 2. О замене или добавлении такого лица уведомлять Оператора не менее чем за 10 (десять) календарных дней. Оператор вправе возразить; если Стороны не договорятся, Оператор вправе отказаться от Договора и Соглашения. Исполнитель отвечает перед Оператором за действия привлечённых лиц как за свои;

4.10. допускать к персональным данным только лиц, которым доступ нужен для работы и поддержки Сервиса и которые приняли обязательства о конфиденциальности;

4.11. не осуществлять трансграничную передачу персональных данных, кроме доставки уведомлений через Telegram и push-уведомлений браузера по пункту 5.5 и Приложению 2.

5.1. Оператор обеспечивает законные основания обработки, в том числе получает согласия субъектов, а для несовершеннолетних — согласия их законных представителей, когда согласие требуется. Получение согласия Оператор подтверждает в Сервисе при добавлении ученика, а для учеников, перенесённых из другой системы, — письменно при переносе. Оператор вправе указать в Сервисе ссылку на свою политику обработки персональных данных — она показывается рядом с подтверждением согласия.

5.2. Оператор вносит в Сервис только данные, необходимые для целей из раздела 2.

5.3. Оператор назначает сотрудникам роли в Сервисе, отвечает за их действия и своевременно закрывает доступ сотрудникам, прекратившим работу у Оператора.

5.4. Оператор самостоятельно выполняет обязанности оператора персональных данных: направляет уведомление в уполномоченный орган (статья 22 Закона о персональных данных), принимает документы по статье 18.1, отвечает на обращения субъектов.

5.5. Уведомления через Telegram доставляются сервисом Telegram, серверы которого находятся за пределами Российской Федерации; уведомления через ВКонтакте — в пределах Российской Федерации. Уведомления в мессенджерах получают только те, кто сам подключил бота Сервиса: ученики, их законные представители, сотрудники Оператора и лицо, зарегистрировавшее кабинет Оператора. Push-уведомления сотрудникам доставляются службами push-уведомлений браузеров (Приложение 2) в зашифрованном виде и не содержат имён учеников. Оператор самостоятельно решает, предлагать ли ученикам и сотрудникам подключение Telegram, и в этом случае выполняет требования статьи 12 Закона о персональных данных.

5.6. Указания Исполнителю Оператор направляет по электронной почте с адреса, на который зарегистрирован кабинет Оператора в Сервисе (далее — «адрес Оператора»).

6.1. Соглашение вступает в силу с момента акцепта и действует до прекращения Договора. Обязательства о конфиденциальности, возврате и уничтожении данных действуют до их полного исполнения.

6.2. По запросу Оператора, направленному до прекращения Договора или в течение 30 (тридцати) календарных дней после него, Исполнитель передаёт Оператору его данные в электронном виде в распространённом формате (например, CSV).

6.3. Исполнитель уничтожает персональные данные Оператора в течение 30 (тридцати) календарных дней с даты передачи данных по пункту 6.2, а если передача не запрошена — с даты истечения срока для запроса, если иное не предусмотрено федеральным законом. Из резервных копий данные удаляются по циклу их обновления — не позднее 14 (четырнадцати) календарных дней после уничтожения в основной базе данных.

6.4. Данные отдельного ученика Оператор может полностью удалить в Сервисе самостоятельно; удаление из резервных копий происходит в срок, указанный в пункте 6.3.

6.5. Уничтожение данных Исполнитель подтверждает актом, который направляет Оператору по его запросу.

7.1. Исполнитель несёт ответственность перед Оператором за обработку персональных данных по Соглашению (часть 5 статьи 6 Закона о персональных данных).

7.2. Ответственность перед субъектами персональных данных за действия Исполнителя несёт Оператор.

7.3. В остальном ответственность Сторон определяется Договором и законодательством Российской Федерации.

8.1. Уведомления, запросы и указания по Соглашению Стороны направляют по электронной почте: Исполнитель — на адрес Оператора, Оператор — на адрес Исполнителя support@rytmspace.com. Сообщение считается полученным в день отправки.

8.2. Исполнитель вправе изменить Соглашение, опубликовав новую редакцию на этой странице и сообщив о ней Оператору в кабинете Сервиса. Новая редакция действует для Оператора с момента её принятия в кабинете; до этого действует принятая ранее редакция.

8.3. Приложения 1–3 являются неотъемлемой частью Соглашения.

8.4. Сервис хранит запись об акцепте: кабинет, учётную запись и адрес электронной почты принявшего, дату, время и редакцию Соглашения — в течение срока действия Соглашения и 3 (трёх) лет после его прекращения. По запросу Оператора Исполнитель направляет ему подтверждение акцепта на адрес Оператора, а Стороны подписывают Соглашение в принятой Оператором редакции на бумаге или обмениваются подписанными скан-копиями; дата заключения Соглашения от этого не меняется.

Исполнитель: Кобзарь Арина Константиновна, ИНН 662343025508, плательщик налога на профессиональный доход. Сервис: rytmspace.com. Электронная почта для указаний: support@rytmspace.com.

Оператор: лицо, принявшее Соглашение в кабинете Сервиса. Название кабинета, адрес Оператора, дата и время принятия фиксируются Сервисом (пункт 8.4). Полное наименование, ИНН, ОГРН или ОГРНИП и адрес Оператор сообщает Исполнителю по его запросу.

1. Ученики, в том числе несовершеннолетние

• имя — в том виде, в котором его вносит Оператор;
• уровень или класс; дата рождения — если её внёс Оператор; часовой пояс и формат занятий;
• расписание и посещаемость: дата, время и длительность занятий, их статус, подтверждение участия;
• заметки сотрудников (видны только сотрудникам) и комментарии, видимые ученику;
• домашние задания: текст, сроки, отметки о выполнении и приложенные файлы — они могут содержать изображения и работы ученика;
• абонементы: число занятий, срок действия, цена, статус;
• оплаты: сумма, дата, способ и примечание — без реквизитов банковских карт;
• идентификаторы в Telegram и ВКонтакте и имя из профиля мессенджера — после подключения бота;
• тексты отправленных уведомлений и отметки об их доставке;
• заявки на запись: имя и контакт, указанные в заявке, выбранное время и статус заявки.

2. Законные представители учеников и другие получатели уведомлений

• идентификаторы в Telegram и ВКонтакте, имя из профиля мессенджера;
• роль получателя (родитель или ученик);
• тексты отправленных им уведомлений и отметки о доставке.

3. Сотрудники Оператора — администраторы и учителя

• имя, адрес электронной почты, роль и статус доступа, даты приглашения и подключения;
• идентификаторы в Telegram и ВКонтакте и адреса подписки на push-уведомления — если сотрудник сам подключил уведомления;
• сведения о том, кто и когда изменил статус занятия или внёс оплату.

Текст уведомления в мессенджере содержит только нужное для напоминания: имя ученика, дату и время занятия, сумму к оплате и реквизиты Оператора для оплаты, текст домашнего задания. Уведомления получают только те, кто сам подключил бота Сервиса.

• Данные и их резервные копии хранятся на серверах в России.
• Соединение с Сервисом шифруется (HTTPS/TLS).
• Каждый кабинет видит только свои данные: доступ разграничен на уровне базы данных (Row Level Security). Внутри кабинета школы доступ определяется ролью, которую назначил Оператор.
• Права доступа по всем таблицам и ролям проверяются автоматически перед каждым изменением Сервиса, затрагивающим школы; доступ сотрудников школ дополнительно проверяется автоматически каждый день.
• Пароли хранятся только в виде хешей; число попыток входа ограничено.
• Прямой доступ к программному интерфейсу базы данных из интернета закрыт. Администрирование серверов — по ключам SSH.
• Персональная страница ученика открывается по уникальной ссылке со случайным кодом. Файлы домашних заданий хранятся в закрытом хранилище и выдаются по временным ссылкам.
• Push-уведомления шифруются на сервере Сервиса ключом браузера сотрудника: служба доставки не может прочитать их текст.
• Резервные копии базы данных создаются ежедневно, хранятся 14 последних копий; восстановление из копии проверено.
• Ведутся журналы обращений к серверу и входов в Сервис. В Сервисе фиксируется, кто из сотрудников изменил статус занятия или внёс оплату.
• Ответственный за организацию обработки персональных данных у Исполнителя — Кобзарь Арина Константиновна.