Поручение на обработку персональных данных

1 Стороны и принятие поручения

1.1. Клиент по основному договору — владелец проекта школы, определяющий цели обработки данных этого проекта, — является Оператором. В настоящем поручении термин «Школа» означает именно этого Клиента как лицо, а не программный кабинет или проект. Его наименование или ФИО, реквизиты и уполномоченный представитель фиксируются при заключении основного договора. Обработчик — ИП Солодовников Андрей Николаевич, ИНН 701737907049, ОГРНИП 325700000033623, адрес [уточняется: адрес ИП для юридически значимых сообщений], контакт support@crebiz.ru. Выделенный школе поддомен вида <поддомен школы>.crebiz.ru является техническим адресом проекта; оператором данных школы остается указанный Клиент.

1.2. Поручение принимается Клиентом лично либо его уполномоченным представителем в кабинете до первого сбора, импорта или загрузки данных пользователей школы: отдельным подтверждением присоединения к приложению с фиксацией аккаунта, полномочий, даты, времени и версии текста. При отсутствии такого механизма стороны подписывают документ допустимой электронной подписью или на бумаге до начала обработки. Акцепт поручения не является согласием учеников.

1.3. Поручение действует в пределах основного договора, доступного функционала и правомерных инструкций Школы. В отношении собственной регистрации клиентов, оплаты платформы и обязательного учета Обработчик выступает самостоятельным оператором; соответствующая обработка регулируется его Политикой. Средства учеников поступают непосредственно автору или школе; CREBIZ не принимает их в пользу Школы. Обработка технических статусов заказов и оплат допускается только при фактически подключенной и согласованной интеграции.

2 Цели данные и допустимые операции

2.1. Цели поручения: техническое обеспечение работы школы, ведение ее клиентской базы, предоставление доступа к материалам, организация взаимодействия учеников и сотрудников, учет учебного прогресса, исполнение обращений субъектов и выгрузка данных Школе. Обработчик не устанавливает новые цели и не использует эти данные для собственной рекламы, продажи баз или обучения моделей искусственного интеллекта. Отправка служебных сообщений ограничена работой школы. Отправка рекламы от имени Школы требует отдельной документированной инструкции, включения соответствующих получателей и проверки оснований такой рассылки; базовое поручение само по себе не является согласием на рекламу.

2.2. Поручение охватывает только обычные персональные данные совершеннолетних лиц из приведенного перечня. Специальные категории, биометрия для установления личности, данные несовершеннолетних, паспортные копии, полный номер банковской карты и CVC/CVV не входят в базовое поручение. Их включение требует отдельного согласования и выполнения применимых требований закона. При выявлении несогласованных данных Обработчик ограничивает соответствующие операции, сообщает Школе и обеспечивает блокирование, прекращение обработки или уничтожение по применимому основанию. Отсутствие такого согласования не позволяет игнорировать уже фактически полученные данные.

Категория субъектов: Потенциальные ученики и ученики

Разрешенные данные: Имя, фамилия, отчество при необходимости; email, телефон, идентификатор пользователя и школы, имя пользователя мессенджера при согласованном подключении; источник заявки, выбранный курс, статус обращения, согласия и их отзыв

Категория субъектов: Ученики в учебном процессе

Разрешенные данные: Выданные доступы, даты и история прохождения уроков, ответы и результаты тестов, оценки, комментарии преподавателей, домашние задания и вложения с обычными персональными данными, сообщения внутри школы, сведения об участии в занятиях; изображение и голос в заданиях и учебных записях без использования для установления личности

Категория субъектов: Преподаватели и сотрудники школы

Разрешенные данные: ФИО, рабочие контакты, идентификатор, роль и назначенные права, связь с курсами или группами, действия по предоставлению доступа, проверке заданий и поддержке учеников; изображение и голос в учебных материалах без использования для биометрического установления личности

Категория субъектов: Лица из перечисленных категорий

Разрешенные данные: Сведения о заказах школы: номер, продукт, сумма, статус оплаты и возврата, дата, идентификатор операции при разрешенной интеграции; технические данные: IP адрес, сессия, браузер, устройство, время и результат действия, необходимые для доступа, безопасности и учета работы школы

3 Порядок исполнения и обязанности школы

3.1. Разрешены сбор через формы Школы и импорт, запись, систематизация, накопление, хранение и резервирование, уточнение, извлечение, поиск, использование для указанных целей, предоставление доступа уполномоченным сотрудникам и самим субъектам, передача Школе при выгрузке, обезличивание, блокирование, удаление и уничтожение. Передача согласованному получателю возможна только в необходимом объеме по документированной инструкции Школы и при законном основании.

3.2. Инструкциями являются настройки и действия уполномоченных пользователей кабинета, предусмотренные этим приложением, и согласованные обращения Школы. Новое пользовательское поле, интеграция или цель, выходящие за перечисленные пределы, допускаются после изменения поручения. Публикация персональных данных в открытом доступе базовым поручением не разрешается.

3.3. Школа определяет законное основание каждой цели, информирует субъектов и обеспечивает необходимое согласие на поручение обработки другому лицу по части 3 статьи 6 Закона № 152-ФЗ, если иное не предусмотрено федеральным законом. Она сохраняет доказательства согласий, полномочий и иных оснований и размещает собственную политику. Школа как оператор исполняет требования статьи 22 об уведомлении Роскомнадзора до начала обработки, если к ее конкретной обработке не применяется предусмотренное законом исключение, а при разрешенной трансграничной передаче — отдельные требования статьи 12. Собственное уведомление CREBIZ не является уведомлением за Школу. Обработчик предоставляет необходимые фактические сведения о порученной обработке; подача документов от имени Школы не входит в это поручение без отдельного полномочия.

3.4. Школа обеспечивает актуальность данных, управление ролями и своевременную передачу обязательных требований об уточнении, блокировании или уничтожении. Обработчик исполняет собственные обязанности независимо от нарушений Школы; отсутствие ее ответа не разрешает продолжать заведомо незаконную обработку. При спорной инструкции Обработчик уведомляет Школу и приостанавливает затронутую операцию до выяснения, обеспечивая законную сохранность данных.

4 Конфиденциальность и защита

4.1. Обработчик обязуется соблюдать конфиденциальность, принципы обработки, требования части 5 статьи 18, статей 18.1 и 19 Закона № 152-ФЗ и применимых нормативных актов. До начала обработки он обеспечивает необходимые организационные и технические меры с учетом угроз, состава данных и определенного в установленном порядке уровня защищенности.

4.2. Требования включают доступ по ролям и служебной необходимости, обязательства работников о конфиденциальности, защиту соединений и учетных данных, регистрацию значимых действий, обновление средств обработки, резервирование и восстановление, выявление инцидентов и контроль удаления. Доступ службы поддержки к данным ограничивается необходимостью обращения или расследования и учитывается в журналах.

4.3. Серверы CREBIZ размещаются в Российской Федерации. Площадки основных баз — [уточняется: наименование поставщика и фактический адрес каждой основной базы данных], резервное хранение — [уточняется: страна и адрес каждой площадки резервного хранения]. Служебная почта обрабатывается в собственной системе CREBIZ Mailcow на отдельной виртуальной машине mail.crebiz.ru; размещение, доступы и привлеченные лица раскрываются в согласованном реестре. Для каждого компонента определяются фактическая территория обработки и доступов. Меры и сведения об информационной системе отражаются в [уточняется: фактически внедренные меры защиты и сведения об ИСПДн без раскрытия секретов безопасности]. Уровень защищенности и сертификация не предполагаются автоматически из факта использования CREBIZ.

4.4. Трансграничная передача, в том числе предоставление доступа иностранному получателю на территории иностранного государства, не разрешена базовым поручением. Она допускается только после отдельной документированной инструкции, определения участников и стран, соблюдения локализации и выполнения оператором статьи 12 Закона № 152-ФЗ, включая отдельное уведомление и допустимый момент начала передачи. Проверяется действующий перечень Роскомнадзора государств с адекватной защитой, а не только участие страны в международной конвенции. Функции ИИ в текущей модели платформы не подключены. Их подключение, как и подключение внешнего сервиса подтверждения доступа, не расширяет поручение автоматически и требует предварительного согласования конкретной функции, данных, получателей, территории и условий обработки. Данные Школы не используются для обучения моделей ИИ.

5 Привлечение других обработчиков

5.1. Школа разрешает привлекать только конкретных лиц из принятой вместе с поручением версии реестра https://crebiz.ru/legal/recipients. Реестр содержит наименование, ИНН при наличии, адрес, роль, операции, категории данных и место обработки. Первоначальные сведения подлежат заполнению: [уточняется: перечень согласованных субобработчиков]. До согласования необходимого лица передача ему не производится.

5.2. Обработчик связывает привлеченное лицо договорными обязанностями не менее строгими, чем применимые условия поручения, проверяет необходимые меры защиты и отвечает перед Школой за порученную ему обработку. Привлечение подрядчика не освобождает Обработчика от обязанностей по безопасности, содействию и уведомлениям.

5.3. О планируемом изменении реестра Школа уведомляется не менее чем за [уточняется: согласованный срок предварительного уведомления о новом обработчике] до передачи новому лицу. Новый получатель данных школы допускается после документированного принятия Школой обновленной версии перечня. Если закон дополнительно требует нового согласия субъекта или иного основания, оно обеспечивается до передачи; молчание не заменяет требуемое согласие. При возражении стороны согласуют иной допустимый способ работы либо последствия отключения соответствующей функции по основному договору.

5.4. Банк, обслуживающий оплату собственной подписки CREBIZ, не включается в поручение школы как обработчик ее учеников только по факту такого эквайринга. Самостоятельные операторы подключаемых школой сервисов определяются отдельно по фактическим функциям.

6 Обращения проверки и инциденты

6.1. Обработчик помогает Школе отвечать субъектам и уполномоченным органам: предоставляет необходимые сведения и выполняет порученные действия в течение [уточняется: согласованный срок содействия Школе] после получения запроса либо быстрее, если иначе будет нарушен обязательный срок. Необходимость дополнительной проверки не допускает пропуска установленного законом срока.

6.2. По запросу Школы, в том числе до начала обработки, Обработчик предоставляет документы и информацию, подтверждающие принятые меры и соблюдение требований поручения. Форма проверки согласуется с учетом конфиденциальности других клиентов; это не может служить основанием полного отказа в предусмотренных законом доказательствах.

6.3. О выявленной неправомерной или случайной передаче, доступе, утрате либо ином инциденте, затрагивающем данные Школы, Обработчик сообщает Школе немедленно, но не позднее [уточняется: согласованный предельный срок первичного уведомления об инциденте, достаточный для соблюдения Школой 24 часов] с момента обнаружения, по согласованному каналу [уточняется: контакт школы для инцидентов]. Обратный контакт Обработчика: support@crebiz.ru. Сообщение содержит доступные на тот момент сведения о времени, характере, категориях и предполагаемом объеме затронутых данных, возможных последствиях, принятых мерах и ответственном контакте. Ожидание завершения расследования не допускается.

6.4. Доступные дополнения передаются не позднее [уточняется: согласованный срок дополнения первичного сообщения], результаты и новые сведения расследования — не позднее [уточняется: согласованный срок передачи результатов расследования, достаточный для соблюдения Школой 72 часов] после обнаружения; далее информация обновляется без неоправданной задержки. Это договорные сроки взаимодействия. Если установлен случай, предусмотренный частью 3.1 статьи 21 Закона № 152-ФЗ, они должны обеспечивать соблюдение Школой обязательных сроков уведомления Роскомнадзора: 24 часа для первого сообщения и 72 часа для результатов расследования; оба срока исчисляются с момента выявления соответствующего инцидента, определяемого законом. Если сведений недостаточно, прямо указываются неопределенность и продолжающиеся действия.

6.5. Обработчик ограничивает последствия, сохраняет необходимые доказательства, восстанавливает законную работу и содействует уведомлениям. Школа выполняет обязанности оператора перед субъектами и органами; Обработчик самостоятельно исполняет обязанности, возложенные законом непосредственно на него. Ни одна сторона не вправе запрещать другой обязательное сообщение уполномоченному органу.

7 Прекращение обработки и уничтожение

7.1. При прекращении платного доступа к данным школы или прекращении договора дальнейшие действия определяются правомерной инструкцией Школы и законом. Если Школа отдельно поручила временное хранение для экспорта, предоставляется окно [уточняется: срок окна выгрузки после прекращения подписки] исключительно для сохранения и передачи данных Школе. Это не означает продолжения учебного обслуживания. При отсутствии такого поручения обработка прекращается и данные уничтожаются в применимые законные сроки.

7.2. Обязательное уничтожение, достижение цели, обоснованный отзыв или требование субъекта имеют приоритет над окном экспорта. Школа не вправе продлить хранение вопреки закону. Обработчик своевременно блокирует необходимые операции, уточняет или уничтожает данные, чтобы Школа могла соблюсти обязательные сроки.

7.3. Удаление охватывает активные базы, копии, промежуточные выгрузки и данные привлеченных обработчиков. Резервное хранение не устанавливает самостоятельного общего срока в 90 дней или иного автоматического продления. Если уничтожение в сроки, предусмотренные частями 3–5.1 статьи 21 Закона № 152-ФЗ, документированно невозможно, Обработчик блокирует данные и обеспечивает уничтожение не позднее шести месяцев, если иной срок не установлен федеральным законом; основание, охваченные системы и срок сообщаются Школе. Плановый жизненный цикл резервирования не должен автоматически заменять обязательные сроки уничтожения.

7.4. По завершении уничтожения Обработчик предоставляет Школе сведения, необходимые для подтверждения уничтожения по приказу Роскомнадзора от 28.10.2022 № 179: акт об уничтожении и, для автоматизированной обработки, выгрузку из журнала регистрации событий с обязательными реквизитами. Акт и выгрузка хранятся три года с момента уничтожения; в них не включаются уничтоженные учебные материалы или иные избыточные данные. При восстановлении из резервной копии ранее исполненные требования об удалении применяются повторно до возобновления обычного доступа.

7.5. Минимальные собственные документы Обработчика о договоре, расчетах и исполнении поручения могут сохраняться на самостоятельном законном основании по его Политике. Это не дает права сохранять учебные профили, задания и клиентскую базу Школы целиком. Ответственность сторон определяется их фактическими обязанностями, законом и основным договором; поручение не исключает предусмотренную законом ответственность Обработчика.