Политика в отношении обработки и защиты персональных данных Индивидуального предпринимателя Санталовой О.В.
(«Детская Академия»)
- ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика определяет порядок обработки и защиты Индивидуальным предпринимателем Санталовой Ольгой Валерьевной (ОГРНИП 305272106000030, ИНН 272206355628, далее — Оператор) персональных данных (далее — ПДн) физических лиц (субъектов данных).
1.2. Политика разработана в соответствии с Конституцией РФ, Гражданским кодексом РФ, Трудовым кодексом РФ, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — ФЗ № 152-ФЗ), Федеральным законом от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации» и Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе».
1.3. Оператор осуществляет обработку ПДн на законной и справедливой основе, ограничиваясь достижением конкретных, заранее определенных и законных целей. Для достижения указанных целей Оператор вправе поручать обработку ПДн третьим лицам на основании заключаемых с ними договоров, содержащих поручение на обработку ПДн, в соответствии с законодательством РФ.
1.4. Настоящая Политика является общедоступным документом и подлежит обязательному опубликованию на официальном сайте Оператора https://kinderacademy.ru/.
2. ЦЕЛИ, КАТЕГОРИИ СУБЪЕКТОВ И СОСТАВ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ
Обработка ПДн осуществляется Оператором строго в рамках 5 (пяти) изолированных целей:
Цель №1: Ведение кадрового и бухгалтерского учета, регулирование трудовых отношений и выполнение обязанностей по раскрытию информации в соответствии с законодательством об образовании.
- Категории субъектов:Работники, состоящие в трудовых отношениях с Оператором.
- Состав ПДн:ФИО; год, месяц, дата и место рождения; пол; адреса проживания и регистрации; телефон; СНИЛС; ИНН; паспортные данные; номер расчетного счета; профессия, занимаемая должность; сведения об образовании и квалификации (включая данные о присвоенных ученых степенях и званиях); сведения о повышении квалификации и (или) профессиональной переподготовке; общий трудовой стаж и стаж работы по специальности.
- Специальные категории:Сведения о состоянии здоровья (в рамках требований ТК РФ) и сведения об отсутствии судимости (обязательно при допуске персонала к педагогической деятельности по ст. 331 ТК РФ).
Цель №2: Рассмотрение резюме и отбор кандидатов на замещение вакантных должностей.
- Категории субъектов: Соискатели вакансий.
- Состав ПДн:ФИО; год, месяц, дата рождения; пол; телефон; email; сведения об образовании, профессии и должностях (содержимое резюме); наличие квалификационной категории педагогического работника; сведения о наличии (отсутствии) ограничений на занятие педагогической деятельностью (включая сведения о наличии/отсутствии судимости); сведения о наличии личной медицинской книжки.
Цель №3: Выполнение требований законодательства РФ по архивному, налоговому и пенсионному учету.
- Категории субъектов:Уволенные сотрудники Оператора.
- Состав ПДн:ФИО; год, месяц, дата и место рождения; доходы; адрес регистрации; СНИЛС; ИНН; паспортные данные; номер и дата трудового договора; сведения о трудовой деятельности и трудовом стаже; сведения о квалификационной аттестации; сведения о наградах, поощрениях и почетных званиях.
Цель №4: Обеспечение работы интернет-сайта kinderacademy.ru, сбор и обработка заявок пользователей, отзывов, а также веб-аналитика с использованием российской метрической программы «Яндекс Метрика».
- Категории субъектов: Пользователи интернет-сайта, посетители сайта.
- Состав ПДн: ФИО (или имя автора отзыва); номер телефона; адрес электронной почты; имя ребенка; возраст ребенка; сведения, вводимые пользователем в интерактивные формы обратной связи; технические данные (сведения о пользовательском устройстве, его идентификатор User ID, IP-адрес, данные о браузере User-Agent, данные файлов cookie, сведения о поведении пользователя на Сайте, собираемые автоматизированным путем через программу «Яндекс Метрика» на основании согласия, выраженного путем совершения конклюдентных действий).
- Ограничение:Использование паспортных данных, сведений о здоровье, а также сбор данных через зарубежные метрические программы (Google Analytics, Meta Pixel) в рамках данной цели категорически запрещены. Трансграничная передача данных не осуществляется.
Цель №5: Заключение, исполнение и прекращение договоров на оказание платных дополнительных образовательных услуг, услуг по присмотру и уходу за детьми
- Категории субъектов:Клиенты (совершеннолетние), законные представители (родители/опекуны), несовершеннолетние клиенты (дети).
- Состав ПДн:ФИО законного представителя; паспортные данные законного представителя; адрес проживания и регистрации; телефон; email; гражданство заказчика; банковские реквизиты (номер счета) плательщика; ФИО ребенка; дата рождения/возраст ребенка; гражданство ребенка; сведения из свидетельства о рождении ребенка (или паспорта ребенка при достижении 14 лет); реквизиты приказов о зачислении, переводе и отчислении.
- Специальные категории:Сведения о состоянии здоровья ребенка (исключительно в объеме информации об отсутствии медицинских противопоказаний для посещения детского центра и допустимом уровне нагрузок).
Цель №6: Направление в адрес пользователей сайта информационных и рекламных материалов (рассылок), продвижение образовательных услуг Оператора на рынке, а также проведение маркетинговых кампаний.
- Категории субъектов:Пользователи интернет-сайта, посетители сайта, потенциальные клиенты (оставившие заявку на Сайте).
- Состав ПДн:Имя; номер мобильного телефона; адрес электронной почты (email).
- Ограничение:Обработка персональных данных в рамках данной цели осуществляется исключительно на основании отдельного, явного и предварительного согласия Субъекта, выраженного путем проставления специального маркера (галочки) в интерактивных формах на Сайте. Проставление галочки по умолчанию (автоматически) запрещено. Использование паспортных данных, сведений о здоровье, а также передача этих данных третьим лицам или использование зарубежных сервисов аналитики (Google Analytics, Meta Pixel) в рамках рекламной цели категорически запрещены.
3. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ
Правовыми основаниями обработки ПДн Оператором являются:
- Трудовой кодекс РФ, Налоговый кодекс РФ, Гражданский кодекс РФ.
- ФЗ от 06.12.2011 № 402-ФЗ «О бухгалтерском учете», ФЗ от 22.10.2004 № 125-ФЗ «Об архивном деле в РФ», Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей».
- Федеральный закон от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации».
- Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе».
- Согласие субъектов ПДн (или их законных представителей) на обработку персональных данных.
4. ПРАВИЛА ОБРАБОТКИ, СРОКИ И ПОРЯДОК УНИЧТОЖЕНИЯ ДАННЫХ
4.1. Обработка ПДн Оператором осуществляется смешанным способом. В целях автоматизации процессов и ведения учета Оператор осуществляет обработку данных с использованием стороннего программного обеспечения (в том числе систем управления сайтами, систем управления взаимоотношениями с клиентами (CRM), облачных баз данных, а также ИТ-сервисов ведения бухгалтерского, налогового и кадрового учета). Базы данных, серверное оборудование Оператора, а также серверные мощности привлекаемых третьих лиц (провайдеров ПО, облачных решений и хостинга) расположены строго на территории Российской Федерации. Трансграничная передача данных не ведется, программные коды зарубежных метрических сервисов на Сайте отсутствуют
4.2. Сбор ПДн клиентов осуществляется лично на рецепции филиалов Оператора (г. Хабаровск, ул. Шеронова, д. 137; ул. Дзержинского, д. 4; ул. Гамарника, д. 37 (детский клуб)) через отдельную Анкету/Согласие, либо на официальном Сайте https://kinderacademy.ru. При сборе ПДн в электронной форме через Сайт Оператор обеспечивает предоставление согласия в виде отдельного самостоятельного электронного документа (формы). Категорически запрещается объединение согласия на обработку ПДн с текстом пользовательских соглашений, публичных оферт на оказание образовательных услуг или интерфейсом отправки отзывов (автоматические «пакетные» согласия при отправке форм). Предоставление согласия выражается пользователем путем совершения осознанного активного действия — самостоятельного проставления отметки («галочки») в специальном поле, которое по умолчанию является незаполненным.
4.3. Запрет на избыточность: Оператору и его сотрудникам категорически запрещено делать, принимать и хранить фотокопии или сканы паспортов, СНИЛС, ИНН, свидетельств о рождении клиентов (детей), а также оригиналы или копии их медицинских справок. Внесение данных клиентов в CRM-систему осуществляется администратором в текстовом виде непосредственно с оригиналов документов в присутствии клиента, после чего оригиналы незамедлительно возвращаются субъекту без создания бумажных или графических копий. Опубликование обязательных сведений о педагогических работниках на Сайте во исполнение ст. 29 ФЗ № 273-ФЗ осуществляется строго в текстовом формате; размещение графических копий (сканов, фото) дипломов и удостоверений сотрудников без их отдельного согласия запрещено.
4.4. Материалы видеофиксации (камеры наблюдения в общих зонах детского центра) используются исключительно в целях обеспечения общей безопасности, сохранности имущества и контроля правопорядка. Данные материалы не обрабатываются с использованием специальных технических средств распознавания лиц, не преследуют цель установления личности конкретного физического лица и не признаются обработкой биометрических персональных данных. Размещение рекламных и отчетных фото/видео с клиентами (детьми) или работниками в сети Интернет (включая раздел «Фотогалерея» и социальные сети) допускается только на основании отдельного письменного Согласия на распространение ПДн (ст. 10.1 ФЗ № 152-ФЗ), подписанного законными представителями (родителями/опекунами).
4.5. Сроки хранения и уничтожение:
- Кадровые документы хранятся в течение срока договора, далее передаются в архив на срок до 50 лет (в соответствии с требованиями архивного законодательства РФ).
- ПДн клиентов по договорам об оказании образовательных услуг и услуг по присмотру и уходу за детьми хранятся в течение срока действия договора и 3 (трех) лет после его окончания.
- ПДн соискателей уничтожаются в течение 30 дней после принятия решения об отказе в приеме на работу.
- Данные в маркетинговых целях (рекламные рассылки, веб-аналитика «Яндекс Метрика») обрабатываются в течение 3 (трех) лет с момента последнего взаимодействия с клиентом либо до момента отзыва согласия субъектом.
- Уничтожение бумажных документов производится способом, исключающим возможность восстановления текста, электронных носителей и файлов — путем их безвозвратного и необратимого удаления из информационных систем оператора. Уничтожение персональных данных подтверждается Актом об уничтожении персональных данных, оформленным в соответствии с требованиями законодательства РФ.
5. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Безопасность ПДн обеспечивается Оператором выполнением комплекса правовых, организационных и технических мер (ст. 18.1 и 19 ФЗ № 152-ФЗ):
- Назначено лицо, ответственноеза организацию обработки ПДн в детском развивающем центре «Детская Академия».
- Работники Оператора(педагогический, административный и вспомогательный персонал) ознакомлены под роспись с требованиями законодательства и локальными актами до допуска к работе.
- Бумажные носители, содержащие персональные данные (договоры с клиентами, документы по личному составу сотрудников, согласия), хранятся в запираемых шкафах или сейфах в помещениях, доступ к которым ограничен и разрешен строго определенному кругу лиц.
- Доступ к информационным системам, используемым оператором для обработки персональных данных, сайтам и облачным сервисам разграничен личными сложными паролями сотрудников в соответствии с их должностными обязанностями. Автоматические учетные записи общего доступа не используются.
- Применяются сертифицированные средстваантивирусной защиты, межсетевые экраны и средства шифрования на рабочих станциях администраторов и руководства центра.
- В договорах со всеми третьими лицами(обработчиками ПДн), которым Оператор поручает обработку данных (включая провайдеров IT-сервисов и хостинга сайта), включаются обязательные требования по обеспечению конфиденциальности и безопасности ПДн при их обработке, а также обязанность по соблюдению требований ст. 19 ФЗ № 152-ФЗ.
6. ВЗАИМОДЕЙСТВИЕ С РОСКОМНАДЗОРОМ И ДЕЙСТВИЯ ПРИ ИНЦИДЕНТАХ
6.1. В случае изменения любых сведений, содержащихся в Реестре операторов (включая регистрационные данные записи № 27-22-007725), Оператор обязуется направить Уведомление об изменениях в Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения (ч. 7 ст. 22 ФЗ № 152-ФЗ).
6.2. В случае установления факта неправомерной или случайной утечки (компрометации) ПДн, Оператор обязан:
- В течение 24 часовнаправить в Роскомнадзор первичное уведомление об инциденте.
- В течение 72 часовпровести внутреннее расследование и направить в Роскомнадзор его результаты.
- Обеспечить оперативное взаимодействиес уполномоченными государственными органами (включая ГосСОПКА в установленном законом порядке) для передачи информации о компьютерном инциденте.
7. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1. Субъект ПДн имеет право на получение информации, касающейся обработки его данных, право на уточнение, блокирование или уничтожение его данных в случае их неполноты или неактуальности, а также право в любой момент отозвать данное им согласие на обработку ПДн путем направления письменного заявления Оператору на адрес электронной почты: alexandra@kinderacademy.ru или почтовым отправлением по адресу: 680000, Хабаровский край, г. Хабаровск, ул. Ленина, д. 23, кв. 17.