Поручение на обработку персональных данных

Условия обработки школьных данных ИП Аглиуллиным Эмилем Азатовичем по поручению Заказчика e-school24.

Заказчик остаётся оператором персональных данных.

Он самостоятельно определяет законные цели и основания обработки, информирует субъектов и отвечает на их запросы. Исполнитель не вправе использовать школьные данные для собственных несовместимых целей.

1. Стороны и статус документа

Настоящее поручение применяется вместе с договором, когда владелец аккаунта обрабатывает в e-school24 данные других лиц. Заказчиком может быть юридическое лицо, ИП или физическое лицо, принявшие применимые условия использования. Исполнитель — ИП Аглиуллин Эмиль Азатович, ИНН 742941556623, ОГРНИП 324028000213137.

Физическое лицо самостоятельно определяет законную цель использования Системы. До загрузки реальных данных других лиц оно принимает настоящее поручение, определяет законное основание, выполняет обязанности оператора и не передаёт их Исполнителю только фактом оплаты или включения функции.

2. Цели порученной обработки

предоставление и администрирование аккаунта e-school24;
ведение клиентов, договоров, групп, преподавателей, расписания и посещаемости в пределах включённой функциональности;
публичная запись на занятие по ссылке Заказчика;
техническая поддержка, восстановление работоспособности, обеспечение безопасности и диагностика ошибок;
выгрузка, блокирование или удаление данных по документированному указанию Заказчика.

3. Категории субъектов и данных

Поручение может охватывать следующие категории субъектов: ученики и потенциальные ученики; родители и иные законные представители; плательщики и заказчики договоров школы; работники, преподаватели и иные пользователи Заказчика.

Перечень данных в пределах функциональности e-school24: ФИО; дата рождения; пол; телефон; адрес; сведения о законном представителе или плательщике; реквизиты школьного договора; сведения о филиале, группе, предмете, преподавателе, расписании, записи, посещаемости и комментариях, необходимых Заказчику для учебного процесса; идентификаторы аккаунта и ограниченные технические сведения безопасности.

Специальные категории и биометрические данные не входят в поручение.

Заказчик не загружает сведения о здоровье, политических, религиозных и иных специальных категориях, а также биометрические данные без отдельного письменного соглашения и подтверждённого законного основания.

4. Операции и способы обработки

Исполнитель вправе выполнять с использованием средств автоматизации: сбор через предоставленные формы по указанию Заказчика, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование для работы функций Системы, предоставление уполномоченным пользователям Заказчика, блокирование, удаление и уничтожение.

По умолчанию распространение неопределённому кругу лиц, рекламное профилирование, продажа данных и использование для обучения общедоступных моделей поручением не разрешены. Публичный интерфейс может показывать Ф.И.О. или иной персональный профиль преподавателя только после отдельного согласия этого преподавателя на распространение по статье 10.1 Федерального закона № 152-ФЗ и указания Заказчика; без такого согласия используется псевдоним или обезличенное обозначение.

5. Указания Заказчика

Настоящее поручение, настройки аккаунта и действия уполномоченных пользователей Заказчика являются документированными указаниями в пределах согласованных целей.
Дополнительное указание направляется с контактного email Заказчика на info@e-erp.ru. Исполнитель вправе проверить полномочия отправителя.
Если указание, по мнению Исполнителя, нарушает закон или безопасность других лиц, Исполнитель приостанавливает его исполнение и сообщает причину.

6. Обязанности Заказчика

определить цели, состав, сроки и законные основания обработки для каждой категории субъектов;
выполнить обязанности оператора, включая необходимые уведомления Роскомнадзора, локальные акты и ответы субъектам;
до добавления данных другого лица получить необходимые согласия, когда согласие требуется, и самостоятельно хранить их; при ином применимом законном основании документировать его, информировать субъектов и исполнять их запросы;
не считать трудовой договор универсальным согласием на любую обработку или публичное распространение данных работника; необходимое отдельное согласие оформляется вне e-school24 и хранится Заказчиком самостоятельно;
самостоятельно заполнить отдельное поле «Имя для публичной записи»: до указания настоящего Ф.И.О. или иного идентифицирующего обозначения преподавателя уведомить его о размещении и получить отдельное согласие на распространение по статье 10.1 Федерального закона № 152-ФЗ, а без такого согласия использовать нейтральное обозначение или псевдоним;
понимать, что флажок «Доступен для онлайн-записи» является только технической настройкой; Исполнитель не хранит отметку о согласии или подтверждающий документ и не проверяет его вместо Заказчика;
предоставлять доступ только уполномоченным лицам и своевременно закрывать учётные записи;
не поручать обработку данных, состав и цели которой не согласованы настоящим документом.

7. Обязанности Исполнителя

обрабатывать данные только по указаниям Заказчика и соблюдать конфиденциальность;
применять необходимые правовые, организационные и технические меры, обеспечивать локализацию и внутреннюю организацию обработки в применимой части статей 18, 18.1 и 19 Федерального закона № 152-ФЗ;
не раскрывать данные лицам, не участвующим в оказании услуг, кроме случаев, предусмотренных законом;
не формировать публичную подпись преподавателя из его внутренней фамилии, имени и отчества: e-school24 выводит только отдельно заданное Заказчиком публичное имя, а при его отсутствии — нейтральное слово «Преподаватель»;
по запросу предоставлять документы и сведения, подтверждающие принятые меры и соблюдение поручения, в объёме, не раскрывающем безопасность других клиентов;
содействовать Заказчику в ответах субъектам и выполнении обязанностей оператора;
сообщить Заказчику о признаках неправомерного или случайного доступа незамедлительно, но не позднее четырёх часов с момента обнаружения, не ожидая окончания расследования, и передавать уточнения по мере их получения;
до любой production-обработки реальных данных учеников, родителей, преподавателей и иных третьих лиц подтвердить, что используемые для сбора, записи, систематизации, накопления и хранения базы находятся на территории Российской Федерации. При отсутствии подтверждения допускаются только вымышленные или необратимо обезличенные тестовые записи.

8. Субобработчики

dbstorage используется как собственный внутренний компонент e-school24 под контролем Исполнителя. Если для физического размещения привлекаются хостинг, дата-центр или иная инфраструктура, Исполнитель до обработки проверяет договорное основание их участия, российскую локализацию, конфиденциальность, безопасность и обработку только по допустимому указанию.

По запросу Исполнитель сообщает актуальные категории субобработчиков и их функции. Передача за пределы Российской Федерации без отдельного законного основания и документированного согласования не допускается.

9. Запросы субъектов и контроль

Заказчик принимает и рассматривает обращения субъектов. Исполнитель пересылает Заказчику полученное обращение, относящееся к порученным данным, и по обоснованному запросу выполняет поиск, выгрузку, уточнение, блокирование или удаление в пределах технических возможностей и закона.

Не чаще одного раза в год, а также после подтверждённого существенного инцидента Заказчик вправе запросить документальное подтверждение соблюдения поручения. Проверка проводится без доступа к данным других клиентов, исходному коду, секретам и инфраструктуре, раскрытие которых создаёт угрозу безопасности.

10. Срок, выгрузка и удаление

Поручение действует в течение договора и технического периода завершения обработки.
Заказчик вправе запросить необходимую выгрузку до прекращения доступа либо в течение следующих 30 календарных дней. Исполнитель предоставляет данные в технически доступном машиночитаемом формате либо сообщает объективное ограничение.
После прекращения договора Исполнитель блокирует доступ и по указанию Заказчика возвращает или удаляет порученные данные. Если указание не поступило, данные могут храниться не более 30 календарных дней исключительно для возможной выгрузки, после чего удаляются из активных систем, если закон не требует иного.
Данные в изолированных технологических резервных копиях не используются для обычной деятельности и удаляются по скользящему циклу не более 30 календарных дней после удаления из активной базы. При восстановлении старой копии удаления, выполненные после даты снимка, применяются до возврата базы в работу.
Договорные, платёжные и бухгалтерские документы Исполнителя не относятся к порученным школьным данным и хранятся в предусмотренные законом сроки.

11. Контакты

Указания, запросы о безопасности и документы по поручению направляются на info@e-erp.ru. Сведения Заказчика определяются по акцепту оферты и данным первичной активации.

Настоящее поручение принимается одновременно с офертой и не требует отдельной подписи, если стороны письменно не согласовали иной документ.