Удаление и выгрузка данных

Кто за какие данные отвечает

Роли по 152-ФЗ здесь разные, и от этого зависит, кому адресовать запрос.

• Данные обучающихся, их законных представителей и сотрудников школы вносит школа. Оператор этих данных — школа; ИП Васильев Д. А. обрабатывает их по поручению школы (ч. 3 ст. 6 152-ФЗ) — в объёме, необходимом для работы сервиса, и не использует для собственных целей. Поручение оформляется присоединением школы к публичной оферте.
• Данные самого клиента — контакты администратора, указанные при регистрации школы, и обращения в поддержку. Оператор этих данных — ИП Васильев Д. А..

Запрос о данных ребёнка, родителя или сотрудника рассматривает школа — в кабинете; запрос о данных, которые школа оставила при регистрации или в поддержке, рассматривает ИП Васильев Д. А.. Перед субъектом за действия обработчика отвечает оператор, то есть школа; обработчик отвечает перед школой (ч. 5 ст. 6 152-ФЗ).

Выгрузка данных школой

Администратор школы в любой момент выгружает данные школы единой книгой XLSX (раздел «Отчёты» → «Выгрузка данных школы»): люди, классы, курсы, оценки, посещаемость, итоговые, финансы, заявки на поступление, новости и записи на экскурсии. Отдельного разрешения на это не требуется, ограничений по числу выгрузок нет.

В книгу входят также расписание, домашние задания, документы школы, сведения о здоровье учеников и внутренние заметки о них. Последние два раздела — самое чувствительное, что есть в системе: файл выходит за пределы сервиса незашифрованным, и обращаться с ним нужно соответственно.

Книга покрывает не все разделы сервиса. В неё не входят переписка внутри сервиса, загруженные файлы (работы учеников, фотографии) и журнал действий. По заявкам на поступление в книгу идут дата, имя, телефон, комментарий, стадия, дата следующего контакта и заметка администратора, а история переговоров с семьёй (звонки, письма, встречи), ответственный сотрудник, причина отказа и метка рекламной кампании — нет. Всё это, если нужно школе после ухода, сохраняют отдельно, пока доступ к кабинету есть.

Выгрузка доступна и в режиме чтения — после того как пробный период или оплаченный срок закончился. Файл — снимок данных на момент выгрузки; он предназначен для чтения и переноса в другую систему. Обратной загрузки этой книги в SchoolOS нет: восстановить школу из собственной выгрузки нельзя.

Переход в другую систему

Уйти можно в любой момент, разрешение и объяснение причин не нужны. Рекомендуемый порядок действий:

• Выгрузите книгу XLSX и сохраните её у себя — на своём компьютере или в своём хранилище. После удаления школы этих данных в сервисе не остаётся.
• Сохраните отдельно то, чего в книге нет: переписку, загруженные файлы (работы учеников, фотографии), историю работы с заявками и журнал действий.
• Откройте файл и проверьте, что в нём есть всё, что нужно новой системе: люди и классы, журнал, посещаемость, итоговые, финансы, заявки на поступление.
• Данные в новую систему загружают из этого файла на её стороне; автоматической передачи между сервисами нет.
• Предупредите родителей и сотрудников, что кабинет школы закроется: уведомления перестанут приходить, а доступ к своим данным они дальше получают у школы, а не в SchoolOS.
• Если часть данных нужно удалить раньше общего срока — сократите сроки хранения по категориям в разделе «Хранение данных» и включите там очистку.

Порядок возврата оплаты за неиспользованный период — в публичной оферте.

Сведения о здоровье

Школа вносит в сервис сведения о здоровье ученика: отметки об аллергиях, особенностях питания, ограничениях, хронических особенностях и отметку вида «прочее» — каждая с коротким заголовком и пояснением, — а также контакты для экстренной связи и перечень лиц, которым разрешено забирать ребёнка (имя, родство, телефон, заметка, срок действия разрешения). Это специальная категория персональных данных (ст. 10 152-ФЗ): такие записи видят сотрудники с отдельным правом доступа и родитель своего ребёнка.

Отдельных полей для диагнозов, медицинских заключений и историй болезни в сервисе нет, но заголовок и пояснение отметки — свободный текст, и вносить туда диагнозы школе нельзя. Отметка должна говорить, что делать персоналу, а не чем ребёнок болен.

В книгу XLSX эти сведения не выгружаются. При исполнении запроса «удалите мои данные» они уничтожаются — вместе с уведомлениями и сообщениями, которые человек отправил сам.

Запросы субъекта данных

Родители, ученики и сотрудники подают запросы о своих данных в личном кабинете, в разделе «Мои данные»: доступ к сведениям об обработке, копия данных, исправление, ограничение обработки, удаление, отзыв согласия. Запрос попадает администратору школы — как оператору — и рассматривается им в разделе «Запросы о данных».

За ребёнка до 14 лет запрос подаёт законный представитель (ст. 64 СК РФ, ст. 28 ГК РФ); с 14 до 18 лет ученик действует с согласия представителя (ст. 26 ГК РФ). Согласие, которое дал представитель, отзывает он же.

Сроки ответа в сервисе считаются в рабочих днях: доступ и копия — 10, исправление, ограничение, удаление и отзыв согласия — 7. Срок по запросу доступа и копии может быть однократно продлён не более чем на 5 рабочих дней; новый срок школа видит в разделе «Запросы о данных». Письма о продлении сервис не отправляет — сообщить заявителю о продлении и его причине должна школа. Эти сроки не длиннее установленных 152-ФЗ.

Удаление исполняется как обезличивание — 152-ФЗ прямо допускает это наравне с уничтожением (ч. 3 ст. 21). Уничтожаются уведомления и их настройки, предупреждения об отсутствии, записи к учителю, загруженные файлы, сведения о здоровье, экстренные контакты и перечень лиц, забирающих ребёнка; привязка Telegram и push-подписки удаляются. Из переписки уничтожаются сообщения, отправленные самим человеком, и его участие в беседах — сообщения, написанные ему другими участниками, остаются у этих участников. Оценки, посещаемость и финансовые документы остаются: посещаемость — часть классного журнала, договоры и счета школа хранит по налоговым правилам. Но они перестают указывать на человека: имя заменяется на обезличенное, дата рождения, телефон и почта обнуляются, учётная запись отвязывается.

Резервные копии задним числом не переписываются. Если данные придётся поднимать из копии, сделанной до исполнения запроса, школа исполняет запрос повторно — в разделе «Запросы о данных».

Выданные и отозванные согласия школа фиксирует в журнале (раздел «Согласия»); отзыв согласия попадает в тот же журнал, поэтому позже видно, чем подтверждалась законность обработки и когда это изменилось.

Запросы о данных, оператором которых является ИП Васильев Д. А. (контакты, оставленные при регистрации школы, обращения в поддержку), администратор школы направляет через раздел «Поддержка» в кабинете.

Сроки хранения

Данные хранятся не дольше, чем требуют цели обработки и законодательство. По истечении срока данные уничтожаются или обезличиваются. Сроки школа настраивает в разделе «Хранение данных» по десяти категориям: уведомления, личные сообщения, отметки посещаемости, предупреждения «не придёт», заявки абитуриентов, файлы и сдачи работ, загруженные файлы импорта, снимки в журнале действий, обращения семьи, записи к учителю.

Ниже установленного минимума срок не опускается: у посещаемости это 5 лет — она часть классного журнала, нормативного документа. Автоочистка по умолчанию выключена; школа включает её отдельно по каждой категории. Первая уборка проходит не раньше чем через 14 дней после предупреждения о предстоящей очистке, а предупреждения сервис рассылает раз в неделю, по понедельникам, и только по тем категориям, где уже есть просроченные записи, — поэтому от включения до первой уборки проходит от 14 дней до примерно трёх недель. Пока автоочистка выключена, просроченные записи удаляет администратор школы вручную.

По категории «снимки в журнале действий» записи не уничтожаются: обезличиваются сохранённые в них прежние и новые значения, а сами записи журнала остаются — по ним видно, кто и когда менял данные.

У автоочистки есть предохранитель — блокировка удаления (legal hold). Она ставится на конкретного человека — ученика, родителя или сотрудника, — а не на категорию данных, и по конкретному основанию: спор, проверка, требование уполномоченного органа. Пока отметка стоит, данные этого человека не удаляются, даже когда срок хранения истёк; когда основание отпало, школа отметку снимает. На две категории блокировка не распространяется: загруженные файлы импорта и снимки в журнале действий очищаются по сроку независимо от неё. Если такие записи нужны для разбирательства, школе стоит сохранить их отдельно или отложить очистку по этим категориям.

Уведомления и каналы за пределами России

Уведомления в кабинете приходят всегда и не отключаются: сообщение остаётся внутри сервиса, на серверах в РФ. Остальные каналы устроены по-разному — и по тому, кто их включает, и по тому, что в них уходит.

• Электронная почта. Письма уходят по умолчанию — на адрес учётной записи, который внесла школа. В письме идёт заголовок и текст уведомления: название школы, повод (новая оценка, пропуск, объявление, сообщение, счёт) и, если уведомление о ребёнке, его фамилия и имя. Ссылки на кабинет письмо не содержит. В разделе «Настройки уведомлений» отключаются письма по событиям учебного процесса и обращений семьи: оценки и итоговые, посещаемость, задания и проверка работ, отмена урока и замена учителя, объявления и документы школы, счета и платежи, личные сообщения, недельный дайджест, запись на консультацию и её отмена, предупреждение о пропуске, обращение семьи и ответ на него. Служебные письма администрации школы — о сроках подписки и хранения данных, запросах субъектов персональных данных, инцидентах, обращениях в поддержку и заявках с сайта школы — не отключаются: они означают срок или обязанность школы.
• Telegram. Канал человек подключает сам — привязкой чата в разделе «Настройки уведомлений». По умолчанию в сообщение идёт название школы и слова о том, что в SchoolOS появилось новое уведомление; имён, оценок и сумм в нём нет. Там же можно включить подробные сообщения — тогда в чат уходит содержание уведомления, включая имя ребёнка и оценку. Бот отвечает на команды человека тем, что он видит в кабинете: родителю — оценки его детей, ученику — свои, сотруднику — своё расписание. Выключить подробности или отвязать чат можно в любой момент.
• Push в браузере. Включается разрешением в браузере. На экран устройства выводится вид события — «новая оценка», «счёт просрочен», «сообщение об отсутствии» — и ссылка на раздел кабинета. Ни названия школы, ни имён, ни оценок, ни сумм в push нет: содержание остаётся в кабинете.
• SMS. Платный канал школы для срочных объявлений, предусмотренный не на всех тарифах. По умолчанию он выключен: школа включает его сама в разделе «Баланс SMS», стоимость сообщений списывается с баланса школы. Сообщения адресуются родителям, у которых школа указала телефон; сотрудники и ученики SMS не получают. Пока ИП Васильев Д. А. не подключил оператора связи, сообщения по этому каналу не отправляются и деньги с баланса за них не списываются.

Три канала передают сведения за пределы России. Для 152-ФЗ это трансграничная передача (ст. 12), и оператором по ней остаётся школа.

• Telegram. При привязке аккаунта уведомления уходят на серверы Telegram — зарубежного сервиса.
• Push в браузере. Если разрешить уведомления, доставка идёт через push-службу вашего браузера; у большинства браузеров она расположена за пределами РФ.
• Почта на зарубежном сервисе. Письмо попадает на серверы того почтового сервиса, адрес которого указан, — вместе с полным текстом уведомления. Если адрес на российском сервисе, письмо остаётся в РФ.

Отвязать Telegram и отключить письма по перечисленным выше событиям можно в разделе «Настройки уведомлений», push — там же и в настройках браузера. Если канал не подключать, уведомления всё равно приходят в кабинет.

Прекращение подписки

Постоянного бесплатного тарифа в SchoolOS нет. Пробный период — 30 календарных дней; в нём действуют ограничения по числу активных учеников и объёму файлов, указанные на странице тарифов. Дальше нужен платный тариф.

Онлайн-оплаты нет: счёт выставляется по обращению администратора школы — из раздела «Поддержка» в кабинете или по контактам ИП Васильев Д. А. в конце этого документа. Оплата — банковским переводом; доступ продлевается после поступления денег, до этого момента оплаченный срок продолжает идти.

После пробного периода или оплаченного срока без продления школа переходит в режим чтения на 45 календарных дней: данные видны, отчёты и выгрузка работают, вносить изменения нельзя. По истечении этих 45 дней данные школы удаляются из системы. Обе даты — начала режима чтения и удаления — показаны в разделе «Подписка».

Журналы согласий и действий удаляются вместе со школой. Остаётся служебная запись о самом удалении: адрес и название школы, её тариф, дата окончания доступа, дата удаления и счётчики удалённых записей, учётных записей и файлов. Персональных данных в этой записи нет.

Резервные копии базы данных создаются ежедневно для защиты от сбоев и хранятся по схеме дед-отец-сын: ежедневные — 14 дней, недельные — 90 дней, месячные — 365 дней с даты создания копии. Пока сохраняется копия, сделанная до удаления школы, школа может письменно запросить восстановление своих данных из неё — по контактам ИП Васильев Д. А. в конце этого документа. Отдельного инструмента, который поднимал бы данные одной школы, в сервисе нет: копия восстанавливается целиком и вручную, поэтому срок такой работы не гарантируется, а отдельные записи переносятся по возможности. После того как копия перезаписана, восстановить данные нельзя.

Как ограничен доступ к данным

Доступ разделён по ролям: сотрудник видит то, что нужно для его работы, родитель — данные своего ребёнка. Школы изолированы друг от друга на уровне базы данных, так что данные одной школы недоступны другой. Двухфакторная защита входа обязательна для платформенных разделов и доступна пользователям школ.

В кабинете есть Академия с уроками по ролям. Администратор школы может написать в поддержку из раздела «Поддержка»; родителям, ученикам и остальным сотрудникам вопросы о своих данных нужно адресовать своей школе — этот раздел им не открыт.

Демонстрационная школа

Демо-школа «Меридиан» — открытый пример работы сервиса. Она доступна на демонстрационном стенде; в рабочем сервисе демонстрационного входа нет. Все данные в ней вымышлены, а сам стенд регулярно возвращается к исходному виду. Вносить в него сведения о реальных людях нельзя: до очередного сброса они видны всем, кто открыл демонстрацию, а восстановление таких записей не предусмотрено.

Связанные документы

Основания и цели обработки, состав данных и права субъектов — политика обработки персональных данных. Правила пользования сервисом — условия использования. Договорные условия доступа — публичная оферта. Тарифы и лимиты — страница тарифов.

Порядок изменения этого документа и срок вступления изменений в силу — те же, что установлены разделом 14 публичной оферты.

Сервис предоставляет ИП Васильев Д. А., ИНН 550108225157, ОГРНИП 318554300086014. Телефон: +7 999 205-53-80.