Политика обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности в сервисе SchoolOS — веб-сервисе управления частной школой (учебный процесс, уведомления семьям, финансы школы, приём заявок, публичный сайт школы).

Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и публикуется во исполнение части 2 статьи 18.1 этого закона. Термины употребляются в значениях, определённых 152-ФЗ. Политика распространяется на сервис SchoolOS, личные кабинеты всех ролей, публичные сайты школ, размещённые средствами сервиса, и на сайт самого сервиса.

Условия оказания услуг изложены в публичной оферте и условиях использования; порядок выгрузки и удаления данных подробно описан в документе «Удаление и выгрузка данных».

2. Кто является оператором и для каких данных

Роли по 152-ФЗ различаются в зависимости от того, о чьих данных идёт речь.

Данные обучающихся, их законных представителей и сотрудников школы. Оператором является сама школа, зарегистрировавшая аккаунт в сервисе. Она определяет состав, цели и сроки обработки, получает и хранит согласия, отвечает перед субъектами и надзорным органом. ИП Васильев Д. А. (в публичной оферте — Исполнитель) обрабатывает эти данные по поручению школы (часть 3 статьи 6 152-ФЗ) — в объёме, необходимом для работы сервиса, по указанию школы и не определяя цели обработки самостоятельно. Поручение оформляется присоединением к оферте; его условия — в разделе 8 публичной оферты.

Данные клиентов сервиса. Оператором является Индивидуальный предприниматель Васильев Дмитрий Александрович (ИНН 550108225157, ОГРНИП 318554300086014). К этим данным относятся: сведения о человеке, регистрирующем школу, и о самой школе как клиенте; переписка с технической поддержкой; сведения, необходимые для выставления счёта и учёта оплаты подписки.

3. Категории субъектов и состав данных

Обучающиеся: фамилия, имя, отчество, дата рождения, статус обучения и история его изменений, класс и учебные группы, оценки и итоговые отметки, отметки посещаемости и предупреждения об отсутствии, задания и сданные работы, включая приложенные файлы, служебные заметки администрации.

Законные представители: фамилия, имя, отчество, телефон, адрес электронной почты, тип родства и связь с ребёнком, объём доступа к его данным, обращения в школу и записи на консультации к учителю, а также записи финансового учёта школы (договор, начисления, платежи, квитанции), если школа ведёт финансы в сервисе.

Сотрудники школы: фамилия, имя, отчество, должность, статус, назначенные роли и права, учебная нагрузка и расписание, ставка за проведённый урок и расчёт вознаграждения — если школа пользуется этими возможностями.

Пользователи личного кабинета любой роли: имя, адрес электронной почты и отметка о её подтверждении, изображение профиля, если оно загружено, язык интерфейса, признак включённой двухфакторной защиты, а также переписка внутри сервиса — личные сообщения, приложенные к ним файлы и состав участников беседы. Кроме того, сервис ведёт технические записи о сессиях входа, включая IP-адрес, и журнал действий: кто, что и когда изменил, с сохранением прежнего значения.

Лица, которым разрешено забирать обучающегося: фамилия, имя, отчество, степень родства или иное отношение к ребёнку, телефон, пояснение школы и срок действия разрешения. Эти сведения вносит школа.

Заявки на поступление, поданные через сайт школы: имя, телефон, комментарий, источник обращения и метка рекламной кампании, по которой человек пришёл, стадия работы с заявкой, заметки и история работы с ней (звонки, письма, встречи, смены стадии), ответственный сотрудник, дата следующего контакта, причина отказа, а также подтверждение согласия — дата, редакция настоящей Политики, действовавшая в момент согласия, IP-адрес и сведения о браузере. Отдельно фиксируется согласие на рекламные сообщения: оно не смешивается с согласием на обработку данных. Оператор этих данных — школа.

Каналы доставки уведомлений: идентификатор чата Telegram и адрес push-подписки браузера — если пользователь подключил их сам. Для срочных SMS используется номер телефона родителя из карточки, внесённой школой.

Демонстрационная школа «Меридиан» — открытый пример работы сервиса: все данные в ней вымышлены. Она работает на отдельном демонстрационном стенде, где данные периодически сбрасываются к исходному виду; на боевом сервисе демонстрационный вход выключен.

4. Цели обработки

Школа обрабатывает данные для: ведения журнала, дневника и расписания; учёта посещаемости и выставления итоговых отметок; выдачи и приёма заданий; информирования семей и сотрудников о событиях школы; работы с заявками на поступление; финансового учёта и расчёта вознаграждения сотрудникам; ведения публичного сайта школы; охраны жизни и здоровья ребёнка (экстренная связь, перечень лиц, которым разрешено забирать ребёнка).

Данные обучающихся, их законных представителей и сотрудников ИП Васильев Д. А. обрабатывает только по поручению школы и в целях, которые определила школа: предоставление доступа к сервису, идентификация пользователей и разграничение прав, обеспечение работоспособности и безопасности сервиса, исполнение обязанностей, возложенных законом на обработчика.

Собственные цели ИП Васильев Д. А. касаются только данных клиентов сервиса: исполнение договора с клиентом — регистрация школы, выставление счёта, подтверждение оплаты, уведомления о сроках подписки; рассмотрение обращений в техническую поддержку; исполнение обязанностей, возложенных законом на оператора.

5. Правовые основания

Обработка ведётся на следующих основаниях: договор, стороной или выгодоприобретателем по которому является субъект (пункт 5 части 1 статьи 6 152-ФЗ) — договор школы с семьёй и договор с клиентом сервиса; на этом же основании школа ведёт контакты для экстренной связи и перечень лиц, которым разрешено забирать ребёнка; поручение оператора (часть 3 статьи 6) — для ИП Васильев Д. А. в отношении данных школы; исполнение обязанностей, возложенных на школу законодательством об образовании (пункт 2 части 1 статьи 6); согласие субъекта (статья 9) — там, где обработка не покрыта договором или законом: рекламные сообщения, публикация фотографий, сведения о здоровье. Пункт 6 части 1 статьи 6 — защита жизненно важных интересов — применяется в нештатной ситуации, когда получить согласие невозможно.

Выданные и отозванные согласия фиксируются в журнале согласий (раздел «Согласия» в кабинете школы): кто, когда, на какую цель, из какого источника и при какой редакции Политики. Отзыв фиксируется отдельно и не удаляет запись о ранее выданном согласии — иначе невозможно подтвердить, что обработка до отзыва была законной.

6. Порядок и условия обработки, передача третьим лицам

Обработка ведётся смешанным способом — с использованием средств автоматизации и без них. Данные обрабатываются и хранятся на серверах, расположенных на территории Российской Федерации.

Доступ внутри школы разграничен ролями и правами: сотрудник видит только те данные, которые открыты назначенной ему школой ролью, а родитель — только данные своего ребёнка в объёме, заданном школой. Данные разных школ изолированы на уровне базы данных. Сотрудники и привлечённые лица со стороны ИП Васильев Д. А. получают доступ только в объёме, необходимом для работы и поддержки сервиса.

Персональные данные передаются третьим лицам только в следующих случаях: по поручению школы в рамках работы сервиса; поставщикам услуг доставки сообщений — в объёме, необходимом для доставки конкретного уведомления по выбранному каналу; в случаях, прямо предусмотренных законодательством, — по мотивированным запросам уполномоченных органов.

Каналы доставки уведомлений. Уведомления всегда приходят в личный кабинет — этот канал работает целиком внутри сервиса. Письмо с полным текстом уведомления по умолчанию уходит на адрес электронной почты учётной записи. Письма по событиям учебного процесса и обращениям семей — новая оценка, пропуск или опоздание, задание и работа на проверку, отмена урока и замена учителя, объявление и документ школы, личное сообщение, итоговые оценки, счёт, задолженность и зачтённый платёж, недельный дайджест, запись на консультацию и её отмена, предупреждение родителя о пропуске, обращение семьи и ответ на него — отключаются в настройках уведомлений, по каждому событию отдельно. Служебные письма администрации школы — о сроках подписки, сроках хранения данных, запросах субъектов персональных данных, инцидентах информационной безопасности, обращениях в поддержку и заявках с сайта школы — не отключаются: они означают срок или обязанность школы. В push-уведомление браузера передаётся только сигнал о новом уведомлении — без персональных данных и без текста.

Telegram. Канал привязывает сам пользователь. По умолчанию в чат приходит только сигнал: название школы и сообщение о том, что в сервисе появилось новое уведомление. В настройках уведомлений получатель может включить подробные сообщения — тогда в чат уходит содержание уведомления: имя обучающегося, предмет, оценка, событие. Кроме того, в ответ на команду бота («оценки», «расписание», «завтра») сервис присылает в чат данные, которые пользователь и так видит в своём кабинете: родителю — оценки его детей, ученику — свои, сотруднику — своё расписание. Оценки других учеников бот не присылает никому. Подробные сообщения выключены по умолчанию и отключаются в любой момент; отвязка Telegram прекращает передачу полностью.

Для срочных объявлений на части тарифов предусмотрен платный SMS-канал: школа включает его сама в настройках (по умолчанию он выключен), сообщение уходит родителям, чей номер телефона внесла школа, стоимость списывается с баланса школы (см. страницу тарифов). Оператор SMS-рассылки пока не подключён, поэтому сообщения по этому каналу не отправляются и деньги за них не списываются.

Трансграничная передача. Telegram и push-уведомления пользователь подключает сам, а адрес электронной почты учётной записи может быть на иностранном сервисе. В этих случаях адресные сведения (идентификатор чата, адрес push-подписки, адрес электронной почты) передаются указанным сервисам, серверы которых могут находиться за пределами Российской Федерации, и далее обрабатываются по правилам этих сервисов. Вместе с ними передаётся содержание: на почту — текст письма всегда; в Telegram — содержание уведомлений, если получатель включил подробные сообщения, и ответы бота на его собственные команды. Подключение Telegram и push добровольно, отключить их можно в настройках уведомлений в любой момент; на доступ к сервису это не влияет.

7. Данные несовершеннолетних

Сервис предназначен для учёта обучения детей, поэтому значительная часть данных относится к несовершеннолетним. Данные ребёнка вносит школа. Согласие на их обработку, когда оно требуется, даёт родитель или иной законный представитель (статья 64 Семейного кодекса РФ, статьи 26 и 28 Гражданского кодекса РФ); получить и хранить подтверждение согласия обязана школа как оператор — до внесения данных в сервис. Часть 6 статьи 9 152-ФЗ применяется в другом случае — к согласию за субъекта, признанного недееспособным.

Собственный доступ в кабинет ученик получает по решению школы; в младших классах доступ обычно есть только у родителей. Законный представитель видит данные своего ребёнка в объёме, который задала школа (оценки, посещаемость, финансы, уведомления), и вправе подавать запросы о данных ребёнка от его имени.

8. Специальные категории и биометрия

Биометрические персональные данные сервис не собирает и не обрабатывает: распознавания лиц, отпечатков и иных сведений, используемых для установления личности, в нём нет. Изображение профиля необязательно и служит только оформлением кабинета.

Сведения о состоянии здоровья обрабатываются в ограниченном объёме и только если школа решила их вести. Карточка ученика допускает отметки об аллергиях, особенностях питания, ограничениях, хронических особенностях и отметку вида «прочее» — каждая с указанием степени важности, коротким заголовком и пояснением, — а также контакты для экстренной связи и перечень лиц, которым разрешено забирать ребёнка. Отдельных полей для диагнозов, медицинских заключений и историй болезни в сервисе нет; заголовок и пояснение отметки — свободный текст, и вносить туда диагнозы и заключения врачей школе запрещено. Отметка должна говорить, что персоналу делать, а не что за болезнь у ребёнка.

Такие отметки относятся к специальным категориям персональных данных (статья 10 152-ФЗ). Закон требует оформлять согласие на обработку сведений о здоровье в письменной форме (пункт 1 части 2 статьи 10 152-ФЗ); в журнале согласий школа фиксирует реквизиты такого согласия по цели «Сведения о здоровье», но сам журнал письменного согласия не заменяет. Обрабатываются эти сведения для охраны жизни и здоровья ребёнка, доступ к ним ограничен ролями сотрудников и родителем своего ребёнка.

Иные специальные категории — расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, сведения об интимной жизни, — а также сведения о судимости сервисом не собираются. Полей для них нет. Вносить такие сведения в поля свободного текста (заметки, комментарии, пояснения) школе запрещено.

9. Сроки хранения и порядок уничтожения

Данные хранятся не дольше, чем этого требуют цели обработки и законодательство. Сроки школа настраивает сама в разделе «Хранение данных» — по перечисленным там категориям записей (уведомления, сообщения, посещаемость, предупреждения об отсутствии, заявки с сайта, файлы работ, загруженные таблицы импорта, снимки журнала действий, обращения семей, записи на консультации) и не короче установленного минимума: для посещаемости — не менее 5 лет, как для классного журнала.

Автоматическое удаление по истечении срока по умолчанию выключено. Школа включает его отдельно по каждой категории. Первая автоматическая уборка проходит не ранее чем через 14 дней после предупреждения о предстоящей очистке; предупреждения сервис рассылает раз в неделю, по понедельникам, и только по тем категориям, где уже есть просроченные записи, — поэтому от включения до первой уборки проходит от двух до примерно трёх недель. Пока автоочистка выключена, просроченные записи удаляет администратор школы вручную. По категории «снимки журнала действий» записи не уничтожаются: обезличиваются сохранённые в них прежние и новые значения, а сами записи журнала остаются — они подтверждают, кто и когда менял данные. Данные конкретного ученика, родителя или сотрудника можно временно защитить от удаления, если они нужны для разбирательства или проверки.

По окончании пробного периода или оплаченного срока без продления школа переходит в режим чтения на 45 календарных дней: данные видны и выгружаются, но изменения заблокированы. По истечении этих 45 календарных дней данные школы удаляются из системы. Даты блокировки и удаления показываются заранее в разделе «Подписка».

Администратор в любой момент, в том числе в режиме чтения, может выгрузить данные школы книгой XLSX («Отчёты» → «Выгрузка данных школы»): люди, классы, курсы, оценки, посещаемость, итоговые отметки, финансы, заявки, новости, записи на экскурсии. Расписание, задания, сообщения, документы, загруженные файлы, медицинские сведения и журнал действий в эту выгрузку не входят. Обратной загрузки в сервис нет.

Резервные копии базы данных создаются для защиты от сбоев: ежедневные хранятся 14 дней, недельные — 90 дней, месячные — до 365 дней с даты создания копии. Пока сохраняется копия, сделанная до удаления школы, школа может письменно запросить восстановление своих данных. Отдельного инструмента, поднимающего данные одной школы, в сервисе нет: копия восстанавливается целиком и вручную, поэтому срок такого восстановления не гарантируется, а отдельные записи переносятся по возможности. Резервные копии не переписываются задним числом: если данные придётся поднимать из копии, сделанной до исполнения запроса об удалении, школа исполняет запрос повторно.

Журнал согласий и журнал действий хранятся, пока школа существует в сервисе, и удаляются вместе с ней. После удаления школы остаётся только служебная запись о самом удалении: адрес и название школы, её тариф, дата окончания доступа, дата удаления и счётчики удалённых записей, учётных записей и файлов. Персональных данных в этой записи нет.

10. Права субъекта и порядок их реализации

Субъект персональных данных вправе получить сведения об обработке своих данных, получить их копию, требовать уточнения, блокирования (ограничения обработки) или уничтожения данных, отозвать согласие, а также обжаловать действия оператора в Роскомнадзоре или в суде.

Для этого в личном кабинете есть раздел «Мои данные». Через него подаётся запрос: показать, какие данные хранятся; выдать копию; исправить; удалить; ограничить обработку; отозвать согласие. Запрос можно подать о себе, а законный представитель — о своём ребёнке. Ход рассмотрения и результат видны в том же разделе.

Запрос об удалении исполняется уничтожением либо обезличиванием (часть 3 статьи 21 152-ФЗ). Уничтожаются уведомления и их настройки, сведения о здоровье, экстренные контакты, перечень лиц, забирающих ребёнка, предупреждения об отсутствии, записи на консультации и загруженные файлы; привязки Telegram и push-подписки удаляются, учётная запись в сервисе закрывается. Из переписки уничтожаются сообщения, отправленные самим человеком, и его участие в беседах; сообщения, написанные ему другими участниками, остаются у этих участников. Оценки, посещаемость, итоговые отметки и финансовые документы школы сохраняются, но перестают указывать на человека: имя и контакты в его карточке заменяются обезличенными значениями. Записи журнала согласий остаются как подтверждение законности прежней обработки.

Сведения о здоровье, контакты для экстренной связи и перечень лиц, забирающих ребёнка, хранятся в карточке обучающегося — они уничтожаются по запросу о данных ребёнка. Если взрослый указан в карточке чужого ребёнка как контакт для экстренной связи или как лицо, забирающее ребёнка, эта запись относится к карточке ребёнка: по запросу самого взрослого она не удаляется автоматически — обратитесь в школу, она уберёт запись из карточки.

Сроки ответа: на доступ к данным и выдачу копии — до 10 рабочих дней, на исправление и удаление — до 7 рабочих дней. Срок ответа на запрос доступа и копии может быть однократно продлён не более чем на 5 рабочих дней с уведомлением о причинах продления.

Запросы о данных обучающихся, их законных представителей и сотрудников рассматривает школа как оператор; ИП Васильев Д. А. обеспечивает техническую возможность их исполнения. Запросы о данных клиентов сервиса рассматривает ИП Васильев Д. А.: обращение направляет администратор школы через раздел «Поддержка» в кабинете. Родителям, ученикам и учителям эта форма не доступна — их запросы принимает школа.

Если закон обязывает хранить данные (например, бухгалтерские документы об оплате), в удалении будет отказано — с указанием причины и срока, до истечения которого данные должны храниться.

11. Меры защиты

ИП Васильев Д. А. применяет:

• разграничение доступа по ролям и правам;
• изоляцию данных школ на уровне базы данных — ограничения применяются к каждому запросу, а не только в интерфейсе;
• двухфакторную защиту входа: обязательную для платформенных разделов и доступную пользователям школ;
• журнал действий с сохранением прежних значений;
• регулярное резервное копирование по описанной выше схеме;
• хранение и обработку данных на серверах в Российской Федерации;
• раздел учёта инцидентов информационной безопасности и учений для школы — с расчётом сроков уведомления уполномоченного органа;
• назначение ответственного за организацию обработки персональных данных: со стороны правообладателя им является ИП Васильев Д. А..

Сертификатов соответствия и аттестатов в области защиты информации у сервиса нет.

12. Изменение Политики

Политика может изменяться. Действующая редакция всегда размещена на этой странице, дата редакции указана в её начале. Изменения, затрагивающие порядок хранения и удаления данных либо условия поручения на обработку персональных данных, вступают в силу в порядке и в сроки, установленные разделом 14 публичной оферты — не ранее чем через 30 календарных дней после уведомления школы. Прочие изменения действуют с даты публикации новой редакции на этой странице. Редакция, действовавшая в момент получения согласия, записывается в журнал согласий — поэтому видно, с каким текстом согласился конкретный человек.

13. Контакты

Индивидуальный предприниматель Васильев Дмитрий Александрович, ИНН 550108225157, ОГРНИП 318554300086014. Телефон: +7 999 205-53-80. Администратор школы может направить обращение через раздел «Поддержка» в кабинете.

По данным обучающихся, их законных представителей и сотрудников обращаться следует в свою школу — оператором этих данных является она.