Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые оператором персональных данных Ахтямов Рустам Расихович (далее — Оператор) при осуществлении деятельности с использованием сайта https://ugedu.info (далее — Сайт) в рамках проекта «Межрегиональный инновационный центр образовательных технологий (МИЦОТ)».

1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и иными нормативными правовыми актами Российской Федерации в области обработки и защиты персональных данных.

1.3. Политика является документом, определяющим политику Оператора в отношении обработки персональных данных, предусмотренным частью 2 статьи 18.1 Закона о персональных данных, и подлежит опубликованию в свободном доступе на Сайте.

1.4. Политика распространяется на все персональные данные субъектов, обрабатываемые Оператором с применением средств автоматизации и без применения таких средств.

1.5. Действие Политики не распространяется на обработку персональных данных иными лицами, в том числе владельцами сторонних информационных ресурсов, ссылки на которые могут быть размещены на Сайте. Оператор не несёт ответственности за обработку персональных данных такими лицами.

2. Основные понятия

2.1. В Политике используются понятия, определённые статьёй 3 Закона о персональных данных, в том числе:

• персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
• оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных и совершаемые с ними действия;
• распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц;
• уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

3. Сведения об Операторе

4. Принципы обработки персональных данных

4.1. Оператор осуществляет обработку персональных данных на основе принципов, установленных статьёй 5 Закона о персональных данных:

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка персональных данных, несовместимая с целями их сбора;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только те персональные данные, которые отвечают целям их обработки; содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки и не являются избыточными по отношению к ним;
• при обработке обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях — актуальность по отношению к целям обработки;
• хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором;
• обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

5. Правовые основания обработки персональных данных

5.1. Правовыми основаниями обработки персональных данных являются:

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• согласие субъекта персональных данных на обработку его персональных данных (пункт 1 части 1 статьи 6 Закона о персональных данных);
• согласие субъекта персональных данных на обработку персональных данных, разрешённых субъектом персональных данных для распространения (статья 10.1 Закона о персональных данных), — в части публикации сведений об итогах мероприятий;
• согласие законного представителя несовершеннолетнего, не достигшего возраста четырнадцати лет (часть 6 статьи 9 Закона о персональных данных);
• договор, стороной которого является субъект персональных данных (пункт 5 части 1 статьи 6 Закона о персональных данных), — при оформлении наградных документов на возмездной основе на условиях публичной оферты, размещённой на Сайте;
• настоящая Политика и иные локальные акты Оператора.

5.2. Обработка персональных данных субъекта прекращается по достижении целей обработки, при отзыве согласия либо при выявлении неправомерной обработки, если иное не предусмотрено законом.

6. Цели обработки персональных данных

6.1. Оператор обрабатывает персональные данные в следующих целях:

• организация и проведение сетевых состязательных мероприятий (конкурсов, олимпиад, викторин, тестирований) для обучающихся и педагогических работников;
• организация и проведение вебинаров и иных мероприятий для педагогических работников;
• приём, регистрация и оценка конкурсных материалов;
• идентификация участников мероприятий и подтверждение их участия;
• информирование участников о порядке проведения, ходе и результатах мероприятий;
• подготовка, оформление и направление наградных и подтверждающих документов (дипломов, сертификатов, свидетельств, благодарственных писем);
• осуществление расчётов за оформление наградных и подтверждающих документов, подтверждение факта оплаты;
• публикация сведений об итогах мероприятий — при наличии согласия субъекта на обработку персональных данных, разрешённых для распространения;
• рассмотрение обращений, запросов и претензий субъектов персональных данных и предоставление ответов на них;
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации.

6.2. Обработка персональных данных в целях, не предусмотренных пунктом 6.1, не осуществляется.

7. Категории субъектов и обрабатываемых персональных данных

7.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• обучающиеся образовательных организаций — участники мероприятий, в том числе несовершеннолетние;
• педагогические работники — участники мероприятий, руководители конкурсных работ, кураторы;
• лица, направившие обращение Оператору через Сайт, электронную почту или иные каналы связи.

7.2. Обрабатываются следующие персональные данные:

7.3. Оператор не обрабатывает специальные категории персональных данных, предусмотренные статьёй 10 Закона о персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни), а также биометрические персональные данные, предусмотренные статьёй 11 Закона о персональных данных.

7.4. Оператор не обрабатывает реквизиты банковских карт и иные платёжные реквизиты плательщиков. Приём платежей осуществляется через платёжный сервис; обработка платёжных реквизитов производится оператором соответствующего платёжного сервиса самостоятельно, в соответствии с его собственными правилами и политикой обработки персональных данных.

7.5. Оператор не осуществляет обработку персональных данных в целях продвижения товаров, работ и услуг на рынке путём осуществления прямых контактов с потенциальным потребителем, а также в целях политической агитации.

7.6. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных.

8. Порядок и условия обработки персональных данных

8.1. Обработка персональных данных осуществляется с согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.

8.2. Согласие на обработку персональных данных предоставляется субъектом при заполнении формы регистрации на Сайте либо иным способом, позволяющим подтвердить факт его получения. Согласие может быть отозвано субъектом в любое время в порядке, предусмотренном разделом 12 настоящей Политики.

8.3. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), распространение (при наличии согласия по статье 10.1 Закона о персональных данных), обезличивание, блокирование, удаление, уничтожение.

8.4. Обработка персональных данных осуществляется смешанным способом: с использованием средств автоматизации и без использования таких средств.

8.5. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с частью 5 статьи 18 Закона о персональных данных.

8.6. Оператор не осуществляет трансграничную передачу персональных данных.

8.7. Сроки обработки и хранения персональных данных:

8.8. По достижении целей обработки, при утрате необходимости в их достижении, а также в случае отзыва субъектом согласия персональные данные подлежат уничтожению либо обезличиванию в срок, не превышающий тридцати дней с даты наступления соответствующего обстоятельства, если иной срок не установлен законодательством Российской Федерации или договором.

8.9. Факт уничтожения персональных данных подтверждается актом об уничтожении персональных данных, составляемым Оператором.

9. Обработка персональных данных несовершеннолетних

9.1. Оператор осознаёт, что значительную часть участников мероприятий составляют несовершеннолетние, и принимает дополнительные меры при обработке их персональных данных.

9.2. Обработка персональных данных несовершеннолетнего, не достигшего возраста четырнадцати лет, осуществляется с согласия его законного представителя (родителя, усыновителя, опекуна) в соответствии с частью 6 статьи 9 Закона о персональных данных.

9.3. Направление заявки на участие в мероприятии от имени несовершеннолетнего допускается законным представителем либо педагогическим работником образовательной организации при условии получения им согласия законного представителя несовершеннолетнего. Лицо, направляющее заявку, подтверждает наличие у него полномочий на передачу персональных данных несовершеннолетнего Оператору.

9.4. Объём персональных данных несовершеннолетних участников ограничивается сведениями, необходимыми для проведения мероприятия и оформления наградного документа. Адреса места жительства, сведения о документах, удостоверяющих личность, и иные избыточные сведения о несовершеннолетних не запрашиваются и не обрабатываются.

9.5. Законный представитель несовершеннолетнего вправе в любое время отозвать согласие на обработку персональных данных несовершеннолетнего, потребовать уточнения, блокирования или уничтожения таких данных, а также отозвать согласие на их распространение.

10. Распространение персональных данных

10.1. Публикация на Сайте и в иных общедоступных источниках сведений об итогах мероприятий, содержащих персональные данные участников (фамилия, имя, отчество, наименование образовательной организации, результат участия), осуществляется исключительно при наличии согласия субъекта персональных данных на обработку персональных данных, разрешённых субъектом для распространения, оформленного отдельно от иных согласий в соответствии со статьёй 10.1 Закона о персональных данных.

10.2. В отношении несовершеннолетних, не достигших возраста четырнадцати лет, такое согласие даёт законный представитель.

10.3. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешённых для распространения.

10.4. Субъект персональных данных вправе в любое время потребовать прекратить передачу (распространение, предоставление, доступ) персональных данных, разрешённых для распространения. Требование направляется Оператору способами, указанными в разделе 12 настоящей Политики, и должно содержать фамилию, имя, отчество, контактную информацию субъекта, а также перечень персональных данных, обработка которых подлежит прекращению. Оператор обязан прекратить передачу указанных персональных данных в срок, не превышающий трёх рабочих дней с момента получения требования.

10.5. При отсутствии согласия на распространение сведения об итогах мероприятий публикуются в обезличенном виде либо не публикуются.

11. Передача персональных данных третьим лицам

11.1. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (поручения на обработку персональных данных) в соответствии с частью 3 статьи 6 Закона о персональных данных.

11.2. Договор поручения содержит перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку по поручению, цели обработки, обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать их безопасность, а также требования к защите обрабатываемых персональных данных.

11.3. Лицо, осуществляющее обработку персональных данных по поручению Оператора, не обязано получать согласие субъекта персональных данных на обработку. Ответственность перед субъектом персональных данных за действия указанного лица несёт Оператор.

11.4. Оператор предоставляет персональные данные государственным органам, органам местного самоуправления и иным уполномоченным лицам в случаях и в порядке, предусмотренных законодательством Российской Федерации, в объёме, не превышающем необходимый.

11.5. Оператор не осуществляет продажу персональных данных, не передаёт их в целях осуществления рекламной деятельности третьих лиц и не предоставляет доступ к ним иным лицам, кроме указанных в настоящем разделе.

12. Права субъектов персональных данных и порядок их реализации

12.1. Субъект персональных данных имеет право:

• на получение информации, касающейся обработки его персональных данных, в объёме, предусмотренном частью 7 статьи 14 Закона о персональных данных;
• требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• требовать прекращения передачи (распространения, предоставления, доступа) персональных данных, разрешённых для распространения;
• возражать против обработки персональных данных в случаях, предусмотренных законом;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций) или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.

12.2. Запросы, обращения и требования направляются Оператору по адресу электронной почты ugedu@ugedu.info либо по почтовому адресу, указанному в разделе 3 настоящей Политики.

12.3. Запрос должен содержать сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (в том числе сведения о мероприятии, в котором субъект принимал участие), либо иные сведения, позволяющие идентифицировать субъекта, а также подпись субъекта персональных данных или его представителя. Запрос, направленный в электронной форме, должен быть оформлен в соответствии с законодательством Российской Федерации об электронной подписи либо позволять достоверно установить направившее его лицо.

12.4. Оператор рассматривает запрос и предоставляет ответ в срок, не превышающий десяти рабочих дней с даты получения запроса. Указанный срок может быть продлён, но не более чем на пять рабочих дней, с направлением субъекту уведомления о продлении с указанием причин.

12.5. Отзыв согласия на обработку персональных данных направляется Оператору в письменной форме способами, указанными в пункте 12.2. Обработка персональных данных прекращается, а персональные данные подлежат уничтожению в срок, не превышающий тридцати дней с даты поступления отзыва, за исключением случаев, когда обработка может быть продолжена в соответствии с частью 2 статьи 9 и частями 1—5 статьи 6 Закона о персональных данных.

12.6. Отзыв согласия после направления субъекту наградного документа не влечёт признания такого документа недействительным.

13. Меры по обеспечению безопасности персональных данных

13.1. Оператор принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных, в соответствии со статьями 18.1 и 19 указанного Закона.

13.2. Правовые меры:

• утверждение и применение настоящей Политики, публикация её в свободном доступе на Сайте;
• утверждение локальных актов по вопросам обработки персональных данных, в том числе определяющих порядок доступа к персональным данным, порядок реагирования на запросы субъектов и на инциденты;
• утверждение форм согласий на обработку персональных данных, включая отдельное согласие на обработку персональных данных, разрешённых субъектом для распространения.

13.3. Организационные меры:

• функции лица, ответственного за организацию обработки персональных данных, Оператор осуществляет лично;
• доступ к персональным данным имеет исключительно Оператор; иные лица к обработке персональных данных не допущены;
• осуществление внутреннего контроля соответствия обработки персональных данных требованиям законодательства и настоящей Политике;
• проведение оценки вреда, который может быть причинён субъектам персональных данных в случае нарушения требований законодательства;
• ограничение объёма собираемых персональных данных сведениями, необходимыми для достижения заявленных целей;
• обеспечение сохранности носителей персональных данных и определение мест их хранения;
• рассмотрение обращений и запросов субъектов персональных данных в установленные сроки.

13.4. Технические меры:

• определение уровня защищённости персональных данных при их обработке в информационной системе персональных данных в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119;
• определение актуальных угроз безопасности персональных данных и применение мер по их нейтрализации в соответствии с приказом ФСТЭК России от 18.02.2013 № 21;
• разграничение прав доступа и парольная защита учётных записей;
• применение средств межсетевого экранирования;
• передача персональных данных по информационно-телекоммуникационной сети «Интернет» с использованием защищённого соединения по протоколу TLS;
• регистрация и учёт событий безопасности;
• резервное копирование данных и контроль возможности их восстановления;
• контроль за принимаемыми мерами и оценка их эффективности.

14. Действия при нарушении требований к защите персональных данных

14.1. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных:

• в течение двадцати четырёх часов с момента выявления такого инцидента — о произошедшем инциденте, предполагаемой причине и предполагаемом вреде, о принятых мерах по устранению последствий, а также сведения о лице, уполномоченном на взаимодействие с уполномоченным органом;
• в течение семидесяти двух часов с момента выявления инцидента — о результатах внутреннего расследования, а также сведения о лицах, действия которых стали причиной инцидента (при наличии).

14.2. В случае выявления неправомерной обработки персональных данных Оператор в срок, не превышающий трёх рабочих дней с даты выявления, прекращает неправомерную обработку. Если обеспечить правомерность обработки невозможно, Оператор в срок, не превышающий десяти рабочих дней с даты выявления, уничтожает такие персональные данные и уведомляет об этом субъекта персональных данных.

14.3. В случае выявления неточных персональных данных Оператор блокирует их с момента обращения субъекта на период проверки и уточняет в срок, не превышающий семи рабочих дней с даты представления подтверждающих сведений.

15. Заключительные положения

15.1. Настоящая Политика вступает в силу с момента её утверждения Оператором и опубликования на Сайте и действует бессрочно до замены её новой редакцией.

15.2. Оператор вправе вносить изменения в настоящую Политику. Новая редакция Политики размещается на Сайте и вступает в силу с момента опубликования, если иное не предусмотрено новой редакцией.

15.3. Актуальная редакция Политики постоянно доступна в свободном доступе по адресу https://ugedu.info/policy.html.

15.4. По вопросам, связанным с обработкой персональных данных, субъект персональных данных вправе обратиться к Оператору по адресу электронной почты ugedu@ugedu.info.