Приложение № 1. Поручение на обработку персональных данных

Настоящее Приложение является неотъемлемой частью публичной оферты и определяет условия, на которых Заказчик (далее — «Оператор») поручает Исполнителю (далее — «Обработчик») обработку персональных данных Участников уроков в соответствии с частью 3 статьи 6 Федерального закона № 152-ФЗ «О персональных данных». Приложение вступает в силу с момента акцепта оферты.

1. Предмет поручения

1.1. Оператор поручает Обработчику обработку персональных данных Участников уроков (учеников, их законных представителей и иных приглашённых лиц) в объёме, необходимом для предоставления функций Сервиса.

1.2. Цели: проведение онлайн-занятий (видео- и аудиосвязь, общая доска), сохранение содержимого досок между занятиями, серверная запись уроков по решению Оператора, обеспечение работы и безопасности Сервиса.

1.3. Категории данных: имя, введённое Участником; изображение и голос; содержимое доски (рисунки, тексты, изображения, формулы); записи уроков; IP-адрес и технические данные подключения; сведения о согласии. Специальные категории и биометрические данные Обработчику не поручаются и не должны загружаться в Сервис.

1.4. Действия: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача Участникам урока, блокирование, удаление, уничтожение — с использованием средств автоматизации.

1.5. Срок: на период действия оферты и до удаления данных в порядке раздела 5.

2. Обязанности Обработчика

2.1. Обрабатывать данные только по документированным указаниям Оператора, выраженным в настоящем Приложении и действиях Оператора в Сервисе, и только в целях, указанных в пункте 1.2.

2.2. Соблюдать конфиденциальность данных и принципы и правила обработки, предусмотренные 152-ФЗ; не раскрывать данные третьим лицам без согласия Оператора, кроме случаев, предусмотренных законом.

2.3. Принимать правовые, организационные и технические меры защиты, предусмотренные статьёй 19 152-ФЗ (перечень — в разделе 8 Политики).

2.4. Хранить данные на серверах на территории Российской Федерации; не осуществлять трансграничную передачу.

2.5. Уведомлять Оператора о выявленных инцидентах, повлёкших неправомерную передачу данных, в течение 24 часов с момента выявления на адрес электронной почты Оператора, указанный при регистрации, и сообщать известные сведения о причинах, предполагаемом вреде и принятых мерах; оказывать содействие при расследовании. Уведомление Роскомнадзора и субъектов осуществляет Оператор; Обработчик вправе направить уведомление самостоятельно, если это требуется закону.

2.6. Содействовать Оператору в ответах на обращения субъектов: по запросу Оператора предоставлять сведения об обработке и вносить изменения, блокировать или удалять данные в срок до 10 рабочих дней.

2.7. Не привлекать иных лиц к обработке без уведомления Оператора. Оператор даёт согласие на привлечение: хостинг-провайдера REG.RU (ООО «Регистратор доменных имён РЕГ.РУ»), серверы на территории Российской Федерации, почтового сервиса Mail.ru (только адреса электронной почты пользователей), платёжного сервиса ЮKassa (только данные плательщика). Обработчик отвечает перед Оператором за действия привлечённых лиц.

3. Обязанности Оператора

3.1. До приглашения Участника на урок получить от него (если ему нет 18 лет — от законного представителя) согласие на обработку персональных данных, включая согласие на запись урока, если запись предполагается. Форма согласия — Согласие участника урока; электронное подтверждение на экране входа в урок фиксируется Сервисом. Оператор отвечает за наличие правового основания обработки.

3.2. Самостоятельно выполнять иные обязанности оператора: уведомлять Роскомнадзор об обработке персональных данных, если закон требует такого уведомления, публиковать политику, отвечать на обращения субъектов, хранить записи уроков, сохранённые на своих устройствах, с принятием необходимых мер защиты.

3.3. Не загружать в Сервис данные, обработка которых не нужна для проведения занятий; не включать запись без уведомления Участников; не публиковать записи и материалы уроков без отдельного согласия Участников.

3.4. Указывать Обработчику корректные указания по обработке и своевременно информировать об отзыве согласий (удаление ученика, доски или записи в личном кабинете считается таким указанием).

4. Права субъектов

Обращения субъектов, поступившие Обработчику, передаются Оператору (если из обращения понятно, кто является Оператором) в течение 5 рабочих дней. Оператор остаётся ответственным за ответ субъекту; Обработчик отвечает за выполнение его указаний.

5. Прекращение обработки

5.1. По окончании договора или по требованию Оператора Обработчик прекращает обработку и уничтожает данные в сроки, указанные в разделе 9 оферты, а в резервных копиях — не позднее 30 дней после уничтожения основных данных, если закон не требует их сохранения.

5.2. Оператор вправе до удаления данных самостоятельно выгрузить записи и материалы, сохранённые на его устройствах и в личном кабинете.

6. Ответственность

Стороны отвечают за соблюдение 152-ФЗ в своей части обязанностей. Оператор несёт ответственность перед субъектом за действия Обработчика, а Обработчик — перед Оператором за нарушение настоящего Приложения (часть 5 статьи 6 152-ФЗ), с учётом ограничений ответственности, предусмотренных офертой.