Поручение на обработку персональных данных

Приложение № 1 к Публичной оферте umky (для школ — Приложение № 2 к договору со школой)

Редакция от дата

Коротко

Данные ваших учеников на umky — под вашим управлением: вы оператор, а мы, ИП Кулюкин, храним и обрабатываем их только по вашему поручению, только для ваших занятий и только в России. Мы не используем их для себя, защищаем по закону, помогаем отвечать на запросы учеников и родителей и сообщим вам об инциденте не позднее чем через 12 часов.

1. Стороны и предмет

1.1. Оператор — учитель, принявший оферту umky, или школа, заключившая договор с ИП Кулюкиным С. О.

1.2. Обработчик — индивидуальный предприниматель Кулюкин Станислав Олегович, ИНН 532125955588, ОГРНИП 326530000018139.

1.3. Оператор поручает, а Обработчик осуществляет обработку персональных данных в объёме и на условиях этого Поручения (ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — Закон о ПДн).

1.4. Поручение — часть договора между Оператором и Обработчиком (оферты или договора со школой). Оператор принимает его вместе с договором. Обработка по Поручению входит в цену тарифа и отдельно не оплачивается.

2. Чьи данные, какие и зачем

2.1. Категории субъектов:

• ученики, которых Оператор приглашает в урок или в задание по ссылке (в том числе несовершеннолетние);
• для школы — также учителя и сотрудники школы, которых школа добавляет в своё пространство, в части сведений об их работе в пространстве школы.

2.2. Перечень персональных данных:

• имя (псевдоним), которое ученик вводит при входе;
• ответы ученика на задания, попытки, отметки времени, итоги, баллы;
• комментарии, оценки и правки учителя к ответам;
• данные, которые Оператор сам вносит в уроки, названия и комментарии в пределах п. 4.3;
• технические данные: секрет устройства (в базе — его хэш), IP-адрес, тип устройства и браузера, события подключения и качества связи, коды диагностики;
• аудио- и видеопотоки и содержимое демонстрируемого экрана участников во время видеосвязи — только передача в реальном времени, без записи;
• для школы — имя, почта и роль учителя или сотрудника в пространстве школы, сведения о проведённых им занятиях.

2.3. Специальные категории персональных данных, биометрические данные, контакты и документы учеников по Поручению не обрабатываются (п. 4.3).

2.4. Цели:

• проведение Оператором занятий с учениками на Платформе: видеосвязь, показ заданий, проверка ответов, итоги;
• выдача, выполнение и проверка домашних заданий;
• хранение уроков, ответов и итогов для работы Оператора;
• обеспечение безопасности, надёжности и восстановления Платформы в части этих данных;
• формирование сводных показателей надёжности Платформы для Оператора.

Для собственных решений о развитии продукта Обработчик использует только итоговые агрегаты, по которым нельзя прямо или косвенно определить ученика, в том числе путём сопоставления с другими доступными ему сведениями. Исходные и псевдонимизированные записи для собственных целей не используются.

IP-адрес и сведения о браузере и устройстве участников занятий Обработчик, кроме того, использует как оператор для собственной цели — защиты Платформы от атак и злоупотреблений (Политика обработки персональных данных, п. 3.4). Эта обработка не входит в Поручение, ведётся на основании законного интереса Обработчика (п. 7 ч. 1 ст. 6 Закона о ПДн) и только в объёме, нужном для защиты.

2.5. Действия: сбор (через формы входа и заданий), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (доступ) Оператору и участникам занятия, которым Оператор открыл доступ, и лицам из п. 6.1, блокирование, удаление, уничтожение. Обработка автоматизированная.

3. Обязанности Обработчика

3.1. Обрабатывать данные только по Поручению, в его целях и в пределах настроек и действий Оператора на Платформе. Указанием Оператора считаются его действия в аккаунте (приглашение ученика, выдача задания, удаление, изменение настроек) и письменные обращения с почты аккаунта.

3.2. Не использовать данные для своих целей: не делать ученикам рассылок, не показывать рекламу, не обучать на данных модели ИИ, не публиковать рейтингов, не передавать данные другим учителям и третьим лицам, кроме случаев из этого Поручения и закона.

3.3. Соблюдать конфиденциальность данных и не раскрывать их без согласия субъекта или иного основания, предусмотренного законом (ст. 7 Закона о ПДн).

3.4. Локализация. Записывать, систематизировать, накапливать, хранить, уточнять и извлекать данные только с использованием баз данных на территории России (ч. 5 ст. 18 Закона о ПДн). Обработчик и его подрядчики не передают данные по Поручению иностранным получателям. Встроенное содержимое зарубежных сервисов не загружается на страницах Платформы автоматически; при переходе во внешний сервис или загрузке такого содержимого по нажатию участника Платформа не передаёт сервису имя, ответы, идентификаторы и секреты ученика. Данные учеников в запросы к сервису генерации уроков с помощью ИИ не передаются; этот сервис не является подрядчиком по Поручению.

3.5. До начала обработки определить актуальные угрозы и уровень защищённости, реализовать применимые меры по ст. 18.1 и 19 Закона о ПДн, постановлению Правительства РФ от 01.11.2012 № 1119 и составу мер из приказа ФСТЭК России от 18.02.2013 № 21, оценить их эффективность и документировать результат; поддерживать меры весь срок обработки (раздел 5).

3.6. Подтверждать меры. По запросу Оператора в течение всего срока Поручения, в том числе до начала обработки, в течение 10 рабочих дней предоставлять документы и сведения, подтверждающие принятие мер и соблюдение требований Поручения и ст. 6 Закона о ПДн (описание мер, документ (акт) об определении уровня защищённости по пп. 9–12 Требований, утверждённых постановлением Правительства РФ от 01.11.2012 № 1119, сведения о местах хранения, перечень подрядчиков). Секреты доступа и сведения, раскрытие которых прямо облегчит атаку, исключаются, но это не должно мешать проверке соблюдения требований. Типовой пакет таких документов публикуется для всех операторов подготовить.

3.7. Помогать с запросами субъектов. Если ученик или его законный представитель обратился к Обработчику напрямую, Обработчик фиксирует дату обращения, не позднее 1 рабочего дня передаёт его Оператору и сообщает заявителю, что оно передано. Передача обращения не продлевает сроки, установленные законом. Если в обращении сообщается о неправомерной обработке, Обработчик незамедлительно блокирует соответствующие данные на время проверки; при сообщении о неточных данных — тоже, если блокирование не нарушает права и законные интересы ученика или третьих лиц (ч. 1 ст. 21 Закона о ПДн). По указанию Оператора уточнять, блокировать и уничтожать данные: обычно Оператор делает это сам в интерфейсе; если нужна помощь Обработчика — не позднее 1 рабочего дня с указания; выявленная неправомерная обработка прекращается не позднее 3 рабочих дней с момента её выявления (ч. 3 ст. 21).

3.8. Инциденты. При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) данных, повлёкшей нарушение прав субъектов:

• немедленно принять меры к устранению;
• без неоправданной задержки, не позднее 12 часов с момента выявления, направить Оператору первичное уведомление с имеющимися сведениями: время выявления, что произошло, какие данные и чьи затронуты (насколько известно), предполагаемые причины и вред, принятые меры, контакт для связи. Неполнота сведений не задерживает отправку. Письмо на почту аккаунта содержит только факт инцидента и ссылку; подробности — в кабинете Оператора;
• не позднее 48 часов с момента выявления предоставить результаты расследования, полученные к этому моменту, и сведения о лицах, действия которых стали причиной (если установлены); дальнейшие сведения — по мере установления;
• предоставить Оператору фактические сведения и образец текста для уведомлений Роскомнадзора по ч. 3.1 ст. 21 Закона о ПДн; уведомления направляет Оператор. Сроки 24 и 72 часа для Оператора могут считаться от выявления инцидента Обработчиком, поэтому Обработчик сообщает о нём как можно раньше;
• предоставить Оператору сведения и техническое содействие для исполнения его обязанности по ч. 12 ст. 19 Закона о ПДн (взаимодействие с ГосСОПКА). Собственные обязанности оператора по данным учителей Обработчик исполняет сам.

3.9. Привлекать подрядчиков из п. 6.1 (для ООО «Бегет» — см. оговорку в п. 6.1) только по договорам, которые определяют данные, действия, цели и обязанности, обеспечивающие исполнение этого Поручения: конфиденциальность, локализацию, защиту, содействие по запросам, уничтожение и незамедлительное сообщение об инцидентах. Обработчик отвечает перед Оператором за действия подрядчиков как за свои.

4. Обязанности Оператора

4.1. Обеспечить законное основание обработки данных учеников до их приглашения: договор с учеником или его законным представителем (п. 5 ч. 1 ст. 6 Закона о ПДн) или согласие. Для ученика младше 14 лет договор заключает или согласие даёт законный представитель; ученик 14–17 лет заключает договор с письменного согласия законного представителя (п. 1 ст. 26 ГК РФ).

4.2. До приглашения ученика получить подтверждаемое согласие ученика или его законного представителя на поручение обработки ИП Кулюкину С. О. и на привлечение подрядчиков из п. 6.1, кроме случаев, когда конкретная норма федерального закона допускает поручение без согласия (такое исключение Оператор документирует). Согласие оформляется отдельно от договора и других подписываемых документов. Если основание обработки — договор с родителем, ученик должен быть в нём выгодоприобретателем (получателем занятий). Шаблоны уведомления и согласия Обработчик даёт бесплатно.

4.3. Вносить только необходимое. Не вносить в Платформу фамилии, телефоны, адреса, почту, даты рождения, сведения о здоровье, фото документов учеников и иные данные сверх нужного для занятий; не просить учеников вводить такие данные в ответах. Ученик может войти под именем без фамилии или ником.

4.4. Выполнять обязанности оператора: обеспечить неограниченный доступ к своей политике обработки персональных данных (ч. 2 ст. 18.1 Закона о ПДн) — Платформа позволяет разместить её по готовому шаблону и показывает ссылку на неё на странице входа в урок и в задание до ввода имени реализовать; отвечать на запросы субъектов, уведомлять Роскомнадзор о намерении обрабатывать персональные данные, если это обязательно (ст. 22 Закона о ПДн). Для уведомления Обработчик по запросу сообщает сведения о местах хранения данных и мерах защиты.

4.5. Своевременно удалять данные учеников, которые больше не нужны, — в интерфейсе Платформы.

4.6. Ответственность перед учениками и их законными представителями за действия Обработчика несёт Оператор; Обработчик отвечает перед Оператором (ч. 5 ст. 6 Закона о ПДн).

5. Меры защиты

5.1. Обработчик принимает, в частности, следующие меры:

• определяются уровень защищённости персональных данных в информационной системе и актуальные угрозы (модель угроз и акт уровня — до 13.11.2026; до этого применяются меры, перечисленные ниже); меры по требованиям постановления Правительства РФ № 1119 для этого уровня;
• доступ к данным — только у лиц, которым он нужен для работы, по личным учётным записям; разграничение доступа на уровне строк базы данных: каждый Оператор видит только свои данные, ученик — только свою попытку;
• ученик не получает правильных ответов, пока попытка не закрыта; ученику не показываются данные других учеников;
• передача данных — только по защищённым каналам (HTTPS/TLS, защищённые соединения видеосвязи);
• журналы событий безопасности; в журналах приложения скрываются секреты, данные сессий и адреса почты;
• резервное копирование и регулярная проверка восстановления; с подключения резервного сервера (п. 6.1) копии хранятся также у другого провайдера в России;
• мониторинг доступности и тревога о сбоях;
• секреты и ключи доступа хранятся отдельно от кода, с минимальными правами;
• проверка безопасности кода и инфраструктуры перед крупными выпусками;
• уничтожение данных с подтверждением: акт и выгрузка из журнала регистрации событий по требованиям приказа Роскомнадзора от 28.10.2022 № 179; подтверждающие документы хранятся 3 года с ограниченным доступом и предоставляются Оператору по запросу (это отдельный срок, не срок технического журнала удалений).

5.2. Обработчик не применяет к данным учеников средства распознавания лиц и голоса.

Обязательные меры не убирать из текста — их нужно выполнить до начала обработки (08-rkn-and-launch-checklist.md). Убирать можно только дополнительные меры, не требуемые для установленного уровня защищённости.

6. Подрядчики Обработчика

6.1. Оператор разрешает Обработчику привлекать для хранения и передачи данных следующих лиц (все — в России):

Подрядчики только хранят и передают данные по командам Обработчика; доступа к содержимому для своих целей у них нет. Провайдеры мониторинга и почты данных учеников не получают: письма Оператору об инцидентах и уведомления не содержат имён и ответов учеников.

6.2. О новом подрядчике с доступом к данным учеников Обработчик сообщает Оператору письмом не позднее чем за 10 дней. Новый подрядчик получает доступ после этого срока и после того, как обеспечены нужные правовые основания, включая согласия, если они требуются. Если Оператор в этот срок возразит, данные этого Оператора новому подрядчику не передаются, а если это технически невозможно — Оператор вправе отказаться от договора и получить деньги за неиспользованные дни; данные он может выгрузить.

7. Сроки и уничтожение

7.1. Данные учеников хранятся, пока Оператор их не удалил. Данные гостей, у которых не было активности 12 месяцев, удаляются автоматически. Технические события — до 13 месяцев, коды диагностики — 30 дней, секреты устройств — до окончания срока ссылки.

7.2. При удалении данных Оператором, удалении его аккаунта или прекращении договора данные удаляются из рабочей базы и хранилищ в течение 30 дней (если договор расторгаем мы, данные остаются доступными Оператору для выгрузки до конца 30-го календарного дня — п. 16.3 оферты, — затем уничтожаются), если закон не устанавливает более короткий срок (например, 10 рабочих дней при неустранимой неправомерной обработке — ч. 3 ст. 21 Закона о ПДн). Из резервных копий данные выборочно удалить невозможно, поэтому там они блокируются и уничтожаются при плановой замене копий — штатно в течение 14 дней; если закон требует более короткого срока, копии с этими данными заменяются досрочно; срок не более 6 месяцев (ч. 6 ст. 21 Закона о ПДн) применяется только в исключительном случае, когда уничтожить данные в установленный срок невозможно. Заблокированные данные используются только для восстановления системы после сбоя; восстановление ведётся так, что данные, подлежащие уничтожению, удаляются по журналу удалений до возобновления работы с ними.

7.3. Если у аккаунта Оператора 12 месяцев нет пробного или оплаченного периода (п. 8.4 оферты), аккаунт удаляется вместе с данными учеников после писем Оператору за 60, 30 и 7 дней с предложением выгрузить данные; это срок хранения по Поручению, о котором Оператор знает заранее (утверждён 15.10.2026). В режиме без оплаты Обработчик хранит данные и даёт Оператору их просматривать и выгружать, но новые данные учеников в Платформу не поступают (кроме ответов по уже выданным заданиям до окончания их срока).

7.4. До удаления аккаунта Оператор может выгрузить данные учеников (ответы и итоги) в машиночитаемом виде функция выгрузки — к пилоту; до неё — по запросу в течение 10 рабочих дней.

7.5. По окончании Поручения Обработчик прекращает обработку и уничтожает данные по п. 7.2, если закон не требует иного.

8. Срок действия

Поручение действует, пока действует договор между Оператором и Обработчиком, и до завершения уничтожения данных по разделу 7.