1. Общие положения
Настоящее поручение определяет условия обработки персональных данных при школьном, групповом или организационном использовании Rudmal, когда образовательная организация, центр, кружок, педагог или иной уполномоченный представитель передает данные учеников, законных представителей, сотрудников или иных лиц для работы в Rudmal.
Если между организацией и ИП Рузайкиным Дмитрием Алексеевичем заключен отдельный договор, настоящее поручение применяется в части, не противоречащей такому договору. Если отдельный договор содержит специальные условия обработки персональных данных, применяются специальные условия.
Организация, передающая данные, выступает оператором персональных данных в части целей школьного или группового использования. Rudmal обрабатывает такие данные как лицо, осуществляющее обработку персональных данных по поручению оператора, а также как самостоятельный оператор в пределах собственных законных обязанностей: безопасность сайта, учет оплат, исполнение требований закона, защита прав и хранение доказательств.
2. Предмет поручения
Оператор поручает Rudmal обработку персональных данных для предоставления доступа к платформе, создания и сопровождения классов, курсов, заявлений, заданий, тестов, экзаменационных режимов, статистики, управляемых ученических аккаунтов, встроенного сервиса общения, технической поддержки и иных функций сайта.
Обработка выполняется с использованием средств автоматизации и без них в пределах функционала Rudmal, опубликованных документов, настроек организации и инструкций уполномоченных пользователей.
3. Категории субъектов и данных
В рамках поручения могут обрабатываться данные учеников, законных представителей, учителей, администраторов, сотрудников организации и иных лиц, участвующих в школьном или групповом сценарии.
- идентификационные данные: имя, фамилия, логин, email, телефон при его предоставлении, роль, класс, группа или организация;
- данные аккаунта: настройки профиля, история входов, статусы доступа, временные или сгенерированные учетные данные управляемых аккаунтов;
- учебные данные: курсы, задания, ответы, результаты, прогресс, статистика, комментарии, прикрепленные файлы и активность в личном кабинете;
- коммуникационные данные: сообщения, чаты, группы, каналы, реакции, опросы, жалобы, сведения о модерации, прикрепленные файлы, голосовые сообщения, данные push-уведомлений и настройки приватности/уведомлений, если сервис общения используется в школьном сценарии;
- организационные данные: заявления, формы, статусы рассмотрения, назначенные роли и права доступа;
- технические данные: IP-адрес, user-agent, cookies, сведения об устройстве, браузере, дате и времени действий, событиях безопасности и журнале действий.
Rudmal не поручается обработка специальных категорий персональных данных и биометрических персональных данных. Организация не должна передавать такие данные в Rudmal, если это прямо не согласовано отдельным документом и не обеспечено законным основанием.
4. Действия с персональными данными
Rudmal может совершать сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу внутри функционала сайта, предоставление доступа уполномоченным пользователям, обезличивание, блокирование, удаление и уничтожение персональных данных.
В штатном школьном сценарии персональные данные обрабатываются на сервере Rudmal, расположенном на территории Российской Федерации, и не передаются третьим лицам для самостоятельного использования, рекламы, перепродажи или иных целей, не связанных с исполнением поручения.
Сервис общения chat.rudmal.ru является частью инфраструктуры Rudmal. Сообщения, файлы, реакции, опросы, данные участников чата, настройки приватности и уведомлений обрабатываются для доставки сообщений, синхронизации устройств, хранения истории, модерации, безопасности, рассмотрения жалоб, поддержки пользователей и исполнения требований закона.
Передача третьим лицам допускается только при наличии законного основания: например, государственным органам по законному требованию, платежному сервису, банку или оператору фискальных данных при оплате и возврате, а также подрядчику или сервису, если он фактически привлекается для работы Rudmal, указан в документах и обязан соблюдать конфиденциальность и безопасность данных. При включении push-уведомлений технические данные push-подписки и содержимое уведомления могут обрабатываться через инфраструктуру браузера или операционной системы.
5. Обязанности организации
- определить законные основания обработки и передачи персональных данных в Rudmal;
- получить необходимые согласия законных представителей несовершеннолетних или оформить иное законное основание, если это требуется;
- информировать учеников, родителей, сотрудников и иных субъектов о целях использования Rudmal, составе данных, доступе педагогов к результатам и порядке обращений;
- назначить уполномоченных пользователей и своевременно отзывать доступ при изменении роли, увольнении или прекращении работы с классом;
- не загружать избыточные данные, специальные категории данных, биометрию, пароли от сторонних сервисов, платежные данные и иную информацию, не требующуюся для работы Rudmal;
- обеспечить конфиденциальность выгрузок, CSV-файлов, распечаток, логинов, временных паролей и иных данных после их получения из Rudmal;
- оперативно уведомлять Rudmal об инцидентах, ошибочно выданном доступе, компрометации аккаунта или незаконном размещении данных.
6. Обязанности Rudmal
- обрабатывать персональные данные только в пределах поручения, функционала сайта, опубликованных документов, договора и требований закона;
- принимать правовые, организационные и технические меры защиты персональных данных с учетом ст. 19 Федерального закона N 152-ФЗ, уровня защищенности ИСПДн и применимых требований;
- обеспечивать основную обработку персональных данных на сервере, расположенном на территории Российской Федерации;
- ограничивать доступ к персональным данным по ролям и полномочиям пользователей;
- обрабатывать временные или сгенерированные учетные данные управляемых аккаунтов как конфиденциальную информацию;
- не использовать школьные данные для рекламы третьих лиц и не продавать такие данные;
- содействовать организации в рассмотрении запросов субъектов персональных данных в пределах технических возможностей и роли Rudmal;
- уведомлять организацию о существенных инцидентах, затрагивающих переданные ею персональные данные, если Rudmal выявил такой инцидент и может определить затронутую организацию.
7. Меры защиты
Меры защиты включают разграничение доступа, идентификацию и аутентификацию пользователей, ограничение административных прав, защиту каналов связи, резервное копирование, журналирование значимых действий, контроль ошибок доступа, ограничение выдачи учетных данных и иные меры, необходимые для работы сайта.
Пароли обычных аккаунтов хранятся в необратимом защищенном виде. Хранение паролей управляемых ученических аккаунтов в открытом виде в production-режиме не допускается. Если для школьного сценария требуется выдача временных учетных данных, Rudmal использует защищенные механизмы хранения, отображения, сброса и ограничения доступа.
Использование шифрования, криптографических средств, дополнительных средств защиты, сертифицированных средств защиты информации и специальных процедур определяется с учетом модели угроз, уровня защищенности ИСПДн, инфраструктуры, характера данных и применимых нормативных требований.
8. Локализация и трансграничная передача
При сборе персональных данных граждан РФ Rudmal обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение таких данных с использованием баз данных, находящихся на территории РФ, если применимое законодательство требует такой локализации. Основная обработка данных выполняется на сервере Rudmal в Российской Федерации.
Если для конкретного школьного сценария потребуется трансграничная передача персональных данных, она должна быть предварительно отражена в документах Rudmal, уведомлении Роскомнадзора при необходимости и документах организации.
9. Инциденты и запросы субъектов
При выявлении инцидента Rudmal принимает меры по ограничению последствий, внутренней проверке, восстановлению работы и уведомлению Роскомнадзора в сроки, предусмотренные законодательством РФ, если такая обязанность лежит на Rudmal как операторе или лице, выявившем инцидент.
Организация как оператор самостоятельно рассматривает запросы учеников, родителей, сотрудников и государственных органов в части школьного использования данных. Rudmal содействует организации в пределах функционала сайта, технических возможностей, договора и требований закона.
10. Срок и прекращение поручения
Поручение действует в течение срока школьного или группового использования Rudmal, срока договора с организацией или срока наличия у организации активного доступа к соответствующим функциям.
После прекращения поручения данные удаляются, обезличиваются, архивируются или сохраняются на законном основании с учетом технических возможностей, сроков хранения, бухгалтерских документов, истории оплат, претензий, доказательств согласий, журналов безопасности и иных законных целей.