Политика обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки персональных данных и сведения о реализуемых требованиях к защите персональных данных в сервисе «Journal» (далее — «Сервис») и опубликована во исполнение п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Оператор: Корольков Константин Романович, физическое лицо. Сервис публикуется под псевдонимом «Neitansh», который является псевдонимом Оператора, а не наименованием юридического лица. Сведения о регистрации будут дополнены после получения Оператором соответствующего статуса.

Адрес для направления обращений: legal@theivy.ru. Организация обработки персональных данных осуществляется Оператором лично; иных лиц, имеющих доступ к персональным данным, нет.

Политика применяется ко всем персональным данным, обрабатываемым Оператором в связи с работой Сервиса, и распространяется на обработку как с использованием средств автоматизации, так и без них.

Сервис не является официальным ресурсом АНО ПОО «Московский международный колледж цифровых технологий „Академия Топ“» (далее — «Колледж») и не аффилирован с ним. В отношении данных, обрабатываемых в информационной системе Колледжа, оператором выступает Колледж.

2. Правовые основания обработки

• согласие субъекта персональных данных на обработку его персональных данных (п. 1 ч. 1 ст. 6 Федерального закона № 152-ФЗ), выражаемое при авторизации в Сервисе;
• необходимость обработки для исполнения поручения субъекта, стороной которого он является, — получение учебных данных из информационной системы Колледжа и передача в неё материалов субъекта (п. 5 ч. 1 ст. 6);
• необходимость обработки для осуществления прав и законных интересов Оператора при условии ненарушения прав субъекта — обеспечение безопасности учётных записей и работоспособности Сервиса (п. 7 ч. 1 ст. 6).

Специальные категории персональных данных и биометрические персональные данные Оператором не обрабатываются.

3. Категории субъектов и обрабатываемых данных

Субъекты персональных данных — пользователи Сервиса, являющиеся обучающимися Колледжа, а также посетители сайта Сервиса.

Обрабатываются следующие категории данных:

• идентификационные и контактные: фамилия, имя, отчество, логин учётной записи Колледжа, адрес электронной почты, номер телефона, дата рождения, адрес проживания, фотография профиля;
• сведения об обучении: учебная группа, место учёбы, успеваемость и оценки, посещаемость, расписание, домашние задания и материалы работ, экзамены, достижения и игровые баллы, сведения о начислениях и платежах справочного характера;
• аутентификационные: пароль от учётной записи Колледжа в зашифрованном виде, токены доступа и обновления, идентификаторы сессий;
• технические: IP-адрес, город, регион и страна, определённые по IP-адресу, тип и версия браузера и операционной системы, модель устройства, строка User-Agent, разрешение экрана, язык браузера, часовой пояс, цифровой отпечаток браузера;
• поведенческие и статистические: дата регистрации, количество сессий, суммарное время использования, число активных дней, тип платформы, данные веб-аналитики, включая запись действий в интерфейсе личного кабинета;
• сведения о согласии: редакция принятых документов, дата и время принятия, IP-адрес и сведения о браузере на момент принятия.

4. Цели обработки

• авторизация пользователя и поддержание сессий;
• получение и отображение учебных данных пользователя из информационной системы Колледжа по его поручению;
• передача в информационную систему Колледжа материалов, направляемых пользователем через Сервис;
• защита учётной записи, выявление и пресечение неправомерного доступа, управление списком устройств;
• персонализация интерфейса;
• обеспечение работоспособности, диагностика ошибок и улучшение Сервиса, в том числе средствами веб-аналитики;
• подтверждение факта согласия с документами Оператора;
• рассмотрение обращений субъектов персональных данных.

Обработка в иных целях не осуществляется. Решения, порождающие юридические последствия, исключительно на основании автоматизированной обработки не принимаются.

5. Порядок и условия обработки

С персональными данными совершаются следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.

Обработка осуществляется смешанным способом: автоматизированно программными средствами Сервиса и без использования средств автоматизации при рассмотрении обращений субъектов.

Персональные данные передаются:

• в информационную систему Колледжа — логин и пароль пользователя, токен доступа, направляемые им материалы; цель — авторизация от имени пользователя и исполнение инициированных им действий;
• ООО «ЯНДЕКС» (сервис «Яндекс Метрика») — идентификатор посетителя, IP-адрес, сведения об устройстве и браузере, сведения о действиях в интерфейсе и запись сеанса в личном кабинете; цель — веб-аналитика и диагностика ошибок;
• хостинг-провайдеру — в силу размещения инфраструктуры Сервиса на арендованных серверах;
• уполномоченным государственным органам и суду — по мотивированным требованиям в случаях и порядке, установленных законом.

Данные размещаются на серверах, арендованных Оператором у хостинг-провайдера, и защищены средствами, указанными в разделе 8. Оператор осуществляет контроль места хранения данных и приводит его в соответствие с требованиями законодательства Российской Федерации, включая ч. 5 ст. 18 Федерального закона № 152-ФЗ.

6. Сроки обработки и хранения

При достижении целей обработки, отзыве согласия или требовании субъекта персональные данные уничтожаются в срок, не превышающий 30 календарных дней с даты поступления подтверждённого обращения, если иной срок не установлен законом. Уничтожение производится удалением записей из базы данных и очисткой временного кэша без возможности восстановления.

7. Обработка данных несовершеннолетних

Сервис предназначен для лиц, достигших 14 лет. Обработка данных пользователей в возрасте от 14 до 18 лет осуществляется с ведома и согласия их родителей или иных законных представителей. Законный представитель вправе направить Оператору требование о прекращении обработки и уничтожении данных несовершеннолетнего в порядке раздела 9.

8. Меры по обеспечению безопасности

Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 Федерального закона № 152-ФЗ, в объёме, соразмерном характеру обработки:

• издание и публикация настоящей Политики и сопутствующих документов;
• ограничение круга лиц, имеющих доступ к персональным данным: доступ имеет исключительно Оператор;
• шифрование соединения между пользователем и Сервисом (HTTPS, HSTS);
• хранение пароля от учётной записи Колледжа в зашифрованном виде (AES-256 с индивидуальным вектором инициализации), хранение ключа отдельно от базы данных;
• использование файлов cookie авторизации с флагами HttpOnly и Secure, одноразовые токены обновления сессии;
• разграничение прав доступа в системе управления базой данных, ограничение частоты запросов, защита от подбора учётных данных;
• контроль состава загружаемых файлов, ограничение их типов и размера;
• ведение журналов доступа, резервное копирование;
• регулярное обновление используемого программного обеспечения.

Оценка вреда, который может быть причинён субъектам, и внутренний контроль соответствия обработки требованиям закона проводятся Оператором при существенном изменении состава обрабатываемых данных или применяемых технологий.

9. Права субъектов персональных данных и порядок их реализации

Субъект персональных данных имеет право:

• на получение сведений, предусмотренных ч. 7 ст. 14 Федерального закона № 152-ФЗ, включая перечень обрабатываемых данных, цели, способы и сроки обработки, сведения о лицах, которым данные передаются;
• требовать уточнения, блокирования или уничтожения данных;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в уполномоченном органе по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

Обращение направляется на legal@theivy.ru и должно содержать логин учётной записи и существо требования. Оператор вправе запросить дополнительные сведения, позволяющие удостовериться, что обращение исходит от субъекта или его законного представителя.

Срок рассмотрения обращения — 10 рабочих дней с даты его получения; срок может быть продлён не более чем на пять рабочих дней с уведомлением заявителя. Уничтожение данных производится в срок, указанный в разделе 6.

Отзыв согласия влечёт прекращение обработки и удаление учётной записи, поскольку обработка необходима для функционирования Сервиса.

10. Действия при неправомерном доступе к данным

При установлении факта неправомерной или случайной передачи персональных данных Оператор уведомляет уполномоченный орган в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования, в порядке ч. 3.1 ст. 21 Федерального закона № 152-ФЗ, а также информирует затронутых субъектов.

11. Заключительные положения

Настоящая Политика подлежит изменению при изменении состава обрабатываемых данных, целей обработки или применяемых мер защиты. Новая редакция публикуется на сайте Сервиса, предыдущие сохраняются в разделе «Правовые документы».

Пользовательское изложение тех же правил приведено в Политике конфиденциальности; при расхождении применяется настоящая Политика.