Политика в отношении обработки персональных данных
Проект документа для публикации на сайте EdTech-платформы Learnio с учетом личных кабинетов,
загрузки и модерации материалов, тренажёров, рейтингов, бесплатного и платного доступа.
1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных определяет порядок обработки и защиты персональных данных, осуществляемой Индивидуальным предпринимателем Травинкиным Ильёй Сергеевичем при использовании сайта Learnio, доступного по адресу https://learnio.ru, а также связанных с ним сервисов, разделов, форм, личных кабинетов, инструментов публикации материалов, тренажёров, тестов, карточек, заданий и иных функций платформы.
1.2. Политика разработана в целях исполнения требований законодательства Российской Федерации о персональных данных, обеспечения прав и свобод человека и гражданина при обработке его персональных данных, а также определения прозрачных правил обработки данных пользователей, авторов учебных материалов, представителей образовательных организаций, клиентов, контрагентов и иных лиц, чьи данные обрабатываются в связи с работой платформы.
1.3. Оператор исходит из того, что обработка персональных данных должна быть законной, справедливой, ограниченной конкретными, заранее определёнными и законными целями, а состав обрабатываемых данных должен быть достаточным и не избыточным по отношению к таким целям.
1.4. Настоящая Политика применяется ко всем персональным данным, которые Оператор получает:
- при посещении сайта;
- при регистрации и использовании личного кабинета;
- при загрузке, хранении, модерации и публикации учебных материалов;
- при использовании тренажёров, тестов, карточек, заданий и рекомендаций;
- при обращении к Оператору;
- при оформлении доступа к платному контенту, если такой функционал реализован;
- при подписке на информационные или рекламные рассылки, если такой функционал реализован.
1.5. Настоящая Политика подлежит размещению в открытом доступе на сайте Оператора.
2. Сведения об операторе персональных данных
Срок или условие прекращения обработки: до достижения целей обработки персональных данных; при удалении аккаунта и/или отзыве согласия субъектом персональных данных — в сроки, установленные законодательством РФ; отдельные данные могут храниться дольше при наличии обязанности по закону и/или для защиты прав и законных интересов Оператора.
3. Основные понятия
Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.
Оператор — лицо, самостоятельно или совместно с другими лицами организующее и/или осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных и действия с ними.
Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение.
Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.
Смешанная обработка — сочетание автоматизированной и неавтоматизированной обработки персональных данных.
Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.
Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.
Блокирование персональных данных — временное прекращение обработки персональных данных, кроме случаев, когда обработка необходима для уточнения данных.
Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и/или в результате которых уничтожаются материальные носители персональных данных.
Субъект персональных данных — физическое лицо, к которому относятся персональные данные.
Сайт — совокупность программных и информационных средств, размещённых в сети Интернет по адресу https://learnio.ru.
Личный кабинет — защищённый раздел платформы, доступный после авторизации, предназначенный для использования функций платформы пользователем или автором.
Cookies — небольшие фрагменты данных, сохраняемые браузером на устройстве пользователя и используемые для корректной работы сайта, сохранения сессии, учёта предпочтений, аналитики и обеспечения безопасности, если соответствующий функционал реализован.
4. Категории субъектов персональных данных
Оператор может обрабатывать персональные данные следующих категорий субъектов:
- посетители сайта;
- зарегистрированные пользователи платформы;
- обучающиеся;
- школьники;
- студенты;
- авторы учебных материалов;
- клиенты;
- контрагенты;
- представители образовательных организаций;
- лица, направившие обращения, запросы, заявления или претензии Оператору;
- иные физические лица, чьи данные обрабатываются в пределах целей, прямо связанных с работой платформы и не выходящих за пределы её функционала.
5. Цели обработки персональных данных
- обеспечения работы сайта и его основных функций;
- регистрации пользователя на платформе и создания личного кабинета;
- авторизации в личном кабинете и управления доступом к учётной записи;
- предоставления пользователю возможности пользоваться функциями платформы, включая поиск материалов, сохранение материалов, историю активности, подбор материалов и рекомендации;
- предоставления автору возможности загружать, хранить, направлять на модерацию, редактировать и публиковать материалы;
- проведения модерации материалов, проверки соблюдения правил платформы, защиты от неправомерного контента и злоупотреблений;
- ведения рейтингов пользователей, авторов и материалов, а также отображения иной предусмотренной платформой публичной активности в ограниченном объёме;
- предоставления доступа к бесплатному контенту и, при наличии соответствующего функционала, организации доступа к платному контенту;
- исполнения обязательств перед пользователями, авторами, клиентами, контрагентами и представителями образовательных организаций;
- обработки обращений, заявок, сообщений обратной связи, претензий и запросов субъектов персональных данных;
- направления сервисных уведомлений, связанных с регистрацией, безопасностью, доступом к аккаунту, публикацией материалов, модерацией, изменением условий работы платформы и иными операционными событиями;
- проведения аналитики посещаемости, диагностики ошибок, технического мониторинга, обеспечения устойчивости и улучшения работы платформы;
- обеспечения информационной безопасности, ведения технических журналов, предотвращения мошенничества, нарушений правил платформы, неправомерного доступа и иных злоупотреблений;
- исполнения обязанностей, возложенных на Оператора законодательством Российской Федерации;
- хранения сведений, необходимых для разрешения споров, рассмотрения претензий, подтверждения факта предоставления доступа, публикации материалов, совершения действий в личном кабинете и защиты прав и законных интересов Оператора;
- при наличии отдельного согласия — направления рекламных и информационных рассылок;
- при наличии соответствующего функционала — организации оплаты, возвратов и учёта операций по платному контенту без обработки Оператором полных реквизитов банковских карт, если такие данные обрабатываются платёжным сервисом как самостоятельным участником расчётов.
Публикация материалов
Модерация
Рейтинги
Тренажёры
Платный доступ
6. Перечень персональных данных по каждой цели обработки
6.1. Посещение сайта и просмотр страниц
- IP-адрес;
- cookies;
- сведения о браузере, устройстве, операционной системе;
- сведения о времени доступа;
- referrer;
- сведения о действиях на сайте;
- технические журналы и логи.
6.2. Регистрация на платформе и создание личного кабинета
- фамилия, имя, отчество;
- логин / никнейм;
- адрес электронной почты;
- номер телефона;
- идентификатор пользователя;
- сведения об уровне обучения;
- дата рождения — только если соответствующее поле реально предусмотрено интерфейсом и дата рождения необходима для определения возрастной категории пользователя и соблюдения требований к работе с несовершеннолетними.
6.3. Использование личного кабинета обучающегося
- идентификатор пользователя;
- логин / никнейм;
- адрес электронной почты;
- сведения об уровне обучения;
- сведения о приобретённых, сохранённых, просмотренных и добавленных в избранное материалах;
- история активности на платформе;
- сведения о действиях в личном кабинете;
- результаты прохождения тренажёров, тестов, карточек и заданий;
- технические данные, связанные с использованием платформы.
6.4. Использование личного кабинета автора
- фамилия, имя, отчество;
- логин / никнейм;
- адрес электронной почты;
- номер телефона;
- идентификатор пользователя;
- сведения об уровне обучения и/или образовании — только если такие данные действительно собираются в профиле автора;
- сведения о размещённых материалах;
- сведения о статусах модерации;
- сведения о рейтинге автора;
- сведения о действиях в личном кабинете.
6.5. Загрузка, хранение, модерация и публикация материалов
- идентификатор автора;
- логин / никнейм автора;
- сведения о размещённых материалах;
- сведения о модели доступа к материалу;
- сведения о действиях по загрузке, редактированию, отправке на модерацию, публикации и снятию с публикации;
- служебные журналы модерации;
- отзывы и оценки.
6.6. Обратная связь и обработка обращений
- фамилия, имя, отчество;
- адрес электронной почты;
- номер телефона;
- содержание обращения;
- сведения о ранее совершённых действиях на платформе, если это необходимо для ответа.
6.7. Сервисные уведомления
- адрес электронной почты;
- номер телефона [если уведомления по телефону или SMS реально используются];
- идентификатор пользователя;
- сведения о событиях в учётной записи.
6.8. Аналитика, безопасность и предотвращение злоупотреблений
- IP-адрес;
- cookies;
- сведения о браузере, устройстве и операционной системе;
- сведения о времени доступа;
- технические логи;
- сведения о действиях на сайте и в личном кабинете;
- сведения о попытках входа, подозрительной активности, нарушениях правил платформы.
6.9. Оплата платного контента
- идентификатор пользователя;
- фамилия, имя, отчество;
- адрес электронной почты;
- номер телефона;
- сведения о заказе;
- сведения о приобретённом материале;
- сумма, дата, статус оплаты, возврата и иные сведения о платёжной операции, которые Оператор получает от платёжного сервиса;
- Оператор не должен собирать и хранить полные данные банковских карт, если такие данные обрабатываются платёжным сервисом напрямую.
6.10. Рассылки
- адрес электронной почты;
- номер телефона — только если такой канал рассылки реально используется;
- сведения о подписке, согласии, отказе от рассылки.
Состав данных ограничивается принципами достаточности и минимизации; специальные категории персональных данных и биометрические персональные данные для работы платформы не требуются и Оператор не должен их запрашивать либо обрабатывать без отдельного надлежащего правового основания.
7. Правовые основания обработки персональных данных
7.1. Оператор обрабатывает персональные данные на следующих правовых основаниях:
- согласие субъекта персональных данных на обработку его персональных данных — в случаях, когда такое согласие действительно требуется по закону или выбрано Оператором как соответствующее основание;
- необходимость обработки для заключения и исполнения договора, стороной которого либо выгодоприобретателем по которому является субъект персональных данных, включая регистрацию на платформе, предоставление личного кабинета, доступ к функционалу платформы, публикацию материалов, модерацию, предоставление доступа к бесплатному или платному контенту, направление сервисных уведомлений;
- исполнение обязанностей Оператора, установленных законодательством Российской Федерации, включая обязанности по рассмотрению обращений субъектов, ведению учёта и исполнению требований законодательства о персональных данных, бухгалтерского и иного обязательного регулирования;
- осуществление прав и законных интересов Оператора, в том числе для обеспечения безопасности сайта, предотвращения злоупотреблений, защиты от неправомерного контента, ведения логов, рассмотрения претензий, разрешения споров, защиты прав Оператора, улучшения работы платформы — при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
- отдельное согласие на получение рекламы — для рекламных и маркетинговых рассылок, если такой функционал используется.
7.2. Оператор не исходит из того, что вся обработка персональных данных на платформе основана исключительно на согласии. Для сценариев, связанных с регистрацией, использованием личного кабинета, публикацией материалов, модерацией, исполнением пользовательского соглашения, предоставлением доступа к контенту и сервисным уведомлениям, основным правовым основанием является исполнение договора или меры, предпринимаемые по инициативе субъекта до заключения договора.
7.3. При отзыве согласия Оператор прекращает обработку персональных данных, для которой согласие являлось единственным правовым основанием, если иное не допускается законодательством Российской Федерации. Если обработка может продолжаться на ином законном основании, Оператор вправе продолжить такую обработку в пределах соответствующего основания.
8. Порядок и условия обработки персональных данных
8.1. Обработка персональных данных осуществляется Оператором законно и справедливо.
8.2. Обработка персональных данных носит смешанный характер и может осуществляться с передачей данных по сети Интернет.
8.3. Оператор обрабатывает только те персональные данные, которые необходимы для достижения конкретных целей, указанных в настоящей Политике.
8.4. Доступ к персональным данным предоставляется только тем лицам, которым он необходим для исполнения обязанностей, связанных с работой платформы, при условии соблюдения режима конфиденциальности и иных обязательных требований.
8.5. Оператор вправе поручать обработку персональных данных третьим лицам на основании договора, если такое лицо обязуется соблюдать конфиденциальность, обеспечивать безопасность персональных данных и обрабатывать их только по поручению и в пределах установленной цели, либо передавать данные третьим лицам в случаях, предусмотренных законом.
8.6. Оператор не раскрывает третьим лицам и не распространяет персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом либо не вытекает из существа соответствующего сервиса и выбранных субъектом настроек публичности в рамках платформы.
8.7. При публикации материалов на платформе Оператор исходит из того, что автор предоставляет к размещению только тот контент, в отношении которого у него имеются необходимые права и законные основания. Автор не вправе загружать на платформу персональные данные третьих лиц без надлежащего правового основания. При выявлении нарушений Оператор вправе отказать в публикации, снять материал с публикации, ограничить доступ к нему, запросить дополнительные сведения либо применить иные меры, предусмотренные правилами платформы.
8.8. Оператор не должен требовать от пользователей и авторов предоставления специальных категорий персональных данных, биометрических данных и иных избыточных сведений, если это не требуется законом или отдельно оформленным правовым основанием.
8.9. Оператор вправе использовать персональные данные в обезличенном и агрегированном виде для статистики и развития платформы, если такое использование не позволяет определить конкретного субъекта без дополнительных сведений.
9. Порядок сбора персональных данных на сайте
9.1. Персональные данные собираются Оператором:
- непосредственно у субъекта персональных данных через формы сайта;
- при регистрации и заполнении профиля;
- при использовании личного кабинета;
- при загрузке материалов на платформу;
- при оформлении доступа к контенту;
- при направлении обращений на e-mail Оператора или через формы обратной связи;
- автоматически при использовании сайта и его сервисов, если это связано с технической работой платформы и обеспечением её безопасности.
9.2. При сборе персональных данных через сайт Оператор исходит из необходимости соблюдения требований законодательства Российской Федерации о локализации данных граждан Российской Федерации.
9.3. Если отдельная форма на сайте предполагает получение согласия на обработку персональных данных или на получение рекламы, такая форма должна содержать понятный текст согласия, не смешанный с иными условиями, и фиксировать факт его предоставления [нужно заполнить механизм фиксации согласия].
9.4. Если на платформе используются формы регистрации авторов, формы загрузки материалов, формы обратной связи, формы подписки на рассылку или формы оформления платного доступа, состав полей в таких формах должен соответствовать принципу минимизации и не включать избыточные сведения.
11. Условия передачи персональных данных третьим лицам
11.1. Оператор может передавать персональные данные третьим лицам в следующих случаях:
- субъект дал на это согласие, когда такое согласие требуется;
- передача необходима для исполнения договора с субъектом;
- передача необходима для работы отдельных сервисов платформы;
- передача предусмотрена законодательством Российской Федерации;
- передача осуществляется лицу, обрабатывающему данные по поручению Оператора.
11.2. Передача может осуществляться следующим категориям лиц:
- хостинг / серверная инфраструктура — [нужно заполнить];
- CMS / платформа / движок сайта — [нужно заполнить];
- сервис аналитики — [нужно заполнить];
- платёжный сервис / агрегатор — [нужно заполнить];
- сервис рассылок — [нужно заполнить];
- CRM / система поддержки — [нужно заполнить];
- подрядчики по модерации / технической поддержке — [нужно заполнить];
- иные лица — только при наличии законного основания и в объёме, необходимом для конкретной цели.
11.3. Если обработка персональных данных поручается третьему лицу, в договоре с таким лицом должны быть определены цель обработки, перечень действий, требования к конфиденциальности, меры по обеспечению безопасности и иные обязательные условия.
11.4. При использовании платёжного сервиса данные о платёжной операции могут передаваться соответствующему сервису и связанным с ним участникам расчётов в объёме, необходимом для оплаты, возврата и учёта операции. Полные реквизиты банковских карт должны обрабатываться платёжным сервисом напрямую, если иное не подтверждено отдельно.
11.5. Отдельные получатели данных могут выступать самостоятельными операторами персональных данных в пределах собственных обязанностей по закону и собственных документов о персональных данных.
12. Локализация персональных данных на территории Российской Федерации
12.1. При сборе персональных данных граждан Российской Федерации, в том числе посредством сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение таких персональных данных с использованием баз данных, находящихся на территории Российской Федерации.
12.2. По имеющимся сведениям, местонахождение баз данных — Россия.
12.3. Оператор обязан проверить фактическое соответствие используемой инфраструктуры, хостинга, платформенных и аналитических сервисов требованию локализации данных: [нужно заполнить].
13. Трансграничная передача персональных данных
13.1. Трансграничная передача персональных данных Оператором не осуществляется.
13.2. Если в будущем возникнет необходимость в трансграничной передаче персональных данных, такая передача может осуществляться только после выполнения требований законодательства Российской Федерации, включая предварительное уведомление уполномоченного органа в предусмотренных законом случаях и соблюдение иных обязательных условий.
14. Сроки обработки и хранения персональных данных
14.1. Персональные данные обрабатываются и хранятся не дольше, чем этого требуют цели обработки, если более длительный срок не установлен законодательством Российской Федерации либо не требуется для защиты прав и законных интересов Оператора.
14.2. Основные ориентиры по срокам хранения:
- данные посетителей сайта и технические журналы — в течение срока, необходимого для работы сайта, обеспечения безопасности и анализа инцидентов, конкретный срок хранения логов и аналитических данных: [нужно заполнить];
- данные учётной записи пользователя — до удаления аккаунта пользователем или Оператором и далее в пределах сроков, необходимых для исполнения обязанностей по закону, рассмотрения претензий и защиты прав Оператора;
- данные автора и сведения о размещённых материалах — в течение срока существования аккаунта автора, срока размещения материала и дополнительно в пределах сроков, необходимых для подтверждения факта публикации, разрешения споров, рассмотрения претензий и исполнения обязательств;
- данные по обращениям и запросам — в течение срока, необходимого для рассмотрения обращения и последующего подтверждения его исполнения;
- сведения по оплатам и возвратам — в пределах сроков, установленных законодательством РФ и договорной документацией;
- данные по рекламным рассылкам — до отзыва согласия, отказа от рассылки либо прекращения соответствующего функционала, если отсутствует иное самостоятельное основание для хранения.
14.3. По достижении целей обработки, при утрате необходимости в достижении этих целей, при выявлении неправомерной обработки, а также в иных случаях, предусмотренных законом, персональные данные подлежат уничтожению либо обезличиванию, если иное хранение не требуется по закону.
15. Порядок актуализации, исправления, блокирования, удаления и уничтожения персональных данных
15.1. Оператор принимает меры по поддержанию персональных данных в актуальном состоянии.
15.2. Субъект персональных данных вправе потребовать уточнения своих персональных данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленной цели обработки.
15.3. При подтверждении неточности персональных данных Оператор обязан уточнить их в срок, установленный законодательством Российской Федерации.
15.4. При выявлении неправомерной обработки Оператор обязан прекратить такую обработку.
15.5. При достижении цели обработки либо при отзыве согласия субъектом персональных данных Оператор прекращает обработку и уничтожает персональные данные, если иное не предусмотрено законом либо если Оператор не вправе продолжить обработку на ином законном основании.
15.6. Блокирование, удаление и уничтожение персональных данных осуществляются в порядке, установленном внутренними документами Оператора и применимым законодательством Российской Федерации: [нужно заполнить реквизиты внутреннего порядка, если он утверждён].
16. Права субъекта персональных данных
Субъект персональных данных имеет право:
- получать информацию, касающуюся обработки его персональных данных;
- требовать уточнения, блокирования или уничтожения его персональных данных в случаях, предусмотренных законом;
- отзывать согласие на обработку персональных данных, если обработка основана на согласии;
- возражать против обработки данных для целей рекламных рассылок;
- обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных либо в суд;
- осуществлять иные права, предусмотренные законодательством Российской Федерации.
17. Порядок отзыва согласия и направления обращений оператору
17.1. Субъект персональных данных вправе направить Оператору запрос, обращение, требование об уточнении, блокировании, удалении персональных данных либо отзыв согласия по следующим контактам:
- Почтовый адрес: [нужно заполнить]
- E-mail по вопросам персональных данных: [нужно заполнить]
- Контактный телефон: [нужно заполнить]
17.2. Обращение должно позволять Оператору идентифицировать заявителя и понять содержание требования. При необходимости Оператор вправе запросить дополнительные сведения, подтверждающие полномочия заявителя.
17.3. Ответ на запрос субъекта персональных данных предоставляется в сроки, установленные законодательством Российской Федерации. При наличии предусмотренных законом оснований срок ответа может быть продлён в установленном порядке.
17.4. Отзыв согласия на обработку персональных данных не имеет обратной силы в отношении уже совершённых на законном основании действий и не препятствует обработке персональных данных в тех случаях, когда у Оператора имеется иное законное основание для обработки.
17.5. Для отказа от рекламной рассылки субъекту должен быть предоставлен простой и понятный механизм отписки: [нужно заполнить фактический механизм].
18. Меры по обеспечению безопасности персональных данных
18.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.
18.2. К таким мерам могут относиться:
- назначение лица, ответственного за организацию обработки персональных данных;
- принятие локальных актов по обработке и защите персональных данных;
- разграничение доступа к персональным данным;
- использование учётных записей, паролей и иных механизмов контроля доступа;
- ведение учёта обращений и действий, связанных с обработкой данных;
- контроль соблюдения требований к обработке персональных данных;
- использование мер защиты информации в информационных системах персональных данных;
- применение договорных мер к подрядчикам и лицам, которым поручается обработка данных;
- принятие мер по выявлению и устранению инцидентов безопасности.
18.3. Обработка персональных данных без использования средств автоматизации осуществляется с учётом требований законодательства Российской Федерации к такому формату обработки.
18.4. Конкретный перечень применяемых мер и модель угроз подлежат внутреннему документированию: [нужно заполнить].
19. Особенности обработки персональных данных несовершеннолетних
19.1. Платформа ориентирована в том числе на школьников и студентов, поэтому Оператор исходит из того, что часть пользователей может быть несовершеннолетней.
19.2. Оператор стремится минимизировать объём персональных данных несовершеннолетних и не обрабатывать избыточные сведения.
19.3. Если в конкретном сценарии по законодательству Российской Федерации требуется согласие законного представителя несовершеннолетнего пользователя либо участие законного представителя в заключении или исполнении соглашения, Оператор организует соответствующий механизм до начала такой обработки: [нужно заполнить фактический механизм].
19.4. Оператор вправе ограничить доступ к отдельным функциям платформы до подтверждения необходимого статуса, возраста либо полномочий законного представителя, если это необходимо для соблюдения законодательства Российской Федерации и защиты прав несовершеннолетнего.
19.5. При загрузке материалов на платформу авторы не вправе размещать персональные данные несовершеннолетних третьих лиц без надлежащего правового основания.
20. Заключительные положения
20.1. Настоящая Политика действует бессрочно до замены новой редакцией.
20.2. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения на сайте, если иной срок не указан в самой новой редакции.
20.3. Вопросы, не урегулированные настоящей Политикой, регулируются законодательством Российской Федерации.
20.4. В случае противоречия между настоящей Политикой и обязательными нормами законодательства Российской Федерации применяются нормы законодательства Российской Федерации.
20.5. Актуальная редакция Политики должна быть доступна на сайте Оператора в постоянном доступе.
21. Контактные данные для обращений
Таблица: цели обработки / категории субъектов / перечень данных / правовое основание / способ обработки / срок хранения / передача третьим лицам
| Цель обработки | Категория субъектов | Перечень данных | Правовое основание | Способ обработки | Срок хранения | Передача третьим лицам |
|---|---|---|---|---|---|---|
| Посещение сайта и просмотр страниц | Посетители сайта | IP-адрес, cookies, браузер, устройство, ОС, время доступа, referrer, действия на сайте, логи | Законные интересы Оператора; исполнение договора в части предоставления сайта; согласие — если требуется для отдельных аналитических/маркетинговых технологий | Смешанная, с передачей по сети Интернет | До достижения цели; для логов и аналитики — [нужно заполнить] | Хостинг [нужно заполнить], аналитика [нужно заполнить] |
| Регистрация на платформе | Зарегистрированные пользователи, обучающиеся, школьники, студенты, авторы | ФИО, логин/никнейм, e-mail, телефон, идентификатор пользователя, уровень обучения, дата рождения [если реально нужна] | Заключение и исполнение договора; согласие — если требуется для отдельного поля | Смешанная, с передачей по сети Интернет | До удаления аккаунта и далее в пределах обязательных сроков/сроков защиты прав | CMS/платформа [нужно заполнить], хостинг [нужно заполнить] |
| Авторизация в личном кабинете | Зарегистрированные пользователи, авторы | Логин/никнейм, e-mail, телефон [если используется для входа/подтверждения], идентификатор, сведения о входах, технические данные, логи безопасности | Исполнение договора; законные интересы Оператора по защите аккаунта и сайта | Смешанная | В течение срока существования аккаунта; логи — [нужно заполнить] | Хостинг [нужно заполнить], сервисы авторизации [нужно заполнить] |
| Использование личного кабинета пользователем | Пользователи, обучающиеся, школьники, студенты | Идентификатор, логин/никнейм, e-mail, уровень обучения, история активности, просмотренные/сохранённые/приобретённые материалы, результаты тренажёров и тестов | Исполнение договора; законные интересы Оператора в части развития сервиса | Смешанная | До удаления аккаунта; часть данных дольше — при необходимости по закону или для защиты прав | Хостинг [нужно заполнить], аналитика [нужно заполнить] |
| Использование личного кабинета автором | Авторы учебных материалов | ФИО, логин/никнейм, e-mail, телефон, идентификатор, сведения об образовании [если реально собираются], сведения о материалах, статусах модерации, рейтинге, действиях в кабинете | Исполнение договора; законные интересы Оператора | Смешанная | До удаления аккаунта автора и далее в части данных, нужных для споров и подтверждения публикаций | Хостинг [нужно заполнить], подрядчики по модерации/поддержке [нужно заполнить] |
| Загрузка, хранение, проверка и публикация материалов | Авторы | Идентификатор автора, логин/никнейм, сведения о размещённых материалах, метаданные, статусы модерации, история действий | Исполнение договора; законные интересы Оператора по обеспечению качества и законности контента | Смешанная | В период размещения и далее в пределах, нужных для претензий и защиты прав | Подрядчики по модерации [нужно заполнить], хостинг [нужно заполнить] |
| Модерация материалов | Авторы, пользователи, иные лица, чьи данные могут оказаться в обращениях по модерации | Сведения о материале, сведения об авторе, история модерации, обращения и жалобы, служебные отметки | Исполнение договора; законные интересы Оператора; исполнение обязанностей по закону | Смешанная | До достижения цели и далее при наличии споров | Подрядчики по модерации [нужно заполнить], поддержка [нужно заполнить] |
| Рейтинги, отзывы, пользовательская активность | Пользователи, авторы | Логин/никнейм, идентификатор, оценки, отзывы, рейтинг, история активности | Исполнение договора; законные интересы Оператора; согласие — если требуется для отдельных публичных элементов | Смешанная | Пока активен функционал и аккаунт; далее — по общим срокам | Хостинг [нужно заполнить] |
| Взаимодействие с пользователями по вопросам работы платформы | Пользователи, авторы, посетители, заявители | ФИО, e-mail, телефон, содержание обращения, сведения о проблеме, технические данные | Исполнение договора; исполнение обязанностей по закону; законные интересы Оператора | Смешанная | На срок рассмотрения обращения и далее для подтверждения ответа/защиты прав | CRM/поддержка [нужно заполнить] |
| Сервисные уведомления | Пользователи, авторы | E-mail, телефон [если используется], идентификатор, сведения о событиях аккаунта | Исполнение договора; исполнение обязанностей Оператора | Смешанная | В течение срока использования аккаунта и срока хранения сведений о доставке [нужно заполнить] | Сервис уведомлений [нужно заполнить] |
| Аналитика посещаемости и поведения на сайте | Посетители, пользователи, авторы | Cookies, IP, браузер, устройство, ОС, referrer, события и действия на сайте | Законные интересы Оператора; согласие — если требуется для конкретного аналитического инструмента | Смешанная | [нужно заполнить] | Аналитика [нужно заполнить] |
| Обеспечение информационной безопасности и предотвращение злоупотреблений | Посетители, пользователи, авторы, заявители | IP, логи, сведения о входах, действиях, устройствах, попытках нарушения, жалобах | Законные интересы Оператора; исполнение обязанностей по закону | Смешанная | На срок, необходимый для безопасности, расследования инцидентов и защиты прав: [нужно заполнить] | Хостинг [нужно заполнить], ИБ/поддержка [нужно заполнить] |
| Обработка платежей и возвратов | Пользователи, авторы, клиенты | ФИО, e-mail, телефон, идентификатор, сведения о заказе, сумма, дата, статус оплаты/возврата | Исполнение договора; исполнение обязанностей по закону | Смешанная | В сроки, установленные законом и договорными документами | Платёжный сервис / агрегатор [нужно заполнить], банк/кассовые сервисы [нужно заполнить] |
| Рекламные и информационные рассылки | Пользователи, авторы, подписчики | E-mail, телефон [если используется], сведения о подписке и отказе от рассылки | Отдельное согласие субъекта | Смешанная | До отзыва согласия / отказа от рассылки | Сервис рассылок [нужно заполнить] |
| Обработка запросов субъектов персональных данных | Любые субъекты ПДн, обратившиеся к Оператору | ФИО, контакты, содержание запроса, сведения для идентификации и подтверждения полномочий | Исполнение обязанностей по закону | Смешанная | На срок рассмотрения и далее для подтверждения исполнения обязанности | CRM/поддержка [нужно заполнить] |
| Хранение сведений для разрешения споров и защиты законных интересов Оператора | Пользователи, авторы, клиенты, контрагенты, заявители | Сведения об аккаунте, действиях, публикациях, оплатах, переписке, логах, обращениях | Законные интересы Оператора; исполнение обязанностей по закону | Смешанная | До истечения сроков исковой защиты/обязательных сроков хранения: [нужно заполнить] | Юристы/подрядчики [нужно заполнить], госорганы — если предусмотрено законом |
| Договорная работа с контрагентами и представителями образовательных организаций | Контрагенты, представители образовательных организаций | ФИО, e-mail, телефон, должность [если реально собирается], сведения о взаимодействии и договорных коммуникациях | Заключение и исполнение договора; исполнение обязанностей по закону | Смешанная | На срок договора и далее в обязательные сроки хранения | CRM [нужно заполнить], бухгалтерские/документооборотные сервисы [нужно заполнить] |
Что нужно проверить перед публикацией
- Точный почтовый адрес для обращений субъектов персональных данных.
- Отдельный e-mail по вопросам персональных данных.
- Контактный телефон для обращений по персональным данным.
- Фактический перечень используемых cookies, SDK, пикселей, аналитических счётчиков и иных технологий.
- Наличие и корректность cookie-баннера, если на сайте используются аналитические или маркетинговые технологии сверх строго необходимых.
- Наличие отдельной политики cookies или эквивалентного раздела с полным перечнем технологий.
- Подтверждённые сведения о хостинге, серверной инфраструктуре и фактическом местонахождении всех баз данных и резервных копий.
- Подтверждённые сведения о CMS / движке / платформе сайта и о том, кто имеет административный доступ к персональным данным.
- Подтверждённые сведения о платёжном агрегаторе, если реализованы платные материалы, подписка, комиссии или возвраты.
- Юридическую модель работы с авторами: кто считается автором, на каком основании размещается контент, как оформляется согласие и/или договор, кто несёт ответственность за включение в материалы данных третьих лиц.
- Точные правила публикации публичных данных автора: отображается ли только никнейм или также ФИО, рейтинг, отзывы, статистика, образование и иные сведения.
- Наличие пользовательских настроек публичности профиля автора.
- Наличие фактического функционала отзывов и комментариев.
- Наличие фактического функционала рекомендаций и персонализации, а также то, используются ли профилирование и автоматизированные решения, требующие отдельного описания.
- Точные сроки хранения логов, обращений пользователей, данных удалённых аккаунтов, данных модерации, данных по оплатам и возвратам, резервных копий.
- Механизм фиксации согласий на обработку персональных данных, на рекламную рассылку и на cookies / аналитику, если требуется.
- Тексты согласий в формах сайта и их соответствие реальному составу обрабатываемых данных.
- Механизм работы с несовершеннолетними пользователями.
- Наличие внутренних локальных актов по обработке и защите персональных данных и назначение ответственного лица.
- Наличие договоров поручения обработки персональных данных или иных релевантных условий в договорах с подрядчиками по поддержке, модерации, аналитике, рассылкам и оплате.
- Соответствие описанных в политике фактических процессов сведениям, внесённым в реестр операторов персональных данных Роскомнадзора.
- Наличие пользовательского соглашения, правил платформы, правил модерации, условий платного доступа, политики возврата.
Какие документы ещё могут понадобиться
- согласие на обработку персональных данных;
- согласие на получение рекламной рассылки;
- политика использования cookies;
- пользовательское соглашение;
- правила платформы;
- оферта / договор с пользователем;
- оферта / договор с автором;
- согласие автора на размещение материалов и подтверждение наличия у него прав на контент;
- правила размещения материалов;
- политика модерации материалов;
- политика возврата;
- документы по поручению обработки персональных данных третьим лицам;
- регламент рассмотрения запросов субъектов персональных данных;
- форма ответа на запрос субъекта персональных данных;
- локальные акты по обработке и защите персональных данных;
- приказ о назначении ответственного за организацию обработки персональных данных;
- перечень лиц, допущенных к обработке персональных данных;
- модель угроз и документы по мерам защиты персональных данных;
- согласие законного представителя несовершеннолетнего, если применимо;
- документы, регулирующие платный контент, выплаты авторам, комиссии и расчёты, если эти функции реально используются;
- документ о порядке удаления аккаунта и удаления данных пользователя;
- документ о реагировании на инциденты безопасности и утечки данных.