Политика обработки персональных данных NexusWork

Порядок, цели и условия обработки персональных данных пользователей платформы NexusWork.

Оператор: Индивидуальный предприниматель Будылин Александр Васильевич (ОГРНИП 326237500283210, ИНН 236103971930), (далее — Оператор или NexusWork).

Настоящая Политика обработки персональных данных (далее — Политика) разработана в строгом соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» и иными нормативными правовыми актами Российской Федерации.

Политика определяет порядок, цели, правовые основания, способы, условия, объемы, сроки и меры обеспечения безопасности при обработке персональных данных субъектов в связи с использованием веб-платформы NexusWork.

1. Общие положения

1.1. Настоящая Политика является локальным нормативным актом Оператора и устанавливает единые, обязательные для исполнения правила обработки персональных данных, применяемые при осуществлении деятельности по предоставлению доступа к информационно-коммуникационной веб-платформе NexusWork (далее — Платформа).

1.2. Политика разработана в целях:

обеспечения законности, справедливости и прозрачности обработки персональных данных;
защиты прав и свобод физических лиц при обработке их персональных данных Оператором;
минимизации правовых и репутационных рисков, связанных с нарушением законодательства Российской Федерации в сфере персональных данных;
создания прозрачной, понятной и контролируемой системы работы с персональными данными как для субъектов персональных данных, так и для контролирующих органов;
обеспечения соответствия процессов обработки персональных данных требованиям Федерального закона № 152-ФЗ и подзаконных нормативных актов.

1.3. Политика определяет:

цели и правовые основания обработки персональных данных;
категории субъектов персональных данных и перечень обрабатываемых персональных данных;
способы, условия и порядок обработки персональных данных;
меры по обеспечению безопасности персональных данных;
порядок реализации прав субъектов персональных данных;
сроки хранения персональных данных;
порядок взаимодействия с субъектами персональных данных и уполномоченными государственными органами.

1.4. Политика обязательна для соблюдения всеми лицами, которые в силу своих должностных обязанностей, трудовых отношений или на основании гражданско-правовых договоров имеют доступ к персональным данным, обрабатываемым Оператором.

1.5. Актуальная версия Политики размещается на Платформе в разделе, доступном для неограниченного круга лиц. Оператор оставляет за собой право вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента ее размещения на Платформе, если иной срок не указан дополнительно. Продолжение использования Платформы после опубликования новой редакции Политики означает согласие субъекта персональных данных с внесенными изменениями.

2. Основные понятия

В настоящей Политике используются понятия, определенные Федеральным законом № 152-ФЗ «О персональных данных», а также следующие термины:

Платформа (Сервис) — информационно-коммуникационная веб-платформа NexusWork, предназначенная для проведения онлайн-занятий с использованием интерактивной доски, работы с материалами и календаря. Платформа позволяет Преподавателям проводить как индивидуальные занятия (в формате «один на один»), так и групповые занятия с неограниченным количеством Учеников в рамках одного занятия.

Преподаватель — субъект персональных данных, зарегистрировавшийся на Платформе в соответствующей роли и осуществляющий оплату за доступ к функционалу Платформы на условиях публичной оферты.

Ученик — субъект персональных данных, зарегистрировавшийся на Платформе в соответствующей роли и использующий функционал Платформы на безвозмездной основе.

Материалы — любые файлы и данные, загружаемые Пользователями на Платформу или создаваемые ими в процессе работы (PDF-файлы, аудиофайлы, состояния интерактивной доски, пометки и иные объекты), которые могут содержать персональные данные субъектов или третьих лиц.

3. Правовые основания обработки персональных данных

3.1. Обработка персональных данных Оператором осуществляется на следующих правовых основаниях:

согласие субъекта персональных данных (в том числе путем регистрации на Платформе, заполнения профиля, использования функционала Платформы и проставления соответствующих отметок);
необходимость заключения и исполнения договора, стороной которого является субъект персональных данных (публичная оферта на оказание услуг по предоставлению доступа к Платформе);
необходимость осуществления прав и законных интересов Оператора (обеспечение работоспособности и безопасности Платформы, улучшение качества услуг, защита прав и законных интересов в судебном порядке);
необходимость исполнения обязанностей, возложенных на Оператора законодательством Российской Федерации (бухгалтерский и налоговый учет, исполнение требований законодательства о персональных данных, исполнение судебных актов и запросов уполномоченных органов).

4. Перечень обрабатываемых персональных данных

4.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

Преподаватели:

идентификационные данные (фамилия, имя, отчество);
контактные данные (адрес электронной почты, номер телефона);
дополнительные данные профиля (псевдоним, часовой пояс, фотография профиля);
платежные и финансовые данные (реквизиты для получения платежей от учеников, данные о подписках и платежах);
технические и идентификационные данные устройства (IP-адрес, данные об устройстве и браузере);
данные активности на Платформе (история создания и редактирования занятий, загрузки материалов, работы на интерактивной доске);
содержание загруженных материалов и результатов работы на интерактивной доске (включая возможные персональные данные третьих лиц).

Ученики:

идентификационные данные (фамилия, имя, отчество);
контактные данные (адрес электронной почты, номер телефона);
дополнительные данные профиля (псевдоним, часовой пояс, фотография профиля);
технические и идентификационные данные устройства (IP-адрес, данные об устройстве и браузере);
данные активности на Платформе (история подключений к занятиям и работы на интерактивной доске).

4.2. Оператор не обрабатывает специальные категории персональных данных (данные о здоровье, биометрические данные, сведения о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях и т.п.), за исключением случаев, когда такие данные содержатся в материалах, самостоятельно загруженных Пользователями на Платформу. В этом случае ответственность за наличие правовых оснований и соблюдение законодательства при обработке таких данных полностью лежит на Пользователе, осуществившем загрузку.

5. Цели обработки персональных данных

5.1. Обработка персональных данных осуществляется исключительно в следующих целях:

организация, проведение и техническое сопровождение онлайн-занятий (включая работу с интерактивной доской, материалами и видеосвязью), в том числе индивидуальных и групповых занятий;
предоставление и обеспечение функционирования доступа к функционалу Платформы в соответствии с выбранной ролью;
организация, проведение и техническое сопровождение онлайн-занятий (включая работу с интерактивной доской, материалами и видеосвязью);
хранение, синхронизация и отображение состояний интерактивной доски, пометок и материалов между участниками занятия;
обработка платежей, управление подписками и ведение истории финансовых операций;
предоставление Преподавателям технического функционала учета оплат от учеников;
ведение календаря занятий и синхронизация расписания между Преподавателем и Учениками;
обеспечение информационной безопасности Платформы, предотвращение мошенничества, несанкционированного доступа и нарушений;
улучшение качества работы Платформы, проведение аналитики использования и разработка новых функций;
направление сервисных, транзакционных и маркетинговых уведомлений (при наличии соответствующего согласия субъекта);
исполнение требований законодательства Российской Федерации (бухгалтерский и налоговый учет, хранение документов, исполнение запросов уполномоченных органов);
защита прав и законных интересов Оператора, в том числе в судебном порядке.

6. Принципы обработки персональных данных

6.1. Обработка персональных данных осуществляется в соответствии с принципами, установленными частью 1 статьи 5 Федерального закона № 152-ФЗ:

законности и справедливости обработки;
ограничения обработки достижением конкретных, заранее определенных и законных целей;
недопустимости обработки персональных данных, несовместимой с целями их сбора;
обработки только тех персональных данных, которые отвечают целям их обработки (принцип минимизации);
обеспечения достоверности, достаточности и актуальности персональных данных;
хранения персональных данных в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки;
обеспечения конфиденциальности персональных данных;
обеспечения безопасности персональных данных при их обработке.

7. Порядок и условия обработки персональных данных

7.1. Обработка персональных данных осуществляется Оператором как с использованием средств автоматизации (информационная система Платформы, личный кабинет, интерактивная доска, платежные сервисы, аналитические системы), так и без использования таких средств (в том числе при устных консультациях, обработке обращений в службу поддержки и ведении документооборота на бумажных носителях).

7.2. Сбор персональных данных осуществляется следующими способами:

при прохождении процедуры регистрации на Платформе и заполнении профиля Пользователем;
при совершении Пользователем действий на Платформе (создание и редактирование занятий, загрузка материалов, работа на интерактивной доске, использование календаря);
при совершении оплаты подписки через платежный сервис;
при направлении Пользователем обращений, вопросов и сообщений в службу поддержки Оператора;
при взаимодействии Пользователя с функционалом учета оплат от учеников (для Преподавателей).

7.3. Хранение персональных данных осуществляется на территории Российской Федерации с использованием защищенной инфраструктуры хостинг-провайдера Bege с применением современных средств обеспечения безопасности информации.

7.4. Использование персональных данных осуществляется исключительно в объеме, необходимом и достаточном для достижения целей, указанных в разделе 5 настоящей Политики, и только теми лицами, которым такой доступ предоставлен в соответствии с их должностными обязанностями или условиями договоров.

7.5. Передача (предоставление, распространение) персональных данных третьим лицам допускается только при наличии правовых оснований, предусмотренных Федеральным законом № 152-ФЗ, и в объеме, минимально необходимом для достижения целей обработки.

8. Передача персональных данных третьим лицам

8.1. Оператор передает персональные данные следующим категориям третьих лиц исключительно в объеме, необходимом для достижения целей обработки:

платежному сервису ЮKassa — в объеме, необходимом для обработки платежей и управления подписками;
хостинг-провайдеру Bege — для обеспечения хранения данных и функционирования Платформы;
сервису аналитики Яндекс.Метрика — в обезличенном (анонимизированном) виде для целей статистической аналитики посещаемости и использования Платформы;
иным техническим подрядчикам и сервисам, привлекаемым Оператором для обеспечения работы Платформы, при условии заключения с ними договоров поручения на обработку персональных данных с обязательством соблюдения конфиденциальности и обеспечения безопасности.

8.2. Оператор не осуществляет продажу персональных данных третьим лицам и не передает их в целях, не связанных с исполнением настоящей Политики и целями обработки.

9. Трансграничная передача персональных данных

9.1. Оператор не осуществляет трансграничную передачу персональных данных. Все персональные данные субъектов обрабатываются и хранятся исключительно на территории Российской Федерации.

10. Меры по защите персональных данных

10.1. Оператор принимает необходимые и достаточные организационные, технические и правовые меры для обеспечения безопасности персональных данных в соответствии со статьей 19 Федерального закона № 152-ФЗ, Постановлением Правительства РФ № 1119 и иными нормативными актами.

10.2. Организационные меры по обеспечению безопасности персональных данных включают:

назначение ответственного за организацию обработки персональных данных;
разработку, утверждение и регулярную актуализацию локальных нормативных актов по вопросам обработки и защиты персональных данных (настоящая Политика, приказы, инструкции, регламенты);
ознакомление лиц, допущенных к обработке персональных данных, с требованиями законодательства Российской Федерации и положениями настоящей Политики под роспись или путем электронного подтверждения;
определение перечня лиц, имеющих доступ к персональным данным, и организацию контроля за соблюдением ими правил обработки;
проведение регулярных инструктажей и обучения сотрудников и подрядчиков по вопросам защиты персональных данных;
осуществление внутреннего контроля и аудита процессов обработки персональных данных;
разработку и применение порядка реагирования на инциденты безопасности персональных данных.

10.3. Технические меры по обеспечению безопасности персональных данных включают:

использование современных средств криптографической защиты информации (в том числе шифрование данных по алгоритму AES-256);
применение защищенных протоколов передачи данных (HTTPS/TLS);
использование межсетевых экранов, систем обнаружения и предотвращения вторжений, а также средств защиты от вредоносного программного обеспечения;
регулярное резервное копирование персональных данных с хранением резервных копий в защищенном виде и на обособленных носителях;
ограничение доступа к персональным данным на программном и аппаратном уровне по принципу «необходимо и достаточно»;
защиту Платформы от уязвимостей веб-приложений, вредоносного кода и DDoS-атак;
применение средств антивирусной защиты и регулярное обновление программного обеспечения и систем защиты;
ведение журналов (логов) действий пользователей и администраторов с персональными данными.

10.4. Правовые меры по обеспечению безопасности персональных данных включают:

заключение с контрагентами и подрядчиками, которым поручается обработка персональных данных, договоров с обязательным условием соблюдения конфиденциальности и обеспечения безопасности персональных данных;
включение в трудовые договоры и договоры гражданско-правового характера с лицами, допущенными к обработке персональных данных, условий о неразглашении персональных данных и ответственности за их нарушение.

10.5. Порядок реагирования на инциденты безопасности персональных данных:

При выявлении инцидента, связанного с утечкой, несанкционированным доступом, утратой или иным нарушением безопасности персональных данных, Оператор:

незамедлительно инициирует внутреннее расследование инцидента;
принимает оперативные меры по локализации инцидента и устранению его последствий;
в случае наличия признаков утечки персональных данных уведомляет уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в течение 24 часов с момента выявления инцидента;
при необходимости уведомляет субъектов персональных данных о факте нарушения их прав и законных интересов;
документирует факт инцидента, результаты расследования и принятые меры в специальном журнале (реестре) инцидентов;
проводит анализ причин инцидента и при необходимости вносит изменения в меры по обеспечению безопасности персональных данных.

11. Сроки хранения персональных данных

11.1. Персональные данные хранятся Оператором в течение срока, необходимого для достижения целей их обработки, указанных в разделе 5 настоящей Политики, а также в течение 6 (шести) месяцев после прекращения договорных отношений с субъектом персональных данных (окончание подписки или удаление аккаунта) — в целях обеспечения возможности восстановления доступа Пользователя к Платформе и его данным.

11.2. Конкретные сроки хранения персональных данных устанавливаются следующим образом:

данные учетной записи Преподавателя и Ученика (идентификационные, контактные и профильные данные) — в течение всего периода использования Платформы + 6 месяцев после удаления аккаунта;
данные о подписках, платежах и финансовых операциях — не менее 5 (пяти) лет с момента совершения соответствующей операции в соответствии с требованиями налогового и бухгалтерского законодательства Российской Федерации;
загруженные материалы и состояния интерактивной доски (включая пометки) — в течение всего периода использования Платформы + 6 месяцев после удаления аккаунта;
логи действий Пользователей и технические данные (IP-адрес, данные устройства) — не более 12 (двенадцати) месяцев с момента их создания;
персональные данные, обрабатываемые исключительно на основании согласия субъекта для маркетинговых и рекламных целей — до момента отзыва согласия субъектом персональных данных.

11.3. Установленные сроки хранения могут быть продлены в случаях, прямо предусмотренных законодательством Российской Федерации (в том числе при проведении налоговых проверок, судебных разбирательств, исполнении запросов уполномоченных органов), а также при наличии законных оснований для дальнейшего хранения персональных данных.

11.4. По истечении установленных сроков хранения или при наступлении иных законных оснований (отзыв согласия субъекта, достижение целей обработки, требование субъекта или уполномоченного органа) персональные данные подлежат уничтожению или обезличиванию способом, исключающим возможность их последующего восстановления. Факт уничтожения персональных данных фиксируется Оператором.

12. Права субъектов персональных данных

12.1. Субъект персональных данных имеет право на получение полной информации об обработке своих персональных данных Оператором, а также на реализацию иных прав, предусмотренных статьями 14, 15, 18, 20 и 21 Федерального закона № 152-ФЗ.

12.2. Для реализации своих прав субъект персональных данных направляет Оператору соответствующий запрос на электронную почту documents@nexuswork.ru.

12.3. Запрос субъекта персональных данных должен содержать:

фамилию, имя, отчество (при наличии) субъекта;
контактные данные для направления ответа (адрес электронной почты и/или почтовый адрес);
сведения, позволяющие идентифицировать субъекта как пользователя Платформы (например, адрес электронной почты, использованный при регистрации);
суть требования (получение информации, уточнение данных, блокирование, уничтожение, ограничение обработки, отзыв согласия и т.д.);
дату составления запроса и подпись субъекта (в случае направления запроса в форме электронного документа — простую электронную подпись).

12.4. Оператор рассматривает поступивший запрос и направляет субъекту мотивированный ответ в течение 10 (десяти) рабочих дней со дня его получения. В случаях, прямо предусмотренных законодательством, указанный срок может быть продлен не более чем на 5 рабочих дней с обязательным уведомлением субъекта о таком продлении.

12.5. Оператор вправе отказать в удовлетворении запроса субъекта персональных данных полностью или частично только в случаях, прямо предусмотренных федеральными законами, с обязательным указанием в ответе правового основания и причин отказа.

13. Порядок отзыва согласия на обработку персональных данных

13.1. Субъект персональных данных вправе в любое время отозвать свое согласие на обработку персональных данных путем направления соответствующего письменного уведомления на электронную почту documents@nexuswork.ru.

13.2. Оператор прекращает обработку персональных данных, осуществляемую исключительно на основании отозванного согласия, в течение 3 (трех) рабочих дней с момента получения уведомления об отзыве согласия, за исключением случаев, когда обработка может продолжаться на иных правовых основаниях, предусмотренных Федеральным законом № 152-ФЗ.

13.3. Отзыв согласия не влияет на законность обработки персональных данных, осуществлявшейся Оператором до момента получения уведомления об отзыве.

14. Использование файлов cookie и сервисов аналитики

14.1. На Платформе используются файлы cookie и аналогичные технологии, а также сервис Яндекс.Метрика для обеспечения корректной работы Платформы, запоминания пользовательских настроек и сбора обезличенных статистических данных о посещаемости и использовании функционала.

14.2. Пользователь может управлять использованием файлов cookie через настройки своего веб-браузера. Отключение отдельных типов файлов cookie может привести к ограничению функциональности отдельных элементов Платформы.

15. Контактная информация Оператора

Ответственный за организацию обработки персональных данных:

Будылин Александр Васильевич

Для обращений по вопросам обработки персональных данных, реализации прав субъектов и отзыва согласия:

Электронная почта: documents@nexuswork.ru
Телефон: +7 993 767-01-83

Реквизиты Оператора:

Индивидуальный предприниматель Будылин Александр Васильевич

ОГРНИП: 326237500283210

ИНН: 236103971930