Data processing addendum

Настоящее Поручение обработки персональных данных (далее — «Поручение») является неотъемлемой частью Лицензионного договора на использование ПО Эднайс. Термины с заглавной буквы имеют значение, установленное Лицензионным договором.

1. Роли Сторон

1.1. Лицензиат является оператором персональных данных своих Студентов, работников, Авторов, администраторов и иных лиц, сведения о которых он вносит в ПО или поручает собрать с использованием ПО.

1.2. Лицензиар обрабатывает такие данные по поручению Лицензиата и не определяет самостоятельно цели этой обработки, кроме случаев, когда Лицензиар является самостоятельным оператором по закону или для исполнения собственного договора с субъектом.

1.3. Лицензиат гарантирует наличие предусмотренных законом оснований для обработки и поручения обработки данных, включая согласие субъекта, когда оно необходимо.

1.4. Поручение применяется только к обработке, в которой Лицензиат является оператором. Обработка Эднайс как самостоятельным оператором — регистрация собственной учётной записи, безопасность платформы, расчёты, исполнение обязанностей владельца агрегатора и поддержка — регулируется Политикой обработки персональных данных и не включается в цели настоящего Поручения.

2. Цели обработки

Лицензиар обрабатывает данные исключительно для:

• регистрации и авторизации пользователей школы Лицензиата;
• предоставления доступа к урокам, курсам, вебинарам и консультациям;
• хранения материалов, записей, заданий и сообщений;
• ведения прогресса, посещаемости и аналитики обучения;
• передачи сервисных уведомлений по указанию Лицензиата;
• технического сопровождения платежей по документированному указанию Лицензиата в части данных, оператором которых остаётся Лицензиат;
• обеспечения безопасности, предотвращения злоупотреблений, резервного копирования и восстановления;
• оказания технической поддержки.

3. Категории субъектов и данных

3.1. Категории субъектов: Студенты и их законные представители, Авторы, администраторы, работники и подрядчики Лицензиата, участники вебинаров и консультаций, покупатели продуктов Лицензиата.

3.2. Перечень данных в зависимости от используемых функций:

• фамилия, имя, отчество или отображаемое имя;
• адрес электронной почты, номер телефона и иные контактные данные;
• идентификаторы учётной записи, школы, курса, потока и продукта;
• IP-адрес, сведения об устройстве, браузере, сессиях и событиях безопасности;
• сведения о зачислении, посещаемости, прогрессе, результатах заданий и сертификатах;
• сообщения, ответы, файлы и иные материалы пользователя;
• изображение, голос, аудио- и видеозапись при участии в вебинарах и консультациях;
• сведения о платеже, сумме, статусе, товаре и плательщике без хранения полного номера банковской карты;
• данные законного представителя несовершеннолетнего, если их обработка требуется Лицензиату.

3.3. Лицензиат не должен загружать специальные категории или биометрические персональные данные, если функция ПО прямо не предназначена для их обработки и Стороны не согласовали дополнительные меры и основания.

3.4. Обработка иных категорий субъектов или данных допускается только после документированного изменения Поручения или отдельного указания Лицензиата, определяющего данные, цель и допустимые операции.

4. Операции с данными

Лицензиар вправе совершать автоматизированным способом и, когда необходимо для поддержки, с участием уполномоченных работников следующие операции: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, сопоставление, предоставление и доступ уполномоченным пользователям и согласованным субобработчикам, передача платёжному или коммуникационному партнёру в случаях, предусмотренных Поручением, обезличивание, блокирование, удаление и уничтожение. Распространение персональных данных не поручается.

5. Обязанности Лицензиара

Лицензиар обязан:

• обрабатывать данные только в пределах документированных указаний Лицензиата и настоящего Поручения;
• соблюдать принципы и правила обработки персональных данных, установленные Федеральным законом № 152-ФЗ;
• соблюдать конфиденциальность персональных данных;
• выполнять требования части 5 статьи 18, статьи 18.1 и статьи 19 Федерального закона № 152-ФЗ;
• применять правовые, организационные и технические меры, соответствующие характеру данных и актуальным угрозам, включая разграничение и регулярный пересмотр доступа, идентификацию и аутентификацию, регистрацию событий, резервное копирование и восстановление, контроль уязвимостей, защиту каналов и носителей там, где это требуется моделью угроз;
• ограничивать доступ работников принципом необходимого знания и обеспечивать их обязательства о конфиденциальности;
• вести учёт доступа и событий безопасности в объёме, необходимом для защиты ПО;
• до начала обработки и в дальнейшем по запросу Лицензиата предоставлять документы и информацию, подтверждающие принятие мер и соблюдение требований Поручения;
• содействовать Лицензиату при ответах субъектам, Роскомнадзору и при оценке последствий инцидента;
• не использовать данные для собственной рекламы и не объединять их с данными других операторов для не предусмотренных Поручением целей.

6. Локализация и место обработки

6.1. При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

6.2. Трансграничная передача допускается только по отдельному документированному указанию Лицензиата и после выполнения требований российского законодательства. По умолчанию Поручение не разрешает такую передачу.

7. Субобработчики

7.1. Лицензиар вправе привлекать хостинг-провайдеров, поставщиков связи, рассылок, платёжной инфраструктуры и иных субобработчиков, необходимых для работы подключённых функций.

7.2. Перечень конкретных субобработчиков, их функции и место обработки доводятся до Лицензиата в Личном кабинете или условиях подключения соответствующей функции до предоставления им доступа к данным.

7.3. На субобработчика возлагаются обязательства по защите данных не менее строгие, чем предусмотрены настоящим Поручением. Лицензиар отвечает перед Лицензиатом за действия субобработчика в пределах, установленных законом и договором.

7.4. О добавлении субобработчика, который получает доступ к персональным данным, Лицензиар уведомляет заранее. Лицензиат вправе направить обоснованное возражение, связанное с риском нарушения закона.

8. Инциденты безопасности

8.1. При обнаружении признаков неправомерной или случайной передачи, предоставления, распространения или доступа к данным Лицензиар уведомляет Лицензиата без неоправданной задержки, по возможности не позднее 12 часов с момента обнаружения. Первичное уведомление не откладывается до завершения внутреннего подтверждения или расследования.

8.2. Уведомление содержит известные на момент отправки сведения: характер инцидента, категории субъектов и данных, предполагаемые последствия, принятые меры и контакт для взаимодействия. Недостающие сведения передаются по мере расследования.

8.3. Лицензиар сохраняет относящиеся к инциденту сведения и содействует Лицензиату в выполнении установленных законом сроков уведомления уполномоченного органа.

9. Запросы субъектов и контроль

9.1. Если запрос субъекта относится к данным, оператором которых является Лицензиат, Лицензиар перенаправляет запрос Лицензиату и не отвечает по существу без его указания, кроме обязанности по закону.

9.2. По документированному указанию Лицензиата Лицензиар уточняет, блокирует, выгружает, возвращает, удаляет или уничтожает данные в технически необходимый и согласованный срок, если указание не противоречит закону.

9.3. Лицензиат вправе до начала обработки и в период действия Поручения запросить документы о мерах защиты или провести согласованную документарную проверку. Плановые повторные запросы должны быть разумными и не нарушать безопасность и конфиденциальность других клиентов; это ограничение не применяется при инциденте, требовании уполномоченного органа или обоснованном подозрении нарушения.

10. Срок обработки, возврат и удаление

10.1. Обработка продолжается, пока действует Лицензионный договор и Лицензиат использует соответствующие функции.

10.2. После прекращения договора Лицензиату предоставляется 30 календарных дней для выгрузки доступных данных, если иной срок не установлен Тарифом, законом или соглашением Сторон.

10.3. По истечении срока выгрузки рабочие копии удаляются или обезличиваются. Данные в резервных копиях удаляются в ходе штатной ротации, но не позднее 90 календарных дней, и до удаления не используются иначе, чем для восстановления и безопасности.

10.4. Данные сохраняются дольше только в объёме и на срок, прямо требуемые законом или необходимые для рассмотрения заявленных требований.

11. Ответственность и приоритет

11.1. Лицензиат отвечает перед субъектом за законность целей и оснований обработки и за свои указания. Лицензиар отвечает за соблюдение настоящего Поручения и требований, возложенных законом на лицо, обрабатывающее данные по поручению.

11.2. При противоречии между Поручением и общими положениями Лицензионного договора в отношении обработки по поручению применяется настоящее Поручение.

12. Контакты

Вопросы и уведомления по Поручению направляются на info@ednice.ru.