Политика обработки персональных данных
Политика утверждена во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет порядок обработки персональных данных и сведения о реализуемых требованиях к их защите.
1. Оператор и контакты
Оператор: Сафонов Сергей Александрович, применяющий специальный налоговый режим «Налог на профессиональный доход», ИНН 525628665620, адрес: 603004, г.Нижний Новгород, пр.Кирова, 17-1.
Обращения по вопросам обработки персональных данных, включая отзыв согласия, направляются на адрес sergei@mail.sreda.academy или по почтовому адресу Оператора. Ответственным за организацию обработки персональных данных является сам Оператор.
Политика распространяется на сайт https://sreda.academy и учебный кабинет https://devops.sreda.academy (далее вместе — Сайт).
2. Категории субъектов
- посетители Сайта, оставившие адрес электронной почты в форме получения доступа к бесплатному модулю;
- пользователи учебного кабинета.
Сайт адресован совершеннолетним. За несовершеннолетнего согласие на обработку его персональных данных даёт законный представитель (ч. 1 ст. 9 Закона). Оператор не собирает сведений о возрасте и не располагает технической возможностью его проверить; при поступлении обращения законного представителя данные несовершеннолетнего уничтожаются.
3. Цели, основания, состав данных и сроки хранения
| Цель обработки | Правовое основание | Категории персональных данных | Срок хранения |
|---|---|---|---|
| Предоставление доступа к бесплатному модулю: учётная запись, вход по ссылке из письма, сессия | п. 1 ч. 1 ст. 6 Закона — согласие субъекта | адрес электронной почты | до отзыва согласия |
| Направление сервисных (транзакционных) сообщений: ссылка для входа, повторная отправка ссылки, уведомления об изменении документов | п. 1 ч. 1 ст. 6 Закона — согласие субъекта | адрес электронной почты | до отзыва согласия |
| Учёт прохождения модуля и отображение прогресса | п. 1 ч. 1 ст. 6 Закона — согласие субъекта | отметки о пройденных уроках, результаты проверочных вопросов | до отзыва согласия |
| Подтверждение факта, содержания и даты получения согласия | п. 1 ч. 1 ст. 6 Закона — согласие субъекта; после отзыва согласия — п. 2 и п. 7 ч. 1 ст. 6 Закона (исполнение обязанности, возложенной ч. 1 ст. 9 Закона, и защита прав Оператора) | адрес электронной почты, IP-адрес, дата и время отправки формы, версия текста согласия, статусы отметок в форме, источник перехода и UTM-метки | 1 год после отзыва согласия или прекращения обработки |
| Направление рекламных и информационных сообщений об услугах Оператора | ч. 1 ст. 15 Закона и ч. 1 ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ — отдельное согласие субъекта | адрес электронной почты, сведения об открытии писем и переходах по ссылкам в них | до отзыва согласия на рассылку |
| Обеспечение работоспособности и безопасности Сайта | п. 7 ч. 1 ст. 6 Закона — законные интересы Оператора | техническая сессионная cookie (см. п. 7) | 30 дней с момента входа |
| Защита формы и входа от автоматических отправок и подбора: ограничение частоты обращений | п. 7 ч. 1 ст. 6 Закона — законные интересы Оператора | IP-адрес | не более 15 минут с момента последнего обращения, в оперативной памяти сервера, в базу данных не записывается |
Оператор не обрабатывает специальные категории персональных данных (ст. 10 Закона), биометрические персональные данные (ст. 11 Закона), платёжные данные, фамилию, имя, отчество и номер телефона.
Обработка персональных данных ограничивается достижением перечисленных целей. Обрабатываются только те данные, которые отвечают целям обработки; избыточные по отношению к целям данные не обрабатываются.
4. Порядок и способы обработки
Действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
Обработка осуществляется смешанным способом: автоматизированная обработка с передачей данных по информационно-телекоммуникационным сетям и без такой передачи. Решения, порождающие юридические последствия в отношении субъекта или иным образом затрагивающие его права и законные интересы, исключительно на основании автоматизированной обработки Оператором не принимаются.
Сбор персональных данных осуществляется через форму на Сайте. Первичная запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона).
5. Передача персональных данных
Персональные данные передаются только лицам, осуществляющим обработку по поручению Оператора на основании договора, содержащего условия, предусмотренные ч. 3 ст. 6 Закона:
| Лицо | Что обрабатывает | Для чего |
|---|---|---|
| ООО «Юнисендер СМАРТ», ИНН 9731091240, адрес: 127015, г. Москва, вн.тер.г. муниципальный округ Бутырский, ул. Большая Новодмитровская, д. 23, э/помещ. 2/46 | адрес электронной почты; для подписчиков рассылки — также сведения об открытии писем и переходах по ссылкам | отправка сервисных и — при наличии отдельного согласия — рекламных и информационных сообщений |
| ООО «ЯНДЕКС.ОБЛАКО», ИНН 7704458262, адрес: 119021, г. Москва, ул. Льва Толстого, д. 16, помещ. 528 | все данные, перечисленные в п. 3 | размещение серверов, баз данных и резервных копий Сайта на территории Российской Федерации |
Иным третьим лицам персональные данные не передаются, не продаются и не предоставляются для их собственных рассылок, за исключением случаев, прямо предусмотренных законом (запросы уполномоченных государственных органов).
Трансграничная передача персональных данных не осуществляется.
6. Права субъекта персональных данных
Субъект вправе:
- получить подтверждение факта обработки и сведения, перечисленные в ч. 7 ст. 14 Закона;
- требовать уточнения, блокирования или уничтожения персональных данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели;
- отозвать согласие на обработку персональных данных (ч. 2 ст. 9 Закона) и согласие на получение рассылок;
- обжаловать действия Оператора в Роскомнадзор или в суд.
Обращение направляется на sergei@mail.sreda.academy с адреса электронной почты, указанного в форме, либо в письменной форме по адресу Оператора. Поскольку адрес электронной почты — единственный имеющийся у Оператора идентификатор субъекта, при обращении об уничтожении данных Оператор вправе направить на этот адрес ссылку для подтверждения обращения; срок ответа в этом случае исчисляется со дня подтверждения. Ответ предоставляется в течение 10 рабочих дней со дня получения обращения; срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта о причинах продления.
Если по требованию субъекта персональные данные уточнены, заблокированы или уничтожены, Оператор сообщает об этом субъекту в течение 7 рабочих дней (ч. 2 ст. 20 Закона). Если подтверждён факт неправомерности обработки, Оператор прекращает обработку и уничтожает данные в срок, не превышающий 7 рабочих дней со дня представления сведений о неправомерности (ч. 3 ст. 21 Закона), и уведомляет субъекта.
При отзыве согласия обработка прекращается и персональные данные уничтожаются в срок, не превышающий 30 дней, за исключением записи в журнале учёта согласий, которая хранится в срок, указанный в п. 3. Поскольку адрес электронной почты является единственным идентификатором и единственным способом входа, после отзыва согласия Оператор не располагает данными, позволяющими предоставить доступ: учётная запись удаляется, а доступ к учебному кабинету прекращается. Отказ в предоставлении услуги по причине отзыва не применяется — субъект вправе зарегистрироваться заново.
7. Cookie
Учебный кабинет использует одну строго необходимую техническую cookie sreda_session, которая содержит идентификатор сессии и позволяет не запрашивать вход при каждом переходе между страницами; срок её действия — 30 дней с момента входа. Cookie передаётся только по защищённому соединению, недоступна скриптам страницы и не используется для профилирования или рекламы. Cookie для аналитики и рекламных сетей на Сайте не устанавливаются.
8. Меры защиты
Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 Закона, в том числе:
- издание настоящей Политики и обеспечение её доступности без ограничений;
- ограничение круга лиц, имеющих доступ к персональным данным, — доступ имеет только Оператор;
- передача данных между браузером пользователя и Сайтом только по протоколу HTTPS с принудительным переключением на защищённое соединение;
- хранение секретов входа: коды доступа из писем и идентификаторы сессий хранятся в базе данных исключительно в виде необратимых хэшей, сами значения не сохраняются;
- маскирование адресов электронной почты в журналах работы Сайта; в базе данных IP-адрес хранится ровно в одном месте — в журнале учёта согласий; для ограничения частоты обращений IP-адрес обрабатывается в оперативной памяти сервера не более 15 минут с момента последнего обращения и на диск не записывается; журналы обращений веб-сервера не ведутся;
- резервное копирование базы данных, восстановление доступности данных в случае их модификации или уничтожения вследствие несанкционированного доступа;
- контроль за принимаемыми мерами и уровнем защищённости.
О фактах неправомерной передачи персональных данных Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных в сроки, установленные ч. 3.1 ст. 21 Закона.
9. Изменение Политики
Оператор вправе изменить настоящую Политику. Новая редакция вступает в силу с момента её публикации по адресу, указанному в начале документа, если иное не предусмотрено новой редакцией. Об изменениях, затрагивающих права субъектов персональных данных, Оператор уведомляет сервисным письмом. Тексты согласий, действовавшие на момент их получения, при этом не изменяются.