Обработка персональных данных

1. Оператор

Оператором персональных данных является МАОУ СОШ №94 города Тюмени. Наименование, адрес и контакты лица, ответственного за организацию обработки персональных данных, указываются в утверждённой политике школы.

2. Цели обработки

Учёт посещаемости обучающихся по классам. Организация работы Школьного Ученического Совета: учёт участия классов в мероприятиях, обмен объявлениями, рассмотрение обращений старост. Обеспечение доступа к порталу и разграничение прав пользователей.

Учёт достижений обучающихся, ведение грамот и материалов портфолио — при наличии согласия. Информирование участников образовательных отношений о деятельности самоуправления.

Обеспечение безопасности обработки персональных данных: журналирование действий с персональными данными, выявление и расследование инцидентов, противодействие несанкционированному доступу, привязка сессии к устройству, двухфакторная проверка входа.

3. Правовые основания

Основная обработка ведётся на основании пункта 2 части 1 статьи 6 Федерального закона № 152-ФЗ — для осуществления функций, возложенных на школу Федеральным законом от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации» (часть 6 статьи 26, статья 28), Уставом школы и локальным актом о совете обучающихся. К этому основанию относятся фамилия, имя, отчество обучающегося, класс, порядковый номер в списке, отметки посещаемости и сведения об участии класса в мероприятиях.

Контактные данные старост и членов Совета (телефон, электронная почта, ссылки на мессенджеры), изображение профиля, сведения о достижениях, грамоты и материалы портфолио обрабатываются на основании согласия субъекта персональных данных, а для несовершеннолетнего — его законного представителя (пункт 1 части 1 статьи 6 Федерального закона № 152-ФЗ).

Размещение фамилии, имени, отчества, фотографий и сведений о достижениях в открытой части портала осуществляется исключительно при наличии согласия на распространение персональных данных, оформленного по статье 10.1 Федерального закона № 152-ФЗ отдельно от иных согласий (см. раздел 8).

Обработка персональных данных работников школы осуществляется в целях, связанных с трудовыми отношениями, на основании пункта 2 части 1 статьи 6 Федерального закона № 152-ФЗ и главы 14 Трудового кодекса Российской Федерации.

4. Категории субъектов и состав данных

Обучающиеся класса: фамилия, имя, отчество, класс, порядковый номер в списке, отметки посещаемости по датам и причина отсутствия, выбираемая из закрытого перечня.

Старосты и администраторы портала: фамилия, имя, отчество, класс, должность в Совете, логин и защищённый хеш пароля, а также добровольно указанные контакты — телефон, электронная почта, ссылки на мессенджеры и социальные сети, отметка о согласии на телефонные звонки.

Работники школы (курирующий педагог, заместитель директора, администраторы портала): фамилия, имя, отчество, должность, служебный адрес электронной почты, логин, защищённый хеш пароля, сведения о входах в систему.

Служебные данные обеспечения безопасности:идентификатор сессии, хеш отпечатка устройства (семейство браузера и операционной системы без номеров версий), записи журнала действий с персональными данными, сведения о настройке двухфакторной аутентификации.

Сведения о состоянии здоровья порталом не обрабатываются. Причина отсутствия выбирается из закрытого перечня нейтральных формулировок, свободный ввод в этом поле не предусмотрен. Специальные категории персональных данных (статья 10 Федерального закона № 152-ФЗ) и биометрические персональные данные (статья 11) не обрабатываются: хеш отпечатка устройства биометрией не является, а фотографии используются для оформления материалов, а не для установления личности.

5. Действия с данными и способы обработки

Сбор, запись, систематизация, хранение, уточнение, использование, блокирование, удаление и уничтожение. Обработка ведётся автоматизированно, с передачей данных по сети в защищённом виде. Трансграничная передача не осуществляется. Решения, порождающие юридические последствия, автоматически не принимаются.

6. Где хранятся данные

База данных портала размещена на сервере в центре обработки данных в городе Москве. Первичные сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации, как того требует часть 5 статьи 18 Федерального закона № 152-ФЗ. Резервные копии создаются ежедневно, хранятся на территории Российской Федерации и за её пределы не передаются. Трансграничная передача персональных данных не осуществляется.

7. Кто имеет доступ

Староста класса — к списку и посещаемости только своего класса, к своим обращениям и своему профилю. Администраторы Совета — к сводным данным по школе, отчётам классов и обращениям.

Техническое сопровождение портала и размещение базы данных осуществляет лицо, привлечённое школой; его наименование и адрес указываются оператором при утверждении настоящей политики. Основание — договор поручения обработки персональных данных, заключённый в соответствии с частью 3 статьи 6 Федерального закона № 152-ФЗ. Обработчик действует исключительно по поручению оператора, обязан соблюдать конфиденциальность, не вправе использовать персональные данные в собственных целях и не привлекает к обработке иных лиц без письменного согласия оператора. Иным третьим лицам данные не передаются, в рекламных целях не используются.

8. Размещение данных в открытой части портала

Часть портала доступна без авторизации: новости, календарь и карточки мероприятий с фотографиями, полезные ссылки и сводные счётчики. Размещение в этой части фамилии, имени, отчества, фотографии и сведений о достижениях является распространением персональных данных и осуществляется исключительно при наличии согласия на распространение, оформленного по статье 10.1 Федерального закона № 152-ФЗ отдельно от иных согласий. Молчание или бездействие субъекта согласием не является (часть 8 статьи 10.1).

Обнародование и дальнейшее использование изображения гражданина осуществляются с его согласия, а для несовершеннолетнего — с согласия законного представителя (статья 152.1 Гражданского кодекса Российской Федерации).

Субъект персональных данных вправе в любое время потребовать прекращения передачи (распространения, предоставления, доступа) своих персональных данных. Требование направляется оператору с указанием фамилии, имени, отчества, контактной информации и перечня персональных данных, обработка которых подлежит прекращению. Оператор прекращает распространение в срок, не превышающий трёх рабочих дней (часть 12 статьи 10.1).

Без согласия на распространение в открытой части размещаются только сведения, не относящиеся к персональным данным: названия и даты мероприятий, сведения о классах как коллективах, сводные количественные показатели, полезные ссылки.

9. Сроки обработки и уничтожение

Данные обрабатываются в течение учебного года и хранятся в пределах срока, установленного политикой школы, после чего уничтожаются. Обработка прекращается при достижении цели, отзыве согласия или прекращении обучения.

Конкретные сроки:

• сведения о посещаемости, отчёты классов и сведения об участии в мероприятиях — текущий учебный год и один последующий;
• учётные записи обучающихся — на период исполнения полномочий в органе самоуправления, далее блокируются и уничтожаются в течение 30 дней;
• контактные данные, материалы портфолио и сведения о достижениях — до отзыва согласия, но не дольше указанного в нём срока;
• записи журнала действий с персональными данными — один год;
• учётные записи работников — на период трудовых отношений и исполнения соответствующих обязанностей.

Уничтожение подтверждается актом и выгрузкой из журнала регистрации событий в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.

10. Права субъекта данных

Субъект персональных данных, а для несовершеннолетнего — его законный представитель, вправе получить сведения об обработке, требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели, а также отозвать согласие и потребовать прекращения распространения.

Обращение направляется в школу как оператору по адресу электронной почты, указанному ниже, либо в письменном виде по почтовому адресу школы (указан на её официальном сайте). Письменное обращение должно содержать реквизиты документа, удостоверяющего личность заявителя, сведения, подтверждающие участие в отношениях с оператором, и подпись (часть 3 статьи 14 Федерального закона № 152-ФЗ).

Сроки: ответ на обращение — десять рабочих дней с возможностью продления не более чем на пять рабочих дней с уведомлением заявителя (статья 20); устранение неправомерной обработки — до трёх рабочих дней; прекращение распространения — до трёх рабочих дней (часть 12 статьи 10.1); прекращение обработки и уничтожение данных при отзыве согласия — до тридцати дней (статья 21).

11. Защита данных

Доступ к порталу — по именной учётной записи с паролем, который хранится только в виде необратимого хеша. Соединение защищено протоколом HTTPS. Права разграничены по ролям и проверяются на сервере. Ведётся журнал действий с данными. Резервные копии создаются ежедневно и хранятся в защищённом виде.

12. Файлы cookie

Портал сохраняет в браузере только технические файлы cookie — те, без которых он не работает. Счётчиков посещаемости, рекламных и любых сторонних сценариев на портале нет, данные о посещениях третьим лицам не передаются.

• Вход. Идентификатор сессии и, при двухфакторном входе, временный код подтверждения. Без них портал не отличает вошедшего человека от постороннего.
• Оформление. Выбранные стиль, тема и версия сайта (полная или лёгкая) — чтобы портал открывался в том виде, который человек выбрал сам.
• Защита форм. Метка для ограничения числа попыток входа и отправки форм — она нужна против подбора паролей.
• Отметка об уведомлении. Признак того, что это уведомление уже показано, чтобы не показывать его снова.

Срок хранения — до года, у сессии входа меньше. Удалить файлы cookie и запретить их можно настройками браузера; после этого вход в портал и сохранение выбранного оформления работать перестанут.

Вопросы об обработке персональных данных: support@shus-94-tmn.ru