Политика обработки персональных данных

1. Зачем этот документ к содержанию

Сеть детских студий NAITI работает в десяти городах Иркутской области и Забайкальского края. Занимаются в студиях в основном дети — от 4 до 17 лет. Заявку оставляет взрослый: родитель или другой законный представитель.

Этот документ объясняет, какие сведения о вас и о вашем ребёнке сеть собирает, зачем, кому передаёт, сколько хранит и что вы можете потребовать. Он написан так, чтобы его можно было прочитать целиком и понять, на что вы соглашаетесь, ставя отметку в форме заявки.

Политика составлена по требованию ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и опубликована в постоянном свободном доступе на сайте.

Действие политики распространяется на все персональные данные, которые оператор получает через сайты, при заключении и исполнении договоров, в ходе занятий и в кадровой работе.

2. Основные понятия к содержанию

Персональные данные — любые сведения, относящиеся к определённому или определяемому человеку.

Обработка — любое действие с данными: сбор, запись, хранение, изменение, использование, передача, удаление.

Оператор — тот, кто определяет цели обработки и организует её. В этом документе оператор — индивидуальный предприниматель, указанный выше.

Субъект — человек, к которому относятся данные.

Законный представитель — родитель, усыновитель, опекун или попечитель несовершеннолетнего, действующий от его имени.

3. Дети и законные представители к содержанию

Занимающиеся в студиях — несовершеннолетние. За несовершеннолетнего согласие на обработку его персональных данных даёт законный представитель (ч. 1 ст. 9 152-ФЗ).

Что из этого следует на практике:

1. Форма заявки на сайте рассчитана на взрослого. В ней указываются имя и телефон того, кто обращается, а о ребёнке сообщается только возрастная группа. Имя ребёнка сайт не спрашивает. 2. Отметку о согласии в форме ставит законный представитель за себя и за ребёнка. 3. Договор на занятия заключается с законным представителем. 4. Согласие на съёмку ребёнка и на публикацию его изображения даёт законный представитель отдельным документом. Оно не входит в общее согласие и не считается данным «по умолчанию». 5. Отозвать любое согласие может законный представитель, а по достижении ребёнком совершеннолетия — сам бывший занимающийся.

Взрослые группы работают на одной студии сети — в Иркутске на улице Пискунова, 131а. Там субъект и сторона договора — сам занимающийся.

4. Какие данные обрабатываются к содержанию

4.1. Когда вы оставляете заявку на пробное занятие

• имя, которым вы просите к вам обращаться;
• номер телефона;
• адрес электронной почты — если вы его сообщили; в форме записи на пробное занятие это поле не выводится, почта появляется при переписке;
• комментарий, если вы его написали;
• город, студия, направление занятий;
• возрастная группа ребёнка;
• номер заявки, дата и время её приёма.

Комментарий — свободное поле. Если вы напишете туда имя ребёнка, сведения о его здоровье или что-то ещё, сеть не станет это удалять, но и не станет использовать иначе, чем для ответа на вашу заявку. Мы таких сведений не запрашиваем.

4.2. Автоматически, при посещении сайта

• IP-адрес;
• сведения о браузере и устройстве;
• адрес страницы, с которой отправлена заявка, и адрес, с которого вы перешли на сайт;
• метки рекламного источника перехода;
• файлы cookie и данные статистики посещений — о них отдельный документ, «Уведомление о применении файлов cookie».

Выбранный вами город сохраняется в вашем браузере, чтобы в следующий раз показать его сразу. На сервер эта запись не передаётся.

4.3. Когда вы ставите отметку о согласии

Сохраняются дата и время отметки, идентификатор редакции текста согласия и IP-адрес. Это нужно, чтобы всегда можно было поднять, под каким именно текстом вы подписались. Сами тексты редакций хранятся отдельно.

4.4. Когда ребёнок начинает заниматься

• имя ребёнка, его возраст или возрастная группа;
• направление, студия, группа;
• сведения о посещении занятий;
• имя, номер телефона и адрес электронной почты законного представителя;
• сведения о заключённом договоре и о расчётах по нему.

Сеть не запрашивает и не хранит копии свидетельства о рождении, паспорта и иных документов: при заключении договора управляющая сверяет документ и записывает только его реквизиты.

При заключении договора и записи занимающегося оператор обрабатывает персональные данные в объёме, не превышающем: фамилия и имя занимающегося, дата рождения либо возраст занимающегося, фамилия, имя и отчество родителя или иного законного представителя, номер контактного телефона, адрес электронной почты. Обработка персональных данных в объёме, превышающем указанный, не осуществляется.

4.5. Когда вы платите за занятия

• имя, телефон и адрес электронной почты плательщика;
• сумма, номер заказа, назначение платежа, дата и статус оплаты;
• город, студия, направление и тариф, к которым относится оплата;
• идентификатор операции, присвоенный банком.

Реквизиты банковской карты сеть не получает и не хранит. Данные карты вы вводите на стороне кредитной организации.

4.6. Фотографии и видеозаписи

Съёмка на занятиях, показах и мероприятиях ведётся. Изображения хранятся у сети и могут публиковаться на сайтах сети и в её сообществах — но только если законный представитель дал на это отдельное согласие.

Фотографии и видеозаписи с занятий сеть не использует для установления личности и не обрабатывает как биометрические персональные данные.

4.7. Если вы оставляете заявку на сайте франшизы

Имя, номер телефона, город, в котором вы хотите открыть студию, и комментарий. Плюс те же автоматически собираемые сведения и та же запись о согласии.

4.8. Работники сети

Кадровые данные наставников, управляющих и координаторов обрабатываются в объёме, который требует Трудовой кодекс и налоговое законодательство. Для лиц, допускаемых к работе с несовершеннолетними, закон дополнительно требует справку о наличии или отсутствии судимости (ст. 331 и 351.1 Трудового кодекса). Эти сведения относятся к специальной категории и обрабатываются только в объёме и в случаях, установленных законом.

5. Зачем это нужно и на каком основании к содержанию

6. Сколько данные хранятся к содержанию

Трёхлетний срок — общий срок исковой давности (ст. 196 Гражданского кодекса). Он нужен, чтобы сеть могла подтвердить, на что вы соглашались, если между вами и сетью возникнет спор.

Когда цель достигнута или срок истёк, данные уничтожаются в течение 30 дней. То же при отзыве согласия, если у сети нет другого основания хранить эти данные.

7. Кому данные передаются к содержанию

Все получатели, кроме государственных органов и кредитной организации, обрабатывают данные по поручению оператора и обязаны соблюдать те же требования конфиденциальности и безопасности.

Сеть не продаёт персональные данные и не передаёт их кому-либо для его собственных целей.

Трансграничная передача

Базы данных, в которых сеть накапливает, систематизирует и хранит персональные данные граждан Российской Федерации, находятся на территории Российской Федерации. Заявка записывается на сервер сети в России раньше, чем передаётся куда-либо ещё.

Уведомление о новой заявке ответственному сотруднику направляется через мессенджер, серверы которого находятся за пределами Российской Федерации. Персональные данные в таком уведомлении не передаются: в него входят только номер заявки, город, студия, направление и время обращения. Имя, номер телефона, возраст занимающегося и комментарий остаются на сервере сети и в учётной системе — ответственный сотрудник открывает их по ссылке.

Трансграничная передача персональных данных оператором не осуществляется.

8. Как данные защищаются к содержанию

Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 152-ФЗ:

• назначен ответственный за организацию обработки персональных данных;
• приняты положение об обработке и защите данных, перечень обрабатываемых данных, правила рассмотрения запросов, порядок уничтожения, правила внутреннего контроля;
• утверждён перечень лиц, допущенных к обработке; каждый из них ознакомлен с требованиями закона и подписал обязательство о неразглашении;
• определён уровень защищённости информационных систем и применяются соответствующие меры;
• доступ к серверу и учётной системе — только по учётным записям конкретных людей; общих учётных записей нет;
• в журналы работы сервера не записываются имя, телефон и почта: сервер устроен так, что эти сведения в логи не попадают;
• обмен с сайтом идёт по защищённому соединению;
• ведётся внутренний контроль соответствия обработки требованиям закона;
• проводится оценка вреда, который может быть причинён субъектам.

Материальные носители, содержащие персональные данные, хранятся в помещениях студий в местах, исключающих доступ посторонних лиц. Доступ к ним имеют работники, определённые приказом оператора.

Если в помещении студии ведётся видеонаблюдение, при входе размещается информирующая табличка. Записи используются исключительно в целях обеспечения безопасности занимающихся и сохранности имущества, хранятся не более 30 календарных дней и не передаются третьим лицам, за исключением случаев, предусмотренных законом.

9. Ваши права к содержанию

Вы вправе:

1. Знать, обрабатывает ли сеть ваши данные и данные вашего ребёнка, и получить сведения об этой обработке — состав данных, цели, сроки, получателей, источник получения. 2. Требовать уточнения данных, если они неполные, устаревшие или неточные. 3. Требовать блокирования или уничтожения данных, если они получены незаконно или не нужны для заявленной цели. 4. Отозвать согласие — в любой момент и без объяснения причин. 5. Отказаться от рекламных сообщений — отдельно от остальных согласий и не теряя возможности заниматься. 6. Возражать против публикации изображения и требовать удаления опубликованного. 7. Обжаловать действия оператора в Роскомнадзор или в суд.

Отзыв согласия не отменяет законности обработки, которая шла до отзыва, и не касается данных, которые сеть обязана хранить по закону: документы об оплате хранятся пять лет независимо от отзыва.

Отзыв согласия на распространение действует иначе: сеть обязана прекратить передачу данных с момента, когда получила требование, — не дожидаясь тридцатидневного срока.

10. Как обратиться к содержанию

Запрос направляется:

• на бумаге по адресу: 664541, Иркутская область, Иркутский район, село Оек;
• по электронной почте: Khomutovo138@yandex.ru;
• лично в любой студии сети — управляющая примет обращение и передаст ответственному.

В запросе нужно указать:

• фамилию, имя, отчество;
• сведения, подтверждающие, что вы обращались в сеть или занимаетесь в ней: номер заявки, номер телефона, город и студию, дату договора;
• если вы обращаетесь как законный представитель — имя ребёнка и то, кем вы ему приходитесь;
• если обращается представитель — доверенность;
• существо запроса и подпись.

Ответ даётся в течение 10 рабочих дней со дня получения запроса. Срок может быть продлён ещё на 5 рабочих дней — тогда сеть сообщит вам об этом и объяснит причину.

Порядок разбора обращений подробно описан в правилах рассмотрения запросов субъектов персональных данных, они входят во внутренние документы оператора.

11. Изменение политики к содержанию

Оператор вправе изменять политику. Новая редакция публикуется на сайте и действует со дня публикации. Дата редакции указана в начале документа.

Если изменяется текст согласия, под которым родитель ставит отметку в форме заявки, старая редакция не исчезает: она хранится отдельно, и по записи в журнале согласий всегда видно, под каким текстом подписался конкретный человек.

12. Надзорный орган к содержанию

Субъект персональных данных вправе обжаловать действия или бездействие Оператора в уполномоченном органе по защите прав субъектов персональных данных — Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), https://rkn.gov.ru.