Политика в отношении обработки персональных данных

Проект документа. Текст подготовлен командой сайта и находится на проверке у юриста Академии. После утверждения приказом ректора здесь будет опубликована итоговая редакция и скан с подписью.

Автономная некоммерческая организация высшего образования «Международная Академия Искусств» (АНО ВО «МАИ»)

УТВЕРЖДЕНА приказом ректора АНО ВО «МАИ» от [дата] № [номер]

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности в АНО ВО «Международная Академия Искусств» (далее — Оператор, Академия).

1.2. Оператор: Автономная некоммерческая организация высшего образования «Международная Академия Искусств», ИНН 7804290824, ОГРН 1137800004209, адрес: 191015, Санкт-Петербург, ул. Таврическая, д. 3. Сайт Оператора: https://mirmai.org (далее — Сайт).

1.3. Политика действует в отношении всех персональных данных, которые Оператор получает от субъектов персональных данных: посетителей и пользователей Сайта, абитуриентов и слушателей, покупателей Арт-салона, работников, преподавателей и иных лиц, состоящих с Оператором в договорных или иных отношениях.

1.4. Политика является общедоступным документом и опубликована на Сайте по адресу https://mirmai.org/politika-personalnyh-dannyh/. Оператор обеспечивает неограниченный доступ к Политике.

1.5. Основные понятия (персональные данные, обработка, оператор, автоматизированная обработка, распространение, предоставление, блокирование, уничтожение, обезличивание) используются в значениях, определённых ст. 3 152-ФЗ.

2. Цели обработки персональных данных

Оператор обрабатывает персональные данные в следующих целях:

2.1. Приём на обучение, заключение и исполнение договоров об образовании, организация образовательного процесса, выдача документов об образовании и о квалификации, ведение учёта обучающихся — в соответствии с Федеральным законом от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации».

2.2. Рассмотрение обращений, поступивших через формы Сайта, по электронной почте и телефону, и ответ на них.

2.3. Заключение и исполнение договоров купли-продажи в Арт-салоне Сайта (оформление, оплата и доставка заказов).

2.4. Кадровый учёт, оформление трудовых и гражданско-правовых отношений с работниками и преподавателями, исполнение обязанностей работодателя.

2.5. Размещение на Сайте сведений о руководстве, педагогических работниках и структурных подразделениях Академии — в объёме, установленном законодательством об образовании (ст. 29 273-ФЗ), и на основании согласий на распространение персональных данных.

2.6. Обеспечение работы Сайта, его безопасности и учёт посещаемости (обезличенная статистика).

2.7. Информирование о мероприятиях и программах Академии — только с отдельного согласия субъекта.

3. Правовые основания обработки

3.1. Конституция Российской Федерации; 152-ФЗ; Трудовой кодекс РФ; Федеральный закон № 273-ФЗ «Об образовании в Российской Федерации»; Гражданский кодекс РФ; Устав Оператора; лицензия на осуществление образовательной деятельности.

3.2. Договоры, заключаемые между Оператором и субъектом персональных данных (договоры об образовании, купли-продажи, трудовые и гражданско-правовые договоры).

3.3. Согласие субъекта персональных данных на обработку персональных данных, в том числе согласие на обработку персональных данных, разрешённых субъектом для распространения.

4. Категории субъектов и состав персональных данных

Субъекты	Персональные данные	Цели (п. 2)
Посетители Сайта, направившие обращение через форму	фамилия, имя, отчество; адрес электронной почты; номер телефона; содержание обращения	2.2
Посетители Сайта	технические данные: IP-адрес, данные cookies, сведения о браузере и устройстве, дата и время посещения, адреса просмотренных страниц	2.6
Абитуриенты и слушатели, их законные представители	ФИО; дата и место рождения; гражданство; паспортные данные; адрес регистрации и проживания; телефон, e-mail; сведения об образовании; фотография; сведения о договоре и оплате; результаты обучения	2.1
Покупатели Арт-салона	ФИО; телефон; e-mail; адрес доставки; состав и сумма заказа	2.3
Работники, преподаватели, члены органов управления	ФИО; должность; сведения об образовании, учёных степенях и званиях; фотография; контактные данные; данные, необходимые для кадрового и бухгалтерского учёта	2.4, 2.5

4.2. Оператор не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни), за исключением случаев, прямо предусмотренных законодательством об образовании (например, сведения об инвалидности для создания специальных условий обучения — с письменного согласия субъекта).

4.3. Биометрические персональные данные Оператором не обрабатываются. Фотографии, размещённые на Сайте, не используются для установления личности.

5. Порядок и условия обработки

5.1. Обработка персональных данных осуществляется с согласия субъекта либо на иных законных основаниях, предусмотренных ст. 6 152-ФЗ, смешанным способом — с использованием средств автоматизации (Сайт, электронная почта, учётные системы) и без использования таких средств (бумажные документы).

5.2. Действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

5.3. Оператор обрабатывает персональные данные только в объёме, необходимом для достижения заявленных целей, и не дольше, чем этого требуют цели обработки, если иной срок не установлен законом или договором.

5.4. Сроки хранения: обращения через Сайт — 1 год с момента ответа; данные покупателей — в течение срока действия договора и 3 лет после его исполнения (сроки исковой давности) либо иные сроки по законодательству о бухгалтерском учёте; данные обучающихся, работников — сроки, установленные законодательством об образовании, трудовым и архивным законодательством; технические данные посетителей Сайта — не более 1 года.

5.5. Базы данных, содержащие персональные данные граждан Российской Федерации, находятся на территории Российской Федерации: Сайт и его база данных размещены на оборудовании хостинг-провайдера ООО «Таймвэб» (Санкт-Петербург); учётные документы — по адресу Оператора.

5.6. Оператор поручает обработку персональных данных третьим лицам только на основании договора (поручения оператора) с условием о конфиденциальности и обеспечении безопасности персональных данных: хостинг-провайдеру — хранение данных Сайта; службам доставки и платёжным сервисам — исполнение заказов Арт-салона.

5.7. Трансграничная передача персональных данных Оператором не осуществляется.

5.8. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки персональных данных.

6. Сайт и файлы cookie

6.1. При посещении Сайта автоматически собираются технические данные (п. 4.1). Обработка файлов cookie регулируется Политикой использования файлов cookie, опубликованной по адресу https://mirmai.org/cookies/.

6.2. Файлы cookie, не являющиеся необходимыми для работы Сайта (статистика, карты), устанавливаются только после согласия посетителя, выраженного нажатием кнопки «Принять» в уведомлении о cookie.

6.3. Направляя обращение через форму Сайта, пользователь подтверждает согласие на обработку указанных в форме персональных данных в порядке, установленном Согласием на обработку персональных данных (https://mirmai.org/soglasie-pd/), путём проставления отметки в соответствующем поле формы.

7. Права субъектов персональных данных

7.1. Субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных (ст. 14 152-ФЗ);
• требовать уточнения, блокирования или уничтожения персональных данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных;
• требовать прекращения передачи (распространения, предоставления, доступа) персональных данных, ранее разрешённых для распространения;
• обжаловать действия или бездействие Оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в суд.

7.2. Обращения направляются Оператору в письменной форме по адресу: 191015, Санкт-Петербург, ул. Таврическая, д. 3, или по электронной почте [адрес электронной почты на домене mirmai.org]. Обращение должно содержать номер основного документа, удостоверяющего личность субъекта, сведения о дате его выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с Оператором, подпись субъекта (или его представителя).

7.3. Оператор рассматривает обращение и даёт ответ в течение 10 рабочих дней с даты получения; срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта.

7.4. Отзыв согласия не прекращает обработку персональных данных, если она осуществляется на иных законных основаниях (исполнение договора, требования закона).

8. Меры по обеспечению безопасности персональных данных

8.1. Назначено лицо, ответственное за организацию обработки персональных данных: [должность, ФИО, телефон, e-mail].

8.2. Изданы локальные акты по вопросам обработки персональных данных, работники ознакомлены с ними под подпись; обеспечено ознакомление работников с положениями законодательства о персональных данных.

8.3. Определены угрозы безопасности и уровень защищённости персональных данных в информационных системах Оператора (ст. 19 152-ФЗ, постановление Правительства РФ от 01.11.2012 № 1119).

8.4. Применяются организационные и технические меры: разграничение доступа к персональным данным; учёт машинных носителей; парольная защита; антивирусная защита; резервное копирование; защищённое соединение (HTTPS) при передаче данных через Сайт; ограничение физического доступа к бумажным носителям; оценка вреда, который может быть причинён субъектам; внутренний контроль соответствия обработки требованиям закона.

8.5. В случае выявления неправомерной передачи (предоставления, распространения, доступа) персональных данных Оператор уведомляет Роскомнадзор в сроки, установленные ч. 3.1 ст. 21 152-ФЗ.

9. Уничтожение персональных данных

9.1. Персональные данные уничтожаются при достижении целей обработки, при отзыве согласия (если нет иных оснований), по истечении сроков хранения, по требованию субъекта в случаях, установленных законом, — в срок, не превышающий 30 дней (для отзыва согласия) или 10 рабочих дней (для ст. 21 152-ФЗ).

9.2. Уничтожение оформляется актом; электронные записи удаляются без возможности восстановления.

10. Заключительные положения

10.1. Политика пересматривается при изменении законодательства или процессов обработки, но не реже одного раза в три года. Новая редакция публикуется на Сайте и действует с даты публикации.

10.2. Вопросы, не урегулированные Политикой, регулируются законодательством Российской Федерации.

10.3. Регистрационный номер Оператора в реестре операторов Роскомнадзора: [номер] (после подачи уведомления).

Редакция от [дата].