Политика конфиденциальности

Политика КГБНОУ КДЦ «Созвездие» в отношении обработки персональных данных

1. Общие положения и основные понятия

1.1. Настоящая Политика КГБНОУ КДЦ «Созвездие» в отношении обработки персональных данных (далее — Политика) разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Настоящая Политика разработана в соответствии с Конституцией Российской Федерации, Гражданским кодексом РФ, Трудовым кодексом РФ, Налоговым кодексом РФ, Законом о персональных данных, Федеральным законом от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации», Федеральным законом от 24.07.1998 № 124-ФЗ «Об основных гарантиях прав ребенка в Российской Федерации», Постановлением Правительства РФ от 01.11.2012 № 1119 и Приказом ФСТЭК России от 18.02.2013 № 21.

1.3. Политика действует в отношении всех персональных данных, которые обрабатывает Краевое государственное бюджетное нетиповое образовательное учреждение «Краевой детский центр «Созвездие» (далее — Оператор).

1.4. Политика распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики.

1.5. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на официальном сайте Оператора.

1.6. Основные понятия, используемые в Политике:

Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных: воспитаннику, учащемуся, законному представителю, работнику, кандидату на трудоустройство, пользователю сайта).

Оператор персональных данных (Оператор) — Краевое государственное бюджетное нетиповое образовательное учреждение «Краевой детский центр «Созвездие» (КГБНОУ КДЦ «Созвездие»), самостоятельно организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных и действия (операции), совершаемые с ними.

Обрабтка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. К таким действиям относятся: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.

Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники (в том числе на серверах сайта и в базах данных Учреждения).

Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц (в том числе публикация фотографий, текстовых материалов или списков на официальном сайте и в социальных сетях Учреждения).

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц (например, передача списков участников транспортной компании, страховой организации, медицинскому учреждению).  

Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения данных).  

Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) в результате которых уничтожаются материальные носители (бумажные анкеты, путевки, медицинские справки) персональных данных.

Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.

Информационная система персональных данных (ИС ПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств (включая инфраструктуру сайта).

2. Права и обязанности Оператора и Субъектов персональных данных  

2.1. Оператор имеет право:  

Самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами.  

Поручить обработку персональных данных другому лицу с согласия субъекта персональных данных на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку по поручению Оператора, обязано соблюдать принципы и правила обработки, конфиденциальность и принимать меры по защите ПДн.

Продолжить обработку персональных данных без согласия субъекта при отзыве им согласия, если имеются основания, указанные в Законе о персональных данных.

2.2. Оператор обязан:

Организовывать обработку персональных данных в соответствии с требованиями законодательства РФ.

Отвечать на обращения и запросы субъектов персональных данных и их законных представителей в срок, не превышающий 10 рабочих дней с даты получения (с правом продления не более чем на 5 рабочих дней при направлении мотивированного уведомления).

Сообщать в Роскомнадзор по запросу этого органа необходимую информацию в течение 10 рабочих дней с даты получения запроса (с возможностью продления не более чем на 5 рабочих дней).

Обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ (ГосСОПКА / НКЦКИ), включая информирование о компьютерных инцидентах, повлекших неправомерную передачу ПДн, в течение 24 часов (первичное уведомление) и 72 часов (результаты расследования).

2.3. Субъект персональных данных имеет право:

Получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами.

Требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

Дать предварительное согласие или отказ на обработку персональных данных в целях продвижения на рынке товаров, работ и услуг, связанных с деятельностью Оператора.

Отозвать согласие на обработку персональных данных в любой момент.

Обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействие Оператора.

2.4. Контроль за исполнением требований настоящей Политики осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных у Оператора.

2.5. Ответственность за нарушение требований законодательства РФ и локальных актов КГБНОУ КДЦ «Созвездие» в сфере защиты персональных данных определяется в соответствии с законодательством Российской Федерации.

3. Цели и правовые основания обработки персональных данных

3.1. Обработка персональных данных в КГБНОУ КДЦ «Созвездие» ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора.

3.2. Оператор осуществляет обработку персональных данных в следующих целях:

Заключение и исполнение договоров: Обеспечение процесса бронирования, продажи путевок и оформления документов для оказания услуг по организации отдыха, оздоровления и дополнительного образования детей; заключение договоров гражданско-правового характера и трудовых договоров.

Организация образовательного, воспитательного и досугового процесса: Организация и проведение образовательной деятельности, ведение учета учащихся/воспитанников и их успеваемости, учет участников смен, распределение по отрядам и профильным группам на основании возраста, места учебы и интересов ребенка.

Обеспечение безопасности и охраны здоровья: Организация питания, медицинского обслуживания, пропускного и внутриобъектового режимов на территории учреждения, учет индивидуальных особенностей здоровья.

Информационная поддержка и сервисы сайта: Регистрация и администрирование личного кабинета на официальном сайте Оператора, обработка обращений через формы обратной связи, отправка уведомлений о событиях, мероприятиях и статусе бронирования.

Освещение деятельности учреждения: Публикация текстовых, фотографических и видеоматериалов с участием субъектов в официальных сообществах в социальных сетях и на официальном сайте Учреждения (осуществляется исключительно при наличии отдельного письменного согласия на распространение ПДн).

Исполнение требований законодательства: Выполнение обязательств перед органами государственной власти, предоставление отчетности в Министерство образования и науки Хабаровского края, Социальный фонд России, налоговые и правоохранительные органы.

3.3. Правовым основанием обработки персональных данных является совокупность нормативных актов и документов:

Нормативные правовые акты РФ (Конституция РФ, ГК РФ, ТК РФ, НК РФ, ФЗ № 152-ФЗ, ФЗ № 273-ФЗ, ФЗ № 124-ФЗ, ФЗ № 402-ФЗ, ФЗ № 167-ФЗ);

Устав КГБНОУ КДЦ «Созвездие»;

Договоры об оказании образовательных услуг и услуг по организации отдыха и оздоровления детей;

Согласия субъектов персональных данных (и их законных представителей) на обработку и распространение персональных данных.

4. Категории субъектов и объем обрабатываемых персональных данных

4.1. Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые данные не являются избыточными.

4.2. Оператор обрабатывает персональные данные следующих категорий субъектов:

4.2.1. Кандидаты для приема на работу:

Фамилия, имя, отчество; пол; гражданство; дата и место рождения; контактные данные; сведения об образовании, квалификации, опыте работы; иные данные из резюме.

4.2.2. Работники и бывшие работники Оператора:

Фамилия, имя, отчество; дата и место рождения; паспортные данные; адрес регистрации и проживания; контактные данные; ИНН; СНИЛС; сведения об образовании, квалификации, семейном положении, наличии детей; данные о трудовой деятельности, воинском учете, инвалидности; фотографическое изображение (для кадрового учета и пропуска).

4.2.3. Законные представители несовершеннолетних (родители, опекуны) и заказчики услуг:

Фамилия, имя, отчество; дата и место рождения; паспортные данные; адрес регистрации и фактического проживания; номер сотового телефона; адрес электронной почты; платежные и банковские реквизиты.

4.2.4. Несовершеннолетние субъекты (воспитанники, учащиеся, участники смен):

Фамилия, имя, отчество; пол; дата, месяц и год рождения; данные свидетельства о рождении или паспорта; адрес регистрации и места жительства; сведения об образовательном учреждении (школа, класс, район); фотографическое изображение (для визиток, бейджей, пропускных карточек и отчетов); сведения о достижениях (портфолио, грамоты); сведения о состоянии здоровья (данные медицинских справок, прививок, перенесенных заболеваний, аллергических реакций, групп здоровья, полиса ОМС/ДМС).

4.2.5. Пользователи официального сайта Оператора:

Фамилия, имя, отчество; контактные данные (телефон, email); учетные данные (логин, пароль); технические данные (IP-адрес, файлы cookie).

4.3. Положения об отсутствии обработки биометрических персональных данных:

Оператор не осуществляет обработку биометрических персональных данных.

Обработка фотографических изображений работников и несовершеннолетних субъектов в КГБНОУ КДЦ «Созвездие» не преследует цель установления личности автоматизированными средствами и используется исключительно для визуальной идентификации на территории Учреждения (на бейджах и пропусках), а также для информирования о деятельности Учреждения (при наличии отдельного согласия).

4.4. Обработка специальных категорий персональных данных:

Оператор осуществляет обработку специальных категорий персональных данных, касающихся состояния здоровья несовершеннолетних субъектов, в строгом соответствии с п. 2.3 ч. 2 ст. 10 Закона о персональных данных исключительно в медико-профилактических целях, целях охраны здоровья и обеспечения безопасности ребенка на основании письменного согласия законного представителя.

Данные о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни Оператором не обрабатываются.

5. Порядок, условия и способы обработки персональных данных

5.1. Обработка персональных данных осуществляется с согласия субъектов персональных данных (или их законных представителей), а также без такового в случаях, предусмотренных законодательством РФ.

5.2. Оператор осуществляет обработку персональных данных такими способами, как неавтоматизированная, автоматизированная (с передачей по сетям или без таковой) и смешанная обработка.

5.3. К обработке персональных данных допускаются только уполномоченные работники Оператора, в должностные обязанности которых входит обработка ПДн.

5.4. Оформление распространения персональных данных (ст. 10.1 Закона о персональных данных):

Не допускается раскрытие третьим лицам и распространение персональных данных без согласия субъекта, если иное не предусмотрено федеральным законом.

Согласие на обработку персональных данных, разрешенных субъектом для распространения, оформляется отдельно от иных согласий в соответствии с требованиями Приказа Роскомнадзора от 24.02.2021 № 18.

5.5. Локализация баз данных:

При сборе персональных данных, в том числе посредством сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории Российской Федерации.

6. Информационные платформы и каналы распространения

6.1. Оператор размещает информацию об учащихся и мероприятиях (при наличии отдельного согласия на распространение) на следующих официальных платформах:

Официальный сайт Оператора

МАКС (MAX)

ВКонтакте (VK)

Одноклассники

Telegram

RuTube

6.2. Размещение информации на указанных платформах производится исключительно при наличии отдельного письменного согласия Субъекта данных или его законного представителя.

7. Защита персональных данных и реагирование на инциденты

7.1. Организационные меры защиты:

Назначение ответственного лица за организацию обработки персональных данных у Оператора.

Разработка и внедрение внутренних политик и локальных актов по защите данных.

Проведение обучения сотрудников правилам работы и защиты персональных данных.

Регулярный внутренний аудит и контроль процессов обработки.

7.2. Технические меры защиты:

Использование криптографии и шифрования для защиты данных.

Ограничение доступа к персональным данным авторизованным лицам.

Использование брандмауэров, антивирусного ПО и систем обнаружения вторжений.

Регулярное обновление ПО, создание резервных копий, мониторинг и логирование доступа в ИС ПДн.

7.3. Порядок информирования об инцидентах безопасности (утечках):

В случае выявления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных Оператор обязан:

В течение 24 часов — уведомить Роскомнадзор об инциденте, его предполагаемых причинах, вреде и принятых мерах.

В течение 72 часов — уведомить Роскомнадзор о результатах внутреннего расследования с указанием сведений о лицах, действия которых стали причиной инцидента.

Информирование ГосСОПКА / НКЦКИ о компьютерных инцидентах осуществляется в порядке, установленном уполномоченным органом в области безопасности.

8. Передача персональных данных третьим лицам

8.1. Оператор вправе передавать персональные данные следующим третьим лицам:

Органам государственной власти, налоговым и правоохранительным органам, Социальному фонду РФ — при наличии обязывающих требований закона.

Медицинским учреждениям — в целях медицинского обслуживания, оказания экстренной или специализированной помощи.

Транспортным компаниям и перевозчикам — в целях организации трансфера участников смен.

Страховым организациям — для оформления полисов страхования жизни и здоровья участников смен.

Банковским организациям — для обработки платежей и оформления возврата денежных средств.

Третьим сервис-провайдерам — на основе договора поручения обработки ПДн.

8.2. Все получатели персональных данных обязаны обеспечивать конфиденциальность и защиту данных в соответствии с законодательством РФ.

9. Сроки хранения, актуализация и порядок уничтожения персональных данных

9.1. Период хранения персональных данных:

Персональные данные хранятся не дольше, чем этого требуют цели их обработки, если срок не установлен федеральным законом или договором.

Персональные данные на бумажных носителях и в ИС ПДн хранятся в течение периода обучения/пребывания в Учреждении плюс 3 года после окончания (в соответствии с архивным законодательством РФ, ФЗ № 125-ФЗ и Приказом Росархива № 236).

9.2. Порядок отзыва согласия и прекращения обработки:

Согласие может быть отозвано путем подачи письменного заявления лично в офис Оператора, почтовой корреспонденцией или по электронной почте.

При обращении субъекта с требованием о прекращении обработки Оператор прекращает ее в срок, не превышающий 10 рабочих дней с даты получения (с правом продления не более чем на 5 рабочих дней).

9.3. Актуализация и исправление:

При выявлении неточных данных Оператор блокирует их и осуществляет уточнение в течение 7 рабочих дней с момента подтверждения неточностей.

9.4. Порядок и документы подтверждения уничтожения (Приказ Роскомнадзора № 179):

Уничтожение данных осуществляется при достижении целей обработки, отзыве согласия или истечении сроков хранения — в течение 30 дней; при выявлении неправомерной обработки — в течение 7 рабочих дней.

Уничтожение бумажных носителей производится методом измельчения (шредирования), исключающим восстановление текста.

Уничтожение данных в ИС ПДн производится путем гарантированного программного стирания.

Подтверждающие документы:

При неавтоматизированной обработке — Акт об уничтожении персональных данных.

При автоматизированной или смешанной обработке — Акт об уничтожении персональных данных и Выгрузка из журнала регистрации событий в ИС ПДн.

Уничтожение осуществляет комиссия, созданная приказом Генерального директора КГБНОУ КДЦ «Созвездие». Акты и выгрузки хранятся в течение 3 лет.

10. Контактная информация, изменение Политики и заключительные положения

10.1. Контактная информация Оператора:

Наименование: КГБНОУ КДЦ «Созвездие»

Адрес: 680035, г. Хабаровск, ул. Тихоокеанская, д. 75

Электронная почта (защита данных): kdcs@edu.27.ru

10.2. Изменение Политики:

Оператор вправе изменять настоящую Политику. При внесении изменений Оператор уведомляет Субъектов путем размещения обновленной редакции на официальном сайте Оператора.

10.3. Заключительные положения:

Настоящая Политика вступает в силу со дня ее утверждения и применяется ко всем персональным данным, обрабатываемым Оператором.

В случае несоответствия отдельных положений Политики требованиям законодательства РФ действуют нормы законодательства Российской Федерации.