Политика в отношении обработки персональных данных

---

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые Федеральным государственным бюджетным образовательным учреждением высшего образования «Иркутский национальный исследовательский технический университет» (ФГБОУ ВО «ИРНИТУ») (далее — Оператор) при использовании сайта https://gastronomiya.istu.edu и входящих в него разделов, посвящённых образовательным программам Школы байкальского гостеприимства (далее — Сайт).

1.2. Политика разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ) и определяет политику Оператора в отношении обработки персональных данных.

1.3. Политика применяется ко всей информации, которую Оператор может получить о посетителях Сайта и лицах, направляющих заявки на обучение через размещённые на Сайте формы.

1.4. Реквизиты Оператора:

1.5. Основные понятия, используемые в Политике, применяются в значениях, определённых статьёй 3 Закона № 152-ФЗ.

2. Правовые основания обработки персональных данных

Оператор обрабатывает персональные данные на следующих правовых основаниях:

2.1. Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных».

2.2. Федеральный закон от 29 декабря 2012 года № 273-ФЗ «Об образовании в Российской Федерации» — в части приёма на обучение по дополнительным профессиональным программам и программам профессионального обучения, ведения документации об образовании и выдачи документов о квалификации.

2.3. Приказ Министерства просвещения Российской Федерации, устанавливающий порядок организации и осуществления образовательной деятельности по дополнительным профессиональным программам, — в части состава сведений, вносимых в документы об обучении.

2.4. Федеральный закон от 6 декабря 2011 года № 402-ФЗ «О бухгалтерском учёте» и Налоговый кодекс Российской Федерации — в части оформления расчётов и первичных учётных документов.

2.5. Договор об образовании (оказании платных образовательных услуг), стороной либо выгодоприобретателем по которому является субъект персональных данных, а также действия, совершаемые по просьбе субъекта до заключения такого договора (пункт 5 части 1 статьи 6 Закона № 152-ФЗ).

2.6. Согласие субъекта персональных данных на обработку его персональных данных (пункт 1 части 1 статьи 6, статья 9 Закона № 152-ФЗ) — в объёме, выходящем за пределы оснований, указанных в пунктах 2.2–2.5.

2.7. Устав Оператора, локальные нормативные акты Оператора, регулирующие приём на обучение и обработку персональных данных.

3. Цели обработки персональных данных

Оператор обрабатывает персональные данные исключительно в следующих целях:

3.1. Приём, регистрация и рассмотрение заявок на обучение по образовательным программам Школы байкальского гостеприимства, направляемых через формы Сайта.

3.2. Связь с заявителем: подтверждение получения заявки, уточнение сведений, информирование о сроках, стоимости и условиях обучения, приглашение на занятия.

3.3. Проверка соответствия заявителя требованиям к уровню образования, установленным образовательной программой и законодательством об образовании.

3.4. Заключение, исполнение и прекращение договора об образовании (оказании платных образовательных услуг), в том числе оформление расчётов.

3.5. Зачисление на обучение, формирование личного дела обучающегося, ведение учебной документации, оформление и выдача документов о квалификации (удостоверения о повышении квалификации, диплома о профессиональной переподготовке, свидетельства о профессии рабочего, должности служащего), внесение сведений в Федеральную информационную систему «Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении» (ФИС ФРДО).

3.6. Исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации, в том числе представление отчётности и ответов на запросы уполномоченных государственных органов.

3.7. Направление рекламно-информационных сообщений об образовательных программах Оператора — исключительно при наличии отдельного предварительного согласия субъекта персональных данных, выраженного самостоятельным действием (отдельной отметкой в форме).

3.8. Обеспечение работоспособности и безопасности Сайта, защита от автоматизированных рассылок и попыток несанкционированного доступа, сбор обезличенной статистики посещаемости.

3.9. Обработка персональных данных в целях, не совместимых с перечисленными в настоящем разделе, не осуществляется.

4. Категории субъектов персональных данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

4.1. Заявители — физические лица: лица, самостоятельно направившие заявку на обучение через форму Сайта.

4.2. Представители юридических лиц и индивидуальных предпринимателей: лица, действующие от имени организации-заказчика при направлении коллективной заявки на обучение работников.

4.3. Работники организаций-заказчиков: лица, направляемые организацией-заказчиком на обучение, сведения о которых передаются организацией-заказчиком через форму Сайта.

4.4. Обучающиеся: лица, зачисленные на обучение по образовательным программам Оператора.

4.5. Посетители Сайта: лица, посещающие Сайт без направления заявки.

5. Категории и перечень обрабатываемых персональных данных

5.1. При направлении заявки физическим лицом обрабатываются:

• фамилия, имя, отчество (при наличии);
• номер контактного телефона;
• адрес электронной почты;
• наименование выбранной образовательной программы;
• содержание комментария, добровольно указанного заявителем в свободном поле формы;
• изображение (электронная копия, скан-копия или фотография) документа, удостоверяющего личность (паспорта гражданина Российской Федерации), — страницы с фотографией и сведениями о личности, а также страницы с отметкой о регистрации по месту жительства;
• изображение (электронная копия) страхового свидетельства обязательного пенсионного страхования либо документа, подтверждающего регистрацию в системе индивидуального (персонифицированного) учёта, содержащего страховой номер индивидуального лицевого счёта (СНИЛС);
• изображение (электронная копия) документа об образовании и (или) о квалификации либо справки об обучении.

Из содержания указанных документов Оператору становятся известны, в частности: дата и место рождения, пол, серия и номер документа, удостоверяющего личность, дата его выдачи и наименование выдавшего органа, код подразделения, адрес регистрации по месту жительства, СНИЛС, сведения об уровне образования, наименование образовательной организации, реквизиты и дата выдачи документа об образовании, присвоенная квалификация, фотографическое изображение лица в составе документа, удостоверяющего личность.

5.2. При направлении заявки юридическим лицом или индивидуальным предпринимателем дополнительно обрабатываются:

• наименование организации, идентификационный номер налогоплательщика (ИНН), код причины постановки на учёт (КПП);
• фамилия, имя, отчество (при наличии), номер телефона и адрес электронной почты контактного лица организации;
• изображение (электронная копия) карточки предприятия;
• фамилия, имя, отчество (при наличии) и должность каждого работника, направляемого на обучение;
• документы, указанные в абзацах шестом — восьмом пункта 5.1, в отношении каждого работника, направляемого на обучение.

5.3. При посещении Сайта автоматически обрабатываются:

• файлы cookie, необходимые для поддержания пользовательской сессии и защиты формы заявки от автоматизированных обращений;
• обезличенные данные систем веб-аналитики [УКАЗАТЬ ИСПОЛЬЗУЕМЫЕ СИСТЕМЫ: например, Яндекс Метрика] о факте и параметрах посещения Сайта;
• значение хеш-функции, вычисленной от IP-адреса посетителя с использованием секретного ключа Оператора, — исключительно для ограничения частоты обращений к форме заявки. IP-адрес в исходном виде Оператором не сохраняется и восстановлению из указанного значения не подлежит.

5.4. Оператор не обрабатывает специальные категории персональных данных (сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни) и не запрашивает такие сведения.

5.5. Оператор не обрабатывает биометрические персональные данные. Фотографическое изображение лица, содержащееся в составе электронной копии документа, удостоверяющего личность, используется исключительно для проверки достоверности представленного документа и оформления документов об обучении и не применяется Оператором для установления личности субъекта персональных данных.

5.6. Оператор не обрабатывает персональные данные несовершеннолетних. Направление заявки лицом, не достигшим возраста восемнадцати лет, не предусмотрено условиями использования форм Сайта. [УТОЧНИТЬ: если на программы принимаются лица с 16 лет, пункт подлежит переработке с включением порядка получения согласия законного представителя.]

6. Порядок и способы обработки персональных данных

6.1. Обработка персональных данных осуществляется смешанным способом: с использованием средств автоматизации и без использования таких средств.

6.2. Обработка включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

6.3. Персональные данные, полученные через формы Сайта, сохраняются в базе данных Оператора и направляются на служебный адрес электронной почты приёмной комиссии Оператора. Электронные копии документов сохраняются в каталоге, недоступном из сети «Интернет» по прямой ссылке.

6.4. Оператор осуществляет запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с частью 5 статьи 18 Закона № 152-ФЗ.

6.5. Трансграничная передача персональных данных Оператором не осуществляется.

6.6. Решения, порождающие юридические последствия в отношении субъекта персональных данных, на основании исключительно автоматизированной обработки его персональных данных Оператором не принимаются.

7. Передача персональных данных третьим лицам

7.1. Оператор не продаёт, не передаёт и не раскрывает персональные данные третьим лицам, за исключением случаев, предусмотренных настоящим разделом и законодательством Российской Федерации.

7.2. Персональные данные могут быть переданы:

• в Федеральную информационную систему «Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении» (ФИС ФРДО) — в объёме, установленном законодательством, при выдаче документа о квалификации;
• органам государственной власти, органам местного самоуправления, суду, органам прокуратуры, правоохранительным органам — по мотивированному запросу в случаях и в объёме, установленных законодательством Российской Федерации;
• кредитным организациям и операторам по переводу денежных средств — в объёме, необходимом для проведения расчётов по договору об образовании;
• лицу, осуществляющему обработку персональных данных по поручению Оператора (провайдеру услуг хостинга) — на условиях, предусмотренных частью 3 статьи 6 Закона № 152-ФЗ, с возложением на такое лицо обязанности соблюдать конфиденциальность и требования к безопасности персональных данных. Сведения о лице, осуществляющем обработку по поручению: [НАИМЕНОВАНИЕ, ИНН, АДРЕС ХОСТИНГ-ПРОВАЙДЕРА];
• организации-заказчику — в отношении факта зачисления и результатов обучения направленных ею работников.

7.3. Передача персональных данных в рекламных и маркетинговых целях третьим лицам не осуществляется.

8. Сроки обработки и хранения персональных данных

8.1. Персональные данные обрабатываются не дольше, чем этого требуют цели обработки, если срок хранения не установлен законодательством Российской Федерации или договором.

8.2. Устанавливаются следующие сроки:

8.3. По достижении целей обработки, при отзыве согласия либо по истечении сроков, указанных в пункте 8.2, персональные данные подлежат уничтожению в срок, не превышающий тридцати дней с даты наступления соответствующего обстоятельства, если иное не предусмотрено законодательством.

8.4. Факт уничтожения персональных данных подтверждается актом об уничтожении, оформляемым в порядке, установленном приказом Роскомнадзора.

9. Права субъекта персональных данных

9.1. Субъект персональных данных имеет право:

• получать сведения, касающиеся обработки его персональных данных, предусмотренные частью 7 статьи 14 Закона № 152-ФЗ;
• требовать уточнения его персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• возражать против обработки его персональных данных в целях продвижения образовательных услуг на рынке;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.

9.2. Для реализации своих прав субъект персональных данных направляет Оператору запрос в письменной форме по почтовому адресу, указанному в пункте 1.4, либо в форме электронного документа на адрес электронной почты info@istu.edu. Запрос должен содержать сведения, предусмотренные частью 3 статьи 14 Закона № 152-ФЗ: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта в отношениях с Оператором, либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта или его представителя.

9.3. Оператор рассматривает запрос и направляет ответ в срок, не превышающий тридцати дней с даты получения запроса.

9.4. Отзыв согласия. Согласие на обработку персональных данных может быть отозвано в любой момент путём направления заявления в порядке, предусмотренном пунктом 9.2. С момента получения отзыва Оператор прекращает обработку персональных данных, осуществлявшуюся на основании согласия, и уничтожает их в срок, не превышающий тридцати дней, за исключением случаев, когда сохранение персональных данных требуется в силу закона либо когда обработка осуществляется на ином правовом основании, предусмотренном частью 2 статьи 9 или частью 1 статьи 6 Закона № 152-ФЗ. Отзыв согласия на обработку сведений, необходимых для исполнения заключённого договора об образовании, влечёт невозможность дальнейшего оказания образовательных услуг.

10. Меры по обеспечению безопасности персональных данных

10.1. Оператор принимает правовые, организационные и технические меры, необходимые для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий, в том числе:

• назначает лицо, ответственное за организацию обработки персональных данных;
• издаёт локальные акты по вопросам обработки персональных данных и знакомит с ними работников, непосредственно осуществляющих обработку;
• ограничивает круг лиц, имеющих доступ к персональным данным, объёмом, необходимым для выполнения трудовых обязанностей;
• осуществляет внутренний контроль соответствия обработки персональных данных требованиям Закона № 152-ФЗ и принятым локальным актам;
• определяет угрозы безопасности персональных данных при их обработке в информационных системах и применяет меры защиты, предусмотренные постановлением Правительства Российской Федерации от 1 ноября 2012 года № 1119;
• осуществляет учёт машинных носителей персональных данных;
• обнаруживает факты несанкционированного доступа к персональным данным и принимает меры по устранению их последствий, включая уведомление Роскомнадзора в сроки, предусмотренные частью 3.1 статьи 21 Закона № 152-ФЗ;
• производит восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа, за счёт резервного копирования.

10.2. Технические меры, реализованные на Сайте:

• передача данных между устройством пользователя и Сайтом осуществляется по защищённому протоколу HTTPS;
• электронные копии документов сохраняются в каталоге, расположенном вне корневого каталога веб-сервера; прямая ссылка для загрузки такого файла из сети «Интернет» отсутствует;
• получение электронной копии документа возможно исключительно через служебный интерфейс после прохождения авторизации с проверкой прав доступа к конкретной заявке;
• загружаемые файлы проверяются на соответствие заявленному типу, сохраняются под именами, формируемыми сервером случайным образом, с ограниченными правами доступа;
• обращения к базе данных выполняются исключительно с использованием подготовленных выражений;
• реализована защита от подделки межсайтовых запросов и от автоматизированных обращений;
• доступ к служебному интерфейсу защищён ограничением числа попыток авторизации; сессия администратора ограничена по времени;
• IP-адрес посетителя сохраняется исключительно в виде необратимого значения хеш-функции;
• выполняется ежедневное резервное копирование данных.

11. Файлы cookie и веб-аналитика

11.1. Сайт использует файлы cookie — небольшие текстовые файлы, сохраняемые в браузере посетителя.

11.2. Используются следующие категории файлов cookie:

• технически необходимые — обеспечивают работу формы заявки, поддержание сессии и защиту от подделки запросов. Отключение таких файлов делает отправку заявки невозможной;
• аналитические — применяются системами веб-аналитики [УКАЗАТЬ СИСТЕМЫ] для сбора обезличенной статистики посещаемости Сайта.

11.3. Посетитель вправе в любой момент удалить сохранённые файлы cookie и запретить их сохранение в настройках своего браузера. Ограничение файлов cookie может повлиять на работоспособность отдельных функций Сайта.

11.4. Сведения о правилах обработки данных системами веб-аналитики размещаются их владельцами на собственных сайтах.

12. Заключительные положения

12.1. Настоящая Политика является общедоступным документом и размещается на Сайте по адресу https://gastronomiya.istu.edu/privacy.html.

12.2. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения на Сайте, если иное не предусмотрено новой редакцией.

12.3. Действующая редакция Политики утверждена [РЕКВИЗИТЫ АКТА ОБ УТВЕРЖДЕНИИ: вид документа, дата, номер].

12.4. Контроль за исполнением требований настоящей Политики осуществляет лицо, ответственное за организацию обработки персональных данных у Оператора.