Политика в отношении обработки персональных данных

1. Общие положения
1.1. Настоящая Политика определяет цели, содержание и порядок обработки персональных данных индивидуальным предпринимателем Лыковой Кристиной Сергеевной (далее – Оператор), а также меры, принимаемые Оператором для защиты персональных данных.
1.2. Оператор: индивидуальный предприниматель Лыкова Кристина Сергеевна;
ИНН 240403691150; ОГРНИП 325246800089770; адрес: г. Красноярск, ул. Ладо Кецховели, д. 27; телефон: +7 (923) 358-99-93; электронная почта для обращений по вопросам персональных данных: iavorkaia.cr@mail.ru.
1.3. Политика применяется к персональным данным, получаемым через Telegram-бот https://t.me/Elegants_schoolbot (далее – Бот), сайт https://elegants-dance.ru (далее – Сайт), сообщества и боты Оператора во ВКонтакте и MAX, при общении по телефону, электронной почте и в мессенджерах, а также на бумажных носителях в школе танцев «Elegants».
1.4. Политика распространяется на обработку данных посетителей Сайта и Бота, лиц, оставивших заявку, взрослых учеников, несовершеннолетних учеников, их родителей и иных законных представителей, плательщиков, участников мероприятий, авторов отзывов, а также посетителей помещений школы.
1.5. Политика является общедоступным документом. Она размещается в Боте и на Сайте до начала сбора персональных данных. Политика сама по себе не заменяет согласие субъекта персональных данных в случаях, когда получение отдельного согласия обязательно.
1.6. Оператор руководствуется Конституцией Российской Федерации, Гражданским кодексом Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе», Федеральным законом от 22.05.2003 № 54-ФЗ, Законом Российской Федерации от 07.02.1992 № 2300-1 «О защите прав потребителей», иными применимыми нормативными актами, договорами и согласиями субъектов персональных данных.

2. Принципы обработки персональных данных
2.1. Оператор обрабатывает персональные данные законно, добросовестно и только для заранее определенных целей. Для каждой цели используется минимально необходимый объем данных.
2.2. Данные, собранные для несовместимых целей, не объединяются. Оператор принимает меры для поддержания данных в точном и актуальном состоянии.
2.3. Персональные данные хранятся не дольше, чем это необходимо для соответствующей цели, если более длительный срок не установлен законом или договором.
2.4. Оператор не принимает решений, порождающих юридические последствия для человека или иным образом существенно затрагивающих его права, исключительно на основании автоматизированной обработки персональных данных.

3. Состав обрабатываемых персональных данных
3.1. В зависимости от способа обращения и выбранной услуги Оператор может обрабатывать следующие общие персональные данные: имя, фамилию; номер телефона; адрес электронной почты; имя пользователя, идентификатор и сведения профиля в Telegram, MAX или ВКонтакте, доступные в рамках настроек пользователя; дату рождения или возраст; сведения о законном представителе; выбранное танцевальное направление, филиал и удобное время занятий; сведения о предыдущем опыте занятий; содержание обращения и переписки; сведения о записи, посещениях и абонементе; сведения о платеже и кассовом чеке; отзывы, изображения, видеозаписи и голос.
3.2. При записи несовершеннолетнего Оператор обрабатывает данные ребенка в объеме, необходимом для подбора группы и оказания услуг, а также данные родителя или иного законного представителя. Запись ребенка и предоставление его данных осуществляет законный представитель.
3.3. На бумажном носителе в школе Оператор может получать сведения о состоянии здоровья ученика: наличии травм, противопоказаний, беременности, хронических заболеваний, разрешения врача и иных обстоятельств, влияющих на безопасность занятий. Эти сведения относятся к специальной категории персональных данных и обрабатываются только при наличии предусмотренного законом основания – отдельного письменного согласия взрослого ученика или законного представителя несовершеннолетнего.
3.4. Сведения о здоровье не запрашиваются через Бот или Сайт и не передаются в сервисы рассылок, рекламу или нейроменеджер. При необходимости электронного учета таких сведений Оператор обеспечивает отдельное правовое основание и ограниченный доступ.
3.5. Фотографии, видеозаписи и голос не используются Оператором для установления личности и не обрабатываются как биометрические персональные данные. Если цель использования изменится, Оператор до начала такой обработки получит отдельное письменное согласие, когда оно требуется законом.
3.6. При посещении Сайта могут автоматически обрабатываться технические данные: IP-адрес, cookie-файлы, сведения о браузере, устройстве, операционной системе, времени и источнике перехода, а также действия на Сайте.

4. Цели, основания и сроки обработки
4.1. Обработка заявок и запись на занятия
Цель: ответить на вопрос, записать на пробное или основное занятие, подобрать направление, возрастную группу, филиал, дату и время, предоставить расписание.
Субъекты и данные: взрослый ученик либо родитель или иной законный представитель; имя, фамилия, телефон, электронная почта, аккаунт в мессенджере или социальной сети, возраст или дата рождения ученика, выбранное направление, филиал, удобное время, предыдущий опыт и содержание обращения.
Основание: согласие субъекта персональных данных; действия по инициативе субъекта до заключения договора.
Срок: до обработки заявки и в течение двух месяцев после последнего взаимодействия, если договор не заключен; при заключении договора данные обрабатываются по правилам пункта 4.2.
4.2. Заключение и исполнение договора, учет посещений и абонементов
Цель: заключить и исполнить договор на занятия, предоставить доступ к выбранным услугам, вести расписание, учет посещений и абонементов, связываться по вопросам оказания услуг, рассматривать обращения и претензии.
Субъекты и данные: взрослые ученики, несовершеннолетние ученики, их законные представители и плательщики; идентификационные и контактные данные, сведения о выбранных услугах, расписании, посещениях, абонементе, оплатах, переписке и исполнении договора.
Основание: заключение и исполнение договора, выполнение обязанностей Оператора по закону, согласие – в случаях, когда оно требуется.
Срок: в период действия договора и после его прекращения в пределах сроков, необходимых для исполнения требований закона, разрешения претензий и защиты прав Оператора и ученика. Операционные сведения, для которых не установлен обязательный срок хранения, удаляются, как правило, в течение трех лет после окончания занятий.
4.3. Обеспечение безопасности занятий с учетом состояния здоровья
Цель: оценить возможность участия в занятиях, учесть ограничения и противопоказания, снизить риск причинения вреда здоровью и предоставить тренеру только необходимые рекомендации по безопасной нагрузке.
Субъекты и данные: взрослые и несовершеннолетние ученики; сведения о травмах, противопоказаниях, беременности, хронических заболеваниях, разрешении врача и иных значимых ограничениях.
Основание: отдельное письменное согласие взрослого ученика либо законного представителя несовершеннолетнего, а также иные основания, прямо предусмотренные законом.
Срок: в течение периода занятий и, как правило, не более двух месяцев после их окончания, если более длительная обработка не требуется по закону. При отзыве согласия обработка прекращается, а данные уничтожаются в установленный законом срок, если отсутствует иное законное основание.
4.4. Прием оплаты и оформление кассовых чеков
Цель: принять оплату, подтвердить ее, оформить и направить кассовый чек, осуществить возврат и выполнить установленные законом обязанности.
Данные: имя и контактные данные плательщика, сведения об услуге, сумме, дате, статусе платежа и кассовом чеке. Оператор не получает и не хранит полные реквизиты банковской карты.
Основание: исполнение договора и требований законодательства.
Срок: в течение сроков хранения расчетных, кассовых и иных обязательных документов, установленных законодательством Российской Федерации.
4.5. Сервисные и рекламные сообщения
Сервисные сообщения: подтверждение записи, напоминание о занятии, изменение расписания, информация об оплате, абонементе и исполнении договора направляются для оказания запрошенной услуги или исполнения договора.
Рекламные сообщения: новости школы, информация о скидках, акциях, новых направлениях и предложения приобрести абонемент направляются только при наличии предварительного отдельного согласия адресата на получение рекламы.
Данные и каналы: имя, телефон, электронная почта, аккаунт в Telegram, MAX или ВКонтакте; сообщения могут направляться по электронной почте, SMS, через мессенджеры, боты и социальные сети.
Срок: сервисные сообщения – пока это необходимо для заявки или договора; рекламные сообщения – до отзыва согласия или отказа от рассылки, но не более 5 лет.
4.6. Фото-, видеосъемка, отзывы и публикации
Цель: освещать деятельность школы, отчетные мероприятия, мастер-классы, достижения учеников и использовать отзывы в информационных и рекламных материалах.
Данные: имя или псевдоним, аккаунт, фотография, видеоизображение, голос, отзыв, скриншот переписки и сведения о результате занятий.
Основание: отдельное согласие на обработку и распространение персональных данных, а также согласие на обнародование и использование изображения в предусмотренных законом случаях. Для несовершеннолетнего согласие предоставляет его законный представитель; согласие самого несовершеннолетнего также учитывается с учетом возраста и объема дееспособности.
Срок: до истечения срока согласия, достижения цели публикации или поступления требования о прекращении распространения либо отзыва согласия – в зависимости от того, что наступит раньше, если закон не допускает продолжение обработки.
4.7. Видеонаблюдение в помещениях школы
Цель: обеспечение безопасности посетителей и имущества, предупреждение и расследование происшествий, защита прав и законных интересов Оператора и посетителей.
Данные: изображение человека, дата, время и место нахождения в зоне видеонаблюдения. Видеонаблюдение не используется для распознавания лица и автоматической идентификации.
Основание: осуществление законных интересов Оператора и посетителей при условии соблюдения их прав и свобод. В местах съемки размещаются информационные таблички.
Срок: до 14 календарных дней, если запись не требуется для проверки происшествия, разрешения спора или передачи уполномоченному органу.
4.8. Запись онлайн-занятий, мастер-классов и выступлений
Цель: провести занятие или мероприятие, предоставить участникам доступ к записи, создать учебный или отчетный материал.
Данные: имя или аккаунт участника, изображение, голос, выступление, сообщения и ответы во время занятия.
Основание: исполнение договора и отдельное согласие – когда запись или ее последующее использование выходит за пределы, объективно необходимые для оказания услуги.
Срок: в Telegram-группе или канале в течение периода, для которого участникам предоставлен доступ, либо до достижения цели записи. При публикации записи для неопределенного круга лиц применяются правила пункта 4.6.
4.9. Работа Сайта и информационная безопасность
Цель: обеспечить корректную и безопасную работу Сайта, сохранить пользовательские настройки, получить обезличенную статистику и улучшить страницы и формы записи.
Данные: технические данные, перечисленные в пункте 3.6. Оператор не использует их для принятия решений, создающих юридические последствия для пользователя.
Основание: согласие пользователя на необязательные cookie-файлы и законный интерес Оператора в части технически необходимых данных.
Срок: в течение срока действия соответствующего cookie-файла или до его удаления пользователем, но не дольше, чем требуется для указанной цели.

5. Особенности обработки данных несовершеннолетних
5.1. Запись ученика младше 18 лет, заключение договора, предоставление сведений о его здоровье и дача обязательных согласий осуществляются родителем или иным законным представителем, если из закона и объема дееспособности несовершеннолетнего не следует иное.
5.2. Законный представитель предоставляет свои данные и данные ребенка только в необходимом объеме и подтверждает наличие полномочий действовать в интересах ребенка.
5.3. Оператор не использует данные несовершеннолетних для рекламы, публикации фото, видео, отзывов или результатов без отдельного надлежащего согласия законного представителя.

6. Порядок и способы обработки
6.1. Обработка осуществляется смешанным способом: с использованием средств автоматизации и без них. Оператор может совершать сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, предоставление доступа, обезличивание, блокирование, удаление и уничтожение персональных данных; распространение допускается только при наличии отдельного основания.
6.2. Данные поступают непосредственно от субъекта или законного представителя через Бот, Сайт, телефон, электронную почту, мессенджеры, социальные сети, CRM-системы и бумажные формы. Технические сведения о работе Сайта могут формироваться автоматически.
6.3. При использовании сервисов GetPlatinum (ООО «Центр Смарт Решений» ИНН: 973114697), AppEvent (ООО «АППИВЕНТ» ИНН 6163222145), YCLIENTS (ООО «УАЙКЛАЕНТС», ИНН 7708274185) и нейроменеджера «Афина» (ИП Борисов Юрий Николаевич ИНН: 254008176561) Оператор ограничивает состав передаваемых данных объемом, необходимым для записи, учета клиентов, расписания, коммуникации и сопровождения. «Афина» используется как вспомогательный инструмент и не принимает юридически значимых решений вместо Оператора.

6.4. При сборе персональных данных граждан Российской Федерации Оператор обеспечивает их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории Российской Федерации.
6.5. Трансграничная передача персональных данных Оператором не осуществляется.

7. Хранение, прекращение обработки и уничтожение
7.1. Электронные данные хранятся в информационных системах и сервисах с использованием баз данных на территории Российской Федерации. Бумажные документы хранятся в помещениях школы с ограничением доступа.
7.2. Доступ предоставляется только лицам, которым он необходим для выполнения трудовых или договорных обязанностей. Тренеру сообщаются только те сведения о здоровье и ограничениях ученика, которые необходимы для обеспечения безопасной нагрузки.
7.3. По достижении цели обработки, истечении установленного срока, при утрате необходимости в данных, отзыве согласия или поступлении законного требования обработка прекращается, а данные уничтожаются либо обезличиваются, если закон, договор или иное правовое основание не допускает продолжение обработки.
7.4. Если иной срок не установлен законом, договором или настоящей Политикой, персональные данные уничтожаются в срок, не превышающий 30 дней с даты достижения цели обработки либо поступления отзыва согласия, когда отсутствует основание для дальнейшей обработки.
7.5. Уничтожение подтверждается актом и (или) выгрузкой из журнала регистрации событий в соответствии с требованиями Роскомнадзора.

8. Доступ и передача персональных данных
8.1. Доступ к персональным данным в пределах должностных обязанностей могут иметь руководитель, администраторы, тренеры, бухгалтер, маркетолог и технические специалисты. Каждому лицу предоставляется только необходимый объем доступа, с возложением обязанности соблюдать конфиденциальность.
8.2. Для работы Бота, Сайта, записи и учета учеников, приема платежей, направления сообщений и технического сопровождения Оператор может поручать обработку персональных данных владельцам или операторам используемых сервисов и привлеченным специалистам на основании договоров, содержащих обязательные требования к обработке и защите персональных данных.
8.3. В обработке могут участвовать: GetPlatinum; CRM AppEvent; YCLIENTS; нейроменеджер «Афина»; сервисы Telegram, MAX и ВКонтакте; Т-Банк; владельцы и технические подрядчики Сайта и Бота; бухгалтер и иные лица, необходимые для исполнения договора и требований закона.
8.4. Банк самостоятельно обрабатывает реквизиты банковской карты плательщика. Оператор получает сведения о факте, сумме, дате и статусе оплаты и данные, необходимые для кассового чека.
8.5. Персональные данные могут быть предоставлены суду, правоохранительным, налоговым и иным уполномоченным органам в случаях и порядке, установленных законодательством Российской Федерации.
8.6. В отдельных точках школы услуги может оказывать ИП Лыкова Светлана Викторовна ИНН 246002398660, которая до заключения с ней отдельного договора субъектом персональных данных не является оператором, а выступает как лицо, обрабатывающее данные по поручению.

9. Защита персональных данных
9.1. Оператор принимает необходимые правовые, организационные и технические меры, включая назначение ответственного, утверждение локальных документов, разграничение прав доступа, применение паролей и средств защиты, резервное копирование, контроль действий с данными, обучение лиц, допущенных к обработке, и заключение соглашений о конфиденциальности.
9.2. Оператор оценивает возможный вред субъектам, контролирует принимаемые меры, выявляет факты неправомерного доступа и действует при инцидентах в порядке и сроки, установленные законом.
9.3. Лица, получившие доступ к персональным данным, обязаны не раскрывать и не распространять их без законного основания.

10. Права субъекта и порядок обращения
10.1. Субъект персональных данных или его законный представитель вправе получить сведения об обработке, потребовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или избыточных данных, отозвать согласие, потребовать прекратить обработку и распространение, отказаться от рекламы, а также обжаловать действия Оператора в Роскомнадзор или суд.
10.2. Обращение можно направить на адрес электронной почты iavorkaia.cr@mail.ru либо по адресу: г. Красноярск, ул. Ладо Кецховели, д. 27. В обращении следует указать Ф. И. О., контакт для ответа, суть требования и сведения, позволяющие подтвердить личность и отношения с Оператором. Избыточные документы для подтверждения личности не запрашиваются.
10.3. Отказ от рекламных сообщений также возможен способом, указанным в сообщении, или путем обращения к Оператору. Такой отказ не прекращает направление сервисных сообщений, необходимых для записи и оказания услуг.
10.4. Оператор рассматривает обращения и исполняет законные требования в сроки, предусмотренные законодательством Российской Федерации.

11. Заключительные положения
11.1. Оператор вправе изменять Политику при изменении законодательства, состава информационных систем или процессов обработки. Новая редакция действует с даты ее размещения на Сайте, если в ней не указано иное.
11.2. Актуальная редакция Политики размещается на сайте Сайте, а также доступна пользователям Бота по ссылке, предоставляемой до выдачи согласия на обработку данных.
11.3. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.