Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») определяет позицию Индивидуальный предприниматель Нарваткин Роман Валерьевич (далее — «Оператор») в отношении обработки персональных данных при использовании облачного сервиса LunoCRM (далее — «Сервис») и сайта lunocrm.ru (далее — «Сайт»), а также сведения о реализуемых требованиях к защите персональных данных.

1.2. Политика разработана в соответствии с Конституцией РФ, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных»), Постановлением Правительства РФ от 01.11.2012 № 1119, иными нормативными актами в области обработки и защиты персональных данных.

1.3. Политика является общедоступным документом и подлежит размещению на Сайте. Действие Политики распространяется на все процессы обработки персональных данных, осуществляемые Оператором с использованием средств автоматизации и без таковых.

1.4. Особенность Сервиса как облачной CRM-системы для образовательных центров заключается в том, что Оператор обрабатывает персональные данные в двух различных качествах, подробно раскрытых в разделе 3 настоящей Политики.

2. Термины и определения

Если иное прямо не следует из текста конкретного документа, термины, используемые с заглавной буквы, имеют значения, указанные ниже. Термины в единственном числе применимы и к множественному, и наоборот.

Сайт — совокупность веб-страниц, размещённых в сети Интернет по адресу https://lunocrm.ru, включая все её разделы и поддомены.

Сервис (также «CRM», «Система», «LunoCRM») — облачная программа для ЭВМ LunoCRM, предоставляемая Оператором по модели SaaS (Software as a Service) и обеспечивающая дистанционный, через сеть Интернет, учёт и управление деятельностью образовательного центра: ведение базы учеников, родителей (законных представителей), сотрудников, клиентов и лидов; хранение договоров, документов, комментариев и заметок; учёт посещаемости, расписания, задач и напоминаний; ведение финансов, платежей и абонементов; формирование отчётов и хранение файлов.

Оператор (в Лицензионном договоре — также «Лицензиар»; при осуществлении технического администрирования Сервиса — «Администрация Сервиса») — Индивидуальный предприниматель Нарваткин Роман Валерьевич, ОГРНИП 322130000004639, владелец и правообладатель Сервиса, предоставляющий доступ к нему на условиях документов, опубликованных на Сайте.

Клиент — физическое лицо, индивидуальный предприниматель или юридическое лицо (образовательный центр, языковая школа, репетиторский центр, школа развития, лагерь, кружок, секция и т. п.), заключившее с Оператором Лицензионный договор путём акцепта оферты и являющееся владельцем Аккаунта.

Пользователь — физическое лицо, действующее от имени и в интересах Клиента (руководитель, администратор, педагог, иной сотрудник) либо от собственного имени, которому предоставлен доступ к Аккаунту или отдельной учётной записи внутри Аккаунта.

Аккаунт — учётная запись Клиента в Сервисе, объединяющая все Данные Клиента в изолированном от других клиентов информационном контуре (принцип «мультитенантности»); доступ к Аккаунту осуществляется через авторизацию Пользователей.

Личный кабинет — защищённый логином и паролем раздел Сервиса, доступный Пользователю после прохождения авторизации в пределах Аккаунта.

Лицензия — предоставляемое Оператором Клиенту на условиях Лицензионного договора неисключительное право использования функциональных возможностей Сервиса в объёме, определённом выбранным Тарифом.

Подписка — право возмездного использования Сервиса в течение расчётного периода, определённого выбранным Тарифом; программа для ЭВМ не продаётся и не отчуждается — Клиенту предоставляется только право использования.

Тариф — совокупность условий использования Сервиса (функциональный объём, лимиты, стоимость и период оплаты), опубликованных на Сайте в разделе «Тарифы».

Пробный период — предоставляемый Оператором ограниченный по времени период бесплатного ознакомительного использования Сервиса без внесения платы.

Данные Клиента — любая информация, вносимая Клиентом и его Пользователями в Сервис при его использовании, включая сведения об учениках, родителях (законных представителях), сотрудниках, клиентах и лидах, договоры и документы, комментарии и заметки, историю действий, данные о посещаемости и расписании, финансовую и платёжную информацию, сведения об абонементах, задачи, напоминания, отчёты и файлы.

Персональные данные — любая информация, прямо или косвенно относящаяся к определённому или определяемому физическому лицу (субъекту персональных данных), обрабатываемая с использованием Сервиса в значении Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Субъект персональных данных — физическое лицо, персональные данные которого обрабатываются Клиентом с использованием Сервиса (в том числе ученики, их родители или законные представители, сотрудники и клиенты Клиента), либо непосредственно Оператором (Пользователь, посетитель Сайта).

Конфиденциальная информация — Данные Клиента, персональные данные, реквизиты доступа к Аккаунту и иные сведения ограниченного доступа, ставшие известными Сторонам в связи с использованием Сервиса.

Оферта — предложение Оператора, адресованное неопределённому кругу лиц, заключить Лицензионный договор на изложенных условиях.

Акцепт — полное и безоговорочное принятие Клиентом условий Оферты, совершаемое путём регистрации Аккаунта и/или оплаты Подписки.

Дополнительно для целей настоящей Политики применяются определения Закона о персональных данных: обработка персональных данных — любое действие (операция) или совокупность действий, совершаемых с персональными данными; оператор персональных данных — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав данных и действия с ними; обработка по поручению оператора — обработка, осуществляемая иным лицом на основании заключаемого с оператором договора, в том числе лицензионного.

3. Роли Оператора при обработке данных в Сервисе

3.1. В отношении данных Клиентов и Пользователей Сервиса (сведения, указываемые при регистрации Аккаунта, оплате Подписки, обращении в поддержку: Ф. И. О., должность, номер телефона, адрес электронной почты, платёжные реквизиты) Оператор выступает самостоятельным оператором персональных данных в значении Закона о персональных данных, определяя цели и способы их обработки.

3.2. В отношении Данных Клиента, которые Клиент и его Пользователи вносят в Сервис в процессе его использования (сведения об учениках, родителях (законных представителях), сотрудниках, лидах и клиентах Клиента), Оператор осуществляет обработку персональных данных по поручению Клиента на основании Лицензионного договора (публичной оферты) в значении ч. 3 ст. 6 Закона о персональных данных. В этом случае оператором персональных данных таких субъектов является Клиент, который самостоятельно определяет цели обработки, состав вносимых данных и обеспечивает наличие правовых оснований для их обработки, включая необходимые согласия субъектов персональных данных или их законных представителей.

3.3. Настоящая Политика регулирует оба указанных случая: применительно к данным по п. 3.1 — как политика оператора персональных данных; применительно к данным по п. 3.2 — как описание принимаемых Оператором мер и условий обработки в качестве лица, осуществляющего обработку по поручению.

3.4. Уведомление об обработке персональных данных в качестве оператора направлено Оператором в Роскомнадзор в соответствии со ст. 22 Закона о персональных данных.

4. Категории субъектов и состав обрабатываемых персональных данных

4.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• Пользователи Сервиса и представители Клиента — руководители, администраторы, педагоги и иные сотрудники Клиента, имеющие учётную запись в Аккаунте;
• Посетители Сайта, заполнившие формы обратной связи, заявку на демонстрацию или регистрацию;
• Ученики Клиента, а также их родители и иные законные представители — в объёме сведений, вносимых Клиентом в Сервис;
• Сотрудники Клиента (педагоги, администраторы, иной персонал) — в объёме сведений, вносимых Клиентом в модули учёта персонала;
• Клиенты и лиды Клиента (потенциальные и действующие заказчики услуг образовательного центра) — в объёме сведений, вносимых в модуль работы с лидами и клиентской базой.

4.2. В зависимости от категории субъекта и модуля Сервиса могут обрабатываться следующие данные: фамилия, имя, отчество; дата рождения; пол; контактный телефон и адрес электронной почты; почтовый и фактический адрес; данные документов, удостоверяющих личность (в случаях, когда это необходимо для заключения договора об оказании образовательных услуг и вносится Клиентом); сведения о зачислении, группе, расписании занятий и посещаемости; сведения об оплатах, абонементах и задолженности; содержание договоров и документов, загружаемых в Сервис; комментарии, заметки и история взаимодействия с учеником, родителем или клиентом; должность и контактные данные сотрудников; иные данные, которые Клиент по своему усмотрению вносит в модули «Ученики», «Родители», «Сотрудники», «Клиенты и лиды», «Договоры», «Документы», «Финансы», «Платежи и абонементы».

4.3. Оператор не запрашивает и не предполагает намеренную обработку в Сервисе специальных категорий персональных данных (сведений о состоянии здоровья, расовой, национальной принадлежности, политических и религиозных взглядах, частной жизни) и биометрических персональных данных. Внесение таких сведений в свободные текстовые поля Сервиса (например, в заметки) осуществляется Клиентом самостоятельно, под его исключительную ответственность и с обеспечением им необходимых правовых оснований.

4.4. При посещении Сайта автоматически обрабатываются технические данные: IP-адрес, тип и версия браузера, операционная система, идентификаторы файлов cookie, данные о переходах по страницам — в соответствии с Политикой использования Cookie.

5. Цели обработки персональных данных

5.1. Персональные данные, указанные в п. 3.1, обрабатываются в целях: регистрации Аккаунта и идентификации Пользователя; заключения и исполнения Лицензионного договора, включая выставление счетов и приём оплаты; предоставления технической поддержки и информационных уведомлений о работе Сервиса; обработки заявок и обращений, поступивших через формы Сайта; улучшения качества Сервиса и разработки новых функций; соблюдения требований законодательства РФ (бухгалтерский и налоговый учёт).

5.2. Данные Клиента, указанные в п. 3.2, обрабатываются исключительно в целях технического обеспечения функционирования Сервиса по поручению Клиента: хранение и отображение внесённых сведений, формирование отчётов и уведомлений внутри Аккаунта, резервное копирование, обеспечение доступа Пользователей Клиента. Оператор не использует Данные Клиента в собственных целях, не анализирует их для целей, не связанных с исполнением Договора, и не передаёт их для маркетинговых целей третьим лицам.

6. Правовые основания обработки

6.1. Обработка персональных данных, указанных в п. 3.1, осуществляется на основании: согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона о персональных данных), выражаемого при регистрации на Сайте и заполнении форм; исполнения Лицензионного договора, стороной которого является субъект персональных данных или в пользу которого он заключён (п. 5 ч. 1 ст. 6 Закона о персональных данных); исполнения обязанностей, возложенных законодательством РФ на Оператора.

6.2. Обработка Данных Клиента, указанных в п. 3.2, осуществляется на основании Лицензионного договора, заключаемого между Оператором и Клиентом, в порядке ч. 3 ст. 6 Закона о персональных данных.

7. Передача данных третьим лицам

7.1. Оператор не продаёт и не распространяет персональные данные. Передача данных третьим лицам осуществляется исключительно в объёме, необходимом для достижения целей, указанных в разделе 5, и в следующих случаях:

• Хостинг-провайдеру и организациям, обеспечивающим функционирование серверной инфраструктуры Сервиса, — для хранения и обработки данных;
• Платёжным агрегаторам и банкам — для приёма и обработки платежей по Подписке;
• Сервису Яндекс.Метрика — в части обезличенных технических и статистических данных о посещении Сайта, в соответствии с Политикой использования Cookie;
• Провайдеру услуг электронной почты и SMS-уведомлений — для отправки транзакционных и сервисных сообщений;
• Государственным органам — по мотивированному запросу в случаях, прямо предусмотренных законодательством РФ.

7.2. С каждым привлекаемым лицом, имеющим доступ к персональным данным, Оператор заключает соглашение, содержащее обязательство соблюдения конфиденциальности и требований к защите персональных данных не ниже уровня, предусмотренного настоящей Политикой.

7.3. Данные Клиента, указанные в п. 3.2, не передаются третьим лицам, за исключением субподрядчиков, обеспечивающих техническую инфраструктуру Сервиса (п. 7.1), и случаев, когда передача прямо запрошена самим Клиентом (например, при интеграции с внешними сервисами по инициативе Клиента) либо предусмотрена законодательством РФ.

8. Трансграничная передача персональных данных

8.1. Трансграничная передача персональных данных (передача на территорию иностранных государств) Оператором не осуществляется. Обрабатываемые персональные данные хранятся и обрабатываются на серверах, физически расположенных на территории Российской Федерации.

8.2. В случае если в будущем возникнет необходимость трансграничной передачи данных (например, при подключении зарубежного сервиса аналитики или инфраструктуры), Оператор заблаговременно внесёт соответствующие изменения в настоящую Политику и обеспечит соблюдение требований ст. 12 Закона о персональных данных, включая проверку обеспечения адекватной защиты прав субъектов персональных данных принимающей стороной.

9. Сроки хранения персональных данных

9.1. Персональные данные, указанные в п. 3.1, хранятся в течение всего срока действия Аккаунта Клиента и в течение 3 (трёх) лет после его удаления или расторжения Договора — в целях соблюдения требований бухгалтерского и налогового законодательства РФ, а также для защиты прав Оператора при возможных спорах. По истечении указанного срока данные обезличиваются или уничтожаются.

9.2. Данные Клиента, указанные в п. 3.2, хранятся в течение всего срока действия Подписки. После прекращения действия Договора такие данные хранятся в течение 30 (тридцати) календарных дней, предоставляемых Клиенту для экспорта, после чего безвозвратно удаляются в порядке, описанном в разделе 11, если иной срок не согласован Сторонами дополнительно или не установлен законодательством РФ.

9.3. Резервные копии, содержащие персональные данные, хранятся в соответствии со сроками, указанными в разделе 10, и удаляются по мере ротации резервных копий.

10. Резервное копирование

10.1. В целях обеспечения сохранности данных Оператор осуществляет регулярное автоматическое резервное копирование баз данных Сервиса.

10.2. Резервные копии хранятся в зашифрованном виде на инфраструктуре, физически расположенной на территории Российской Федерации, и доступны ограниченному кругу уполномоченных сотрудников Оператора.

10.3. Резервные копии используются исключительно в целях восстановления работоспособности Сервиса при сбоях и не используются в иных целях. Порядок и периодичность резервного копирования дополнительно раскрыты в Политике информационной безопасности и SLA.

10.4. При удалении Данных Клиента из основной базы по основаниям, указанным в разделе 9, соответствующие резервные копии перестают обрабатываться при очередной плановой ротации и не хранятся сверх сроков ротации, применяемых Оператором.

11. Уничтожение персональных данных

11.1. Уничтожение персональных данных производится по достижении целей обработки, истечении сроков хранения, указанных в разделе 9, отзыве согласия субъекта персональных данных (при отсутствии иных законных оснований для дальнейшей обработки) либо по мотивированному запросу Клиента как оператора персональных данных в отношении Данных Клиента.

11.2. Уничтожение осуществляется способом, исключающим дальнейшую возможность восстановления данных: безвозвратное удаление записей из базы данных и связанных файлов с последующим исключением из резервных копий в порядке их плановой ротации.

11.3. По запросу Клиента, направленному до истечения срока, указанного в п. 9.2, Оператор предоставляет возможность выгрузки Данных Клиента либо, по отдельному запросу, осуществляет их досрочное удаление.

12. Меры по обеспечению безопасности персональных данных

12.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц, в объёме, необходимом для обеспечения требований Закона о персональных данных и Постановления Правительства РФ от 01.11.2012 № 1119.

12.2. К числу применяемых мер относятся: передача данных по защищённому протоколу HTTPS (TLS); шифрование данных при хранении; разграничение прав доступа сотрудников Оператора и Пользователей Клиента к данным по ролевой модели; использование средств аутентификации для доступа к Аккаунту; ведение журналов действий пользователей внутри Сервиса; регулярное обновление программного обеспечения инфраструктуры; резервное копирование.

12.3. Подробное описание технических и организационных мер защиты приведено в Политике информационной безопасности, являющейся неотъемлемой частью настоящей Политики.

13. Права субъектов персональных данных

13.1. Субъект персональных данных вправе: получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных законодательством РФ; требовать уточнения, блокирования или уничтожения персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки; отозвать согласие на обработку персональных данных; обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке; на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

13.2. В отношении Данных Клиента (сведений об учениках, родителях, сотрудниках и клиентах Клиента) реализация прав субъектов персональных данных, включая рассмотрение запросов на доступ, уточнение или удаление данных, осуществляется через Клиента как оператора персональных данных таких субъектов. Оператор оказывает Клиенту техническое содействие в исполнении таких запросов в рамках функциональности Сервиса.

13.3. Запрос, направленный субъектом персональных данных непосредственно Оператору в отношении Данных Клиента, будет перенаправлен соответствующему Клиенту как оператору персональных данных либо рассмотрен совместно с ним, за исключением случаев, когда законодательство РФ прямо возлагает обязанность ответа на Оператора.

14. Порядок обращения и рассмотрения запросов

14.1. Для реализации прав, указанных в разделе 13, субъект персональных данных вправе направить запрос на адрес электронной почты privacy@lunocrm.ru с указанием Ф. И. О., контактных данных и сути запроса.

14.2. Оператор рассматривает поступившее обращение и направляет мотивированный ответ в срок не позднее 30 (тридцати) календарных дней с даты получения запроса, если иной срок не установлен законодательством РФ.

14.3. Оператор вправе запросить у обратившегося лица документы, подтверждающие его личность или полномочия, для целей идентификации субъекта персональных данных перед предоставлением ответа.

15. Особенности обработки данных несовершеннолетних

15.1. Оператор осознаёт, что Сервис используется образовательными центрами для учёта данных учеников, в том числе несовершеннолетних. Оператор не осуществляет самостоятельный сбор данных несовершеннолетних и не вступает с ними в прямые правоотношения — все данные вносятся Клиентом в рамках отношений с обучающимися и их законными представителями.

15.2. Клиент, внося в Сервис данные несовершеннолетних учеников, гарантирует получение согласия на обработку персональных данных от их родителей или иных законных представителей в порядке, установленном законодательством РФ, и несёт самостоятельную ответственность за соблюдение указанного требования.

15.3. Оператор обеспечивает в отношении таких данных те же меры технической и организационной защиты, что описаны в разделе 12 настоящей Политики.

16. Изменение Политики

16.1. Оператор вправе вносить изменения в настоящую Политику. Действующая редакция всегда доступна на Сайте по адресу https://lunocrm.ru/privacy.

16.2. О существенных изменениях, затрагивающих порядок обработки персональных данных, Оператор уведомляет пользователей путём публикации на Сайте и/или направления уведомления на электронную почту.

17. Контакты

По всем вопросам, связанным с обработкой персональных данных, включая реализацию прав субъектов персональных данных, обращайтесь: privacy@lunocrm.ru. Общие вопросы — hello@lunocrm.ru.