Политика конфиденциальности, обработки персональных данных и файлов cookie

1. Общие положения

1.1. Настоящая Политика конфиденциальности, обработки персональных данных и файлов cookie определяет порядок обработки и защиты персональных данных пользователей сайта https://abs-rating.ru.

1.2. Сайт abs-rating.ru является цифровой образовательной и мотивационной системой ABS-Rating, используемой для рейтингов, виртуальной валюты, достижений, заданий, заявок, активности и иных элементов школьной геймификации.

1.3. Политика разработана с учетом требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и иных применимых актов РФ.

1.4. Политика информирует об обработке и сама по себе не является согласием. Для каждой цели Оператор определяет предусмотренное законом основание; согласие субъекта или законного представителя применяется только там, где оно действительно требуется.

1.5. Отказ от необязательной фотографии, необязательных cookie или распространения персональных данных не ограничивает основной образовательный функционал. Обработка, необходимая на ином законном основании, продолжается в установленных законом пределах.

2. Сведения об Операторе

2.1. Оператор персональных данных: Общеобразовательное частное учреждение «Школа-интернат «Абсолют». Сокращенное наименование: ОЧУ «Школа-интернат «Абсолют».

2.2. Сайт Оператора: https://www.absolute-school.ru. Сайт Системы: https://abs-rating.ru.

2.3. Адрес Оператора: 142250, Московская область, городской округ Серпухов, деревня Райсеменовское, д. 12А.

2.4. Телефон Оператора: 8 (4967) 12-83-63. Электронная почта: school@absolute-school.ru.

2.5. Хостинг сайта: ООО «Бегет» (Beget.ru), серверы на территории Российской Федерации.

2.6. Ответственный за организацию обработки персональных данных назначается внутренним приказом Оператора. При необходимости в опубликованной редакции Политики может быть указана должность и контакт ответственного лица.

2.7. Оператор самостоятельно определяет цели обработки персональных данных, состав данных, действия с ними и меры защиты.

3. Термины

3.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу.

3.2. Пользователь — обучающийся, законный представитель, педагог, администратор или иное лицо, использующее Сайт.

3.3. Несовершеннолетний пользователь — обучающийся, не достигший 18 лет.

3.4. Законный представитель — родитель, усыновитель, опекун, попечитель или иное лицо, имеющее законные полномочия представлять интересы несовершеннолетнего.

3.5. Обработка персональных данных — любое действие с данными, включая сбор, запись, систематизацию, хранение, уточнение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.

3.6. Cookie — небольшие текстовые файлы, сохраняемые браузером пользователя для работы сайта, авторизации, настроек и статистики.

3.7. Виртуальная валюта ABS — игровой элемент Системы. Она не является денежным средством, электронными деньгами, платежным инструментом, ценной бумагой, финансовым активом или объектом купли-продажи.

4. Категории субъектов персональных данных

4.1. Оператор может обрабатывать персональные данные обучающихся ОЧУ «Школа-интернат «Абсолют», включая несовершеннолетних.

4.2. Оператор может обрабатывать данные законных представителей несовершеннолетних обучающихся в объеме, необходимом для подтверждения согласий, связи и реализации прав субъекта данных.

4.3. Оператор может обрабатывать данные педагогических работников, администраторов Системы и иных лиц, которым предоставлен доступ к Сайту в рамках образовательной, организационной или проектной деятельности.

4.4. Обработка данных иных пользователей допускается только при наличии законного основания и в пределах целей, указанных в настоящей Политике.

4.5. Оператор может обрабатывать данные участников временных публичных форм, опросов и голосований, если такие формы размещены на Сайте для образовательной, проектной или организационной деятельности Оператора.

5. Состав обрабатываемых персональных данных

5.1. Данные учетной записи: фамилия, имя, отчество; класс или группа; роль пользователя; логин; идентификатор учетной записи; адрес электронной почты, если используется; номер телефона, если добровольно указан или необходим для организационной связи; статус наличия согласия законного представителя.

5.2. Данные профиля: фотография или изображение пользователя в качестве аватара; отображаемое имя; бейджи; достижения; уровень; статус; элементы оформления профиля; данные публичного отображения внутри закрытой школьной Системы.

5.3. Фотография пользователя используется исключительно как аватар или элемент визуальной идентификации внутри Сайта и не применяется для биометрической идентификации личности, распознавания лица или автоматического подтверждения личности.

5.4. Данные образовательной и игровой активности: рейтинг; баллы; виртуальная валюта ABS; история начислений и списаний; результаты заданий, квизов, игр и мероприятий; номинации; достижения; участие во внеурочных мероприятиях; статусы заявок; данные о штрафах, стриках, корректировках баланса и иных событиях игровой механики.

5.5. Технические данные: IP-адрес; дата и время входа; тип устройства, браузера и операционной системы; посещенные страницы и разделы; cookie; технические идентификаторы; журналы событий безопасности, авторизации и действий в Системе.

5.6. Данные временных публичных форм, опросов и голосований: ФИО участника; выбранный проект, номинация или вариант ответа; оценки по критериям; комментарий, если он заполнен участником; факт согласия, версия согласия, дата и время отправки; технические данные формы, включая IP-адрес или его хеш, User-Agent, cookie/сессию и журнал защиты формы.

5.7. Сайт не предназначен для сбора специальных категорий персональных данных: сведений о здоровье, политических взглядах, религиозных убеждениях, интимной жизни, биометрических шаблонов и иных специальных данных. Такие данные не должны вводиться пользователями в свободные поля Сайта.

6. Цели обработки персональных данных

Персональные данные обрабатываются для создания, ведения и администрирования учетных записей пользователей; обеспечения доступа к функциям Сайта; цифрового сопровождения образовательного процесса; формирования рейтингов, мотивационных показателей и достижений; ведения учета виртуальной валюты ABS и игровой активности; организации внеурочной, проектной и воспитательной активности; проведения временных публичных форм, опросов и голосований, включая проектные голосования педагогов; расчета средних оценок и подготовки административных отчетов по таким формам; отображения профиля, аватара, достижений и статусов; обработки заявок и действий пользователя в школьном магазине или аналогичных разделах; обеспечения информационной безопасности; резервного копирования; технической поддержки; подготовки обезличенной статистики; исполнения требований законодательства Российской Федерации.

7. Правовые основания обработки персональных данных

7.1. Согласие субъекта персональных данных или законного представителя используется для тех целей, для которых согласие требуется законом. Согласие на необязательную фотографию, необязательные cookie и согласие на распространение оформляются раздельно.

7.2. Исполнение функций образовательной организации используется для организации образовательного, воспитательного и мотивационного процесса.

7.3. Договорные и организационные отношения используются при предоставлении доступа к Системе и сопровождении учетной записи.

7.4. Законный интерес Оператора используется для обеспечения безопасности, технической работоспособности, защиты от злоупотреблений и ведения обязательных технических журналов.

7.5. Требования законодательства РФ используются при необходимости исполнения обязанностей, установленных законом, включая обращения уполномоченных органов.

7.6. Для несовершеннолетних пользователей обработка персональных данных осуществляется при наличии предварительного письменного согласия законного представителя, если такое согласие требуется законодательством.

7.7. Для временных публичных форм, опросов и голосований без учетной записи правовым основанием является отдельное согласие участника, подтверждаемое активной галочкой в форме.

8. Порядок получения согласий

8.1. Оператор обеспечивает получение и хранение согласий в форме, позволяющей подтвердить факт их предоставления. Основные согласия обучающихся и законных представителей оформляются и хранятся у Оператора в школе на бумаге или иным способом, предусмотренным внутренними документами Оператора и законодательством.

8.2. Доступ несовершеннолетнего пользователя к Сайту предоставляется школой только при наличии у Оператора необходимого правового основания и оформленных согласий, если такие согласия требуются законодательством.

8.3. Сайт не используется как основной способ повторного получения согласий, если необходимые согласия уже оформлены и хранятся у Оператора. Электронные чекбоксы на Сайте могут использоваться дополнительно для фиксации ознакомления с Политикой, согласия на отдельные необязательные функции или необязательные cookie.

8.4. Не допускается использование заранее отмеченных чекбоксов для необязательной обработки персональных данных. Молчание пользователя, бездействие или продолжение просмотра сайта не должны считаться согласием на необязательную обработку персональных данных.

8.5. Ознакомление с Политикой, согласие на необязательную фотографию, согласие на необязательные cookie и согласие на распространение фиксируются раздельно. Согласие на распространение по статье 10.1 152-ФЗ должно определять категории данных, цель, конкретные информационные ресурсы, срок, условия и запреты.

8.6. Для временных публичных форм и голосований без авторизации электронная запись о согласии может включать дату и время отправки формы, версию текста согласия, источник формы, технические данные браузера и IP-адрес или его хеш.

9. Особые условия обработки данных несовершеннолетних

9.1. Сайт предназначен, в том числе, для использования несовершеннолетними обучающимися в закрытом образовательном контуре Оператора.

9.2. Оператор не предоставляет несовершеннолетнему пользователю полноценный доступ к функционалу Сайта без подтверждения наличия согласия законного представителя, если такое согласие необходимо.

9.3. Персональные данные несовершеннолетних используются исключительно для образовательных, воспитательных, мотивационных, организационных и технических целей, связанных с работой Системы.

9.4. Оператор не допускает публичного размещения данных несовершеннолетних в открытом доступе без отдельного правового основания или согласия законного представителя.

9.5. Если законный представитель считает, что данные несовершеннолетнего обрабатываются неправомерно, он вправе обратиться к Оператору с требованием о предоставлении информации, исправлении, блокировании, удалении данных или отзыве согласия.

10. Автоматизированная обработка, рейтинги и игровая механика

10.1. Сайт использует автоматизированную обработку данных для расчета рейтингов, начисления и списания виртуальной валюты ABS, присвоения достижений, отображения активности и формирования мотивационных показателей.

10.2. Такая обработка осуществляется исключительно в образовательных, мотивационных, организационных и игровых целях.

10.3. Результаты автоматизированной обработки не являются юридически значимыми решениями, не влекут ограничения прав пользователя и не являются основанием для применения дисциплинарных мер вне правил образовательной организации.

10.4. Пользователь или законный представитель вправе обратиться к Оператору для уточнения логики начислений, исправления ошибки, пересмотра результата или удаления некорректной записи.

10.5. Виртуальная валюта ABS не является денежным средством, электронными деньгами, платежным инструментом, ценной бумагой, финансовым активом или объектом гражданско-правовой купли-продажи. Она используется исключительно как элемент школьной мотивационной системы.

11. Порядок обработки персональных данных

11.1. Оператор может совершать с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение, обновление, изменение, использование, передача в случаях, предусмотренных Политикой, обезличивание, блокирование, удаление и уничтожение.

11.2. Доступ к персональным данным предоставляется только тем работникам или уполномоченным лицам Оператора, которым такой доступ необходим для выполнения должностных или проектных функций.

11.3. Оператор ведет учет прав доступа и при необходимости может ограничить, заблокировать или удалить учетную запись при нарушении правил использования Сайта, угрозе безопасности или отзыве согласия.

11.4. Оператор стремится минимизировать состав обрабатываемых персональных данных и не собирает избыточные сведения, не связанные с целями работы Сайта.

12. Локализация и трансграничная передача данных

12.1. Первичный сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

12.2. Сайт размещается на хостинге ООО «Бегет» (Beget.ru). Согласно текущей конфигурации Сайта, персональные данные хранятся на территории Российской Федерации.

12.3. Оператор не осуществляет трансграничную передачу персональных данных при штатной работе Сайта.

12.4. Если в будущем на Сайте будут подключены сторонние сервисы, способные приводить к трансграничной передаче данных, включая зарубежные системы аналитики, шрифтов, карт, CDN, виджетов или рекламных сетей, Оператор обязуется предварительно оценить законность такой передачи, обновить Политику, уведомление в Роскомнадзор и получить необходимые согласия.

12.5. На момент настоящей редакции рекомендуется не использовать Google Analytics, Google Tag Manager, Google Fonts с внешней загрузкой, зарубежные CDN и иные внешние скрипты без отдельной проверки и документального оформления.

13. Передача персональных данных третьим лицам

13.1. Оператор не продает персональные данные и не передает их третьим лицам для рекламы, маркетинга или коммерческого профилирования.

13.2. Передача персональных данных может осуществляться хостинг-провайдеру ООО «Бегет» в объеме, необходимом для размещения и технической работы Сайта; уполномоченным государственным органам при наличии законного требования; работникам и уполномоченным представителям Оператора в пределах их полномочий; иным лицам только при наличии отдельного согласия или иного законного основания.

13.3. При привлечении лиц, обрабатывающих персональные данные по поручению Оператора, Оператор обязан обеспечить заключение договора или поручения на обработку персональных данных с условиями конфиденциальности и безопасности.

14. Использование файлов cookie

14.1. Сайт использует строго необходимые cookie для авторизации, защиты сессии, предотвращения злоупотреблений и сохранения сделанного пользователем выбора. Эти технологии не используются для рекламы или межсайтового отслеживания.

14.2. Необязательные функциональные технологии могут сохранять только выбранные пользователем настройки интерфейса на его устройстве. Они разрешаются отдельно через центр настроек cookie и не передаются рекламным системам.

14.3. В текущей конфигурации внешняя веб-аналитика, рекламные и маркетинговые cookie не используются. Соответствующие категории в центре настроек обозначены как неиспользуемые и технически отключены.

14.4. Для работы используются сессионная cookie PHP, cookie abs_cookie_choice и abs_cookie_preferences, а также записи localStorage abs_cookie_choice_v1 и abs_cookie_preferences_v2. Сессионная cookie действует до завершения сессии; записи выбора хранятся до 12 месяцев или до удаления/изменения пользователем.

14.5. Пользователь вправе в любое время открыть постоянно доступную кнопку «Настройки cookie», отозвать разрешение на функциональные технологии или оставить только строго необходимые. Отказ не ограничивает основной образовательный функционал.

14.6. Старый или общий выбор не разрешает автоматически подключать новые категории, зарубежные сервисы, аналитику, рекламу, CDN или внешние шрифты. Для такого изменения до запуска обновляются Политика, интерфейс выбора и, если требуется, оформляется новое согласие.

15. Меры защиты персональных данных

15.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

15.2. К мерам защиты относятся: HTTPS; хранение паролей в виде криптографических хэшей; разграничение прав доступа по ролям; ограничение доступа к административной панели; использование сложных паролей; ведение технических журналов авторизации и критичных действий; резервное копирование; обновление программного обеспечения; минимизация состава данных; контроль доступа сотрудников и уполномоченных лиц; удаление или обезличивание данных после достижения целей обработки.

15.3. При инциденте, подпадающем под часть 3.1 статьи 21 152-ФЗ, Оператор локализует последствия, сохраняет доказательства и уведомляет Роскомнадзор в течение 24 часов; результаты внутреннего расследования направляются в течение 72 часов.

16. Сроки хранения персональных данных

16.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен законодательством, договором, локальными актами Оператора или согласием субъекта данных.

16.2. Учетная запись хранится в течение периода использования Сайта и до удаления учетной записи. Данные игровой активности и рейтинга хранятся в течение учебного года или иного периода, установленного правилами Системы, после чего могут быть архивированы или обезличены. Фотография хранится до удаления аватара или учетной записи. Данные временных публичных форм, опросов и голосований хранятся до завершения соответствующего мероприятия, подведения итогов и окончания разумного срока рассмотрения обращений, после чего удаляются или обезличиваются, если дальнейшее хранение не требуется по закону или локальным актам Оператора. Технические журналы хранятся в срок, необходимый для безопасности и расследования инцидентов. Согласия хранятся в течение срока действия согласия и периода, необходимого для подтверждения законности обработки.

16.3. После достижения цели или отзыва согласия данные уничтожаются, как правило, не позднее 30 дней при отсутствии иного основания. Неправомерная обработка прекращается не позднее 3 рабочих дней, а если обеспечить правомерность невозможно, данные уничтожаются не позднее 10 рабочих дней. Уничтожение подтверждается в порядке приказа Роскомнадзора № 179.

17. Права пользователей и законных представителей

17.1. Пользователь или законный представитель вправе получать информацию об обработке персональных данных; требовать уточнения, исправления, блокирования или удаления данных; отозвать согласие; отказаться от необязательных cookie; потребовать прекращения обработки фотографии; получить информацию о логике автоматизированной обработки; обратиться с жалобой к Оператору, в Роскомнадзор или в суд.

17.2. Для реализации прав необходимо направить обращение на e-mail Оператора: school@absolute-school.ru. В обращении рекомендуется указать ФИО пользователя, роль или класс, суть требования и контакт для ответа.

17.3. Оператор рассматривает обращения в сроки, установленные законодательством РФ. Если для исполнения запроса требуется идентификация заявителя или подтверждение полномочий законного представителя, Оператор вправе запросить дополнительные сведения.

18. Отзыв согласия и удаление данных

18.1. Согласие на обработку персональных данных может быть отозвано пользователем или законным представителем путем направления письменного или электронного обращения Оператору.

18.2. После получения отзыва согласия Оператор прекращает обработку персональных данных, если отсутствуют иные законные основания для ее продолжения.

18.3. Отзыв согласия может привести к ограничению или прекращению доступа к отдельным функциям Сайта, если такие функции невозможны без обработки соответствующих данных.

18.4. Удаление данных производится с учетом технических сроков обработки запроса, резервных копий и требований законодательства.

19. Публикация изображений, достижений и рейтингов

19.1. Внутри Системы могут отображаться рейтинг, баллы, достижения, аватары, статусы и иные игровые показатели пользователя.

19.2. Оператор обязан обеспечить, чтобы открытая публикация персональных данных в интернете не осуществлялась без правового основания или отдельного согласия.

19.3. При размещении фотографий обучающихся, сотрудников или иных лиц в открытых разделах сайта необходимо наличие отдельного согласия на размещение изображения, если такое согласие требуется законодательством.

19.4. В целях минимизации рисков рекомендуется использовать сокращенное отображение фамилии, скрытие чувствительных деталей и ограничение видимости рейтингов закрытым контуром авторизованных пользователей.

20. Требования к сайту для выполнения Политики

20.1. На Сайте должны быть реализованы: ссылка на Политику в футере или ином постоянно доступном месте; выдача доступа пользователям только через Оператора; учет бумажных согласий у Оператора или, при необходимости, дополнительный электронный реестр; cookie-баннер с возможностью принять, отказаться и настроить необязательные cookie; возможность удаления или замены аватара; ограничение доступа к административным разделам; журнал ключевых действий администратора; запрет подключения сторонних внешних скриптов без проверки на передачу персональных данных.

20.2. Уведомление в Роскомнадзор должно соответствовать фактической обработке данных: Оператор, цели обработки, категории субъектов, категории персональных данных, правовые основания, меры защиты, сведения о локализации и поручениях на обработку должны быть актуальными.

21. Изменение Политики

21.1. Оператор вправе изменять настоящую Политику. Новая редакция публикуется на Сайте и вступает в силу с момента размещения, если иной срок не указан в новой редакции.

21.2. При существенном изменении состава данных, целей обработки, порядка передачи данных или перечня сторонних сервисов Оператор обновляет Политику, согласия и при необходимости сведения, направляемые в Роскомнадзор.