ПОЛОЖЕНИЕ
О ПОРЯДКЕ ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Положение устанавливает внутренние правила обработки и защиты персональных данных клиентов, учеников, пользователей сайта https://ivlieva.ru и его поддоменов, пользователей Оператора на GetCourse и лиц, обращающихся в службу заботы.
1.2. Оператором является Индивидуальный предприниматель Ивлиева Юлия Андреевна, ИНН 504308652553, ОГРНИП 319507400037421.
1.3. Положение применяется совместно с Политикой в отношении обработки персональных данных, договорами (оферты) с исполнителями, перечнями доступа и другими документами Оператора.
1.4. Положение не заменяет документы об обработке персональных данных работников, необходимые при наличии трудовых отношений.
1.5. Правовая основа: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», постановление Правительства РФ от 01.11.2012 № 1119, постановление Правительства РФ от 15.09.2008 № 687 и иные применимые нормативные правовые акты.
2. ОРГАНИЗАЦИЯ ОБРАБОТКИ
2.1. Организацию обработки обеспечивает ИП Ивлиева Юлия Андреевна. Отдельные функции могут быть возложены на уполномоченное лицо письменным решением.
2.2. До начала обработки определяются цель, категории субъектов, состав данных, правовое основание, информационные системы, получатели, срок хранения и порядок удаления.
2.3. Оператор обеспечивает выполнение применимых требований статьи 22 Федерального закона № 152-ФЗ к уведомлению Роскомнадзора и актуальности сведений об обработке.
2.4. Если данные передаются исполнителю для обработки по поручению, отношения оформляются с учетом части 3 статьи 6 Федерального закона № 152-ФЗ.
2.5. Обязательство о конфиденциальности не заменяет поручение обработки, когда исполнитель фактически обрабатывает персональные данные по заданию Оператора.
3. ДОПУСК К ДАННЫМ СЛУЖБЫ ЗАБОТЫ
3.1. К обращениям допускаются ИП Ивлиева Юлия Андреевна и уполномоченные сотрудника службы заботы.
3.2. Каждое лицо использует индивидуальную учетную запись. Передача паролей и работа под учетной записью другого лица запрещены.
3.3. Дополнительная защита входа включается при наличии соответствующей технической возможности.
3.4. До допуска лицо знакомится с настоящим Положением, Политикой и правилами конфиденциальности под подпись либо другим подтверждаемым способом.
3.5. Доступ предоставляется по принципу необходимого минимума. Работа с обращениями не является основанием для неограниченного доступа ко всем данным Оператора. 
3.6. При прекращении работы или изменении обязанностей доступ отзывается либо корректируется без неоправданной задержки.
4. ПРИЕМ И РАССМОТРЕНИЕ ОБРАЩЕНИЙ
4.1. Обращение сохраняется в анкете на GetCourse, связывается с учетной записью пользователя, если это предусмотрено настройками, и передается уполномоченному сотруднику в виде задачи.
4.2. Для неавторизованного пользователя форма запрашивает имя и электронную почту. У авторизованного пользователя эти сведения могут поступать из аккаунта.
4.3. Тема обращения, курс, текст и относящиеся к вопросу сведения о покупке используются только для рассмотрения обращения и связанных с ним законных целей.
4.4. Телефон, аккаунт в мессенджере и вложения не должны быть обязательными для всех обращений. Необходимость конкретного документа определяется содержанием вопроса.
4.5. До раскрытия сведений о заказе, изменения контактных данных, восстановления доступа или совершения иных значимых действий сотрудник проверяет принадлежность аккаунта заявителю.
4.6. Одного сообщения с указанием чужой электронной почты недостаточно для предоставления доступа или раскрытия сведений о покупках владельца этой почты.
4.7. Ответ направляется через подтвержденный либо надлежащим образом согласованный канал.
4.8. Запрещается пересылать полные обращения и вложения в личные чаты, на личную почту, в открытые группы и неразрешенные внешние сервисы.
4.9. В уведомлениях о задачах следует использовать ссылку на задачу с доступом после авторизации вместо полного текста обращения и вложений, если это допускается платформой.
4.10. Выгрузки и локальные копии допускаются только с разрешения Оператора для конкретной задачи. Их состав, место хранения и удаление должны контролироваться.
4.11. Нельзя запрашивать через общую форму пароли, коды подтверждения и код безопасности банковской карты.
4.12. При получении избыточных сведений сотрудник уведомляет Оператора. Такие сведения не используются для иных целей и удаляются либо исключаются из обработки при отсутствии основания хранения.
4.13. Если обращение содержит специальные категории персональных данных, сотрудник не продолжает их обычную обработку без оценки Оператором правового основания.
4.14. Обращение по исполнению договора или реализации предусмотренного законом требования не отклоняется исключительно из-за отсутствия согласия, когда необходимая обработка имеет другое законное основание.
5. СОГЛАСИЯ И ПОДТВЕРЖДЕНИЕ ИХ ПОЛУЧЕНИЯ
5.1. Согласие на обработку данных оформляется отдельно от оферты, Политики, согласия на получение рекламы и иных подтверждаемых пользователем документов.
5.2. Предустановленные отметки согласия не используются.
5.3. Интерфейс должен позволять установить содержание согласия и положительное действие пользователя.
5.4. Для подтверждения сохраняются дата и время действия, связь с пользователем или обращением, наименование формы, версия согласия и техническая запись о его предоставлении.
5.5. Сведения о согласии фиксируются в объеме, необходимом для выполнения части 3 статьи 9 Федерального закона № 152-ФЗ. Избыточные технические данные для этой цели не собираются.
5.6. Одно обязательное согласие одновременно на поддержку, рекламу, публикацию отзывов и использование изображения не применяется.
5.7. Обращения в службу заботы не используются для рекламных рассылок без необходимых самостоятельных согласий.
6. ХРАНЕНИЕ И УНИЧТОЖЕНИЕ
6.1. Обычные обращения хранятся в период рассмотрения и один год после окончательного ответа или выполнения согласованного решения. Указанный период является внутренним сроком Оператора.
6.2. По окончании срока проверяется наличие самостоятельного основания дальнейшего хранения. При его отсутствии данные подлежат удалению или уничтожению.
6.3. Документы об оплатах, возвратах, претензиях и спорах сохраняются отдельно в необходимом объеме, если для них действует соответствующая обязанность или иное законное основание.
6.4. Наличие одного документа, подлежащего дальнейшему хранению, не допускает бессрочного хранения всей переписки и всех вложений.
6.5. Удалению подлежат данные в анкете, связанные копии в задачах, вложения и разрешенные выгрузки, если для них отсутствует самостоятельное основание хранения.
6.6. Оператор согласует с исполнителем порядок удаления данных и обращения с резервными копиями. Удаленные из рабочей обработки данные не должны возвращаться в обычное использование при восстановлении системы.
6.7. Прекращение обработки и уничтожение производятся с соблюдением статьи 21 Федерального закона № 152-ФЗ.
6.8. Подтверждение уничтожения оформляется с учетом приказа Роскомнадзора от 28.10.2022 № 179. При обработке по поручению необходимые подтверждения предоставляются исполнителем в предусмотренном договором порядке.
7. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ
7.1. Меры безопасности определяются на основании статьи 19 Федерального закона № 152-ФЗ с учетом используемых систем и актуальных угроз.
7.2. Уровень защищенности устанавливается по результатам оценки условий обработки в соответствии с постановлением Правительства РФ № 1119. Настоящее Положение само по себе не устанавливает конкретный уровень.
7.3. Оператор обеспечивает разграничение доступа, защиту учетных записей и используемых устройств, обновление программного обеспечения и контроль действий в пределах возможностей применяемых систем.
7.4. Необходимость использования средств защиты, прошедших оценку соответствия, определяется применимыми требованиями. Фактическое применение конкретных средств подтверждается соответствующими документами.
7.5. Бумажные документы при их наличии хранятся с ограничением доступа и с соблюдением постановления Правительства РФ № 687.
7.6. Сотрудник незамедлительно сообщает Оператору об утрате устройства, компрометации пароля, ошибочной передаче, несанкционированном доступе или другом возможном нарушении безопасности.
7.7. До получения указаний сотрудник не уничтожает сведения, необходимые для установления обстоятельств инцидента.
7.8. Оператор организует ограничение последствий, расследование и выполнение обязанностей по уведомлению Роскомнадзора при наличии оснований, предусмотренных частью 3.1 статьи 21 Федерального закона № 152-ФЗ.
8. КОНТРОЛЬ
8.1. Оператор контролирует актуальность доступа, наличие правовых оснований обработки, настройки форм, сроки хранения и исполнение договоров обработки по поручению.
8.2. Дополнительная проверка проводится при изменении целей, состава данных, платформы, внешних сервисов или круга допущенных лиц.
8.3. Лица, нарушившие требования обработки и защиты данных, несут ответственность в соответствии с законодательством Российской Федерации.
8.4. Положение является внутренним документом. Публичное информирование пользователей осуществляется через Политику.