1. Общие положения
1.1. Настоящая Политика определяет цели, правовые основания, порядок и условия обработки персональных данных, меры их защиты, права субъектов персональных данных и обязанности МБОУ «СШ № 40» при обработке персональных данных.
1.2. Оператором персональных данных является муниципальное бюджетное общеобразовательное учреждение «Средняя школа №40» (МБОУ «СШ №40»), расположенное по адресу: Российская Федерация, Тюменская область, Ханты-Мансийский автономный округ — Югра, город Нижневартовск, улица Дзержинского, 29а.
1.3. Официальный сайт Оператора размещен по адресу: https://sch40-nv.gosuslugi.ru/ на платформе «Госвеб».
1.4. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации», Трудовым кодексом Российской Федерации, Гражданским кодексом Российской Федерации, Семейным кодексом Российской Федерации, иными нормативными правовыми актами Российской Федерации, Уставом МБОУ «СШ №40» и локальными актами Оператора.
1.5. Политика распространяется на персональные данные работников, бывших работников, кандидатов на замещение вакантных должностей, обучающихся, родителей (законных представителей), посетителей, физических лиц по гражданско-правовым договорам, иных третьих лиц и пользователей официального сайта.
1.6. Политика размещается в свободном доступе на официальном сайте Оператора.
2. Цели и правовые основания обработки персональных данных
2.1. Оператор обрабатывает персональные данные в следующих целях:
• организация и осуществление образовательной деятельности;
• прием, перевод, отчисление, учет движения обучающихся, ведение личных дел, электронного журнала и электронного дневника;
• учет успеваемости, посещаемости, результатов промежуточной и итоговой аттестации, участие в ГИА, ВПР, олимпиадах, конкурсах, соревнованиях и мероприятиях;
• организация питания, медицинского, психолого-педагогического и социального сопровождения, предоставление льгот и мер поддержки;
• обеспечение безопасности, пропускного и внутриобъектового режима, сохранности имущества, в том числе с использованием видеонаблюдения;
• ведение кадрового, бухгалтерского, налогового, воинского и статистического учета;
• исполнение гражданско-правовых договоров, соглашений и муниципальных контрактов;
• передача сведений в государственные, муниципальные и ведомственные информационные системы в случаях, предусмотренных законодательством;
• обеспечение функционирования официального сайта на платформе «Госвеб», информационной открытости, анализа посещаемости сайта и улучшения его работы;
• публикация сведений, фото- и видеоматериалов при наличии отдельного согласия на обработку персональных данных, разрешенных для распространения, либо иного законного основания;
• рассмотрение обращений, заявлений, жалоб и запросов субъектов персональных данных.
2.2. Правовыми основаниями обработки персональных данных являются законодательство Российской Федерации, Устав Оператора, договоры, соглашения, муниципальные контракты, согласия субъектов персональных данных или их законных представителей, а также иные основания, предусмотренные законодательством Российской Федерации.
3. Категории субъектов и состав персональных данных
3.1. Оператор обрабатывает персональные данные следующих категорий субъектов: обучающиеся; родители (законные представители); работники и бывшие работники; кандидаты на замещение вакантных должностей; посетители; пользователи сайта; физические лица по договорам; представители контрагентов; иные лица, указанные в заявлениях, согласиях, доверенностях и иных документах.
3.2. В состав обрабатываемых персональных данных могут входить: фамилия, имя, отчество; дата и место рождения; адрес; контактные данные; сведения из документов, удостоверяющих личность; СНИЛС; ИНН при необходимости; сведения об обучении, успеваемости, посещаемости, аттестации и достижениях; сведения о родителях и законных представителях; сведения о льготах, питании, инвалидности, ОВЗ, состоянии здоровья и заключениях ПМПК в необходимом объеме; сведения кадрового, бухгалтерского и договорного учета; сведения пропускного режима; фото- и видеоматериалы при наличии законного основания; технические и обезличенные данные пользователей сайта.
3.3. Оператор не обрабатывает биометрические персональные данные в целях установления личности субъекта персональных данных с применением биометрических технологий. Системы видеонаблюдения используются для обеспечения безопасности и не применяются для биометрической идентификации.
4. Порядок и условия обработки персональных данных
4.1. Обработка персональных данных осуществляется с использованием средств автоматизации и без использования таких средств путем сбора, записи, систематизации, накопления, хранения, уточнения, извлечения, использования, передачи, предоставления, доступа, обезличивания, блокирования, удаления и уничтожения.
4.2. Оператор получает персональные данные от субъекта персональных данных, его законного представителя либо из иных законных источников.
4.3. Согласие на обработку персональных данных оформляется в случаях, когда обработка осуществляется на основании согласия. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным.
4.4. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий, заявлений, договоров и документов.
4.5. Молчание, бездействие, участие в мероприятии, нахождение на территории Оператора или посещение сайта не признаются согласием на распространение персональных данных.
4.6. Отзыв согласия не препятствует Оператору продолжить обработку персональных данных при наличии иных правовых оснований, предусмотренных законодательством Российской Федерации.
5. Официальный сайт, cookie и Яндекс.Метрика
5.1. На официальном сайте Оператора, размещенном на платформе «Госвеб», может использоваться сервис интернет-статистики Яндекс.Метрика для анализа посещаемости сайта, оценки востребованности размещенной информации и улучшения работы сайта.
5.2. Яндекс.Метрика использует анонимные идентификаторы посетителей, файлы cookie и localStorage и предоставляет обезличенную статистическую информацию о посещаемости сайта.
5.3. Оператор не использует Яндекс.Метрику для установления личности посетителей сайта, не передает в сервис параметры UserID и иные сведения, позволяющие прямо идентифицировать посетителя сайта, если иное не предусмотрено законодательством Российской Федерации, настройками соответствующей государственной информационной системы и отдельным правовым основанием обработки.
5.4. Посетитель сайта вправе самостоятельно ограничить или запретить использование файлов cookie в настройках браузера. Ограничение использования cookie может повлиять на корректность работы отдельных функций сайта.
5.5. При наличии на сайте форм обратной связи, электронных приемных, форм записи, опросов или иных способов сбора персональных данных Оператор размещает информацию о целях обработки, правовых основаниях обработки и ссылку на настоящую Политику.
6. Передача, поручение обработки и трансграничная передача
6.1. Передача персональных данных третьим лицам допускается при наличии законного основания, согласия субъекта персональных данных или его законного представителя, договора, соглашения, поручения, запроса уполномоченного органа либо иной обязанности, предусмотренной законодательством Российской Федерации.
6.2. Оператор вправе передавать персональные данные органам государственной власти, органам местного самоуправления, учредителю, государственным и муниципальным информационным системам, медицинским организациям, организациям питания, организациям, обеспечивающим безопасность и охрану, операторам информационных систем, контрагентам и иным лицам в случаях и объеме, предусмотренных законодательством Российской Федерации.
6.3. Оператор вправе поручить обработку персональных данных третьему лицу на основании договора, соглашения, государственного или муниципального контракта либо иного правового акта. Лицо, осуществляющее обработку по поручению Оператора, обязано обеспечивать конфиденциальность и безопасность персональных данных и использовать их только в целях, указанных в поручении.
6.4. Трансграничная передача персональных данных Оператором не осуществляется. При возникновении необходимости такой передачи Оператор до ее начала обеспечивает выполнение требований законодательства Российской Федерации.
7. Хранение, защита и уничтожение персональных данных
7.1. При сборе персональных данных граждан Российской Федерации Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, предусмотренных законодательством Российской Федерации.
7.2. Бумажные носители, содержащие персональные данные, хранятся в запираемых шкафах, сейфах или помещениях с ограниченным доступом. Электронные персональные данные хранятся в информационных системах, доступ к которым предоставляется только уполномоченным лицам.
7.3. Использование иностранных облачных сервисов, личных облачных хранилищ, открытых файлообменников, несанкционированных мессенджеров и иных ресурсов, не утвержденных Оператором для обработки персональных данных, не допускается.
7.4. Оператор принимает правовые, организационные и технические меры защиты персональных данных, включая назначение ответственного лица, утверждение локальных актов, ограничение доступа, учет носителей, ознакомление работников, применение средств защиты информации и внутренний контроль.
7.5. Персональные данные хранятся в течение сроков, необходимых для достижения целей обработки, а также в течение сроков хранения документов, установленных законодательством Российской Федерации, номенклатурой дел Оператора, архивными правилами, договором или согласием субъекта персональных данных.
7.6. Уничтожение персональных данных осуществляется после достижения целей обработки, утраты правового основания обработки или истечения сроков хранения документов, если иное не предусмотрено законодательством Российской Федерации. Уничтожение подтверждается актом комиссии.
8. Права субъектов персональных данных
8.1. Субъект персональных данных или его представитель вправе получать информацию об обработке персональных данных, требовать их уточнения, блокирования или уничтожения, отзывать согласие на обработку персональных данных, отзывать согласие на распространение персональных данных, обжаловать действия или бездействие Оператора в уполномоченный орган или в судебном порядке, а также осуществлять иные права, предусмотренные законодательством Российской Федерации.
8.2. Запрос субъекта персональных данных или его представителя должен содержать сведения, позволяющие идентифицировать субъекта персональных данных и подтвердить полномочия представителя. Оператор рассматривает запросы в сроки, установленные законодательством Российской Федерации.
9. Инциденты и уведомление уполномоченного органа
9.1. Работник, обнаруживший признаки неправомерной или случайной передачи, предоставления, распространения, доступа, утраты, изменения, копирования или уничтожения персональных данных, обязан незамедлительно сообщить об этом директору и лицу, ответственному за организацию обработки персональных данных.
9.2. Лицо, ответственное за организацию обработки персональных данных, организует фиксацию инцидента, ограничение доступа к скомпрометированным данным, внутреннее расследование, подготовку уведомлений и оформление результатов расследования.
9.3. В случае инцидента, повлекшего нарушение прав субъектов персональных данных, Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных: первичное уведомление — в течение 24 часов с момента выявления инцидента, результаты внутреннего расследования — в течение 72 часов с момента выявления инцидента.
9.4. При необходимости Оператор взаимодействует с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации в порядке, установленном законодательством Российской Федерации.
9.5. Сведения, указанные в настоящей Политике, подлежат сопоставлению со сведениями, содержащимися в уведомлении об обработке персональных данных, направленном Оператором в уполномоченный орган. При изменении сведений Оператор обеспечивает актуализацию уведомления в порядке и сроки, установленные законодательством Российской Федерации.
10. Заключительные положения
10.1. Настоящая Политика вступает в силу с момента утверждения приказом директора Оператора.
10.2. Изменения и дополнения в Политику вносятся приказом директора Оператора.
10.3. Контроль исполнения Политики осуществляет директор Оператора и лицо, ответственное за организацию обработки персональных данных.
10.4. Лица, виновные в нарушении требований законодательства Российской Федерации о персональных данных, настоящей Политики и локальных актов Оператора, несут ответственность в соответствии с законодательством Российской Федерации.
