Политика обработки и защиты персональных данных

1.1. Политика применяется к персональным данным, обрабатываемым Оператором посредством Информационной системы, независимо от того, получены ли они до вступления настоящей редакции в силу или после.

1.2. Политика распространяется на персональные данные Сотрудников Организаций, Родителей и воспитанников.

2.1. В настоящей Политике применяются следующие понятия:

• персональные данные — информация, относящаяся к определённому физическому лицу либо позволяющая его идентифицировать, зафиксированная в электронной форме, на бумаге и (или) на ином материальном носителе;
• субъект персональных данных (субъект) — физическое лицо, к которому относятся персональные данные;
• база персональных данных — база данных Информационной системы, содержащая персональные данные;
• обработка персональных данных — сбор, систематизация, хранение, изменение, дополнение, использование, предоставление, распространение, передача, обезличивание и уничтожение персональных данных;
• оператор базы персональных данных (Оператор) — ООО «2REELS AGENCY», осуществляющее сбор, систематизацию, хранение и иные действия с персональными данными посредством Информационной системы;
• собственник базы персональных данных — ООО «2REELS AGENCY» как лицо, которому принадлежит право владения, пользования и распоряжения базой персональных данных Информационной системы;
• Организация — дошкольная образовательная организация, использующая Информационную систему и вносящая в неё данные о своих воспитанниках и их законных представителях;
• конфиденциальность персональных данных — обязательное требование о недопущении раскрытия и распространения персональных данных без согласия субъекта либо при отсутствии иного законного основания;
• блокирование (ограничение) персональных данных — временное приостановление обработки, за исключением случаев, когда обработка необходима для уточнения данных;
• пользователь — Сотрудник Организации либо Родитель, которому предоставлен доступ к Информационной системе.

3.1. Обработка данных посредством Информационной системы осуществляется в соответствии с Конституцией Республики Узбекистан, Законом «О персональных данных», Гражданским и Налоговым кодексами, иными законодательными актами Республики Узбекистан.

3.2. Обработка персональных данных осуществляется в следующих случаях:

• когда субъект дал согласие на обработку данных;
• когда обработка необходима для исполнения договора, стороной которого является субъект, либо для принятия мер по запросу субъекта до заключения такого договора;
• когда обработка необходима для исполнения обязанностей Оператора, установленных законодательством;
• когда обработка необходима для защиты законных интересов субъекта или иного лица;
• когда обработка необходима для осуществления прав и законных интересов Оператора либо третьего лица или для достижения общественно значимых целей, если при этом не нарушаются права субъекта;
• когда данные обрабатываются в статистических или иных исследовательских целях при условии их обязательного обезличивания;
• если данные получены из общедоступных источников.

3.3. Субъект персональных данных самостоятельно принимает решение о предоставлении своих данных и даёт согласие свободно, своей волей и в своём интересе.

4.1. Обработка персональных данных воспитанника (несовершеннолетнего) допускается только при наличии письменного согласия его законного представителя — родителя, опекуна или попечителя, а при их отсутствии — органа опеки и попечительства, в соответствии с Законом «О персональных данных».

4.2. Согласие оформляется в виде электронного документа посредством отметки в Личном кабинете родителя при первом входе в Информационную систему и фиксируется с указанием даты, времени и версии текста настоящей Политики, на которую дано согласие. Без совершения данного действия доступ к функциям Личного кабинета родителя не предоставляется.

4.3. При существенном изменении настоящей Политики согласие запрашивается повторно.

4.4. Согласие на публикацию фотографий и видеозаписей воспитанника в новостной ленте и отчётах Информационной системы является отдельным и необязательным. Родитель вправе предоставить либо отозвать такое согласие в любой момент в Личном кабинете.

5.1. Данные законных представителей (Родителей):

• Ф.И.О.; дата и год рождения; пол; гражданство; город;
• электронная почта и (или) номер телефона;
• данные документа, удостоверяющего личность;
• сведения об образовании, профессии и квалификации — при заполнении Родителем самостоятельно.

5.2. Данные воспитанника:

• Ф.И.О.; дата и год рождения; пол; гражданство;
• реквизиты документа, удостоверяющего личность (свидетельство о рождении);
• фотография — для целей идентификации при отметке посещаемости (см. п. 5.3);
• сведения о состоянии здоровья, вносимые в медицинский журнал Организации (аллергии, хронические заболевания, отметки медицинского наблюдения) — обрабатываются с повышенными мерами защиты и доступны только уполномоченным Сотрудникам Организации;
• сведения об успеваемости и развитии, вносимые педагогами Организации;
• иные данные, необходимые для оказания услуг Организации.

5.3. Данные при контроле доступа и распознавании лиц. При использовании Организацией терминалов контроля доступа само распознавание лица выполняется оборудованием терминала: биометрический шаблон формируется и хранится исключительно на терминале и в Информационную систему не передаётся. В Информационную систему поступают: референсная фотография воспитанника или Сотрудника, переданная для регистрации в терминале, и события прохода (дата, время, направление, результат), а при технической возможности терминала — кадр снимка события. Кадры событий хранятся 3 (три) календарных месяца с момента создания и по истечении этого срока подлежат автоматическому удалению; референсная фотография хранится до момента исключения воспитанника или Сотрудника из системы контроля доступа.

5.4. Финансовые данные: сведения о начислениях, платежах и истории операций, включая данные, передаваемые платёжному агрегатору при оплате услуг Организации Родителем.

• соблюдение конституционных прав и свобод человека и гражданина;
• законность целей и способов обработки персональных данных;
• точность и достоверность персональных данных;
• конфиденциальность и защищённость персональных данных;
• равенство прав субъектов, собственников и операторов;
• безопасность обработки персональных данных в соответствии с требованиями национального законодательства.

7.1. Оператор не раскрывает персональные данные третьим лицам, за исключением случаев, установленных законодательством Республики Узбекистан, либо для целей оказания Услуг — следующим лицам, обрабатывающим данные по поручению Оператора:

• Payme (оператор платёжной системы, Республика Узбекистан) — для приёма платежей за услуги Организации;
• Google LLC, сервис Firebase Cloud Messaging — для доставки push-уведомлений на мобильные устройства пользователей;
• Google LLC, Gemini API — для расшифровки голосовых заметок Сотрудников и функций автоматического анализа при использовании Сотрудником соответствующих функций Информационной системы; фотографии и видеозаписи воспитанников в эту обработку не передаются;
• Telegram FZ-LLC — для отправки служебных уведомлений от имени Оператора, а также, если Организация самостоятельно подключила данную функцию, для переписки Организации с обратившимися лицами через привязанный Организацией аккаунт Telegram;
• поставщик хостинга Информационной системы.

7.2. Часть указанных получателей расположена за пределами Республики Узбекистан. Такая передача осуществляется в объёме, необходимом для работы соответствующей функции Информационной системы, и не распространяется на биометрические шаблоны (п. 5.3), которые за пределы терминала контроля доступа не выходят.

7.3. Оператор обязан не раскрывать и не распространять персональные данные третьим лицам без согласия субъекта, за исключением случаев, установленных законодательством.

8.1. При обработке данных Оператор принимает необходимые правовые, организационные и технические меры для защиты от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения данных и иных неправомерных действий.

8.2. К таким мерам, в частности, относятся:

• назначение лица, ответственного за организацию обработки данных, и лица, ответственного за их безопасность;
• разработка и утверждение локальных документов по обработке и защите данных;
• выявление угроз безопасности данных в процессе их обработки и принятие мер по их устранению;
• выявление фактов несанкционированного доступа к данным и предотвращение подобных случаев в будущем;
• восстановление данных, изменённых или уничтоженных в результате несанкционированного доступа;
• исключение несанкционированного доступа к материальным носителям данных.

9.1. Конкретные сроки хранения персональных данных по категориям:

• данные Родителей — в течение срока действия договора Организации с Родителем и 3 года после его прекращения (в соответствии с требованиями налогового законодательства);
• данные воспитанников — в течение срока пребывания в Организации и 3 года после выпуска;
• кадры событий контроля доступа при распознавании лиц — 3 месяца с момента создания, затем автоматическое удаление (п. 5.3);
• сведения о состоянии здоровья — в течение срока пребывания воспитанника в Организации, если иной срок не установлен законодательством об архивном деле;
• финансовые данные — не менее 5 лет в соответствии с налоговым законодательством Республики Узбекистан.

9.2. Данные, срок хранения которых истёк, подлежат уничтожению, если законодательными актами не предусмотрен иной порядок. После прекращения обработки хранение допускается только после обезличивания.

9.3. Персональные данные подлежат уничтожению, в частности:

• при достижении цели обработки;
• при отзыве согласия субъекта;
• по истечении срока обработки, определённого согласием субъекта;
• при вступлении в законную силу решения суда.

10.1. Субъект, данные которого обрабатываются Информационной системой, имеет право получить от Оператора:

• подтверждение факта обработки данных и сведения о наличии данных, относящихся к нему;
• сведения о правовых основаниях и целях обработки;
• сведения о способах обработки данных;
• сведения о наименовании и месте нахождения Оператора;
• сведения о лицах, имеющих доступ к данным, либо которым данные могут быть раскрыты;
• перечень обрабатываемых данных и сведения об источнике их получения;
• сведения об условиях обработки, включая сроки хранения;
• право требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, недостоверны, получены незаконно или не нужны для заявленной цели;
• право в любое время отозвать согласие на обработку;
• право требовать устранения неправомерных действий Оператора в отношении своих данных.

10.2. Оператор рассматривает обращение субъекта данных и предоставляет ответ в течение 15 (пятнадцати) календарных дней с даты его получения.

10.3. Официальный запрос должен содержать:

• Ф.И.О. субъекта данных или его представителя;
• данные документа, удостоверяющего личность субъекта данных или его представителя;
• сведения, подтверждающие связь субъекта данных с Организацией;
• контактные данные для направления ответа;
• подпись субъекта данных или его представителя; для обращения в электронной форме — электронную подпись в соответствии с законодательством Республики Узбекистан.

11.1. Оператор обеспечивает сбор, систематизацию и хранение персональных данных граждан Республики Узбекистан на технических средствах, физически расположенных на территории Республики Узбекистан, в объёме, установленном законодательством, включая биометрические данные, для которых требование локализации сохраняется в полном объёме независимо от категории иных персональных данных.

11.2. Обработка персональных данных Информационной системы осуществляется с соблюдением требований о регистрации баз персональных данных в Государственном реестре баз персональных данных, установленных законодательством Республики Узбекистан.

12.1. Конфиденциальность персональных данных — обязательное для соблюдения Оператором или иным лицом, получившим доступ к данным, требование о недопущении их раскрытия и распространения без согласия субъекта либо при отсутствии иного законного основания.

12.2. Оператор обязан не раскрывать и не распространять персональные данные третьим лицам без согласия субъекта, за исключением случаев, установленных законодательством.

13.1. Настоящая Политика является публичной. Общедоступность обеспечивается её опубликованием на сайте Оператора.

13.2. Политика может быть пересмотрена, в частности:

• при изменении законодательства Республики Узбекистан о персональных данных;
• по предписанию уполномоченного государственного органа;
• по решению руководства Оператора;
• при изменении целей и условий обработки данных;
• при изменении применяемых технологий обработки и защиты данных.

13.3. За несоблюдение положений настоящей Политики Оператор и его сотрудники несут ответственность в соответствии с законодательством Республики Узбекистан.

13.4. Контроль за выполнением требований настоящей Политики осуществляют лица, ответственные в Обществе за организацию обработки данных и за их безопасность.

14.1. Вопросы или возражения по Политике направляются на адрес электронной почты support@erkatooy.uz.

15.1. Оператор вправе вносить изменения в Политику. Субъект персональных данных обязан знакомиться с текстом Политики при каждом использовании Информационной системы либо при заключении нового договора.

15.2. Новая редакция Политики вступает в силу с момента её размещения в Информационной системе. Продолжение использования Информационной системы после публикации новой версии означает её полное и безоговорочное принятие. При несогласии с условиями Политики субъект обязан прекратить использование Информационной системы.