Положение об обработке и защите персональных данных

1. Общие положения

1.1.

Настоящее Положение об обработке и защите персональных данных (далее – Положение) разработано в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – 152-ФЗ), Трудовым кодексом Российской Федерации, иными нормативными правовыми актами Российской Федерации и определяет порядок обработки, хранения, защиты и передачи персональных данных, а также права и обязанности Оператора и Субъектов персональных данных в Индивидуальном предпринимателе Пантюковой Наталье Владимировне (далее – Оператор).

1.2.

Настоящее Положение является внутренним документом Оператора, обязательным для исполнения всеми работниками Оператора, а также лицами, привлекаемыми Оператором для обработки персональных данных на основании договора (далее – уполномоченные лица).

1.3.

Действие настоящего Положения распространяется на все персональные данные, обрабатываемые Оператором, в том числе:

• персональные данные клиентов (Пользователей) и их законных представителей;
• персональные данные работников (сотрудников) Оператора;
• персональные данные иных лиц, с которыми Оператор вступает в договорные или иные отношения.

1.4.

Настоящее Положение применяется к обработке персональных данных как с использованием средств автоматизации, так и без использования таких средств.

2. Термины и определения

В настоящем Положении используются следующие термины и определения:

2.1.

Персональные данные – любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (Субъекту персональных данных).

2.2.

Оператор персональных данных – Индивидуальный предприниматель Пантюкова Наталья Владимировна (ИНН 290119773723, ОГРНИП 319645100017620), самостоятельно или совместно с другими лицами организующая и (или) осуществляющая обработку персональных данных, а также определяющая цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

2.3.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.4.

Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

2.5.

Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

2.6.

Биометрические персональные данные – сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность (например, отпечатки пальцев, изображение лица, данные о состоянии здоровья и т.п.) и которые используются Оператором для установления личности Субъекта персональных данных. Оператор не обрабатывает биометрические персональные данные, если иное не установлено законодательством.

3. Цели и правовые основания обработки персональных данных

3.1.

Оператор обрабатывает персональные данные исключительно в следующих целях:

• Кадровая работа – для соблюдения трудового законодательства, ведения кадрового учёта, начисления и выплаты заработной платы, предоставления льгот и компенсаций, организации обучения и повышения квалификации работников, обеспечения безопасности работников, контроля количества и качества выполняемой работы;
• Оказание услуг клиентам – для заключения и исполнения договоров оказания образовательных услуг (подготовка к школе, продлёнка, лагерь, занятия по английскому языку, шахматам, музыке, творчеству и иным направлениям), ведения учёта посещаемости, формирования расписания, осуществления расчётов и выставления счетов, организации мероприятий (в том числе лагерей, праздников, экскурсий);
• Обратная связь и информирование – для обработки запросов клиентов, консультаций, подбора программ, записи на занятия, направления информационных и рекламных сообщений (при наличии отдельного согласия);
• Маркетинг и аналитика – для изучения спроса, анализа предпочтений клиентов, повышения качества услуг, проведения опросов и исследований (при наличии отдельного согласия);
• Обеспечение безопасности – для защиты информационных систем и Сайта от несанкционированного доступа, предотвращения мошенничества и иных противоправных действий;
• Исполнение требований законодательства – для выполнения обязанностей, возложенных на Оператора законодательством Российской Федерации, включая налоговое, бухгалтерское, миграционное и иное регулирование.

3.2.

Правовыми основаниями обработки персональных данных являются:

• 152-ФЗ и иные федеральные законы;
• Трудовой кодекс Российской Федерации;
• Гражданский кодекс Российской Федерации;
• согласие Субъекта персональных данных на обработку его персональных данных;
• договоры, заключаемые между Оператором и Субъектами персональных данных;
• уставные и иные учредительные документы Оператора.

4. Категории и состав обрабатываемых персональных данных

4.1.

Персональные данные клиентов (Пользователей) и их законных представителей:

• Фамилия, имя, отчество (при наличии) клиента и его законных представителей;
• Дата рождения, возраст клиента;
• Контактный телефон, адрес электронной почты, почтовый адрес (при необходимости);
• Сведения о законных представителях (для несовершеннолетних);
• Информация о выбранных программах и направлениях обучения, посещаемости, успеваемости, иных достижениях;
• Иная информация, необходимая для оказания услуг и исполнения договоров.

4.2.

Персональные данные работников (сотрудников) Оператора:

• Фамилия, имя, отчество;
• Дата и место рождения;
• Паспортные данные и иные сведения, содержащиеся в документах, удостоверяющих личность;
• ИНН, СНИЛС;
• Сведения о трудовом стаже, образовании, квалификации, профессиональной подготовке;
• Сведения о семейном положении, составе семьи;
• Контактные данные (телефон, адрес электронной почты, адрес регистрации и фактического проживания);
• Банковские реквизиты для перечисления заработной платы;
• Сведения о доходах, налогах, страховых взносах;
• Иные данные, предусмотренные трудовым законодательством.

4.3.

Иные персональные данные – персональные данные лиц, вступающих с Оператором в договорные или иные отношения (контрагенты, партнёры, поставщики и т.п.), в объёме, необходимом для заключения и исполнения соответствующих договоров.

5. Порядок получения и обработки персональных данных

5.1.

Получение персональных данных осуществляется Оператором следующими способами:

• непосредственно от Субъекта персональных данных (при личном обращении, по телефону, через формы обратной связи на Сайте, по электронной почте);
• из общедоступных источников (с согласия Субъекта персональных данных);
• от третьих лиц (с согласия Субъекта персональных данных или в случаях, установленных законодательством).

5.2.

При получении персональных данных Оператор обязан разъяснить Субъекту персональных данных цели, способы обработки, правовые основания, сроки хранения, а также иные сведения, предусмотренные ст. 18 152-ФЗ.

5.3.

Обработка персональных данных осуществляется на основе принципов:

• законности и справедливости;
• ограничения обработки достижением конкретных, заранее определённых и законных целей;
• недопущения обработки персональных данных, несовместимой с целями сбора персональных данных;
• недопущения объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработки только тех персональных данных, которые отвечают целям их обработки;
• соответствия содержания и объёма обрабатываемых персональных данных заявленным целям обработки;
• недопущения обработки персональных данных, избыточных по отношению к заявленным целям их обработки;
• обеспечения точности, достаточности и актуальности персональных данных по отношению к целям обработки;
• уничтожения либо обезличивания персональных данных по достижении целей обработки или в случае утраты необходимости в их достижении.

5.4.

Согласие на обработку персональных данных предоставляется Субъектом персональных данных в письменной форме или в форме электронного документа, подписанного электронной подписью, либо путём совершения конклюдентных действий (например, проставление отметки в форме обратной связи, нажатие кнопки «Отправить» и т.п.).

5.5.

Согласие на обработку персональных данных должно содержать:

• фамилию, имя, отчество (при наличии) и адрес Субъекта персональных данных либо его представителя;
• наименование или фамилию, имя, отчество (при наличии) и адрес Оператора, получающего согласие Субъекта персональных данных;
• цели обработки персональных данных;
• перечень персональных данных, на обработку которых даётся согласие;
• наименование или фамилию, имя, отчество (при наличии) и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка будет поручена такому лицу;
• перечень действий с персональными данными, на совершение которых даётся согласие, общее описание используемых Оператором способов обработки персональных данных;
• срок, в течение которого действует согласие, а также способ его отзыва;
• подпись Субъекта персональных данных (при письменной форме).

6. Сроки хранения и условия уничтожения персональных данных

6.1.

Сроки хранения персональных данных определяются в соответствии с целями обработки, требованиями законодательства, а также договорами, заключёнными между Оператором и Субъектом персональных данных.

6.2.

Сроки хранения:

Категория персональных данных	Срок хранения
Персональные данные клиентов (по договорам оказания услуг)	В течение срока действия договора и 3 лет после его прекращения (если иное не предусмотрено договором или законом)
Персональные данные клиентов (для обратной связи и информирования)	До отзыва согласия, но не более 5 лет с момента последнего взаимодействия
Персональные данные работников	В соответствии с требованиями трудового и архивного законодательства (обычно 50–75 лет для личных дел, 5 лет для расчётных документов и т.п.)
Технические данные (IP-адрес, cookie)	Не более 1 года (если иное не установлено настройками сервисов аналитики)

6.3.

Уничтожение персональных данных осуществляется:

• по достижении целей обработки;
• по истечении установленного срока хранения;
• по требованию Субъекта персональных данных (при отзыве согласия);
• по требованию уполномоченных государственных органов в случаях, предусмотренных законодательством.

6.4.

Уничтожение персональных данных производится способом, исключающим возможность их восстановления: для бумажных носителей – путём сожжения, шредирования или иного механического уничтожения; для электронных носителей – путём стирания (перезаписи) или физического уничтожения носителя. Уничтожение оформляется актом уничтожения персональных данных.

7. Меры по защите персональных данных

7.1.

Для обеспечения безопасности персональных данных при их обработке Оператор принимает следующие меры:

• назначение лица, ответственного за организацию обработки персональных данных;
• разработка и утверждение локальных актов по вопросам обработки и защиты персональных данных;
• ознакомление работников Оператора с локальными актами по вопросам обработки и защиты персональных данных;
• ограничение доступа к персональным данным – предоставление доступа только тем работникам, которым он необходим для выполнения служебных обязанностей;
• применение организационных и технических мер, включая: парольную защиту, шифрование данных, антивирусную защиту, межсетевое экранирование, резервное копирование, ведение журналов доступа и аудита;
• использование сертифицированных средств защиты информации (при необходимости);
• проведение внутреннего контроля соответствия обработки персональных данных требованиям 152-ФЗ;
• оценка вреда, который может быть причинён Субъектам персональных данных в случае нарушения 152-ФЗ;
• определение угроз безопасности персональных данных при их обработке в информационных системах;
• обнаружение фактов несанкционированного доступа к персональным данным и принятие мер к их предотвращению;
• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
• установление правил доступа к персональным данным, обрабатываемым в информационной системе;
• контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищённости информационных систем.

7.2.

Все работники Оператора, имеющие доступ к персональным данным, обязаны:

• соблюдать конфиденциальность персональных данных, ставших им известными в связи с выполнением трудовых обязанностей;
• не разглашать персональные данные третьим лицам без согласия Субъекта персональных данных, за исключением случаев, предусмотренных законодательством;
• использовать персональные данные исключительно в целях, определённых Оператором;
• незамедлительно сообщать лицу, ответственному за организацию обработки персональных данных, о любых попытках несанкционированного доступа к персональным данным или иных нарушениях.

7.3.

При обработке персональных данных с использованием информационно-телекоммуникационных сетей (в том числе сети Интернет) Оператор обеспечивает шифрование передаваемых данных (TLS/SSL), использование защищённых каналов связи, а также применение иных средств защиты, обеспечивающих конфиденциальность и целостность данных.

8. Передача персональных данных третьим лицам

8.1.

Оператор вправе передавать персональные данные третьим лицам в следующих случаях:

• с согласия Субъекта персональных данных;
• в случаях, предусмотренных законодательством Российской Федерации (в том числе по запросу суда, правоохранительных органов, налоговых органов, Роскомнадзора и иных уполномоченных государственных органов);
• для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является Субъект персональных данных (в том числе при привлечении субподрядчиков для оказания услуг, использования сервисов облачного хранения, аналитических сервисов и т.п., при условии обеспечения такими лицами конфиденциальности и безопасности персональных данных);
• в иных случаях, не противоречащих законодательству.

8.2.

При передаче персональных данных третьим лицам Оператор обязан:

• получить согласие Субъекта персональных данных, если иное не предусмотрено законом;
• заключить с третьим лицом договор, содержащий обязательство о соблюдении конфиденциальности и обеспечении безопасности персональных данных;
• обеспечить, чтобы третье лицо не использовало персональные данные в иных целях, кроме тех, для которых они были переданы;
• контролировать действия третьего лица по обработке персональных данных.

8.3.

Трансграничная передача персональных данных осуществляется Оператором только на территорию иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, либо с согласия Субъекта персональных данных в письменной форме, либо в случаях, предусмотренных международными договорами Российской Федерации или федеральными законами.

9. Права и обязанности Субъекта персональных данных

9.1.

Субъект персональных данных имеет право:

• получать от Оператора информацию, касающуюся обработки его персональных данных, в порядке, предусмотренном ст. 14 152-ФЗ;
• требовать уточнения, блокирования или уничтожения своих персональных данных в случае их неполноты, устаревания, неточности, незаконного получения или необоснованности обработки;
• отозвать согласие на обработку персональных данных в любое время;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в суд;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке.

9.2.

Субъект персональных данных обязан:

• предоставлять Оператору достоверные и актуальные персональные данные;
• своевременно уведомлять Оператора об изменении своих персональных данных;
• не предоставлять третьим лицам логин и пароль (при наличии) для доступа к информационным системам Оператора.

10. Ответственность за нарушение требований настоящего Положения

10.1.

Работники Оператора, виновные в нарушении требований настоящего Положения и законодательства Российской Федерации о персональных данных, несут дисциплинарную, материальную, административную или уголовную ответственность в соответствии с законодательством Российской Федерации.

10.2.

В соответствии со ст. 13.11 КоАП РФ (в редакции, действующей с 2025–2026 годов) за нарушение установленных законом требований к обработке и защите персональных данных предусмотрены следующие штрафы:

Нарушение	Штраф для ИП
Обработка ПДн без законных оснований	до 75 000 рублей
Неуведомление Роскомнадзора о начале обработки	до 300 000 рублей
Утечка ПДн (от 1 000 до 10 000 субъектов)	от 3 до 5 млн рублей
Утечка ПДн (от 10 000 до 100 000 субъектов)	от 5 до 10 млн рублей
Утечка ПДн (более 100 000 субъектов)	от 10 до 15 млн рублей
Нарушение локализации (хранение данных за рубежом)	от 1 до 6 млн рублей

10.3.

Оператор несёт ответственность за убытки, причинённые Субъекту персональных данных вследствие нарушения требований 152-ФЗ, в соответствии с гражданским законодательством.

11. Контроль за исполнением Положения

11.1.

Контроль за исполнением настоящего Положения возлагается на лицо, ответственное за организацию обработки персональных данных у Оператора, назначаемое приказом (распоряжением) Оператора.

11.2.

Лицо, ответственное за организацию обработки персональных данных, обязано:

• осуществлять внутренний контроль соответствия обработки персональных данных требованиям 152-ФЗ и настоящего Положения;
• организовывать приём и обработку обращений Субъектов персональных данных;
• взаимодействовать с Роскомнадзором по вопросам обработки персональных данных;
• обеспечивать своевременное обновление локальных актов по вопросам обработки и защиты персональных данных;
• проводить обучение и инструктажи работников по вопросам обработки и защиты персональных данных.

12. Заключительные положения

12.1.

Настоящее Положение вступает в силу с даты его утверждения Оператором и действует бессрочно до его замены новой редакцией.

12.2.

Изменения и дополнения в настоящее Положение вносятся Оператором в одностороннем порядке и утверждаются приказом (распоряжением) Оператора.

12.3.

Настоящее Положение является обязательным для исполнения всеми работниками Оператора, а также лицами, привлекаемыми Оператором для обработки персональных данных на основании договора.

12.4.

Настоящее Положение разработано в соответствии с требованиями 152-ФЗ и иных нормативных правовых актов Российской Федерации, включая изменения, вступающие в силу в 2025–2026 годах.

---