ДОКУМЕНТ 2: ПРИЛОЖЕНИЕ № 1 К ПУБЛИЧНОЙ ОФЕРТЕ

ПОРУЧЕНИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

(в соответствии со ст. 6, ч. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»)

Редакция от 05.10.2026
Адрес документа: https://ogonek.app/legal/pd-processing-order

Настоящее Поручение на обработку персональных данных (далее — «Поручение») заключено в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о ПД»), является неотъемлемой частью Публичной оферты на предоставление доступа к программному обеспечению «Огонек» (далее — «Договор») и вступает в силу одновременно с акцептом Договора.

Термины, не определённые в настоящем Поручении, используются в значении, установленном Договором.

1. СТОРОНЫ И РОЛИ

1.1. «Лицензиар» (ИП Волков Данила Олегович, ОГРНИП: 321774600758976) — выступает в качестве обработчика персональных данных (далее — «Обработчик») по поручению Лицензиата в отношении персональных данных Учеников, Плательщиков, Преподавателей и Администраторов (за исключением самого Лицензиата) образовательного пространства Лицензиата.

1.2. «Лицензиат» — выступает в качестве оператора персональных данных (далее — «Оператор») в отношении персональных данных Учеников, Плательщиков, Преподавателей и Администраторов своей школы (образовательного пространства).

1.3. В отношении персональных данных самого Лицензиата (его представителя), лиц, направивших заявку на Сайте, и посетителей Сайта Лицензиар является самостоятельным оператором. Порядок их обработки регулируется Политикой обработки персональных данных (https://ogonek.app/legal/privacy-policy).

2. ПРЕДМЕТ ОБРАБОТКИ: КАТЕГОРИИ ДАННЫХ И СУБЪЕКТЫ

2.1. По настоящему Поручению Оператор поручает Обработчику обработку следующих персональных данных:

Субъекты персональных данных:

Ученики, зарегистрированные в Программе по приглашению Лицензиата;
физические лица, данные которых внесены Администратором без завершения ими регистрации в Программе (далее — «Ученики без регистрации»);
Плательщики — физические лица, оплачивающие занятия Учеников (в том числе родители и иные законные представители Учеников), адрес электронной почты которых указан Администратором;
Преподаватели и Администраторы, добавленные в образовательное пространство Лицензиата.

Категории персональных данных:

фамилия, имя, отчество или иное обозначение — в объёме, указанном Администратором при добавлении Ученика, Преподавателя или Администратора;
адрес электронной почты Плательщика для направления платёжных ссылок и кассовых чеков (вносится Администратором, при указании);
сведения о платёжных ссылках и оплатах занятий: сумма, статус оплаты, адрес электронной почты, на который направлены ссылка и кассовый чек;
данные, передаваемые сервисом Яндекс ID при авторизации: идентификатор пользователя, адрес электронной почты, имя и фамилия или публичное имя, фотография профиля;
данные профиля, указываемые пользователем: имя пользователя (никнейм), сведения о себе, фотография профиля, ссылка на видеозвонок;
данные учебного процесса: расписание, ответы на приглашения на занятия, посещаемость, домашние задания и их выполнение, учебные материалы, карточки для запоминания и прогресс их изучения, сообщения, в том числе переписка Преподавателей и Администраторов с ИИ-ассистентом Программы;
технические данные, автоматически формируемые Программой: идентификатор учётной записи, дата регистрации, дата и время последнего посещения, IP-адрес и сведения о браузере в рамках активных сеансов, сведения о доставке уведомлений (адрес и время отправки), диагностические сведения об ошибках.

2.2. Персональные данные Ученика, включая данные, добровольно вносимые им при регистрации и в процессе использования Программы (контент домашних заданий и иные), обрабатываются Лицензиаром в качестве обработчика по поручению Лицензиата. Лицензиат как оператор персональных данных Учеников несёт полную ответственность за наличие надлежащего правового основания, включая согласие законных представителей несовершеннолетних Учеников, на обработку всего объёма данных Ученика в Программе.

2.3. В отношении Учеников без регистрации и Плательщиков Оператор (Лицензиат) самостоятельно несёт ответственность за наличие правового основания для передачи их персональных данных Обработчику. Обработчик обрабатывает в отношении них только следующие данные: фамилию, имя, отчество или иное обозначение в объёме, указанном Администратором; адрес электронной почты (при указании); данные расписания и посещаемости; сведения о направленных платёжных ссылках, оплатах и кассовых чеках; сведения о доставке уведомлений, — в целях ведения расписания и направления транзакционных уведомлений, платёжных ссылок и кассовых чеков в соответствии с настройками, заданными Оператором в Программе. Использование данных Учеников без регистрации и Плательщиков в каких-либо иных целях Обработчиком не допускается.

3. ЦЕЛИ ОБРАБОТКИ

3.1. Обработчик вправе обрабатывать персональные данные субъектов, указанных в п. 2.1, исключительно в следующих целях:

предоставление Ученикам, Преподавателям и Администраторам функционала Программы в рамках лицензии Лицензиата, включая служебные уведомления о работе Программы;
направление Ученикам и Плательщикам платёжных ссылок, кассовых чеков и иных транзакционных уведомлений в соответствии с настройками, заданными Лицензиатом;
исполнение Обработчиком обязательств по Договору.

4. ПЕРЕЧЕНЬ ДЕЙСТВИЙ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ

4.1. Обработчик вправе совершать следующие действия с персональными данными:

сбор (при внесении Администратором, при авторизации через Яндекс ID и при использовании Программы), запись;
хранение в защищённой инфраструктуре;
систематизация и накопление для отображения в интерфейсе Лицензиата;
уточнение (обновление, изменение) — по действиям Администраторов и пользователей в Программе;
извлечение;
использование для целей, указанных в разделе 3 настоящего Поручения;
передача субобработчикам (раздел 5);
передача кредитной организации, с которой у Оператора заключён договор, адреса электронной почты Плательщика (при его отсутствии — Ученика) для направления кассового чека — если налоговый режим, указанный Оператором в настройках приёма платежей, предусматривает формирование кассового чека;
обезличивание;
блокирование, удаление, уничтожение по истечении сроков хранения или по требованию Оператора.

5. СУБОБРАБОТЧИКИ

5.1. Обработчик вправе привлекать в качестве субобработчиков лиц группы Яндекса — в зависимости от используемого сервиса:

ООО «Яндекс.Облако» (ОГРН: 1187746678580, ИНН: 7704458262, адрес: 119021, г. Москва, ул. Льва Толстого, д. 16, пом. 528) — хранение и техническая обработка персональных данных в облачной инфраструктуре, в том числе отправка электронных писем (Yandex Cloud Postbox) и работа ИИ-ассистента Программы (Yandex AI Studio);
ООО «ЯНДЕКС» (ОГРН: 1027700229193, ИНН: 7736207543, адрес: 119021, г. Москва, ул. Льва Толстого, д. 16) — электронная почта (Яндекс 360), авторизация (Яндекс ID).

5.2. Обработчик вправе привлекать иных субобработчиков, обрабатывающих персональные данные на территории Российской Федерации, при условии публикации обновлённого перечня субобработчиков в Политике обработки персональных данных на Сайте до начала передачи им персональных данных.

5.3. Обработчик обязуется заключать с субобработчиками договоры, обеспечивающие уровень защиты персональных данных не ниже предусмотренного настоящим Поручением.

6. ОБЯЗАТЕЛЬСТВА ОБРАБОТЧИКА

6.1. Обработчик обязуется:

обрабатывать персональные данные в соответствии с настоящим Поручением и настройками, заданными Оператором в Программе, в целях, указанных в разделе 3 настоящего Поручения;
обеспечивать конфиденциальность персональных данных, не раскрывать их третьим лицам без согласия Оператора, за исключением случаев, предусмотренных законодательством РФ;
соблюдать требования ст. 18.1 и ч. 5 ст. 18 Закона о ПД;
обеспечивать безопасность персональных данных в соответствии со ст. 19 Закона о ПД, в том числе определять угрозы безопасности и применять организационные и технические меры защиты, необходимые для выполнения требований к защите персональных данных, установленных постановлением Правительства РФ от 01.11.2012 № 1119, для уровня защищённости, определённого Обработчиком;
содействовать Оператору в исполнении обязанностей по обработке запросов субъектов персональных данных (право на доступ, исправление, удаление), уведомлять Оператора о полученных запросах субъектов в срок не позднее 3 рабочих дней;
уведомлять Оператора о случаях, предусмотренных ч. 3.1 ст. 21 Закона о ПД (неправомерная или случайная передача персональных данных), в срок не позднее 24 часов с момента обнаружения;
по запросу Оператора в течение срока действия Поручения, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных ст. 6 Закона о ПД.

7. ОБЯЗАТЕЛЬСТВА ОПЕРАТОРА (ЛИЦЕНЗИАТА)

7.1. Оператор обязуется:

обеспечить наличие надлежащего правового основания для передачи персональных данных Учеников, Плательщиков, Преподавателей и Администраторов Обработчику, включая их согласие на поручение обработки Обработчику (ч. 3 ст. 6 Закона о ПД), до направления им приглашения или внесения их данных в Программу;
самостоятельно получить согласие на обработку персональных данных у Учеников, являющихся несовершеннолетними, от их родителей или законных представителей, до направления приглашения к регистрации в Программе;
не вносить в Программу персональные данные Учеников и Плательщиков без наличия соответствующего правового основания;
уведомлять Учеников, Плательщиков (и/или законных представителей Учеников) о передаче их данных для обработки Обработчику, в том числе путём ссылки на настоящее Поручение;
незамедлительно уведомлять Обработчика об изменении правовых оснований обработки данных конкретных субъектов (в том числе об отзыве согласия).

7.2. Оператор гарантирует, что перед направлением приглашения любому Ученику он убедился в том, что Ученик является совершеннолетним (достиг 18 лет) ЛИБО получил надлежащее письменное согласие от родителей или законных представителей этого Ученика в соответствии с требованиями ст. 9 Закона о ПД и ст. 26, 28 Гражданского кодекса РФ.

7.3. Оператор самостоятельно и в полном объёме несёт ответственность за правомерность передачи персональных данных Учеников без регистрации и Плательщиков, за наличие их согласия или иного законного основания для получения ими сообщений от имени Программы, включая платёжные ссылки.

7.4. Имущественные потери Обработчика, возникшие вследствие нарушения Оператором настоящего раздела, Оператор возмещает в соответствии с п. 10.4 Договора.

8. СРОКИ ХРАНЕНИЯ И УНИЧТОЖЕНИЕ ДАННЫХ

8.1. Персональные данные, переданные Оператором, хранятся Обработчиком в течение срока действия Лицензии Оператора и 1 (одного) года после Прекращения Лицензии. Данные Ученика, Преподавателя или Администратора, исключённого из образовательного пространства Оператора, хранятся 1 (один) год с момента исключения, но не дольше срока, указанного в первом предложении настоящего пункта. Снятие Преподавателя или Администратора с Лицензионного места без исключения из образовательного пространства течение этого срока не начинает.

8.2. По истечении срока хранения, указанного в п. 8.1, Обработчик уничтожает персональные данные или обезличивает их в срок, не превышающий 30 (тридцати) дней.

8.3. Оператор вправе потребовать досрочного уничтожения данных, направив требование на danila.volkov@ogonek.app. Обработчик исполняет требование в срок, не превышающий 30 (тридцати) дней с момента его получения. Запросы субъектов персональных данных об уничтожении их данных Обработчик передаёт Оператору в порядке, предусмотренном разделом 6, и исполняет по его указанию.

8.3.1. Удаление субъекта Администратором в интерфейсе Программы прекращает отображение его данных в образовательном пространстве и считается исключением из образовательного пространства. Уничтожение данных осуществляется в сроки, предусмотренные п. 8.1, либо по требованию Оператора по п. 8.3.

8.4. При прекращении Договора Оператор вправе в течение 30 (тридцати) дней потребовать уничтожения или возврата переданных персональных данных; в этом случае Обработчик исполняет требование в течение 30 (тридцати) дней с момента его получения. При отсутствии такого требования применяется п. 8.1.

8.5. Уничтожение персональных данных подтверждается Обработчиком в порядке, установленном уполномоченным органом по защите прав субъектов персональных данных. По запросу Оператора Обработчик предоставляет подтверждение уничтожения.

8.6. Резервные копии базы данных хранятся не более 30 (тридцати) дней. Данные, уничтоженные в основной базе, удаляются из резервных копий по истечении срока хранения этих копий.

9. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА

9.1. Обработчик хранит персональные данные исключительно на серверах, расположенных на территории Российской Федерации (ООО «Яндекс.Облако»).

9.2. Трансграничная передача персональных данных не осуществляется.

10. ДЕЙСТВИЕ ПОРУЧЕНИЯ

10.1. Настоящее Поручение действует в течение всего срока действия Договора и прекращается одновременно с его расторжением, за исключением обязательств по разделу 8 (хранение и уничтожение данных).

10.2. В части, не урегулированной настоящим Поручением, применяются положения Договора и законодательства Российской Федерации.