Соглашение об обработке персональных данных по поручению (DPA)
Сервис «Репетам.ру»: поручение на обработку персональных данных (DPA)
Редакция от 8 сентября 2026 г.
1. Роли
1.1. Настоящее DPA применяется к учебным, организационным, коммуникационным, финансовым и иным данным, в отношении которых Преподаватель/Онлайн-школа самостоятельно определяет цели и состав обработки и выступает оператором («Оператор-заказчик»), а ИП Чернов Владислав Геннадьевич обрабатывает данные по его поручению (далее — «Обработчик»). Если Оператор-заказчик является Онлайн-школой, действия и документированные инструкции назначенных ею Администраторов школы в Сервисе в пределах предоставленных прав считаются действиями и инструкциями Оператора-заказчика.
1.2. DPA не применяется к регистрационным данным ученика, которые сам ученик вводит непосредственно на repetam.ru при переходе по invite-ссылке: в этой части ИП Чернов Владислав Геннадьевич самостоятельно определяет процесс сбора и выступает самостоятельным оператором. DPA также не применяется к данным собственного аккаунта, расчетов, безопасности, поддержки и иным самостоятельно определяемым целям.
2. Поручение
| Элемент | Содержание |
|---|---|
| Цели | Хостинг и техническая обработка данных Заказчика; ведение кабинетов; организация расписания и занятий; задания, ответы, проверки и учебная аналитика; хранение учебных материалов; обмен сообщениями; учет стоимости занятий, оплат, задолженности, скидок и пакетов; расчет финансовых показателей по инструкциям Заказчика; для Онлайн-школы — учет ставок преподавателей и расчет начислений/выплат; AI-функции по настройкам и документированным инструкциям Заказчика; резервное копирование; поддержка и безопасность. |
| Субъекты | Ученики, преподаватели и сотрудники Заказчика, включая назначенных Администраторов школы, иные лица — только в отношении данных, которые Заказчик или его сотрудники законно размещают/формируют в Сервисе в рамках поручения. Регистрационные данные ученика, введенные им самим по invite-ссылке, в предмет DPA не входят. |
| Данные | ФИО/имена и связанные минимально необходимые идентификаторы; контактные данные, если они законно переданы Заказчиком; сведения о связи ученика с преподавателем, группой и Онлайн-школой; расписание; задания, ответы, проверки, оценки, комментарии, заметки, прогресс, файлы и материалы; содержание сообщений; сведения о стоимости занятий, оплатах, задолженности, скидках и пакетах; для Онлайн-школы — ставки и условия работы преподавателей, сведения о рассчитанных начислениях и выплатах; иные данные, которые Заказчик законно размещает или формирует в пределах используемых функций. |
| Операции | Запись, систематизация, накопление, хранение, уточнение, извлечение, использование в функциях по инструкциям Заказчика, предоставление ролевого доступа, обезличивание, блокирование, удаление, уничтожение и резервное копирование. Самостоятельный сбор регистрационных данных ученика через invite-форму сюда не относится. |
| Срок | Срок действия основного договора, а после его прекращения — в течение 30 календарных дней для предоставления возможности выгрузки и завершения обработки, если основной договор не устанавливает иной срок. После этого активные порученные данные удаляются или возвращаются Заказчику; данные в резервных копиях уничтожаются в ходе установленного цикла ротации и до уничтожения не используются для новых целей. |
3. Обязанности Оператора-заказчика
- определять законные цели и не передавать избыточные данные;
- обеспечивать наличие законного основания для сбора и передачи данных в Сервис, для поручения соответствующих операций Обработчику и согласованным субобработчикам; информировать субъектов о такой обработке в случаях, предусмотренных законом;
- надлежащим образом информировать субъектов и получать согласия, когда они требуются;
- не поручать обработку специальных категорий/биометрии без отдельного согласованного процесса.
4. Обязанности Обработчика
- обрабатывать данные только по документированным законным инструкциям и для целей поручения;
- соблюдать конфиденциальность и ограничивать доступ уполномоченными лицами;
- соблюдать требования локализации и меры, предусмотренные ст. 18.1 и 19 Закона №152-ФЗ в применимой части;
- по запросу Заказчика в течение срока поручения, в том числе до начала соответствующей обработки, предоставлять документы и сведения, разумно необходимые для проверки соблюдения настоящего DPA, включая сведения о месте размещения основной базы данных, резервных копиях, субобработчиках и принятых мерах защиты, без раскрытия информации, создающей угрозу безопасности иных клиентов или Сервиса;
- содействовать выполнению законных запросов субъектов;
- удалять/возвращать данные после прекращения поручения с учетом закона и ротации резервных копий.
5. Требования к защите
Обработчик применяет ролевое разграничение доступа, защищенную передачу, управление секретами, журналирование административных действий, резервное копирование, актуализацию компонентов, контроль уязвимостей и восстановление после сбоев. Конкретные меры уточняются по фактической ИСПДн и уровню угроз.
6. Субобработчики
6.1. Субобработчик привлекается только после проверки необходимости, места обработки и договорных условий. На него возлагаются требования конфиденциальности, целей, состава обработки, локализации, безопасности и уведомления об инцидентах не слабее применимых требований настоящего DPA.
6.2. Если субобработчик получает персональные данные, Заказчик должен иметь предусмотренное законом основание для такого поручения. Актуальный перечень фактически используемых субобработчиков предоставляется Заказчику и субъектам в предусмотренных законом случаях.
6.3. Обработчик ведет актуальный перечень субобработчиков с указанием наименования, выполняемой функции, категорий передаваемых данных и места обработки. При изменении субобработчика, который получает порученные персональные данные, Обработчик уведомляет Заказчика способом, предусмотренным основным договором, до начала соответствующей передачи, если иной согласованный порядок не установлен Сторонами.
6.4. Обработчик несет перед Оператором-заказчиком ответственность за соблюдение привлеченным им субобработчиком условий соответствующего поручения в предусмотренном законом и договором объеме.
7. AI-провайдеры
До передачи персональных данных субъектов, входящих в предмет настоящего поручения, в AI-провайдер Обработчик проверяет, что фактический договор с провайдером допускает такую обработку и содержит необходимые условия поручения. Если соответствующие договорные условия и правовое основание не подтверждены, передача персональных данных такому AI-провайдеру не осуществляется. Допускается передача информации, которая в результате фактически выполненного обезличивания не позволяет определить принадлежность данных конкретному субъекту без использования дополнительной информации.
8. Инциденты
При выявлении неправомерной или случайной передачи, предоставления, распространения или доступа к порученным данным, а также при получении сведений, обоснованно указывающих на такой инцидент, Обработчик уведомляет Заказчика без неоправданной задержки и с целевым внутренним сроком не более 6 часов с момента выявления соответствующего события или получения таких сведений, чтобы Заказчик мог соблюсти обязательные сроки уведомления Роскомнадзора. Обработчик предоставляет известные обстоятельства и результаты расследования по мере их появления.
9. Запросы субъектов
Запрос, относящийся преимущественно к порученным данным, передается Заказчику без неоправданной задержки; Обработчик оказывает техническое содействие в поиске, выгрузке, блокировании, исправлении и удалении данных.
10. Ответственность
Заказчик отвечает за законность целей и оснований, Обработчик — перед Заказчиком за соблюдение обязанностей обработчика. Ответственность перед субъектами определяется императивными нормами закона и не может быть исключена договором.
11. Реквизиты
Обработчик: ИП Чернов Владислав Геннадьевич, ИНН 645324943246, ОГРНИП 326774600434512, адрес: г. Москва, пр-кт. Рязанский, д. 2/1, к. 2, кв. 31Д, e-mail: privacy@repetam.ru. Заказчик: сведения из основного договора/аккаунта.