Политика обработки персональных данных

Версия 1.0 · 19 августа 2026 г.

1. Общие положения

Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»), Постановлением Правительства РФ от 01.11.2012 № 1119 и иными нормативными правовыми актами в области защиты персональных данных.

Политика определяет порядок и условия обработки Оператором персональных данных пользователей информационной системы «Smart Lyceum» (далее — «Сервис»), эксплуатируемой на сайте smart-lyceum.ru, включая Telegram-бота, Mini App и MAX-бота.

Настоящая Политика применяется ко всем персональным данным, которые Оператор может получить о пользователе (ученике, учителе, наставнике, родителе) во время использования Сервиса.

2. Основные понятия

  • Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
  • Оператор — организация, самостоятельно или совместно с другими лицами организующая и осуществляющая обработку персональных данных.
  • Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без них.
  • Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.
  • Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.
  • Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или кругу лиц.
  • Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных).
  • Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе.
  • Обезличивание — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.
  • Субъект персональных данных — пользователь Сервиса: ученик, учитель, наставник или родитель (законный представитель).

3. Оператор

Оператором, обрабатывающим персональные данные, является:

[Полное наименование образовательной организации]
ИНН: [ИНН] · ОГРН: [ОГРН]
Адрес: [Юридический адрес]
Сайт: smart-lyceum.ru

Ответственный за организацию обработки персональных данных: [ФИО, должность], контактный адрес электронной почты: [e-mail].

Сведения о месте нахождения информационной системы и мерах её защиты могут быть предоставлены Оператором по запросу уполномоченных органов в установленном порядке.

4. Правовые основания обработки

Обработка персональных данных осуществляется на основании и во исполнение:

  • Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
  • Федерального закона от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации»;
  • согласия субъекта персональных данных (законного представителя несовершеннолетнего) на обработку персональных данных;
  • договоров и соглашений, стороной которого является субъект персональных данных;
  • иных нормативных правовых актов Российской Федерации.

Согласие на обработку персональных данных предоставляется свободно, своей волей и в своём интересе, в том числе при использовании функциональности Сервиса (текст Согласия размещён по адресу /consent).

5. Состав обрабатываемых персональных данных

Оператор обрабатывает следующие персональные данные пользователей:

  • фамилия, имя, отчество;
  • номер мобильного телефона;
  • идентификаторы аккаунтов в мессенджерах Telegram и MAX;
  • класс (параллель) обучения, данные об учителе;
  • СНИЛС (в виде bcrypt-хэша и детерминированного HMAC-SHA256-хэша для проверки принадлежности — в открытом виде не хранится);
  • сведения об олимпиадных достижениях и статусах участия в олимпиадах;
  • сведения о задачах, привычках, записях личного календаря, питомце и рейтингах;
  • сведения о родительских связях и связях «ученик — родитель»;
  • обращения и отзывы, направленные через форму обратной связи;
  • технические сведения: IP-адрес, данные об устройстве, время и характер запросов (обрабатываются в обезличенном виде для защиты и анализа работы Сервиса).

6. Цели обработки персональных данных

Персональные данные обрабатываются для:

  • предоставления доступа к функциям Сервиса (расписание, трекер олимпиад, канбан, привычки, питомец, семейный модуль);
  • идентификации и аутентификации пользователя при входе в Сервис через Telegram или MAX;
  • формирования расписания занятий и направлений уведомлений;
  • учёта олимпиадных достижений и построения рейтингов;
  • организации связи «ученик — родитель (законный представитель)»;
  • обработки обращений и обратной связи;
  • обеспечения информационной безопасности и защиты от несанкционированного доступа;
  • исполнения требований законодательства Российской Федерации.

7. Порядок и условия обработки

Обработка персональных данных осуществляется с использованием средств автоматизации (информационная система на базе серверов Оператора) и без них.

Оператор не раскрывает персональные данные третьим лицам и не распространяет их, за исключением случаев, предусмотренных законодательством Российской Федерации.

Доступ к персональным данным предоставляется только сотрудникам Оператора, чьи должностные обязанности связаны с обработкой таких данных, в объёме, необходимом для выполнения служебных обязанностей.

Обработка персональных данных привлекаемыми Оператором лицами (провайдерами хостинга, облачных сервисов) осуществляется на основании договоров и поручений на обработку персональных данных, содержащих обязательство о конфиденциальности.

Оператор не осуществляет трансграничную передачу персональных данных.

Персональные данные не используются для принятия решений, порождающих юридические последствия, на основании исключительно автоматизированной обработки, если иное не установлено законодательством.

8. Сроки обработки и хранения

Сроки обработки и хранения персональных данных определяются целями обработки, требованиями законодательства и Положением о хранении персональных данных (/policy/storage).

Общий принцип: персональные данные хранятся не дольше, чем этого требуют цели обработки, и уничтожаются либо обезличиваются по их достижении либо при отзыве согласия, если иное не предусмотрено законом.

При прекращении пользования Сервисом или по достижении целей обработки персональные данные уничтожаются либо обезличиваются в порядке, установленном Оператором.

9. Меры по обеспечению безопасности

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, в том числе:

  • назначение ответственного за организацию обработки персональных данных;
  • ограничение состава сотрудников, имеющих доступ к персональным данным;
  • применение средств защиты информации, шифрования каналов передачи данных (TLS);
  • хранение СНИЛС только в виде bcrypt- и HMAC-хэшей без возможности восстановления исходного значения;
  • хранение токенов доступа в виде SHA-256-хэшей;
  • разграничение прав доступа к данным на основе ролей пользователей (ученик, учитель, наставник, администратор, родитель);
  • резервное копирование баз данных и контроль целостности;
  • журналирование событий доступа и их контроль;
  • проведение внутреннего контроля и регулярного анализа защищённости информационной системы.

10. Права субъекта персональных данных

Субъект персональных данных (законный представитель несовершеннолетнего) вправе:

  • получать сведения об обработке его персональных данных Оператором;
  • требовать уточнения, блокирования или уничтожения персональных данных в случае их неполноты, устаревшее, неточности, незаконности обработки;
  • отозвать согласие на обработку персональных данных;
  • обжаловать действия (бездействие) Оператора в уполномоченном органе по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
  • осуществлять иные права, предусмотренные 152-ФЗ.

Запросы о реализации прав направляются Оператору в письменной форме на адрес, указанный в разделе 3 настоящей Политики. Оператор обязан рассмотреть запрос и дать мотивированный ответ в срок, не превышающий 10 рабочих дней с момента получения запроса (если иной срок не установлен законом).

11. Заключительные положения

Настоящая Политика является общедоступным документом и подлежит опубликованию на сайте smart-lyceum.ru.

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция Политики размещается на сайте Оператора.

Вопросы, не урегулированные настоящей Политикой, регулируются законодательством Российской Федерации о персональных данных.