ИП открывает онлайн-курсы: платформа GetCourse, Telegram-бот и рассрочка через банк. Кто оператор и где должны быть согласия?

Question

Accepted Answer

Оператор данных учеников — ИП, платформа работает по его поручению, банк — самостоятельный оператор, а согласия нужны в трёх местах: на рассылки, на передачу в банк и на публикацию результатов. Цели обработки (обучение, продажи, рассылки) определяет ИП, поэтому он оператор (п. 2 ст. 3 152-ФЗ) и подаёт уведомление в РКН с указанием платформы как лица, обрабатывающего данные по поручению, и места нахождения её базы (п. 10.1, 10.2 ч. 3 ст. 22; Q134). GetCourse — российская платформа, но условия поручения (перечень данных, действий, конфиденциальность, локализация, уведомление об инцидентах по ч. 3 ст. 6) нужно найти в её оферте, а не предполагать; ответственность перед учениками за платформу несёт ИП (ч. 5 ст. 6). Данные, нужные для доступа к курсу и оплаты (имя, почта, телефон), обрабатываются по договору-оферте (п. 5 ч. 1 ст. 6) без согласия, но оферта не заменяет согласие на рекламные рассылки и прогревы: на них нужно отдельное согласие по ч. 1 ст. 15 152-ФЗ и ст. 18 38-ФЗ, оформленное отдельным документом или отдельной отметкой (ч. 1 ст. 9; Q04, Q05). Telegram-бот — иностранный сервис. Сбор заявок ботом безопаснее строить так, чтобы данные сразу уходили в российскую базу (CRM, платформа), а бот не был единственным местом хранения (ч. 5 ст. 18; Q144); остаточный риск остаётся, потому что официальной позиции РКН о Telegram-ботах не найдено. Надёжнее собирать данные на своём сайте или в WebApp, а в боте оставлять только ссылку на форму (такой вариант предлагает обзор Workspace, первоисточник не проверен). В первом сообщении бот даёт ссылку на политику и отдельную кнопку согласия на рассылку с фиксацией даты и идентификатора; собирать ботом паспорта и данные о здоровье нельзя. Идентификатор Telegram и имя пользователя — персональные данные, они включаются в перечень в политике и уведомлении. Рассрочка через банк. Если ученик заключает кредитный договор с банком, банк сам определяет цели и становится оператором; ИП передаёт ему данные ученика для заключения договора по инициативе самого ученика (п. 5 ч. 1 ст. 6), но передача третьему лицу должна быть описана в политике, а в форме заявки ученик должен видеть, что данные уходят в конкретный банк. Если ИП передаёт банку данные до того, как ученик обратился за рассрочкой (например, для предодобрения), это уже передача без основания, и нужно согласие. Банк, получив данные, применяет свои требования, включая 115-ФЗ, и ИП за них не отвечает. Если ИП сам предоставляет «внутреннюю рассрочку» без банка, никакой передачи нет, но появляется учёт задолженности, и срок хранения данных привязывается к сроку исковой давности. Требования закона: уведомление с указанием платформы, бота и банка как получателей; политика на лендинге, в кабинете и в боте; отдельные согласия на рассылки и на публикацию отзывов и результатов (ст. 10.1); договор поручения с платформой; база только в России. Практические рекомендации: единая таблица потоков данных «лендинг — бот — платформа — банк — почтовый сервис»; автоудаление данных неоплативших лидов через установленный срок; в договоре с банком — порядок передачи только по заявке ученика; запись вебинаров с участниками в кадре публиковать только с согласия.

ИП открывает онлайн-курсы: платформа GetCourse, Telegram-бот и рассрочка через банк. Кто оператор и где должны быть согласия?

Смежные вопросы

Другие вопросы раздела «Малый бизнес и ИП»

Не нашли свой случай?