GDPR и данные экзаменов

TrustExam предоставляет Integrity Tech Inc., компания, зарегистрированная в штате Делавэр, США, по адресу 320 High St, Palo Alto, CA 94301, USA. На этой странице описаны наш подход к экзаменационным данным и требования GDPR, которые необходимо учесть при подготовке экзаменационной программы в Европейском союзе или Европейской экономической зоне (ЕС/ЕЭЗ).

Страница дополняет Политику конфиденциальности сайта. Организатор экзамена должен предоставить уведомление о фактической обработке данных в своей программе. Этот обзор не заменяет такое уведомление, подписанное соглашение об обработке данных или оценку конкретного внедрения.

1. Кто отвечает за данные экзамена?

Организация, определяющая цели и порядок проведения экзамена, как правило, является контролёром данных этой программы. Когда TrustExam обрабатывает экзаменационные данные от её имени и по документированным инструкциям, TrustExam выступает обработчиком данных. Роли зависят от фактической обработки, а не только от формулировок договора.

Integrity Tech Inc. отдельно определяет порядок обработки обращений через этот сайт. Эта деятельность описана в Политике конфиденциальности сайта.

2. Какие данные могут обрабатываться?

В зависимости от включённых модулей экзамен может включать обработку идентификаторов участника и сессии, ответов или отправленного кода, фотографий для проверки личности, записей камеры или экрана, технических событий, сигналов прокторинга и отчётов проверки. Конкретный состав зависит от программы и её настроек: не каждый экзамен использует все функции.

До сбора данных организатору необходимо объяснить цели, включённые проверки, получателей данных, сроки или критерии хранения и доступные права. Следует собирать только необходимые для заявленной цели данные и ограничивать доступ кругом лиц, которым он нужен. Программы с участием детей или особыми потребностями доступности требуют отдельной оценки.

3. Правовое основание и проверка личности

Если применяется GDPR, контролёр должен определить подходящее правовое основание по статье 6 для каждой цели. Принятие правил экзамена не означает автоматически действительного согласия на любой вид обработки. Если основанием служит согласие, оно должно отвечать требованиям GDPR и допускать отзыв.

Фотография сама по себе не обязательно является биометрическими данными специальной категории. Если техническая обработка использует биометрические данные для уникальной идентификации человека, дополнительно необходимо применимое условие по статье 9. До включения проверки личности следует оценить её необходимость, соразмерность и доступные альтернативы.

4. ИИ, сигналы прокторинга и решения

TrustExam использует записи экзаменов, фотографии участников и ответы для проведения и проверки экзамена. Мы не используем их для обучения собственных или сторонних ИИ-моделей.

Автоматические проверки могут отмечать события или прерывать попытку в соответствии с настройками экзамена. Один сигнал не следует считать окончательным выводом о нарушении. Организатору необходимо определить содержательную проверку и порядок апелляции, включая возможность участника объяснить событие.

Если исключительно автоматизированное решение имеет юридические или сопоставимые существенные последствия, необходимо оценить ограничения и гарантии статьи 22 GDPR. Когда требуется участие человека, проверка должна быть содержательной. Техническая возможность выставить оценку или заблокировать попытку сама по себе не создаёт правового основания для решения.

5. Хранение и удаление

Сроки хранения записей экзаменов и отчётов устанавливаются договором с заказчиком. Для внедрения в ЕС/ЕЭЗ график хранения должен определять категории данных, срок или объективные критерии хранения, начало его отсчёта, обоснованные требования для апелляций или соблюдения закона, а также порядок удаления или возврата, включая обращение с резервными копиями.

Договорные сроки должны соответствовать применимому праву и цели обработки. Договор не является основанием для бессрочного хранения персональных данных. Обращения через сайт регулируются отдельной Политикой конфиденциальности сайта.

6. Ваши права и порядок обращения

Если применяется GDPR, у вас могут быть права на доступ и исправление данных, запрос удаления или ограничения обработки, возражение против обработки и переносимость данных при соблюдении соответствующих условий. Если обработка основана на согласии, его можно отозвать без влияния на правомерность предшествующей обработки. Также можно подать жалобу в компетентный орган по защите данных.

По вопросам экзаменационных данных обратитесь к организатору, указанному в уведомлении об экзамене. Также можно написать на info@trustexam.ai, чтобы уточнить нужный контакт. Укажите организатора, примерную дату экзамена и суть обращения. Не отправляйте копии удостоверений личности, пароли или записи экзамена в первом письме. Необходимую проверку личности следует проводить по подходящему каналу.

Ответственный контролёр должен ответить без неоправданной задержки, обычно в течение одного месяца. GDPR допускает продление ещё на два месяца, если это необходимо из-за сложности или количества запросов, с уведомлением о причинах в течение первого месяца. Права действуют с учётом предусмотренных условий и исключений. Оспаривание результата экзамена — отдельная процедура по правилам организатора.

7. Соглашение об обработке данных и безопасность

До внедрения в ЕС/ЕЭЗ сторонам необходимо заключить подходящее обязательное соглашение об обработке данных (DPA). Оно должно охватывать инструкции, конфиденциальность, безопасность, субобработчиков, содействие по запросам о правах и инцидентам, удаление или возврат данных и информацию для аудита. Шаблон необходимо заполнить для конкретной услуги и согласовать сторонам.

При подготовке внедрения следует документировать размещение данных и доступ к ним, уполномоченных сотрудников, технические и организационные меры и участвующих субобработчиков. Для получения информации, необходимой для закупки и проверки безопасности, напишите на info@trustexam.ai. Эта страница не подтверждает сертификацию безопасности или завершённую оценку соответствия GDPR.

8. Международная передача данных

Для планируемого внедрения необходимо учитывать страны хранения, резервного копирования, доступа службы поддержки и работы субобработчиков. Размещение данных в ЕС/ЕЭЗ само по себе не решает все вопросы доступа или передачи из других стран.

Когда применяются правила GDPR о передаче, необходимо действительное основание: например, применимое решение об адекватности или надлежащие гарантии. Стандартные договорные положения (SCC) могут подходить при соблюдении условий их применения, необходимой оценке и дополнительных мерах, если они требуются. Механизм должен соответствовать реальным сторонам и потокам данных. Эта страница не включает SCC в договор и не означает их подписание.

9. Подготовка программы в ЕС/ЕЭЗ

До запуска организатору и TrustExam необходимо согласовать потоки данных, правовые основания, уведомление участников, график хранения, DPA, безопасность и международные передачи. Оценка воздействия на защиту данных (DPIA) требуется, если обработка с высокой вероятностью создаёт высокий риск для прав и свобод людей.

Необходимость специалиста по защите данных (DPO), а для организации вне ЕС — представителя в ЕС, следует оценить по статьям 37 и 27 GDPR соответственно. Это разные роли. На этой странице указан общий контакт по вопросам конфиденциальности; назначенный DPO или представитель в ЕС здесь не указан.

10. Контакты и официальные материалы

Вопросы о конфиденциальности и внедрении: info@trustexam.ai. Integrity Tech Inc., 320 High St, Palo Alto, CA 94301, USA.

Дополнительные материалы: официальный текст GDPR, руководство EDPB о правах человека в отношении его данных и материалы Европейской комиссии о стандартных договорных положениях.

Связанные документы: Политика конфиденциальности сайта и Условия использования сайта.