Политика обработки персональных данных
Содержание
1. Общие положения
1.1. Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей сервиса «Тетрадка», размещённого по адресу mytetradka.ru (далее — «Сервис»).
1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и иными нормативными актами Российской Федерации.
1.3. Используя Сервис, пользователь подтверждает, что ознакомлен с условиями настоящей Политики.
2. Термины
- Владелец Сервиса — Галилов Максим Игоревич, самозанятый, реквизиты которого указаны в разделе 13. Владелец Сервиса технически администрирует Сервис и во всех случаях сам является оператором персональных данных только в отношении данных, перечисленных в разделе 3.1; в остальных случаях он выступает обработчиком по поручению того, кто в конкретной ситуации является оператором, — см. раздел 3.
- Оператор персональных данных — лицо, которое в значении 152-ФЗ самостоятельно или совместно с другими лицами определяет цели обработки персональных данных, состав данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. В Сервисе эта роль не закреплена постоянно за Владельцем Сервиса — она определяется по каждой категории данных отдельно, согласно таблице в разделе 3.
- Пользователь — преподаватель, ученик или родитель (законный представитель) ученика, зарегистрированный в Сервисе или использующий его публичные страницы (например, страницу онлайн-записи).
- Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу.
- Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без их использования.
3. Кто выступает оператором в отношении разных данных
| Данные | Оператор | Основание обработки |
|---|---|---|
| Учётная запись, контакты и настройки самого Преподавателя (в том числе если Преподавателем является физическое лицо — Владелец Сервиса, ведущее собственных учеников) | Владелец Сервиса | исполнение договора (Оферты) с Преподавателем |
| Карточка ученика, домашние задания, учебные материалы, учёт занятий и оплат — данные, которые Преподаватель вносит о своих учениках | Преподаватель | согласие ученика/родителя, полученное Преподавателем самостоятельно вне Сервиса; Владелец Сервиса — обработчик по поручению (раздел 3а «Условий для преподавателей») |
| Заявка на занятие через публичную страницу онлайн-записи Преподавателя | Преподаватель, которому адресована заявка | согласие заявителя, отмечаемое им в форме заявки; Владелец Сервиса принимает и передаёт заявку Преподавателю как обработчик |
| Техническая поддержка, обеспечение безопасности Сервиса (журналы, IP-адреса, обращения в поддержку) | Владелец Сервиса | законный интерес Владельца Сервиса в обеспечении работоспособности и защиты Сервиса, исполнение требований законодательства РФ |
В отношении персональных данных учеников и их родителей, которые Преподаватель самостоятельно вносит в Сервис для ведения своей репетиторской деятельности, оператором персональных данных является сам преподаватель — именно он определяет, чьи данные и с какой целью вносятся в систему, и обязан иметь для этого законные основания (согласие ученика/родителя, полученное преподавателем самостоятельно, вне Сервиса).
Если Владелец Сервиса сам выступает Преподавателем и ведёт собственных учеников, для данных этих учеников он является оператором именно в качестве преподавателя — на общих основаниях, а не в силу того, что он также администрирует Сервис.
4. Какие данные обрабатываются
4.1. Данные учётной записи преподавателя: фамилия, имя, логин, хэш пароля, часовой пояс, контакты для уведомлений (Telegram, VK), настройки уведомлений.
4.2. Данные об учениках, вносимые преподавателем: фамилия, имя ученика, имя родителя (законного представителя), телефон, e-mail, предмет и стоимость занятий, комментарии преподавателя, идентификаторы Telegram/VK для отправки напоминаний.
4.3. Данные, которые посетитель публичной страницы записи вводит самостоятельно при отправке заявки на занятие: фамилия, имя, имя родителя, возраст/класс, телефон, Telegram.
4.4. Данные о занятиях и учебном процессе: расписание, статус занятий, домашние задания, учебные материалы и файлы, оценки, история переписки внутри Сервиса.
4.5. Финансовые данные — это внутренний учёт занятий преподавателем (баланс, начисления, отметки об оплате), которые преподаватель вносит вручную. Сервис не является платёжной системой, не обрабатывает и не хранит данные банковских карт и не осуществляет переводы денежных средств.
4.6. Технические данные: IP-адрес, данные cookie сессии, журналы обращений к серверу — используются для обеспечения работоспособности и защиты Сервиса от злоупотреблений.
5. Цели, категории субъектов, данные, основания и сроки обработки
| Цель | Субъекты | Данные | Основание | Срок хранения |
|---|---|---|---|---|
| Регистрация и доступ к кабинету | Преподаватель, ученик | п. 4.1 | договор / согласие | до удаления учётной записи |
| Учебный процесс и внутренний финансовый учёт | Ученик, родитель | п. 4.2, 4.4, 4.5 | согласие, полученное Преподавателем | до удаления учётной записи учеником или Преподавателем |
| Напоминания в Telegram/VK | Преподаватель, ученик | идентификатор мессенджера | согласие (добровольное подключение) | до отключения интеграции |
| Заявка на онлайн-запись | Заявитель | п. 4.3 | согласие заявителя | отклонённая или неподтверждённая заявка — не дольше срока, необходимого для обработки; принятая — как данные ученика |
| Техподдержка | Преподаватель, ученик | содержание обращения, контакт | законный интерес / договор | на срок, необходимый для решения обращения |
| Безопасность Сервиса | Все пользователи | п. 4.6 | законный интерес / закон | ограниченный технический срок, необходимый для обеспечения защиты |
Получатели во всех строках таблицы — лица, перечисленные в разделе 8 настоящей Политики; вне этого перечня персональные данные третьим лицам не передаются.
6. Правовые основания обработки
Обработка осуществляется на основании согласия пользователя на обработку персональных данных, а также в целях исполнения Пользовательского соглашения и (в отношении преподавателей) «Условий для преподавателей», стороной которых является пользователь, — конкретное основание по каждой категории данных указано в таблице раздела 5.
7. Условия обработки данных
7.1. Обработка персональных данных осуществляется с использованием средств автоматизации и без использования таких средств.
7.2. Серверы, на которых хранятся и обрабатываются персональные данные, физически расположены на территории Российской Федерации. Исключение — технический сервер-посредник в Нидерландах, через который проходят уведомления в Telegram (раздел 9.2); данные на нём не хранятся.
7.3. Оператор (в значении раздела 3) не осуществляет продажу, аренду или иное распространение персональных данных третьим лицам в коммерческих целях.
8. Хранение, удаление и резервные копии
8.1. Удаление учётной записи учеником или Преподавателем удаляет связанные с ней персональные данные из действующей базы данных Сервиса, кроме сведений, хранение которых требуется законодательством Российской Федерации (например, для рассмотрения уже поданных обращений).
8.2. Отклонённая или не принятая Преподавателем заявка на онлайн-запись не переносится в дальнейший учебный учёт; данные такой заявки удаляются в срок, не превышающий разумно необходимый для её рассмотрения.
8.3. Неактивная учётная запись (без входа в течение длительного времени) не удаляется автоматически — удаление в этом случае производится по обращению самого пользователя, преподавателя (в отношении данных его ученика) или по запросу, направленному Владельцу Сервиса.
8.4. Резервные копии базы данных создаются для возможности восстановления Сервиса в случае сбоя и хранятся ограниченный технический срок, необходимый для этой цели; они не являются самостоятельным источником доступа к данным для целей, отличных от восстановления.
8.5. Обращения в техническую поддержку хранятся на срок, необходимый для решения вопроса и последующего разумного срока на случай повторного обращения по тому же вопросу.
8.6. Запрос субъекта персональных данных о его данных рассматривается в срок до 10 рабочих дней с возможностью продления в случаях, предусмотренных ст. 20 152-ФЗ. Отзыв согласия или запрос на удаление обрабатывается в срок, предусмотренный ст. 21 152-ФЗ для соответствующей ситуации.
9. Передача данных третьим лицам
9.1. Для обеспечения работы Сервиса Владелец Сервиса привлекает технических партнёров: хостинг-провайдеров (для размещения серверов на территории РФ и технического сервера-посредника в Нидерландах для доставки уведомлений в Telegram) и мессенджеры Telegram и VK (исключительно для доставки уведомлений, если пользователь или преподаватель подключил соответствующую интеграцию по собственной инициативе).
9.2. Подключение уведомлений в Telegram технически означает трансграничную передачу текста уведомления и технических идентификаторов получателя через инфраструктуру мессенджера Telegram; его серверная инфраструктура распределена и не ограничена территорией Российской Федерации. Поскольку доступ к Telegram на территории РФ ограничен, уведомления отправляются в Telegram через технический сервер-посредник, размещённый в Нидерландах (государство — сторона Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных): через него проходят текст уведомления и идентификатор получателя, на нём они не сохраняются. Подключение уведомлений в Telegram и VK может быть выполнено как самим субъектом персональных данных, так и преподавателем в его интересах (например, для ученика) и отключено в настройках в любой момент. Порядок уведомления Роскомнадзора о такой трансграничной передаче — раздел 5 Согласия на обработку персональных данных.
9.3. Владелец Сервиса может раскрыть персональные данные по законному требованию государственных органов Российской Федерации.
10. Меры по защите персональных данных
- соединение с Сервисом защищено протоколом HTTPS (TLS);
- наиболее чувствительные поля (в частности, содержимое личных комментариев и заметок) хранятся в базе данных в зашифрованном виде;
- доступ к данным ограничен: преподаватель видит только своих учеников, ученик — только свои данные и данные, относящиеся к его занятиям;
- пароли хранятся в виде необратимых хэшей и никогда не хранятся и не передаются в открытом виде;
- ведётся резервное копирование базы данных;
- применяется ограничение частоты запросов (rate limiting) для защиты от автоматизированных злоупотреблений.
11. Права субъекта персональных данных
Пользователь вправе: получить информацию, касающуюся обработки его персональных данных; требовать уточнения, блокирования или удаления своих персональных данных в случае, если они являются неполными, устаревшими, неточными или незаконно полученными; отозвать согласие на обработку персональных данных; обратиться с жалобой в Роскомнадзор (уполномоченный орган по защите прав субъектов персональных данных). Учётную запись и связанные с ней данные можно удалить самостоятельно в настройках Сервиса либо обратившись к преподавателю (для данных ученика) или Владельцу Сервиса по контактам, указанным в разделе 13.
12. Cookie и аналогичные технологии
Сервис использует только технический cookie-файл сессии, необходимый для авторизации пользователя, и локальное хранилище браузера (localStorage) для сохранения отдельных пользовательских настроек интерфейса (например, свёрнутых блоков или выбранной темы оформления). Сервис не использует сторонние рекламные или аналитические трекеры.
13. Заключительные положения и контакты
13.1. Владелец Сервиса вправе вносить изменения в настоящую Политику. Действующая редакция всегда доступна по адресу mytetradka.ru/legal/privacy. О существенных изменениях, требующих повторного подтверждения, пользователь узнаёт со страницы «Прежде чем продолжить», показываемой при первом входе после публикации новой редакции.
13.2. Владелец Сервиса: Галилов Максим Игоревич (самозанятый), ИНН 560104954290, г. Оренбург. Контактный адрес электронной почты для обращений по вопросам обработки персональных данных: maxim.galilov@yandex.ru. Почтовый адрес для письменных обращений публикуется дополнительно по мере готовности.