Политика обработки персональных данных

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет, какие персональные данные, в каких целях и как долго обрабатывает Индивидуальный предприниматель Фролов Егор Сергеевич (ОГРНИП 325730000057681, ИНН 732716265144; далее — «Оператор») на веб-сайте наукапросто.рф (далее — «Платформа»), а также как эти данные защищаются.

1.2. Политика относится ко всем персональным данным, которые Оператор получает от посетителей и пользователей Платформы: учеников, их родителей (законных представителей), репетиторов, а также гостей, подключающихся к занятию по ссылке без регистрации.

1.3. Политика является общедоступным документом и размещена по адресу https://наукапросто.рф/legal/PrivacyPolicy. Ссылка на неё есть на страницах, где Оператор собирает данные.

1.4. Согласие на обработку персональных данных оформляется отдельным документом («Согласие на обработку персональных данных») и не заменяется принятием оферты, пользовательского соглашения или этой Политики.

1.5. «Пользователь» — физическое лицо, зарегистрированное на Платформе. «Гость» — лицо, подключившееся к доске по ссылке без регистрации. «Заявка» — форма подбора репетитора на странице «Заявка на занятия».

2.1. Аккаунт и регистрация:

• адрес электронной почты;
• имя (или псевдоним);
• пароль — только в виде необратимого хэша;
• ступень обучения (класс);
• идентификатор входа через Google или VK, если вы выбрали такой вход;
• отметки о принятых документах и согласии родителя с датой и версией документа.

2.2. Профиль (заполняется по желанию): фотография, номер телефона, дата рождения, город, ссылки на социальные сети, цели обучения и любимые предметы. Для репетиторов — образование, специализация, опыт, описание и стиль преподавания.

2.3. Обучение и использование Платформы: записи на курсы, прогресс по урокам, результаты тренажёров, домашние работы и оценки, отзывы, достижения и звёзды, журнал действий, настройки уведомлений.

2.4. Общение: сообщения в чатах комнат и курсов, содержимое интерактивных досок (рисунки, тексты, загруженные изображения), сведения об участии в занятиях. Во время звонков звук и изображение передаются между участниками в реальном времени; Оператор не записывает их и не использует, чтобы установить личность человека.

2.5. Платежи: суммы и статусы платежей, идентификатор платежа в платёжном сервисе, адрес электронной почты для отправки кассового чека, рублёвый баланс и история операций. Данные банковской карты вводятся на стороне платёжного сервиса; Оператор их не получает и не хранит.

2.6. Заявка на подбор репетитора: имя и номер телефона родителя (законного представителя), имя и класс ребёнка, предметы и цель занятий, отметка о согласии с датой и версией документа.

2.7. Технические данные: IP-адрес, сведения о браузере и устройстве, время обращений; файлы cookie и локальное хранилище браузера, нужные для входа; сообщения об ошибках (идентификатор пользователя, адрес страницы, тип браузера); при включённых уведомлениях — адрес push-подписки браузера. Оператор не использует сервисы веб-аналитики и рекламные трекеры.

2.8. Гости: имя, которое гость указал при входе, и его действия на доске и в звонке.

2.9. Специальные категории персональных данных (здоровье, убеждения и т. п.) и биометрические данные Оператор не обрабатывает.

3.1. Оператор обрабатывает данные только для следующих целей и на следующих основаниях:

• регистрация, вход и ведение аккаунта, доступ к функциям Платформы (комнаты, доски, звонки, чаты, курсы, тренажёры, домашние задания) — исполнение договора, стороной которого является Пользователь (п. 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ);
• приём платежей, учёт баланса, выдача кассовых чеков, бухгалтерский и налоговый учёт — исполнение договора и требования закона (п. 2 и 5 ч. 1 ст. 6);
• служебные уведомления (подтверждение почты, сброс пароля, напоминания о занятиях и оплате) — исполнение договора;
• подбор репетитора по Заявке и передача его контактов репетиторам Платформы — согласие субъекта (п. 1 ч. 1 ст. 6, ст. 9);
• необязательные данные профиля (фото, контакты, цели) — согласие субъекта;
• push-уведомления — согласие, которое вы даёте в браузере;
• безопасность, защита от злоупотреблений, поиск и исправление ошибок — законные интересы Оператора (п. 7 ч. 1 ст. 6) при условии, что права субъекта не нарушаются;
• ответы на обращения и рассмотрение жалоб — исполнение договора и законные интересы Оператора;
• исполнение требований законодательства и запросов уполномоченных органов — п. 2 ч. 1 ст. 6.

3.2. Оператор не продаёт данные, не использует их для рекламы третьих лиц и не принимает решений, влекущих юридические последствия, исключительно на основании автоматизированной обработки.

4.1. Там, где согласие необходимо (Заявка, необязательные данные профиля), оно даётся отдельной отметкой, которая по умолчанию не проставлена. Оператор хранит подтверждение согласия: факт, время (по времени сервера) и версию документа.

4.2. Согласие можно отозвать в любой момент: направив обращение на адрес электронной почты Оператора или удалив аккаунт в настройках профиля. Отзыв не делает незаконной обработку, выполненную до отзыва.

4.3. Платформа предназначена в том числе для школьников. Данные ребёнка младше 14 лет обрабатываются с согласия родителя (законного представителя), и регистрацию за такого ребёнка выполняет родитель. Пользователь от 14 до 18 лет регистрируется с согласия родителя (законного представителя). Родитель вправе в любой момент запросить сведения о данных ребёнка, их уточнение или удаление (раздел 9).

4.4. Гостевая ссылка предназначена для тех, кого репетитор пригласил на занятие. Если гость младше 18 лет, приглашение и согласие на обработку его имени даёт родитель (законный представитель).

5.1. Обработка выполняется как с использованием средств автоматизации, так и без них. Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

5.2. Сроки хранения:

• данные аккаунта — пока аккаунт существует;
• заявка — 12 месяцев с даты подачи, если согласие не отозвано раньше;
• сведения о платежах и история операций — в течение сроков, установленных законодательством о бухгалтерском и налоговом учёте;
• сообщения об ошибках — не более 90 дней; служебные сигналы звонков — сутки; удалённые рисунки на досках — 30 дней, затем стираются;
• данные гостя — 30 дней после последнего посещения; отзыв ссылки закрывает доступ сразу;
• резервные копии — до плановой перезаписи, не дольше 90 дней; из копий удалённые данные не восстанавливаются и не используются.

5.3. Удаление аккаунта. Пользователь удаляет аккаунт сам в настройках профиля. Имя, почта, телефон, фото, профиль, карточка репетитора, уведомления, подписки на push и журнал действий стираются, вход отключается, аккаунт обезличивается — сразу после подтверждения удаления и не позднее 30 дней. Сообщения, отзывы, домашние работы и рисунки на досках, которые видят другие участники, остаются без указания личности (под именем «Удалённый пользователь»). Сведения о платежах хранятся по п. 5.2. Аккаунт можно удалить, если на рублёвом балансе ноль; остаток возвращается по обращению (раздел 9).

6.1. Оператор принимает правовые, организационные и технические меры, необходимые для защиты данных:

• разграничение доступа на уровне базы данных (политики Row Level Security): пользователь видит только те данные, на которые у него есть право;
• раздельные роли (ученик, репетитор, администратор) и ограничение круга лиц, допущенных к базам данных;
• передача данных по защищённому протоколу HTTPS;
• хранение паролей только в виде необратимых хэшей;
• серверы Платформы размещены у российского хостинг-провайдера;
• резервное копирование и проверка целостности копий;
• журналирование ошибок и контроль доступа к служебным функциям.

6.2. Ответственным за организацию обработки персональных данных является Оператор.

6.3. Об утечке персональных данных Оператор уведомит Роскомнадзор в сроки, установленные ч. 3.1 ст. 21 Федерального закона № 152-ФЗ, а затронутых лиц — в порядке, предусмотренном законом.

6.4. Оператор не отвечает за доступ третьих лиц к данным, произошедший по вине Пользователя (передача пароля, утрата устройства), если иное не установлено законом.

7.1. Оператор не продаёт персональные данные и не передаёт их для рекламы. Данные могут получать:

• хостинг-провайдер Timeweb (Российская Федерация) — размещение серверов Платформы и резервных копий;
• платёжный сервис ЮKassa (Российская Федерация) — приём платежей и оформление кассовых чеков; передаются сумма, идентификатор платежа и адрес электронной почты для чека;
• VK ID (Российская Федерация) — вход через VK по вашему выбору; передаётся идентификатор и данные профиля, которые вы разрешили;
• сервис отправки электронной почты — доставка служебных писем (получает адрес получателя и текст письма);
• репетиторы Платформы — данные ученика (имя, прогресс, сообщения, работы) видит репетитор, с которым он занимается, в пределах комнаты или курса; имя и телефон из Заявки — репетиторам Платформы при наличии согласия;
• другие участники комнаты — видят имя, аватар, сообщения и присутствие друг друга;
• государственные органы — по мотивированному запросу в порядке, установленном законом.

7.2. Трансграничная передача. Оператор хранит данные на серверах в Российской Федерации. За её пределы данные передаются только по инициативе самого пользователя: при входе через Google (Google LLC, США) — идентификатор аккаунта Google, имя, адрес почты и фото; при просмотре видеоуроков, размещённых на YouTube (Google LLC, США), — браузер обращается к сервису напрямую, и тот обрабатывает технические данные по собственным правилам. Видео на Rutube размещается в Российской Федерации. Иные данные в эти сервисы Оператор не передаёт.

7.3. С лицами, которым обработка поручена, Оператор заключает договоры, обязывающие соблюдать конфиденциальность и требования законодательства о персональных данных.

8.1. Платформа использует только технические файлы cookie и локальное хранилище браузера: для сохранения входа, состояния входа через VK и настроек интерфейса. Они необходимы для работы сайта и не используются ни для аналитики, ни для рекламы.

8.2. Push-уведомления включаются только с вашего разрешения в браузере и отключаются в его настройках.

9.1. Субъект персональных данных вправе получить сведения об обработке своих данных, потребовать их уточнения, блокирования или уничтожения, отозвать согласие, возразить против обработки, обжаловать действия Оператора в Роскомнадзор или в суд и требовать возмещения убытков.

9.2. Обращение направляется на адрес noreply@naukaprosto.su или письменно по адресу Оператора. Чтобы Оператор мог найти данные, укажите имя и адрес почты аккаунта. Законный представитель прикладывает документ, подтверждающий полномочия.

9.3. На обращение Оператор отвечает в течение 10 рабочих дней; этот срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением. При отзыве согласия обработка прекращается, а данные уничтожаются в течение 30 дней, если закон не требует их хранить.

9.4. Возврат остатка рублей с баланса, необходимый для удаления аккаунта, оформляется обращением на тот же адрес.

10.1. Оператор вправе изменять Политику. Новая редакция публикуется на этой странице с новой датой и действует с момента публикации; о существенных изменениях зарегистрированные пользователи уведомляются по электронной почте.

10.2. В остальном Оператор и Пользователь руководствуются законодательством Российской Федерации. Политика является неотъемлемой частью договора публичной оферты, размещённого по адресу https://наукапросто.рф/legal/PublicOffer.