Политика обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки и защиты персональных данных Лоскутова Дарья Сергеевна (далее — «Оператор») при оказании репетиторских услуг и использовании сайта https://daria-ege.ru/, включая личный кабинет Ученика.

Оператор применяет налог на профессиональный доход. ИНН: 591151333974. Контакт по вопросам персональных данных: daria-egesoc@yandex.ru.

Политика применяется к данным, которые Оператор получает непосредственно от субъектов, в рамках договора, при использовании сайта/кабинета и в согласованных каналах связи.

2. Категории субъектов и обрабатываемые данные

Ученики: логин, внутренний идентификатор аккаунта, хэш пароля, данные сессий, технические журналы, IP-адрес и user-agent в необходимом объёме, ответы на задания, результаты тестов, прогресс, файлы домашних работ, комментарии и сообщения в рамках обучения.

Заказчики услуг (в том числе родители или иные законные представители несовершеннолетних учеников): отображаемое имя/ник, идентификатор аккаунта в Telegram или ВКонтакте, содержание переписки по вопросам договора и обучения, добровольно сообщённые контактные сведения, сведения о выбранных услугах, факте/дате/сумме оплаты и сведения, необходимые для формирования и направления чека.

Посетители сайта: IP-адрес, user-agent, дата и время запроса, технические идентификаторы сессии, URL/тип запроса, данные об ошибках и событиях безопасности в минимально необходимом объёме.

В обязательном профиле Ученика не запрашиваются ФИО, дата рождения, адрес проживания, телефон, e-mail, паспортные данные или данные родителей. Если субъект сам сообщает дополнительные сведения в переписке или домашней работе, они обрабатываются только в объёме, необходимом для соответствующей цели.

3. Цели и правовые основания обработки

Заключение и исполнение договора, согласование условий обучения, проведение занятий, предоставление доступа к личному кабинету, проверка заданий, обратная связь и сопровождение Ученика — обработка необходима для заключения и исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект персональных данных.

Приём оплаты, формирование и направление чеков, выполнение налоговых и иных обязанностей — обработка необходима для выполнения обязанностей, установленных законодательством Российской Федерации.

Обеспечение работоспособности и безопасности сайта, предотвращение несанкционированного доступа, расследование ошибок и инцидентов — обработка осуществляется в объёме, необходимом для исполнения договора и/или осуществления прав и законных интересов Оператора при условии, что не нарушаются права и свободы субъектов.

Если для отдельной цели требуется согласие субъекта, такая операция начинается только после получения отдельного согласия. Публикация идентифицируемых отзывов, фотографий, результатов или переписки в текущую обязательную схему не входит.

4. Действия с данными и способ обработки

Оператор может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление доступа в предусмотренных законом случаях, блокирование, удаление и уничтожение персональных данных.

Обработка является автоматизированной. Для работы сайта и личного кабинета используется передача данных по сети Интернет.

5. Место хранения и используемые сервисы

Основная база личного кабинета и файлы домашних заданий размещаются в Российской Федерации на серверной инфраструктуре АО «Селектел» (ИНН 7810962785). Текущая локация проекта — Москва, зона ru-7a; сервер и PostgreSQL находятся в РФ.

Для электронной почты Оператор использует адрес на сервисе Яндекс. Для переписки по инициативе/выбору Заказчика или Ученика могут использоваться Telegram и ВКонтакте. Оператор не загружает базу личного кабинета целиком в мессенджеры и использует переписку только для договорных и учебных целей.

Необязательная веб-аналитика (включая Яндекс Метрику) на момент этой редакции не используется. Перед её включением Оператор отдельно оценивает правовые основания, обновляет Политику и интерфейс сайта при необходимости.

6. Cookies и технические данные

Сайт может использовать технические cookies и идентификаторы сессии, необходимые для авторизации, безопасности и сохранения состояния пользовательской сессии. Они не используются для рекламного профилирования.

Если в будущем будут подключены необязательные аналитические или рекламные cookies, их использование будет отдельно отражено в документах и интерфейсе сайта до начала такой обработки.

7. Сроки хранения

Данные личного кабинета, учебный прогресс, домашние работы и комментарии хранятся в течение периода обучения и, как правило, до 1 года после его завершения, если более длительное хранение не требуется для разрешения спора или исполнения закона.

Переписка и сведения, подтверждающие условия договора/расчёты, могут храниться в пределах срока, необходимого для исполнения договора, защиты прав сторон и выполнения обязательных требований законодательства; после отпадения оснований данные удаляются или обезличиваются.

Технические журналы безопасности хранятся до 12 месяцев, если более длительный срок не требуется для расследования конкретного инцидента.

Автоматическое резервное копирование на момент этой редакции не заявляется как действующая мера. После его внедрения срок ротации и удаления копий устанавливается и отражается в актуальной документации.

8. Несовершеннолетние ученики

Оператор не собирает дату рождения и не требует регистрации родителя в личном кабинете. Если родитель или иной законный представитель является Заказчиком, его данные обрабатываются отдельно в объёме, необходимом для договора, расчётов и коммуникации.

Данные несовершеннолетнего Ученика в личном кабинете обрабатываются в объёме, необходимом для оказания приобретённых для него услуг. Оператор не включает в Оферту условие о согласии на обработку данных несовершеннолетнего и не использует акцепт Оферты как универсальное согласие на любые операции с персональными данными.

9. Защита персональных данных

Оператор ограничивает административный доступ к серверу и базе данных; технический доступ имеет только Оператор. Используются разграничение доступа, хэширование паролей Argon2id, серверные сессии, SSH для администрирования, обновление программного обеспечения, журналирование значимых событий и сетевое ограничение доступа к внутренним сервисам.

База PostgreSQL не предназначена для прямого публичного доступа из сети Интернет. Реальные пользовательские аккаунты допускаются к работе после настройки защищённого соединения HTTPS/TLS и проверки прав доступа к файлам домашних заданий.

Оператор оценивает потенциальный вред, принимает организационные и технические меры, предусматривает порядок реагирования на инциденты, блокирования, удаления и уничтожения данных.

10. Права субъекта персональных данных

Субъект персональных данных или его представитель вправе запрашивать сведения об обработке, требовать уточнения, блокирования или уничтожения данных в предусмотренных законом случаях, требовать прекращения обработки, если применимо, и обжаловать действия Оператора.

Обращения направляются на daria-egesoc@yandex.ru. Для предотвращения выдачи данных постороннему лицу Оператор может запросить минимальные сведения, достаточные для подтверждения личности заявителя и его связи с соответствующим договором или аккаунтом.

11. Инциденты и прекращение обработки

При выявлении неправомерной обработки Оператор действует в сроки и порядке, предусмотренных законодательством. При инциденте, повлекшем нарушение прав субъектов персональных данных, Оператор уведомляет Роскомнадзор в предусмотренные законом сроки.

После достижения цели обработки и при отсутствии иного законного основания персональные данные прекращают обрабатываться и уничтожаются/обезличиваются в установленном порядке.

12. Изменение Политики

Политика обновляется при изменении фактических процессов обработки, законодательства или используемой инфраструктуры. Актуальная редакция публикуется на сайте.

Контакт Оператора по вопросам персональных данных: daria-egesoc@yandex.ru.