Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки и меры защиты персональных данных пользователей сервиса «Занятник» (далее — «Сервис»), а также права субъектов персональных данных.

1.2. Оператор персональных данных — самозанятая Короткова Наталья Дмитриевна, ИНН 772775846428, зарегистрированная по адресу: г. Москва, пос. Коммунарка, ул. Александры Монаховой, д. 85, корп.1, кв. 342. Обработка персональных данных осуществляется на серверах Timeweb Cloud, расположенных в ЦОД на территории Российской Федерации.

1.3. Политика разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» и иными применимыми нормативными актами РФ.

1.4. Использование Сервиса означает согласие пользователя с настоящей Политикой.

2. Категории субъектов персональных данных и собираемые данные

2.1. Субъекты персональных данных: пользователи (учётные записи), клиенты (ученики и представители), сотрудники (преподаватели и персонал), заявители (заявки на пробные занятия).

2.2. Собираемые данные:

Пользователь (учётная запись): фамилия, имя, отчество (опц.), дата рождения (опц.), телефон (опц.), email, название организации (опц.).
Организация/филиал: наименование, ИНН/ОГРН (опц.), адрес, контакты, параметры расписания, справочники (дисциплины, помещения).
Персонал (Staff): должность, даты приёма/увольнения (опц.), фото (ссылка, опц.), bio (опц.), признак «контакт организации», специализация.
Клиенты (ученики/представители): фамилия, имя, отчество, дата рождения (опц.), телефон (опц.), статусы (ученик/представитель), служебные заметки, связи «представитель ученика».
Расписание/занятия: филиал, преподаватель, дисциплина/помещение (опц.), время начала/окончания, признак «пробное занятие», статус, комментарий.
Пробные занятия (заявки): ФИО, телефон, email, выбранная дисциплина, предпочтительное время, назначенный преподаватель (опц.), статус, комментарий, ссылка на занятие.
Финансы (программы, абонементы, счета, платежи): тарифы, статусы, суммы, валюты, даты, внешние идентификаторы (платёжные реквизиты карт не собираются и не хранятся).
Обращения и файлы: тип/статус, автор, текст, вложения (имя, MIME, размер).
Технические данные: IP‑адрес, HTTP‑метод/путь/статус/длительность, user_id (если авторизован), request_id, created_at/updated_at, created_by/updated_by, флаги мягкого удаления.

2.3. Сервис использует технические файлы cookie для обеспечения функционирования (поддержание сессии, аутентификация).

На информационных страницах сайта (лендинге) может использоваться сервис веб‑аналитики «Яндекс.Метрика», который может применять файлы cookie и (или) иные онлайн‑идентификаторы. Использование Метрики на лендинге осуществляется при наличии согласия пользователя (при его предоставлении через cookie‑баннер). Пользователь может отключить cookie в настройках браузера, однако это может повлиять на работоспособность отдельных функций сайта/Сервиса.

2.4. Сервис может обрабатывать персональные данные клиентов Организаций (учеников и их представителей) и иных лиц в рамках использования Сервиса Организацией.

3. Цели и правовые основания обработки

3.1. Обработка осуществляется для следующих целей:

создание и обслуживание учётных записей;
управление доступом и безопасность (RBAC, аудит, расследования инцидентов);
ведение данных организации, филиалов, справочников;
организация учебного процесса (расписание, занятия, посещаемость);
обработка заявок на пробные занятия;
финансовый учёт (тарифы, абонементы, счета, платежи, журналы операций);
обработка обращений пользователей;
отправка системных уведомлений по email, а также (при подключении пользователем соответствующего канала) через мессенджер Telegram.

3.2. Правовые основания:

п. 1 ч. 1 ст. 6 152-ФЗ — согласие субъекта персональных данных;
п. 2 ч. 1 ст. 6 152-ФЗ — исполнение договора;
п. 7 ч. 1 ст. 6 152-ФЗ — законные интересы Оператора.

3.3. В отношении персональных данных, обрабатываемых в Сервисе, действует следующее распределение обязанностей:

3.3.1. Оператор является самостоятельным оператором персональных данных пользователей (учётных записей), технических данных (IP-адреса, логи, аудит), а также данных, собираемых через формы регистрации и заявок на пробные занятия.

3.3.2. Организации, использующие Сервис, являются самостоятельными операторами персональных данных своих учеников, представителей, сотрудников и иных лиц, данные которых вносятся Организацией в Сервис. Организация обязана иметь собственную Политику обработки персональных данных, получать согласия субъектов и нести ответственность за соблюдение требований 152-ФЗ.

3.4. Обработка персональных данных осуществляется следующими способами: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, блокирование, удаление, уничтожение.

3.5. Для персональных данных клиентов Организации и иных лиц, обрабатываемых в Сервисе по поручению Организации, правовым основанием обработки для Оператора является поручение обработки, данное Организацией, и договор с Организацией, а также правовые основания, имеющиеся у Организации как оператора персональных данных.

4. Порядок и условия обработки

4.1. Согласие на обработку персональных данных даётся при регистрации, принятии приглашения или создании заявки на пробное занятие путём проставления обязательной отметки согласия. Дата и время согласия фиксируются в системе.

4.2. Отзыв согласия осуществляется путём направления обращения Оператору по адресу электронной почты, указанному в разделе 8 настоящей Политики, и/или через интерфейс Сервиса (форма обращения).

После отзыва согласия доступ к учётной записи и функционалу Сервиса блокируется до повторного предоставления согласия (повторного принятия актуальной редакции Политики), за исключением действий, необходимых для восстановления доступа и повторного предоставления согласия.

4.3. Корректировка данных: пользователь может изменять данные своего профиля в пределах доступных полей; иные данные редактируются уполномоченными ролями.

4.4. Удаление персональных данных осуществляется при достижении целей обработки, по обращению субъекта персональных данных или в иных случаях, предусмотренных законодательством РФ. Удаление (уничтожение) или обезличивание персональных данных производится в сроки и порядке, установленные законодательством РФ, при наличии правовых оснований и при отсутствии обязанностей по хранению таких данных; в иных случаях доступ к данным ограничивается.

4.5. Оператор обрабатывает персональные данные клиентов Организации и иных лиц, данные которых вносятся Организацией в Сервис, как лицо, осуществляющее обработку по поручению Организации. Организация самостоятельно определяет состав персональных данных, цели обработки и наличие правовых оснований (в том числе согласий субъектов персональных данных).

4.6. Организация может размещать в Сервисе Юридические документы Организации (политику конфиденциальности/обработки персональных данных, оферту/публичное предложение и иные документы) и публиковать их на публичных страницах по уникальной ссылке без авторизации. Организация обязана не размещать в таких документах избыточные персональные данные и несёт ответственность за их содержание.

5. Сроки хранения персональных данных

5.1. Сроки хранения персональных данных определяются целями обработки и требованиями законодательства РФ. Персональные данные хранятся не дольше, чем это необходимо для достижения целей обработки, если иной срок хранения не установлен законодательством РФ. Ниже приведены типовые сроки хранения по категориям данных:

токены подтверждения email/сброса пароля — действуют ограниченное время; по истечении срока действия токены становятся недействительными;
приглашения — 1 год после принятия/отзыва/истечения;
журналы доступа и аудита — 1 год;
заявки на пробные занятия — 1 год с момента закрытия;
обращения и вложения — 3 года с момента закрытия обращения;
расписание, записи на занятия, посещаемость, комментарии — 3 года с момента проведения занятия;
финансовые данные — 5 лет с момента операции/закрытия обязательства;
профили пользователей/клиентов/сотрудников — на период отношений и 1 год после прекращения (если не требуется более длительное хранение).

6. Меры защиты персональных данных

6.1. Применяемые меры:

шифрование при передаче (TLS/HTTPS);
хранение паролей в виде криптографических хэшей;
разграничение прав доступа (RBAC), изоляция по организации/филиалу;
аудит и трассировка (request_id, access‑логи, created_by/updated_by);
резервное копирование БД и файлов (организационно);
регламент уничтожения/обезличивания данных.
обеспечение физической защиты серверов в соответствии с требованиями законодательства.

6.2. Хранение данных осуществляется на серверах Timeweb Cloud в ЦОД на территории РФ. Используются: PostgreSQL (основные сущности), Redis + Celery (фоновые задачи), файловое хранилище (вложения), nginx (раздача файлов).

7. Передача данных третьим лицам и интеграции

7.1. Передача персональных данных третьим лицам может осуществляться в следующих случаях и объёме, необходимом для достижения целей обработки:

почтовому серверу/SMTP‑провайдеру — для отправки уведомлений (адрес получателя, содержание письма/уведомления, ссылки и токены в составе уведомлений);
платёжным провайдерам (платёжным шлюзам) — для приёма онлайн‑оплаты. При этом платёжные реквизиты банковских карт Сервисом не собираются и не хранятся; ввод платёжных данных осуществляется на стороне платёжного провайдера. Сервис может передавать провайдеру сведения, необходимые для формирования платежа (например, сумму, назначение/описание, идентификаторы операции и технические параметры возврата);
мессенджеру Telegram (в случае подключения пользователем уведомлений через Telegram) — для доставки уведомлений пользователю и привязки идентификатора чата (chat_id). Подключая уведомления через Telegram, пользователь выражает согласие на такую передачу в объёме, необходимом для доставки уведомлений;
сервису Yandex SmartCaptcha — для защиты публичных форм от автоматизированных отправок (в рамках проверки одноразового токена капчи могут обрабатываться технические данные, включая IP‑адрес).

7.2. Интеграции с вебинарами и SMS‑провайдерами в текущей версии Сервиса отсутствуют.

7.3. На информационных страницах сайта (лендинге) используется сервис веб‑аналитики «Яндекс.Метрика» (ООО «ЯНДЕКС») для анализа посещаемости и улучшения качества сайта. В интерфейсе Сервиса (CRM) Яндекс.Метрика не используется.

7.4. Все базы данных размещаются на территории РФ.

При использовании пользователем сторонних сервисов (в частности, Telegram) передача персональных данных может осуществляться с использованием инфраструктуры, находящейся за пределами РФ (трансграничная передача), в объёме, необходимом для доставки уведомлений.

8. Права субъекта персональных данных

8.1. Пользователь вправе:

запросить сведения об обработке своих данных;
требовать уточнения, блокирования, удаления или обезличивания своих данных;
отозвать согласие;
подать жалобу в уполномоченный орган по защите прав субъектов персональных данных.

8.2. Запросы направляются по адресу vovka.steel911@mail.ru или через интерфейс Сервиса. Срок ответа — не более 10 рабочих дней с даты получения запроса. При необходимости срок может быть продлён до 30 дней с обязательным уведомлением субъекта о причинах продления.

9. Заключительные положения

9.1. Политика может быть изменена Оператором. Новая редакция публикуется по адресу /privacy-policy/.

9.2. Изменения вступают в силу с момента публикации, если иное не предусмотрено новой редакцией.