Политика конфиденциальности

1. Общие положения

Настоящая Политика конфиденциальности (далее — Политика) определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые в информационной системе «StudyRoom» (далее — Система).

Оператором персональных данных является:
Плакан Максим Евгеньевич — физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход» (самозанятый), ИНН: 550316634400, контактный e-mail: plakanm@mail.ru (далее — Оператор).

Сведения об адресе и иные установленные законом реквизиты Оператора предоставляются субъекту персональных данных по его запросу, направленному на указанный адрес электронной почты, в порядке ст. 14 Федерального закона от 27.07.2006 № 152-ФЗ.

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными нормативными правовыми актами Российской Федерации в области защиты персональных данных.

Доступ к Системе предоставляется привлечённым специалистам (репетиторам, тимлидам) по учётным данным, создаваемым Оператором, а ученикам и их законным представителям — по персональной разовой ссылке-приглашению. Свободная публичная регистрация без приглашения не предусмотрена.

2. Термины и правовой статус

• Персональные данные (ПД) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПД).
• Обработка ПД — любое действие (операция) или совокупность действий с ПД, совершаемых с использованием средств автоматизации или без них.
• Субъекты ПД — физические лица, чьи данные обрабатываются в Системе: привлечённые специалисты (репетиторы, тимлиды), ученики, а также их родители (законные представители).
• Пользователь — субъект ПД, прошедший аутентификацию в Системе под своей учётной записью (сотрудник, ученик или родитель).

3. Категории субъектов и состав обрабатываемых данных

3.1. Сотрудники и привлечённые специалисты (репетиторы, тимлиды, администраторы)

• фамилия, имя (отображаемое имя);
• логин и пароль (пароль хранится исключительно в виде криптографического хеша);
• роль в Системе и привязка к филиалу (команде);
• идентификатор в Telegram (при привязке бота для уведомлений);
• данные о занятиях: расписание, статус проведения, ставки, начисления и журнал выплат;
• технический журнал действий в Системе (аудит-лог).

3.2. Ученики

• фамилия, имя (отображаемое имя ученика);
• класс обучения, изучаемые предметы, цели занятий;
• учётные данные кабинета: логин, хеш пароля, адрес электронной почты;
• расписание занятий, отметки о посещаемости, успеваемость и учебные материалы;
• тексты домашних заданий, прикреплённые решения, комментарии и оценки;
• сообщения во встроенном чате кабинета с преподавателем;
• технические данные: дата и время входов, IP-адрес при авторизации.

3.3. Родители (законные представители) учеников

• фамилия, имя законного представителя;
• контактные данные: логин кабинета, хеш пароля, адрес электронной почты, контактные заметки;
• сведения о привязке к карточке ученика;
• история начислений за обучение, сведения о произведённых оплатах и задолженности;
• сообщения во встроенном чате с преподавателем и обращения в поддержку;
• технические данные: история входов, IP-адрес при авторизации.

4. Цели обработки

• предоставление Пользователям доступа к функционалу Системы и личного кабинета;
• организация учебного процесса: планирование расписания, проведение занятий, контроль успеваемости;
• взаимодействие с родителями: предоставление отчётов, информирование о расписании и оплатах;
• ведение взаиморасчётов за услуги обучения и вознаграждения преподавателей;
• подготовка учебных материалов, черновиков отчётов и методических заданий (в том числе с применением сервисов автоматической генерации текстов);
• обеспечение информационной безопасности и предотвращение несанкционированного доступа;
• исполнение требований законодательства РФ.

5. Правовые основания обработки

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• гражданско-правовые договоры, заключаемые с привлекаемыми специалистами;
• договоры об оказании образовательных/репетиторских услуг с законными представителями учеников;
• согласие субъектов персональных данных (или их законных представителей) на обработку ПД.

6. Порядок и сроки хранения данных

Обработка ПД осуществляется с использованием средств автоматизации и без них: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.

Сроки хранения персональных данных определены целями обработки:

• Данные об обучении и карточки учеников: в течение срока действия договора на обучение и 3 года после его завершения для защиты законных интересов сторон.
• Финансовые и платёжные документы: 5 лет в соответствии с требованиями бухгалтерского и налогового законодательства РФ.
• Сообщения в чатах и обращения: 3 года с момента завершения переписки.
• Резервные копии базы данных: хранятся до 30 дней в зашифрованном виде.

Первичные базы данных размещены на серверах на территории Российской Федерации в соответствии с ч. 5 ст. 18 Федерального закона № 152-ФЗ.

7. Передача данных третьим лицам и трансграничная передача

Оператор не осуществляет продажу персональных данных. Передача данных третьим лицам ограничена технической необходимостью функционирования сервиса:

• Российские провайдеры инфраструктуры: хостинг-провайдер и провайдер резервного копирования (серверы на территории РФ) — в объёме, необходимом для работы приложения.
• Telegram FZ-LLC (ОАЭ): при выборе пользователем канала уведомлений через Telegram-бота передаются идентификатор аккаунта Telegram и текст сервисных сообщений (имя ученика, время занятия).
• Google LLC (США): при использовании push-уведомлений через службу Firebase Cloud Messaging (FCM) в Android-приложении передаётся технический push-токен устройства и краткий сервисный заголовок.
• Hangzhou DeepSeek Artificial Intelligence Co., Ltd. (КНР): сервис генеративного ИИ (api.deepseek.com). В соответствии с ч. 1 ст. 12 152-ФЗ передача данных в КНР является трансграничной. Китайская Народная Республика обеспечивает надлежащую защиту прав субъектов персональных данных в соответствии с применимым законодательством.

8. Меры по обеспечению безопасности

• Пароли пользователей хранятся исключительно в виде необратимых хешей (PBKDF2/SHA-256);
• База данных защищена шифрованием на уровне файловой системы (SQLCipher/AES-256);
• Все сетевые соединения защищены протоколом шифрования TLS/HTTPS;
• Строгое ролевое разграничение доступа (администратор, тимлид, репетитор, ученик, родитель);
• Ведётся защищённый журнал действий (аудит-лог) с фиксацией IP-адресов и параметров операций;
• Регулярное создание зашифрованных резервных копий базы данных.

9. Права субъекта персональных данных

Субъект персональных данных имеет право:

• получать полную информацию об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения неполных, неточных или устаревших данных;
• отозвать данное ранее согласие на обработку ПД;
• обжаловать действия или бездействие Оператора в Роскомнадзор или судебные органы.

Запросы субъектов ПД рассматриваются Оператором в срок, не превышающий 10 рабочих дней с даты получения обращения (с возможностью мотивированного продления не более чем на 5 рабочих дней в соответствии с ч. 1 ст. 20 Федерального закона № 152-ФЗ). Обращения принимаются на электронную почту plakanm@mail.ru.

10. Порядок дачи и отзыва согласия

Согласие на обработку ПД даётся Пользователем путём проставления персональной электронной отметки (чекбокса) в веб-форме регистрации по ссылке-приглашению. В момент отправки формы фиксируются: логин, роль, дата и время фиксации, IP-адрес пользователя и редакция принимаемого документа.

Отзыв согласия осуществляется направлением заявления в свободной форме на e-mail plakanm@mail.ru. При отзыве согласия обработка прекращается, а аккаунт блокируется в течение 10 рабочих дней, за исключением сведений, подлежащих обязательному хранению по закону РФ (бухгалтерский учёт).

11. Реагирование на инциденты безопасности

В случае установления факта неправомерной или случайной передачи (утечки) персональных данных Оператор в течение 24 часов уведомляет Роскомнадзор о произошедшем инциденте, предполагаемых причинах и принятых мерах, а также в течение 72 часов направляет результаты внутреннего расследования инцидента в порядке ч. 3.1 ст. 21 Федерального закона № 152-ФЗ.

12. Файлы cookie

В Системе используются строго необходимые сессионные файлы cookie (технические идентификаторы сессии) для аутентификации пользователей и защиты от межсайтовых атак. Маркетинговые, рекламные или аналитические трекеры сторонних платформ не используются.

13. Уведомление уполномоченного органа (Роскомнадзор)

Оператор осуществляет обработку персональных данных в соответствии с требованиями законодательства РФ. Уведомление об обработке персональных данных направлено в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) в порядке ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ (регистрационный номер заявления: 100481762).

14. Контактная информация Оператора

По вопросам обновления данных, отзыва согласий и прекращения обработки направляйте запросы на указанный email.