Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных в сервисе EdPlan (https://edplan.ru) и действует в отношении всех сведений, которые оператор может получить о пользователях.

1.2. Оператор: Общество с ограниченной ответственностью «Афекс», ИНН 9725202071, ОГРН 1267700063180, адрес: 115533, г. Москва, Нагатинская наб., д. 10А, кв. 278В (далее — «Оператор»).

1.3. Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

1.4. Использование Сервиса означает согласие пользователя с настоящей Политикой. При несогласии пользователь обязан прекратить использование Сервиса.

2. Две роли Оператора: важное разграничение

2.1. Данные репетитора (пользователя Сервиса). В отношении данных лица, зарегистрировавшего учётную запись, Оператор действует как оператор персональных данных и самостоятельно определяет цели и состав обработки. Эти данные описаны в разделе 3.

2.2. Данные учеников. Сведения об учениках вносит в Сервис репетитор — самостоятельно, по своему усмотрению и для собственных целей. В отношении этих сведений оператором персональных данных является репетитор, а Оператор Сервиса выступает лицом, осуществляющим обработку персональных данных по поручению оператора на основании ч. 3 ст. 6 Федерального закона № 152-ФЗ.

2.3. Оператор Сервиса не определяет состав, цели и сроки обработки сведений об учениках, не проверяет наличие у репетитора согласий субъектов и не использует эти сведения в собственных целях. Условия такой обработки установлены документом «Условия обработки данных учеников».

2.4. Ответственность перед учеником как субъектом персональных данных несёт репетитор как оператор (ч. 5 ст. 6 Федерального закона № 152-ФЗ). Обращения учеников и их законных представителей по поводу их данных подлежат направлению репетитору, внёсшему эти сведения.

3. Какие данные обрабатываются

3.1. Данные, предоставляемые пользователем при регистрации

• имя (в объёме, указанном пользователем);
• адрес электронной почты;
• пароль — хранится исключительно в виде необратимого криптографического хеша, Оператор не имеет доступа к паролю в открытом виде;
• дата подтверждения адреса электронной почты.

3.2. Данные, собираемые автоматически

• IP-адрес;
• сведения о браузере и операционной системе (User-Agent);
• дата и время обращений к Сервису, сведения о сессии;
• файлы cookie: строго необходимые и аналитические — см. Политику в отношении файлов cookie;
• обезличенная статистика посещений сайта: просмотренные страницы, длительность посещения, источник перехода.

3.3. Данные, вносимые пользователем о своей деятельности

• курсы: наименование, описание, цвет, значок;
• расписание: дни, время и периодичность занятий, переносы и отмены;
• темы занятий, домашние задания, служебные заметки;
• файлы, прикреплённые к домашним заданиям;
• сведения о стоимости занятий и порядке оплаты, вносимые пользователем для собственного учёта.

3.3.1. Данные о платежах за подписку

При оплате платной подписки обрабатываются сведения о факте, дате и сумме платежа, оплаченном тарифе и сроке его действия, а также адрес электронной почты для направления кассового чека. Реквизиты банковских карт Оператору не передаются и им не хранятся.

Сведения о платежах хранятся в течение сроков, установленных законодательством о бухгалтерском учёте и налогами, независимо от удаления учётной записи.

3.4. Данные об учениках (обрабатываются по поручению пользователя)

• имя ученика в объёме, указанном пользователем;
• класс или уровень подготовки;
• цель обучения;
• заметки пользователя об ученике;
• изображение (аватар), если пользователь его загрузил;
• сведения о занятиях, темах, домашних заданиях и стоимости занятий ученика.

Оператор не запрашивает и не предполагает внесения в Сервис сведений о состоянии здоровья, а равно иных специальных категорий персональных данных и биометрических персональных данных. Внесение таких сведений условиями Сервиса запрещено.

3.5. Данные интеграции с мессенджерами

Если пользователь подключает уведомления через мессенджер, дополнительно обрабатываются идентификатор чата и имя пользователя в соответствующем мессенджере. Подключение является добровольным и может быть отменено пользователем в любой момент.

4. Цели обработки

• регистрация и идентификация пользователя, предоставление доступа к учётной записи;
• обеспечение работы функций Сервиса;
• направление сервисных сообщений: подтверждение адреса почты, восстановление пароля, уведомления о занятиях;
• обеспечение безопасности, предотвращение мошенничества и несанкционированного доступа;
• исполнение обязанностей, возложенных на Оператора законодательством;
• улучшение работы Сервиса в обезличенном виде.

5. Правовые основания обработки

• согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 Федерального закона № 152-ФЗ);
• исполнение договора, стороной которого является субъект персональных данных — настоящего Пользовательского соглашения (п. 5 ч. 1 ст. 6);
• поручение оператора — для сведений об учениках (ч. 3 ст. 6);
• достижение законных интересов Оператора при условии ненарушения прав субъекта (п. 7 ч. 1 ст. 6);
• исполнение обязанностей, возложенных законодательством (п. 2 ч. 1 ст. 6).

6. Способы обработки и срок хранения

6.1. Обработка осуществляется с использованием средств автоматизации и без их использования и включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, блокирование, удаление и уничтожение.

6.2. Персональные данные хранятся в течение срока действия учётной записи пользователя.

6.3. После удаления учётной записи данные удаляются или обезличиваются в срок не более 30 (тридцати) календарных дней, за исключением сведений, которые Оператор обязан хранить в силу закона, и сведений в технических резервных копиях — последние удаляются по истечении обычного цикла ротации резервных копий, но не позднее 90 (девяноста) дней.

6.4. Данные, обрабатываемые по поручению пользователя (сведения об учениках), удаляются вместе с учётной записью пользователя либо ранее — по указанию пользователя.

7. Передача третьим лицам

7.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам в рекламных целях.

7.2. Данные могут быть доступны следующим категориям лиц исключительно в объёме, необходимом для работы Сервиса:

• хостинг-провайдеру, обеспечивающему размещение серверов и хранение данных;
• провайдеру услуг доставки электронной почты — в объёме адреса и текста сервисного сообщения;
• оператору мессенджера — при добровольном подключении пользователем уведомлений;
• АО «ТБанк» (Т-Касса) — при оплате платной подписки, в объёме, необходимом для проведения платежа и направления кассового чека;
• Яндекс.Метрика (ООО «Яндекс») — в объёме обезличенных сведений о посещении сайта, на основании законного интереса оператора (п. 7 ч. 1 ст. 6 Федерального закона № 152-ФЗ). Отказаться можно настройками браузера — см. Политику в отношении файлов cookie.

7.2.1. Оператор не получает и не хранит реквизиты банковских карт: их ввод осуществляется на стороне платёжного сервиса. Оператор хранит только сведения о факте, дате, сумме платежа и оплаченном тарифе.

7.3. Данные передаются государственным органам исключительно по основаниям и в порядке, установленным законодательством Российской Федерации.

7.4. Трансграничная передача персональных данных Оператором не осуществляется.

7.5. Базы данных, содержащие персональные данные граждан Российской Федерации, размещаются на территории Российская Федерация в соответствии с ч. 5 ст. 18 Федерального закона № 152-ФЗ.

8. Меры защиты

8.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования и распространения, в том числе:

• передача данных между браузером пользователя и Сервисом по защищённому протоколу HTTPS;
• хранение паролей исключительно в виде необратимых криптографических хешей;
• разграничение доступа: пользователь имеет доступ только к собственным данным;
• ограничение круга лиц, имеющих доступ к инфраструктуре Сервиса;
• защита от типовых веб-атак, включая межсайтовую подделку запроса.

9. Права субъекта персональных данных

9.1. Субъект персональных данных вправе:

• получать сведения об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных;
• обжаловать действия Оператора в Роскомнадзоре или в судебном порядке.

9.2. Пользователь может самостоятельно изменить или удалить большинство своих данных в интерфейсе Сервиса, а также удалить учётную запись целиком.

9.3. Обращения направляются по адресу privacy@edplan.ru либо письменно по адресу 115533, г. Москва, Нагатинская наб., д. 10А, кв. 278В. Срок рассмотрения — 30 (тридцать) календарных дней. Оператор вправе запросить подтверждение личности заявителя.

9.4. Отзыв согласия влечёт прекращение использования Сервиса, поскольку обработка данных учётной записи необходима для его функционирования.

9.5. Обращения по поводу данных учеников направляются репетитору, внёсшему эти сведения, — в силу разграничения ролей, описанного в разделе 2. При получении такого обращения Оператор перенаправляет его соответствующему пользователю либо сообщает заявителю о необходимости обратиться к оператору данных.

10. Изменение Политики

10.1. Оператор вправе изменять настоящую Политику в одностороннем порядке. Новая редакция вступает в силу с момента публикации на странице edplan.ru/legal/privacy.

10.2. Дата последней редакции указана в начале документа. Пользователь обязан самостоятельно отслеживать актуальную редакцию.

11. Контакты

По вопросам обработки персональных данных: privacy@edplan.ru
Общие вопросы: support@edplan.ru
Почтовый адрес: 115533, г. Москва, Нагатинская наб., д. 10А, кв. 278В