Политика конфиденциальности

1.1. Настоящая Политика определяет политику Леськов Дмитрий Александрович (далее — Оператор) в отношении обработки персональных данных и разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ).

1.2. Политика распространяется на все процессы обработки персональных данных, осуществляемые Оператором, включая обработку персональных данных:

• на сайтах https://www.repetitorly.com и https://www.repetitorly.com, в личных кабинетах и иных компонентах сервиса Repetitorly;
• при регистрации, аутентификации и ведении учётных записей Репетиторов, Учеников и Родителей;
• при ведении карточек Ученика, предоставлении расписания, учёта занятий, домашних заданий, материалов, чата и ролевого доступа;
• при проведении онлайн-уроков, необязательной аудиозаписи и локальной транскрибации;
• при использовании функций искусственного интеллекта для проверки домашних заданий, формирования AI-отчётов по урокам, сводных отчётов по успеваемости и генерации учебных материалов;
• при направлении сервисных уведомлений;
• при предоставлении Репетитору внутреннего финансового учёта и приёме оплаты от Репетитора или Родителя за выбранные платные функции Сервиса;
• при фиксации решений Репетитора в биллинге, связанных с управлением Тарифом, лимитами, хранением материалов, возвратами и очередностью обработки расшифровок;
• при реализации реферальной программы для Репетиторов;
• при приёме и рассмотрении обращений;
• при обеспечении функционирования и информационной безопасности Сервиса;
• при исполнении обязанностей, возложенных на Оператора законодательством Российской Федерации.

1.3. Отдельные процессы обработки персональных данных могут подробнее регламентироваться внутренними документами Оператора, в том числе после заключения договора с субъектом персональных данных. При этом основные сведения о целях, категориях субъектов, составе персональных данных, правовых основаниях, действиях, способах и сроках обработки отражаются в настоящей Политике.

1.4. Сведения об Операторе:

• ФИО: Леськов Дмитрий Александрович
• ИНН: 400105215205
• Адрес для направления корреспонденции: Калужская область, Мещовский район, поселок Молодёжный, улица Юбилейная, дом 7, квартира 7
• Электронная почта для обращений по вопросам обработки персональных данных: dimaleskoff57889@yandex.ru

1.5. Организация обработки персональных данных:

Оператор является физическим лицом, применяющим специальный налоговый режим «Налог на профессиональный доход», лично организует обработку персональных данных и обеспечивает выполнение обязанностей, предусмотренных 152-ФЗ. Для взаимодействия по вопросам обработки персональных данных определён контактный адрес: dimaleskoff57889@yandex.ru.

1.6. Обработка персональных данных осуществляется Оператором с использованием средств автоматизации, без использования средств автоматизации либо смешанным способом — в зависимости от конкретной цели обработки, указанной в разделе 4 настоящей Политики.

1.7. Политика является общедоступным документом. Неограниченный доступ к ней обеспечивается посредством размещения на сайте по адресу: https://www.repetitorly.com/privacy в соответствии с частью 2 статьи 18.1 152-ФЗ.

В настоящей Политике используются следующие понятия:

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу — субъекту персональных данных.
• Субъект персональных данных (Субъект) — физическое лицо, к которому относятся обрабатываемые персональные данные.
• Оператор персональных данных (Оператор) — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, и действия, совершаемые с персональными данными.
• Обработка персональных данных — любое действие или совокупность действий, совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение персональных данных.
• Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.
• Обработка персональных данных без использования средств автоматизации — обработка персональных данных, осуществляемая без использования средств вычислительной техники, если она позволяет осуществлять поиск персональных данных, содержащихся на материальных носителях и в систематизированных собраниях персональных данных, и (или) доступ к таким данным.
• Смешанная обработка персональных данных — обработка персональных данных, осуществляемая как с использованием средств автоматизации, так и без их использования.
• Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.
• Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.
• Доступ к персональным данным — возможность ознакомления с персональными данными и (или) совершения с ними действий уполномоченным лицом.
• Блокирование персональных данных — временное прекращение обработки персональных данных, кроме случаев, когда обработка необходима для их уточнения.
• Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) уничтожаются материальные носители персональных данных.
• Обезличивание персональных данных — действия, в результате которых без использования дополнительной информации становится невозможным определить принадлежность персональных данных конкретному Субъекту.
• Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных, а также обеспечивающих их обработку информационных технологий и технических средств.
• Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
• Конфиденциальность персональных данных — обязанность Оператора и иных лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не распространять персональные данные без согласия Субъекта, если иное не предусмотрено федеральным законом.
• Согласие на обработку персональных данных — свободное, конкретное, предметное, информированное, сознательное и однозначное волеизъявление Субъекта на обработку его персональных данных, предоставленное в форме, позволяющей подтвердить факт его получения, если иное не установлено федеральным законом.
• Лицо, осуществляющее обработку персональных данных по поручению Оператора — лицо, которое обрабатывает персональные данные на основании поручения Оператора и в пределах определённых Оператором целей, состава данных и перечня действий.
• Специальные категории персональных данных — персональные данные, касающиеся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья и интимной жизни Субъекта.
• Биометрические персональные данные — сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются Оператором для установления личности Субъекта.
• Персональные данные, разрешённые Субъектом для распространения — персональные данные, доступ неограниченного круга лиц к которым предоставлен Субъектом посредством отдельного согласия, оформленного в порядке статьи 10.1 152-ФЗ.
• Сайт — сайты Оператора, размещённые по адресам: https://www.repetitorly.com и https://www.repetitorly.com.
• Интернет-ресурсы — Сайт, личные кабинеты и иные закрытые компоненты Сервиса Repetitorly, через которые Оператор взаимодействует с Субъектами.
• Пользователь — физическое лицо, использующее Сайт или Сервис в роли Репетитора, Ученика либо Родителя (иного законного представителя), а также лицо, направляющее Оператору обращение.
• Репетитор — совершеннолетний Пользователь, использующий Сервис для собственной профессиональной деятельности и принимающий Публичную оферту при приобретении платного доступа. Ученик — Пользователь, участвующий в учебном взаимодействии и не приобретающий платные функции. Родитель — Пользователь, являющийся родителем или иным законным представителем несовершеннолетнего Ученика либо имеющий разрешённый совершеннолетним Учеником ролевой доступ; при покупке Лимита генераций сводных отчётов Родитель от собственного имени принимает Публичную оферту.
• Третье лицо — лицо, не являющееся Оператором или Субъектом, которому персональные данные предоставляются либо доступ к которым может быть предоставлен на законном основании.

Оператор обрабатывает персональные данные в соответствии с принципами, установленными статьёй 5 152-ФЗ:

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определённых и законных целей;
• не допускается обработка, несовместимая с целями сбора персональных данных;
• не допускается объединение баз данных, обработка которых осуществляется в целях, несовместимых между собой;
• содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки;
• не допускается избыточность персональных данных по отношению к заявленным целям;
• обеспечиваются точность, достаточность и актуальность персональных данных;
• персональные данные хранятся в форме, позволяющей определить Субъекта, не дольше, чем этого требуют цели обработки, если иной срок не установлен федеральным законом, договором или соглашением с Субъектом;
• по достижении целей обработки или утрате необходимости в их достижении персональные данные уничтожаются, если иное не предусмотрено федеральным законом.

Оператор обрабатывает персональные данные только в конкретных, заранее определённых и законных целях. Для каждой цели ниже указаны фактическое правовое основание, применимое условие обработки по 152-ФЗ, состав данных, категории Субъектов, действия, способ и срок обработки.

5.1. Оператор предоставляет персональные данные третьим лицам или поручает их обработку только при наличии законного основания и в объёме, необходимом для достижения конкретной цели.

5.1.1. Помимо перечисленных ниже организаций, получателями персональных данных в пределах ролевой модели Сервиса являются Ученики соответствующего занятия и связанные с ними Родители. Запись занятия доступна проводившему его Репетитору, всем Ученикам этого занятия и связанным с ними Родителям. На групповом занятии в записи звучат голоса всех его участников, поэтому запись, содержащая голос Ученика, становится доступна другим Ученикам этого занятия и их Родителям. Основание — отдельные согласия соответствующих Субъектов, пункт 1 части 1 статьи 6 152-ФЗ.

Self-hosted Supabase и GigaAM являются программными компонентами, развёрнутыми в российском контуре Оператора, и сами по себе не являются отдельными получателями персональных данных. Sentry используется в конфигурации, исключающей передачу ФИО, email, идентификаторов Пользователей, IP-адресов, транскриптов, файлов, токенов, запросов и иных персональных данных.

5.2. Если обработка осуществляется по поручению Оператора, поручение должно определять:

• перечень персональных данных;
• перечень действий с персональными данными;
• цели обработки;
• обязанность соблюдать конфиденциальность;
• обязанность соблюдать требования части 5 статьи 18 и статьи 18.1 152-ФЗ;
• обязанность по запросу Оператора предоставлять документы и информацию, подтверждающие соблюдение установленных требований;
• обязанность обеспечивать безопасность персональных данных;
• требования к защите персональных данных в соответствии со статьёй 19 152-ФЗ;
• обязанность уведомлять Оператора об инцидентах, предусмотренных частью 3.1 статьи 21 152-ФЗ.

5.3. Лицо, осуществляющее обработку по поручению Оператора, не вправе самостоятельно изменять цели обработки или использовать персональные данные для собственных целей, если оно не имеет отдельного законного основания и не выступает самостоятельным оператором.

5.4. Оператор вправе предоставлять персональные данные государственным органам и иным уполномоченным лицам в случаях и порядке, предусмотренных законодательством Российской Федерации.

5.5. Оператор и иные лица, получившие доступ к персональным данным, обязаны соблюдать конфиденциальность персональных данных в соответствии со статьёй 7 152-ФЗ.

6.1. На Сайте используются обязательные файлы cookie и аналогичные технологии, необходимые для аутентификации, поддержания сессии, ролевого доступа и обеспечения безопасности. Если сведения, собираемые посредством таких технологий, относятся к прямо или косвенно определённому или определяемому Пользователю, их обработка осуществляется в соответствии с настоящей Политикой.

6.2. Посредством файлов cookie и аналогичных технологий обрабатываются следующие категории данных:

6.3. На Сайте используются Яндекс Метрика и рекламные технологии Яндекса для анализа посещаемости, продвижения Сервиса в сети Интернет, показа рекламы и оценки эффективности рекламных кампаний.

6.4. Пользователь может удалить или ограничить cookie с помощью настроек браузера. Блокирование обязательных cookie может сделать невозможными вход в учётную запись и работу функций, объективно требующих авторизованной сессии.

6.5. Настройки браузера используются как дополнительный способ управления cookie. Яндекс Метрика и рекламные технологии Яндекса запускаются только после отдельного действия Пользователя, однозначно подтверждающего согласие.

6.6. Сведения о лицах, которым передаются данные, собираемые посредством cookie, указываются в разделе 5 настоящей Политики.

7.1. Оператор осуществляет трансграничную передачу персональных данных в соответствии со статьёй 12 152-ФЗ.

7.2. Подтверждённая трансграничная передача осуществляется в Республику Сингапур получателю Moonshot AI PTE. LTD. для AI-проверки домашних заданий, формирования AI-отчётов по урокам, сводных отчётов по успеваемости и генерации учебных материалов в составе, указанном в разделах 4 и 5 настоящей Политики.

7.3. До начала соответствующей трансграничной передачи Оператор направляет в Роскомнадзор отдельное уведомление в случаях и порядке, предусмотренных статьёй 12 152-ФЗ.

8.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 152-ФЗ. Конкретный состав мер определяется с учётом характера и объёма обрабатываемых персональных данных, способов обработки, актуальных угроз и возможного вреда Субъектам.

8.2. С учётом фактически реализованных процессов Оператор:

• лично организует обработку персональных данных и определяет права доступа;
• принимает документы, определяющие политику и локальные правила обработки персональных данных;
• применяет ролевую модель доступа, аутентификацию и ограничение частоты запросов;
• обеспечивает раздельную фиксацию необязательных согласий и ведение доказательственного журнала;
• размещает основной массив персональных данных на сервере Timeweb.Cloud в Российской Федерации с использованием self-hosted Supabase и GigaAM;
• применяет минимизацию передаваемых данных и не включает ФИО Ученика в отдельные поля запроса для AI-проверки домашнего задания;
• ограничивает доступ Пользователей данными связанных аккаунтов и предусмотренными функциями;
• минимизирует технические сведения текущего запроса и сессии и не ведёт отдельный журнал безопасности;
• устанавливает процедуры выявления нарушений, реагирования на инциденты, блокирования, удаления и уничтожения данных;
• обеспечивает резервное копирование и перезапись резервных копий в установленном цикле;
• запрещает передачу персональных данных и идентификаторов Пользователей в Sentry;
• осуществляет внутренний контроль соответствия обработки требованиям 152-ФЗ и настоящей Политике.

8.3. Конкретный порядок предоставления доступа, хранения, резервного копирования, реагирования на инциденты, уничтожения и иных внутренних процедур может устанавливаться локальными документами Оператора.

8.4. При установлении факта неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным, повлекших нарушение прав Субъектов, Оператор уведомляет Роскомнадзор:

• в течение 24 часов — о произошедшем инциденте, предполагаемых причинах, предполагаемом вреде, принятых мерах и лице, уполномоченном на взаимодействие с Роскомнадзором;
• в течение 72 часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента, при наличии таких сведений.

9.1. Субъект имеет следующие права:

9.2. Обычное обращение, отзыв согласия или требование о прекращении обработки могут быть направлены:

• по адресу электронной почты: dimaleskoff57889@yandex.ru;
• по почтовому адресу: Калужская область, Мещовский район, поселок Молодёжный, улица Юбилейная, дом 7, квартира 7;
• способом, прямо указанным в соответствующем согласии или интерфейсе Сайта.

Обращение должно позволять определить Субъекта и содержание его требования. Для защиты персональных данных от раскрытия постороннему лицу Оператор вправе запросить сведения, необходимые для подтверждения личности заявителя и его связи с Оператором.

9.3. Запрос о предоставлении сведений, предусмотренных статьёй 14 152-ФЗ, должен содержать:

• номер основного документа, удостоверяющего личность Субъекта или его представителя;
• сведения о дате выдачи документа и выдавшем его органе;
• сведения, подтверждающие участие Субъекта в отношениях с Оператором, либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
• подпись Субъекта или его представителя.

Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации. Представитель дополнительно предоставляет документ, подтверждающий полномочия.

9.4. Оператор рассматривает обращения в следующие сроки:

9.5. Отзыв согласия не прекращает обработку, если у Оператора имеется иное законное основание, позволяющее продолжить обработку без согласия Субъекта. Оператор сообщает Субъекту о наличии такого основания при рассмотрении обращения.

9.6. Субъект вправе обжаловать действия или бездействие Оператора в Роскомнадзор или в суд в соответствии со статьёй 17 152-ФЗ.

10.1. Сервис предусматривает обработку персональных данных несовершеннолетних. В интерфейсе используются два возрастных сценария: для Пользователя, подтвердившего достижение 18 лет, и для Пользователя младше 18 лет.

10.2. Пользователь младше 18 лет до подключения к Репетитору связывает учётную запись с аккаунтом Родителя или иного законного представителя. Оператор фиксирует связь аккаунтов и согласие законного представителя на обработку персональных данных ребёнка.

10.3. Собственные данные Родителя, необходимые для создания его аккаунта, аутентификации, подтверждения роли, связи с аккаунтом ребёнка, ролевого доступа, сервисных сообщений и безопасности, обрабатываются для заключения и исполнения Пользовательского соглашения. Отдельное согласие Родителя на обработку собственных данных для этих целей не требуется.

10.4. Необязательные аудиозапись, транскрибация и AI-функции включаются только после раздельной фиксации применимых согласий. Родитель совершеннолетнего Ученика получает доступ к AI-отчёту только после отдельного действия самого Ученика по созданию уникального кода подключения Родителя при наличии активного согласия Ученика, охватывающего такой доступ. Система фиксирует Ученика, Родителя, дату и время, редакцию применимого текста и техническое событие; один лишь ввод кода Родителем без зафиксированного действия Ученика не заменяет согласие.

10.5. Если Оператор получает персональные данные несовершеннолетнего вне предусмотренного процесса и не имеет законного основания, Оператор прекращает обработку и уничтожает данные в сроки, установленные статьями 20 и 21 152-ФЗ.

10.6. Законный представитель вправе направить Оператору обращение в порядке, предусмотренном разделом 9 настоящей Политики.

11.1. Срок обработки персональных данных, включая их хранение, определяется отдельно для каждой цели в разделе 4 настоящей Политики. Срок должен быть конкретным и соразмерным цели обработки.

11.2. При достижении цели обработки Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней, если иное не предусмотрено договором, соглашением с Субъектом либо если Оператор вправе продолжить обработку без согласия на основании 152-ФЗ или другого федерального закона.

11.3. При отзыве согласия Оператор прекращает обработку и, если сохранение данных более не требуется для целей обработки и отсутствует иное законное основание, уничтожает персональные данные в срок, не превышающий 30 дней с даты получения отзыва.

11.4. При выявлении неправомерной обработки Оператор прекращает её в срок, не превышающий 3 рабочих дней. Если обеспечить правомерность обработки невозможно, Оператор уничтожает персональные данные в срок, не превышающий 10 рабочих дней с даты выявления нарушения.

11.5. Если уничтожение в установленный срок невозможно, Оператор блокирует персональные данные и обеспечивает их уничтожение в срок не более 6 месяцев, если иной срок не установлен федеральным законом.

11.6. Уничтожение персональных данных подтверждается в порядке, установленном Роскомнадзором.

11.7. Уничтожение персональных данных осуществляется:

• в информационных системах — посредством удаления данных способами, исключающими восстановление их содержания штатными средствами информационной системы;
• на материальных носителях — посредством физического уничтожения носителя либо удаления информации способом, исключающим её восстановление;
• в резервных копиях — в соответствии с установленным Оператором циклом перезаписи и внутренним порядком уничтожения, с блокированием данных от дальнейшего использования до их окончательного удаления.

12.1. Специальные категории персональных данных

Оператор не осуществляет целенаправленный сбор специальных категорий персональных данных, предусмотренных статьёй 10 152-ФЗ, и не запрашивает их для работы Сервиса. Пользователи не должны включать такие сведения в свободный текст, аудио или файлы без самостоятельного законного основания. Сервис не гарантирует автоматическое выявление таких данных во всём пользовательском контенте. Если о наличии таких данных становится известно Оператору из обращения, проверки конкретного материала или иного достоверного источника, Оператор ограничивает дальнейшую обработку и действует в соответствии с применимым законным основанием и требованиями 152-ФЗ.

12.2. Биометрические персональные данные

Оператор не обрабатывает биометрические персональные данные, предусмотренные статьёй 11 152-ФЗ. Голос и аудиозапись используются для преобразования речи в текст, а не для установления личности Субъекта.

13.1. Оператор не распространяет персональные данные неопределённому кругу лиц и не осуществляет обработку персональных данных, разрешённых Субъектом для распространения, без отдельного согласия, оформленного в соответствии со статьёй 10.1 152-ФЗ.

13.2. Молчание или бездействие Субъекта не считается согласием на распространение персональных данных.

13.3. Если в дальнейшем Оператор начнёт публиковать персональные данные неопределённому кругу лиц, до такой публикации применимый процесс будет внесён в раздел 4, а у Субъекта будет получено отдельное согласие по статье 10.1 152-ФЗ.

14.1. Оператор пересматривает настоящую Политику при изменении законодательства Российской Федерации, фактических целей и способов обработки, состава персональных данных, перечня получателей, используемых информационных систем и иных существенных условий обработки.

14.2. При внесении изменений обновляются версия и дата последнего обновления, указанные в начале документа.

14.3. Действующая редакция Политики постоянно доступна по адресу: https://www.repetitorly.com/privacy.

14.4. Размещение новой редакции Политики само по себе не изменяет содержание ранее предоставленного согласия и не является получением согласия на новые цели, новый состав персональных данных или новых получателей. Если ранее полученное согласие не охватывает изменившиеся условия обработки, Оператор получает новое согласие до начала такой обработки.

По всем вопросам, связанным с обработкой персональных данных и настоящей Политикой, можно обратиться к Оператору:

• ФИО Оператора: Леськов Дмитрий Александрович
• ИНН: 400105215205
• Почтовый адрес: Калужская область, Мещовский район, поселок Молодёжный, улица Юбилейная, дом 7, квартира 7
• Электронная почта: dimaleskoff57889@yandex.ru
• Организация обработки персональных данных: Оператор лично организует обработку персональных данных