Политика обработки персональных данных

Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных и меры по обеспечению их безопасности в сервисе Ритм (далее — «Сервис»).

Оператор персональных данных: Кобзарь Арина Константиновна (самозанятая), ИНН 662343025508 (далее — «Оператор»). Контакт для обращений по вопросам обработки персональных данных: support@rytmspace.com.

Используя Сервис, пользователь подтверждает согласие с условиями настоящей Политики. Если пользователь не согласен — он должен прекратить использование Сервиса.

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту персональных данных).

Оператор — лицо, организующее и осуществляющее обработку персональных данных.

Обработка — любое действие с персональными данными: сбор, запись, хранение, уточнение, использование, передача, удаление.

Субъект — репетитор (пользователь Сервиса), его ученики и получатели уведомлений об учениках (например, родители): сведения о них вносит репетитор, а получатели сами подключают бота Сервиса. Также — посетители страницы записи репетитора, которые сами оставляют на ней заявку на занятие (далее — «посетители»), и сотрудники онлайн-школ — администраторы и учителя, которых школа пригласила в свой кабинет (см. раздел 5).

Данные репетитора: имя, адрес электронной почты, хеш пароля (хранится в зашифрованном виде), идентификатор Telegram и/или ВКонтакте (при подключении уведомлений), реквизиты для приёма оплаты (вводятся самим репетитором).

Данные учеников (вносятся репетитором): имя, уровень/класс, дата рождения (если указана репетитором), часовой пояс, расписание и посещаемость занятий, сведения об абонементах и отметки об оплате, заметки репетитора, домашние задания и приложенные к ним файлы, идентификатор Telegram и/или ВКонтакте (при подключении ученика к боту).

Данные получателей уведомлений (родителей и других лиц, подключивших бота, чтобы получать уведомления об ученике): идентификатор Telegram и/или ВКонтакте, имя из профиля мессенджера, роль получателя (родитель или ученик).

Данные посетителей страницы записи (вносятся самим посетителем при отправке заявки): имя; номер телефона и (или) имя пользователя Telegram; комментарий к заявке; выбранные вид, дата и время занятия; часовой пояс; идентификатор чата Telegram — если посетитель подтверждает заявку в боте Сервиса. Для защиты от спама — необратимый хеш IP-адреса (сам адрес не сохраняется).

Оператор не обрабатывает специальные категории персональных данных и биометрические данные. Оператор не проводит карточный эквайринг и не хранит данные банковских карт плательщиков — приём оплаты подписки выполняет платёжный агрегатор (см. раздел 7). Реквизиты для приёма оплаты, которые репетитор указывает сам (в том числе номер карты или счёта), хранятся как введённый им текст.

Обработка осуществляется на основании: согласия субъекта персональных данных (ст. 6, 9 152-ФЗ); договора (пользовательского соглашения) с репетитором; законных интересов Оператора по предоставлению заявленных функций Сервиса. Данные учеников вносятся репетитором, который подтверждает наличие согласия ученика (или его законного представителя) на обработку. Данные посетителей страницы записи обрабатываются на основании их согласия, которое они дают при отправке заявки; Оператор обрабатывает эти данные по поручению репетитора, к которому подана заявка.

Онлайн-школы. Если Сервисом пользуется онлайн-школа, оператором персональных данных её учеников, их законных представителей и сотрудников является школа. Оператор обрабатывает эти данные по её поручению (ч. 3 ст. 6 152-ФЗ) на условиях соглашения о поручении обработки персональных данных, которое школа принимает в Сервисе. По настоящей Политике Оператор обрабатывает данные лица, зарегистрировавшего кабинет школы, и данные для входа (адрес электронной почты и пароль), которые сотрудники школы сами указывают при регистрации.

Обработка осуществляется с использованием средств автоматизации. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

Срок хранения — в течение использования аккаунта. При удалении аккаунта данные удаляются из активной базы, а из резервных копий — по циклу их обновления, в течение 14 дней. Заявку посетителя, по которой репетитор принял решение или которая не состоялась, Сервис удаляет через 30 дней, а заявку, не подтверждённую посетителем в боте, — через сутки; хеш IP-адреса стирается через 7 дней. Если запись подтверждена, данные посетителя хранятся у репетитора в Сервисе, пока он ведёт учёт занятий.

Исключение — запись о принятии документов при регистрации: учётная запись, адрес электронной почты, дата и время, редакции согласия, оферты, условий использования и Политики. Она хранится, пока действует аккаунт, и 3 года после его удаления — как доказательство заключения договора и получения согласия (ст. 196 ГК РФ, ч. 3 ст. 9 152-ФЗ).

Оператор привлекает поставщиков, необходимых для работы Сервиса: серверы, база данных и хранилище файлов — АО «Селектел»; отправка служебных писем — ООО «Юнисендер Смарт» (сервис Unisender Go), а при его сбое — АО «Селектел», им передаются адрес электронной почты получателя и текст письма; хранение резервных копий базы данных — ООО «Яндекс.Облако»; доставка уведомлений через мессенджеры Telegram (Telegram Messenger Inc.) и ВКонтакте (ООО «В Контакте») — им передаются идентификатор получателя и текст уведомления; приём оплаты подписки репетитора через платёжный агрегатор Robokassa (ООО «Робокасса») — ему передаются данные плательщика, необходимые для проведения платежа. Указанные лица обрабатывают данные по поручению Оператора либо как самостоятельные операторы в части своих сервисов и не вправе использовать их для собственного маркетинга. Оператор не передаёт персональные данные третьим лицам для маркетинга и не продаёт их.

Хранение персональных данных граждан Российской Федерации осуществляется исключительно на территории Российской Федерации: серверы, база данных и хранилище файлов размещены в дата-центрах АО «Селектел», резервные копии базы данных — в ООО «Яндекс.Облако», служебные письма отправляются с серверов ООО «Юнисендер Смарт» в России. Сетевой трафик пользователей идёт напрямую на серверы Сервиса в России; трансграничная передача в целях хранения не производится.

Субъект вправе: получать информацию об обработке своих данных; требовать уточнения, блокирования или уничтожения данных; отозвать согласие на обработку; обжаловать действия Оператора в уполномоченном органе (Роскомнадзор).

Для реализации прав направьте запрос на support@rytmspace.com. Запрос рассматривается в срок, установленный законом.

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа: шифрование соединения (HTTPS/TLS), разграничение доступа на уровне базы данных (Row Level Security), хранение паролей только в виде хешей и ограничение числа попыток входа, хранение секретов вне публичного доступа, ежедневное резервное копирование, ведение журналов уведомлений.

Если персональные данные неправомерно или случайно переданы, распространены или к ним получен доступ, Оператор в течение 24 часов сообщает об этом в Роскомнадзор — об инциденте, его предполагаемых причинах и принятых мерах, — а в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ). Пользователей Сервиса, чьи данные затронуты, Оператор предупреждает по электронной почте. Об инциденте с данными онлайн-школы Оператор сообщает школе в сроки соглашения о поручении.