- Общие положения и реквизиты Оператора
- Категории субъектов и обрабатываемые данные
- Цели и правовые основания обработки
- Способы обработки и места хранения
- Сроки хранения и уничтожение
- Передача третьим лицам и трансграничная передача
- Меры безопасности
- Права субъектов персональных данных
- Действия при инцидентах (утечках)
- Cookies и автоматическая обработка
- Обработка данных несовершеннолетних
- Изменения Политики
- Контакты для запросов
1. Общие положения и реквизиты Оператора
1.1. Настоящая Политика регулирует порядок обработки персональных данных пользователей сервиса urokly.ru (далее — «Сервис») — программного решения для репетиторов и преподавателей, объединяющего CRM-функции, AI-помощников и интеграцию с мессенджером Telegram (бот @urokly_bot).
1.2. Оператор персональных данных:
- Индивидуальный предприниматель Балокан Татьяна Дмитриевна
- ИНН:
503219773900 - ОГРНИП:
325508100667750 - Адрес для корреспонденции: Московская область (точный почтовый адрес предоставляется по запросу субъекта ПД на e-mail Оператора)
- E-mail для запросов по обработке ПД: batata.t@mail.ru
- Сайт: https://urokly.ru
1.3. Используя Сервис, Пользователь подтверждает, что ознакомился с настоящей Политикой и принимает её в полном объёме. Если Вы не согласны с какими-либо пунктами Политики, Вам следует прекратить использование Сервиса.
1.4. Действующая редакция Политики всегда доступна по адресу https://urokly.ru/privacy.html.
2. Категории субъектов и обрабатываемые данные
2.1. Оператор обрабатывает данные следующих категорий субъектов:
- Репетиторы (платные/триальные пользователи Сервиса).
- Ученики и их законные представители — данные вносятся в Сервис самим репетитором с согласия указанных лиц.
- Лица, обратившиеся через формы обратной связи и поддержки.
2.2. Категории обрабатываемых персональных данных
Регистрационные данные репетитора: имя (или псевдоним), e-mail, хеш пароля (SHA-256, неконвертируемая форма), идентификатор сессии, IP-адрес последнего входа.
Учебные данные, вносимые репетитором: имя/прозвище ученика, контакт ученика или родителя (Telegram, e-mail, телефон, мессенджер), стоимость и расписание занятий, темы, домашние задания, материалы, история оплат, заметки. Эти данные хранятся в базе данных на серверах Оператора (Российская Федерация) для синхронизации между устройствами, работы Telegram-уведомлений и предоставления функций Сервиса. Дополнительно в браузере репетитора (localStorage) может храниться кэш этих данных для ускорения работы интерфейса; кэш очищается при выходе из аккаунта.
Идентификатор Telegram-чата (chat_id) — числовой идентификатор, который Telegram присваивает каждому чату пользователя с ботом. Используется только для отправки сообщений ученику или родителю по инициативе репетитора.
Контент, отправляемый в AI-функции: текст темы, голосовые записи (для расшифровки), изображения тетрадей и домашних заданий — передаются на серверы ООО «Яндекс» (Yandex Cloud, YandexGPT, SpeechKit, Vision OCR), расположенные в Российской Федерации, для генерации ответа модели и сразу удаляются после получения ответа.
Данные обращений в поддержку: e-mail, имя, текст обращения, прикреплённые файлы.
Технические/служебные данные: IP-адрес, тип и версия браузера, операционная система, время визита, реферер, действия в интерфейсе (через систему веб-аналитики Яндекс Метрика).
Платёжные данные: при оформлении платной подписки PRO платёжная информация (номер карты, CVC и т. д.) вводится непосредственно на стороне процессингового центра АО «Альфа-Банк» (Альфа Эквайринг); Оператор получает только идентификатор успешного платежа, маскированный номер карты (последние 4 цифры) и срок действия подписки. Полные платёжные реквизиты Оператору не передаются и им не хранятся.
2.3. Специальные категории и биометрия
Оператор не обрабатывает специальные категории персональных данных (национальность, политические взгляды, состояние здоровья, судимости и т. д.), биометрические персональные данные (отпечатки пальцев, изображение лица для идентификации) и сведения о финансовом положении.
3. Цели и правовые основания обработки
| Цель | Правовое основание |
|---|---|
| Регистрация и аутентификация пользователя | п. 5 ч. 1 ст. 6 152-ФЗ — исполнение договора (оферты) |
| Предоставление функций Сервиса (CRM, AI, рассылка через TG) | п. 5 ч. 1 ст. 6 152-ФЗ + согласие субъекта |
| Отправка системных уведомлений о работе подписки | п. 5 ч. 1 ст. 6 152-ФЗ — исполнение договора |
| Поддержка и ответ на обращения | п. 5 ч. 1 ст. 6 152-ФЗ + п. 1 ч. 1 ст. 6 (согласие) |
| Анализ работы Сервиса, диагностика ошибок (логи) | п. 7 ч. 1 ст. 6 152-ФЗ — законный интерес Оператора |
| Сбор обезличенной статистики посещений | п. 7 ч. 1 ст. 6 152-ФЗ — законный интерес |
| Соблюдение требований законодательства РФ | п. 2 ч. 1 ст. 6 152-ФЗ |
Согласие субъекта на обработку ПД даётся в форме отметки в чек-боксе при регистрации, при отправке формы обратной связи или при привязке Telegram-аккаунта к Сервису.
4. Способы обработки и места хранения
4.1. Обработка персональных данных осуществляется как с использованием средств автоматизации (программные средства Оператора и его контрагентов), так и без них (например, при ручном ответе на обращение).
4.2. Базы данных, содержащие персональные данные граждан Российской Федерации, расположены и обрабатываются на серверах, физически находящихся на территории Российской Федерации (хостинг-провайдер ООО «ТаймВеб», ЦОД в РФ), что соответствует требованиям ч. 5 ст. 18 152-ФЗ о локализации.
4.3. Учебные данные, вносимые репетитором (информация об учениках, занятиях, темах, ДЗ, оплатах и т. п.), обрабатываются и хранятся на серверах Оператора (Российская Федерация, хостинг ООО «ТаймВеб») в защищённой базе данных с разграничением доступа по учётным записям. Доступ к персональным данным пользователя имеют только сам пользователь (по email и паролю) и наделённые соответствующими полномочиями сотрудники Оператора для целей технической поддержки и администрирования Сервиса. Передача данных осуществляется по зашифрованному каналу (HTTPS/TLS). В браузере пользователя (localStorage) дополнительно может храниться кэш этих данных для ускорения работы интерфейса; кэш очищается при выходе из аккаунта.
5. Сроки хранения и уничтожение
| Данные | Срок хранения |
|---|---|
| Регистрационные данные пользователя | До удаления аккаунта пользователем (функция «Удалить мой аккаунт» в настройках) |
| Привязки Telegram-чатов | До отправки команды /stop боту или удаления аккаунта репетитором |
| Запросы в AI-функции | Не сохраняются — удаляются сразу после получения ответа модели |
| Обращения в поддержку | 1 (один) год с даты обращения |
| Технические/серверные логи | Не более 30 (тридцати) дней |
| Платёжные операции (для бухгалтерского учёта) | 5 (пять) лет в соответствии с НК РФ |
| Резервные копии БД | 14 (четырнадцать) дней с автоматической ротацией |
По истечении сроков и/или при отзыве согласия персональные данные уничтожаются, обезличиваются или удаляются Оператором в течение 30 дней.
6. Передача третьим лицам и трансграничная передача
6.1. Оператор не продаёт, не сдаёт в аренду и не передаёт персональные данные третьим лицам в коммерческих целях.
6.2. Передача персональных данных третьим лицам осуществляется только в следующих случаях:
- ООО «Яндекс» (Yandex Cloud, YandexGPT, SpeechKit, Vision OCR, Яндекс Метрика) — обработка контента AI-функций, веб-аналитика. Серверы расположены в РФ.
- Telegram Messenger Inc. — доставка сообщений через Telegram Bot API (chat_id и текст сообщения). Использование Telegram-функций означает согласие с Политикой конфиденциальности Telegram.
- АО «Альфа-Банк» (Альфа Эквайринг) — приём платежей по подписке PRO. Платёжные данные карты обрабатываются на стороне банка-эквайера; Оператор их не получает.
- ООО «ТаймВеб» — хостинг-провайдер инфраструктуры Сервиса.
- В случаях, прямо предусмотренных законодательством РФ — по официальному запросу государственных органов.
6.3. Трансграничная передача персональных данных гражданам иностранных государств с недостаточным уровнем защиты прав субъектов ПД не осуществляется. Передача в Telegram (зарегистрирован в British Virgin Islands) ограничена технически необходимым минимумом — chat_id и тексту сообщения, инициированного самим пользователем.
7. Меры безопасности
В соответствии с ч. 1 ст. 19 152-ФЗ и Постановлением Правительства РФ № 1119 Оператор применяет следующие меры:
- шифрование канала передачи данных по протоколу HTTPS (TLS 1.3) с сертификатом Let's Encrypt;
- хеширование паролей пользователей (SHA-256) — пароли никогда не хранятся в открытом виде;
- требование Bearer-аутентификации на всех приватных API-эндпоинтах;
- ограничение CORS-источников до доверенного домена urokly.ru;
- защита от перебора паролей и спама через rate-limiting (HTTP 429);
- заголовки безопасности браузера: HSTS, Content-Security-Policy, X-Frame-Options: DENY, Referrer-Policy, Permissions-Policy;
- ограничение прав доступа к серверу через SSH с асимметричным ключом, отключение парольной аутентификации (по принципу least privilege);
- ежедневное автоматическое резервное копирование базы данных с шифрованием и хранением 14 дней;
- хардненинг systemd-юнита (NoNewPrivileges, ProtectSystem=strict, PrivateTmp, ReadWritePaths);
- регулярное обновление операционной системы и зависимостей.
8. Права субъектов персональных данных
В соответствии со ст. 14 152-ФЗ субъект персональных данных имеет право:
- получать информацию об обработке своих персональных данных;
- требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или избыточными;
- отзывать своё согласие на обработку персональных данных в любой момент (с пониманием того, что часть функций Сервиса при этом перестанет быть доступной);
- требовать прекращения обработки в случаях, предусмотренных законом;
- обжаловать действия Оператора в уполномоченный орган по защите прав субъектов ПД (Роскомнадзор) или в суд.
Как воспользоваться: направьте письменный запрос на e-mail batata.t@mail.ru с указанием Ф.И.О., e-mail аккаунта и сути запроса. Срок ответа — не более 30 (тридцати) календарных дней с даты получения. Подтверждение личности субъекта может потребоваться (в форме обмена сообщениями с e-mail, привязанного к аккаунту).
Дополнительно функция самостоятельного удаления аккаунта вместе со всеми связанными данными доступна в кабинете репетитора в разделе «Настройки → Удалить аккаунт».
9. Действия при инцидентах информационной безопасности
В соответствии со ст. 18.4 152-ФЗ (введена Федеральным законом от 30.12.2024 № 481-ФЗ) при выявлении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов ПД, Оператор обязан:
- в течение 24 часов уведомить Роскомнадзор о произошедшем инциденте, его предполагаемых причинах, предполагаемом вреде и принятых мерах;
- в течение 72 часов направить в Роскомнадзор сведения о результатах внутреннего расследования и установленных лицах, виновных в инциденте;
- незамедлительно (по возможности в течение 24 часов) уведомить субъектов ПД, чьи данные могли быть скомпрометированы.
Внутренний регламент действий при инциденте утверждён Оператором и доступен по запросу регулирующих органов.
10. Cookies и автоматическая обработка
10.1. Сервис использует файлы cookies и аналог локального хранилища (localStorage) для следующих целей:
- Технически необходимые: хранение токена авторизации, состояния интерфейса, выбранного языка/темы, корзины настроек;
- Аналитические: Яндекс Метрика — сбор обезличенных данных о посещаемости и поведении на сайте.
10.2. Подробное описание используемых cookies приведено в Политике использования cookies.
10.3. Управлять согласием на cookies можно через cookie-баннер, появляющийся при первом посещении сайта, либо через настройки своего браузера.
11. Обработка данных несовершеннолетних
11.1. Сервис предназначен для использования совершеннолетними репетиторами и преподавателями. Регистрация лиц младше 18 лет в качестве пользователя-репетитора не предусмотрена.
11.2. Контент Сервиса имеет возрастную маркировку 6+.
11.3. Если репетитор вносит в Сервис данные ученика младше 14 лет, обработка таких данных требует предварительного письменного согласия его родителя или иного законного представителя (ч. 1 ст. 9 152-ФЗ + ст. 28 ГК РФ). Ответственность за получение такого согласия несёт репетитор как лицо, инициировавшее внесение данных. Оператор предоставляет репетитору шаблон согласия по запросу на e-mail batata.t@mail.ru.
11.4. Учебные материалы, генерируемые AI-функциями Сервиса для несовершеннолетних учеников, проходят дополнительный фильтр контента; репетитор обязан проверить итоговый материал перед передачей ученику.
12. Изменения Политики
Оператор вправе обновлять настоящую Политику. Актуальная редакция всегда публикуется по адресу https://urokly.ru/privacy.html с указанием даты вступления в силу. Существенные изменения дополнительно доводятся до пользователей через e-mail или уведомление в интерфейсе Сервиса.
13. Контакты для запросов
По всем вопросам, связанным с обработкой персональных данных, отзывом согласия и реализацией прав субъектов ПД:
- e-mail: batata.t@mail.ru
- Telegram: @urokly_bot
Жалобу на действия Оператора можно направить в уполномоченный орган по защите прав субъектов персональных данных:
- Роскомнадзор: https://rkn.gov.ru
- Форма приёма обращений: https://rkn.gov.ru/treatments/ask-question/