Политика конфиденциальности

1. Общие положения

Настоящая Политика конфиденциальности, далее — Политика, определяет порядок обработки и защиты персональных данных Индивидуальным предпринимателем Сафиным Маратом Камилевичем, ИНН 162612690108, ОГРНИП 317169000187564, адрес: 420087, Республика Татарстан, г. Казань, ул. Родины, д. 7к6, офис 201, далее — Оператор, при использовании сайта https://belem.su, веб-приложения https://app.belem.su, связанных поддоменов и функциональности SaaS-платформы Belem, далее — Платформа или Сервис.

Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», иными нормативными правовыми актами Российской Федерации в области персональных данных, а также публичной офертой на предоставление доступа к Платформе.

Оператор состоит в реестре операторов, осуществляющих обработку персональных данных, под номером 16-26-063162. Используя Сервис, посещая сайт или направляя Оператору данные, субъект персональных данных подтверждает, что ознакомился с Политикой. Если субъект не согласен с Политикой, он обязан прекратить использование Сервиса, за исключением случаев, когда обработка обязательна по закону.

Оператор направил в уполномоченный орган по защите прав субъектов персональных данных уведомление об обработке и внесён в соответствующий реестр. Настоящая Политика является общедоступным документом, публикуемым в соответствии с частью 2 статьи 18.1 Федерального закона № 152-ФЗ, и применяется совместно с офертой и Пользовательским соглашением.

Belem предоставляет техническую платформу для создания онлайн-школ, размещения учебных материалов, управления учениками, доступами, прогрессом, тестами, домашними заданиями, сертификатами и подготовки выгрузок для ФРДО. Оператор не является образовательной организацией, не оказывает образовательные услуги ученикам школ-клиентов и не определяет цели обработки персональных данных учеников, загружаемых в школу ее владельцем, если иное прямо не указано в настоящей Политике.

2. Термины

Персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу. Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.

Школа — изолированное рабочее пространство клиента Оператора на Платформе. Владелец школы — пользователь с максимальными правами в школе. Администратор школы — пользователь, которому владелец предоставил права управления. Ученик — пользователь, которому школа предоставляет доступ к курсам. Клиент — лицо, заключившее договор с Оператором на использование Платформы, как правило владелец или представитель школы.

Контент школы — курсы, уроки, тесты, домашние задания, файлы, ссылки, изображения, настройки, брендирование, данные учеников и иные материалы, размещаемые Клиентом или его пользователями в рамках школы.

3. Роли Оператора: самостоятельная обработка и обработка по поручению

Оператор выступает самостоятельным оператором персональных данных в отношении данных пользователей, которые регистрируются на сайте, создают школу, оплачивают доступ, обращаются в поддержку, подписываются на рассылки Оператора, а также в отношении технических данных, собираемых при посещении сайта и использовании учетных записей Оператора.

В отношении персональных данных учеников, администраторов и иных лиц, которые Клиент вводит, импортирует или иным образом размещает в своей школе для целей обучения, учета, выдачи доступов, прогресса, сертификатов, подготовки выгрузок ФРДО и иных целей Клиента, Клиент является оператором персональных данных, а Оператор обрабатывает такие данные по поручению Клиента в объеме, необходимом для предоставления функциональности Платформы, исполнения договора с Клиентом и соблюдения требований законодательства.

Клиент обязан самостоятельно определить цели и правовые основания обработки персональных данных в своей школе, получить необходимые согласия субъектов, опубликовать собственную политику или уведомление для учеников, обеспечить законность обработки данных несовершеннолетних, специальных категорий персональных данных и сведений, необходимых для образовательного учета, если такие данные используются. Запросы учеников, относящиеся исключительно к деятельности конкретной школы, направляются в первую очередь этой школе; Оператор оказывает техническую помощь в пределах договора и закона.

4. Категории субъектов персональных данных

Оператор может обрабатывать персональные данные следующих категорий субъектов: посетители сайта; лица, направляющие обращения через формы обратной связи; владельцы и представители школ-клиентов; администраторы школ; ученики школ; лица, проверяющие подлинность брендовых сертификатов на публичной странице verify; уполномоченные представители Клиентов; иные лица, добровольно предоставившие данные Оператору.

5. Состав обрабатываемых персональных данных

В зависимости от роли пользователя и используемых функций Оператор может обрабатывать: фамилию, имя, отчество; адрес электронной почты; номер телефона; должность и сведения о представляемой организации; реквизиты Клиента как юридического лица или ИП; данные учетной записи и роли в школе; хеш пароля и служебные идентификаторы сессии; историю входов, IP-адрес, user-agent, сведения о известных IP для OTP; результаты прохождения уроков, тестов и домашних заданий; оценки, комментарии, прогресс обучения; сведения о выданных доступах, ключах активации, сертификатах и брендовых сертификатах; содержание обращений в поддержку; платежные и бухгалтерские сведения, необходимые для выставления счетов и учета оплаты.

При включении Клиентом функций ФРДО и ведении учета для подачи сведений в ФИС ФРДО в школе могут дополнительно обрабатываться: дата рождения; пол; СНИЛС; гражданство; сведения о предыдущем образовании; данные выданных документов об образовании и связанные реквизиты программ, лицензии школы и руководителя — в объеме, который Клиент вносит в Платформу. Оператор не требует СНИЛС и иные чувствительные сведения, если Клиент сам не активировал соответствующий функционал и не ввел данные.

Оператор не запрашивает специальные категории персональных данных, касающиеся расовой и национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, биометрические персональные данные для установления личности, за исключением случаев, когда Клиент самостоятельно разместил такие сведения в контенте школы. В этом случае ответственность за законность их обработки несет Клиент.

Технические данные: файлы cookie и аналогичные идентификаторы; данные localStorage, необходимые для работы интерфейса и запоминания выбора пользователя; журналы событий, audit log, служебные логи ошибок и безопасности; метаданные загруженных в медиатеку школы файлов брендинга и обложек в пределах квоты школы; код партнёра, по ссылке которого совершён переход, и метки рекламной кампании (utm-параметры), сохраняемые в cookie на срок до 30 календарных дней.

6. Цели обработки персональных данных

Оператор обрабатывает персональные данные в следующих целях: заключение, исполнение и прекращение договора на предоставление доступа к Платформе; регистрация и администрирование учетных записей; предоставление доступа к курсам, тестам, домашним заданиям, сертификатам и иным функциям школы; обеспечение multi-tenant изоляции данных между школами; направление служебных и транзакционных уведомлений, включая напоминания о пробном периоде, окончании подписки, приостановке и удалении школы; обеспечение информационной безопасности, предотвращение мошенничества, брутфорса и несанкционированного доступа; техническая поддержка пользователей; ведение бухгалтерского и налогового учета; исполнение требований уполномоченных органов; улучшение качества Сервиса на основе обезличенной статистики; публикация сведений на странице проверки сертификата в объеме, заданном при выдаче сертификата; учёт привлечения школ партнёрами, расчёт и выплата партнёрского вознаграждения, а также оценка эффективности рекламных каналов.

Маркетинговые сообщения о продуктах Belem направляются только при наличии отдельного согласия или иного законного основания. Отказ от маркетинговых сообщений не влияет на получение обязательных сервисных уведомлений.

Публичная страница проверки сертификата (verify) делает доступными неограниченному кругу лиц сведения, которые школа указала при выдаче сертификата, — как правило фамилию и имя обладателя, наименование программы, дату и реквизиты сертификата. Размещение этих сведений в открытом доступе является распространением персональных данных. Состав публикуемых данных определяет школа как оператор; школа обязана получить согласие обладателя сертификата на распространение его персональных данных, оформленное отдельно от иных согласий в соответствии со статьёй 10.1 Федерального закона № 152-ФЗ, либо иметь иное законное основание. Оператор предоставляет лишь техническую возможность такой публикации, отображает данные из снимка (snapshot), зафиксированного при выдаче, и по обоснованному обращению обладателя или школы ограничивает доступ к странице проверки конкретного сертификата.

7. Правовые основания обработки

Обработка персональных данных осуществляется на правовых основаниях, предусмотренных статьёй 6 Федерального закона № 152-ФЗ: согласие субъекта персональных данных (статья 9 закона); необходимость исполнения договора, стороной или выгодоприобретателем по которому является субъект, либо заключения договора по инициативе субъекта (пункт 5 части 1 статьи 6); необходимость осуществления прав и законных интересов Оператора или третьих лиц при условии, что не нарушаются права и свободы субъекта (пункт 7 части 1 статьи 6); исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (пункт 2 части 1 статьи 6).

Обработка персональных данных учеников и иных пользователей школы по поручению Клиента осуществляется на основании договора между Оператором и Клиентом и поручения на обработку, вытекающего из оферты и настоящей Политики, при условии, что Клиент обеспечил надлежащие основания для такой обработки со стороны субъектов.

8. Способы обработки

Обработка осуществляется с использованием средств автоматизации и без их использования. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации (часть 5 статьи 18 Федерального закона № 152-ФЗ). Пароли пользователей хранятся в виде криптографического хеша. Доступ к данным школ разграничен по school_id; пользователь одной школы не получает доступ к данным другой школы через штатный интерфейс Платформы.

9. Cookies и аналогичные технологии

Сайт и Платформа используют файлы cookie, localStorage и аналогичные технологии для обеспечения авторизации, сохранения сессии, работы CSRF-защиты, запоминания согласия с использованием cookie, настройки интерфейса и безопасности. Отключение обязательных cookie может сделать невозможным вход в личный кабинет и использование отдельных функций.

Для анализа посещаемости и улучшения сайта используется сервис веб-аналитики Яндекс.Метрика (счётчик № 109494375), правообладателем которого является ООО «ЯНДЕКС». Метрика собирает обезличенные данные о посещении: IP-адрес, сведения об устройстве и браузере, источник перехода, просмотренные страницы и действия на сайте. В настройках счётчика может быть включён Вебвизор, который фиксирует обезличенные действия на странице (перемещение курсора, клики, прокрутку, заполнение полей) для улучшения интерфейса. Данные обрабатываются на стороне Яндекса в соответствии с его условиями; серверы Яндекс.Метрики расположены на территории Российской Федерации.

Отдельно Оператор использует функциональные cookie партнёрской атрибуции. При переходе на сайт по партнёрской ссылке, содержащей параметр ref, либо по рекламной ссылке с метками utm_*, сайт сохраняет: belem_ref — код партнёра, привлёкшего пользователя; belem_utm — метки рекламной кампании (источник, канал, кампания, объявление, ключевая фраза). Обе cookie устанавливаются на домен .belem.su сроком до 30 календарных дней, не являются аналитическими и не передаются третьим лицам. При переходе пользователя в Платформу их значения добавляются к адресу страницы регистрации, чтобы связать создаваемую школу с привлёкшим её партнёром и рассчитать его вознаграждение. Cookie не содержат имени, электронной почты, телефона и иных сведений, позволяющих прямо идентифицировать пользователя; код партнёра относится к партнёру, а не к посетителю. Правовое основание обработки — законный интерес Оператора в учёте привлечений и расчётах с партнёрами (пункт 7 части 1 статьи 6 Федерального закона № 152-ФЗ).

О применении cookie и Яндекс.Метрики сайт информирует через всплывающее уведомление. Пользователь может отказаться от аналитических cookie, отключив их в настройках браузера, либо установив дополнение «Яндекс.Метрика — отключение» (https://yandex.ru/support/metrica/general/opt-out.html). Cookie партнёрской атрибуции можно удалить или запретить средствами браузера, а также перейти на сайт по обычной ссылке без параметров ref и utm_*. Отказ от аналитических cookie и cookie атрибуции не влияет на доступ к функциям сайта, на условия использования Платформы и на стоимость подписки. Обязательные (технические) cookie, необходимые для авторизации, сессии и безопасности, отключить нельзя без потери работоспособности отдельных функций.

10. Автоматизированное принятие решений

Оператор не принимает решений, порождающих юридические последствия для субъекта или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных, за исключением технических мер безопасности: rate-limit, блокировки подозрительных попыток входа, проверки captcha, автоматической выдачи брендовых сертификатов по заранее настроенным правилам школы, автоматических уведомлений о сроках подписки.

11. Передача персональных данных третьим лицам

Оператор может поручать обработку персональных данных третьим лицам, которые обеспечивают хостинг, хранение файлов, резервное копирование, доставку email-уведомлений, защиту от ботов и иные технические услуги, при условии соблюдения ими требований конфиденциальности и безопасности и обработки данных на территории Российской Федерации, если иное прямо не допускается законом. Привлечение таких лиц осуществляется на основании договора в соответствии с частью 3 статьи 6 Федерального закона № 152-ФЗ; Оператор отвечает за их действия перед субъектом.

По состоянию на дату редакции Оператор привлекает следующих лиц, обрабатывающих данные по его поручению на территории Российской Федерации: SprintHost — хостинг приложения и базы данных; Selectel (объектное хранилище, регион ru-3) — хранение файлов брендинга, обложек и фонов сертификатов; smtp.bz — доставка сервисных email-уведомлений; Yandex SmartCaptcha — защита форм входа и регистрации от автоматизированных запросов. Перечень может изменяться; актуальный состав предоставляется по запросу на admin@belem.su.

Приём оплаты за доступ к Платформе осуществляется через платёжные сервисы ЮKassa, Т‑Банк и «Долями». При онлайн-оплате реквизиты банковской карты вводятся на стороне соответствующего платёжного сервиса, который выступает самостоятельным оператором в отношении платёжных данных и обрабатывает их по своим правилам и стандартам безопасности. Оператор не получает и не хранит полный номер карты и иные защищённые платёжные реквизиты — он обрабатывает только сведения о факте, сумме, дате и статусе платежа, необходимые для учёта и закрывающих документов.

Партнёр, по ссылке которого зарегистрирована школа, получает в личном кабинете партнёра ограниченные сведения о привлечённой им школе: наименование школы, её адрес на Платформе, дату регистрации, статус подписки и размер собственного вознаграждения. Партнёру не раскрываются фамилия, имя, адрес электронной почты, номер телефона и иные контактные данные владельца школы, содержимое школы, число её учеников, а также суммы платежей школы. Партнёр не получает доступ к учётной записи школы и к персональным данным её пользователей. Если наименование школы совпадает с фамилией, именем и отчеством её владельца, соответствующие сведения становятся известны партнёру в объёме такого наименования. Партнёр обязан соблюдать конфиденциальность полученных сведений в силу партнёрского договора и не вправе использовать их для собственных маркетинговых целей.

Передача государственным органам осуществляется только при наличии законных оснований и в объеме, предусмотренном законодательством. Оператор не продает персональные данные и не передает их третьим лицам для их собственных маркетинговых целей без отдельного согласия субъекта.

Если Клиент размещает ссылки на внешние видеохостинги, облачные диски, сервисы трансляций и иные ресурсы, обработка данных на таких ресурсах регулируется правилами соответствующих сервисов и ответственностью Клиента. Оператор не контролирует содержание внешних ссылок, встроенных Клиентом в контент школы.

12. Трансграничная передача

Оператор не осуществляет трансграничную передачу персональных данных, за исключением случаев, когда такая передача прямо требуется законодательством Российской Федерации или когда соблюдён порядок, предусмотренный статьёй 12 Федерального закона № 152-ФЗ. Основное хранение и обработка персональных данных Платформы осуществляются на территории Российской Федерации.

Если на сайте используются сторонние сервисы аналитики, защиты от ботов или доставки веб-шрифтов, при обращении к ним может передаваться техническая информация (IP-адрес, сведения об устройстве и браузере). Такие сервисы по умолчанию выбираются из числа размещённых в Российской Федерации; если применяется сервис, обрабатывающий данные за её пределами, трансграничная передача осуществляется с соблюдением статьи 12 Федерального закона № 152-ФЗ, включая предварительное уведомление уполномоченного органа.

13. Сроки обработки и хранения

Персональные данные обрабатываются до достижения целей обработки, истечения срока действия договора, отзыва согласия, если обработка основана только на согласии, либо до истечения сроков, установленных законодательством для хранения соответствующих документов и сведений.

Данные школы после окончания пробного или оплаченного периода могут сохраняться в период льготного доступа, приостановки и до удаления школы в соответствии с жизненным циклом, описанным в оферте: льготный период до 7 календарных дней, хранение приостановленной школы до 90 календарных дней, полное удаление данных и файлов — по истечении дополнительного срока до 90 календарных дней, если школа не восстановлена и иное не согласовано.

Резервные копии могут храниться до 14 календарных дней для целей восстановления после технических сбоев и затем перезаписываться. Файлы выгрузок ФРДО, сформированные по запросу Клиента, могут удаляться автоматически по истечении 7 календарных дней, если иной срок не требуется для спора или закона.

Cookie партнёрской атрибуции (belem_ref, belem_utm) хранятся в браузере пользователя до 30 календарных дней с момента перехода по соответствующей ссылке и обновляются при новом переходе. Сведения о связи «партнёр — привлечённая школа», начисленном вознаграждении и произведённых выплатах хранятся у Оператора в течение срока действия партнёрского договора и далее в течение сроков, установленных законодательством для хранения бухгалтерских и налоговых документов.

Обезличенные статистические данные могут храниться без ограничения срока.

14. Меры защиты персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, в том числе: разграничение доступа по ролям и школам; хеширование паролей; защита форм от CSRF; rate-limit на чувствительные операции; OTP-подтверждение входа с нового IP при включении соответствующей настройки; captcha при подозрительной активности; аудит значимых действий; санитизация пользовательского HTML; резервное копирование; ограничение доступа сотрудников и подрядчиков к данным по принципу необходимости.

Подробнее о технических и организационных мерах см. на странице Безопасность платформы.

15. Права субъекта персональных данных

Субъект персональных данных имеет право: получать сведения об обработке его персональных данных; требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки; отозвать согласие на обработку, если обработка основана на согласии; требовать устранения неправомерных действий Оператора; обжаловать действия или бездействие Оператора в Роскомнадзор или в суд; осуществлять иные права, предусмотренные законодательством Российской Федерации.

Ученик школы вправе также обратиться к владельцу или администратору соответствующей школы с запросами, связанными с обучением, доступом к курсам, сертификатами и документами, выданными школой.

16. Порядок обращений и сроки ответа

Запросы, связанные с обработкой персональных данных Оператором, направляются на email: admin@belem.su с пометкой «Персональные данные» или почтовым отправлением по адресу Оператора. В обращении рекомендуется указать ФИО, контактный email, описание запроса, отношение к конкретной школе, если применимо, и подтверждающие документы при обращении представителя.

Запрос субъекта о предоставлении сведений об обработке его персональных данных рассматривается в срок до 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней (статья 20 Федерального закона № 152-ФЗ). Иные обращения рассматриваются в срок, не превышающий 30 календарных дней с даты получения, если иной срок не установлен законом. В случае необходимости уточнения сведений срок может быть продлён на разумный период с уведомлением заявителя.

Удаление или ограничение обработки может быть отложено или отклонено частично, если сохранение данных необходимо для исполнения договора, защиты прав Оператора, ведения учета, рассмотрения спора, исполнения требований закона или обеспечения безопасности других пользователей.

17. Согласие и его отзыв

Согласие на обработку персональных данных может быть выражено путем регистрации, проставления отметки в форме, продолжения использования Сервиса после ознакомления с Политикой, направления заявки или иными способами, позволяющими подтвердить волеизъявление субъекта.

Согласие на получение рекламных и информационно-маркетинговых сообщений оформляется отдельным самостоятельным действием субъекта (например, проставлением соответствующей отметки) и не является условием регистрации или предоставления доступа к Сервису. Такое согласие может быть отозвано в любой момент по ссылке в письме или по запросу на admin@belem.su без последствий для получения обязательных сервисных уведомлений.

Отзыв согласия направляется на admin@belem.su. Отзыв не имеет обратной силы и не влияет на законность обработки, осуществленной до момента отзыва. После отзыва Оператор прекращает обработку, если отсутствуют иные законные основания, и удаляет данные в срок, предусмотренный законом, если их дальнейшее хранение не требуется.

18. Несовершеннолетние

Если в школе обучаются несовершеннолетние, Клиент обязан обеспечить получение согласия законного представителя или иное законное основание обработки в соответствии с законодательством Российской Федерации. Оператор полагается на заверения Клиента о наличии таких оснований и оказывает техническую возможность ведения учета в рамках функций школы.

19. Инциденты информационной безопасности

При выявлении неправомерной или случайной передачи, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, повлекшей нарушение прав субъектов, Оператор принимает меры по локализации инцидента и снижению рисков. В частности, при установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования и выявленных виновных лицах (часть 3.1 статьи 21 Федерального закона № 152-ФЗ). Затронутые субъекты уведомляются в случаях и порядке, предусмотренных законодательством.

20. Изменение Политики

Оператор вправе изменять Политику. Новая редакция вступает в силу с момента размещения на сайте, если иная дата не указана в тексте редакции. Актуальная версия всегда доступна по адресу https://belem.su/legal/privacy. Существенные изменения, затрагивающие уже оплаченный период доступа Клиента, не ухудшают его положение без законных оснований.

21. Заключительные положения

По вопросам, не урегулированным Политикой, стороны руководствуются законодательством Российской Федерации и договором с Оператором. При противоречии между Политикой и обязательными нормами закона применяются обязательные нормы закона.

Реквизиты Оператора: ИП Сафин Марат Камилевич, ИНН 162612690108, ОГРНИП 317169000187564, адрес: 420087, Республика Татарстан, г. Казань, ул. Родины, д. 7к6, офис 201, сайт: belem.su, email для обращений по персональным данным: admin@belem.su, реестр операторов персональных данных: №16-26-063162.