Политика обработки персональных данных

1. Общие положения

1.1. Оператором персональных данных является Индивидуальный предприниматель Ершов Андрей Валерьевич (ИНН 110116757261, ОГРНИП 323112100004244), адрес: 167000, Республика Коми, г. Сыктывкар, ул. Коммунистическая, д. 85, кв. 3.

1.2. Настоящая Политика действует в отношении всех персональных данных, которые Оператор может получить от посетителей Сайта, Клиентов, Инструкторов.

1.3. Оператор уведомил Роскомнадзор об обработке персональных данных (рег. номер будет указан после получения уведомления).

2. Персональные данные, обрабатываемые Оператором

2.1. Оператор может собирать и обрабатывать:

• фамилию, имя, отчество;
• контактный телефон, адрес электронной почты;
• адрес проживания (для определения места проведения занятий);
• геолокацию (координаты с согласия браузера — для карты и подбора ближайших инструкторов);
• идентификаторы устройств и сессий (cookies, user-agent, IP-адрес при обращении к Сайту);
• push-токены (подписки Web Push для уведомлений о заказах и напоминаниях);
• историю заказов, комментарии, переписку с поддержкой.

2.2. Для Инструкторов дополнительно: ИНН, статус самозанятого/ИП, реквизиты для выплат, документы (страхование, справки).

2.3. Геолокация запрашивается отдельно через стандартный диалог браузера. Отказ не блокирует основной функционал (регистрация, заказы, оплата), но ограничивает работу карты: не отображаются ближайшие инструкторы и точка «где я».

2.4. Cookies и локальное хранилище используются для входа в аккаунт, безопасности сессии, сохранения настроек и реферальной программы (cookie utr_ref). При первом посещении Сайт показывает уведомление; продолжая пользоваться сервисом или нажимая «Принять», вы соглашаетесь с настоящей Политикой.

3. Цели обработки персональных данных

• заключение и исполнение договора-оферты (бронирование, оплата, возвраты);
• связь с Клиентом (подтверждение записи, уведомления об изменении статуса заказа);
• показ ближайших инструкторов на карте и расчёт расстояния до точки встречи;
• push-уведомления о заявках и напоминаниях о занятиях;
• выплата вознаграждения Инструкторам;
• обработка обращений в службу поддержки;
• улучшение работы Сайта и аналитика.

4. Правовые основания обработки

4.1. Обработка осуществляется с согласия субъекта (путём проставления галочки при заказе, записи на мероприятие, а также при регистрации/заполнении анкеты инструктора). Геолокация — отдельное согласие браузера.

4.2. Обработка также осуществляется в случаях, когда она необходима для исполнения договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 ФЗ № 152‑ФЗ).

4.3. Согласие считается данным на неопределённый срок, но может быть отозвано письменным уведомлением на email Оператора: berezka23igor@yandex.ru.

5. Порядок и условия обработки

5.1. Данные обрабатываются с использованием автоматизированных систем и без них (бумажные носители — только при необходимости).

5.2. Доступ к персональным данным имеют только уполномоченные лица Оператора (администраторы платформы), а также Инструкторы — в части, необходимой для исполнения заказа (имя, телефон, адрес/координаты встречи).

5.3. Персональные данные хранятся в информационной системе персональных данных (ИСПДн) платформы Utrainer на арендованном виртуальном сервере (VPS) на территории Российской Федерации. Инфраструктуру размещения предоставляет хостинг-провайдер ООО «Бегет» (ИНН 7801451618); ООО «Бегет» не является оператором персональных данных и не определяет цели обработки. Основное хранилище — СУБД PostgreSQL; отдельное шифрование носителей и полей базы данных не применяется.

5.4. Трансграничная передача персональных данных при размещении ИСПДн на серверах в РФ Оператором не осуществляется. Отдельные сведения могут передаваться зарубежным сервисам только в случаях, указанных в разделе 7 (например, Web Push, Google OAuth), при наличии согласия или иного основания по закону.

6. Обеспечение безопасности персональных данных (ПП РФ № 1119, Приказ ФСТЭК № 21)

6.1. Оператор обеспечивает безопасность персональных данных в соответствии с Федеральным законом от 27.07.2006 № 152‑ФЗ, Постановлением Правительства РФ от 01.11.2012 № 1119 и Приказом ФСТЭК России от 18.02.2013 № 21.

6.2. Уровень защищённости ИСПДн: УЗ‑3 (иные персональные данные; субъекты — клиенты и инструкторы; число субъектов до 100 000; актуальны угрозы 3‑го типа — внешний нарушитель без физического доступа к средствам обработки).

Организационные меры:

• назначение ответственного за организацию обработки ПДн (оператор — ИП Ершов Андрей Валерьевич);
• настоящая Политика и локальные правила доступа к ИСПДн;
• ограничение круга лиц, допущенных к ПДн;
• учёт обращений субъектов и сроков хранения;
• реагирование на обращения и запросы субъектов в срок до 30 дней.

Технические меры:

• защищённый канал передачи данных — протокол TLS (HTTPS);
• аутентификация пользователей и разграничение доступа по ролям;
• хранение паролей в виде криптографического хеша bcrypt;
• резервное копирование;
• антивирусная защита инфраструктуры;
• ограничение сетевого доступа к серверу и СУБД.

6.3. Средства криптографической защиты информации (СКЗИ), сертифицированные ФСБ России, не применяются. Для защиты канала передачи используется протокол TLS (HTTPS), сертификаты Let's Encrypt, веб-сервер Caddy.

7. Передача персональных данных третьим лицам

7.1. Оператор передаёт данные Инструктору (имя, телефон, адрес/координаты встречи) для проведения занятия или мероприятия.

7.2. ЮKassa (НКО «ЮМани») — приём оплаты и возвратов: сумма, идентификатор заказа; данные банковской карты обрабатываются только на стороне ЮKassa.

7.3. SMTP-хостинг (почтовый сервер оператора, например Beget) — адрес email, имя, текст писем (сброс пароля, уведомления).

7.4. MAX (Bot API) — текст обращений в поддержку, email/имя пользователя при создании тикета.

7.5. Яндекс.Карты — координаты и адреса для отображения карты и геокодирования (при использовании API карт).

7.6. Web Push (браузерные push-сервисы Google/Mozilla и др.) — push-токен подписки и текст уведомления.

7.7. Google OAuth (при входе через Google) — email, имя, идентификатор аккаунта Google.

7.8. По требованию уполномоченных органов данные могут быть переданы в соответствии с законодательством РФ.

8. Хранение, прекращение обработки и уничтожение

8.1. Данные хранятся в течение всего срока действия договора и 5 (пяти) лет после последнего взаимодействия с Оператором (для соблюдения налогового и иного законодательства РФ).

8.2. Обработка прекращается при: истечении срока хранения; достижении целей обработки; отзыве согласия субъектом (в части, основанной на согласии); удалении учётной записи или по запросу субъекта — в пределах, допустимых законом; прекращении деятельности Оператора; иных основаниях, предусмотренных ФЗ № 152‑ФЗ.

8.3. По истечении срока хранения или при наступлении оснований для прекращения обработки данные уничтожаются или обезличиваются.

9. Права субъекта

9.1. Субъект персональных данных вправе запросить информацию о своих данных, потребовать их исправления или удаления, направив запрос на email berezka23igor@yandex.ru или письменное обращение по адресу Оператора.

9.2. Оператор обязан ответить в течение 30 дней.

10. Контактная информация

По вопросам обработки персональных данных обращаться: berezka23igor@yandex.ru.

Адрес для письменных обращений: 167000, Республика Коми, г. Сыктывкар, ул. Коммунистическая, д. 85, кв. 3.