Политика обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки и защиты персональных данных в сервисе POLINA BIO.

Оператор

ИП Горская Полина Николаевна

ИНН

100119974250

ОГРНИП

325100000016740

Политика применяется к данным посетителей сайта, приглашённых и зарегистрированных учеников, их законных представителей — когда они участвуют во взаимодействии с Оператором, а также пользователей личного кабинета.

2. Какие данные обрабатываются

• имя либо отображаемое имя ученика;
• адрес электронной почты;
• класс, тип экзамена, целевой балл и дата экзамена, если они указаны;
• учебный план, открытые и завершённые темы, показатели прогресса и освоения материала;
• расписание, сведения о занятиях, их статусе и ссылках подключения;
• домашние задания, комментарии, ответы, отправленные работы и файлы;
• результаты домашних работ, диагностик и иных учебных оцениваний;
• сообщения в личном кабинете и уведомления;
• данные абонемента и история операций по занятиям;
• заметки преподавателя, связанные с организацией и сопровождением обучения;
• имена, типы, размеры и технические характеристики загружаемых файлов;
• технические данные безопасности: идентификатор сессии, CSRF-токен, хеш IP-адреса, user-agent, даты входа и активности, события безопасности и аудита.

Пароли хранятся только в виде криптографических хешей. Токены приглашений, восстановления доступа и сессий также хранятся в хешированном виде.

3. Цели обработки

• создание аккаунта по приглашению и предоставление доступа к платформе;
• идентификация и аутентификация пользователя, восстановление доступа и защита аккаунта;
• организация занятий, составление индивидуального учебного маршрута и ведение расписания;
• предоставление учебных материалов, домашних заданий, обратной связи и сообщений;
• оценка результатов, расчёт прогресса и корректировка подготовки;
• учёт занятий и состояния абонемента;
• обработка обращений, направленных пользователем по доступным на сайте каналам;
• обеспечение безопасности, предотвращение злоупотреблений и расследование инцидентов;
• выполнение обязанностей, установленных законодательством.

4. Категории субъектов и основания

Обрабатываются данные посетителей сайта, учеников, пользователей платформы и, когда это применимо, законных представителей несовершеннолетних учеников.

Основаниями обработки являются согласие субъекта или его представителя; действия по запросу субъекта до заключения договора и исполнение договора, когда договор заключён; выполнение обязанностей Оператора по закону; законные интересы Оператора в обеспечении безопасности при условии соблюдения прав субъектов.

5. Операции с данными

Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление доступа в пределах платформы, блокирование, удаление и уничтожение данных с использованием автоматизированной обработки и, при необходимости, без использования средств автоматизации.

Доступ предоставляется только в объёме, необходимом ученику, преподавателю и привлекаемым обработчикам для выполнения соответствующих функций.

6. Хранение и прекращение обработки

Данные обрабатываются до достижения соответствующей цели, прекращения договорных отношений или отзыва согласия, если отсутствует иное законное основание для продолжения обработки. Активные сессии имеют абсолютный срок до 12 часов и завершаются после 30 минут бездействия. Ссылки приглашений действуют 24 часа, ссылки восстановления пароля — 1 час.

После достижения целей данные удаляются или обезличиваются, если обязательное хранение не предусмотрено законом. Удаление аккаунта и связанных учебных данных выполняется Оператором по предусмотренной процедуре или по обоснованному запросу; отдельные записи аудита могут сохраняться в обезличенном виде.

7. Сервисы и получатели

В зависимости от конфигурации проекта могут использоваться: Resend — для отправки сервисных email; Cloudflare R2 — для закрытого хранения файлов; Google Fonts — для загрузки шрифтов на публичном сайте. Конкретная производственная конфигурация и места расположения инфраструктуры требуют подтверждения Оператором.

Переход по внешним ссылкам Instagram, Telegram или почтовой программы происходит по инициативе пользователя и регулируется документами соответствующего сервиса.

8. Cookies

Платформа использует технически необходимую cookie polinabio_session для авторизации и защиты сессии. Она имеет атрибуты HttpOnly и SameSite=Lax, а в production — Secure; максимальный срок составляет 12 часов. Аналитические, рекламные и маркетинговые cookies кодом проекта не устанавливаются.

9. Защита данных

Применяются разграничение доступа по ролям, серверные сессии, хеширование паролей и токенов, CSRF-защита, ограничения частоты запросов, журналирование событий безопасности, двухфакторная защита преподавателя, проверка типов и размеров файлов, закрытое файловое хранилище и временные подписанные ссылки.

10. Права субъекта

Субъект вправе получать сведения об обработке своих данных, требовать уточнения, блокирования или удаления данных, отозвать согласие и обжаловать действия Оператора. Обращение должно позволять идентифицировать заявителя и сформулировать требование. Ответ предоставляется в порядке и сроки, установленные законодательством.