Политика обработки персональных данных

Настоящая Политика описывает, какие персональные данные пользователя обрабатывает платформа Climbio (далее — «Сервис»), для каких целей, на каких основаниях и как пользователь может управлять своими данными. Документ составлен в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

1. Кто обрабатывает данные

Оператор персональных данных — физическое лицо Чухин Роман Андреевич, ИНН 773510521320. Регистрационный номер в реестре операторов персональных данных (Роскомнадзор): 77-26-552740. Контакт для запросов: support@climbio.ru.

2. Какие данные собираем

В рамках работы Сервиса обрабатываются:

• имя, фамилия, никнейм;
• email-адрес;
• номер телефона (если указан);
• пароль (хранится только в виде хэша, прочитать его невозможно);
• история активности в кабинете: посещение страниц, выполнение заданий, статусы уроков;
• технические данные сессии — IP-адрес, User-Agent, время входа/выхода;
• содержимое сообщений в чате между учеником и преподавателем;
• факт согласия с правовыми документами (дата, версия документа, IP, User-Agent).

Сервис не собирает биометрические данные, специальные категории ПДн (национальность, политические взгляды, состояние здоровья и т. п.), а также данные платёжных карт.

3. Цели обработки

• идентификация и аутентификация пользователя;
• предоставление доступа к функциям Сервиса;
• отправка транзакционных писем (подтверждение email, сброс пароля, уведомления об уроках);
• аналитика качества Сервиса (агрегированные показатели, без идентификации конкретного пользователя в публичной отчётности);
• защита Сервиса от злоупотреблений (rate-limit, fraud-detection).

4. Правовые основания

Обработка происходит на основании согласия пользователя, выраженного при регистрации (отдельной галкой), а также для исполнения договора между пользователем и оператором (ст. 6 ч. 1 п. 5 152-ФЗ).

5. Кому передаём данные

Данные пользователя могут быть переданы:

• провайдеру корпоративной почты Yandex 360 (ООО «Яндекс», Россия) — только для отправки транзакционных писем. Передаётся email получателя и тело письма;
• сервису веб-аналитики Яндекс.Метрика (ООО «Яндекс», Россия) — IP-адрес, идентификатор cookie, User-Agent, поведенческие данные о просмотрах страниц. Передача происходит только при наличии согласия, выраженного через cookie-баннер (выбор «Принять все»). При выборе «Только необходимые» данные в Метрику не передаются. Яндекс является обработчиком по поручению в соответствии с политикой Яндекса;
• платёжному сервису ЮKassa (АО «НКО ЮMoney», Россия) — при оплате подписки. Передаётся email плательщика, сумма платежа, название тарифа и идентификатор пользователя на стороне Сервиса. ЮKassa является самостоятельным оператором ПДн и обрабатывает данные в соответствии со своей политикой;
• Федеральной налоговой службе России через сервис «Мой Налог» — после успешной оплаты администратор (самозанятый, плательщик НПД по 422-ФЗ) формирует чек ФНС, который содержит сумму платежа, описание услуги и email получателя. Передача обязательна в силу закона;
• серверам Сервиса — для отображения данных самому пользователю и его преподавателю/ученику в рамках их учебного взаимодействия;
• государственным органам — только по обоснованным запросам в порядке, установленном законодательством РФ.

Передача за пределы Российской Федерации не осуществляется. Серверы Сервиса физически расположены на территории РФ (требование локализации по 152-ФЗ соблюдается).

6. Срок хранения

Данные хранятся всё время действия аккаунта. После удаления аккаунта данные удаляются в течение 30 дней, за исключением:

• записей журнала согласий — хранятся 3 года для возможной проверки соблюдения 152-ФЗ;
• финансовых документов (платежи через ЮKassa, чеки ФНС) — хранятся 4 года с момента совершения операции (НК РФ ст. 23 ч. 1 п. 8). В этот период сами по себе финансовые записи могут быть запрошены налоговыми органами, удаление аккаунта на них не влияет.

7. Защита данных

Применяются технические и организационные меры защиты: шифрование канала (HTTPS/TLS), хэширование паролей, ограничение прав доступа, журналирование действий администраторов, регулярные резервные копии, ограничение по количеству попыток входа (rate-limit).

8. Права пользователя

В соответствии с 152-ФЗ ты имеешь право:

• знать, какие данные о тебе обрабатываются;
• получить копию своих данных;
• требовать исправления неточных данных;
• требовать удаления данных или ограничения обработки;
• отозвать согласие на обработку — тогда учётная запись будет деактивирована.

Чтобы воспользоваться любым из этих прав, напиши на support@climbio.ru с того же email, который привязан к аккаунту. Срок ответа — до 10 рабочих дней.

9. Cookies и аналитика

Сервис использует две категории cookies:

• Необходимые — требуются для работы сайта (авторизация, запоминание сессии, защита от CSRF). Эти cookies устанавливаются всегда, отказ от них сделает сайт неработоспособным. К ним относятся .AspNetCore.Identity.Application, .AspNetCore.Antiforgery.*, и другие cookies аутентификации;
• Аналитические — Яндекс.Метрика, помогает понимать, какие страницы и сценарии полезны пользователям. Включается только после явного согласия через cookie-баннер, который показывается при первом визите. Данные собираются обезличенно, без целей рекламной идентификации.

При первом визите на сайт пользователь видит баннер с двумя кнопками: «Принять все» (включает аналитические cookies) и «Только необходимые» (только функциональные). Выбор сохраняется в локальном хранилище браузера на устройстве пользователя. Чтобы изменить выбор — очистите cookies сайта в настройках браузера, и баннер появится снова.

10. Маркетинговые рассылки

Сервис может направлять пользователю письма с новостями, акциями и спецпредложениями. Такие письма отправляются только при наличии явного согласия (ст. 18 38-ФЗ «О рекламе»). Согласие даётся:

• при регистрации — необязательной галкой «Согласен получать письма с новостями…»;
• в любой момент после регистрации — через переключатель в разделе «Настройки профиля».

Согласие можно отозвать в любой момент тем же переключателем — отписка вступит в силу немедленно, отдельных подтверждений не требуется. Каждое включение и отключение маркетинг-согласия фиксируется в журнале с указанием даты и IP — это нужно для возможной проверки соблюдения 152-ФЗ и 38-ФЗ.

Транзакционные письма (подтверждение email, сброс пароля, уведомления об уроках, чеки оплат) — не являются маркетинговыми и отправляются всегда, независимо от отзыва маркетинг-согласия. Они необходимы для исполнения договора оферты.

11. Изменение Политики

Оператор может вносить изменения в Политику. О существенных изменениях пользователь узнаёт через email или баннер при следующем входе. Действующая версия всегда доступна по адресу /privacy.

12. Контакт

Все запросы по обработке персональных данных направляются на support@climbio.ru.