Политика обработки персональных данных umky
Редакция 1.4 от 16.10.2026 · Документ опубликован по ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о ПДн)
Коротко
- umky — онлайн-класс для репетиторов. Регистрируются только взрослые учителя. Ученики входят по ссылке учителя и вводят только имя.
- Данные учителей мы обрабатываем как оператор: почта, имя, вход, оплата, обращения.
- Данные учеников (имя, ответы, комментарии учителя): цели и содержание их обработки определяет учитель — он оператор, а мы обрабатываем их по его поручению. Права на свои данные остаются у учеников (за детей их осуществляют родители). Мы не берём у учеников телефон, почту и дату рождения, не делаем им рассылок, не показываем рекламу и не обучаем на их ответах ИИ.
- Все данные на наших серверах хранятся в России. За границу мы их не передаём. Временные копии урока могут храниться в вашем браузере (раздел 5).
- Сами ставим только необходимые cookies, без сторонних счётчиков.
- Узнать, что мы о вас храним, исправить или удалить — письмо на privacy@umky.ru. Отвечаем в течение 10 рабочих дней.
1. Кто обрабатывает данные
1.1. Оператор — индивидуальный предприниматель Кулюкин Станислав Олегович, ИНН 532125955588, ОГРНИП 326530000018139. Адрес для корреспонденции: г. Санкт-Петербург, Загородный пр., д. 27/21, пом. 23Н, офис 9. Почта по вопросам персональных данных: privacy@umky.ru.
1.2. Ответственный за организацию обработки персональных данных — Кулюкин Станислав Олегович, privacy@umky.ru.
1.3. Сведения об операторе вносятся в реестр операторов, осуществляющих обработку персональных данных (Роскомнадзор). Регистрационный номер будет указан здесь после внесения.
1.4. Политика действует для сайта umky.ru, платформы app.umky.ru и всех других поддоменов umky.ru (далее — Платформа). Она доступна без регистрации; ссылка на неё есть на страницах регистрации и входа, на странице входа ученика в урок и в задание и в других формах, где вводятся данные.
2. Две роли: где мы оператор, а где — обработчик
2.1. Мы — оператор данных:
- учителей (зарегистрированных пользователей), в том числе учителей, которых подключила школа, — для данных их аккаунтов (почта, вход, сессии, обращения в поддержку);
- людей, которые пишут нам в поддержку, не будучи учителями;
- посетителей публичных страниц сайта;
- правообладателей и других заявителей, которые присылают жалобы на материалы;
- представителей школ и других контрагентов;
- участников исследований и интервью, если они дали согласие.
2.2. Мы — обработчик по поручению (ч. 3 ст. 6 Закона о ПДн) для данных учеников, которых учитель или школа приглашает в урок или в задание, а также для рабочих данных учителей школы в пространстве школы. Оператор этих данных — учитель или школа: он определяет цели и содержание обработки, решает, кого приглашать, что хранить и когда удалять, обеспечивает законное основание и, если закон этого требует, согласие на поручение обработки нам. Мы обрабатываем эти данные только в пределах Поручения на обработку персональных данных (Приложение № 1 к оферте): там определены перечень данных, действия, цели, требования к конфиденциальности и защите, порядок подтверждения мер и уведомления об инцидентах, а также подрядчики, которых мы вправе привлекать. Исключение — IP-адрес и сведения о браузере участников уроков, которые мы используем и для собственной защиты Платформы (п. 3.4): здесь мы оператор. Как поступать, если вы ученик или родитель, — раздел 6.
3. Какие данные, зачем, на каком основании и сколько храним
Мы обрабатываем только данные, которые нужны для указанной цели. Сроки ниже — максимальные; если цель достигнута раньше, данные удаляются раньше, если закон не требует хранить их дольше.
3.1. Регистрация, вход и работа аккаунта учителя
| Кто | Учителя |
| Данные | Адрес почты; имя, которое вы указали; при входе через Яндекс ID или VK ID — идентификатор и данные, которые вы разрешили передать (имя, почта); часовой пояс и настройки; ссылка на ваш запасной звонок; сессии и устройства входа; хэш пароля, если вы задали пароль (вход по паролю — по желанию; сам пароль мы не храним); IP-адрес и сведения о браузере при входе; аудио- и видеопоток во время видеосвязи (передаётся в реальном времени и не записывается); ваши материалы, если в них есть персональные данные |
| Зачем | Создать и вести аккаунт, дать вход, работать с уроками, отправлять письма входа и служебные уведомления |
| Основание | Заключение и исполнение договора (оферты), стороной которого вы являетесь (п. 5 ч. 1 ст. 6 Закона о ПДн). Отдельного согласия для этого не требуется. Для учителей, которых подключила школа, — также наш законный интерес в исполнении договора со школой (п. 7 ч. 1 ст. 6) |
| Срок | Пока действует аккаунт и 30 дней после его удаления. Аккаунт, у которого 12 месяцев нет пробного или оплаченного периода, удаляется вместе с материалами после трёх писем за 60, 30 и 7 дней (оферта, пп. 8.4, 14.4) |
3.2. Оплата и учёт
| Кто | Учителя, которые оплачивают тариф; представители школ |
| Данные | Почта для чека; тариф, сумма, дата, номер платежа у банка, статус; маскированный номер карты или признак СБП, если их передаёт банк; для школ — реквизиты организации, ФИО и должность подписанта |
| Зачем | Принять оплату, отправить кассовый чек, вернуть деньги, вести налоговый учёт |
| Основание | Для учителя-плательщика — договор (п. 5 ч. 1 ст. 6); для представителя школы — наш законный интерес в исполнении договора со школой (п. 7 ч. 1 ст. 6); кассовые чеки и налоговые документы — обязанности по закону: Федеральный закон № 54-ФЗ и Налоговый кодекс РФ (п. 2 ч. 1 ст. 6) |
| Срок | Сведения в документах налогового учёта — в течение обязательного срока их хранения (5 лет, подп. 8 п. 1 ст. 23 НК РФ; храним до 31 декабря пятого года после года платежа); иные платёжные сведения — только пока нужны для расчётов, возвратов и защиты прав, но не дольше этого срока. При удалении аккаунта платёжные документы, которые закон обязывает хранить, остаются без почты, имени и других данных аккаунта; в счетах школ остаются реквизиты организации или индивидуального предпринимателя |
Полный номер карты, срок её действия и код CVC/CVV вводятся на платёжной странице банка; мы их не получаем и не храним. Мы можем получать от банка маскированный номер карты и номер платежа.
3.3. Поддержка и обращения
| Кто | Учителя, другие обратившиеся |
| Данные | Имя, почта или другой контакт, который вы указали; текст обращения и вложения; код диагностики (браузер, тип соединения, ошибки — без имён и ответов учеников) |
| Зачем | Ответить и решить проблему |
| Основание | Для обращений, связанных с заключением или исполнением договора, — договор (п. 5 ч. 1 ст. 6); для иных обращений — законный интерес оператора и заявителя в рассмотрении обращения при соблюдении прав заявителя (п. 7 ч. 1 ст. 6) |
| Срок | Переписка — 1 год после закрытия обращения; коды диагностики — 30 дней |
Обращения хранятся на наших серверах в России. Внутренние уведомления команды о новом обращении содержат только его номер и ссылку — без имени, почты и текста.
3.3а. Заявки и обращения с сайта umky.ru
| Кто | Учителя и другие люди, которые отправили заявку или обращение через форму на сайте umky.ru |
| Данные | Имя; почта; ответы анкеты — предмет, с какой платформы переезжаете, сколько уроков перенести, ссылки на уроки или комментарий; с какой страницы сайта пришла заявка (тема и платформа из адреса страницы); дата и время заявки и версия Политики, с которой вы ознакомились; статус заявки и служебная заметка того, кто её разбирает. IP-адрес с заявкой не сохраняется: для защиты от массовых отправок используется только его зашифрованный отпечаток в оперативной памяти сервера, который стирается в конце суток |
| Зачем | Ответить на заявку или обращение, подключить к Платформе, договориться о переносе уроков |
| Основание | Для заявок на подключение к Платформе — действия по вашей инициативе для заключения договора (п. 5 ч. 1 ст. 6 Закона о ПДн); для иных обращений — законный интерес оператора и заявителя в рассмотрении обращения при соблюдении прав заявителя (п. 7 ч. 1 ст. 6). Отдельного согласия не требуется |
| Срок | 1 год после последнего сообщения по заявке; заявки, признанные спамом, — 30 дней. Если по заявке вы зарегистрировались на Платформе, данные аккаунта дальше обрабатываются по п. 3.1 |
Заявки хранятся в базе данных сайта на нашем сервере в Санкт-Петербурге (п. 7.1). Уведомление команде о новой заявке содержит только её номер и ссылку — без имени, почты и ответов.
3.4. Безопасность и надёжность сервиса
| Кто | Учителя; посетители сайта; участники уроков и заданий — только IP-адрес и сведения о браузере и устройстве |
| Данные | IP-адрес, сведения о браузере и устройстве, журналы входов и действий в аккаунте; события работы с псевдонимными идентификаторами: технические (подключение, обрыв связи, ошибки, переключение на внешний звонок) и события использования функций учителем (вход, создание урока, начало и завершение занятия, выдача задания) |
| Зачем | Защищать аккаунты и сервис от взлома и злоупотреблений, находить и устранять сбои, расследовать инциденты; понимать, какие функции работают и где учителя сталкиваются с трудностями |
| Основание | Договор (п. 5 ч. 1 ст. 6) — без защиты и устранения сбоев сервис не работает; законный интерес оператора по защите сервиса (п. 7 ч. 1 ст. 6) при условии, что не нарушаются ваши права |
| Срок | Технические события — 13 месяцев; журналы веб-сервера — 14 дней |
Псевдонимные события — всё ещё персональные данные, поэтому мы храним их в сроки выше. Технические события учеников обрабатываются по поручению учителя для проведения занятий и обеспечения их надёжности (раздел 6); IP-адрес и сведения о браузере участников уроков мы используем и сами — только чтобы защищать Платформу от атак и злоупотреблений. Для собственных решений о развитии продукта мы используем только сводную статистику, по которой нельзя определить ученика.
3.5. Новости и предложения umky
| Кто | Учителя, которые отдельно согласились |
| Данные | Почта, имя (открытия писем не отслеживаются) |
| Зачем | Писать о новых функциях, акциях и предложениях umky |
| Основание | Отдельное согласие на обработку (п. 1 ч. 1 ст. 6) и отдельное согласие на получение рекламы (ч. 1 ст. 18 Федерального закона № 38-ФЗ «О рекламе») — две разные галочки, обе по желанию |
| Срок | До отзыва согласия; ссылка «отписаться» есть в каждом письме |
После отказа от новостей мы сразу прекращаем отправку и обработку данных для этой цели (ч. 2 ст. 15 Закона о ПДн). Чтобы подтвердить, что письма отправлялись законно, и случайно не написать вам снова, мы храним только отметку об отказе и запись о прежнем согласии (почта, даты, версия текста) — на основании нашего законного интереса (п. 7 ч. 1 ст. 6), 3 года с даты отказа (срок исковой давности, ст. 196 ГК РФ); для рассылки они не используются. Служебные письма (вход, оплата, сбои, изменение условий) приходят всем учителям независимо от этого согласия и не содержат рекламы.
3.6. Исследования и интервью
| Кто | Учителя и другие совершеннолетние участники, которые отдельно согласились |
| Данные | Имя, контакт для связи, ответы, запись интервью — если вы на неё согласились |
| Зачем | Узнавать, что улучшить в продукте |
| Основание | Отдельное согласие для конкретного исследования (п. 1 ч. 1 ст. 6) |
| Срок | Указывается в согласии; по умолчанию — 1 год после интервью; записи — до подготовки выводов, не дольше 6 месяцев |
3.7. Жалобы на материалы
| Кто | Правообладатели и их представители, другие заявители |
| Данные | ФИО или наименование, контакты, сведения о правах и о спорном материале, подпись; для заявлений правообладателя-физлица по ст. 15.7 Закона № 149-ФЗ — также паспортные данные, которые требует эта статья |
| Зачем | Рассмотреть жалобу, ограничить доступ к материалу, ответить заявителю, защищаться в споре |
| Основание | Исполнение обязанностей владельца сайта по закону (ст. 10, 15.7 Федерального закона № 149-ФЗ «Об информации…»; п. 2 ч. 1 ст. 6 Закона о ПДн); согласие заявителя-физлица по ст. 15.7 (п. 1 ч. 1 ст. 6); законный интерес оператора (п. 7 ч. 1 ст. 6) |
| Срок | 3 года после рассмотрения жалобы (общий срок исковой давности, ст. 196 ГК РФ) |
Чтобы учитель мог возразить, мы передаём ему суть жалобы и наименование заявителя, а личные контакты заявителя — только с его отдельного согласия. Паспортные данные учителю не передаются. Заявитель-физлицо по ст. 15.7 даёт согласие на обработку своих данных отдельным документом, который прилагается к заявлению и является его обязательной частью (п. 6 ч. 2 ст. 15.7 Закона № 149-ФЗ).
3.8. Школы и другие контрагенты
| Кто | Представители школ и других контрагентов, подписанты договоров |
| Данные | ФИО, должность, рабочие почта и телефон, документы о полномочиях |
| Зачем | Заключить и исполнить договор |
| Основание | Если контрагент — сам человек (например, ИП), — договор (п. 5 ч. 1 ст. 6); для представителей и работников организаций — наш законный интерес в заключении и исполнении договора с организацией (п. 7 ч. 1 ст. 6) |
| Срок | Срок договора и 5 лет после года его окончания |
3.9. Посетители публичных страниц
| Кто | Посетители umky.ru, не вошедшие в аккаунт |
| Данные | IP-адрес, сведения о браузере, необходимые cookies (раздел 5) |
| Зачем | Показать сайт, защитить его от атак |
| Основание | Законный интерес оператора (п. 7 ч. 1 ст. 6) |
| Срок | Как в п. 3.4 |
3.10. Журналы удалений и платёжных уведомлений
| Данные | Идентификаторы удалённых записей и время удаления (без содержимого ответов и материалов); уведомления банка о платежах |
| Зачем | После восстановления из резервной копии повторно удалить то, что было удалено, и сверить платежи, чтобы никто не заплатил дважды и не потерял оплаченный доступ |
| Основание | Договор (п. 5 ч. 1 ст. 6); исполнение требований ст. 21 Закона о ПДн об уничтожении данных (п. 2 ч. 1 ст. 6) |
| Срок | 7 месяцев |
3.11. Запросы о данных и подтверждение уничтожения
| Кто | Люди, которые направили нам запрос о своих данных, и их представители; люди, чьи данные мы уничтожили по закону |
| Данные | ФИО и контакт; реквизиты документа, удостоверяющего личность, из формального запроса; суть запроса и наш ответ; акт об уничтожении и выгрузка из журнала событий |
| Зачем | Исполнить запрос и подтвердить исполнение обязанностей по Закону о ПДн |
| Основание | Исполнение обязанностей по ст. 14, 20, 21 Закона о ПДн и требований к подтверждению уничтожения (приказ Роскомнадзора от 28.10.2022 № 179) — п. 2 ч. 1 ст. 6; хранение запроса и ответа после исполнения — наш законный интерес в защите при споре (п. 7 ч. 1 ст. 6) |
| Срок | Акты об уничтожении и выгрузки — 3 года с даты уничтожения (п. 8 Требований, утв. приказом № 179); запрос и ответ — 3 года с даты ответа (срок исковой давности, ст. 196 ГК РФ); реквизиты документа, удостоверяющего личность, — только до исполнения запроса, затем удаляются из сохранённой копии |
3.12. Резервные копии
Копии базы данных делаются ежедневно и хранятся 14 дней; удалённые данные исчезают из копий при их плановой замене, то есть не позднее чем через 14 дней. Сроки этого раздела распространяются и на копии. Пока удалённые данные остаются в копии, они заблокированы: не используются в работе Платформы и доступны только для восстановления системы. Если закон требует уничтожить данные быстрее, чем сменятся копии (например, за 7 рабочих дней по ч. 3 ст. 20 Закона о ПДн), мы удаляем их из рабочей базы в этот срок и досрочно заменяем копии, в которых они остались. Если в исключительном случае уничтожить данные в сроки ч. 3–5.1 ст. 21 невозможно, мы блокируем их и уничтожаем в срок не более 6 месяцев (ч. 6 ст. 21 Закона о ПДн). Если копия понадобится для восстановления, журнал удалений применяется до того, как пользователи получат доступ.
3.13. Чего мы не обрабатываем
Платформа не предназначена для обработки специальных категорий персональных данных (о здоровье, убеждениях и т. п.) и биометрических данных: пользователям запрещено включать их в материалы, комментарии и обращения. Если мы обнаружим такие сведения, мы проверим законность обработки и примем меры по блокированию, прекращению обработки и уничтожению в сроки, установленные законом. Изображение и голос участников видеосвязи передаются в реальном времени, не записываются и не используются для установления личности. Мы не обезличиваем персональные данные для исследований, аналитики и других целей (временная замена имён условными обозначениями на время одного запроса к сервису ИИ — п. 4.5) и не принимаем решений, порождающих юридические последствия, исключительно на основе автоматизированной обработки.
4. Как мы обрабатываем данные
4.1. Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) в случаях из раздела 7, блокирование, удаление, уничтожение.
4.2. Обработка — смешанная, в основном автоматизированная, с передачей по интернету в защищённом виде.
4.3. Локализация. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России ведутся с использованием баз данных, находящихся в России (ч. 5 ст. 18 Закона о ПДн).
4.4. Трансграничной передачи нет. Мы не передаём персональные данные за границу и не используем зарубежные сервисы аналитики. Видео с YouTube в уроке открывается только ссылкой — в новой вкладке, когда участник сам по ней переходит. Видео RuTube и VK Видео, которые учитель добавил в урок, показываются встроенным плеером: при открытии такого урока браузер участника соединяется с серверами этих российских сервисов, они получают IP-адрес и сведения о браузере, могут сохранять в браузере свои cookies и использовать свои счётчики статистики и обрабатывают эти данные по своим правилам. Картинки, аудио и видео с других сайтов, которые учитель добавил в урок ссылкой, сами не загружаются: участник видит, с какого сайта они взяты, и загружает их кнопкой «Показать» — тогда его браузер соединяется с этим сайтом, который может находиться за рубежом. Файлы, загруженные в umky, хранятся у нас и загружаются сразу. Мы сами этим сайтам и сервисам данных не передаём.
4.5. Функции ИИ (черновики уроков, ИИ-помощник, ИИ-блоки, картинки — по тарифу, когда они включены). Для них наш сервер отправляет запросы зарубежному сервису ИИ (kie.ai, NexusAI Services LLC, США). Правило для этих запросов — в них не должно быть персональных данных: данные аккаунтов, ответы и имена учеников, IP-адреса пользователей в запросы не включаются; в запрос идут параметры задания (предмет, тема, уровень, виды заданий) и текст учителя. Перед передачей запроса в сервис ИИ мы удаляем почты, телефоны, ссылки на профили и номера документов, а имена и другие сведения о людях заменяем условными обозначениями («Ученик-1»). Таблица соответствия обозначений и людей существует только в оперативной памяти сервера на время обработки одного запроса (не дольше 90 секунд) и не записывается в базу данных, файлы или журналы; в ответе помощника вы видите настоящие имена. История переписки с помощником хранится только в вашем браузере до закрытия вкладки. Автоматика может распознать не всё, поэтому не описывайте в запросах конкретных людей так, чтобы их можно было узнать. Результат ИИ — черновик: за итоговый материал отвечает учитель (оферта).
5. Cookies и данные в браузере
5.1. Сами мы используем только то, без чего Платформа не работает: сторонних счётчиков, рекламных и аналитических cookies мы не ставим — ни в кабинете и уроке, ни на публичных страницах. Сайт umky.ru ставит одну cookie — запоминает ваш выбор в окне cookies (версия текста окна, выбор, время выбора), 12 месяцев; аналитика на сайте не подключена, и без вашего согласия она не будет включена. Встроенные плееры RuTube и VK Видео загружаются только в уроках, куда учитель их добавил, и могут сохранять в браузере свои данные и использовать свои счётчики статистики по правилам этих сервисов (п. 4.4).
Cookies платформы app.umky.ru. Все они служебные: недоступны скриптам страницы, передаются только по защищённому соединению и работают только на app.umky.ru.
| Что | Зачем | Сколько живёт |
|---|---|---|
| Cookie сессии учителя | Держать вход в аккаунт | 30 дней с момента входа, потом нужно войти снова; удаляется при выходе |
| Cookie входа через Яндекс ID или VK ID | Связать вход с этим браузером, чтобы чужая ссылка входа не сработала | 10 минут; удаляется сразу после входа |
| Cookie гостя урока | Вернуть ученика в его урок без повторного ввода имени и не пустить постороннего | 12 часов |
| Cookie ожидания входа в урок | Помнить, что устройство ждёт, пока учитель впустит его в урок | 31 минута |
| Cookie устройства ученика | Узнавать устройство ученика в его кабинете с заданиями (по личной ссылке учителя) | До 400 дней; перестаёт действовать раньше, если учитель отозвал ссылку или устройство или ученик вышел |
Данные в хранилище браузера на app.umky.ru.
| Что | Зачем | Сколько хранится |
|---|---|---|
| Копия секрета гостя урока и кабинета ученика, идентификатор участника урока | Вернуть ученика в урок или кабинет во встроенных браузерах приложений, которые теряют cookies | Пока ученик не выйдет или не очистит данные сайта |
| Случайный номер браузера | Различать устройства при отправке ответов, чтобы ответы не задвоились; это не пароль и не ключ входа | Пока не очищены данные сайта |
| Номер последнего вошедшего учителя, выбранное пространство, настройка звуков | Офлайн-копии принадлежат только одному аккаунту; открыть нужное пространство; помнить, включены ли звуки | Пока не очищены данные сайта; офлайн-копии другого аккаунта удаляются при входе |
| Офлайн-копия урока у учителя и оболочка приложения | Продолжить урок при сбое сервиса | До 14 дней, удаляется при выходе из аккаунта |
| Копия урока и очередь ответов у ученика | Продолжить урок при сбое связи, не потерять ответы | До отправки ответов; копию можно удалить, очистив данные сайта в настройках браузера |
| История переписки с ИИ-помощником (когда функция включена) | Продолжить разговор с помощником | До закрытия вкладки (хранилище вкладки браузера); на сервере не хранится |
Защита от подделки запросов работает без отдельной cookie — проверкой адреса, с которого пришёл запрос.
5.2. Отключить cookies можно в настройках браузера, но тогда вход и урок работать не будут.
6. Данные учеников: для учеников и родителей
6.1. Ученик не регистрируется на umky. Он входит по ссылке учителя и вводит только имя — можно имя без фамилии или ник.
6.2. При работе на Платформе обрабатываются: имя, которое ввёл ученик; его ответы и итоги; комментарии и оценки учителя; технический секрет устройства (в базе — только его хэш), IP-адрес, тип устройства и браузера, технические события подключения. Во время видеосвязи через Платформу передаются аудио, видео и экран участников; запись уроков Платформа не ведёт.
6.3. Оператор этих данных — учитель (или школа), который пригласил ученика. Мы храним и обрабатываем их только по его поручению и только для его занятий: не делаем рассылок ученикам, не показываем им рекламу, не обучаем на их ответах ИИ, не публикуем рейтингов и не передаём данные другим учителям (если учитель передаёт коллеге копию своего урока, она передаётся без ответов, оценок и имён учеников; сведения о людях внутри самих материалов учитель перед передачей убирает сам). Исключение — IP-адрес и сведения о браузере, которые мы используем и для защиты Платформы (п. 3.4): по этой обработке мы оператор.
6.4. Сроки определяет учитель: данные хранятся, пока учитель их не удалит или не удалит аккаунт. Данные гостей, у которых не было активности 12 месяцев, удаляются автоматически. Технические события — до 13 месяцев.
6.5. Если вы ученик или родитель и хотите узнать, исправить или удалить данные, обратитесь к своему учителю — он оператор. Запросы о технических данных, которые мы используем для защиты Платформы (п. 3.4), мы исполняем сами. Если связаться с учителем не получается, напишите нам на privacy@umky.ru: не позднее следующего рабочего дня мы передадим запрос учителю и поможем ему его исполнить; если вы сообщаете о неправомерной обработке, мы сразу заблокируем эти данные на время проверки, а при необходимости ответим вам сами в пределах того, что разрешает поручение.
6.6. Если ученику нет 14 лет, права за него осуществляет родитель или другой законный представитель.
7. Кому мы передаём данные
7.1. Хостинг-провайдеру, на серверах которого работает Платформа. Все данные Платформы хранятся в России:
| Кто | Что делает |
|---|---|
| ООО «Бегет» (ИНН 7801451618; 195112, г. Санкт-Петербург, пл. Карла Фаберже, д. 8Б) | Облачный сервер в Санкт-Петербурге, на котором работают сайт umky.ru с базой заявок, Платформа, база данных, файлы и резервные копии; почта umky.ru (письма входа и уведомления). Данные хранятся на его оборудовании; доступ провайдера к информации на серверах по его договору ограничен техническим обеспечением услуг |
Актуальный список ведётся на этой странице. О новом подрядчике, который будет хранить данные учеников, мы предупреждаем учителей за 10 дней.
7.2. Банку для приёма платежей — АО «ТБанк» (Т-Касса), когда в Платформе включена оплата картой и через СБП: сумма, номер заказа, почта для чека. Банк обрабатывает данные карты самостоятельно, как оператор, по своим правилам. Сведения кассового чека, включая почту для его отправки, передаются через онлайн-кассу оператору фискальных данных и в ФНС России, как требует Федеральный закон № 54-ФЗ.
7.3. Государственным органам — только по требованию, основанному на законе.
7.4. Мы не продаём персональные данные и не передаём их для рекламы.
7.5. Мы получаем данные от Яндекс ID (ООО «ЯНДЕКС») и VK ID (ООО «ВК»), если вы входите через них, — в объёме, который вы разрешили на их странице.
8. Как мы защищаем данные
Мы принимаем правовые, организационные и технические меры по ст. 18.1 и 19 Закона о ПДн и требованиям к защите персональных данных (постановление Правительства РФ от 01.11.2012 № 1119). Основные меры:
- утверждены эта политика и положение о порядке обработки и защиты персональных данных, оценён возможный вред субъектам, ответственный за обработку — оператор лично;
- доступ к серверам и базе данных — только у оператора, по личным ключам; разграничение доступа на уровне базы данных;
- межсетевой экран на сервере: открыто только то, что нужно для работы сайта и видеосвязи;
- передача данных — только по защищённому соединению (HTTPS/TLS);
- резервные копии базы данных делаются ежедневно и хранятся в России;
- журналы событий безопасности; секреты и данные сессий в журналах приложения скрываются;
- вход по одноразовой ссылке на почту, через Яндекс ID / VK ID или по паролю (по желанию); пароль хранится только в виде хэша;
- ключи доступа и секреты хранятся отдельно от кода;
- проверка безопасности перед выпуском обновлений.
9. Ваши права
9.1. Вы можете:
- получить сведения об обработке ваших данных в объёме ч. 7 ст. 14 Закона о ПДн: обрабатываем ли мы их, какие, зачем, на каком основании, из какого источника, сколько храним, кому передаём, кто обрабатывает их по нашему поручению;
- потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устарели, неточны, получены незаконно или не нужны для цели; на время проверки сообщённых неточностей мы блокируем данные, если это не нарушает ваши права и права других людей (ч. 1 ст. 21);
- отозвать согласие (ч. 2 ст. 9). Обработка, основанная на договоре или законе, при этом продолжается, пока есть основание;
- отказаться от новостей и предложений — по ссылке в письме или письмом нам;
- обжаловать наши действия в Роскомнадзоре или в суде.
9.2. Как отправить запрос. Для обычного обращения напишите на privacy@umky.ru с почты вашего аккаунта; при необходимости мы дополнительно проверим, что аккаунт ваш. Формальный запрос по ч. 3 ст. 14 Закона о ПДн направляется письменно по адресу из п. 1.1 или в форме электронного документа, подписанного электронной подписью, и содержит номер основного документа, удостоверяющего личность, сведения о дате его выдачи и выдавшем органе, сведения о ваших отношениях с нами (например, почту аккаунта) или иные сведения, подтверждающие, что мы обрабатываем ваши данные, и подпись. Запрос может направить ваш представитель — с документом, подтверждающим полномочия. Ответ мы даём в той же форме, в которой пришёл запрос, если вы не попросили иначе. Копию паспорта мы не требуем; реквизиты документа из запроса используем только для его исполнения (п. 3.11).
9.2а. Выгрузка и удаление из кабинета. В настройках аккаунта можно запросить выгрузку своих данных или удаление аккаунта (или написать на privacy@umky.ru). Мы проверяем запрос и подтверждаем его или отказываем с причиной (отказ приходит письмом), дальше всё выполняется автоматически:
- выгрузка — архив со всеми сведениями, которые umky хранит о вас как об учителе или ученике, в машиночитаемом виде (data.json) и для чтения в браузере (data.html); в нём нет паролей, ключей и одноразовых кодов. На почту аккаунта приходит одноразовая ссылка: она действует 48 часов или до первого скачивания, после этого архив удаляется. Учитель получает в архиве и данные своих учеников и их ответы — как их оператор;
- удаление — аккаунт и ваши пространства удаляются сразу со всем содержимым: учениками, уроками, ответами, заданиями, расписанием, журналом оплат учеников; письмо подтверждает удаление. Уроки, опубликованные в Каталоге, по вашему выбору можно оставить в Каталоге без указания автора. Уроки, по которым другие учителя уже провели занятия или выдали задания, скрываются и остаются без автора, чтобы не сломать их историю. Платёжные документы, которые закон обязывает хранить, остаются без данных аккаунта (п. 3.2). В статистике остаются только итоговые числа без сведений о людях. В журнале удалений сохраняется идентификатор удалённой записи — чтобы повторить удаление, если понадобится восстановление из резервной копии (п. 3.10);
- удаление откладывается, если сейчас идёт ваш урок, в пространстве вашей школы есть другие участники или у вас есть ученики и уроки в чужой школе: мы сообщим, что нужно сделать. Сроки исполнения — не позже сроков п. 9.3.
9.3. Сроки.
- Сведения об обработке предоставляем бесплатно в течение 10 рабочих дней; срок может быть продлён не более чем на 5 рабочих дней, если мы направим мотивированное уведомление (ч. 3 ст. 14, ч. 1 и 3 ст. 20).
- Подтверждённые неточности исправляем в течение 7 рабочих дней со дня представления подтверждающих сведений; в тот же срок уничтожаем данные, если подтверждено, что они получены незаконно или не нужны для цели (ч. 3 ст. 20). О принятых мерах сообщаем вам и тем, кому данные передавались.
- Если вы сообщили о неправомерной обработке, блокируем данные на время проверки; выявленную неправомерную обработку прекращаем в течение 3 рабочих дней, а если сделать её правомерной невозможно, уничтожаем данные в течение 10 рабочих дней (ч. 1, 3 ст. 21).
- Отзыв согласия исполняем в течение 30 дней (ч. 5 ст. 21), если нет другого законного основания продолжать обработку. Требование прекратить обработку — в течение 10 рабочих дней, кроме случаев, когда закон разрешает продолжить обработку (пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11 Закона о ПДн); срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением (ч. 5.1 ст. 21).
- Отказ от новостей — сразу (ч. 2 ст. 15).
9.4. Мы можем отказать в запросе, только если закон это прямо разрешает. Отказ даём письменно, мотивированно, со ссылкой на норму закона, в течение 10 рабочих дней (может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением) — ч. 2 ст. 20 Закона о ПДн.
10. Инциденты
10.1. Если произойдёт утечка или иной неправомерный доступ к данным, мы:
- для данных, где мы оператор, при выявлении неправомерной или случайной передачи (предоставления, распространения, доступа), повлёкшей нарушение прав субъектов, уведомим Роскомнадзор: в течение 24 часов с момента выявления — о самом инциденте, его причинах, предполагаемом вреде и принятых мерах, в течение 72 часов с момента выявления — о результатах расследования (ч. 3.1 ст. 21 Закона о ПДн);
- сообщим учителям об инциденте с данными их учеников не позднее чем через 12 часов после того, как его выявили, и поможем им выполнить свои обязанности оператора;
- предупредим затронутых пользователей и расскажем, что делать.
10.2. Сообщить о подозрении на утечку или уязвимость можно на security@umky.ru.
11. Изменения политики
11.1. Политика пересматривается при изменении закона или Платформы. Новая редакция публикуется на этой странице с датой. О существенных изменениях мы сообщаем учителям письмом.
11.2. Предыдущие редакции хранятся и предоставляются по запросу.