Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей платформы Edumotion (далее — «Платформа»), доступной по адресу edumotion.ru и связанным поддоменам.

1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «ФЗ-152»), Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и иными нормативными правовыми актами Российской Федерации в области персональных данных.

1.3. Основные понятия, используемые в настоящей Политике:

• Персональные данные (ПД) — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
• Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных.
• Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Субъект персональных данных — физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных.
• Платформа — программное обеспечение Edumotion, предоставляемое Оператором по модели SaaS (Software as a Service) для организации корпоративного обучения.
• Пользователь — любое физическое лицо, использующее Платформу, включая администраторов организаций и учеников (сотрудников организаций).

1.4. Используя Платформу и предоставляя свои персональные данные, Пользователь выражает согласие с условиями настоящей Политики. Если Пользователь не согласен с условиями Политики, он должен прекратить использование Платформы.

2. Сведения об операторе персональных данных

2.1. Оператором персональных данных является:

2.2. Ответственным за организацию обработки персональных данных является непосредственно Оператор — ИП Мартынов Евгений Игоревич.

3. Цели обработки персональных данных

3.1. Оператор обрабатывает персональные данные в следующих целях:

• Регистрация и аутентификация: создание учётной записи Пользователя, обеспечение доступа к Платформе, подтверждение личности при входе в систему.
• Исполнение договора: предоставление доступа к функциональности Платформы в соответствии с условиями договора-оферты, включая создание и прохождение курсов, квизов, получение сертификатов.
• Аналитика обучения: отслеживание прогресса обучения, формирование статистики по результатам квизов, учёт времени обучения для предоставления отчётности организации-заказчику.
• Геймификация: начисление баллов опыта (XP), присвоение бейджей, отслеживание серий обучения (стриков) для повышения мотивации Пользователей.
• Коммуникация: отправка транзакционных уведомлений (приглашения, восстановление пароля, системные уведомления), информирование об изменениях в работе Платформы.
• Биллинг и расчёты: выставление счетов, формирование актов, обработка платежей, ведение бухгалтерской отчётности.
• Генерация контента с использованием ИИ: обработка текстовых запросов Пользователя для создания учебных материалов с помощью сторонних сервисов искусственного интеллекта.
• Обеспечение безопасности: ведение журнала действий, управление сессиями, предотвращение несанкционированного доступа, выявление и предотвращение мошенничества.
• Интеграция с корпоративными системами: синхронизация данных с CRM и корпоративными порталами (например, Bitrix24) по запросу и настройке организации-заказчика.
• Улучшение Платформы: анализ обезличенных данных об использовании Платформы для улучшения её функциональности и пользовательского опыта.

4. Правовые основания обработки

4.1. Обработка персональных данных осуществляется на следующих правовых основаниях (ст. 6 ФЗ-152):

• Согласие субъекта ПД (п. 1 ч. 1 ст. 6 ФЗ-152) — для регистрации на Платформе, использования функций AI-генерации контента, установки файлов cookie.
• Исполнение договора (п. 5 ч. 1 ст. 6 ФЗ-152) — для предоставления доступа к Платформе, отслеживания прогресса обучения, выдачи сертификатов, начисления XP и бейджей, хранения загруженных файлов, отправки транзакционных уведомлений.
• Законный интерес оператора (п. 7 ч. 1 ст. 6 ФЗ-152) — для обеспечения безопасности (журналирование действий, управление сессиями, хранение IP-адресов), предотвращения мошенничества, демонстрации Платформы.
• Исполнение обязанности, предусмотренной законодательством (п. 2 ч. 1 ст. 6 ФЗ-152) — для ведения бухгалтерской и налоговой отчётности, хранения документов о расчётах.

5. Категории субъектов персональных данных

5.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• Администраторы организаций — представители юридических лиц и индивидуальных предпринимателей, регистрирующие организацию на Платформе и управляющие процессом обучения.
• Ученики (сотрудники организаций) — физические лица, приглашённые администраторами для прохождения обучения на Платформе.
• Посетители веб-сайта — лица, посещающие маркетинговый сайт edumotion.ru без регистрации.

6. Перечень обрабатываемых персональных данных

6.1. Оператор обрабатывает следующие персональные данные в зависимости от категории субъекта и функциональности Платформы:

6.1.1. Регистрационные и учётные данные

• Адрес электронной почты (email)
• Имя и фамилия
• Хеш пароля (пароль в открытом виде не хранится)
• Дата и время принятия оферты
• Дата и время предоставления согласия на обработку ПД

6.1.2. Данные профиля

• Фотография (аватар)
• Должность
• Принадлежность к отделу (подразделению)

6.1.3. Данные об обучении

• Прогресс прохождения курсов (процент завершения, даты начала и окончания)
• Прогресс прохождения уроков (статус, время, затраченное на урок)
• Результаты квизов (ответы на вопросы, баллы, время на каждый вопрос, дата и время начала и завершения)
• Данные сертификатов (номер сертификата, дата выдачи, PDF-файл с именем Пользователя)
• Просмотры статей базы знаний

6.1.4. Данные геймификации

• Баланс баллов опыта (XP) и история транзакций
• Полученные бейджи
• Данные о сериях обучения (текущая и максимальная серия, ежедневная активность)

6.1.5. Технические и сессионные данные

• IP-адрес
• Тип и название устройства
• Данные User-Agent (тип браузера и операционной системы)
• Хеш токена обновления сессии (refresh token)
• Дата и время последнего использования сессии

6.1.6. Загруженные файлы

• Метаданные файлов (имя, размер, MIME-тип)
• Содержимое файлов, загруженных Пользователем (материалы курсов, изображения)

6.1.7. Данные AI-генерации

• Текстовые запросы (промпты), направляемые Пользователем для генерации учебных материалов
• Журнал использования функций AI-генерации

6.1.8. Биллинговые данные организации

• Наименование организации
• ИНН, КПП, ОГРН
• Юридический адрес
• Наименование банка, БИК, расчётный и корреспондентский счета
• Контактное лицо, email и телефон контактного лица

6.1.9. Данные уведомлений

• Содержание уведомлений
• Дата и время прочтения
• Настройки предпочтений уведомлений

6.1.10. Журнал действий (аудит)

• Идентификатор пользователя, совершившего действие
• Тип действия, тип и идентификатор затронутой сущности
• Описание изменений
• IP-адрес

6.1.11. Данные интеграций

• Идентификатор пользователя во внешней системе (например, Bitrix24)
• Домен портала внешней системы
• Данные сопоставления отделов между Платформой и внешней системой

6.1.12. Данные посетителей сайта

• IP-адрес (при посещении сайта)
• Данные cookie-файлов и localStorage (см. Политику использования файлов cookie)

7. Способы обработки персональных данных

7.1. Обработка персональных данных осуществляется с использованием средств автоматизации и включает следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

7.2. Персональные данные хранятся в базах данных Платформы. Передача данных между Пользователем и Платформой осуществляется по защищённому протоколу HTTPS (TLS).

7.3. Пароли Пользователей хранятся исключительно в виде хеша с использованием алгоритма bcrypt. Оператор не имеет доступа к паролям Пользователей в открытом виде.

8. Сроки обработки и хранения

8.1. Персональные данные обрабатываются и хранятся в течение следующих сроков:

8.2. По истечении указанных сроков персональные данные подлежат уничтожению в порядке, предусмотренном разделом 10 настоящей Политики.

9. Условия прекращения обработки

9.1. Обработка персональных данных прекращается в следующих случаях:

• достижение целей обработки персональных данных;
• отзыв субъектом персональных данных согласия на обработку;
• поступление требования субъекта персональных данных о прекращении обработки;
• удаление учётной записи Пользователя;
• истечение срока действия договора-оферты и отсутствие его возобновления;
• выявление неправомерной обработки персональных данных.

10. Порядок уничтожения персональных данных

10.1. При достижении целей обработки, отзыве согласия или по требованию субъекта персональные данные подлежат уничтожению в срок не более 30 (тридцати) календарных дней.

10.2. Уничтожение персональных данных осуществляется способом, исключающим дальнейшую обработку, и подтверждается актом уничтожения.

10.3. Биллинговые данные и финансовые документы сохраняются в течение сроков, установленных законодательством Российской Федерации о бухгалтерском учёте и налогообложении, вне зависимости от отзыва согласия или удаления учётной записи.

11. Права субъекта персональных данных

11.1. В соответствии со статьями 14–17 ФЗ-152 субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных, в том числе содержащую: подтверждение факта обработки, правовые основания и цели обработки, применяемые способы обработки, наименование и адрес Оператора, сведения о лицах, которые имеют доступ к персональным данным;
• требовать уточнения своих персональных данных, их блокирования или уничтожения, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать ранее данное согласие на обработку персональных данных;
• требовать от Оператора прекращения обработки персональных данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
• осуществлять иные права, предусмотренные законодательством Российской Федерации.

11.2. Для реализации своих прав субъект персональных данных может обратиться к Оператору по электронной почте: privacy@edumotion.ru.

11.3. Оператор обязан рассмотреть обращение субъекта и предоставить ответ в срок не более 10 (десяти) рабочих дней с момента получения обращения.

12. Порядок отзыва согласия на обработку

12.1. Субъект персональных данных вправе в любой момент отозвать своё согласие на обработку персональных данных, направив письменное заявление на адрес электронной почты: privacy@edumotion.ru.

12.2. Заявление должно содержать:

• фамилию, имя субъекта персональных данных;
• адрес электронной почты, указанный при регистрации на Платформе;
• указание на то, что согласие на обработку персональных данных отзывается.

12.3. Оператор прекращает обработку персональных данных и обеспечивает их уничтожение в срок не более 30 (тридцати) календарных дней с момента получения заявления, за исключением данных, обработка которых обусловлена исполнением обязательств по действующему договору или требованиями законодательства.

12.4. Отзыв согласия на обработку персональных данных влечёт за собой прекращение доступа к Платформе и удаление учётной записи Пользователя.

13. Передача персональных данных третьим лицам

13.1. Оператор может передавать персональные данные третьим лицам исключительно в целях, указанных в разделе 3 настоящей Политики, и на основании соответствующих договоров, обеспечивающих конфиденциальность и безопасность данных.

13.2. Перечень третьих лиц, которым могут быть переданы персональные данные:

13.3. Оператор не продаёт, не передаёт в аренду и не предоставляет персональные данные третьим лицам в рекламных целях.

14. Трансграничная передача персональных данных

14.1. При использовании функций генерации контента с помощью искусственного интеллекта Платформа может передавать текстовые запросы (промпты) Пользователя сторонним сервисам, серверы которых могут располагаться за пределами Российской Федерации, в том числе в Китайской Народной Республике.

14.2. Передаваемые данные ограничиваются текстовым содержимым запросов, формируемых Пользователем для генерации учебных материалов. Оператор принимает меры по минимизации персональных данных в передаваемых запросах.

14.3. Трансграничная передача осуществляется в соответствии со ст. 12 ФЗ-152 и на основании согласия субъекта персональных данных на использование функций AI-генерации.

14.4. Пользователь вправе отказаться от использования функций AI-генерации. В этом случае трансграничная передача его данных в рамках данной функциональности осуществляться не будет.

14.5. Оператор не осуществляет трансграничную передачу иных категорий персональных данных (учётных данных, данных профиля, данных об обучении и др.).

15. Локализация данных

15.1. В соответствии с ч. 5 ст. 18 ФЗ-152 при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

15.2. Файлы, загруженные Пользователями, хранятся в облачном хранилище на серверах, расположенных на территории Российской Федерации.

16. Меры по защите персональных данных

16.1. Оператор принимает необходимые и достаточные организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.

16.2. Технические меры защиты включают:

• шифрование данных при передаче по протоколу HTTPS (TLS);
• хеширование паролей с использованием алгоритма bcrypt;
• использование HTTP-заголовков безопасности (Helmet);
• настройку политики CORS для ограничения источников запросов;
• ограничение частоты запросов (rate limiting) для предотвращения атак;
• ведение журнала действий с корреляционными идентификаторами;
• управление сессиями с использованием JWT-токенов и refresh-токенов;
• автоматическое удаление чувствительных данных из журналов (redaction).

16.3. Организационные меры защиты включают:

• разграничение прав доступа к персональным данным;
• изоляцию данных между организациями (multi-tenant architecture);
• контроль доступа на основе ролей (RBAC).

17. Файлы cookie

17.1. Платформа использует файлы cookie и технологию localStorage для обеспечения функционирования сервиса и аутентификации Пользователей.

17.2. Подробная информация о типах используемых cookie-файлов, их назначении, сроках хранения и порядке управления ими приведена в Политике использования файлов cookie.

17.3. Пользователь может управлять cookie-файлами через настройки своего браузера. Отключение технически необходимых cookie-файлов может привести к невозможности использования Платформы.

18. Заключительные положения

18.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента её размещения по адресу edumotion.ru/legal/privacy, если иное не предусмотрено новой редакцией Политики.

18.2. Оператор уведомляет Пользователей об изменениях в Политике путём размещения новой редакции на указанной странице и обновления даты вступления в силу. При существенных изменениях Оператор может дополнительно уведомить Пользователей по электронной почте.

18.3. Продолжение использования Платформы после вступления в силу изменений означает согласие Пользователя с новой редакцией Политики.

18.4. Настоящая Политика регулируется и толкуется в соответствии с законодательством Российской Федерации.

18.5. По всем вопросам, связанным с обработкой персональных данных, Пользователь может обратиться к Оператору по адресу электронной почты: privacy@edumotion.ru.