Политика конфиденциальности

1. Кто обрабатывает ваши данные

Оператором персональных данных является Корольков Константин Романович — физическое лицо, самостоятельно определяющее цели и порядок обработки данных в сервисе «Journal» (далее — «Сервис»). Проект развивается под наименованием «the iVy Studio»; это наименование проекта, а не отдельное юридическое лицо. Сведения о регистрации будут дополнены после получения Оператором соответствующего статуса.

Адрес для обращений по вопросам обработки персональных данных: legal@theivy.ru. Обязанности ответственного за организацию обработки персональных данных исполняет Оператор лично.

Настоящая Политика написана для пользователей и объясняет обработку простым языком. Формальный документ, предусмотренный п. 2 ч. 1 ст. 18.1 Федерального закона № 152-ФЗ, — Политика обработки персональных данных. При расхождениях приоритет имеет она.

Сервис не является официальным ресурсом АНО ПОО «Московский международный колледж цифровых технологий „Академия Топ“» (далее — «Колледж») и не аффилирован с ним.

2. На каком основании обрабатываются данные

Обработка ведётся на основании вашего согласия, которое вы даёте отметкой на странице авторизации, а также для исполнения вашего поручения на получение учебных данных из системы Колледжа.

Согласие фиксируется: сохраняются идентификатор учётной записи, редакция принятых документов, дата и время, IP-адрес и сведения о браузере. Эти сведения используются только для подтверждения согласия и хранятся, пока существует учётная запись.

Согласие можно отозвать. Поскольку без обработки данных Сервис работать не может, отзыв согласия означает удаление учётной записи — порядок описан в разделе 8.

3. Какие данные обрабатываются

3.1. Данные, которые вы предоставляете

• логин и пароль от учётной записи Колледжа (о порядке хранения пароля — раздел 4);
• выбранные вами настройки: тема оформления, язык интерфейса, параметры отображения;
• содержимое, которое вы отправляете через Сервис: файлы работ, тексты ответов, затраченное время, оценки занятий.

3.2. Данные, поступающие из системы Колледжа

При работе Сервис получает и отображает ваши учебные данные. Часть из них сохраняется в базе Сервиса, часть только проходит через него и временно попадает в кэш (раздел 5):

• фамилия, имя, отчество, учебная группа, город, часовой пояс;
• адрес электронной почты, номер телефона, дата рождения, адрес проживания, место учёбы, фотография профиля;
• успеваемость, оценки, посещаемость, расписание, домашние задания, экзамены, достижения и игровые баллы;
• сведения о начислениях и платежах, отображаемые в справочных целях;
• контактные данные учебных подразделений и преподавателей.

3.3. Данные, собираемые автоматически

• IP-адрес и определённые по нему город, регион и страна;
• тип и версия браузера и операционной системы, модель устройства, строка User-Agent, разрешение экрана, язык браузера, часовой пояс;
• цифровой отпечаток браузера (fingerprint) — технический идентификатор, по которому Сервис отличает ваши устройства друг от друга и показывает список активных сессий; отпечаток не позволяет установить личность сам по себе и используется только для защиты учётной записи;
• идентификаторы сессий, токены авторизации и обновления;
• статистика использования: дата регистрации, количество сессий, суммарное время работы, число активных дней, тип платформы (web, mobile, desktop);
• технические записи в журналах сервера: время запроса, идентификатор учётной записи, IP-адрес, адрес обращения и результат обработки;
• данные веб-аналитики Яндекс Метрики — раздел 6.

4. Как хранится пароль от учётной записи Колледжа

Это важный раздел, и мы описываем его прямо.

Сервис работает как посредник: он входит в информационную систему Колледжа от вашего имени и получает оттуда ваши данные. Сессия в системе Колледжа истекает, и её приходится продлевать, поэтому пароль хранится не в виде необратимой свёртки (хэша), а в зашифрованном виде, который Сервис может расшифровать. Иначе повторная авторизация была бы невозможна и Сервис перестал бы работать через несколько часов после входа.

Что из этого следует и что мы делаем:

• шифрование выполняется алгоритмом AES-256 с индивидуальным вектором инициализации для каждой записи; ключ шифрования хранится отдельно от базы данных и в исходный код не включается;
• пароль используется исключительно для авторизации в системе Колледжа по вашему поручению и не передаётся никому, кроме этой системы;
• мы настоятельно рекомендуем не использовать пароль от Колледжа в других сервисах: при компрометации базы данных последствия ограничатся одной системой;
• если вы удалите учётную запись, зашифрованный пароль будет удалён вместе с ней.

Токены доступа к системе Колледжа и токены обновления сессий хранятся в базе данных Сервиса и обновляются автоматически.

5. Где и сколько хранятся данные

Данные размещаются на серверах, арендованных Оператором у хостинг-провайдера. Доступ к серверам и базе данных имеет только Оператор: Сервис разрабатывает и сопровождает один человек, сотрудников и подрядчиков с доступом к данным нет.

Применяемые меры защиты: шифрование соединения (HTTPS), файлы cookie с флагами HttpOnly и Secure, одноразовые токены обновления сессии, ограничение частоты запросов, разграничение прав доступа в базе данных, резервное копирование, регулярное обновление программного обеспечения.

6. Веб-аналитика и запись действий в интерфейсе

Сервис использует Яндекс Метрику (ООО «ЯНДЕКС»). В личном кабинете включена технология Вебвизор: она записывает ваши действия в интерфейсе — перемещения курсора, нажатия, прокрутку, последовательность открытых страниц и содержимое экрана. Это означает, что в записи могут попадать отображаемые на экране учебные данные, включая ФИО, оценки и посещаемость.

Записи используются только для поиска ошибок интерфейса и улучшения работы Сервиса. Пароль в записи не попадает: поля ввода пароля браузером не передаются.

Отказаться от аналитики отдельной настройкой в Сервисе нельзя: она является условием предоставления безвозмездного доступа. Если вы не согласны с такой обработкой — не создавайте учётную запись, а если она уже создана, потребуйте её удаления (раздел 8). Часть сбора можно ограничить средствами браузера — расширениями блокировки аналитики или запретом сторонних файлов cookie; при этом отдельные функции интерфейса могут работать некорректно.

На главной странице сайта (лендинге) запись действий не ведётся — собирается только обезличенная статистика посещений.

Перечень файлов cookie приведён в Политике использования файлов cookie.

7. Кому передаются данные

В остальных случаях данные передаются третьим лицам только по основаниям, предусмотренным законом, — по мотивированному требованию уполномоченных государственных органов или суда. Данные не продаются и не используются для рекламы.

8. Ваши права и как ими воспользоваться

Вы вправе:

• получить сведения о том, какие ваши данные обрабатываются;
• требовать уточнения неточных или неполных данных;
• отозвать согласие на обработку;
• требовать удаления учётной записи и связанных с ней данных;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

Обращения направляются на legal@theivy.ru. Укажите логин учётной записи и суть требования. Чтобы данные не были раскрыты или удалены посторонним, Оператор вправе запросить сведения, подтверждающие, что обращение исходит от владельца учётной записи (или от законного представителя несовершеннолетнего пользователя).

Срок ответа — 10 рабочих дней с даты получения обращения; в случаях, предусмотренных законом, срок может быть продлён не более чем на пять рабочих дней с уведомлением заявителя.

Удаление учётной записи выполняется вручную по вашему запросу — автоматической кнопки в интерфейсе нет. Данные удаляются в срок не более 30 календарных дней с даты подтверждённого обращения. Удаляются: учётная запись, зашифрованный пароль, токены, сессии, настройки, статистика и запись о согласии. Данные, уже переданные в систему Колледжа, удаляются самим Колледжем — с таким требованием следует обращаться к нему.

После удаления учётной записи пользование Сервисом прекращается. При повторном входе создаётся новая учётная запись, и обработка начинается заново.

9. Пользователи младше 18 лет

Сервис предназначен для лиц от 14 лет. Если пользователю не исполнилось 18 лет, использование допускается с ведома и согласия родителя или иного законного представителя.

Законный представитель вправе запросить сведения об обработке данных несовершеннолетнего, потребовать их уточнения или удаления учётной записи, направив обращение на legal@theivy.ru.

10. Действия при утечке данных

Если Оператору станет известно о неправомерном доступе к персональным данным, он уведомит Роскомнадзор в течение 24 часов о самом факте и в течение 72 часов — о результатах внутреннего расследования, как этого требует ч. 3.1 ст. 21 Федерального закона № 152-ФЗ.

Пользователи, которых затронул инцидент, будут уведомлены через интерфейс Сервиса и, при наличии контактных данных, письмом. Уведомление содержит описание произошедшего и рекомендации — в первую очередь о смене пароля от учётной записи Колледжа.

11. Изменения Политики

Новая редакция публикуется на сайте Сервиса с указанием даты вступления в силу и вступает в силу не ранее чем через 7 календарных дней после публикации. При очередной авторизации после публикации новой редакции вам будет предложено подтвердить согласие с ней. Предыдущие редакции сохраняются в разделе «Правовые документы».

Если изменения расширяют цели обработки или перечень обрабатываемых данных, обработка по новым основаниям начинается только после получения вашего согласия с новой редакцией.