Политика в отношении обработки персональных данных в информационной системе «Reducto»

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок и условия обработки персональных данных Оператором, а также реализуемые требования к защите персональных данных.

1.2. Политика опубликована во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ) и является документом, определяющим политику Оператора в отношении обработки персональных данных. Состав необходимых и достаточных мер Оператор определяет самостоятельно (абзац первый части 1 статьи 18.1); применяются пункты 3, 4 и 5 части 1 статьи 18.1. Пункты 1 и 2 части 1 статьи 18.1 адресованы оператору — юридическому лицу и к Оператору не относятся.

1.3. Политика распространяется на все персональные данные, которые Оператор получает и обрабатывает в связи с работой сервиса онлайн-записи на отработки «Reducto», размещённого в сети «Интернет» по адресу https://reductoweb.com (далее — Сервис), включая все его страницы и поддомены.

1.4. Политика действует в отношении обработки персональных данных как с использованием средств автоматизации, так и без использования таких средств.

1.5. Действующая редакция Политики размещена в постоянном свободном доступе по адресу https://reductoweb.com/accounts/privacy/. Доступ к тексту Политики не требует регистрации, авторизации, оплаты и не ограничен иными условиями.

1.6. Использование Сервиса означает, что пользователь ознакомлен с настоящей Политикой. Согласие на обработку персональных данных даётся отдельно — путём проставления отметки в форме регистрации или в форме записи на отработку. Ознакомление с Политикой согласием на обработку персональных данных само по себе не является.

2. Сведения об Операторе

2.1. Оператором персональных данных является физическое лицо Сафонов Марк Викторович.

2.2. Адрес электронной почты для обращений по вопросам обработки персональных данных: privacy@reductoweb.com. Почтовый ящик Оператора размещён у ООО «Бегет».

2.3. Обращение также может быть направлено через форму обратной связи, размещённую на странице https://reductoweb.com/accounts/support/.

2.4. Почтовый адрес для письменных обращений предоставляется по запросу, направленному на адрес электронной почты, указанный в пункте 2.2.

2.5. Назначение лица, ответственного за организацию обработки персональных данных, предусмотрено пунктом 1 части 1 статьи 18.1 и статьёй 22.1 Закона № 152-ФЗ для оператора — юридического лица и к Оператору не относится. Обязанности по организации обработки Оператор исполняет лично.

2.6. Дата начала обработки персональных данных — 01.09.2026. Сведения об уведомлении Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзора) в порядке части 1 статьи 22 Закона № 152-ФЗ: уведомление подано, оператор внесён в реестр операторов, осуществляющих обработку персональных данных, приказом Роскомнадзора от 04.08.2026 № 213, регистрационный номер 42-26-028183.

2.7. Оператор не является государственным или муниципальным органом. Сервис не является государственной или муниципальной информационной системой.

2.8. Для обращений непосредственно в надзорный орган субъект персональных данных вправе воспользоваться сайтом Роскомнадзора rkn.gov.ru и порталом приёма обращений pd.rkn.gov.ru.

3. Основные понятия

3.1. Понятия, используемые в Политике, применяются в значениях, определённых статьёй 3 Закона № 152-ФЗ:

• персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
• оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных и совершаемые с ними действия;
• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
• автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники;
• распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц;
• предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц;
• блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных);
• уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту;
• информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.

3.2. Для целей Политики также используются понятия:

• Пользователь — любое лицо, использующее Сервис;
• Зарегистрированный пользователь — Пользователь, создавший в Сервисе учётную запись;
• Гость — Пользователь, который записывается на отработку через публичную страницу кафедры без создания учётной записи;
• Отработка — учебное занятие, проводимое взамен пропущенного, на которое ведётся запись в Сервисе;
• Публичная страница кафедры — страница Сервиса вида https://reductoweb.com/k/<код>/, доступ к которой не требует авторизации.

4. Принципы обработки персональных данных

4.1. Оператор обрабатывает персональные данные на основе принципов, установленных статьёй 5 Закона № 152-ФЗ:

4.1.1. обработка осуществляется на законной и справедливой основе;

4.1.2. обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора;

4.1.3. не допускается объединение баз данных, обработка которых осуществляется в целях, несовместимых между собой;

4.1.4. обработке подлежат только те персональные данные, которые отвечают целям обработки; их содержание и объём не являются избыточными по отношению к заявленным целям;

4.1.5. при обработке обеспечивается точность персональных данных, их достаточность, а в необходимых случаях — актуальность; Оператор принимает необходимые меры по удалению или уточнению неполных или неточных данных;

4.1.6. хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки; по достижении целей обработки или в случае утраты необходимости в достижении этих целей персональные данные подлежат уничтожению.

4.2. Оператор придерживается принципа минимизации данных: Сервис не запрашивает номер телефона, дату рождения, адрес места жительства, паспортные данные, сведения о документах воинского учёта, СНИЛС, ИНН, номер студенческого билета или зачётной книжки, фотографию.

5. Категории субъектов персональных данных и состав обрабатываемых данных

5.1. Студенты (учащиеся), зарегистрированные в Сервисе. Обрабатываются:

• фамилия и имя (отчество при регистрации не запрашивается — в отличие от формы Гостя, см. пункт 5.2);
• адрес электронной почты (используется также в качестве логина);
• наименование вуза (образовательной организации), факультета, кафедры и учебной группы;
• сведения о записях на отработки: дата, время, тема, преподаватель, статус записи (записан / посетил / не явился), дата и время создания записи;
• факт и дата-время предоставления согласия на обработку персональных данных;
• факт подтверждения адреса электронной почты;
• дата регистрации и дата последнего входа.

5.2. Гости — лица, записывающиеся на отработку без регистрации. Обрабатываются:

• фамилия, имя и (при указании) отчество, введённые в поле «ФИО»;
• наименование учебной группы;
• адрес электронной почты — только если Гость указал его добровольно для получения подтверждения и напоминания;
• сведения о записи (дата, время, тема, преподаватель, статус, дата и время создания записи);
• личный код доступа к своей записи (90 дней с создания записи);
• факт и дата-время предоставления согласия на обработку персональных данных.

5.3. Преподаватели и сотрудники образовательных организаций, зарегистрированные в Сервисе. Обрабатываются:

• фамилия и имя;
• адрес электронной почты;
• вуз, факультет, кафедра (кафедры), к которым относится пользователь;
• сведения о созданных занятиях (отработках) и их параметрах;
• сведения о лице, фактически проводящем занятие, — фамилия и имя, если при создании занятия выбран проводящий (см. пункт 6.3);
• факт и дата-время предоставления согласия на обработку персональных данных;
• дата регистрации и дата последнего входа.

5.4. Лица, обратившиеся в службу поддержки. Обрабатываются: адрес электронной почты для ответа, тема обращения, текст обращения, дата и время обращения, а также связь с учётной записью, если обращение направлено из личного кабинета.

5.5. Посетители сайта. Обрабатываются технические данные, указанные в разделе 11 Политики: IP-адрес, сведения о браузере (User-Agent), дата и время обращения к Сервису, идентификатор сессии.

5.6. Оператор не обрабатывает специальные категории персональных данных (расовая, национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь, судимость) и не обрабатывает биометрические персональные данные. Причина пропуска занятия в Сервисе не запрашивается и не хранится.

5.7. Пароль в открытом виде Оператором не хранится и не может быть восстановлен. В базе данных хранится только необратимое криптографическое преобразование (хеш) пароля, предназначенное исключительно для проверки права доступа. Средства доступа к учётной записи — необратимый хеш пароля, зашифрованный секрет приложения для второго фактора, хеш одноразового кода, направляемого на почту, и хеши запасных кодов — хранятся в необратимом или зашифрованном виде и в открытом виде не хранятся; как категории персональных данных они не заявляются: это средства доступа, а не сведения о человеке; той же логике следует уведомление, поданное в Роскомнадзор. Второй фактор обязателен для администратора сервиса и администратора образовательной организации, преподаватель и студент включают его по желанию.

5.8. Пользователь обязуется не размещать в свободных текстовых полях Сервиса (тема занятия, текст обращения в поддержку, наименование группы, текст сообщения, вставляемый преподавателем для разбора расписания) персональные данные третьих лиц, а также сведения, относящиеся к специальным категориям персональных данных. Оператор не запрашивает такие сведения и не имеет цели их обрабатывать. Текст сообщения, вставленный преподавателем для разбора расписания, обрабатывается только в оперативной памяти в момент разбора, в базе данных не сохраняется и в журналы не записывается; сохраняются созданные занятия (дата, время, длительность, число мест) и ссылка на профиль преподавателя, который ведёт занятие; фамилия и имя в занятии отдельной строкой не хранятся и на экран берутся из профиля в момент показа.

5.9. Сервис не предназначен для обработки сведений, составляющих государственную тайну, врачебную тайну, тайну усыновления или иных сведений, охраняемых специальным законодательством. Размещение таких сведений в полях Сервиса не допускается.

6. Источники получения персональных данных

6.1. Персональные данные Зарегистрированных пользователей и Гостей получены непосредственно от субъекта персональных данных при заполнении форм регистрации, записи на отработку и обращения в службу поддержки.

6.2. Технические данные (раздел 11) получены автоматически от программного обеспечения устройства субъекта при обращении к Сервису.

6.3. Фамилия и имя лица, фактически проводящего занятие, — данные преподавателя, полученные непосредственно от него самого: при регистрации в Сервисе (пункт 6.1) и при оформлении им лично согласия на распространение персональных данных (раздел 9 Политики). При создании занятия автор выбирает проводящего из списка коллег по кафедре, уже давших такое согласие; свободный ввод фамилии Сервисом не предусмотрен. Текст сообщения, который преподаватель вставляет для автоматического разбора расписания, служит лишь подсказкой для выбора из этого списка: в базу данных он не сохраняется и источником персональных данных не является (пункт 5.8 Политики).

6.4. Персональные данные не приобретаются у третьих лиц, не получаются из общедоступных источников и не собираются из иных информационных систем.

7. Цели обработки персональных данных

7.1. Обработка персональных данных осуществляется исключительно в следующих целях:

7.1.1. регистрация пользователя в Сервисе, создание и ведение учётной записи, идентификация и аутентификация пользователя при входе;

7.1.2. подтверждение принадлежности пользователю указанного им адреса электронной почты, восстановление доступа к учётной записи;

7.1.3. организация записи на отработки: предоставление пользователю возможности выбрать занятие и место, формирование и ведение списка записавшихся, отмена и перенос записи;

7.1.4. информирование пользователя о его собственной записи: подтверждение записи, напоминание, уведомление об отмене или переносе занятия, направление файла календаря;

7.1.5. предоставление преподавателям и уполномоченным сотрудникам кафедры сведений о том, кто записан на занятия этой кафедры, независимо от того, к какой образовательной организации относится записавшийся, и отметка фактической явки;

7.1.6. формирование сводной статистики и отчётности по посещаемости отработок для кафедры и образовательной организации;

7.1.7. рассмотрение обращений пользователей и направление ответов на них;

7.1.8. обеспечение работоспособности и безопасности Сервиса: предотвращение автоматизированных и мошеннических регистраций и записей, защита от подбора паролей, выявление и расследование инцидентов;

7.1.9. исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации.

7.2. Оператор не использует персональные данные для рекламы, маркетинговых рассылок, профилирования в рекламных целях, оценки личности, а также не передаёт и не продаёт их третьим лицам в таких целях.

8. Правовые основания обработки

8.1. Правовыми основаниями обработки персональных данных являются:

8.1.1. согласие субъекта персональных данных на обработку его персональных данных (пункт 1 части 1 статьи 6 Закона № 152-ФЗ) — основное правовое основание для всех данных, указанных в пунктах 5.1–5.4 Политики;

8.1.2. согласие субъекта персональных данных на распространение персональных данных (статья 10.1 Закона № 152-ФЗ) — в отношении сведений, публикуемых на публичной странице кафедры (раздел 9);

8.1.3. необходимость обработки для достижения целей, предусмотренных законом, и осуществления возложенных на Оператора функций, полномочий и обязанностей (пункт 2 части 1 статьи 6 Закона № 152-ФЗ) — в целях, указанных в пунктах 7.1.8 и 7.1.9 Политики, а именно: хранение сведений о факте, дате и содержании полученных согласий как доказательства правомерности обработки (часть 3 статьи 9 Закона № 152-ФЗ), ведение журналов безопасности и применение мер защиты (статья 19 Закона № 152-ФЗ), составление актов об уничтожении персональных данных и выгрузок из журнала регистрации событий (приказ Роскомнадзора от 28.10.2022 № 179), уведомление уполномоченного органа по защите прав субъектов персональных данных (статья 22 Закона № 152-ФЗ);

8.1.4. необходимость обработки для осуществления прав и законных интересов Оператора при условии, что при этом не нарушаются права и свободы субъекта персональных данных (пункт 7 части 1 статьи 6 Закона № 152-ФЗ) — в отношении обращений и переписки, содержащих претензию, спор или иные сведения, необходимые для защиты прав Оператора, в объёме и в течение срока, указанных в пункте 14.3 Политики;

8.1.5. Закон № 152-ФЗ, Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», настоящая Политика.

8.2. Согласие даётся субъектом свободно, своей волей и в своём интересе, конкретно, предметно, информированно, сознательно и однозначно — путём самостоятельного проставления отметки в поле, которое по умолчанию не отмечено. Форма согласия отделена от иных документов и не объединена с ними.

8.3. Возраст при регистрации и при записи без регистрации не запрашивается и не проверяется. Сервис рассчитан на лиц, достигших восемнадцати лет. Если субъекту меньше, согласие даёт законный представитель: при регистрации учётную запись создаёт он и отметку ставит он; при записи без регистрации отметку на форме ставит тот, кто заполняет форму. Оператор не располагает средствами проверить, что отметку проставил именно представитель, и этот риск принимает. Если Оператору станет известно, что персональные данные принадлежат лицу младше восемнадцати лет и согласие законного представителя отсутствует, обработка таких данных прекращается, а данные уничтожаются в порядке, установленном пунктом 14.6 Политики.

8.4. Отказ от предоставления персональных данных влечёт невозможность регистрации в Сервисе и записи на отработку, поскольку эти данные необходимы для идентификации записавшегося преподавателем.

8.5. Обработка по основаниям, указанным в пунктах 8.1.3 и 8.1.4, на согласии субъекта персональных данных не основана и продолжается после отзыва согласия — но исключительно в объёме и в течение сроков, необходимых для достижения указанных в них целей (пункты 14.3–14.5 Политики). По достижении этих целей соответствующие сведения уничтожаются.

9. Распространение персональных данных

9.1. Оператор осуществляет распространение персональных данных (раскрытие неопределённому кругу лиц) в единственном случае: на публичной странице кафедры, на странице управления записью по прямой ссылке, в письме-подтверждении, в напоминании и в файле календаря публикуется фамилия и имя преподавателя целиком, в том виде, как они записаны в профиле (имя и фамилия через пробел), вместе с датой, временем, темой занятия и наименованием кафедры. Если имя и фамилия в профиле не заполнены, вместо них выводится «Уточняется»; адрес почты и логин не публикуются. Афиша кафедры содержит название кафедры, QR-код и ссылку на публичную страницу; фамилия и имя преподавателя на афише не печатаются.

9.2. Распространение осуществляется исключительно с согласия преподавателя, оформленного в соответствии со статьёй 10.1 Закона № 152-ФЗ, в объёме: фамилия и имя преподавателя, наименование кафедры и образовательной организации, расписание проводимых занятий. Цель распространения — информирование студентов о времени и месте отработки. Согласие оформляется отдельным документом (не совмещается с согласием на обработку персональных данных) и содержит условия и запреты на передачу данных, установленные субъектом. Субъект вправе предоставить согласие на распространение непосредственно Оператору либо с использованием информационной системы уполномоченного органа (часть 6 статьи 10.1 Закона № 152-ФЗ).

9.2.1. Не позднее трёх рабочих дней с момента получения согласия Оператор публикует информацию об условиях обработки и о наличии запретов (часть 10 статьи 10.1 Закона № 152-ФЗ). Обязанность закрыта: страница согласия преподавателя открыта без входа, условия и запреты в ней перечислены.

9.3. Преподаватель вправе в любое время потребовать прекращения передачи (распространения, предоставления, доступа) своих персональных данных. Требование исполняется самостоятельно и немедленно: в разделе «Мой аккаунт» Сервиса кнопка «Скрыть моё имя» прекращает публикацию сразу — во всех занятиях преподавателя, включая ранее размещённые, на общедоступной странице кафедры вместо фамилии отображается «Уточняется». Учётная запись, занятия и записи студентов при этом сохраняются. Требование, направленное вместо этого по адресу электронной почты или через форму обратной связи (пункт 15.2), исполняется в любое время с момента получения (часть 12 статьи 10.1 Закона № 152-ФЗ); согласие прекращается с этого момента (часть 13 статьи 10.1). Срок три рабочих дня либо срок по решению суда — часть 14 статьи 10.1 и относится к требованию, направленному любому иному лицу, обрабатывающему эти данные при несоблюдении статьи 10.1.

9.3.1. Прекращение публикации не распространяется на копии, вышедшие из-под контроля Оператора до этого момента: ранее направленные студентам письма, ранее скачанные файлы календаря, распечатанные афиши и снимки экрана, а также копии страницы в кэшах поисковых систем и сторонних сервисов. Оператор прекращает распространение со своей стороны; отозвать такие копии он не может.

9.3.2. Пока публикация имени прекращена, другие преподаватели кафедры не могут указать это лицо проводящим занятие: Сервис исключает его из списка выбора.

9.3.3. Преподаватель вправе в любое время возобновить публикацию тем же способом. Возобновление оформляется как новое согласие на распространение; ранее данное и отозванное согласие сохраняется в журнале согласий в течение срока, установленного пунктом 14.5.

9.4. Персональные данные студентов и Гостей не распространяются. Список записавшихся на занятие доступен преподавателям и уполномоченным сотрудникам кафедры, на которой проводится занятие, администратору образовательной организации, к которой относится кафедра, и администратору Сервиса. Сервис предназначен для записи студентов той образовательной организации, к которой относится кафедра. Вместе с тем запись через общедоступную страницу кафедры доступна любому зарегистрированному пользователю Сервиса независимо от указанной им образовательной организации, а также Гостю без регистрации — по прямой ссылке или QR-коду; принадлежность записавшегося к образовательной организации Сервисом не проверяется, достоверность сообщённых сведений Оператором не устанавливается. Сведения о такой записи становятся доступны перечисленным лицам в том же объёме. Публичная страница кафедры показывает только количество свободных мест, но не имена записавшихся.

9.5. Ссылка на запись, направляемая Гостю, содержит уникальный случайный идентификатор (токен) и является постоянной: по ней без входа можно повторно открывать статус записи, отменять её, скачивать файл календаря и удалять свои данные. Ссылка действует 90 дней с создания записи либо до удаления самой записи и позволяет управлять только собственной записью. Оператор рекомендует не передавать такую ссылку третьим лицам.

10. Перечень действий с персональными данными и способы обработки

10.1. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение — в объёме раздела 9, предоставление — в объёме раздела 12), обезличивание, блокирование, удаление, уничтожение.

10.2. Обработка осуществляется смешанным способом: автоматизированная обработка с использованием средств вычислительной техники и (в незначительном объёме) неавтоматизированная обработка. Обработка сопровождается передачей персональных данных по информационно-телекоммуникационным сетям, в том числе через сеть «Интернет», с использованием защищённого соединения.

10.3. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных (статья 16 Закона № 152-ФЗ).

10.4. Сервис не применяет рекомендательные технологии в значении статьи 10.2.2 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

11. Файлы cookie, технические данные и журналы

11.1. Сервис использует только технически необходимые файлы cookie:

• sessionid — идентификатор сессии, обеспечивает сохранение входа в учётную запись: у студента — не более 7 суток с последнего обращения; у преподавателя и администраторов — не более 8 часов с момента входа, без продления;
• csrftoken — токен защиты от межсайтовой подделки запроса; срок хранения — 1 год.

11.2. Оператор не использует файлы cookie в рекламных целях, не размещает рекламные и аналитические трекеры, счётчики посещаемости и пиксели третьих лиц, не использует системы веб-аналитики и не применяет технологии межсайтового отслеживания.

11.3. В браузере пользователя (технология localStorage) могут сохраняться: введённые ранее фамилия, имя и отчество, номер учебной группы и личные ссылки на сделанные без регистрации записи, по которым запись можно отменить. Это нужно, чтобы не вводить данные повторно и не потерять доступ к своей записи. Перечисленные сведения хранятся на устройстве пользователя, Оператору отдельно не передаются и удаляются очисткой данных сайта в браузере. localStorage не является файлом cookie; сведения, хранящиеся в нём, не передаются на сервер Оператора автоматически.

11.4. Оператор ведёт журналы, необходимые для обеспечения безопасности:

• В журнале записей без регистрации фиксируются дата и время обращения, необратимый отпечаток (хеш) IP-адреса и строка User-Agent браузера. Сам IP-адрес в этом журнале не сохраняется: отпечаток нужен только для того, чтобы отличать повторные обращения и ограничивать автоматические запросы, и восстановить по нему адрес нельзя.
• журнал неудачных попыток входа: указанный при входе адрес электронной почты и IP-адрес (используется для временной блокировки на пятнадцать минут после пяти неудачных попыток пары «учётная запись + сетевой адрес» и после пятнадцати неудачных попыток по учётной записи независимо от сетевого адреса);
• журнал успешных входов: адрес электронной почты (логин) и IP-адрес открытым текстом, срок 90 дней;
• журнал просмотров списка записавшихся: кто смотрел (идентификатор учётной записи), какой слот, когда; ФИО и почта записавшихся в этот журнал не попадают, срок 90 дней;
• технический журнал ошибок Сервиса.

11.5. IP-адрес и User-Agent обрабатываются исключительно в целях, указанных в пункте 7.1.8. В журнале неудачных и успешных входов IP-адрес хранится вместе с адресом электронной почты, указанным при входе, и служит для блокировки подбора пароля и разбора инцидентов; для иных целей, в том числе для оценки личности, не используется. В журнале записей без регистрации хранится только необратимый отпечаток, восстановить по нему адрес нельзя. По состоянию на дату настоящей редакции эти сведения третьим лицам не передаются.

11.6. Журнал неудачных и успешных входов и журнал просмотров списка записавшихся хранятся не более 90 дней с даты соответствующей записи и очищаются автоматически. Журнал записей без регистрации и технический журнал ошибок — файлы журналов приложения; их ротирует по сроку служба ротации журналов на сервере.

11.7. Технические журналы приложения ротируются ежесуточно и хранятся не более 90 дней, после чего удаляются. Журнал запросов веб-сервера не ведётся: Оператор отключил его, поскольку в адресах страниц встречаются персональные ссылки управления записью и коды подтверждения.

12. Передача персональных данных третьим лицам

12.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам, за исключением случаев, прямо предусмотренных настоящим разделом и законодательством Российской Федерации.

12.2. Оператор поручает обработку персональных данных следующему лицу на основании договора, содержащего обязанность соблюдения конфиденциальности и требований безопасности (часть 3 статьи 6 Закона № 152-ФЗ):

• Индивидуальный предприниматель Тутаев Адам Муратович (сервис SMTP.BZ, smtp.bz; ИНН 324500745345, 241013, Брянская обл., г. Брянск, ул. Медведева, д. 65, к. 3, кв. 71; регистрационный номер в реестре операторов 32-23-006251) — доставка писем (подтверждение адреса электронной почты, восстановление доступа, подтверждение записи, напоминание о занятии, перенос и отмена записи); передаётся адрес электронной почты получателя, его имя и содержание письма. Серверы и базы данных расположены на территории Российской Федерации, трансграничная передача не осуществляется.

ООО «Бегет» (ИНН 7801451618, ОГРН 1077847645590, 195112, г. Санкт-Петербург, пл. Карла Фаберже, д. 8Б, офис 726А) — организация, которой принадлежит серверное оборудование и в чьём центре обработки данных (г. Санкт-Петербург, ул. Жукова, д. 43, стр. 2) находится база данных Сервиса; договор поручения обработки персональных данных с ней не заключается. Почтовый ящик Оператора размещён у ООО «Бегет».

Обязанность соблюдения конфиденциальности установлена публичными условиями оказания услуг и политикой обработки персональных данных указанного лица; политика сервиса SMTP.BZ размещена по адресу smtp.bz/confidential. Указанное лицо зарегистрировано в Российской Федерации, его серверы и базы данных находятся на территории Российской Федерации.

12.3. Обработчик действует по поручению и в интересах Оператора, не вправе использовать персональные данные в собственных целях и несёт перед Оператором обязанность соблюдать принципы и правила обработки, предусмотренные Законом № 152-ФЗ. Ответственность перед субъектом персональных данных за действия обработчика несёт Оператор (часть 5 статьи 6 Закона № 152-ФЗ). Обработчик несёт ответственность перед Оператором.

12.4. Персональные данные могут быть предоставлены органам государственной власти, органам местного самоуправления, суду, органам следствия и дознания — исключительно по надлежаще оформленному запросу, в объёме и порядке, установленных законодательством Российской Федерации.

12.5. Персональные данные могут быть предоставлены образовательной организации (вузу, колледжу), к которой относится кафедра, в объёме сведений о записях на отработки и явке по занятиям её кафедр — в целях, указанных в пунктах 7.1.5 и 7.1.6. Такие сведения включают записи всех лиц, записавшихся на занятия этих кафедр, в том числе лиц, указавших иную образовательную организацию, и Гостей (пункт 9.4).

12.6. Иным лицам персональные данные не предоставляются.

13. Трансграничная передача и локализация баз данных

13.1. Оператор не осуществляет трансграничную передачу персональных данных: данные не размещаются в иностранных облачных хранилищах и сетях доставки контента, не выгружаются иностранным физическим и юридическим лицам и иностранным органам власти, не собираются через иностранные мессенджеры и социальные сети.

13.2. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ). Сервер, на котором размещена база данных Сервиса, расположен в центре обработки данных DataLine по адресу: г. Санкт-Петербург, ул. Жукова, д. 43, стр. 2. Резервные копии также хранятся на территории Российской Федерации.

13.3. Чтобы письма Сервиса не уходили на серверы за пределами Российской Федерации, Сервис не принимает адреса зарубежных почтовых служб (в том числе Gmail, Outlook, Yahoo и подобных). Проверка применяется и при регистрации учётной записи и входе в неё, и при записи на отработку без регистрации. При вводе такого адреса форма возвращает ошибку, и данные не сохраняются. Письма Сервиса направляются только на адреса российских почтовых служб.

13.4. Файл календаря в формате .ics Сервис формирует и отдаёт субъекту как обычный файл для скачивания. Оператор не направляет этот файл третьим лицам и не размещает его в сторонних календарных сервисах. Файл содержит только те сведения о занятии, которые открыты на публичной странице кафедры: название кафедры и образовательной организации, дату и время проведения, фамилию и имя преподавателя, ведущего занятие, а также тему отработки, если она указана. Сведения о самом записавшемся — фамилия, имя, отчество, учебная группа, адрес электронной почты и ссылка для управления записью — в файл не включаются. Если субъект по своему усмотрению импортирует файл в календарь иностранного сервиса, это его собственное действие, совершаемое вне Сервиса и вне контроля Оператора.

13.5. Кнопка «Поделиться» открывает выбранное самим пользователем приложение с заранее подготовленным текстом. В этот текст включаются только сведения о занятии — тема отработки, дата, время, число свободных мест и ссылка на публичную страницу Сервиса; фамилии, имена и иные персональные данные в него не подставляются. Отправлять ли этот текст и кому — решает пользователь, Оператор при этом никаких данных никому не передаёт.

14. Сроки обработки и хранения персональных данных

14.1. Персональные данные Зарегистрированного пользователя обрабатываются в течение срока действия учётной записи — до её удаления пользователем или до отзыва согласия на обработку персональных данных.

14.2. Сведения о записях на отработки (включая записи Гостей) и сведения о преподавателе, проводившем занятие (фамилия и имя, кафедра), хранятся не более 365 дней с даты проведения занятия; очередная ночная чистка удаляет записи с датой строго старше этого порога. Настоящий срок применяется независимо от наличия учётной записи: записи удаляются по его истечении даже при действующей учётной записи пользователя (пункт 14.1 определяет срок хранения данных учётной записи, но не записей на занятия). Обезличенные статистические сведения (количество записей, посещений и пропусков без указания лиц) могут храниться бессрочно — персональными данными они не являются.

14.3. Обращения в службу поддержки хранятся в Сервисе 90 дней с даты обращения, после чего уничтожаются автоматически. Письма, полученные и отправленные по обращению, хранятся в почтовом ящике поддержки не дольше того же срока и удаляются Оператором. При отзыве согласия на обработку персональных данных переписка с обратившимся лицом удаляется незамедлительно, включая её копии в корзине. Исключение составляет переписка, содержащая претензию, спор или сведения, необходимые для защиты прав Оператора: она хранится в соответствии с пунктом 7 части 1 статьи 6 Закона № 152-ФЗ до разрешения спора и в течение одного года после его разрешения; такая переписка переносится Оператором в отдельную папку вручную, и отзыв согласия на неё не распространяется, поскольку её хранение не основано на согласии субъекта.

14.4. Журналы, указанные в пункте 11.4, хранятся не более 90 дней с даты соответствующей записи в журнале и удаляются автоматически.

14.5. Сведения о факте и дате предоставления согласия на обработку персональных данных хранятся в течение всего срока обработки и трёх лет после её прекращения — как доказательство правомерности обработки в течение общего срока исковой давности (статья 196 Гражданского кодекса Российской Федерации). По истечении этого срока они уничтожаются.

14.6. По достижении цели обработки персональные данные уничтожаются не позднее тридцати дней с даты достижения цели (часть 4 статьи 21 Закона № 152-ФЗ). При отзыве согласия — не позднее тридцати дней с даты поступления отзыва (часть 5 статьи 21 Закона № 152-ФЗ); в самом Сервисе данные удаляются сразу. По требованию о прекращении обработки обработка прекращается в течение десяти рабочих дней; срок может быть продлён не более чем на пять рабочих дней с мотивированным уведомлением, кроме случаев пунктов 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 (часть 5.1 статьи 21 Закона № 152-ФЗ). Часть 5.1 — прекращение обработки, не уничтожение. Уничтожение при отзыве согласия, если сохранение более не требуется, — часть 5 статьи 21. При выявлении неправомерной обработки обработка прекращается в течение трёх рабочих дней, персональные данные уничтожаются в течение десяти рабочих дней (часть 3 статьи 21 Закона № 152-ФЗ). Сроки, названные в пунктах 14.2—14.5, — сроки хранения данных. Журнал согласий и журнал уничтожения: 3 календарных года, затем очередная чистка не позднее 25 дней; записи на отработки — следующей ночной чисткой после истечения 365 дней. Предельный срок закона после достижения цели — не более 30 дней (часть 4 статьи 21 Закона № 152-ФЗ). Если уничтожить персональные данные в указанные сроки невозможно, Оператор блокирует их и обеспечивает уничтожение в срок не более шести месяцев (часть 6 статьи 21 Закона № 152-ФЗ).

14.7. Уничтожение персональных данных производится способом, исключающим возможность восстановления их содержания: удалением записей из базы данных и из резервных копий при очередной их ротации. Оператор составляет акт об уничтожении персональных данных и выгрузку из журнала уничтожения. В акте указываются сведения об Операторе, категории уничтоженных данных, наименование информационной системы, причина и дата уничтожения; фамилия, имя, отчество и подпись лица, уничтожившего данные, вписываются Оператором. В выгрузке указываются вид субъекта, категории уничтоженных данных, наименование информационной системы, причина и дата уничтожения; отпечаток субъекта и фамилия, имя, отчество лица, уничтожившего данные, в выгрузку не входят. Журнал уничтожения пишется при удалении учётной записи, при отмене по личной ссылке, при кнопке гостя «удалить мои данные», при отмене записи студентом, при удалении записи преподавателем, при плановой чистке записей и занятий, при плановой чистке обращений в поддержку, при ночной чистке журнала входов и при чистке журнала просмотров списка записавшихся. Журнал записей без регистрации и технический журнал ошибок — файлы журналов приложения; их ротирует по сроку служба ротации журналов на сервере.

14.8. Зашифрованные копии базы данных хранятся на том же сервере; оставляются 14 последних файлов, более старые удаляются при очередном копировании. Персональные данные, удалённые из базы, окончательно перестают существовать в информационной системе Оператора после ротации копий, в которых они ещё содержались.

14.9. Отметка о том, что публикация имени преподавателя прекращена, хранится в учётной записи в течение всего срока её действия: она определяет, показывать ли фамилию, и уничтожается вместе с учётной записью. Сведения о факте и дате самого согласия на распространение и его отзыва хранятся в журнале согласий в течение срока, установленного пунктом 14.5.

15. Права субъекта персональных данных

15.1. Субъект персональных данных имеет право:

15.1.1. получать информацию, касающуюся обработки его персональных данных, в объёме, предусмотренном частью 7 статьи 14 Закона № 152-ФЗ: подтверждение факта обработки, правовые основания и цели обработки, применяемые Оператором способы обработки, наименование и место нахождения Оператора, сведения о лицах, имеющих доступ к персональным данным, обрабатываемые персональные данные и источник их получения, сроки обработки и хранения, порядок осуществления субъектом своих прав, сведения об осуществлённой или предполагаемой трансграничной передаче, информацию о способах исполнения Оператором обязанностей, установленных статьёй 18.1; фамилию, имя, отчество и адрес лица, обрабатывающего данные по поручению Оператора;

15.1.2. требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

15.1.3. отозвать согласие на обработку персональных данных;

15.1.4. требовать прекращения передачи (распространения, предоставления, доступа) своих персональных данных, ранее разрешённых для распространения;

15.1.5. возражать против обработки; требовать устранения неправомерных действий Оператора;

15.1.6. обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке, а также требовать возмещения убытков и компенсации морального вреда в судебном порядке.

Кнопки для реализации этих прав находятся у вошедшего пользователя в разделе «Мой аккаунт», в блоке «Дополнительно»; у гостя — на личной ссылке записи из письма, в разделе «Дополнительно».

15.2. Порядок обращения. Запрос направляется на адрес электронной почты, указанный в пункте 2.2, либо через форму обратной связи (пункт 2.3). Запрос должен содержать сведения, позволяющие идентифицировать субъекта в Сервисе: фамилию, имя; для учётной записи — адрес электронной почты, указанный при регистрации; для гостевой записи — фамилию, имя, отчество (если указывалось), учебную группу и уникальную ссылку управления записью либо дату занятия, а адрес электронной почты — если он указывался при записи; а также существо требования. Запрос, направленный с адреса электронной почты, указанного в учётной записи, считается исходящим от субъекта персональных данных. Если запрос направлен с иного адреса, Оператор вправе запросить дополнительные сведения для подтверждения личности субъекта, необходимые для исключения несанкционированного доступа к данным третьего лица.

15.3. Сроки ответа. Сведения, указанные в пункте 15.1.1, предоставляются в течение десяти рабочих дней с даты получения запроса. Срок может быть продлён не более чем на пять рабочих дней с мотивированным уведомлением (часть 3 статьи 14 и часть 1 статьи 20 Закона № 152-ФЗ). Неполные, неточные или неактуальные персональные данные уточняются в течение семи рабочих дней с даты представления субъектом сведений (часть 3 статьи 20 Закона № 152-ФЗ). Если субъект представил сведения, что данные получены незаконно или не являются необходимыми для заявленной цели, — уничтожить в течение семи рабочих дней (часть 3 статьи 20 Закона № 152-ФЗ).

15.4. Отзыв согласия на обработку. Согласие на обработку персональных данных отзывается путём направления обращения в порядке пункта 15.2 либо самостоятельно — удалением учётной записи в разделе «Мой аккаунт» Сервиса. С момента отзыва Оператор прекращает обработку персональных данных и уничтожает их в срок, установленный пунктом 14.6. Отзыв согласия влечёт невозможность дальнейшего использования Сервиса и удаление сведений о записях на отработки.

15.5. Отзыв согласия на распространение персональных данных (для преподавателей — прекращение публикации фамилии на общедоступных страницах) осуществляется отдельно, в порядке пункта 9.3 Политики: самостоятельно кнопкой «Скрыть моё имя» в разделе «Мой аккаунт» либо обращением к Оператору. Отзыв такого согласия не прекращает действие учётной записи, не удаляет занятия и записи студентов и не ограничивает работу в Сервисе.

15.6. Ограничения. Право субъекта на доступ к своим персональным данным может быть ограничено в случаях, предусмотренных частью 8 статьи 14 Закона № 152-ФЗ, в том числе если доступ нарушает права и законные интересы третьих лиц.

15.7. В случае выявления неправомерной обработки персональных данных Оператор прекращает такую обработку в срок, не превышающий трёх рабочих дней с даты выявления, уничтожает персональные данные в течение десяти рабочих дней (часть 3 статьи 21 Закона № 152-ФЗ) и уведомляет об этом субъекта.

16. Меры по обеспечению безопасности персональных данных

16.1. Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для выполнения обязанностей, предусмотренных статьями 18.1 и 19 Закона № 152-ФЗ и постановлением Правительства Российской Федерации от 01.11.2012 № 1119. Определён четвёртый уровень защищённости персональных данных (подпункт «б» пункта 12 постановления Правительства Российской Федерации от 01.11.2012 № 1119): актуальны угрозы третьего типа, обрабатываются иные категории персональных данных менее чем ста тысяч субъектов, не являющихся сотрудниками Оператора.

16.2. Организационные меры. Обязанности по организации обработки персональных данных Оператор исполняет лично; назначение отдельного ответственного лица предусмотрено законом для оператора — юридического лица (пункт 1 части 1 статьи 18.1 и статья 22.1 Закона № 152-ФЗ) и к Оператору не относится. Также: издание настоящей Политики и её опубликование в свободном доступе; ознакомление лиц, допущенных к обработке, с требованиями законодательства; ограничение круга лиц, имеющих доступ к персональным данным, минимально необходимым; учёт машинных носителей; внутренний контроль соответствия обработки требованиям закона. Технические средства Сервиса размещены на арендованном сервере в центре обработки данных на территории Российской Федерации; помещения, в которых размещено оборудование, Оператору не принадлежат, физического доступа к оборудованию Оператор не имеет, а режим обеспечения безопасности этих помещений обеспечивается лицом, оказывающим услуги размещения оборудования, на основании договора. Собственных помещений, в которых размещались бы технические средства Сервиса, у Оператора нет. Документы на бумажных носителях, образующиеся при рассмотрении обращений субъектов персональных данных и при уничтожении персональных данных, хранятся Оператором в запираемом месте хранения, доступ к которому имеет только Оператор.

16.3. Технические меры:

• передача всех данных между устройством пользователя и Сервисом по защищённому протоколу HTTPS (TLS); принудительное перенаправление с незащищённого соединения; механизм HSTS;
• хранение паролей исключительно в виде необратимых криптографических хешей с индивидуальной солью;
• разграничение доступа по ролям: студент видит только свои записи, преподаватель — записи на занятия своей кафедры, администратор образовательной организации — данные в пределах своей организации, администратор Сервиса — данные всех организаций;
• защита от подбора пароля: временная блокировка на пятнадцать минут после пяти неудачных попыток пары «учётная запись + сетевой адрес» и после пятнадцати неудачных попыток по учётной записи независимо от сетевого адреса;
• подтверждение адреса электронной почты при регистрации;
• защита от межсайтовой подделки запроса (CSRF-токены), защита cookie флагами HttpOnly, Secure и SameSite;
• защита от автоматизированных регистраций и записей;
• ограничение частоты запросов к формам ввода данных;
• регулярное резервное копирование с хранением копий на территории Российской Федерации;
• своевременное обновление программного обеспечения, устраняющее известные уязвимости;
• применение средств антивирусной защиты на сервере и на рабочем месте Оператора с автоматическим обновлением баз признаков вредоносных программ.

16.4. Средства криптографической защиты информации, подлежащие обязательной сертификации ФСБ России, Оператором не используются; защита канала связи обеспечивается штатными механизмами TLS.

16.5. Действия при инциденте. В случае неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение двадцати четырёх часов о произошедшем инциденте и в течение семидесяти двух часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента, с момента выявления инцидента оператором, уполномоченным органом или иным заинтересованным лицом (часть 3.1 статьи 21 Закона № 152-ФЗ). Уведомление направляется по формам, установленным Роскомнадзором. Оператор обеспечивает взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак, включая информирование о компьютерных инцидентах, повлёкших неправомерную передачу персональных данных, в порядке, определённом уполномоченным органом в области обеспечения безопасности (часть 12 статьи 19 Закона № 152-ФЗ). Уведомление уполномоченного органа по защите прав субъектов — часть 3.1 статьи 21.

16.6. Оценка вреда субъектам персональных данных. В соответствии с пунктом 5 части 1 статьи 18.1 Закона № 152-ФЗ Оператором проведена оценка вреда, который может быть причинён субъектам персональных данных. По результатам оценки определена средняя степень вреда: срабатывают распространение фамилии и имени преподавателя на общедоступной странице и получение согласия гостя без регистрации и без подтверждения личности. Специальные категории персональных данных и биометрические персональные данные Оператором не обрабатываются.

17. Обработка персональных данных по поручению третьих лиц

17.1. По состоянию на дату настоящей редакции Оператор не осуществляет обработку персональных данных по поручению образовательных организаций и определяет цели и состав обрабатываемых данных самостоятельно.

17.2. В случае заключения договора с образовательной организацией, по которому Оператор будет обрабатывать персональные данные по её поручению, соответствующие сведения (наименование организации-оператора, цели и состав данных) будут отражены в новой редакции Политики до начала такой обработки.

18. Изменение Политики

18.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения по адресу, указанному в пункте 1.5, если иной срок не указан в самой редакции.

18.2. При внесении изменений, существенно затрагивающих права субъектов персональных данных (расширение состава обрабатываемых данных, появление новых целей обработки, новых получателей данных, изменение сроков хранения), Оператор уведомляет Зарегистрированных пользователей по адресу электронной почты, указанному в учётной записи, не позднее чем за десять дней до вступления изменений в силу.

18.3. Изменения, расширяющие состав обрабатываемых персональных данных или цели обработки, применяются только после получения нового согласия субъекта персональных данных.

18.4. Дата последнего изменения и номер редакции указываются в начале документа. Все предыдущие редакции сохраняются Оператором в неизменном виде и предоставляются по запросу, направленному в порядке пункта 15.2.

19. Заключительные положения

19.1. К настоящей Политике и отношениям между Оператором и субъектом персональных данных применяется право Российской Федерации.

19.2. Если отдельное положение Политики будет признано недействительным, это не влияет на действительность остальных положений.

19.3. Все споры разрешаются путём переговоров; при недостижении согласия — в порядке, установленном законодательством Российской Федерации. Досудебный (претензионный) порядок обязателен: срок рассмотрения претензии — тридцать календарных дней.

19.4. Контактные данные для любых вопросов, связанных с обработкой персональных данных, указаны в разделе 2 Политики.

Редакция 1.6 от 30.08.2026.