Политика обработки персональных данных

Версия: 1.1
Дата вступления в силу: 11 апреля 2026 г.

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) определяет порядок обработки и защиты персональных данных пользователей платформы willtalk.ru (далее — Платформа).

1.2. Оператором персональных данных является Цыбульская Таисья Романовна, г. Москва, осуществляющая деятельность в качестве самозанятой (плательщик налога на профессиональный доход в соответствии с Федеральным законом от 27.11.2018 N 422-ФЗ) (далее — Оператор).

1.3. Контактный адрес электронной почты Оператора: taisyatsybulskaya@gmail.com.

1.4. Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и иными нормативными правовыми актами Российской Федерации в области персональных данных.

1.5. Политика действует в отношении всех персональных данных, которые Оператор получает от пользователей Платформы.

1.6. Регистрируясь на Платформе или используя её функционал, пользователь выражает своё согласие с условиями настоящей Политики. В случае несогласия с условиями Политики пользователь должен прекратить использование Платформы.

2. Правовые основания обработки

2.1. Обработка персональных данных осуществляется на следующих правовых основаниях:

• Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных» (ст. 6 ч. 1 п. 1, п. 5);
• Гражданский кодекс Российской Федерации (в части исполнения договорных обязательств);
• Постановление Правительства Российской Федерации от 01.11.2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Постановление Правительства Российской Федерации от 15.09.2008 N 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• согласие субъекта персональных данных на обработку его персональных данных (ст. 9 152-ФЗ);
• договор (публичная оферта), стороной которого является субъект персональных данных (ст. 6 ч. 1 п. 5 152-ФЗ).

3. Цели обработки персональных данных

3.1. Оператор осуществляет обработку персональных данных в следующих целях:

• регистрация и авторизация пользователей на Платформе;
• предоставление образовательных услуг (уроки английского языка онлайн);
• отслеживание прогресса обучения и формирование статистики успеваемости;
• работа со словарём в рамках учебного процесса;
• проверка домашних заданий в рамках учебного процесса;
• обеспечение безопасности Платформы и предотвращение несанкционированного доступа.

4. Категории и перечень обрабатываемых персональных данных

4.1. Оператор обрабатывает следующие категории персональных данных:

4.1.1. Учётные данные:

• имя пользователя (username);
• отображаемое имя (display_name);
• возрастная категория (для определения порядка получения согласия законного представителя).

4.1.2. Данные аватара:

• выбранное пользователем абстрактное изображение профиля из предустановленного набора (не является фотографией, не позволяет идентифицировать личность).

4.1.3. Образовательные данные:

• уровень владения английским языком (A1–C2);
• ответы на упражнения;
• оценки и результаты проверки;
• прогресс прохождения уроков и курсов;
• допущенные ошибки и статистика их анализа;
• ответы на устные упражнения (в аудиоформате); комментарии преподавателя к выполненным работам;
• файлы, прикреплённые к заданиям (изображения, документы);
• записи хода уроков (комментарии участников во время занятий);
• учебные уведомления и комментарии преподавателя по учебному процессу.

4.1.4. Словарные данные:

• персональный словарь пользователя;
• прогресс заучивания слов (алгоритм интервального повторения SM-2).

4.1.5. Технические данные:

• IP-адрес;
• cookie авторизации;
• данные сессии (токен JWT).

4.1.6. Данные безопасности и журналы активности:

• журналы событий безопасности (попытки входа, изменение пароля, настройка двухфакторной аутентификации);
• журналы активности (действия пользователя на Платформе: вход, выход, выполнение упражнений);
• доверенные IP-адреса (при включении двухфакторной аутентификации).

5. Категории субъектов персональных данных

5.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• Преподаватель (1 человек) — администратор и основной пользователь Платформы;
• Ученики (до 35 человек) — лица, зарегистрированные на Платформе для получения образовательных услуг. Среди учеников могут быть несовершеннолетние лица; в этом случае регистрация осуществляется с согласия законных представителей;
• Посетители сайта — лица, просматривающие общедоступные страницы Платформы (лендинг, страница авторизации).

6. Способы обработки персональных данных

6.1. Обработка персональных данных осуществляется автоматизированным способом с использованием средств вычислительной техники.

6.2. Обработка включает следующие действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), удаление, уничтожение.

7. Сроки обработки и хранения персональных данных

7.1. Сроки хранения персональных данных определяются в зависимости от категории данных:

• Учётные данные (имя пользователя, отображаемое имя) — до момента удаления учётной записи пользователем или до отзыва согласия на обработку персональных данных;
• Образовательные данные (ответы, оценки, прогресс) — до момента удаления учётной записи;
• Записи учебного процесса (комментарии к урокам, уведомления) — до момента удаления учётной записи;
• Резервные копии, включая приватные файлы и аудио — не более 30 дней с момента создания. Тела приватных медиафайлов сохраняются по отдельности в зашифрованном архиве GPG AES-256;
• Cookie авторизации — 7 дней (автоматическое истечение срока действия);
• Серверные логи — не более 30 дней;
• Журналы безопасности и активности — не более 1 (одного) года;
• Записи о согласии на обработку ПДн — 3 (три) года с момента прекращения обработки (в соответствии с общим сроком исковой давности, ст. 196 ГК РФ);
• Токены согласия законных представителей — до 90 дней после использования или истечения срока.

7.2. По истечении установленных сроков хранения персональные данные уничтожаются в порядке, предусмотренном разделом 8 настоящей Политики.

8. Порядок уничтожения персональных данных

8.1. Персональные данные подлежат уничтожению в следующих случаях:

• при достижении целей обработки персональных данных или утрате необходимости в их достижении;
• по запросу субъекта персональных данных;
• при отзыве согласия субъекта на обработку персональных данных.

8.2. При отзыве согласия на обработку персональных данных Оператор обязуется уничтожить персональные данные субъекта в течение 30 (тридцати) дней с даты получения соответствующего обращения.

8.3. Уничтожение персональных данных осуществляется в соответствии с требованиями Приказа Роскомнадзора от 28.10.2022 N 179 «Об утверждении Требований к подтверждению уничтожения персональных данных».

8.4. Резервные копии, содержащие персональные данные, уничтожаются автоматически не позднее истечения 30 дней. Зашифрованная архивная копия приватного файла или аудиозаписи удаляется после того, как на неё больше не ссылается ни одна сохраняемая резервная копия.

8.5. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор обязуется:

• уведомить Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) в течение 24 (двадцати четырёх) часов с момента выявления инцидента;
• направить результаты внутреннего расследования причин инцидента в Роскомнадзор в течение 72 (семидесяти двух) часов с момента выявления инцидента (ст. 21 ч. 3.1 Федерального закона от 27.07.2006 N 152-ФЗ в ред. Федерального закона от 14.07.2022 N 266-ФЗ).

9. Использование внешних сервисов

9.1. Для перевода слов и фраз в рамках учебного процесса Платформа обращается к внешнему API (OpenRouter, маршрутизация на Google Gemini). В запросах к API передаются исключительно:

• отдельные слова для перевода;
• фрагменты учебного текста, составленного преподавателем (контекст для точного перевода).

Персональные данные пользователей (имя, идентификатор, IP-адрес, cookie, данные сессии) не передаются во внешний API. Запросы формируются сервером Платформы (server-to-server); браузер пользователя не взаимодействует с внешним API напрямую. В коде Платформы реализована трёхуровневая система защиты от случайного попадания персональных данных в запросы к API перевода.

9.2. Данный обмен данными не является трансграничной передачей персональных данных по смыслу ст. 12 Федерального закона от 27.07.2006 N 152-ФЗ, поскольку передаваемая информация (слова и учебные тексты) не относится к сведениям, позволяющим прямо или косвенно определить физическое лицо (ст. 3 п. 1 152-ФЗ). Серверы API перевода (OpenRouter / Google) находятся за пределами Российской Федерации, однако передаваемая информация (отдельные слова и фрагменты учебных текстов) не содержит персональных данных и не позволяет идентифицировать пользователя.

9.3. Сторонние сервисы аналитики (Google Analytics, Яндекс.Метрика и т.п.) на Платформе не используются.

9.4. Сторонняя авторизация (OAuth через Google, ВКонтакте и т.п.) на Платформе не используется. Авторизация осуществляется исключительно средствами Платформы.

10. Меры по защите персональных данных

10.1. Оператор принимает необходимые и достаточные организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц.

10.2. Организационные меры:

• назначение ответственного лица за организацию обработки персональных данных;
• установление внутренних правил доступа к персональным данным;
• ограничение круга лиц, имеющих доступ к персональным данным.

10.3. Технические меры:

• шифрование передаваемых данных по протоколу SSL/TLS (HTTPS);
• хеширование паролей пользователей (алгоритм bcrypt);
• ограничение скорости запросов (rate limiting) для защиты от перебора паролей и DDoS-атак;
• межсетевой экран (UFW: разрешены только порты 22, 80, 443);
• система предотвращения вторжений (fail2ban) для автоматической блокировки подозрительной активности;
• заголовки безопасности (Content-Security-Policy, HSTS с preload, X-Content-Type-Options, X-Frame-Options);
• санитизация пользовательского ввода (DOMPurify) для предотвращения XSS-атак;
• валидация загружаемых файлов по сигнатуре содержимого (magic bytes);
• зашифрованные резервные копии базы данных (GPG AES-256);
• база данных расположена на сервере, физически находящемся на территории Российской Федерации (Timeweb Cloud).

11. Права субъекта персональных данных

11.1. В соответствии со ст. 14, 15, 16, 17 Федерального закона от 27.07.2006 N 152-ФЗ субъект персональных данных имеет право:

• на получение информации, касающейся обработки его персональных данных (ст. 14 152-ФЗ);
• на доступ к своим персональным данным (ст. 14 152-ФЗ);
• требовать от Оператора уточнения (исправления) своих персональных данных в случае, если они являются неполными, неточными или неактуальными (ст. 14 152-ФЗ);
• требовать от Оператора удаления своих персональных данных (ст. 14 152-ФЗ);
• отозвать своё согласие на обработку персональных данных путём направления письменного обращения Оператору (ст. 9 152-ФЗ);
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор — или в судебном порядке (ст. 17 152-ФЗ);
• требовать прекращения обработки персональных данных в целях продвижения товаров, работ, услуг на рынке (ст. 15 152-ФЗ);
• не быть объектом решения, основанного исключительно на автоматизированной обработке персональных данных, порождающего юридические последствия (ст. 16 152-ФЗ).

11.2. Для реализации своих прав субъект персональных данных может направить обращение на адрес электронной почты Оператора: taisyatsybulskaya@gmail.com.

11.3. Оператор обязан предоставить ответ на обращение субъекта в течение 10 (десяти) рабочих дней с даты получения обращения (ст. 20 152-ФЗ).

11.4. При выявлении неправомерной обработки Оператор обеспечивает блокирование персональных данных не позднее 3 (трёх) рабочих дней с момента такого выявления (ст. 21 152-ФЗ).

11.5. Если предоставление сведений в 10-дневный срок невозможно, Оператор направляет мотивированный ответ с указанием срока предоставления, не превышающего 5 (пяти) рабочих дней (ст. 20 152-ФЗ).

12. Использование файлов cookie

12.1. Платформа использует исключительно cookie авторизации (next-auth.session-token) для поддержания сессии авторизации пользователя.

12.2. Характеристики cookie авторизации:

• Тип: HttpOnly, Secure (при подключении через HTTPS), SameSite;
• Срок действия: 7 дней;
• Назначение: поддержание авторизованной сессии пользователя.

12.3. Сторонние cookie (аналитика, реклама, трекинг) не используются на Платформе.

12.4. Пользователь вправе отключить cookie в настройках своего браузера, однако это сделает невозможным авторизацию и использование защищённых разделов Платформы.

13. Порядок обращений и контактная информация

13.1. По всем вопросам, связанным с обработкой персональных данных, в том числе для реализации прав, предусмотренных разделом 11 настоящей Политики, субъект персональных данных может обратиться к Оператору по адресу электронной почты: taisyatsybulskaya@gmail.com.

13.2. В случае несогласия с действиями Оператора субъект персональных данных вправе обратиться в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор):

• Почтовый адрес: 109992, г. Москва, ул. Садовая-Сухаревская, д. 16;
• Сайт: https://rkn.gov.ru.

Дата публикации: 11 апреля 2026 г.
Версия документа: 1.1

← На главную