Документы сайта

Политика в отношении обработки персональных данных

Редакция от 28 октября 2026 года

Проект для проверки оператором. До публикации необходимо заполнить сведения об операторе и подтвердить фактические сроки хранения, инфраструктуру и перечень обработчиков. Пустые поля ниже намеренно не заменены предположениями. Эта редакция не считается окончательно готовой к публикации.

1. Общие положения

Настоящая политика описывает обработку персональных данных посетителей сайта AfroZaya, лиц, обращающихся за консультацией или подающих заявку на курс, а также учеников, которым предоставляется доступ в личный кабинет. Политика применяется к сайту и связанным с ним формам и API. Она не заменяет отдельное согласие на обработку персональных данных и договор с пользователем. Проектный текст подготовлен с учётом требований Федерального закона РФ от 27.07.2006 № 152-ФЗ «О персональных данных»; перед утверждением оператору следует проверить актуальную редакцию закона и применимость специальных требований к своим процессам.

Оператор обрабатывает данные для заранее определённых и законных целей, ограничивает состав данных необходимым для этих целей и не объединяет базы, обрабатываемые для несовместимых целей. Открытие сайта само по себе не означает согласия субъекта на обработку данных.

2. Оператор и контакты

Оператор: [указать полное наименование или ФИО оператора]. Статус и адрес оператора: [указать подтверждённые сведения и адрес]. Контакт для обращений по вопросам персональных данных: [указать действующий почтовый адрес и/или email]. Телефон для связи на сайте: +7 (904) 548-18-80; до публикации оператору следует подтвердить, что этот номер предназначен также для обращений по персональным данным.

3. Категории субъектов

• посетители сайта, в том числе лица, просматривающие страницы и связывающиеся с AfroZaya;
• лица, направляющие заявку на консультацию или обучение;
• ученики и покупатели курсов, которым создаются учётные записи и предоставляется доступ к материалам.

4. Цели, состав данных и основания обработки

Основание определяется оператором отдельно для каждой цели и операции с учётом статьи 6 Федерального закона № 152-ФЗ и фактических договорных отношений. Сам факт заполнения формы или посещения сайта не считается согласием. Для исполнения договора и действий по запросу до его заключения оператор применяет соответствующее основание только в необходимом для этого объёме.

• Обработка заявки и ответа на обращение. В формах консультации и заявки на обучение запрашиваются имя и номер телефона; в форме консультации есть необязательный комментарий. Данные используются для ответа и оформления обращения. Основание — действия по запросу лица до заключения договора и/или исполнение договора. Если оператор сочтёт, что для формы или отдельной операции требуется согласие как основание, он должен оформить и фиксировать его отдельно до сбора данных; текущие формы требуют дополнительной юридической проверки основания обработки.
• Регистрация и аккаунт, вход, предоставление доступа к приобретённому курсу. В хранилище аккаунтов используются имя, номер телефона, хэш пароля, назначенный курс/идентификаторы курсов, формат обучения, статус активности и дата создания. Пароль в открытом виде не предназначен для хранения. Основание — заключение и исполнение договора; согласие используется только там, где оно является надлежащим самостоятельным основанием.
• Исполнение заказа и учёт оплаты. В заказах могут обрабатываться имя, телефон, курс, сумма, статус и даты заказа, а также идентификаторы запроса и платежа. Настроенные платёжные интеграции и фактическая передача данных конкретному провайдеру должны быть подтверждены оператором перед публикацией этой редакции. Оплата и фактическое зачисление средств этой политикой не изменяются.
• Безопасность, предотвращение злоупотреблений и работа сайта. API использует сессионные cookie, защитные CSRF-значения, ограничения частоты запросов и технические сведения запроса. В форме консультации сервер сохраняет IP-адрес вместе с обращением для ограничения повторных заявок. Серверные журналы и сроки их хранения требуют отдельной сверки с конфигурацией хостинга.

В зависимости от конкретного взаимодействия могут обрабатываться также сведения, которые пользователь добровольно включает в обращение, технические данные и данные заказа. Оператор должен сверить этот перечень со всеми формами, файлами хранения, журналами и подключёнными сервисами; данный проект не утверждает, что сайт собирает только имя и телефон.

5. Операции и способы обработки

Операции могут включать сбор, запись, систематизацию, накопление, хранение, уточнение, использование, предоставление доступа, передачу в случаях и объёме, необходимых для заявленных целей, блокирование, удаление и уничтожение. Обработка ведётся с использованием средств автоматизации и без них, с применением сайта, API и файловых хранилищ. Аккаунты учеников хранятся в файле storage/students.json, обращения — в storage/consultations.json, заказы — в storage/orders.json. Доступ к этим файлам закрыт для публичной раздачи настройками сервера.

6. Сроки хранения и уничтожение

Данные хранятся не дольше, чем этого требуют цели обработки и применимые обязанности по хранению документов. После достижения цели или утраты необходимости данные подлежат удалению либо уничтожению, если иной срок не требуется законом или действующим договором. Для аккаунта ученика критериями являются срок предоставления доступа к курсу и период, необходимый для исполнения договора и разрешения связанных требований; для заказа и документов учёта — сроки, установленные применимым законодательством; для отклонённых/завершённых заявок и технических журналов — срок, необходимый для ответа на обращение и защиты от злоупотреблений. Конкретные сроки и периодический пересмотр: [указать и утвердить сроки по каждой категории после проверки применимых требований]. Одного указания «до отзыва» без установленного критерия пересмотра сроков недостаточно.

7. Передача третьим лицам

Доступ к данным может предоставляться хостинг-провайдеру и лицам, которые обеспечивают работу сайта, только в объёме, необходимом для соответствующих услуг и на надлежащем правовом основании. В проекте предусмотрены обращения к Telegram для уведомления о консультации и код интеграции с ЮKassa, однако фактическое включение этих сервисов, состав передаваемых данных, договорные условия и роли сторон следует подтвердить по рабочей конфигурации. Оператору следует перечислить фактических обработчиков и их функции: [заполнить после проверки]. Данные не продаются.

8. Защита персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты данных от неправомерного или случайного доступа, изменения, раскрытия, блокирования, копирования и уничтожения. К ним относятся разграничение доступа, проверка полномочий, защита учётных записей и сессий, резервирование и контроль работы информационных систем в объёме, определяемом оператором и применимыми требованиями.

9. Права субъекта и обращения

Субъект вправе запросить сведения об обработке своих данных и источник их получения в случаях, предусмотренных законом; потребовать уточнения неполных, устаревших или неточных данных, блокирования или уничтожения данных, обрабатываемых незаконно или избыточно; возразить против обработки в предусмотренных законом случаях; обжаловать действия оператора в Роскомнадзор или суд; отозвать согласие, если обработка основана на согласии. Отзыв не прекращает обработку, для которой сохраняется иное законное основание, и не влияет на законность обработки до отзыва.

Обращение можно направить оператору по адресу или на контакт, указанный в разделе 2. В обращении следует указать сведения, предусмотренные статьёй 14 Федерального закона № 152-ФЗ, и способ обратной связи. Оператор подтверждает личность заявителя соразмерным способом и отвечает в установленные законом сроки; дополнительные требования к форме обращения не должны ограничивать права субъекта.

10. Локализация и трансграничная передача

В просмотренной конфигурации сайт работает на сервере с корнем /home/dev/afrozaya и PHP-FPM. Этого недостаточно, чтобы установить страну размещения сервера и всех резервных копий. Наличие трансграничной передачи через внешние сервисы, включая карты и мессенджер, также требует проверки фактических запросов, договоров и конфигурации. До публикации оператор должен подтвердить страну первичной записи и хранения, резервные площадки, обработчиков и соблюдение применимых требований локализации и уведомления о трансграничной передаче. Утверждение, что данные размещены исключительно в РФ или не передаются за границу, не делается.

11. Согласие

Когда надлежащим основанием обработки является согласие, оно оформляется отдельно от этой политики, конкретно, информированно, сознательно и однозначно; оператор должен иметь возможность подтвердить его получение. Формы сайта пока не фиксируют отдельное согласие: до их изменения оператору необходимо подтвердить применимое основание для каждой формы. Если требуется основание-согласие, сбор соответствующих данных следует приостановить до внедрения отдельного согласия и серверной фиксации его версии и даты. Рекламные рассылки не являются целью этой политики и не объединяются с согласием для других целей.

12. Уведомление Роскомнадзора

Сайт и проектные API обрабатывают персональные данные. Применимость исключений из обязанности уведомлять Роскомнадзор и наличие ранее поданного уведомления по изученным материалам установить не удалось. Оператору следует отдельно проверить обязанность уведомления по статье 22 Федерального закона № 152-ФЗ, при необходимости подать уведомление до начала обработки и проверить актуальность сведений в реестре. Эта политика не утверждает, что уведомление уже подано.

13. Изменение политики

Оператор публикует действующую редакцию по этому адресу и указывает дату её обновления. Новая редакция применяется с даты, указанной в ней, и не отменяет обязанность соблюдать законные основания и цели обработки. Срок вступления этой редакции в силу: [указать дату после заполнения и проверки документа]. Существенные изменения процессов обработки должны быть проверены до их внедрения.