Политика в отношении обработки персональных данных

1. Общие положения

1.1. Политика определяет, как [не указано] (далее — Оператор) обрабатывает персональные данные пользователей онлайн-сервиса LexiBoard на сайте lexiboard.by (далее — Сервис). Политика разработана в соответствии с Законом Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее — Закон). Термины используются в значениях, определённых Законом.

1.2. Связаться с Оператором по вопросам персональных данных: email info@lexiboard.by, почтовый адрес [не указано].

1.3. Условия пользования Сервисом изложены в публичном договоре. Регистрироваться в Сервисе могут только совершеннолетние лица.

2. Чьи данные, зачем и на каком основании мы обрабатываем

2.1. Учителя — пользователи, зарегистрировавшие аккаунт.

• Данные: email; пароль — только в виде необратимого хеша, сам пароль Оператор не видит; выбранные язык интерфейса и тема; дата и редакция принятого публичного договора; тариф, сроки подписки и история оплат (номер заказа, сумма, валюта, способ оплаты, дата, номер операции у платёжного сервиса), баланс и списания токенов генерации; если учитель пришёл по ссылке-приглашению коллеги — кто его пригласил, дата первой оплаты и начисленные пригласившему дни Pro; материалы, которые учитель создаёт в Сервисе.
• Цели: регистрация и вход; оказание услуг по публичному договору; учёт оплат и исполнение обязанностей по законодательству о налогах и бухгалтерском учёте; служебные письма (подтверждение email, сброс пароля, сообщения о тарифе и изменениях договора).
• Основание: договор с субъектом персональных данных и обязанности, предусмотренные законодательными актами (статья 6 Закона), — отдельное согласие для этого не требуется.
• Срок: пока существует аккаунт и до 30 дней после его удаления; сведения об оплатах — в течение сроков хранения учётных документов, установленных законодательством.
• Пробный период положен один на почтовый ящик. Чтобы его нельзя было получить повторно, Сервис хранит необратимый хеш адреса email (сам адрес в этой записи не хранится, восстановить его из хеша нельзя) и идентификатор аккаунта. Эта запись сохраняется и после удаления аккаунта.
• Чтобы бонусы за приглашение коллег не получали за собственные вторые аккаунты, при регистрации, входе и открытии страницы приглашений Сервис хранит необратимый хеш IP-адреса вместе с идентификатором аккаунта (сам адрес не хранится). Запись удаляется через 90 дней после последнего обращения с этого адреса или вместе с аккаунтом.
• Если учитель входит через Google, Google по его разрешению передаёт Сервису адрес email, отметку о его подтверждении, имя, ссылку на фото профиля и идентификатор аккаунта Google. Пароль от Google Сервис не получает. Эти данные хранятся вместе с аккаунтом и для тех же целей.
• Данные банковской карты (номер, срок действия, CVC) вводятся только на странице платёжного сервиса WebPay. Оператор их не получает и не хранит. Если учитель включил автопродление, Оператор хранит маскированный номер карты (первые 6 и последние 4 цифры) и идентификатор привязки карты в WebPay — до отключения автопродления или удаления аккаунта.

2.2. Ученики учителей. Учитель сам вносит в Сервис имена учеников, заметки о них, результаты игр и упражнений, содержимое досок; ученик, открывший ссылку на домашнее задание, вводит своё имя. Оператор этих данных — учитель. Мы обрабатываем их как уполномоченное лицо по поручению учителя (раздел 10 публичного договора) и только для того, чтобы показать их учителю и ученику по его ссылке. С вопросами о таких данных ученик или его законный представитель обращается к своему учителю; если для ответа нужны действия в Сервисе, мы помогаем учителю.

2.3. Те, кто пишет нам на email. Данные: email, имя, если оно указано, и текст письма. Цель — ответить на обращение. Срок — не более 3 лет после ответа.

2.4. Все посетители сайта. Данные: IP-адрес, сведения о браузере, файлы cookie (раздел 3). Цели: работа Сервиса и защита от злоупотреблений — ограничение числа попыток регистрации, входа, сброса пароля и запросов к Сервису. Счётчики попыток с IP-адресом удаляются автоматически, как правило в течение двух суток; журналы запросов хостинг-провайдера хранятся не более 30 дней. Журнал работы Сервиса (ошибки и события: вход, оплата, генерация, исчерпанный лимит — с идентификатором учётной записи, а для входа — с email) хранится в базе данных Сервиса и удаляется автоматически через 30 дней.

3. Файлы cookie и данные в браузере

Сервис использует только cookie, без которых он не работает. Рекламных cookie, счётчиков и трекеров третьих лиц нет.

В памяти браузера (localStorage) на устройстве сохраняются имя, которое ученик ввёл для входа на доску или в игру, настройки игр — чтобы не вводить их заново, и отметка, что уведомление о cookie прочитано.

4. Кому передаются данные

4.1. Оператор привлекает уполномоченных лиц, которые обрабатывают данные по его поручению:

• Supabase, Inc. — база данных, хранение файлов, вход в аккаунт и отправка служебных писем. Серверы — в Германии (Франкфурт-на-Майне).
• Vercel, Inc. — хостинг сайта. Запросы обрабатываются на серверах в Германии (Франкфурт-на-Майне).
• Платёжный сервис WebPay (Республика Беларусь) — приём оплаты. При оплате ему передаются номер заказа, сумма и email учителя, а при автопродлении — ещё идентификатор аккаунта учителя (к нему WebPay привязывает карту).

4.2. Германия относится к иностранным государствам, обеспечивающим надлежащий уровень защиты прав субъектов персональных данных.

4.3. Для генерации учебных материалов и встроенного переводчика на доске Сервис передаёт текст запроса (тему, слова, текст страницы учебника, фразу для перевода) провайдеру языковой модели или сервису перевода Google, серверы которых могут находиться в США, а для поиска картинок к словам — слово запроса сервису Pixabay. Данные аккаунта при этом не передаются. Не указывайте в запросах на генерацию и в тексте для перевода персональные данные учеников.

4.4. Если учитель добавил на доску видео, плеер загружается с сайта видеосервиса (YouTube, Vimeo, RUTUBE, VK Видео) только у тех, кто открыл эту доску. Видеосервис получает IP-адрес и сведения о браузере зрителя и может установить свои cookie — к этому применяются правила видеосервиса.

4.5. Данные могут быть предоставлены государственным органам в случаях, предусмотренных законодательством. Иным третьим лицам Оператор данные не передаёт и не продаёт.

5. Права субъекта персональных данных

Вы вправе:

• отозвать согласие, если обработка основана на согласии (статья 10 Закона);
• получить информацию об обработке своих персональных данных (статья 11 Закона);
• потребовать изменить данные, если они неполные, устаревшие или неточные (статья 12 Закона);
• получить информацию о предоставлении своих данных третьим лицам — бесплатно один раз в календарный год (статья 13 Закона);
• потребовать прекратить обработку и удалить данные, если для их обработки нет оснований (статья 14 Закона);
• обжаловать действия Оператора в Национальный центр защиты персональных данных Республики Беларусь (статья 15 Закона).

Заявление подаётся письменно на почтовый адрес Оператора или в виде электронного документа, а если обработка основана на согласии — также в той форме, в которой оно дано. В заявлении указываются фамилия, имя, отчество (если есть), адрес места жительства, дата рождения, идентификационный номер (если его нет — номер документа, удостоверяющего личность), суть требований и подпись (для письменного заявления). Оператор отвечает в сроки, установленные Законом: на запрос информации об обработке — в течение 5 рабочих дней, на остальные заявления — в течение 15 дней.

Свои материалы учитель меняет и удаляет в Сервисе сам. Аккаунт учитель тоже удаляет сам — пункт «Удалить аккаунт» в меню аккаунта, с вводом пароля: аккаунт и материалы удаляются сразу. Можно и написать на email Оператора с адреса аккаунта.

6. Как защищены данные

• соединение с сайтом — только по HTTPS;
• пароли хранятся только в виде хеша;
• база данных закрыта для прямого доступа из браузера: данные читает и меняет только сервер Сервиса, проверив, что учитель — их владелец;
• личные ссылки учеников — длинные случайные ключи; учитель может перевыпустить ссылку, и старая перестанет работать;
• доступ к инфраструктуре Сервиса есть только у Оператора; когда Оператор открывает учётную запись учителя (например, чтобы разобраться в его обращении), это записывается в журнал.

7. Изменение Политики

Новая редакция Политики публикуется на этой странице. О существенных изменениях Оператор сообщает пользователям по email.

8. Реквизиты Оператора

Исполнитель

[не указано]

Адрес

[не указано]

Телефон

[не указано]

Email

info@lexiboard.by

Режим работы

Пн–пт, 10:00–19:00 по Минску. Письма принимаем круглосуточно.

Сайт

lexiboard.by