Черновик отдела «Юридический» от 2026-10-11, юристом не проверен. Реквизиты в [скобках] подставит владелец до первых живых пользователей. Версия: draft-1.
2. Политика обработки ПДн Tutora
Статус: черновик (юристом не проверен).
Публикуется на tutorapay.ru/privacy (ст. 18.1 ч. 2: на странице, где идёт сбор данных) и ссылкой внутри Mini App.
2.1. Общие положения
1.1. Политика определяет, как [ФИО], самозанятый, ИНН [ИНН] (Оператор), обрабатывает персональные данные пользователей сервиса Tutora (Telegram-бот @tutorapay_bot и Mini App). 1.2. Политика разработана на основании 152-ФЗ и иных актов о защите ПДн. 1.3. Tutora не является платёжным сервисом и не принимает, не хранит и не переводит деньги. Оплата занятий идёт напрямую на кассу или карту учителя. Слово «pay» в адресе бота и домена — технический адрес и не означает платёжных услуг. 1.4. Используя Сервис и давая согласие, пользователь принимает эту Политику.
2.2. Термины
Используются термины ст. 3 152-ФЗ: персональные данные, оператор, обработка, субъект, информационная система. «Учитель» — пользователь, ведущий занятия; «Ученик» — пользователь, занимающийся у Учителя; «Родитель» — родитель или законный представитель несовершеннолетнего Ученика.
2.3. Правовые основания
- согласие субъекта (ст. 6 ч. 1 п. 1; ст. 9);
- для Учителей — исполнение договора, стороной которого является Учитель (п. 5);
- исполнение обязанностей по закону (п. 2), например по налоговому учёту расчётов за подписку.
2.4. Цели, категории данных и субъекты
| Цель | Данные | Субъекты | Срок |
|---|---|---|---|
| Вход, идентификация | Telegram-id, имя, username | все | пока есть аккаунт |
| Учёт занятий и расчёт сумм | Группа, расписание, отметки о занятиях, цена, суммы | Учителя, Ученики, Родители | пока есть аккаунт, затем 30 дней |
| Счета, напоминания, учёт оплат | Суммы, статусы, даты, подтверждения перевода | Ученики, Родители, Учителя | пока есть аккаунт, затем 30 дней |
| Связь, рассылки, материалы | Сообщения и файлы | все | пока есть аккаунт |
| Подписка | Данные тарифа, оплаты за подписку | Учителя | срок, установленный законом о бухгалтерском и налоговом учёте [уточнить] |
| Поддержка | Обращения и переписка | все | 1 год [уточнить] |
| Безопасность | Журналы входа, версии согласий | все | 1 год [уточнить] |
Специальные категории (здоровье, убеждения и т. п.), биометрия и сведения, не нужные для целей, не собираются (ст. 5 ч. 5, ст. 10). Пользователям запрещено вносить такие данные в поля Сервиса.
2.5. Порядок обработки
- Сбор — от самого субъекта; данные Ученика может внести и Учитель, если Ученик согласился на это при входе по ссылке.
- Хранение — в базе на территории РФ (ст. 18 ч. 5).
- Действия — как в согласии (сбор, запись, хранение, использование, передача, удаление и т. д.).
- Данные хранятся не дольше, чем нужно для целей (ст. 5 ч. 7), и уничтожаются в течение 30 дней после достижения цели или отзыва согласия (ст. 21 ч. 5).
2.6. Передача третьим лицам
- Учитель и участники группы видят данные друг друга только в объёме, нужном для занятий и расчётов.
- Хостинг-провайдер [Timeweb] — размещение серверов.
- Платформа Telegram — доставка сообщений и работа Mini App.
- Кассы Учителя (Продамус, ЮKassa, ЮMoney, Robokassa, CloudPayments) — получают данные, которые нужны для платежа (номер счёта, сумма). Касса — независимый оператор со своей политикой.
- Рекламных и маркетинговых передач нет. Продажа данных — нет.
- Государственным органам — по законному запросу.
2.7. Трансграничная передача
[Решить после ответа юриста по вопросу 3: либо «трансграничная передача не осуществляется, кроме работы платформы Telegram, на которую пользователь соглашается при её использовании», либо описание и уведомление по ст. 12.]
2.8. Права субъектов
Право на доступ и копии (ст. 14), уточнение, блокирование, уничтожение, отзыв согласия (ст. 9 ч. 5), обжалование в Роскомнадзор или суд (ст. 17). Запрос направляется на [email] или кнопкой в Сервисе. Ответ на запрос о доступе — в течение 10 рабочих дней (ст. 20 ч. 1, срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением).
2.9. Меры безопасности (ст. 19)
Доступ по ролям (учитель видит только своих учеников); авторизация через Telegram без паролей; шифрование канала (HTTPS); ключи и токены только в защищённых настройках сервера, ключи касс в зашифрованном виде; резервные копии базы; закрытый доступ к серверу; журналирование входов; порядок реагирования на инциденты (ст. 21 ч. 3.1); ответственный за ПДн.
2.9a. Несовершеннолетние
До 14 лет согласие даёт Родитель; для 14–17 лет — Ученик и подтверждающий Родитель (раздел 3). Родитель может отозвать согласие и запросить удаление данных ребёнка.
2.10. Изменение политики и контакты
Оператор вправе менять Политику; новая редакция публикуется на tutorapay.ru/privacy с указанием даты. Контакты: [email], [адрес для корреспонденции].