Политика обработки персональных данных

В соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Дата вступления в силу: 27 августа 2026 года.

1. Общие положения

1.1. Оператор персональных данных

Оператором, осуществляющим обработку персональных данных пользователей платформы InStep, является:

ИП Головин Дмитрий Евгеньевич;
ИНН: 165715770086;
ОГРНИП: 322169000198154;
адрес: г. Казань, ул. Адоратского, д. 60, кв. 31;
регистрационный номер в реестре операторов персональных данных: 18-25-027974 (внесён Приказом Роскомнадзора № 139 от 08.08.2025);
контактный email для обращений субъектов персональных данных: spacetransferteam@gmail.com.

1.2. Область действия

Настоящая Политика определяет порядок и условия обработки персональных данных, которые Оператор получает от пользователей платформы InStep (сайт instep.expert и связанные субдомены, далее совместно — Сайт или Платформа), в том числе при регистрации, входе в аккаунт, оформлении подписки на курсы, оплате, загрузке контента и использовании сервисов Платформы.

1.3. Порядок предоставления согласия

Использование Сайта, регистрация, оформление подписки на курс, загрузка файлов или заполнение любой формы на Сайте означает безусловное согласие Пользователя с настоящей Политикой и условиями обработки его персональных данных. Согласие считается предоставленным при:

проставлении галочки «Я согласен с Политикой обработки персональных данных» при регистрации;
нажатии кнопки «Зарегистрироваться», «Войти», «Записаться», «Отправить» или аналогичной в формах на Сайте;
продолжении использования Сайта после уведомления о Политике.

Текст Политики доступен Пользователю до момента предоставления согласия по прямой ссылке на страницах регистрации и оплаты, а также в подвале Сайта.

1.4. Принципы обработки

Обработка персональных данных осуществляется на основе принципов, установленных статьёй 5 Федерального закона № 152-ФЗ: законности целей и способов обработки; добросовестности; соответствия целей обработки целям сбора; соответствия содержания и объёма данных заявленным целям; достоверности; недопустимости обработки избыточных данных; ограничения обработки достижением конкретных, заранее определённых целей; недопустимости объединения баз данных, созданных для несовместимых целей; хранения данных не дольше, чем этого требуют цели; уничтожения либо обезличивания данных по достижении целей.

2. Состав обрабатываемых персональных данных

2.1. Данные, предоставляемые Пользователем добровольно

фамилия, имя (и отчество при наличии);
адрес электронной почты;
пароль (хранится в виде необратимого криптографического хеша, Оператору сам пароль недоступен);
аватар (изображение профиля), загруженный самим Пользователем;
содержимое, создаваемое тренерами: описания курсов и практик, видео- и аудио-материалы, изображения, тексты теории;
сведения о прогрессе обучения ученика (пройденные практики, завершённые дни, длительность занятий);
сведения об участии в живых онлайн-звонках (факт участия, длительность);
иные сведения, которые Пользователь добровольно указывает в формах и настройках Платформы.

2.2. Технические и аналитические данные, собираемые автоматически

IP-адрес;
технические характеристики устройства (тип, операционная система, версия, разрешение экрана, язык браузера);
приблизительная геолокация на уровне страны (по IP-адресу — используется для регионального отображения интерфейса);
идентификаторы сессии (JWT-токен, хранящийся в браузере Пользователя);
журналы обращений к серверу (URL, время, код ответа).

2.3. Данные, связанные с оплатой

При оплате платных курсов Пользователь передаёт свои платёжные данные (номер карты, срок действия, CVV) непосредственно платёжной системе (эквайрер CloudPayments или иной провайдер). Оператор не получает и не хранит полные данные банковских карт. Оператору доступны только: маскированный номер карты (первые 6 и последние 4 цифры), сумма и статус платежа, идентификатор транзакции.

2.4. Обработка изображений лица

Загруженные аватары могут содержать изображение лица Пользователя. Оператор не использует загруженные изображения в качестве биометрических персональных данных и не применяет технологии распознавания лиц. Изображения обрабатываются исключительно для отображения профиля на страницах Платформы.

2.5. Специальные категории данных

Оператор не обрабатывает специальные категории персональных данных (о состоянии здоровья, национальности, религиозных убеждениях и т.п.), за исключением случаев, когда такие данные добровольно и явно переданы Пользователем в свободных полях (например, в описании тренера или сообщениях). Ответственность за передачу таких данных лежит на Пользователе.

3. Цели и правовые основания обработки

Обработка персональных данных осуществляется исключительно в следующих целях и на соответствующих правовых основаниях (статья 6 Федерального закона № 152-ФЗ):

Регистрация Пользователя и предоставление доступа к личному кабинету — основание: п. 5 ч. 1 (исполнение договора). Данные: email, пароль (хеш), имя.
Верификация email-адреса и восстановление доступа — основание: п. 5 ч. 1 (исполнение договора) и п. 7 ч. 1 (законные интересы оператора). Данные: email, одноразовые коды подтверждения.
Оформление подписки на курс, оплата и предоставление доступа к материалам курса — основание: п. 5 ч. 1 (исполнение договора). Данные: email, имя, статус платежа, идентификатор транзакции.
Ведение прогресса обучения ученика и предоставление персонализированной картины курса — основание: п. 5 ч. 1 (исполнение договора). Данные: пройденные практики, завершённые дни, длительность занятий.
Взаимодействие ученика с тренером внутри курса (сообщения, участие в живых звонках) — основание: п. 5 ч. 1 (исполнение договора). Данные: тексты сообщений, факт участия в звонке.
Хранение, модерация и отображение пользовательского контента (аватары, содержимое курсов, сообщения) — основание: п. 5 ч. 1 (исполнение договора) и п. 7 ч. 1 (законные интересы оператора). Данные: загруженные файлы и их метаданные.
Обеспечение безопасности Платформы и защита от злоупотреблений (rate-limit, обнаружение автоматических атак, аудит действий администраторов) — основание: п. 7 ч. 1 (законные интересы оператора). Данные: IP-адрес, journal-записи запросов.
Выполнение требований законодательства Российской Федерации (бухгалтерский, налоговый учёт, выдача фискальных чеков через ОФД, разрешение споров) — основание: п. 2 ч. 1 (исполнение обязанностей, установленных законом). Данные: имя, email, сведения о платежах.
Информирование Пользователя о статусе аккаунта и подписки (подтверждение регистрации, оплаты, изменения условий) — основание: п. 5 ч. 1 (исполнение договора). Данные: email.
Прямой маркетинг (рекламные рассылки, анонсы новых курсов) — только при отдельном согласии Пользователя. Основание: п. 1 ч. 1 (согласие субъекта). Данные: email, имя.

После достижения целей обработки (включая истечение установленных законом сроков хранения) персональные данные подлежат уничтожению или обезличиванию.

4. Передача персональных данных третьим лицам

4.1. Обработчики персональных данных

Передача осуществляется только в необходимых случаях следующим категориям третьих лиц:

Платёжным сервисам — для приёма оплаты платных курсов (маскированные данные карты и суммы транзакций). Полные данные карт Оператору недоступны.
Оператору фискальных данных (ОФД) — для формирования и выдачи фискальных чеков в соответствии с 54-ФЗ.
Хостинг-провайдеру — для размещения серверов Платформы и хранения загруженных Пользователем файлов.
Сервису рассылки email — для отправки писем подтверждения, уведомлений и рассылок (по согласию).
Государственным органам — в случаях, предусмотренных законом.

4.2. Трансграничная передача

Оператор не осуществляет трансграничную передачу персональных данных на территорию иностранных государств.

5. Права субъекта персональных данных

Субъект персональных данных имеет право:

получать информацию, касающуюся обработки его персональных данных;
требовать уточнения, блокирования или уничтожения персональных данных в случае их неполноты, устаревания, недостоверности, незаконности получения или ненадобности;
отозвать согласие на обработку персональных данных;
требовать ограничения обработки персональных данных;
обжаловать действия Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд.

5.1. Порядок рассмотрения обращений

Обращения и запросы направляются на адрес: spacetransferteam@gmail.com. Оператор рассматривает обращения в течение 10 рабочих дней с момента получения (статья 20 152-ФЗ). При необходимости дополнительной проверки срок может быть продлён, но не более чем на 5 рабочих дней, о чём субъект уведомляется в письменной форме.

В случае несогласия с ответом Оператора субъект персональных данных вправе обратиться с жалобой в Управление Роскомнадзора по Республике Татарстан или в суд в порядке, установленном законодательством Российской Федерации.

6. Меры по обеспечению безопасности

Оператор применяет необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий, включая:

шифрование трафика между Пользователем и сервером (HTTPS, TLS 1.2+);
хранение паролей исключительно в виде необратимого криптографического хеша (bcrypt);
ограничение доступа к серверу — только через ключи SSH, без парольной аутентификации;
ограничение частоты обращений (rate limiting) для защиты от подбора паролей и автоматических атак;
защиту от типовых веб-уязвимостей (XSS, CSRF, SQL-injection, path traversal);
регулярное резервное копирование базы данных;
ведение журнала действий администраторов Платформы (audit-log).

7. Способы и порядок обработки

Обработка персональных данных осуществляется следующими способами: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Обработка осуществляется с использованием средств автоматизации (в электронном виде) и, в случаях, предусмотренных законодательством, без использования средств автоматизации (на бумажных носителях — для исполнения обязательных требований). Доступ к персональным данным имеют только уполномоченные лица, обеспечивающие функционирование Платформы, прошедшие соответствующий инструктаж и обязавшиеся сохранять конфиденциальность.

8. Сроки хранения

Персональные данные Пользователя хранятся в течение всего времени существования его аккаунта. После удаления аккаунта персональные данные (включая загруженные файлы: аватары, содержимое курсов) подлежат удалению в течение 30 дней, за исключением случаев, когда хранение требуется в соответствии с законодательством Российской Федерации (в частности, финансовые документы — 5 лет по требованиям налогового законодательства).

Прогресс обучения и данные о завершённых курсах сохраняются до удаления аккаунта Пользователя или до отдельного запроса на их удаление.

9. Отказ от рассылок

Отказ от рекламных рассылок осуществляется путём нажатия ссылки «Отписаться» в письме или направления заявления на spacetransferteam@gmail.com. Уведомления, связанные с исполнением договора (подтверждение регистрации, оплаты, критические изменения условий), продолжают направляться независимо от отказа от рекламных рассылок — они являются частью обслуживания аккаунта.

10. Заключительные положения

Политика подлежит периодическому пересмотру в связи с изменением законодательства и/или используемых технологий. Актуальная версия Политики всегда доступна по адресу /policy на любом из доменов Платформы. В случае внесения изменений новая редакция вступает в силу с даты её размещения на Сайте, если иное не предусмотрено новой редакцией.

← На главную