Политика конфиденциальности

Редакция от: [ДАТА]Действует с: [ДАТА]

Этот документ объясняет, какие персональные данные обрабатывает платформа Cardio Imaging Academy, с какой целью, кому мы их передаём и как вы можете ими управлять. Мы описываем то, что система делает на самом деле, — без общих формулировок «мы можем собирать любую информацию».

Обработка регулируется Законом Украины «Про захист персональних даних» № 2297-VI. Общий регламент ЕС (GDPR) к нам не применяется: платформа адресована врачам в Украине, цены указаны в гривне, и мы не предлагаем услуги на рынке ЕС. Если это изменится, мы обновим политику до начала такой деятельности.

1. Кто обрабатывает данные

Владелец персональных данных — [ФОП/ТОВ, полное наименование], код [ЄДРПОУ або РНОКПП], адрес [адрес регистрации].

Вопросы об обработке данных и запросы о ваших правах: [email для запросов].

2. Какие данные мы собираем

Вы сообщаете сами

Учётная запись

Адрес электронной почты и пароль. Пароль хранится только в виде необратимой криптографической свёртки (scrypt со случайной солью) — восстановить из неё пароль нельзя, и мы не знаем ваш пароль.

Профиль

Имя и фамилия (обязательны — попадают в сертификат), а также по вашему усмотрению: страна, язык, часовой пояс, врачебная специальность, профессиональный статус, организация.

Учебная активность

Заметки и закладки к урокам, отзывы о курсах, вопросы и ответы под уроками, отметки «полезно», жалобы на комментарии.

Система записывает сама

Прогресс обучения

Просмотренные отрезки видео с точностью до секунды, отметки о прохождении, результаты тестов и попытки их сдачи. Это самые подробные данные о вашем поведении на платформе. Они нужны, чтобы правило завершения курса («просмотрено 90 % урока») считалось честно и чтобы вы могли оспорить результат.

Покупки и доступ

Заказы, их состав и стоимость, статус платежа, срок вашего доступа к курсу, выданные сертификаты.

Вход и безопасность

Сессии входа (срок действия, время последней активности) и одноразовые токены подтверждения почты и сброса пароля. Сами токены не хранятся — только их свёртки.

Уведомления

Ваши настройки уведомлений, лента уведомлений в кабинете, записи о доставке писем, подписка браузера на push-уведомления (если вы её разрешили).

Чего мы не собираем

• Платёжных данных. Номер карты, имя держателя и срок действия вводятся на стороне платёжного провайдера. К нам они не поступают, и в нашей базе нет ни одного поля для них.
• IP-адрес мы не храним. Он используется только в момент запроса — для защиты от подбора паролей и спама, в виде свёртки в оперативной памяти, которая стирается через несколько десятков минут и при перезапуске сервиса. В базе данных IP-адресов нет.
• Аналитики и трекеров нет. Мы не подключали Google Analytics, Meta Pixel, Sentry или иные системы слежения: на сайте нет ни одного стороннего скрипта, следящего за вами.

3. Зачем мы их обрабатываем

Мы обрабатываем данные только для того, ради чего вы пришли:

• Исполнить договор с вами — дать доступ к оплаченному курсу, учесть прогресс, выдать сертификат, принять оплату.
• Обеспечить безопасность — подтвердить, что учётной записью пользуетесь вы, защитить её от подбора пароля, восстановить доступ.
• Выполнить требования закона — хранить сведения о расчётах в течение установленных сроков.
• Поддерживать сообщество — показывать ваши вопросы и ответы другим участникам курса, модерировать нарушения.

Мы не используем ваши данные для рекламного профилирования и не принимаем на их основе автоматических решений с юридическими последствиями для вас.

4. Кому мы передаём данные

Список исчерпывающий. Мы не продаём данные и не передаём их рекламным сетям.

Платёжный провайдер

АТ «Універсал Банк» (Plata by mono) — получает сумму, номер заказа, название курса и данные вашей карты, которые вы вводите на его странице оплаты. Обрабатывает их как самостоятельный владелец данных.

Провайдер отправки писем

[наименование провайдера] — получает ваш адрес и текст письма, чтобы доставить подтверждение почты, ссылку сброса пароля или напоминание о вебинаре.

Служба push-уведомлений вашего браузера

Google, Mozilla или Apple — в зависимости от браузера, и только если вы разрешили push. Содержимое уведомления зашифровано, сама служба его не читает. Отключается в настройках уведомлений.

Проверка скомпрометированных паролей

Сервис Have I Been Pwned — при регистрации и смене пароля мы проверяем, не утекал ли ваш пароль в известных утечках. Мы отправляем только первые пять символов свёртки пароля, по которым невозможно восстановить ни пароль, ни то, чей он. Сам пароль, ваш адрес и IP туда не уходят.

Хостинг

[хостинг-провайдер, страна размещения] — размещает серверы и базу данных.

5. Данные пациентов запрещены

6. Сколько мы храним данные

Мы описываем фактическое положение дел, а не намерения.

Сессия входа

Прекращает действовать через 7 суток или при выходе.

Токен подтверждения почты

24 часа; токен сброса пароля — 60 минут. Одноразовые.

Учётная запись, профиль, прогресс, сообщения

Пока существует учётная запись. Записи о прогрессе не изменяются и не удаляются: они служат доказательством того, что курс пройден, и основанием выданного сертификата.

Заказы, платежи, доступы

Хранятся в течение сроков, установленных законодательством о бухгалтерском и налоговом учёте, — даже после удаления остальных ваших данных.

Как удалить свои данные. Кнопки удаления учётной записи в интерфейсе сейчас нет. Напишите нам на [email для запросов] — мы обезличим ваши данные: удалим адрес, имя, профиль, заметки и сообщения. Сведения о расчётах при этом сохранятся в обезличенном виде, поскольку этого требует закон.

7. Ваши права

Статья 8 Закона «Про захист персональних даних» даёт вам, в частности, право:

• знать, кто и с какой целью обрабатывает ваши данные;
• получить доступ к своим данным;
• узнать, кому они передаются, и на каких условиях предоставляется доступ;
• требовать исправления неточных данных и их удаления, если обработка нарушает закон;
• отозвать согласие там, где обработка основана на нём;
• обращаться с жалобой к Уполномоченному Верховной Рады Украины по правам человека.

Имя, фамилию, специальность и другие поля профиля вы можете исправить сами в кабинете. По остальным запросам пишите на [email для запросов] — закон отводит нам на ответ не более 30 календарных дней.

8. Как мы защищаем данные

• Пароли хранятся как свёртки scrypt со случайной солью; сравнение выполняется за постоянное время, чтобы по скорости ответа нельзя было угадать существование учётной записи.
• Сессия живёт в cookie, недоступной скриптам страницы (HttpOnly), и защищена от подделки запросов с других сайтов.
• Секреты двухфакторной аутентификации сотрудников хранятся зашифрованными (AES-256-GCM): утечка одной базы данных не позволит обойти второй фактор.
• Соединение с сайтом защищено HTTPS. Причины модерации проходят проверку, чтобы персональные данные не попадали в журналы.

Ни одна мера не даёт абсолютной гарантии. Если утечка всё же произойдёт и создаст риск для вас, мы сообщим об этом.

9. Cookies

Мы используем только технически необходимые cookies — без них вход и оплата не работают. Рекламных и аналитических cookies нет, поэтому нет и баннера согласия.

cia_session

Ваша сессия входа. Недоступна скриптам страницы.

cia_csrf

Защита от выполнения действий от вашего имени с чужого сайта.

cia_mfa

Короткоживущий барьер входа для сотрудников с двухфакторной аутентификацией.

10. Изменения политики

Мы можем обновлять политику — например, при подключении нового провайдера. Актуальная редакция всегда на этой странице; дата указана вверху. О существенных изменениях мы сообщим на вашу почту заранее.

Условия покупки курсов — в публичной оферте.