Политика конфиденциальности и обработки персональных данных

1. Общие положения

Настоящая Политика в отношении обработки персональных данных (далее — Политика) составлена в соответствии с пунктом 2 статьи 18.1 Федерального закона № 152-ФЗ «О персональных данных» от 27.07.2006 г. и определяет порядок обработки персональных данных и меры по обеспечению их безопасности.

Оператор ставит своей важнейшей целью соблюдение прав и свобод человека при обработке персональных данных, в том числе защиту прав на неприкосновенность частной жизни, личную и семейную тайну.

Настоящая Политика применяется ко всей информации, которую Оператор может получить о пользователях обучающей платформы «Ментор 1С» (далее — Сайт).

Идентификатор редакции для согласия по заявке: privacy-2026-08.

Идентификатор согласия на Яндекс Метрику: metrika-2026-08-27.

2. Оператор персональных данных

3. Основные понятия

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.
• Оператор — индивидуальный предприниматель или иное лицо, организующее обработку персональных данных (в рамках настоящей Политики — ИП Надворный В. Ф.).
• Пользователь — любой посетитель Сайта.
• Cookie-файлы — небольшие фрагменты данных, сохраняемые на устройстве пользователя для поддержания сессии, собственной атрибуции приглашений и, только после отдельного согласия, работы Яндекс Метрики.
• Обработка персональных данных — любое действие с персональными данными: сбор, запись, систематизация, хранение, уточнение, использование, передача, удаление.

4. Какие персональные данные обрабатываются

4.1. При авторизации через Telegram:

• Идентификатор Telegram (числовой ID)
• Имя, указанное в профиле Telegram (first_name)
• Фамилия, если указана (last_name)
• Username в Telegram, если публичный
• URL аватара, если публичный

4.2. При авторизации через OAuth (Yandex, Mail.ru, Google, Gitea, VK):

• Email-адрес из учётной записи провайдера
• Имя и фамилия (если предоставлены провайдером)
• Внешний идентификатор у провайдера (для повторного входа)
• URL аватара (если публичный)

4.3. При регистрации по email:

• Адрес электронной почты
• Имя, указанное при регистрации
• Пароль в виде криптографического хэша (bcrypt). Оператор не хранит пароли в открытом виде и не имеет технической возможности их восстановить.

4.4. Учебные данные:

• Прогресс прохождения курсов и уроков
• Решения практических заданий, загружаемые Пользователем (включая XML-выгрузки 1С-конфигураций)
• Сообщения в чате с ментором
• Решения задач 1С Код и тренажёра код-ревью
• Накопленный XP, уровень, серия дней (streak)

4.5. Автоматически собираемые данные:

• IP-адрес и User-Agent — только в техническом журнале веб-сервера для защиты от атак и диагностики; эти значения не записываются в заявки, атрибуцию приглашений и прикладную историю посещений
• Дата и время посещений
• При переходе по ссылке-приглашению — идентификатор такого перехода, источник приглашения, адрес страницы Сайта без параметров запроса и дата просмотра
• Только после отдельного согласия на публичных страницах — обезличенные сведения Яндекс Метрики о посещении, источнике перехода, типе устройства, разрешённых UTM-метках, кликах и прокрутке

Счётчик Яндекс Метрики № 112004329 загружается только после явного согласия на аналитические cookie — выбора «Хорошо» в уведомлении или «Разрешить аналитику» в настройках ниже. До такого выбора запросы к Яндексу, аналитические cookie и записи Вебвизора не создаются. Счётчик не запускается в личном кабинете, учебных разделах, админ-панели, чатах, Messenger, формах входа и Mini App. Если на публичную страницу переходит уже авторизованный пользователь платформы, счётчик также не загружается: посещения учеников и команды не смешиваются с данными о привлечении новых посетителей.

В Метрику передаются только путь разрешённой публичной страницы, ограниченный список UTM-меток, источник на уровне origin, технические характеристики браузера и обезличенные события взаимодействия. Произвольная строка запроса, токены, имя, телефон, email, Telegram, текст заявки и содержимое полей форм не передаются.

4.6. При отправке заявки на бесплатную консультацию:

• Имя и контакт, указанные Пользователем
• Выбранная программа и необязательный комментарий о цели обучения
• Страница Сайта, с которой отправлена заявка
• Только при отдельном необязательном согласии — случайные идентификаторы браузера и сессии, первая открытая публичная страница и закрытый идентификатор материала, внешний источник перехода на уровне домена и значения utm_source, utm_medium, utm_campaign, utm_content, utm_term

Полный адрес внешней страницы, произвольные параметры запроса, рекламные click-ID, токены и содержимое просмотренных страниц для атрибуции заявки не сохраняются.

4.7. Данные, которые НЕ собираются:

• Паспортные и иные идентификационные данные
• Адрес места жительства
• Банковские реквизиты и данные карт (оплата производится по счёту от ИП — см. Публичную оферту)

5. Цели обработки персональных данных

1. Авторизация Пользователя — идентификация и предоставление доступа к платформе.
2. Персонализация — обращение по имени, сохранение прогресса, выбранного бэкграунда (УТ/БП/ЗУП), уровня, достижений.
3. Менторство и обратная связь — передача решений ментору на проверку, ведение чата, отправка комментариев и оценок.
4. Коммуникация по существенным вопросам — подтверждение email, сброс пароля, уведомления о важных изменениях Сервиса, напоминания о практике.
5. Безопасность — защита от несанкционированного доступа, выявление подозрительной активности.
6. Улучшение Сервиса — анонимный анализ агрегированной статистики (какие уроки сложнее, где спотыкаются ученики).
7. Атрибуция приглашений — оценка переходов по созданным Оператором ссылкам без сохранения параметров запроса, фрагментов URL и токенов.
8. Обработка заявки — связь с Пользователем по поводу бесплатной консультации.
9. Публичная веб-аналитика — только с отдельного согласия: оценка источников посещений и улучшение публичных страниц с помощью Яндекс Метрики и Вебвизора.

6. Правовые основания обработки

• Согласие субъекта персональных данных, выраженное путём акцепта настоящей Политики и Пользовательского соглашения при регистрации в Сервисе.
• Исполнение договора (Публичной оферты, индивидуального договора менторства), стороной которого является субъект персональных данных.
• Законные интересы Оператора, не нарушающие прав субъекта (защита от атак, ведение журнала безопасности).

7. Срок хранения персональных данных

• До момента удаления аккаунта Пользователем по запросу на email pelevin397@gmail.com.
• Не более 3 (трёх) лет с момента последней активности Пользователя в Сервисе. По истечении этого срока данные удаляются автоматически.
• Текущие журналы веб-сервера, содержащие IP-адрес и User-Agent, — не более 30 (тридцати) дней; оставшиеся исторические сетевые идентификаторы в прикладных таблицах обезличиваются не позднее 90 дней.
• Необязательные идентификаторы first-party атрибуции заявки, домен внешнего источника и UTM-метки — не более 90 (девяноста) дней, после чего удаляются из заявки без удаления самой заявки и зафиксированного состояния согласия.
• Записи Вебвизора хранятся Яндексом 15 дней, включая текущий день. Срок действия отдельных cookie Метрики зависит от их назначения и может составлять до 1 года; точные сроки публикуются Яндексом в перечне временных файлов Метрики.
• Решения практических работ — не более 2 (двух) лет с момента сдачи (для возможности возврата к ним и повторного разбора).

8. Передача персональных данных третьим лицам

Оператор не передаёт персональные данные третьим лицам, за исключением случаев, прямо предусмотренных законодательством РФ (обязательное предоставление по запросу суда, правоохранительных органов).

Для функционирования Сервиса используются:

• OAuth-провайдеры (Yandex, Mail.ru, Google, Gitea, VK, Telegram) — только при инициированной самим Пользователем авторизации, согласно их собственным политикам.
• AI-провайдеры (для функции AI-ревью кода) — передаётся только текст решения задачи, без привязки к личности Пользователя.
• Telegram — в служебный чат Оператора может направляться только внутренний номер новой заявки и ссылка на защищённый административный раздел. Имя, контакт, программа, комментарий и данные атрибуции в такое уведомление не включаются.
• ООО «ЯНДЕКС» (Яндекс Метрика и Вебвизор) — только после отдельного согласия Пользователя и только для измерения публичных страниц. Обработка выполняется по условиям Яндекс Метрики; идентификационные данные и содержимое полей форм в Метрику не передаются.

Персональные данные, которые Оператор сохраняет в собственной базе Сервиса, хранятся на серверах, физически расположенных на территории Российской Федерации, в соответствии с требованиями части 5 статьи 18 152-ФЗ. Данные Яндекс Метрики обрабатываются Яндексом по его опубликованным условиям и соглашению об обработке данных.

9. Меры защиты персональных данных

• Передача данных осуществляется исключительно по шифрованному каналу HTTPS (TLS 1.2+).
• Сессионные cookie подписаны HMAC-SHA256 с секретным ключом, хранящимся только на сервере Оператора.
• Пароли пользователей хранятся в виде bcrypt-хэшей с солью.
• Доступ к серверу ограничен по SSH-ключам; вход по паролю root отключён.
• На сервере работает firewall (UFW) и защита от брутфорса SSH (fail2ban).
• Регулярно устанавливаются обновления безопасности ОС.
• Резервные копии базы данных делаются ежедневно и хранятся 14 дней.
• Для административных операций может применяться двухфакторная аутентификация (TOTP).

10. Права субъекта персональных данных

В соответствии со статьями 14—17 152-ФЗ Пользователь имеет право:

• Получать информацию об обработке своих персональных данных.
• Требовать уточнения, блокирования или уничтожения своих данных, если они неполны, устарели или незаконно получены.
• Отозвать согласие на обработку. В этом случае доступ к Сервису будет прекращён.
• Обжаловать действия Оператора в Роскомнадзоре или суде.

Для реализации этих прав отправьте запрос на email pelevin397@gmail.com с темой «Запрос по персональным данным». Оператор ответит в течение 30 дней.

11. Использование cookie-файлов, Метрики и локального хранилища

Сайт использует технически необходимые cookie и собственные cookie атрибуции приглашений:

• mentor1c_session — сессионный токен, подписанный HMAC. Срок жизни 30 дней.
• mentor_ref — случайный идентификатор перехода по ссылке-приглашению. Срок жизни 30 дней; значение недоступно JavaScript (HttpOnly) и используется для связи перехода с последующей авторизацией.
• mentor_ref_active — нечувствительный признак активной ссылки-приглашения. Срок жизни 30 дней; позволяет отправлять сведения о просмотре только для такого перехода.

Одноразовый параметр state для OAuth хранится на сервере, а не в cookie браузера.

Случайные идентификаторы необязательной атрибуции заявки и соответствующие записи в хранилище браузера не создаются до согласия на эту атрибуцию.

При активной ссылке-приглашении сохраняется только путь страницы из ограниченного списка публичных и пользовательских маршрутов. Параметры запроса, фрагменты URL, токены и заголовок страницы не сохраняются.

Если Пользователь отдельно разрешил необязательную first-party атрибуцию заявки, браузер может сохранить в localStorage случайный идентификатор и первую/последнюю UTM-метку на срок до 90 дней, а в sessionStorage — случайный идентификатор только на время текущей вкладки. Первая публичная страница и соответствующий ей закрытый идентификатор статьи до согласия удерживаются только в памяти вкладки; произвольная строка запроса и название страницы не сохраняются. При отправке согласованной заявки эти сведения могут быть записаны на срок до 90 дней. Отправка формы без необязательного согласия очищает ранее созданные записи; удалить их также можно средствами браузера. Они не являются cookie и не передаются сторонним аналитическим системам.

Отдельно, после согласия на аналитические cookie, Яндекс Метрика может создать cookie с префиксом _ym, а также служебные записи в localStorage и sessionStorage. Они используются для различения обезличенных посещений, источников трафика, карты кликов и Вебвизора. При отказе Сайт останавливает счётчик и удаляет доступные ему first-party записи Метрики; cookie на доменах самого Яндекса управляются через настройки браузера и сервисов Яндекса.

В настройках Вебвизора запись всех полей отключена. Поля имени, телефона, Telegram, комментария и поиска дополнительно отмечены техническим запретом записи ym-disable-keys. Чат, если его виджет доступен поверх публичной страницы авторизованному пользователю, целиком скрыт через ym-hide-content. Приватные маршруты исключены из счётчика целиком. Перед загрузкой счётчика Сайт запрашивает у собственного сервера только обезличенный ответ «можно/нельзя учитывать посещение»; имя, роль, идентификатор и другие сведения об учётной записи браузеру для этой проверки не возвращаются.

Пользователь может отключить cookies в настройках браузера. В этом случае атрибуция приглашения прекратится, а работа с авторизованными разделами может стать невозможной.

12. Изменение Политики

Оператор вправе вносить изменения в настоящую Политику. При каждом изменении указывается дата новой редакции. Новая редакция вступает в силу с момента её публикации на Сайте.

13. Контакты