Политика конфиденциальности

Политика обработки персональных данных учащихся, их законных представителей, заявителей и посетителей сайта BandUp Academy

Редакция от 28.10.2026 (дополнена: личный кабинет, домашние задания, вход по почте)

1. Общие положения

1.1. Настоящая Политика определяет, как Оператор собирает, обрабатывает, хранит и защищает персональные данные на сайте bandupacademy.online (далее — Сайт), в формах Сайта, в переписке в мессенджерах и при оказании услуг онлайн-курса подготовки к экзамену IELTS (далее — Курс).

1.2. Политика разработана в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (далее — Закон), иными нормативными правовыми актами Республики Казахстан в сфере персональных данных в действующих редакциях.

1.3. Оператор обрабатывает только те данные, которые необходимы для заранее определённых и законных целей, указанных в разделе 5, и не использует их в иных целях.

1.4. Используя Сайт и отправляя данные через его формы, вы подтверждаете, что ознакомились с настоящей Политикой. Согласие на обработку данных даётся отдельно — отметкой в форме (раздел 6).

1.5. Политика является публичным документом и постоянно доступна по адресу bandupacademy.online/privacy.

2. Оператор и контакты

3. Термины

• Персональные данные — сведения, относящиеся к определённому или определяемому на их основании физическому лицу (субъекту).
• Посетитель — любое лицо, открывшее Сайт.
• Заявитель — лицо, оставившее заявку на бесплатный диагностический тест через форму Сайта или написавшее Оператору в мессенджер.
• Учащийся — лицо, зачисленное в группу Курса.
• Законный представитель — родитель, усыновитель, опекун или попечитель несовершеннолетнего.
• Заказчик — лицо, заключившее с Оператором договор на оказание услуг Курса и оплачивающее их (как правило, законный представитель).
• Обработчик — лицо, которое обрабатывает персональные данные по поручению Оператора (раздел 8).

4. Какие данные обрабатываются

4.1. Посетители Сайта: технические данные запросов (IP-адрес, тип и версия браузера и устройства, операционная система, время запроса, адрес открытой страницы и страницы перехода) — в журналах хостинга Cloudflare; обезличенная статистика посещений Cloudflare Web Analytics; данные Google Analytics в объёме, описанном в разделе 14.

4.2. Заявители (форма «Записаться на бесплатный тест»):

• имя ученика;
• номер телефона с WhatsApp и страна номера;
• класс (по желанию);
• кто заполняет форму: ученик или родитель;
• отметка о согласии на обработку персональных данных;
• служебные сведения заявки: дата и время отправки, адрес страницы формы.

Если вы написали нам в WhatsApp или Telegram — номер телефона или имя пользователя, имя в профиле мессенджера и текст переписки.

4.2.1. Пользователи личного кабинета (вход через Google): имя, адрес электронной почты, фотография профиля и идентификатор аккаунта Google (их передаёт Google при входе); телефон, класс и кто заполняет профиль — по вашему вводу; статус обучения и номер группы, которые указывает Оператор; дата и время данного согласия; технические данные входа (время входа, браузер, IP-адрес) — в журналах сервиса аутентификации.

4.2.2. Пользователи личного кабинета (вход по почте): адрес электронной почты и пароль, который вы придумали. Пароль хранится у поставщика базы данных Supabase только в виде необратимого хэша; Оператор и преподаватели не могут его увидеть и никогда его не запрашивают. Для подтверждения почты и восстановления пароля на ваш адрес отправляются служебные письма.

4.3. Участники диагностического теста: имя, телефон, ответы и результаты теста по разделам (Listening, Reading, Writing, Speaking), рекомендации преподавателя.

4.4. Учащиеся: фамилия, имя, отчество (при наличии), телефон, класс, город, уровень и номер группы; результаты MOCK-тестов, домашних заданий и эссе, комментарии преподавателя; сведения о посещении занятий; изображение и голос во время онлайн-занятий на платформе [ЗАПОЛНИТЬ: Zoom / Google Meet] [ЗАПОЛНИТЬ: «без записи» или «с записью для повторного просмотра учащимися группы»]; переписка с преподавателем и куратором.

4.4.1. Файлы домашних заданий: тексты, фотографии, документы и аудиозаписи, которые Учащийся добавляет при сдаче домашних заданий, а также оценки и комментарии преподавателя. Файлы хранятся в закрытом хранилище, доступ к ним имеют только сам Учащийся, его преподаватель и администратор Сайта.

4.4.2. Фото профиля: если пользователь сам загрузил фотографию профиля в личном кабинете, она сохраняется в хранилище Сайта и показывается в кабинете, а преподавателям и администратору — рядом с именем пользователя. Фото можно заменить или удалить в любой момент в кабинете.

4.5. Законные представители и Заказчики: фамилия, имя, отчество (при наличии), телефон, отношение к Учащемуся; сведения о договоре, выставленных счетах и платежах (сумма, дата, статус). Данные банковских карт Оператор не получает и не хранит — оплата проходит на стороне банка.

4.6. Оператор не собирает биометрические данные, не применяет распознавание лиц и специально не запрашивает сведения о здоровье, религиозных или политических взглядах. Если такие сведения сообщены по инициативе субъекта (например, причина пропуска занятия), они используются только для решения конкретного вопроса и не хранятся дольше необходимого.

5. Цели обработки

5.1. Связаться с Заявителем по заявке, назначить и провести бесплатный диагностический тест.

5.2. Определить уровень и распределить Учащегося в группу по уровню.

5.3. Заключить и исполнить договор на оказание услуг Курса: занятия, домашние задания, MOCK-тесты, проверка работ, обратная связь, учёт посещения.

5.4. Выставлять счета, принимать оплату и осуществлять возвраты; вести бухгалтерский и налоговый учёт.

5.4.1. Обеспечить вход в личный кабинет, показывать Учащемуся его статус и группу, защищать аккаунты от несанкционированного доступа.

5.4.2. Выдавать домашние задания группе, принимать выполненные работы, проверять их и сообщать Учащемуся оценку и комментарии.

5.5. Отправлять сообщения о расписании, переносах, результатах и оплате в мессенджерах.

5.6. Отвечать на обращения, претензии и запросы, защищать права и законные интересы Оператора.

5.7. Анализировать посещаемость Сайта в обезличенном виде, чтобы улучшать Сайт и понимать, какие источники приводят посетителей.

5.8. Оператор не использует персональные данные для рекламных рассылок без отдельного согласия и не продаёт их.

6. Правовые основания

6.1. Согласие субъекта или его законного представителя — отметка «Согласен(на) на обработку персональных данных» в форме Сайта; при зачислении на Курс — согласие в составе договора (акцепта Публичной оферты). Оператор хранит сведения о данном согласии: дату и время, текст согласия.

6.2. Заключение и исполнение договора, стороной которого является субъект или его законный представитель (Публичная оферта).

6.3. Исполнение обязанностей, установленных законодательством Республики Казахстан: бухгалтерский и налоговый учёт, ответы на запросы уполномоченных органов и суда.

6.4. Согласие можно отозвать в любой момент, написав Оператору (раздел 2), кроме случаев, когда это противоречит законодательству или имеется неисполненное обязательство. После отзыва Оператор прекращает обработку в срок, установленный Законом, если дальнейшая обработка не требуется по закону.

7. Данные несовершеннолетних

7.1. Курс предназначен для школьников, поэтому большинство Учащихся — несовершеннолетние. За несовершеннолетнего согласие на сбор и обработку данных даёт его законный представитель.

7.2. Если заявку оставил сам несовершеннолетний, его данные используются только для связи с ним и с законным представителем, чтобы получить согласие законного представителя и рассказать об условиях Курса. Для зачисления в группу и заключения договора согласие и участие законного представителя обязательны.

7.3. Заявка несовершеннолетнего, по которой согласие законного представителя не получено, удаляется не позднее 30 дней с даты заявки.

7.4. Права несовершеннолетнего Учащегося как субъекта персональных данных осуществляет его законный представитель. Совершеннолетний Учащийся даёт согласие и осуществляет права самостоятельно.

8. Кому передаются данные

8.1. Доступ к данным имеют только Оператор и преподаватели Курса, которым он необходим для работы, в объёме их задач. Преподаватели обязаны сохранять конфиденциальность.

8.2. Оператор поручает обработку следующим лицам (обработчикам):

8.3. Обработчики обрабатывают данные только для указанных целей и обязаны обеспечивать их защиту. Государственным органам и суду данные передаются только в случаях, предусмотренных законами Республики Казахстан.

8.4. Персональные данные не публикуются в общедоступных источниках и не продаются. Результаты учащихся могут публиковаться (например, в Instagram) только с отдельного согласия законного представителя или совершеннолетнего Учащегося и, по их желанию, без имени.

9. Трансграничная передача

9.1. Передача данных обработчикам, находящимся за пределами Республики Казахстан (Cloudflare, Supabase, Google, WhatsApp/Meta, Telegram, платформа онлайн-занятий), является трансграничной передачей персональных данных.

9.2. Трансграничная передача осуществляется на основании согласия субъекта или его законного представителя, которое входит в согласие на обработку персональных данных, а также для исполнения договора. Без неё не могут работать форма Сайта, онлайн-занятия и связь в мессенджерах.

10. Место хранения

10.1. Заявки с формы Сайта хранятся в закрытой Google-таблице Оператора (серверы Google LLC). Доступ к таблице имеют только Оператор и преподаватели по приглашению; ссылка на таблицу не публикуется.

10.1.1. Данные личного кабинета (профиль, статус, группа) хранятся в базе данных Supabase в центре обработки данных во Франкфурте (Германия). Доступ к строке профиля через Сайт имеет только сам пользователь (политики безопасности на уровне строк базы данных); статус и группу может менять только Оператор. При заполнении профиля его основные данные (имя, телефон, класс) также копируются в Google-таблицу заявок.

10.2. Учебные данные (результаты, работы, посещение) хранятся в закрытых документах и таблицах Оператора в сервисах Google [ЗАПОЛНИТЬ, если используется иное хранилище]; переписка — в мессенджерах.

10.3. Сайт размещён в сети Cloudflare; сам Сайт персональные данные заявок у себя не хранит — они сразу передаются в Google-таблицу.

11. Сроки хранения

11.1. Данные хранятся до достижения целей обработки, если законодательством не установлен иной срок:

11.2. По истечении срока данные удаляются, уничтожаются или обезличиваются.

12. Защита данных

12.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, изменения, распространения и уничтожения:

• назначено лицо, ответственное за организацию обработки персональных данных;
• доступ к таблицам и документам с данными выдаётся только по личным аккаунтам Оператора и преподавателей; ссылки «для всех» не используются;
• аккаунты Оператора защищены двухэтапной аутентификацией [ЗАПОЛНИТЬ: подтвердите, что она включена];
• вход в кабинет — через аккаунт Google или по почте и паролю; пароли хранятся только в виде необратимых хэшей у поставщика базы данных Supabase и недоступны Оператору; сеанс защищён токенами с ограниченным сроком действия;
• доступ к профилям ограничен политиками безопасности на уровне строк базы данных: каждый пользователь видит только свою запись;
• данные передаются только по защищённым каналам (HTTPS/TLS);
• форма Сайта защищена от автоматических заявок (скрытое поле-ловушка) и от внедрения формул в таблицу;
• преподаватели обязуются сохранять конфиденциальность и не копировать данные в личные хранилища.

12.2. О нарушении безопасности персональных данных, создающем угрозу правам субъектов, Оператор уведомляет уполномоченный орган в сфере защиты персональных данных в срок, установленный законодательством, а также, при необходимости, затронутых субъектов.

13. Права субъекта и порядок обращения

13.1. Субъект и его законный представитель вправе:

• знать, обрабатывает ли Оператор его данные, и получать сведения о целях, источниках, способах, перечне данных и сроках обработки;
• требовать изменения и дополнения своих данных;
• требовать блокирования данных при нарушении условий обработки;
• требовать уничтожения данных, обработанных с нарушением, а также в иных случаях, установленных законом;
• отозвать согласие на обработку;
• обжаловать действия Оператора в уполномоченном органе в сфере защиты персональных данных или в суде и требовать возмещения вреда.

13.2. Запрос направляется Оператору письменно, на e-mail или в мессенджер из раздела 2. Оператор может попросить подтвердить личность заявителя или полномочия законного представителя.

13.3. Оператор отвечает: на запрос о сведениях — в течение 3 рабочих дней; на требование изменить, заблокировать или удалить данные при подтверждённом основании — в течение 1 рабочего дня; на отзыв согласия — прекращает обработку в течение 15 рабочих дней, если иное не требуется по закону. Если законом установлены иные сроки, применяются они.

13.4. Ознакомление со своими данными бесплатно.

14. Cookies и счётчики

14.1. Cookie — небольшой файл, который сайт сохраняет в браузере. Сайт показывает при первом посещении окно выбора: «Принять» или «Только необходимые». Изменить выбор можно в любой момент по ссылке «Настройки cookie» внизу каждой страницы.

14.2. До вашего выбора и при выборе «Только необходимые» Google Analytics работает в режиме без cookies (Consent Mode): передаются только обезличенные сигналы без идентификаторов посетителя. Рекламные cookies и рекламные пиксели (Meta Pixel, Google Ads и т. п.) на Сайте не используются.

14.3. Имена, телефоны и иное содержимое форм в Google Analytics и Cloudflare не передаются: при отправке заявки фиксируется только факт отправки и страна номера.

14.4. Cookies можно также удалить или запретить в настройках браузера — Сайт продолжит работать.

15. Мессенджеры и соцсети

15.1. При переходе по ссылкам WhatsApp и Telegram на Сайте открывается соответствующий мессенджер; дальнейшая обработка данных этими сервисами регулируется их политиками.

15.2. Если вы пишете нам в Instagram, мы видим ваше имя пользователя и текст сообщений и используем их только для ответа на ваш вопрос.

15.3. Оператор не отправляет в мессенджерах результаты и оценки посторонним лицам: сообщения о результатах направляются только Учащемуся и его законному представителю.

16. Изменение Политики

16.1. Новая редакция Политики публикуется на Сайте с датой редакции и вступает в силу с момента публикации, если иное не указано в ней. Если меняются цели обработки или состав данных, Оператор запрашивает новое согласие.

16.2. Политика опубликована на русском языке. [ЗАПОЛНИТЬ при необходимости: «и на казахском языке; тексты равнозначны»]