Политика обработки персональных данных

Редакция от 25 мая 2026 года

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»), постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», иными нормативными правовыми актами Российской Федерации.

1.2. Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности, осуществляемые Индивидуальным предпринимателем Самойловым Константином Олеговичем (далее — «Оператор») в отношении субъектов персональных данных, пользующихся сайтом https://learn.med-risk.ru и связанным с ним сервисом https://team.med-risk.ru (далее совместно — «Сайт»).

1.3. Действие Политики распространяется на все персональные данные, обрабатываемые Оператором с использованием средств автоматизации и без использования таких средств.

1.4. Оператор регулярно пересматривает Политику и публикует актуальную редакцию на Сайте. Дата последней редакции указана в начале документа. Изменения вступают в силу с момента публикации.

2. Оператор персональных данных

Полное наименование: Индивидуальный предприниматель Самойлов Константин Олегович

ИНН: 501604988692
ОГРНИП: 325508100096890
Адрес: 141280, Московская область, г. Пушкино, мкр. Ивантеевка, ул. Заводская, д. 2, кв. 13
Адрес электронной почты для вопросов обработки персональных данных: privacy@med-risk.ru
Адрес электронной почты для общих вопросов: support@med-risk.ru

Оператор внесён в Реестр операторов, осуществляющих обработку персональных данных, Роскомнадзора под регистрационным номером 77-25-486850 (дата внесения — 19 февраля 2025 года).

Лицо, ответственное за организацию обработки персональных данных (в соответствии со ст. 22.1 152-ФЗ): Индивидуальный предприниматель Самойлов Константин Олегович. Контакт: privacy@med-risk.ru.

3. Категории субъектов персональных данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

а) Посетители Сайта — физические лица, обращающиеся к страницам Сайта без оформления заказа (в части технических данных и cookie-файлов); б) Заказчики — физические лица, оформившие заказ на Сайте и заключившие договор-оферту, опубликованный по адресу https://learn.med-risk.ru/oferta; в) Корреспонденты — физические лица, направившие обращение на адреса электронной почты Оператора.

Оператор не обрабатывает персональные данные несовершеннолетних. В случае выявления факта оформления заказа лицом, не достигшим 18 лет, такой заказ подлежит отмене с возвратом денежных средств.

4. Перечень обрабатываемых персональных данных

4.1. В отношении Посетителей Сайта обрабатываются:

IP-адрес;
информация о браузере (User-Agent);
параметры устройства (разрешение экрана, операционная система);
сведения о посещённых страницах, времени посещения, источнике перехода (HTTP Referer);
идентификаторы cookie-файлов, размещаемых Оператором и третьими лицами в соответствии с разделом 11.

4.2. В отношении Заказчиков дополнительно обрабатываются:

фамилия, имя, отчество (при наличии);
адрес электронной почты;
номер контактного телефона (если указан Заказчиком);
логин (имя пользователя) Личного кабинета;
хеш пароля Личного кабинета (хранится в виде криптографического хеша по алгоритму bcrypt; пароль в открытом виде Оператору не известен);
сведения о заказе: наименование Курса, его стоимость, дата и время оформления заказа;
идентификатор платежа (InvoiceId), статус оплаты, последние 4 цифры номера платёжной карты (если переданы Платёжным сервисом);
факт и дата (timestamp) проставления согласия на обработку персональных данных;
факт и дата (timestamp) согласия с условиями договора-оферты;
сведения об активности в Личном кабинете: даты входов, открытые тематические разделы, попытки тестов, результаты пробного экзамена, прогресс прохождения Курса.

4.3. В отношении Корреспондентов обрабатываются: адрес электронной почты, фамилия, имя, отчество (если указаны в обращении), содержание обращения и иные данные, добровольно сообщённые субъектом.

4.4. Оператор не обрабатывает специальные категории персональных данных (расовая, национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь) и биометрические персональные данные.

5. Цели обработки персональных данных

Оператор обрабатывает персональные данные в следующих целях:

а) заключение и исполнение договора-оферты, в том числе: идентификация Заказчика, создание учётной записи в Личном кабинете, предоставление доступа к Курсу, направление уведомлений о статусе заказа, организация технической поддержки; б) приём оплаты и формирование фискального чека в соответствии с Федеральным законом от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники»; в) исполнение обязанностей налогоплательщика (хранение первичных документов, представление отчётности); г) рассмотрение и ответ на обращения, претензии, заявления субъектов персональных данных, в том числе на запросы, направленные на privacy@med-risk.ru; д) обеспечение информационной безопасности Сайта, противодействие мошенничеству, выявление и пресечение несанкционированного доступа; е) ведение статистики использования Сайта в обезличенном виде, улучшение качества Контента и Сайта; ж) направление сервисных уведомлений, связанных с исполнением договора (об оплате, о доступе, об обновлениях Курса, о технических работах); з) исполнение требований законодательства Российской Федерации.

Оператор не использует персональные данные для целей маркетинговой рассылки без отдельного, явно выраженного согласия субъекта.

6. Правовые основания обработки

Обработка персональных данных осуществляется Оператором на следующих правовых основаниях:

а) согласие субъекта персональных данных на обработку его персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ) — даётся субъектом путём проставления отметки в чек-боксе при оформлении заказа на странице https://learn.med-risk.ru/courses/[название-курса]/checkout, а также путём добровольного направления обращения на адреса электронной почты Оператора; б) исполнение договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 152-ФЗ) — в части обработки данных, необходимых для оказания Услуги по договору-оферте; в) исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (п. 2 ч. 1 ст. 6 152-ФЗ) — в части хранения сведений о расчётах в соответствии с Федеральными законами № 54-ФЗ и № 402-ФЗ «О бухгалтерском учёте», Налоговым кодексом РФ.

7. Способы и сроки обработки

7.1. Обработка персональных данных осуществляется как с использованием средств автоматизации (программные средства Сайта, базы данных), так и без использования таких средств (в части бумажных носителей при необходимости).

7.2. Способы обработки включают: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

7.3. Сроки хранения персональных данных:

а) сведения о заказах, фискальные чеки, документы, связанные с расчётами, — 5 (пять) лет с момента окончания налогового периода, в котором был совершён платёж (срок хранения документов для целей налогового контроля в соответствии с пп. 8 п. 1 ст. 23 НК РФ); б) данные учётной записи Заказчика (ФИО, email, логин, хеш пароля), сведения об активности в Личном кабинете — в течение всего срока существования учётной записи и 3 (три) года после её удаления, если иное не требуется для целей, указанных в подпункте «а»; в) переписка с субъектами, в том числе по адресам support@med-risk.ru и privacy@med-risk.ru, — 3 (три) года с момента последнего сообщения; г) технические данные о посещениях Сайта (IP, User-Agent, логи) — 12 (двенадцать) месяцев с момента сбора, после чего автоматически удаляются либо обезличиваются; д) cookie-файлы — в соответствии со сроком, установленным для каждого cookie, как указано в разделе 11.

7.4. По истечении срока хранения, а также по достижении целей обработки или в случае утраты необходимости в их достижении персональные данные подлежат уничтожению либо обезличиванию, если иное не предусмотрено законодательством.

8. Передача персональных данных третьим лицам

8.1. Оператор не передаёт персональные данные третьим лицам, за исключением случаев, прямо предусмотренных законом, и случаев привлечения обработчиков по поручению Оператора в соответствии с ч. 3 ст. 6 152-ФЗ.

8.2. Обработчики персональных данных по поручению Оператора:

а) ООО «КЛАУДПЭЙМЕНТС» (CloudPayments) — приём платежей, обработка транзакций. Передаются: ФИО, email, сумма платежа, идентификатор заказа. б) ООО «КЛАУДКАССИР» (CloudKassir) — формирование и направление фискальных чеков в соответствии с Федеральным законом № 54-ФЗ. Передаются: ФИО, email, сумма, наименование Курса. в) ООО «Юнисендер Рус» (Unisender Go) — отправка транзакционных и сервисных писем (уведомления о доступе, об оплате, о технических работах). Передаются: ФИО, email, содержание письма. г) Хостинг-провайдер Сайта — хранение базы данных, технических логов, файлов Сайта на серверах, расположенных на территории Российской Федерации.

С каждым из указанных лиц Оператором заключено письменное поручение на обработку персональных данных в соответствии с ч. 3 ст. 6 152-ФЗ. Обработчики обязаны соблюдать принципы и правила обработки, предусмотренные 152-ФЗ, конфиденциальность и безопасность данных.

8.3. Оператор вправе передавать персональные данные уполномоченным государственным органам (суд, прокуратура, органы внутренних дел, Федеральная налоговая служба, Роскомнадзор) на основании их мотивированного запроса в порядке, установленном законодательством.

8.4. Оператор не передаёт персональные данные иным третьим лицам в маркетинговых, рекламных, статистических и иных целях.

9. Трансграничная передача персональных данных

9.1. Оператор не осуществляет трансграничную передачу персональных данных. Все персональные данные, обрабатываемые Оператором, хранятся и обрабатываются на серверах, физически расположенных на территории Российской Федерации.

9.2. В случае возникновения необходимости в трансграничной передаче Оператор предварительно уведомляет Роскомнадзор в соответствии со ст. 12 152-ФЗ и публикует обновлённую редакцию настоящей Политики.

10. Права субъекта персональных данных

10.1. Субъект персональных данных вправе:

а) получать сведения, касающиеся обработки его персональных данных (ст. 14 152-ФЗ): подтверждение факта обработки, правовые основания, цели, способы, сведения о лицах, имеющих доступ к данным, перечень обрабатываемых данных и источник их получения, сроки обработки и хранения, порядок осуществления прав, сведения об осуществлённой или предполагаемой трансграничной передаче; б) требовать уточнения, блокирования или уничтожения своих персональных данных в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки; в) отзывать согласие на обработку персональных данных (ч. 2 ст. 9 152-ФЗ). В случае отзыва согласия Оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 (тридцати) дней с момента поступления отзыва, за исключением случаев, когда обработка осуществляется на ином правовом основании (например, для хранения сведений о расчётах в течение срока, установленного налоговым законодательством); г) обжаловать действия или бездействие Оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) — уполномоченный орган по защите прав субъектов персональных данных; д) защищать свои права и законные интересы, в том числе на возмещение убытков и (или) компенсацию морального вреда, в судебном порядке.

10.2. Для реализации прав, указанных в п. 10.1, субъект направляет письменное обращение по адресу электронной почты privacy@med-risk.ru либо по почтовому адресу Оператора, указанному в разделе 2.

10.3. Обращение должно содержать:

а) фамилию, имя, отчество субъекта; б) сведения, позволяющие идентифицировать субъекта в системе Оператора (адрес электронной почты, использованный при оформлении заказа, либо номер заказа); в) суть обращения; г) подпись субъекта (для письменных обращений на бумажном носителе) либо подтверждение направления обращения с адреса электронной почты, ранее использованного при взаимодействии с Оператором.

10.4. Срок рассмотрения обращения — 30 (тридцать) календарных дней с момента его получения Оператором. По мотивированному решению Оператора срок может быть продлён, но не более чем ещё на 30 дней, с уведомлением субъекта.

10.5. В случае, если обращение не позволяет идентифицировать субъекта или содержит признаки злоупотребления правом, Оператор вправе запросить у субъекта дополнительные сведения для подтверждения личности.

11. Использование cookie-файлов и аналогичных технологий

11.1. Сайт использует cookie-файлы — небольшие текстовые файлы, размещаемые в браузере посетителя.

11.2. Категории cookie-файлов:

а) Технически необходимые cookie — обеспечивают работоспособность Сайта (авторизация в Личном кабинете, сохранение состояния корзины, защита от CSRF-атак). Без них Сайт не может функционировать. Срок хранения — до окончания сессии или до 30 дней. б) Аналитические cookie — собирают обезличенную статистику посещений (Яндекс.Метрика, при подключении). Срок хранения — до 365 дней.

11.3. Посетитель Сайта может отказаться от приёма cookie-файлов, изменив настройки своего браузера. Отказ от технически необходимых cookie может привести к невозможности использования отдельных функций Сайта, в том числе оформления заказа и входа в Личный кабинет.

12. Меры защиты персональных данных

12.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

12.2. Правовые меры:

а) разработка и утверждение настоящей Политики; б) заключение поручений на обработку с обработчиками по поручению Оператора; в) ознакомление лиц, имеющих доступ к персональным данным, с требованиями 152-ФЗ.

12.3. Организационные меры:

а) назначение лица, ответственного за организацию обработки персональных данных (ст. 22.1 152-ФЗ); б) ограничение круга лиц, имеющих доступ к персональным данным; в) ведение учёта машинных носителей персональных данных и обращений субъектов; г) внутренний контроль соответствия обработки требованиям 152-ФЗ не реже одного раза в 6 (шесть) месяцев.

12.4. Технические меры:

а) передача данных между браузером посетителя и сервером осуществляется по защищённому протоколу TLS (HTTPS); б) пароли пользователей Личного кабинета хранятся исключительно в виде криптографического хеша (алгоритм bcrypt) и не подлежат восстановлению в открытом виде; в) разграничение прав доступа к базе данных на основе ролевой модели; г) регулярное резервное копирование базы данных с шифрованием резервных копий; д) ведение журналов доступа (логов) к информационным системам; е) использование актуальных версий программного обеспечения, установка обновлений безопасности; ж) защита от типовых веб-атак (SQL-инъекции, XSS, CSRF) на уровне платформы Сайта.

12.5. В случае обнаружения инцидента, повлёкшего неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных, Оператор уведомляет Роскомнадзор:

а) в течение 24 часов — о факте инцидента, предполагаемых причинах, предполагаемом вреде, принятых мерах (ч. 3.1 ст. 21 152-ФЗ); б) в течение 72 часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (ч. 3.1 ст. 21 152-ФЗ).

13. Заключительные положения

13.1. Настоящая Политика является общедоступным документом. Действующая редакция Политики размещена в сети Интернет по адресу: https://learn.med-risk.ru/privacy.

13.2. В случае внесения изменений в Политику Оператор публикует новую редакцию по тому же адресу с указанием даты редакции. Изменения вступают в силу с момента публикации.

13.3. Все вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с действующим законодательством Российской Федерации в области персональных данных.

Редакция Политики от 25 мая 2026 года.