Политика конфиденциальности

1.1. Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей сайта schoolofmedicine.uz (далее — «Платформа»).

1.2. Политика разработана в соответствии с Законом Республики Узбекистан от 2 июля 2019 года № ЗРУ-547 «О персональных данных» (с последующими изменениями) и иным применимым законодательством Республики Узбекистан.

1.3. Используя Платформу, регистрируясь на ней и/или приобретая образовательные услуги, Пользователь подтверждает, что ознакомился с настоящей Политикой.

1.4. Политика применяется к персональным данным, обрабатываемым при использовании Платформы и связанных с ней сервисов Оператора: сервиса аутентификации, системы управления обучением (LMS) и модуля оплаты.

2.1. Оператором персональных данных является:

2.2. Сервис аутентификации, LMS (Moodle) и файловое хранилище являются собственными компонентами инфраструктуры Оператора и размещаются на его сервере.

3.1. Данные учетной записи и профиля: имя, фамилия, адрес электронной почты; указанные Пользователем номер телефона, специальность, место работы, город и предпочитаемый язык интерфейса.

3.2. Документы для подтверждения статуса медицинского работника, загружаемые Пользователем для допуска к покупке курсов: копия документа, удостоверяющего личность; диплом (дипломы) о медицинском образовании; личный листок по учету кадров («объективка»); справка с места работы; а также примечания Пользователя к файлам и технические сведения о файлах (имя, тип, размер).

3.3. Данные о заказах и платежах: номер заказа, выбранный курс, сумма и валюта, использованный платежный сервис, статус оплаты и идентификаторы платежа, присвоенные платежным сервисом.

3.4. Данные об обучении: сведения о предоставленном доступе к курсам, учетная запись в LMS и данные о прохождении обучения в LMS.

3.5. Технические данные: IP-адрес и сведения о браузере в журналах веб-сервера; файлы cookie, необходимые для входа и работы сессии; записи журнала действий (например, факт загрузки документа, создания заказа, начала и подтверждения оплаты), включая отметку о принятии Публичной оферты при переходе к оплате.

3.6. Оператор не обрабатывает специальные категории персональных данных, биометрические и генетические данные. Платформа не предназначена для загрузки и хранения сведений о пациентах, диагнозах и иных медицинских данных пациентов и не содержит такой функциональности.

3.7. Данные банковских карт Оператором не обрабатываются и не хранятся: реквизиты оплаты вводятся на странице платежного сервиса.

• от Пользователя — при регистрации, заполнении профиля, загрузке документов и направлении обращений;
• автоматически — при использовании Платформы (технические данные и журналы);
• от платежного сервиса — статусы и идентификаторы платежа по заказу Пользователя.

5.1. Персональные данные обрабатываются в следующих целях:

• создание учетной записи, аутентификация и работа личного кабинета;
• заключение и исполнение договора на оказание образовательных услуг, включая предоставление доступа к оплаченным курсам;
• подтверждение статуса медицинского работника как условие допуска к покупке курсов;
• прием и учет оплаты, подтверждение операций и урегулирование спорных ситуаций;
• направление сервисных уведомлений, необходимых для исполнения договора;
• обеспечение безопасности, предотвращение злоупотреблений и ведение журналов действий;
• выполнение обязанностей, возложенных на Оператора законодательством.

5.2. Рекламные рассылки в настоящее время не осуществляются. В случае их введения они будут осуществляться только при наличии соответствующего правового основания и/или согласия Пользователя.

6.1. Правовыми основаниями обработки являются: заключение и исполнение договора, стороной которого является Пользователь (Публичная оферта); выполнение требований законодательства Республики Узбекистан; согласие Пользователя — в случаях, когда обработка основана на согласии.

6.2. Согласие на обработку загружаемых документов фиксируется отдельно при их загрузке — с сохранением версии текста согласия и времени его предоставления.

6.3. Отметка о принятии Публичной оферты при переходе к оплате фиксируется в журнале действий с указанием языка, редакции оферты и времени.

7.1. Регистрация и вход выполняются через собственный сервис аутентификации Оператора (Keycloak) по протоколу OpenID Connect.

7.2. Пароль задается и проверяется только в сервисе аутентификации и хранится в защищенном виде; приложение Платформы пароли не получает и не хранит.

7.3. Для поддержания входа используются технически необходимые файлы cookie (раздел 11).

8.1. Учебные материалы, задания и учет прохождения обучения ведутся в LMS Оператора (Moodle), размещенной на его инфраструктуре (lms.schoolofmedicine.uz).

8.2. Для предоставления доступа к оплаченному курсу в LMS автоматически создается учетная запись Пользователя: служебное имя пользователя, имя, фамилия и адрес электронной почты.

8.3. Вход в LMS выполняется через единый вход (SSO) Платформы; отдельный пароль LMS не используется.

9.1. При оформлении заказа фиксируются выбранный курс, стоимость по данным Платформы и номер заказа.

9.2. Оплата производится через платежные сервисы, доступные на Платформе на момент оплаты (в настоящее время — Click). Платежному сервису передаются номер заказа и сумма; реквизиты оплаты Пользователь вводит на странице платежного сервиса, и Оператору они недоступны.

9.3. Платежный сервис самостоятельно отвечает за обработку данных, которые Пользователь предоставляет ему при оплате, в соответствии с собственными правилами.

10.1. Для допуска к покупке курсов Пользователь загружает документы, указанные в пункте 3.2, и подтверждает согласие на их обработку.

10.2. Файлы документов хранятся в закрытом файловом хранилище Оператора. Публичные ссылки на файлы не создаются; доступ к файлам предоставляется только уполномоченным лицам Оператора для проведения проверки.

10.3. Действия с документами (загрузка, открытие, решение по результатам проверки) фиксируются в журнале действий.

11.1. Платформа использует только технически необходимые файлы cookie: cookie сессии и защиты от подделки запросов, а также кратковременные cookie процесса входа; собственные cookie устанавливает и сервис аутентификации. Такие cookie действуют на время сессии либо в течение короткого времени входа.

11.2. Аналитические, рекламные и иные отслеживающие cookie не используются; внешние счетчики и трекеры на Платформе отсутствуют.

11.3. В браузере может сохраняться служебная запись для синхронизации состояния входа между вкладками; персональных данных она не содержит.

11.4. Язык интерфейса определяется адресом страницы и в cookie не сохраняется.

11.5. Веб-сервер Оператора ведет журналы запросов (IP-адрес, время, запрошенный адрес, сведения о браузере) в целях безопасности и поддержания работоспособности Платформы.

12.1. Персональные данные передаются третьим лицам только в объеме, необходимом для целей, указанных в разделе 5:

• платежному сервису (Click) — номер заказа и сумма при переходе к оплате;
• сервису доставки электронной почты (Brevo) — адрес получателя и содержимое сервисного письма при его отправке;
• хостинг-провайдеру — в силу размещения серверной инфраструктуры Оператора.

12.2. Персональные данные не продаются и не передаются третьим лицам в рекламных целях.

12.3. Передача данных государственным органам осуществляется только в случаях и порядке, установленных законодательством.

12.4. Ссылки на внешние сервисы (картографические сервисы, Telegram) открываются по инициативе Пользователя; при переходе обработку данных осуществляет соответствующий внешний сервис.

13.1. Персональные данные обрабатываются и хранятся на сервере Оператора, размещенном у хостинг-провайдера в Республике Узбекистан.

13.2. Для доставки сервисных писем используется сервис Brevo (Sendinblue SAS, Франция): при отправке письма адрес получателя и содержимое письма обрабатываются этим сервисом. Такая передача осуществляется в объеме, необходимом для отправки письма, с соблюдением требований законодательства Республики Узбекистан о трансграничной передаче персональных данных.

13.3. Биометрические и генетические данные, подлежащие обязательному хранению на территории Республики Узбекистан, Оператором не обрабатываются.

14.1. Персональные данные обрабатываются до достижения целей обработки: данные учетной записи и профиля — пока существует учетная запись Пользователя; данные о заказах, платежах и журналы операций — в течение сроков, необходимых для подтверждения расчетов и выполнения обязанностей, установленных законодательством; документы для подтверждения статуса медицинского работника — пока действует допуск Пользователя к обучению, либо до удовлетворения запроса Пользователя об их удалении, если дальнейшее хранение не требуется по законодательству.

14.2. По достижении целей обработки и истечении сроков, установленных законодательством, персональные данные подлежат уничтожению или обезличиванию.

15.1. Оператор применяет организационные и технические меры защиты, в том числе:

• доступ к данным по ролям и только для уполномоченных лиц;
• шифрование соединений (HTTPS/TLS);
• закрытое файловое хранилище документов без публичных ссылок;
• хранение паролей только в сервисе аутентификации в защищенном виде;
• журналы действий, не допускающие изменения записей;
• ограничение доступа к серверной инфраструктуре.

16.1. В соответствии с Законом Республики Узбекистан «О персональных данных» Пользователь вправе:

• получать сведения об обработке своих персональных данных;
• требовать уточнения (исправления) своих персональных данных;
• требовать прекращения обработки и уничтожения своих персональных данных при наличии законных оснований;
• отозвать согласие на обработку — в отношении обработки, основанной на согласии;
• обжаловать действия или бездействие Оператора в уполномоченный государственный орган или суд.

16.2. Прекращение обработки отдельных данных может сделать невозможным дальнейшее оказание услуг, требующих таких данных; это не затрагивает обработку, обязательность которой установлена законодательством.

17.1. Запросы, связанные с персональными данными, направляются Оператору по контактам, указанным в разделе 19, с указанием ФИО, адреса электронной почты учетной записи и сути запроса.

17.2. Срок рассмотрения запроса — 10 рабочих дней, если иной срок не установлен законодательством.

17.3. Обращения, направленные по электронной почте, обрабатываются почтовым сервисом, обслуживающим указанный адрес.

18.1. Оператор вправе изменять настоящую Политику путем публикации новой редакции на Платформе. Актуальная редакция размещается по адресу: https://schoolofmedicine.uz/ru/privacy.

18.2. Продолжение использования Платформы после вступления изменений в силу означает ознакомление Пользователя с новой редакцией.