Политика обработки персональных данных

Настоящая Политика определяет порядок обработки персональных данных оператором Goexa LLC (Goexa) на сайте https://oexa.org в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», требованиями Роскомнадзора и связанными нормами РФ.

1. Сведения об операторе

Оператор: Goexa LLC
ОГРН / ИНН: будут опубликованы в этом разделе и в подвале сайта после внесения в карточку юридического лица проекта (обязательны для уведомления РКН и публичного раскрытия).
Адрес: 1209 North Orange Street, Wilmington, DE 19801, United States
Контакт по вопросам ПДн: privacy@oexa.org
Версия Политики: 2026-07-26.2

Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории Российской Федерации (ст. 18 152-ФЗ, требования о локализации).

2. Цели обработки

• регистрация учётной записи и предоставление доступа к обучающим материалам, курсам и личному кабинету;
• заключение и исполнение договоров на образовательные и цифровые услуги (оплата, выдача доступов, сертификаты);
• обработка обращений через формы сайта и поддержка пользователей;
• подписки и информационные / рекламные рассылки — только при отдельном согласии;
• обеспечение безопасности, предотвращение злоупотреблений, ведение журналов;
• аналитика посещаемости (Яндекс.Метрика) — только после согласия на аналитические cookie;
• исполнение обязанностей, установленных законодательством РФ (в т.ч. ответы на запросы субъекта и уполномоченных органов).

3. Категогии персональных данных

• Идентификационные и контактные: имя / ФИО (если указаны), адрес электронной почты, телефон (если указан);
• Учётные и учебные: данные профиля, прогресс обучения, результаты заданий и экзаменов, сведения о сертификатах;
• Платёжные: идентификаторы платежей и статус оплаты в объёме, необходимом эквайеру / платёжному провайдеру (реквизиты карты оператору сайта, как правило, не передаются);
• Технические: IP-адрес, сведения о браузере и устройстве, cookie и аналогичные идентификаторы, журналы безопасности;
• Согласия: факты и версии согласий на обработку ПДн, маркетинг и cookie (хранятся для подтверждения законности обработки).

Специальные категории ПДн (здоровье, биометрия и т.п.) оператор через сайт намеренно не собирает. Не предоставляйте такие сведения в свободных полях форм.

4. Правовые основания

• согласие субъекта персональных данных (ст. 6 ч. 1 п. 1 152-ФЗ);
• исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6);
• исполнение обязанностей оператора, установленных законом;
• в отдельных случаях — иные основания ст. 6 152-ФЗ, если применимы к конкретной операции.

Согласие на обработку ПДн и согласие на рекламные / маркетинговые коммуникации собираются отдельными неотмеченными чекбоксами. Отказ от маркетинга не препятствует использованию основных функций сайта при наличии иного законного основания (например, договор).

5. Способы и действия с данными

Обработка выполняется смешанным способом (с использованием средств автоматизации и без таковой) и включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение.

6. Локализация и трансграничная передача

Первичная запись и хранение ПДн граждан Российской Федерации осуществляются на серверах в РФ (хостинг оператора / уполномоченного лица в российской юрисдикции).

Трансграничная передача ПДн в иностранные государства не осуществляется в штатном режиме работы российского проекта. Функции, способные направлять пользовательский текст или иные ПДн в зарубежные AI-сервисы, для российского проекта отключаются настройками соответствия (152-ФЗ / РКН). Использование зарубежных сервисов рассылки или мониторинга, если оно будет включено, допускается только при наличии законного основания, соблюдении порядка уведомления РКН и, где требуется, отдельного согласия субъекта.

Аналитика для российского проекта: Яндекс.Метрика (обработка на условиях ООО «Яндекс», РФ) — только после согласия на аналитические cookie. Google Analytics на российском проекте не используется.

7. Поручение обработки и получатели

К обработке могут привлекаться:

• провайдер хостинга и инфраструктуры в РФ (хранение и обеспечение доступности сайта);
• ООО «Яндекс» — Метрика (при согласии на аналитику);
• российский платёжный провайдер / эквайер — при оплате услуг (в объёме, необходимом для платежа);
• при наличии — российский почтовый провайдер для транзакционных писем.

Актуальный перечень уполномоченных лиц и договоров поручения оператор поддерживает во внутреннем реестре обработки. Передача госорганам — только в случаях и порядке, предусмотренных законом РФ.

8. Сроки хранения и уничтожение

• данные учётной записи и обучения — пока действует учётная запись и/или договор, плюс сроки, установленные законом (в т.ч. бухгалтерский учёт при оплатах);
• обращения и переписка — до 3 лет с момента закрытия обращения, если иной срок не требуется законом;
• логи согласий и безопасности — не менее срока, необходимого для подтверждения законности обработки и расследования инцидентов;
• аналитические cookie — согласно срокам Яндекс.Метрики и выбранным настройкам, при отзыве согласия аналитика прекращается.

По достижении целей либо по требованию субъекта (при отсутствии иных оснований) данные уничтожаются или обезличиваются. Факт уничтожения фиксируется по внутреннему порядку оператора.

9. Меры защиты

Оператор применяет правовые, организационные и технические меры, предусмотренные ст. 19 152-ФЗ и подзаконными актами, в том числе: разграничение доступа, защищённые каналы (HTTPS), журналирование, резервное копирование, контроль изменений настроек, ограничение AI-egress для ПДн на российском проекте. Оценка вреда и модель угроз ведутся во внутреннем пакете документов оператора.

10. Права субъекта персональных данных

Вы вправе:

• получить сведения об обработке ваших ПДн;
• требовать уточнения, блокирования или уничтожения;
• отозвать согласие на обработку (обработка прекращается, кроме случаев, когда иное основание сохраняется по закону);
• обжаловать действия оператора в Роскомнадзор или в суд;
• на возмещение убытков / компенсацию морального вреда в порядке закона.

Запросы направляйте на privacy@oexa.org или через личный кабинет (раздел запросов по данным / Privacy). Срок ответа на запрос о доступе — как правило, до 10 рабочих дней (ст. 20 152-ФЗ), если законом не установлен иной срок. Оператор может запросить сведения, достаточные для идентификации заявителя.

11. Cookie и аналитика

Необходимые cookie обеспечивают безопасность и базовую работу сайта. Аналитические cookie и скрипт Яндекс.Метрики загружаются только после согласия в баннере. Подробности — в Политике cookie. Управление согласием доступно повторно через «Настройки cookie» в подвале сайта.

12. Рекомендательные технологии

Порядок применения рекомендательных технологий описан в отдельном документе: Правила применения рекомендательных технологий.

13. Уведомление об инцидентах

При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн оператор действует по внутреннему порядку и уведомляет Роскомнадзор в сроки, установленные законодательством РФ (первичное уведомление — в течение 24 часов, результаты расследования — в установленный законом срок).

14. Изменение Политики

Актуальная версия публикуется на этой странице с указанием версии / даты редакции. При существенных изменениях оператор запрашивает повторное согласие там, где это требуется законом. Продолжение использования сервиса после публикации новой версии в части, не требующей повторного согласия, означает ознакомление с обновлённым текстом.