Политика конфиденциальности

1. Введение

Добро пожаловать в mentors.coach ("мы", "наш" или "нас"). Мы обязуемся защищать вашу личную информацию и ваше право на конфиденциальность. Эта Политика конфиденциальности объясняет, как мы собираем, используем, раскрываем и защищаем вашу информацию при использовании нашей платформы менторства и услуг.

2. Информация, которую мы собираем

2.1 Личная информация

Мы собираем личную информацию, которую вы добровольно предоставляете нам, когда вы:

• Регистрируетесь в списке ожидания
• Выражаете интерес к нашим услугам
• Участвуете в мероприятиях на нашей платформе
• Связываетесь с нами для поддержки

Эта информация может включать: имя, адрес электронной почты, номер телефона, профессиональный опыт, карьерные цели, резюме/CV, профиль LinkedIn, другие социальные сети и платежную информацию.

2.2 Автоматически собираемая информация

Мы автоматически собираем определенную информацию, когда вы посещаете, используете или перемещаетесь по нашей платформе, включая: IP-адрес, тип браузера, информацию об устройстве, данные об использовании и файлы cookie.

Мы используем сторонние сервисы аналитики, включая Google Analytics и Яндекс.Метрику, для сбора и анализа данных об использовании. Эти сервисы могут использовать файлы cookie и аналогичные технологии для отслеживания ваших взаимодействий с нашей платформой. Для получения дополнительной информации о том, как мы используем файлы cookie, включая категории файлов cookie, периоды хранения и механизмы согласия, пожалуйста, см. нашу Политику использования файлов cookie.

3. Контроллер данных и обработчик данных

Контроллер данных: mentors.coach выступает в качестве контроллера данных для личной информации, собранной через нашу платформу. Как контроллер данных, мы определяем цели и средства обработки ваших персональных данных.

Обработчики данных: Мы привлекаем сторонних поставщиков услуг, которые действуют как обработчики данных от нашего имени, включая:

• Stripe, Inc.: Обработка платежей и управление транзакциями
• Amazon Web Services (AWS): Облачный хостинг, хранение данных и доставка электронной почты (AWS SES)
• Google Analytics: Аналитика веб-сайта и отслеживание использования
• Яндекс.Метрика: Аналитика трафика и анализ поведения пользователей

Все обработчики данных договорно обязаны обрабатывать ваши данные только в соответствии с нашими инструкциями и применимыми законами о защите данных. Мы поддерживаем соглашения об обработке данных (DPA) со всеми обработчиками, которые включают соответствующие гарантии для ваших данных.

4. Правовые основы обработки (GDPR Статья 6)

В соответствии с Общим регламентом по защите данных (GDPR), мы обрабатываем вашу личную информацию на основе следующих правовых основ:

• Исполнение договора: Мы обрабатываем ваши данные для предоставления услуг менторства, обработки платежей, управления вашим аккаунтом и выполнения наших обязательств в соответствии с нашими Условиями использования.
• Законные интересы: Мы обрабатываем данные для безопасности платформы, предотвращения мошенничества, аналитики для улучшения наших услуг и бизнес-операций. Мы балансируем наши законные интересы с вашими правами на конфиденциальность.
• Согласие: Мы обрабатываем данные для маркетинга по электронной почте, необязательных файлов cookie и аналитики, где вы предоставили явное согласие. Вы можете отозвать согласие в любое время.
• Правовое обязательство: Мы обрабатываем и храним финансовые и транзакционные данные для соблюдения налоговых, бухгалтерских и других правовых требований (например, 7-летнее хранение финансовых записей).
• Жизненно важные интересы: В редких случаях мы можем обрабатывать данные для защиты ваших или жизненно важных интересов другого лица.

Для каждой операции обработки мы обеспечиваем, чтобы применялась хотя бы одна правовая основа. Вы имеете право возражать против обработки на основе законных интересов, и мы рассмотрим ваше возражение в соответствии с применимым законом.

5. Как мы используем вашу информацию

Мы используем вашу информацию для:

• Предоставления, эксплуатации и поддержки наших услуг
• Подбора вам подходящих менторов (см. раздел Автоматизированное принятие решений ниже)
• Обработки ваших транзакций и управления вашим аккаунтом
• Отправки вам обновлений, новостных рассылок и маркетинговых сообщений (с вашего согласия)
• Ответа на ваши запросы и предоставления поддержки клиентам
• Улучшения и персонализации вашего опыта
• Анализа паттернов использования и оптимизации нашей платформы
• Обнаружения, предотвращения и решения технических проблем и мошенничества
• Соблюдения правовых обязательств

6. Обмен вашей информацией

Мы можем делиться вашей информацией в следующих ситуациях:

• С менторами: Мы делимся соответствующей профессиональной информацией с подобранными менторами для облегчения сессий менторства. Менторы являются независимыми подрядчиками, а не сотрудниками, и договорно обязаны сохранять конфиденциальность и использовать ваши данные только для целей менторства. Они обязаны соблюдать ожидания по защите данных и могут получать доступ только к данным, необходимым для предоставления услуг менторства.
• Поставщики услуг: Мы делимся информацией со сторонними поставщиками, которые выполняют услуги от нашего имени, включая:
  • Stripe: Обработка платежей и управление транзакциями. Stripe собирает и обрабатывает платежную информацию в соответствии с их политикой конфиденциальности и стандартами PCI DSS. Мы не храним полные данные вашей платежной карты.
  • Google Analytics: Аналитика веб-сайта и отслеживание использования
  • Яндекс.Метрика: Аналитика трафика и анализ поведения пользователей
  • AWS (Amazon Web Services): Облачный хостинг, хранение данных и доставка электронной почты через AWS Simple Email Service (SES). AWS обрабатывает данные в соответствии с их соглашением об обработке данных и применимыми стандартами безопасности.
• Бизнес-передачи: В связи с любым слиянием, продажей или приобретением нашего бизнеса
• Правовые требования: Когда это требуется по закону или для защиты наших прав и безопасности
• С вашего согласия: Мы можем делиться вашей информацией для любой другой цели с вашего явного согласия

7. Безопасность данных и шифрование

Мы применяем соответствующие технические и организационные меры безопасности для защиты вашей личной информации. Однако ни одна система электронной передачи или хранения не является на 100% безопасной, и мы не можем гарантировать абсолютную безопасность.

7.1 Шифрование

• Шифрование при передаче: Все данные, передаваемые между вашим устройством и нашими серверами, шифруются с использованием TLS 1.3 (Transport Layer Security), стандартного протокола для безопасных коммуникаций.
• Шифрование в состоянии покоя: Данные, хранящиеся в наших базах данных и системах хранения файлов, шифруются с использованием AES-256 (Advanced Encryption Standard с 256-битными ключами), который является тем же стандартом шифрования, который используется банками и государственными агентствами.

7.2 Контроль доступа

Мы применяем контроль доступа на основе ролей (RBAC), чтобы обеспечить доступ к персональным данным только авторизованному персоналу. Доступ ограничен сотрудниками и подрядчиками, которым он необходим для выполнения их рабочих функций. Весь доступ регистрируется и регулярно проверяется. Мы используем надежные методы аутентификации, включая многофакторную аутентификацию (MFA), где это уместно.

Для получения более подробной информации о наших практиках безопасности, пожалуйста, см. нашу страницу Безопасность page.

8. Автоматизированное принятие решений и профилирование

Наша платформа использует автоматизированные системы для подбора подопечных с подходящими менторами на основе:

• Информации профиля пользователя (профессиональный опыт, карьерные цели, отрасль)
• Данных резюме/CV и навыков
• Ответов на анкету
• Поведения и предпочтений пользователя

Это автоматизированное сопоставление составляет "профилирование" в соответствии со статьей 22 GDPR. Автоматизированное принятие решений необходимо для выполнения наших услуг менторства и не производит правовых эффектов или аналогично существенно не влияет на вас.

Ваши права: Вы имеете право:

• Запросить человеческий обзор любого автоматизированного решения
• Выразить свою точку зрения относительно автоматизированной обработки
• Оспорить автоматизированное решение и запросить ручной обзор
• Получить объяснение логики, задействованной в автоматизированной обработке

Для осуществления этих прав, пожалуйста, свяжитесь с нами, используя информацию, предоставленную в разделе Свяжитесь с нами ниже.

9. Ваши права на конфиденциальность

В зависимости от вашего местоположения, вы можете иметь следующие права:

• Получить доступ и получить копию вашей личной информации
• Исправить неточную или неполную информацию
• Запросить удаление вашей личной информации
• Возражать против или ограничивать обработку вашей информации
• Портативность данных
• Отозвать согласие в любое время
• Отказаться от маркетинговых сообщений

9.1 Права на конфиденциальность в Калифорнии (CCPA/CPRA)

Если вы являетесь жителем Калифорнии, у вас есть дополнительные права в соответствии с Законом о конфиденциальности потребителей Калифорнии (CCPA) и Законом о правах на конфиденциальность Калифорнии (CPRA):

• Право знать, какую личную информацию мы собираем, используем, раскрываем и продаем
• Право удалить личную информацию, которую мы собрали от вас
• Право отказаться от продажи или обмена личной информацией
• Право на недискриминацию за осуществление ваших прав на конфиденциальность
• Право исправить неточную личную информацию
• Право ограничить использование и раскрытие чувствительной личной информации

Мы не продаем личную информацию. Для осуществления ваших прав, пожалуйста, свяжитесь с нами, используя информацию, предоставленную в разделе Свяжитесь с нами ниже.

9.2 Дополнительные права на конфиденциальность в штатах США

В дополнение к Калифорнии, жители следующих штатов имеют права на конфиденциальность в соответствии с их соответствующими законами штата:

• Колорадо (CPA): Право на доступ, удаление, исправление и отказ от целевой рекламы и продажи личной информации
• Вирджиния (VCDPA): Право на доступ, удаление, исправление, отказ от целевой рекламы и продажи, а также портативность данных
• Коннектикут (CTDPA): Право на доступ, удаление, исправление, отказ от целевой рекламы и продажи, а также портативность данных
• Юта (UCPA): Право на доступ, удаление и отказ от продажи личной информации

Для осуществления ваших прав в соответствии с любым из этих законов штата, пожалуйста, свяжитесь с нами, используя информацию, предоставленную в разделе Свяжитесь с нами ниже.

9.3 Право на подачу жалоб

Если вы находитесь в Европейской экономической зоне (ЕЭЗ) или Соединенном Королевстве, вы имеете право подать жалобу в ваш местный орган по защите данных (надзорный орган), если вы считаете, что мы нарушили ваши права на защиту данных. Вы также можете сначала связаться с нами, чтобы решить любые проблемы.

Список органов по защите данных ЕС можно найти на edpb.europa.eu. Жители Великобритании могут связаться с Управлением уполномоченного по информации (ICO) на ico.org.uk.

10. Хранение данных

Мы храним вашу личную информацию только в течение времени, необходимого для выполнения целей, изложенных в этой Политике конфиденциальности, если более длительный период хранения не требуется по закону. Конкретные периоды хранения следующие:

• Данные аккаунта: Хранятся, пока ваш аккаунт активен, и в течение разумного периода после закрытия аккаунта (обычно 30 дней), чтобы позволить восстановление аккаунта, если вы не запросите более раннее удаление.
• Данные резюме/CV и заявки: Хранятся в течение 5 лет с даты подачи для облегчения подбора менторов и услуг карьерного развития, если вы не запросите более раннее удаление.
• Финансовые и транзакционные данные: Хранятся не менее 7 лет для соблюдения налоговых, бухгалтерских и финансовых правил в Соединенных Штатах и других применимых юрисдикциях. Это включает записи о платежах, счета и историю транзакций, обработанные через Stripe.
• Данные маркетинговых сообщений: Хранятся до тех пор, пока вы не откажетесь или не отзовете согласие, после чего мы прекратим обработку для маркетинговых целей, но можем сохранить минимальные записи для соблюдения вашего запроса на отказ.
• Журналы и системные данные: Журналы сервера, журналы доступа (AWS CloudTrail, журналы доступа S3, журналы VPC) и данные мониторинга системы хранятся в течение 30 дней для целей безопасности и устранения неполадок, после чего они автоматически удаляются.
• Правовые и соответствие: Мы можем хранить определенные данные дольше, если это требуется по закону, правилам или для разрешения споров, обеспечения соблюдения наших соглашений или защиты наших правовых прав.

После истечения периода хранения мы безопасно удалим или анонимизируем вашу личную информацию в соответствии с нашими процедурами удаления данных.

11. Места хранения данных и регионы AWS

Ваша личная информация хранится и обрабатывается в следующих местах:

• Основное хранилище: Amazon Web Services (AWS) в регионе eu-central-1 (Франкфурт, Германия)
• Резервное хранилище: AWS поддерживает резервные копии в географически распределенных местах в пределах Европейского союза для целей аварийного восстановления
• Обработка платежей: Stripe обрабатывает платежные данные в соответствии с их глобальной инфраструктурой, которая может включать переводы в Соединенные Штаты. Stripe соответствует стандарту PCI DSS Level 1 и поддерживает соответствующие гарантии.

Мы не передаем ваши персональные данные между регионами AWS, если это не необходимо для аварийного восстановления или доступности услуг. Любые такие переводы проводятся с соответствующими гарантиями.

12. Международные переводы данных и оценки воздействия переводов

Ваша информация может быть передана и обработана в странах, отличных от вашей страны проживания, включая Соединенные Штаты, где работают некоторые из наших поставщиков услуг. Эти страны могут иметь разные законы о защите данных.

12.1 Гарантии для переводов данных

Мы обеспечиваем соответствующие гарантии для таких переводов, включая:

• Стандартные договорные условия (SCCs): Мы используем одобренные Европейской комиссией Стандартные договорные условия со всеми поставщиками услуг, которые обрабатывают персональные данные ЕС/ЕЭЗ за пределами ЕЭЗ
• Оценки воздействия переводов (TIAs): Мы проводим Оценки воздействия переводов для оценки рисков передачи данных в третьи страны и внедряем дополнительные меры, где это необходимо, в соответствии с решением Schrems II
• Технические гарантии: Шифрование при передаче (TLS 1.3) и в состоянии покоя (AES-256), контроль доступа и минимизация данных
• Организационные гарантии: Соглашения об обработке данных, регулярные аудиты безопасности и мониторинг соответствия
• Правовые рамки: Соблюдение применимых рамок защиты данных, включая GDPR, и соблюдение соглашений об обработке данных

12.2 Соответствие Schrems II

В соответствии с решением Европейского суда справедливости Schrems II, мы внедрили дополнительные гарантии для переводов персональных данных ЕС/ЕЭЗ в Соединенные Штаты и другие третьи страны. К ним относятся технические меры (шифрование, псевдонимизация), договорные меры (SCCs с дополнительными условиями) и организационные меры (контроль доступа, процедуры аудита). Мы регулярно пересматриваем и обновляем эти гарантии для обеспечения постоянного соответствия.

13. Уведомление о нарушении данных

В случае нарушения персональных данных, которое может привести к высокому риску для ваших прав и свобод, мы:

• Уведомим затронутых пользователей: Сообщим вам без неоправданной задержки и в любом случае в течение 72 часов с момента осознания нарушения, где это возможно
• Метод уведомления: Уведомим вас по электронной почте на адрес, связанный с вашим аккаунтом, или через заметное уведомление на нашем веб-сайте, если электронная почта недоступна
• Предоставленная информация: Уведомление будет включать описание нарушения, категории и приблизительное количество затронутых лиц, вероятные последствия и меры, которые мы принимаем для устранения нарушения
• Уведомление надзорного органа: Сообщим о нарушении в соответствующий надзорный орган (орган по защите данных) в течение 72 часов, как требуется статьей 33 GDPR

Мы поддерживаем план реагирования на инциденты и регулярно пересматриваем наши меры безопасности для предотвращения нарушений данных. Если вы подозреваете инцидент безопасности, пожалуйста, немедленно свяжитесь с нами, используя информацию в разделе Свяжитесь с нами ниже.

14. Представитель ЕС/ЕЭЗ и уполномоченный по защите данных

14.1 Представитель ЕС/ЕЭЗ

Как компания, работающая из Соединенных Штатов, которая обрабатывает персональные данные лиц в Европейской экономической зоне (ЕЭЗ) и Соединенном Королевстве, мы обязаны в соответствии со статьей 27 GDPR назначить представителя ЕС/ЕЭЗ.

В настоящее время мы находимся в процессе назначения представителя ЕС/ЕЭЗ. После назначения мы обновим эту Политику конфиденциальности с контактной информацией представителя. Тем временем вы можете связаться с нами напрямую, используя информацию, предоставленную в разделе Свяжитесь с нами ниже.

14.2 Уполномоченный по защите данных (DPO)

В соответствии со статьей 37 GDPR, мы в настоящее время не обязаны назначать уполномоченного по защите данных (DPO), поскольку наша основная деятельность не состоит из операций обработки, которые требуют регулярного и систематического мониторинга субъектов данных в больших масштабах, и мы не обрабатываем специальные категории данных в больших масштабах. Если наша деятельность по обработке изменится таким образом, что потребуется DPO, мы назначим его и соответственно обновим эту Политику конфиденциальности.

15. Минимизация данных и контроль доступа

Мы следуем принципу минимизации данных, собирая и обрабатывая только личную информацию, которая необходима для целей, изложенных в этой Политике конфиденциальности.

15.1 Контроль доступа

Доступ к персональным данным в нашей организации строго ограничен:

• Только авторизованный персонал, которому нужен доступ для выполнения своих рабочих функций, может получить доступ к персональным данным
• Мы применяем контроль доступа на основе ролей (RBAC), чтобы обеспечить сотрудникам и подрядчикам доступ только к данным, относящимся к их роли
• Весь доступ регистрируется и регулярно проверяется для целей безопасности и соответствия
• Мы используем надежные методы аутентификации, включая многофакторную аутентификацию (MFA) для чувствительных систем
• Сотрудники и подрядчики связаны соглашениями о конфиденциальности и проходят регулярное обучение по защите данных

Мы регулярно проверяем журналы доступа и пересматриваем разрешения, чтобы обеспечить, чтобы доступ оставался соответствующим и необходимым.

16. Конфиденциальность детей

Наши услуги не предназначены для лиц младше 18 лет. Мы не собираем намеренно личную информацию от детей.

17. Изменения в этой политике

Мы можем время от времени обновлять эту Политику конфиденциальности, чтобы отражать изменения в наших практиках, технологиях, правовых требованиях или других факторах. Мы уведомим вас о любых существенных изменениях:

• Размещением новой Политики конфиденциальности на этой странице с обновленной датой "Последнее обновление"
• Отправкой уведомления по электронной почте на адрес, связанный с вашим аккаунтом (если применимо)
• Отображением заметного уведомления на нашем веб-сайте для значительных изменений

Ваше продолжение использования нашего Сервиса после любых изменений в этой Политике конфиденциальности означает ваше принятие обновленной политики.

18. Обработка платежей

Мы используем Stripe, Inc. ("Stripe") для обработки платежей. Когда вы совершаете платеж, Stripe собирает и обрабатывает вашу платежную информацию, включая данные кредитной карты, адрес для выставления счетов и данные транзакции.

Сбор и использование Stripe вашей платежной информации регулируется их Политикой конфиденциальности, доступной на stripe.com/privacy. Мы не храним полные данные вашей платежной карты на наших серверах. Stripe соответствует стандарту PCI DSS Level 1, высшему уровню сертификации в платежной индустрии.

По вопросам обработки платежей или для осуществления ваших прав в отношении платежных данных, вы можете связаться с Stripe напрямую или связаться с нами, используя информацию ниже.

19. Доставка электронной почты

Мы используем Amazon Web Services Simple Email Service (AWS SES) для доставки транзакционных и маркетинговых писем, включая коды верификации, уведомления об аккаунте и обновления услуг.

AWS SES обрабатывает данные доставки электронной почты (отправитель, получатель, тема, статус доставки) в соответствии с соглашением об обработке данных AWS и применимыми стандартами безопасности. Содержимое электронной почты передается безопасно и хранится временно только для целей доставки.

Для получения дополнительной информации об AWS SES, пожалуйста, посетите aws.amazon.com/ses.

20. Свяжитесь с нами

Если у вас есть вопросы или опасения по поводу этой Политики конфиденциальности, или для осуществления ваших прав на конфиденциальность, пожалуйста, свяжитесь с нами:

Мы ответим на ваш запрос в течение 30 дней, как требуется применимым законом. Если вы являетесь жителем Калифорнии, вы также можете связаться с нами, чтобы запросить информацию о наших практиках обмена данными или отказаться от определенного обмена данными.