Політика конфіденційності

Загальна частина

Для цілей цього документа терміни у цьому документі мають наступні значення:

Освітня онлайн платформа Prosvita (далі - платформа) - це інформаційно-комунікаційна автоматизована система, що складається з програмних сервісів та модулів, розроблених ТОВ «Нові освітні технології» (далі – засновник) з метою цифровізації та підвищення ефективності освітніх та управлінських процесів закладів освіти. Користувач – це фізична особа, яка авторизована/ідентифікована/зареєстрована на платформі.

AI-асистент / інтеграція MCP означає опціональну інтеграцію, яка дозволяє авторизованому користувачу отримувати доступ до функцій платформи через підключений сторонній AI-сервіс, діючи в межах прав доступу, які такий користувач уже має на платформі.

Інші терміни вживаються у значенні Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI (зі змінами) (далі – закон)

Мета обробки персональних даних

Обробка персональних даних користувача здійснюється з метою надання електронних послуг із забезпечення освітнього та управлінського процесів закладу освіти. Платформа Prosvita розроблена з метою підвищення ефективності процесів в закладі освіти шляхом впровадження сучасних та оптимальних форм взаємодії усіх учасників освітнього процесу та створення безпаперового документообігу закладу.

Платформа обробляє такі категорії персональних даних: ідентифікаційні та облікові дані (ім’я, ім’я користувача, адреса електронної пошти, номер телефону, роль та належність до робочого простору); освітні та інституційні дані (предмети, класи/групи та підгрупи, списки учнів, оцінки та системи оцінювання, навчальні роки й семестри, оцінювання, відвідуваність та записи про досягнення); контент, який користувачі створюють на платформі; а також технічні дані та дані використання, зокрема IP-адреса, відомості про пристрій і браузер та журнали сервера.

З метою забезпечення ефективної роботи платформи засновник буде здійснювати наступне:

• реєстрація/ ідентифікація/авторизація користувачів платформи;
• виконання своїх зобов’язань перед користувачами, закладами та управліннями освіти;
• взаємодія та підтримка користувачів платформи;
• надання можливості використання опціональної інтеграції AI-асистент / MCP, якщо користувач вирішує її підключити;
• оцінка та аналіз роботи платформи, відновлення працездатності як окремих модулів, так і цілої платформи у разі непередбачуваних ситуацій.

Правові підстави обробки

Ми обробляємо персональні дані на таких правових підставах, що відповідають підставам, визначеним Законом, а у випадках, коли застосовується Загальний регламент про захист даних (GDPR), — підставам, визначеним статтею 6 цього Регламенту:

• виконання договору, укладеного із закладом освіти, та надання послуг, для яких створена платформа;
• згода суб’єкта персональних даних або, якщо йдеться про дитину, її батьків чи законних представників, отримана закладом освіти;
• виконання юридичних обов’язків засновника, зокрема бухгалтерських та податкових обов’язків;
• законні інтереси засновника щодо забезпечення безпеки платформи, запобігання зловживанням та відновлення роботи сервісу після інцидентів, якщо такі інтереси не переважаються правами суб’єкта персональних даних.

AI-асистент / інтеграція MCP

Інтеграція AI-асистент / MCP є опціональною і залишається вимкненою, доки користувач її не підключить. Вона призначена для авторизованого персоналу закладу освіти.

Для підключення інтеграції користувач повинен увійти на платформу та підтвердити згоду на окремому екрані підтвердження. Підключення авторизується за протоколом OAuth 2.1 (Authorization Code з PKCE). Токени доступу є короткостроковими, а токени оновлення втрачають чинність через тридцять днів.

Після підключення інтеграція діє від імені користувача, який її підключив, і обмежена наявними у такого користувача правами доступу та його належністю до робочих просторів. Вона може читати інформацію, яку користувач і так має право переглядати, а також створювати, змінювати або видаляти ті самі записи, які користувач і так має право змінювати, — наприклад предмети, класи/групи та підгрупи, списки учнів, системи оцінювання, навчальні роки та семестри, оцінювання, дописи, а також записи про досягнення чи винагороди. Залежно від підключеного AI-сервісу користувачеві може бути запропоновано підтвердити дію перед її виконанням.

Оскільки інтеграція віддзеркалює власні права доступу користувача, а не окремий, вужчий набір дозволів, оператор із широкими адміністративними правами може отримати через неї відповідно широкий доступ до даних. Тому ми рекомендуємо підключати інтеграцію лише з облікових записів, права яких відповідають поставленому завданню.

Підключеному AI-сервісу надсилаються або повертаються лише ті дані, які необхідні для виконання конкретного запиту. Історія спілкування користувача з таким сервісом не передається на платформу і не зберігається нами.

Користувач може припинити підключення в будь-який час — або видаливши його в налаштуваннях підключеного AI-сервісу, або відкликавши токен доступу в налаштуваннях підключених застосунків платформи. Відкликання набирає чинності негайно, а всі видані користувачеві токени видаляються разом із видаленням його облікового запису.

Міжнародна передача даних

Платформа функціонує з території України. Якщо користувач підключає AI-сервіс, який працює за межами України або Європейського економічного простору, дані, необхідні для виконання запитів такого користувача, передаються цьому сервісу за власною вказівкою користувача та відповідно до договору між таким користувачем чи його закладом освіти і постачальником такого сервісу. Ми не контролюємо, як цей постачальник обробляє дані.

Нашим власним постачальникам інфраструктури персональні дані передаються лише в обсязі, необхідному для роботи платформи, та на договірних умовах, що вимагають належного рівня захисту.

Заклад освіти, який не бажає, щоб дані залишали обрану ним юрисдикцію, не повинен вмикати інтеграцію AI-асистент / MCP для своїх користувачів.

Відсутність навчання AI-моделей

Ми не використовуємо персональні дані, які обробляються на платформі, зокрема персональні дані, оброблені через інтеграцію AI-асистент / MCP, для навчання чи вдосконалення будь-якої моделі штучного інтелекту або машинного навчання.

Ми не продаємо персональні дані, не використовуємо дані учнів для таргетованої реклами та не створюємо рекламних чи комерційних профілів учнів. Дані учнів використовуються для надання освітньої послуги та для цілей, описаних у цій Політиці. Ці зобов’язання відповідають вимогам Закону про захист персональної інформації учнів в Інтернеті (SOPIPA) та подібних законів про захист даних учнів.

На дані, передані підключеному AI-сервісу, додатково поширюються власна політика конфіденційності та умови такого сервісу, включно з будь-якими налаштуваннями, які такий сервіс пропонує щодо використання даних для навчання моделей.

Платформа не ухвалює жодних рішень, що породжують правові наслідки для особи або подібним чином суттєво впливають на неї, виключно автоматизованими засобами. Результат, створений підключеним AI-сервісом, є пропозицією, яку користувач-людина переглядає і вирішує, чи діяти на її підставі; оцінки, зарахування та інші записи змінюються лише уповноваженим користувачем.

Права та обов’язки користувача

Користувач має право на отримання інформації про порядок обробки своїх персональних даних, а також інші права, визначені частиною 2 статті 8 Закону, зокрема:

• право на доступ до своїх персональних даних, зміну та доповнення таких даних;
• право знати про місцезнаходження своїх персональних даних, мету, зміст та механізм їх обробки, місцезнаходження власника чи розпорядника персональних даних;
• право відкликати згоду на обробку даних та/чи у певних випадках видаляти їх (право бути "забутим");
• право подавати вмотивований запит на зміну або знищення персональних даних, якщо ці дані обробляються незаконно або є неточними;
• право надсилати скарги на їх обробку у певних випадках чи застосовувати засоби правового захисту.
• право на перенесення даних, а також право заперечувати проти певної обробки чи обмежувати її, якщо це передбачено застосовним законодавством;
• право відключити інтеграцію AI-асистент / MCP у будь-який час.

Якщо Загальний регламент про захист даних або інше застосовне законодавство про захист даних надає суб’єкту даних ширші права, ніж Закон, такі права також застосовуються в межах дії відповідного законодавства.

Для реалізації цих прав, будь ласка, напишіть на info@prosvita.net. Запити на видалення облікового запису обробляються у порядку, описаному на сторінці Видалення облікового запису, а інші запити розглядаються протягом одного місяця з дня отримання; цей строк може бути продовжено ще на два місяці для складних або численних запитів, і в такому разі ми повідомимо вам причину. Якщо відповідні записи контролюються закладом освіти, ми діємо за інструкціями такого закладу та згідно з укладеним із ним договором.

Користувач зобов’язується, в тому числі, але не обмежуючись:

• не вчиняти дії, спрямовані на введення в оману або на обмеження прав інших користувачів
• не надавати в користування свої персональні дані третім особам, а також логін, пароль та іншу конфіденційну інформацію;
• не здійснювати збір, систематизацію, зберігання, обробку або поширення персональної інформації інших користувачів;
• не намагатися отримати доступ до персональних даних інших користувачів будь-яким способом, включаючи, але не обмежуючись, шляхом обману, зловживання довірою, підбору даних аутентифікації та ідентифікації;
• актуалізовувати дані у разі їх зміни.

Контролер та обробник даних

Щодо даних про учнів, персонал та їхніх батьків або законних представників, які заклад освіти розміщує на платформі, заклад освіти, як правило, є контролером таких даних — власником персональних даних у розумінні Закону, — а засновник виступає обробником, тобто розпорядником персональних даних, діючи за інструкціями закладу та згідно з укладеним із ним договором.

Щодо облікових, платіжних даних, даних підтримки та безпеки, мету обробки яких визначає засновник, засновник виступає контролером, тобто власником персональних даних.

Яка саме роль застосовується, залежить від конкретного виду обробки та від чинного договору із закладом освіти.

Отримувачі персональних даних

Ми не продаємо персональні дані. Вони розкриваються лише за необхідності і лише таким особам:

• постачальникам хостингу та інфраструктури, які обслуговують сервери, на яких працює платформа;
• постачальникам платіжних послуг — у разі здійснення платежу через платформу;
• постачальникам послуг доставки електронної пошти та повідомлень, які використовуються для надсилання сповіщень платформи;
• постачальникам послуг моніторингу помилок і діагностики, які використовуються для виявлення та усунення несправностей;
• сторонньому AI-сервісу, який користувач самостійно обирає підключити, — за вказівкою такого користувача, в обсязі, необхідному для виконання запитаної дії, та з урахуванням власних правил конфіденційності такого сервісу, які ми не контролюємо;
• закладу освіти, до якого належить користувач;
• органам державної влади — якщо розкриття вимагається законом;
• правонаступнику — у разі злиття, придбання або реорганізації.

Наші постачальники послуг обробляють персональні дані лише за нашими інструкціями та на письмових умовах, що вимагають належних гарантій захисту. Актуальний перелік постачальників, які обробляють персональні дані від нашого імені, надається закладам освіти на запит та в межах укладеного з ними договору.

Строки зберігання даних

Персональні дані зберігаються, доки обліковий запис та відносини із закладом освіти залишаються активними.

За підтвердженим запитом на видалення дані профілю видаляються у порядку, описаному на сторінці Видалення облікового запису. Первинні бухгалтерські та фінансові документи зберігаються протягом строків, установлених законодавством. Журнали безпеки зберігаються до дванадцяти місяців, після чого видаляються або знеособлюються.

Журнали інтеграції AI-асистент / MCP фіксують лише помилки та містять назву операції без її вмісту. Токени доступу видаляються після їх відкликання або після видалення облікового запису.

Дані неповнолітніх та учнів

Платформа обробляє персональні дані неповнолітніх осіб у межах освітніх відносин між закладом освіти та його учнями.

Згоду на обробку даних дитини заклад освіти отримує від батьків або законних представників дитини до розміщення таких даних на платформі. У випадках, коли застосовується Закон про захист приватності дітей в Інтернеті (COPPA), засновник покладається на заклад освіти, який надає таку згоду від імені батьків для використання в шкільному контексті; заклад освіти може в будь-який час переглянути дані дитини або вимагати їх видалення.

Інтеграція AI-асистент / MCP призначена для авторизованого персоналу закладу освіти і не надається учням. Дані про учнів обробляються через інтеграцію лише в обсязі, необхідному для виконання авторизованого запиту, та відповідно до прав доступу й інструкцій закладу освіти.

Якщо заклад освіти розташований у Сполучених Штатах Америки, ми діємо як посадова особа школи (school official) із законним освітнім інтересом відповідно до Закону про права сім’ї на освіту та приватність (FERPA): ми використовуємо освітні записи лише для цілей, дозволених закладом, залишаємося під безпосереднім контролем закладу щодо таких записів і не розкриваємо їх нікому іншому, крім як за вказівкою закладу або на вимогу закону.

Батьки або законний представник можуть у будь-який час відкликати згоду на обробку даних дитини через заклад освіти або написавши нам. Відкликання згоди припиняє користування дитиною платформою, після чого дані дитини видаляються у порядку, описаному на сторінці «Видалення облікового запису», за винятком даних, які ми зобов’язані зберігати відповідно до закону.

Батьки та законні представники можуть звертатися до закладу освіти або написати нам на info@prosvita.net з питань щодо даних дитини.

Безпека даних

Ми застосовуємо організаційні, технічні та адміністративні заходи захисту персональних даних, зокрема контроль доступу на основі ролі користувача та робочого простору, шифрування даних під час передавання, обмежений адміністративний доступ і моніторинг збоїв та зловживань. Ці заходи поширюються також на дані, якими обмінюються в межах інтеграції AI-асистент / MCP.

Система захисту інформації платформи побудована відповідно до вимог законодавства України про захист інформації в інформаційно-комунікаційних системах і має атестат відповідності комплексної системи захисту інформації (КСЗІ).

Жоден спосіб передачі чи зберігання даних не може бути гарантовано повністю захищеним. Користувачі несуть відповідальність за збереження конфіденційності власних даних автентифікації та за підключення інтеграції AI-асистент / MCP лише з облікових записів і сервісів, яким вони довіряють.

Якщо нам стане відомо про порушення захисту персональних даних, ми без невиправданої затримки після його підтвердження повідомимо відповідний заклад освіти, надамо йому інформацію, необхідну для виконання власних обов’язків щодо повідомлення суб’єктів даних і наглядових органів, та співпрацюватимемо в реагуванні. Якщо ми виступаємо контролером, ми самостійно повідомимо компетентний наглядовий орган і, за потреби, постраждалих осіб у строки, встановлені застосовним законодавством.

Файли cookie та подібні технології

Вебсайт і платформа використовують файли cookie та подібні технології. Строго необхідні файли cookie підтримують ваш вхід у систему, запам’ятовують мову та захищають форми від зловживань; їх не можна вимкнути без порушення роботи сервісу, і вони не потребують згоди.

Наш публічний вебсайт також використовує рекламні та аналітичні теги Google, які встановлюють файли cookie для вимірювання ефективності нашої реклами та розуміння того, як відвідувачі користуються вебсайтом, а також віджет чату підтримки Zoho Desk, який встановлює файли cookie, необхідні для роботи чату. Ними керують треті сторони, які обробляють отримані дані відповідно до власних політик конфіденційності. Якщо законодавство вашої країни вимагає згоди на такі файли cookie, вони використовуються лише за вашою згодою, яку ви можете відкликати в будь-який час через налаштування браузера або засоби керування файлами cookie на вебсайті.

Рекламні та аналітичні теги використовуються лише на публічному маркетинговому вебсайті. Вони не використовуються всередині платформи, де обробляються освітні записи учнів, і ми не використовуємо дані учнів для реклами.

Право подати скаргу

Суб’єкт персональних даних, який вважає, що його персональні дані обробляються з порушенням закону, може подати скаргу до Уповноваженого Верховної Ради України з прав людини, який здійснює контроль за додержанням законодавства про захист персональних даних в Україні.

У випадках, коли застосовується Загальний регламент про захист даних, суб’єкт даних може також подати скаргу до наглядового органу держави — члена Європейського Союзу за місцем свого звичайного проживання або роботи.

Ми просимо спершу написати нам на info@prosvita.net, щоб ми могли спробувати вирішити питання безпосередньо.

Користування платформою

Використання платформи є добровільним та регулюється цією Політикою конфіденційності та законодавством.

Заклад освіти, ґрунтуючись на бажанні батьків або інших законних представників, укладає в письмовій формі відповідний договір з Товариством і надає засновнику необхідні для користування дані.

Засновник інформує заклад освіти, як власника персональних даних, про необхідність інформування батьків учнів, учнів та вчителів про обробку їх персональних даних під час використання платформи, а також отримання їх згоди на обробку персональних даних під час використання платформи. Заклад освіти самостійно регулює зазначені відносини з учасниками освітнього процесу, а засновник не несе відповідальності за ці відносини та їх документальне оформлення в рамках реєстрації та користування платформою.

Заклад освіти надає номер мобільного телефону/адресу електронної пошти та ім’я користувача для отримання користувачем авторизованого доступу до платформи.

Податки та повернення коштів

Користувач несе відповідальність за визначення податків, якщо такі є, які застосовуються до операцій, здійснених через платформу Prosvita.

Користувач несе відповідальність за звітність та перерахування відповідного податку до відповідного податкового органу, а також за всі свої фактичні та потенційні податкові зобов’язання у межах своєї відповідальності.

Користувач погоджується з тим, що платформа Prosvita ні в якому разі та за жодних умов не несе відповідальності за визначення того, чи застосовуються податки до його операцій чи послуг, а також за збір, звітування, утримання чи перерахування будь-яких податків, що виникають у результаті будь-яких операцій чи послуг.

Користувач також погоджується з тим, що платформа Prosvita у жодному разі і за жодних обставин не зобов’язана компенсувати його податкові зобов’язання або давати йому будь-які консультації, пов’язані з оподаткуванням.

Користувач може вимагати повернення коштів, надіславши електронний лист на адресу info@prosvita.net