Юридические документы
Политика конфиденциальности
1. Кто мы
MoiraiOnline («MoiraiOnline», «мы») — образовательный проект в области кинопроизводства, работающий как индивидуальное предприятие (sole proprietorship), базирующееся в Нью-Йорке, США. Мы управляем сайтом moiraionline.pro и предоставляем онлайн-курсы и программы на основе когорт по кинопроизводству.
Оператор данных: MoiraiOnline Контакт: moiraionlinepro@gmail.com
2. Какие данные мы собираем
2.1 Данные, которые вы предоставляете напрямую
- При регистрации: email-адрес, пароль (хранится как однонаправленный хеш — мы никогда не храним plaintext), отображаемое имя, предпочитаемый язык (en/ru)
- При OAuth-входе (Google/Discord): email аккаунта провайдера и provider user ID — используются для опознавания при возврате; мы не сохраняем access- или refresh-токены Google или Discord после первичной верификации
- В настройках профиля/аккаунта: обновления имени, смена языка, смена пароля
- При зачислении: купленная программа; мы не обрабатываем и не храним данные вашей платёжной карты — этим целиком занимается Stripe
- В сданных работах: текст, сценарии, видео, изображения, которые вы загружаете
- В переписке: email-корреспонденция с нашей командой
2.2 Данные, генерируемые при использовании сервиса
- Сессии аутентификации: случайный идентификатор сессии (HttpOnly-cookie), SHA-256 хеш refresh-секрета, метка истечения, строка user-agent и хешированный IP-адрес (мы никогда не храним plaintext IP)
- Роли аккаунта: какие роли у вас есть (student, instructor, admin) и когда каждая была выдана
- Прогресс по курсу: завершение модулей, сданные работы, фидбэк инструктора, timestamps последней активности
- Audit-лог: события безопасности (успех/провал логина, сброс пароля, изменение ролей) с timestamp, хешированным IP, user-agent — хранятся для расследования fraud и abuse
2.3 Короткоживущие технические данные
Хранятся только на время одного потока (10 минут — 1 час):
- OAuth PKCE state и verifier
- Токены подтверждения email и сброса пароля
- Счётчики rate-limit (по IP / по email, anti-abuse)
2.4 Данные, которые мы не собираем
- Plaintext-пароли — храним только PBKDF2-SHA256 хеш с уникальной случайной солью
- Plaintext IP-адреса — храним только SHA-256 хеш с серверной солью
- Данные платёжных карт — Stripe обрабатывает end-to-end, мы получаем только transaction reference
- OAuth-токены Google или Discord — используются один раз при входе и удаляются
- Данные аналитического трекинга — нет Google Analytics, нет Mixpanel, нет маркетинговых пикселей
- Данные ретаргетинга или сторонней рекламы
- Специальные категории данных (раса, религия, здоровье, политические взгляды, сексуальная ориентация, биометрические или генетические данные)
- Персональные данные пользователей младше 16 лет (см. §9)
2.5 Мы не покупаем и не получаем данные от третьих сторон
Мы не покупаем данные у data brokers, рекламных сетей или маркетинговых списков. Все данные поступают только из вашего прямого взаимодействия с сервисом.
3. Правовое основание обработки (GDPR ст. 6)
| Цель | Правовое основание |
|---|---|
| Предоставление купленного курса, управление аккаунтом | Исполнение договора (ст. 6(1)(b)) |
| Безопасность, предотвращение мошенничества, audit-логирование | Законный интерес (ст. 6(1)(f)) |
| Транзакционные email’ы (подтверждение зачисления, фидбэк по работам) | Исполнение договора (ст. 6(1)(b)) |
| Маркетинговые email’ы | Согласие (ст. 6(1)(a)) — только opt-in |
| Соблюдение юридических обязательств | Юридическое обязательство (ст. 6(1)(c)) |
4. Cookies и схожие технологии
См. нашу Политику cookies для полного перечня cookies, их назначения и способов управления ими.
5. Передача данных
Мы передаём данные только следующим поставщикам услуг, строго для описанных целей:
| Поставщик | Назначение |
|---|---|
| Cloudflare | Хостинг, edge-кэширование, безопасность (Pages, Workers, D1) |
| Stripe | Обработка платежей |
| Resend | Доставка транзакционных email’ов |
| Google / Discord | Только если вы входите через OAuth |
| Cloudflare Turnstile | Anti-bot проверка на auth-формах |
Мы не продаём, не сдаём в аренду и не передаём ваши данные рекламодателям или data brokers.
6. Срок хранения данных
| Тип данных | Срок хранения |
|---|---|
| Данные активного аккаунта | До удаления аккаунта |
| Неактивные аккаунты | Анонимизация после 24 месяцев без активности |
| Audit-логи | 12 месяцев |
| Логи доставки email | 6 месяцев |
| Короткоживущие технические данные (OAuth state, токены сброса) | 10 минут — 1 час |
При удалении аккаунта мы удаляем или анонимизируем ваши персональные данные в течение 30 дней, за исключением случаев, когда хранение требуется по закону или для законного расследования fraud/abuse.
7. Ваши права
В зависимости от вашего местонахождения у вас могут быть следующие права:
GDPR (резиденты ЕС/ЕЭЗ):
- Доступ к своим персональным данным
- Исправление неточных данных
- Запрос удаления («право быть забытым»)
- Ограничение обработки
- Перенос данных (машиночитаемый экспорт)
- Возражение против обработки на основании законного интереса
- Отзыв согласия в любой момент (где обработка основана на согласии)
- Подача жалобы в национальный надзорный орган по защите данных
CCPA (резиденты Калифорнии):
- Знать, какую персональную информацию мы собираем
- Знать, продаём ли мы или раскрываем персональную информацию (мы не продаём)
- Отказ от продажи (неприменимо — мы не продаём персональную информацию)
- Недискриминация за реализацию своих прав
- Запрос удаления персональной информации
Чтобы воспользоваться любым из этих прав, напишите на moiraionlinepro@gmail.com. Мы отвечаем в течение 30 дней.
8. Международная передача данных
Данные обрабатываются в глобальной edge-сети Cloudflare, инфраструктуре Stripe и email-инфраструктуре Resend. Все три поддерживают стандартные договорные условия (SCC) для передачи персональных данных ЕС за пределы ЕЭЗ.
9. Дети и несовершеннолетние
Сервис доступен пользователям от 16 лет. Пользователи 16–17 лет должны иметь подтверждаемое согласие родителя или опекуна до создания аккаунта или зачисления. Мы не собираем намеренно персональные данные пользователей младше 16 лет. Если нам станет известно, что персональные данные были собраны от пользователя младше 16 лет без согласия, мы оперативно их удалим.
10. Изменения этой политики
Мы уведомим зарегистрированных пользователей по email минимум за 30 дней до вступления в силу любых существенных изменений. Текущая версия и дата вступления в силу указаны в шапке страницы.
11. Жалобы
- Резиденты ЕС/ЕЭЗ: вы можете подать жалобу в национальный надзорный орган по защите данных.
- Резиденты Великобритании: вы можете обратиться в Information Commissioner’s Office (ICO) на ico.org.uk.
- Резиденты Калифорнии: вы можете обратиться в California Privacy Protection Agency (CPPA).