Політика конфіденційності

01 Володілець персональних даних

Володільцем ваших персональних даних (у термінах GDPR: контролером) є ФОП Обʼєдкова Ольга Олександрівна, РНОКПП 3736903360, яка провадить діяльність під брендом FIBO School (далі: «ми»). Саме ми визначаємо, навіщо і як обробляються дані. Сервіси, перелічені в розділі 06, обробляють дані за нашим дорученням.

Питання щодо обробки даних надсилайте на main@fibo-school.com. Адреса для листування надається на запит на цю ж пошту.

02 Які дані ми обробляємо

Ми збираємо лише те, що потрібно для звʼязку з вами й навчання дитини:

• Дані із заявок і форм: імʼя, телефон та/або email, зручний месенджер, вік або клас дитини, обраний курс чи формат, текст повідомлення. У відгуках також текст відгуку, оцінка і, якщо ви їх вказали, місто та імʼя дитини. Якщо ви проходите тест рівня і залишаєте контакт, ми отримуємо і результат тесту.
• Дані про джерело заявки: сторінка, з якої надіслано заявку, мітки рекламної кампанії (UTM), ідентифікатори кліку (fbclid, gclid), сайт, з якого ви перейшли, ідентифікатори Meta _fbp і _fbc (якщо ці cookies є), ваш вибір щодо cookies і технічний номер події. Це потрібно, щоб розуміти, які канали реально приводять батьків.
• Дані про дитину, які надають батьки або інші законні представники: імʼя, вік або клас, напрям і рівень навчання.
• Дані про навчання: розклад, теми й дати занять, відвідуваність, коментарі та нотатки викладача, сторінка прогресу, щотижневі AI-підсумки прогресу (розділ 05), листування з менеджером чи викладачем.
• Обліковий запис на платформі: email, імʼя, роль (батьки, учень, викладач) і звʼязок облікового запису з карткою учня в CRM школи. Якщо ви входите через Google, ми отримуємо від Google ваше імʼя, email і, за наявності, фото профілю.
• Платіжні дані: сума, дата і призначення платежу. Повних реквізитів банківських карток ми не отримуємо й не зберігаємо: їх обробляє банк або платіжний сервіс.
• Технічні дані: IP-адреса, тип пристрою і браузера, переглянуті сторінки й дії на сайті, дані cookies (розділ 08). Для захисту форм від спаму ми тимчасово зберігаємо не саму IP-адресу, а її хеш.

Ми не просимо і не збираємо дані про здоровʼя, релігійні чи політичні погляди та інші особливо чутливі категорії даних.

03 Мета і правові підстави

Кожна мета має свою підставу за статтею 11 Закону України «Про захист персональних даних» і статтею 6 GDPR:

• Відповісти на заявку, підібрати формат, викладача і час: ваш запит і дії до укладення договору (GDPR ст. 6(1)(b)), ваша згода.
• Надавати освітні послуги: розклад, облік занять, особистий кабінет, прогрес, звʼязок з батьками: виконання договору (публічної оферти, GDPR ст. 6(1)(b)).
• Готувати AI-підсумки прогресу: виконання договору та наш законний інтерес у якісному супроводі учня (GDPR ст. 6(1)(f)). Від них можна відмовитися (розділ 05).
• Приймати оплати, вести облік і звітність: вимоги законодавства (GDPR ст. 6(1)(c)).
• Аналітика сайту (Google Analytics): згода через банер cookies (GDPR ст. 6(1)(a)).
• Вимірювання реклами (Meta Pixel, Meta Conversions API, Google Ads): згода через банер cookies (GDPR ст. 6(1)(a)).
• Новини школи й розсилка: ваша згода. Відписатися можна будь-коли.
• Захист сайту від спаму і зловживань: наш законний інтерес (GDPR ст. 6(1)(f)).

Згоду можна відкликати в будь-який момент: для cookies через кнопку Налаштування cookies, для інших цілей листом на пошту з розділу 13. Відкликання не впливає на законність обробки до нього.

04 Дані дітей

Наші учні це діти й підлітки. Послуги замовляють і дані дітей надають батьки або інші законні представники. Надсилаючи дані дитини, ви підтверджуєте, що маєте на це право. Обліковий запис учня на платформі створюється або підключається з відома батьків чи іншого законного представника.

• Дані дитини ми використовуємо лише для організації навчання й звʼязку з батьками.
• Ми не використовуємо дані дітей для реклами чи рекламного профілювання і не передаємо їх рекламним мережам.
• Ми не публікуємо імена, фото, роботи чи відгуки дітей без окремої згоди батьків.
• Ми не робимо відео- чи аудіозаписів занять без попередньої згоди батьків або іншого законного представника. Якщо запис робиться за такою згодою, ми заздалегідь повідомляємо, де він зберігається, хто має до нього доступ і коли його буде видалено.

Батьки можуть будь-коли запитати, які дані дитини ми маємо, виправити їх або попросити видалити (розділ 10).

05 AI-підсумки прогресу

Для учнів, підключених до платформи, ми раз на тиждень готуємо короткий текстовий підсумок прогресу, який бачать батьки й учень у своєму кабінеті.

• Навіщо: щоб батьки регулярно бачили, що дитина вивчала і на що варто звернути увагу, без очікування окремої розмови з викладачем.
• Які дані: імʼя учня, теми й дати занять, відвідуваність, коментарі та нотатки викладача за період. Контактні дані батьків (телефон, email) і платіжні дані для підсумків не передаються.
• Хто обробляє: підсумок пише мовна модель Claude компанії Anthropic через її API. За умовами комерційного використання Anthropic не використовує ці дані для навчання своїх моделей.
• Людський контроль: підсумок має довідковий характер. Він не є оцінкою і не використовується для рішень, які мають для дитини юридичні чи подібні суттєві наслідки. Висновки про навчання і рекомендації дає викладач. Якщо підсумок здається неточним, напишіть нам, і викладач або методист його перевірить і виправить.
• Як відмовитися: напишіть на main@fibo-school.com, і ми припинимо готувати AI-підсумки для вашої дитини. На заняття це не впливає.

06 Кому ми передаємо дані

Ми не продаємо персональні дані. Доступ до них мають працівники й викладачі FIBO School у межах своїх завдань. Крім того, ми користуємося сервісами, які обробляють дані за нашим дорученням і лише в потрібному обсязі:

• Cloudflare, Inc.: хостинг сайту й платформи, захист від атак, серверна обробка форм.
• Google: Google Sheets (таблиця заявок), Google Tag Manager (керування тегами сайту), Google Analytics 4 (аналітика, за згодою), Google Ads (вимірювання реклами, за згодою), вхід на платформу через обліковий запис Google.
• Meta Platforms: Meta Pixel і Conversions API для вимірювання реклами, лише за згодою на маркетингові cookies (розділ 08). Через Conversions API після заявки передаються телефон та email у вигляді хешу SHA-256, IP-адреса, дані браузера, ідентифікатори _fbp/_fbc і адреса сторінки. Це не знеособлені дані: Meta може зіставити їх зі своїми обліковими записами.
• Telegram: сповіщення про нові заявки в закритий робочий чат команди; листування з менеджером, якщо ви пишете нам у Telegram.
• Supabase, Inc.: облікові записи платформи, звʼязки «батьки-учень», нотатки викладачів і підсумки прогресу. Сервери в ЄС (Франкфурт).
• Optimate: CRM школи: картки учнів, розклад, теми занять, відвідуваність.
• Zoom: проведення онлайн-занять.
• Anthropic, PBC: AI-підсумки прогресу (розділ 05).
• Zoho: електронна пошта школи (дата-центр у ЄС).
• Банк і платіжні сервіси: прийом оплат.

Ми можемо розкрити дані на законну вимогу державних органів або для захисту своїх прав у суді.

07 Міжнародна передача даних

Частина сервісів з розділу 06 обробляє дані за межами України та Європейської економічної зони, зокрема у США (Cloudflare, Google, Meta, Zoom, Anthropic) та на серверах Telegram у різних країнах. Supabase і Zoho зберігають наші дані в ЄС.

Для таких передач ми покладаємося на договори про обробку даних цих постачальників, стандартні договірні умови, затверджені Європейською комісією, і Рамкову програму захисту даних ЄС-США там, де постачальник до неї приєднався. Передача з України здійснюється відповідно до статті 29 Закону України «Про захист персональних даних». Детальніше про гарантії конкретного постачальника можна запитати на нашу пошту.

08 Файли cookies і Consent Mode

Під час першого відвідування сайт показує банер cookies з кнопками «Прийняти всі», «Лише необхідні» і «Налаштувати». Ваш вибір діє 180 днів, після чого банер зʼявиться знову. Змінити вибір можна будь-коли: Налаштування cookies (та сама кнопка є внизу кожної сторінки). Також cookies можна видалити або заблокувати в налаштуваннях браузера.

Категорії

• Необхідні (завжди увімкнені): робота сайту, форм і збереження вашого вибору. Сайт зберігає у вашому браузері (localStorage) записи fibo_consent (ваш вибір, 180 днів), fibo_attr (джерело переходу для заявки: UTM-мітки, ідентифікатори кліку, перша сторінка візиту; зберігається, доки ви не очистите дані сайту), fibo_popup (коли показувалося вікно заявки, щоб не показувати його частіше ніж раз на 3 дні) і fibo_lead (позначка, що заявку вже надіслано). Ці записи залишаються у вашому браузері й потрапляють до нас лише разом із заявкою. На платформі браузер також зберігає дані сесії входу. Cloudflare може встановлювати технічні cookies безпеки.
• Аналітика: Google Analytics 4 (cookies _ga, _ga_*, до 2 років). Показує, які сторінки корисні і де сайт незручний.
• Маркетинг: Meta Pixel (cookies _fbp, _fbc, до 90 днів) і Google Ads (cookies _gcl_*, до 90 днів). Вимірюють рекламу і дозволяють показувати її тим, хто вже був на сайті.

Як працює Consent Mode

• Для відвідувачів з ЄЕЗ, Великої Британії та Швейцарії аналітичні й маркетингові cookies вимкнені, доки ви не дасте згоду в банері.
• Для відвідувачів з інших країн, зокрема з України, вони за замовчуванням увімкнені. Ви можете вимкнути їх кнопкою «Лише необхідні» або в налаштуваннях.
• Якщо згоди немає, теги Google можуть надсилати сигнали без cookies і без ідентифікаторів користувача, як передбачає Google Consent Mode, а рекламні ідентифікатори в них приховуються.
• Якщо ви обрали «Лише необхідні» або вимкнули маркетинг, дані заявки не передаються в Meta Conversions API. Для відвідувачів з ЄЕЗ, Великої Британії та Швейцарії вони не передаються, доки ви не дали згоду.

09 Строк зберігання

Ми зберігаємо дані не довше, ніж це потрібно для мети обробки:

• Заявки, після яких навчання не почалося (у таблиці заявок і робочому чаті): до 12 місяців від останнього контакту.
• Дані учнів і навчання, зокрема AI-підсумки: протягом навчання і 3 роки після останнього заняття (загальний строк позовної давності), якщо ви не попросите видалити їх раніше і немає законних підстав зберігати їх довше.
• Обліковий запис на платформі: доки він потрібен для навчання, або до вашого запиту на видалення.
• Платіжні й облікові документи: строки, встановлені податковим і бухгалтерським законодавством (зокрема не менше 1095 днів за Податковим кодексом України).
• Хеш IP-адреси для захисту від спаму: до 10 хвилин.
• Дані Google Analytics: не довше 14 місяців. Cookies: строки з розділу 08.

Після завершення строку дані видаляються або знеособлюються.

10 Права користувачів (у т.ч. GDPR)

Відповідно до статті 8 Закону України «Про захист персональних даних» і статей 15-22 GDPR ви маєте право:

• знати, які ваші дані та дані вашої дитини ми обробляємо, навіщо і кому передаємо;
• отримати доступ до даних і їх копію;
• вимагати виправлення неточних даних;
• вимагати видалення даних або обмеження їх обробки;
• отримати дані в структурованому машиночитаному форматі й передати іншому постачальнику (перенесення даних);
• заперечити проти обробки на підставі законного інтересу, зокрема проти AI-підсумків прогресу, і проти обробки для маркетингу;
• відкликати згоду в будь-який момент;
• не бути предметом рішення, заснованого виключно на автоматизованій обробці, яке має для вас юридичні чи подібні суттєві наслідки (ми таких рішень не ухвалюємо);
• подати скаргу до Уповноваженого Верховної Ради України з прав людини, а якщо ви живете в ЄС, до наглядового органу з захисту даних своєї країни (наприклад, UODO в Польщі, орган захисту даних вашої федеральної землі в Німеччині, ÚOOÚ у Чехії).

Щоб скористатися правом, напишіть на main@fibo-school.com. Можемо попросити підтвердити, що запит надсилаєте саме ви. Відповідаємо без плати й не пізніше ніж за один місяць з дня отримання запиту.

11 Безпека даних

Ми застосовуємо організаційні й технічні заходи захисту: шифроване зʼєднання (HTTPS), доступ до даних учнів за ролями (батьки бачать лише дані своїх дітей, працівники школи лише те, що потрібно для їхньої роботи), зберігання службових ключів доступу лише на сервері, захист форм від спаму, надійних постачальників інфраструктури. Жодна система не гарантує абсолютної безпеки. Якщо станеться витік, що створює ризик для вас, ми повідомимо вас і, де це вимагає закон, наглядовий орган.

12 Зміни Політики

Ми можемо оновлювати цю Політику, наприклад коли підключаємо новий сервіс. Актуальна редакція завжди доступна на цій сторінці із зазначенням дати. Про істотні зміни ми додатково повідомимо на сайті або електронною поштою.

13 Контакти