Политика конфиденциальности

Последнее обновление: 6 октября 2026 г.

1. Общие положения

Настоящая Политика конфиденциальности (далее — «Политика») описывает, как сервис НатПаф (далее — «НатПаф», «мы», «нас») собирает, использует, хранит и защищает персональные данные пользователей на сайте nutpath.ru, в приложении app.nutpath.ru и в мобильном приложении НатПаф.

НатПаф — семейный планировщик для детей от 7 лет. Регистрацию и управление аккаунтом осуществляют родители (законные представители). Дети используют сервис через учётные записи, созданные родителями.

Политика действует и для «НатПаф Занятия» (coach.nutpath.ru) — кабинета, в котором тренеры, репетиторы и секции ведут учеников, расписание и посещения. Аккаунт там тот же, что в НатПаф. Данные учеников и родителей, которые тренер вносит в кабинет, принадлежат тренеру: он их оператор, а мы обрабатываем их по его поручению (п. 10.1).

Используя сервис, вы соглашаетесь с условиями настоящей Политики. Если вы не согласны с условиями — пожалуйста, не используйте сервис.

Обработка персональных данных осуществляется в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

2. Какие данные мы собираем

2.1. Данные родителя / взрослого участника

Имя (отображается в профиле и семейном пространстве);
Адрес электронной почты (используется для входа и уведомлений);
Пароль (хранится в зашифрованном виде — алгоритм Argon2, исходный пароль нам недоступен);
Фотография профиля (аватар) — загружается по желанию пользователя.

2.2. Данные ребёнка

Имя ребёнка;
Возрастная группа (7–11 лет, 12–13 лет или от 14 лет);
Возраст ребёнка (полных лет) — если родитель указал его на странице «Про ребёнка», чтобы показать норму сна и ступень нормативов ГТО;
Результаты испытаний ГТО, которые родитель записал на странице «Про ребёнка»;
Расписание занятий ребёнка, если семья его ведёт (школа, секции, кружки и другие занятия): название, вид занятия, дни и время, место — если его указали, список «взять с собой», заметки взрослых; ссылки-подписки на календарь, их названия и дата последнего обновления расписания по ссылке. Имя и телефон педагога или тренера мы не собираем;
Фотография профиля (аватар) — загружается по желанию родителя;
Токен входа — уникальная ссылка или QR-код для входа ребёнка без пароля.

Важно: ребёнок не регистрируется самостоятельно. Учётная запись ребёнка создаётся родителем, который несёт ответственность за предоставленные данные.

2.3. Данные семьи

Название семьи;
Состав семьи (список участников с ролями: родитель / ребёнок).

2.4. Данные об активности

Цели и задачи, созданные в сервисе;
Факты выполнения задач (дата, время, статус);
Прогресс по навыкам и серии выполнений (streaks);
Баланс и история начислений Орешков (внутренняя валюта сервиса);
Запросы на получение наград;
Даты использования сервиса (день, время первого и последнего запроса за день, платформа: браузер, установленное приложение или мобильное приложение) — для поддержки пользователей и оценки работы сервиса; хранятся 180 дней.

2.5. Материалы пользователей

Статьи и дневники, создаваемые пользователями в разделе «Библиотека». Статьи могут быть опубликованы с ограниченной видимостью (внутри семьи) или публично.

2.6. «НатПаф Занятия»

Если вы тренер или член команды кабинета: имя, под которым вас видят в кабинете, роль в команде, название организации, её часовой пояс и виды занятий, реквизиты организации для её документов (имя или название, адрес и e-mail для обращений), дата принятия оферты для организаций; сведения о тарифе и платежах организации — суммы, даты, последние четыре цифры карты и токен способа оплаты у ЮKassa (номер карты целиком мы не получаем); если вы оплачиваете тариф как организация или ИП — ИНН и название (у ИП — ФИО) для чека;
Если вы родитель и подключили ребёнка к тренеру: отметка о подключении, копия расписания тренера в расписании ребёнка (занятие, дни и время, место, имя тренера, отмены и переносы, причина отмены — если тренер её указал) и ваши отметки «не пойдём» с пометкой «тренер видел». Тренер видит только, что семья подключена, и — если вы это включили — ваши «не придём»; состав семьи, задачи и других детей тренер не видит;
Что присылает тренер по этой связи и что хранится в семье: итог занятия (что делали, что задано, что взять с собой); похвала ребёнку — отметка из готового списка, ребёнок видит её готовой фразой «От тренера»; «точка роста» — короткая заметка тренера о ребёнке (до 120 символов); остаток оплаченных занятий или долг в занятиях — только если тренер включил его показ. Итог, «точку роста», причину отмены и остаток видят только взрослые семьи;
Если вы отправили запрос на подключение по коду секции: группа тренера, имя ребёнка, как вы его написали («Как ребёнок записан у тренера»), дата и ответ тренера. Тренер видит только имя из запроса, группу и дату — ваше имя, аккаунт и данные семьи ему не видны. Имя из запроса удаляется не позже 45 дней после отправки.

2.6.1. Демо «НатПаф Занятия» и предложение сервиса организациям

Если вы открыли демо-версию «НатПаф Занятия» (демо-кабинет с вымышленными данными): вид демо и метка источника перехода, дата и время визита, перечень открытых разделов и действий (из закрытого перечня, без введённого вами текста), тип устройства, семейство операционной системы и браузера. IP-адрес и полная строка User-Agent в эту статистику не попадают;
Если организации направлена персональная ссылка на демо: название организации, город, адрес сайта, статус (отправлено, открыто, зарегистрировался) и даты. Если название или сайт раскрывают физическое лицо (ИП, частный тренер), это персональные данные;
Отметка «Больше не писать» — необратимый хеш адреса электронной почты, по которому мы больше не направляем предложение; сам адрес для этого не хранится.

2.7. Технические данные

Файл cookie nutpath_token — используется для аутентификации. Хранится в защищённом режиме (httpOnly), недоступен скриптам страницы;
IP-адрес и технические параметры запросов — для обеспечения безопасности;
Сведения об устройстве: тип устройства (телефон, планшет, компьютер), семейство и основная версия операционной системы, семейство браузера, версия приложения — без IP-адреса и без полной строки User-Agent; используются для поддержки пользователей и оценки работы сервиса на разных устройствах; хранятся 180 дней.
Идентификатор устройства для push-уведомлений (push-токен) — только если вы сами включили уведомления в приложении или в браузере (в том числе на устройстве ребёнка). В мобильном приложении это токен, выданный сервисом push-уведомлений RuStore или — для приложения, установленного из Google Play, — сервисом Firebase Cloud Messaging (Google); в браузере — адрес подписки и ключи шифрования, выданные браузером. Вместе с токеном хранятся строка User-Agent устройства и дата последнего обновления подписки. Используется только для доставки уведомлений, которые вы включили (получатели — в п. 10). Хранится, пока уведомления включены; после отключения уведомлений, выхода из аккаунта, удаления аккаунта или отзыва токена сервисом доставки токен больше не используется и удаляется через 30 дней.
Аналитические cookie сервиса Яндекс.Метрика (_ym_uid, _ym_d и другие служебные cookie) — устанавливаются только при согласии пользователя и используются для сбора обезличенной статистики посещений (тип устройства, браузер, источник перехода, просмотренные страницы); на сайте nutpath.ru — также записи Вебвизора (см. п. 9.2).

3. Цели обработки данных

Предоставление функциональности сервиса: создание аккаунта, семейного пространства, задач и целей;
Уведомления, которые пользователь включил сам, и письма на электронную почту взрослого пользователя: служебные и письмо недели по воскресеньям (от письма недели можно отказаться по ссылке в письме или в настройках уведомлений);
Расписание занятий ребёнка: показ расписания семье (взрослым и самому ребёнку), напоминания о занятиях, если вы их включили (в уведомлении — название и время занятия, взрослому — ещё и имя ребёнка, накануне вечером — список «взять с собой»; место и заметки в уведомления не попадают), и ссылка-подписка на расписание, которую родитель по желанию создаёт и сам добавляет в выбранное им приложение календаря (по ссылке доступны название календаря, названия занятий, дни и время, список «взять с собой», место — только если родитель включил его показ; заметки — нет; ссылку можно отключить в приложении в любой момент);
«НатПаф Занятия»: работа кабинета тренера и его команды, оформление и оплата тарифа организации, чеки; показ занятий тренера в расписании ребёнка и уведомления семье об их изменениях, если родитель подключил ребёнка; показ семье итогов занятий, похвалы, «точки роста» и остатка оплаченных занятий, которые прислал тренер, и уведомление родителям о новом итоге занятия (без имени ребёнка); напоминание об оплате от тренера (push родителю, без имени ребёнка и сумм в рублях); передача тренеру запроса на подключение по коду секции, чтобы он подтвердил ученика;
Аутентификация и авторизация пользователей;
Отображение прогресса, навыков, наград и истории активности;
Обеспечение безопасности аккаунтов;
Поддержка пользователей при обращении в службу поддержки;
Улучшение сервиса на основе обезличенной статистики.
Предложение сервиса организациям и статистика демо «НатПаф Занятия»: направление организации персональной ссылки на демо, учёт открытых в демо разделов и оценка на этой основе удобства демо и предложения. Отказаться можно в любой момент — на странице «Больше не писать» демо или письмом на privacy@nutpath.ru.

4. Правовые основания обработки

Обработка персональных данных взрослых пользователей осуществляется на основании согласия субъекта персональных данных (ст. 6, ч. 1, п. 1; ст. 9 Федерального закона № 152-ФЗ), выраженного при регистрации в сервисе. Данные тренеров и организаций, нужные для работы кабинета «НатПаф Занятия» и оплаты тарифа, обрабатываются также для исполнения договора — оферты для организаций (ст. 6, ч. 1, п. 5 того же закона).

Обработка персональных данных детей до 14 лет осуществляется исключительно на основании согласия родителя или иного законного представителя (ст. 9, ч. 6 Федерального закона № 152-ФЗ). Добавляя ребёнка в семейное пространство, родитель подтверждает своё согласие на обработку данных ребёнка.

5. Защита данных

Мы применяем следующие меры защиты:

Пароли хранятся исключительно в виде хэша (Argon2) — восстановить исходный пароль невозможно;
Сессионный cookie передаётся только по защищённому соединению (HTTPS) и защищён флагами httpOnly и Secure;
Аватары и файлы хранятся в защищённом облачном хранилище с ограниченным доступом;
Доступ к данным семьи ограничен участниками этой семьи;
Данные хранятся на серверах, расположенных на территории Российской Федерации.

6. Хранение и удаление данных

Данные хранятся в течение всего времени использования сервиса. При удалении аккаунта вход в него блокируется сразу, данные помечаются как удалённые, исключаются из активной обработки и безвозвратно уничтожаются в течение 30 дней. Если удаляется последний взрослый в семье, вместе с аккаунтами уничтожаются и все данные семьи. Сведения о платежах за подписку при этом не уничтожаются, а обезличиваются (отвязываются от семьи и аккаунтов) и хранятся в течение срока, установленного налоговым законодательством.

Сведения о визитах в демо «НатПаф Занятия» хранятся 180 дней с последней активности, затем уничтожаются; демо-кабинеты с вымышленными данными удаляются автоматически. Сведения об адресате предложения удаляются по его запросу в течение 30 дней; хеш адреса из отметки «Больше не писать» хранится, пока действует отказ.

Кабинет «НатПаф Занятия» после удаления 30 дней можно восстановить, затем его данные уничтожаются; сведения о платежах организации обезличиваются так же, как платежи за подписку.

Сведения, которые тренер прислал в семью по связи (копия расписания, причины отмен, итоги занятий, похвала, «точка роста», остаток оплаченных занятий, отметки «тренер видел»), — данные семьи: они хранятся и уничтожаются по тем же правилам, что остальные данные семьи.

Удалить аккаунт можно в приложении: «Настройки» → «Опасная зона» → «Удалить аккаунт». Порядок удаления, состав удаляемых данных и способ удаления без входа в приложение описаны на странице nutpath.ru/legal/account-deletion.

Вы вправе в любой момент запросить удаление ваших данных, направив запрос на адрес privacy@nutpath.ru. Запрос на удаление исполняется в течение 30 дней (ст. 21 152-ФЗ); запрос на предоставление информации — в течение 10 рабочих дней (ст. 20 152-ФЗ).

7. Права пользователя

В соответствии с 152-ФЗ вы имеете право:

получить информацию об обработке ваших персональных данных;
требовать уточнения, блокирования или уничтожения данных, если они являются неполными, устаревшими, неточными или обрабатываются незаконно;
отозвать согласие на обработку персональных данных;
обжаловать действия оператора в Роскомнадзор.

Для реализации своих прав обратитесь по адресу privacy@nutpath.ru.

8. Данные детей

НатПаф не позволяет детям самостоятельно регистрироваться в сервисе. Учётные записи детей создаются исключительно родителями или законными представителями.

Родитель несёт ответственность за то, что предоставленные данные ребёнка являются актуальными и что использование сервиса ребёнком осуществляется под контролем взрослого.

Мы не проводим коммерческую обработку данных детей, не передаём их третьим лицам в маркетинговых целях и не используем для таргетированной рекламы.

9. Файлы cookie

9.1. Обязательные cookie

Cookie nutpath_token — используется для поддержки вашей сессии (аутентификации). Хранится в защищённом режиме (httpOnly). Без этого cookie вход в сервис невозможен.

9.2. Аналитические cookie и Вебвизор

При вашем согласии мы используем сервис Яндекс.Метрика (ООО «Яндекс», ИНН 7736207543) для сбора обезличенной статистики посещений сайта. Яндекс.Метрика устанавливает cookie (_ym_uid, _ym_d и другие служебные файлы) для подсчёта визитов, определения источников трафика, типа устройства и браузера.

На сайте nutpath.ru дополнительно включён Вебвизор — инструмент Яндекс.Метрики, который записывает движения курсора, прокрутку и клики на страницах сайта. Записи используются только для анализа удобства сайта. Содержимое полей форм (имя, адрес электронной почты, пароль) не записывается. Записи хранятся ООО «Яндекс» на серверах, расположенных на территории Российской Федерации, на условиях сервиса Яндекс.Метрика. В приложении app.nutpath.ru Вебвизор отключён.

Сроки хранения cookie и связанных данных:

_ym_uid, _ym_d (Яндекс.Метрика) — 1 год;
nutpath_cookie_consent — ваш выбор в уведомлении о cookie — 1 год;
nutpath_token — cookie сессии — 30 дней с момента последней активности; при регулярном использовании сессия продлевается, но не дольше 180 дней с момента входа (для детских учётных записей — 365 дней).

Счётчик Яндекс.Метрики запускается не сразу. На сайте nutpath.ru — только после того, как вы подтвердите согласие в уведомлении о cookie (кнопка «Хорошо»). В приложении app.nutpath.ru — после регистрации, при которой вы даёте согласие на обработку персональных данных, включая аналитику использования сервиса; до входа в аккаунт — только после подтверждения согласия в уведомлении о cookie. В мобильном приложении НатПаф начиная с версии 1.19 Яндекс.Метрика не используется. В более ранних версиях приложения она подключалась на тех же условиях, что и в app.nutpath.ru (после согласия); чтобы её отключить, обновите приложение.

Отказаться от аналитики можно в любой момент: выбрать «Только необходимые» в уведомлении о cookie, запретить cookie в настройках браузера, включить блокировку Яндекс.Метрики по инструкции yandex.ru/support/metrica/general/opt-out.html или написать нам на privacy@nutpath.ru. Отказ от аналитических cookie не влияет на работоспособность сервиса.

Подробнее об обработке данных Яндекс.Метрикой: Условия использования сервиса Яндекс.Метрика.

10. Передача данных третьим лицам

Мы не продаём и не передаём ваши персональные данные третьим лицам в коммерческих целях. Данные могут передаваться:

провайдерам инфраструктуры (хостинг, облачное хранилище), обеспечивающим работу сервиса, — исключительно в объёме, необходимом для оказания услуг;
Яндекс.Метрика (ООО «Яндекс»): обезличенные данные о посещениях сайта — исключительно в целях веб-аналитики, при наличии согласия пользователя;
Сервис push-уведомлений RuStore (ООО «ВК»): push-токен и содержимое уведомления — для доставки уведомлений в мобильное приложение НатПаф, установленное не из Google Play, если вы включили уведомления;
Сервис push-уведомлений Firebase Cloud Messaging: push-токен и содержимое уведомления — только для мобильного приложения НатПаф, установленного из Google Play, если вы включили уведомления;
Push-сервис браузера: при включении уведомлений в браузере адрес подписки выдаёт и обслуживает push-сервис разработчика браузера (например, Google, Mozilla, Apple или Microsoft); содержимое уведомления передаётся в зашифрованном виде и push-сервису недоступно;
Платёжный сервис ЮKassa (ООО НКО «ЮМани»): сведения для оплаты подписки или тарифа организации и отправки чека (сумма, назначение, e-mail); данные карты вы вводите на стороне ЮKassa;
ФНС России (приложение «Мой налог»): сведения о платеже для чека, а если тариф оплачивает организация или ИП — ещё ИНН и название покупателя;
тренеру, к которому вы подключили ребёнка: отметка о подключении, имя ребёнка из запроса по коду секции (как вы его написали) и ваши «не придём», если вы включили их отправку;
государственным органам — по законным требованиям и в установленном законом порядке.

Содержимое push-уведомления — это заголовок, короткий текст (например, название задачи, название и время занятия или имя члена семьи) и ссылка на экран приложения. Место занятия в push-уведомления не попадает. Передаётся только то, что нужно для доставки конкретного уведомления; отключение уведомлений прекращает передачу.

10.1. Данные учеников в кабинетах «НатПаф Занятия»

Данные учеников и их родителей, которые тренер вносит в свой кабинет (имя и фамилия, дата рождения, группы, расписание, посещения, отметки об оплате, заметки, итоги занятий, похвала и «точки роста», контакты родителей), — данные тренера: он оператор, он получает согласие законного представителя и отвечает за обработку. Мы обрабатываем их по его поручению на условиях оферты для организаций: храним на серверах в России, показываем команде тренера, отправляем родителям уведомления об изменениях расписания и об итогах занятий, напоминания тренера об оплате (без имени ученика, места и сумм в рублях), открываем страницу расписания по ссылке, которую тренер дал родителю, передаём в семью, подключившую ребёнка, то, что описано в п. 2.6, и по просьбе тренера выгружаем и удаляем данные. Данные ученика удаляются автоматически через три года после его последнего занятия — этот срок тренер называет в своей политике и в согласии родителя.

Мы не используем эти данные в своих целях: не пишем родителям по их контактам, не сопоставляем учеников разных тренеров и никому их не передаём. Как с ними работает тренер, можно прочитать по ссылке «Как тренер обрабатывает данные» на странице расписания. С вопросами и требованиями об этих данных обращайтесь к тренеру; если связаться с ним не получается — напишите на privacy@nutpath.ru, и мы передадим обращение.

Если вы отзываете согласие на обработку данных ребёнка у тренера, сообщите об этом тренеру или нам на privacy@nutpath.ru: данные ученика удаляются из кабинета тренера по запросу в течение 30 дней со дня его получения. Перевод ученика в архив кабинета данные не удаляет.

11. Изменения в Политике

Мы можем обновлять настоящую Политику. При существенных изменениях мы уведомим вас по электронной почте или через уведомление в сервисе. Актуальная версия всегда доступна на этой странице.

12. Контакты

По вопросам, связанным с обработкой персональных данных, обращайтесь: privacy@nutpath.ru

Оператор: Шарков Владислав Андреевич, ИНН 631307689902, г. Самара.

Подробный формальный документ об обработке персональных данных в соответствии со ст. 18.1 Федерального закона № 152-ФЗ доступен по адресу: nutpath.ru/legal/personal-data.