سیاست حریم خصوصی هوشاگر
نسخه ۱.۲ — تاریخ لازم‌الاجرا: ۱ آبان ۱۴۰۴
آخرین به‌روزرسانی: ۱ آبان ۱۴۰۴
۱. تعهد
هوشاگر داده شخصی دانش‌آموز، والد، معلم و کارکنان را فقط برای اهداف آموزشی، امنیتی و قراردادی پردازش می‌کند.
این سیاست با توجه به اصل ۲۵ قانون اساسی ایران، مواد ۵۸ تا ۶۰ قانون تجارت الکترونیکی مصوب ۱۳۸۲، و در حدی که قانون محل اقامت کاربر خارج از ایران اعمال‌پذیر باشد، اصول اطلاع، حداقل‌سازی، دسترسی، اصلاح و حذف تنظیم شده است. این سند به‌معنای آن نیست که مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR) بر همه کاربران ایرانی حاکم است، اما اصول آن را الگو گرفته است.
۲. نقش‌ها
در حساب مدرسه‌ای، مدرسه کنترل‌کننده داده دانش‌آموز و کارکنان است و هوشاگر پردازنده است که فقط طبق قرارداد و دستور مجاز مدرسه عمل می‌کند.
مدرسه باید: اختیار ثبت داده را داشته باشد؛ اشخاص ذی‌نفع را در موارد لازم مطلع کند؛ و رضایت صریح را هر جا قانون، به‌ویژه برای داده‌های جسمی و روانی، الزامی می‌داند، اخذ کند.
در حسابی که کاربر مستقیماً و خارج از دستور مدرسه می‌سازد، هوشاگر ممکن است کنترل‌کننده همان حساب باشد. این تفکیک حق قانونی دانش‌آموز یا والد را از بین نمی‌برد.
۳. داده‌های پردازش‌شده
بسته به نقش و قابلیت فعال، دسته‌های زیر ممکن است پردازش شوند:
- هویت و ورود: نام، کد ملی یا کد ورود، تلفن، ایمیل، نقش (رمز به‌صورت متن آشکار ذخیره نمی‌شود)
- آموزشی: نمره، حضور، آزمون، تکلیف، گزارش
- بهداشت و مشاوره: فقط برای نقش‌های مجاز و با محدودیت دسترسی (داده حساس — مشمول رضایت صریح)
- خانوادگی: پیوند والد-فرزند، تنظیم اعلان
- پرداخت: وضعیت اشتراک و تراکنش (شماره کامل کارت ذخیره نمی‌شود)
- فنی: نشانی IP، نوع مرورگر، زمان استفاده، گزارش خطا (موقعیت جغرافیایی دقیق جمع‌آوری نمی‌شود)
- هوش مصنوعی: متن درخواست و پاسخ لازم برای همان قابلیت
داده هر مدرسه برای کاربران مدرسه دیگر قابل مشاهده نیست. هر نقش فقط به داده مجاز خودش دسترسی دارد.
۴. هدف و مبنای قانونی پردازش
اهداف: ساخت حساب و ورود؛ ارائه درس، آزمون و گزارش؛ نمایش داده به شخص مجاز؛ پیامک و اعلان ضروری؛ امنیت سامانه؛ پشتیبانی؛ و اجرای قرارداد.
مبناهای قانونی: قرارداد با مدرسه یا کاربر؛ دستور معتبر مدرسه؛ رضایت معتبر در موارد لازم (قابل پس‌گرفتن)؛ الزام قانون؛ مصلحت مشروع برای امنیت سامانه در حد قانون.
استفاده برای هدف جدید ناسازگار، در صورتی که اطلاع یا رضایت جداگانه نیاز داشته باشد، بدون آن انجام نمی‌شود.
۵. حفاظت ویژه از داده کودک و داده حساس
فقط داده لازم برای خدمت آموزشی جمع‌آوری می‌شود. پرونده بهداشت و مشاوره در اختیار نقش عمومی مدرسه نیست. انتشار گزارش برای والد می‌تواند منوط به بازبینی مدرسه باشد.
ثبت‌نام یا استفاده از سامانه به‌تنهایی جایگزین رضایت صریح برای داده جسمی، روانی یا سایر داده‌هایی که قانون رضایت صریح می‌خواهد نیست.
برای کودکان زیر ۱۵ سال که تحت مقررات GDPR یا مشابه آن قرار دارند، رضایت والد یا سرپرست قانونی برای پردازش داده لازم است.
۶. پردازش توسط هوش مصنوعی
برای تولید پاسخ، متن درخواست ممکن است به ارائه‌دهنده مدل در داخل یا خارج ایران برود.
هوشاگر داده را برای فروش یا تبلیغ به این شرکت‌ها نمی‌دهد. با این حال تضمین نمی‌کند که همه ارائه‌دهندگان، ورودی را برای بهبود مدل نزد خود نگه نمی‌دارند؛ سیاست هر ارائه‌دهنده جدا است و ممکن است تغییر کند.
شناسه مستقیم تا حد پیاده‌سازی فعلی کاهش می‌یابد. خروجی در سامانه ذخیره و تابع همین سیاست است.
داده سلامت، مشاوره، رمز عبور و اطلاعات افراد دیگر را در گفتگوی هوش مصنوعی وارد نکنید.
۸. انتقال برون‌مرزی
بخشی از زیرساخت و مدل‌های هوش مصنوعی خارج از ایران قرار دارند. قوانین دسترسی و نگه‌داری در آن کشورها متفاوت است.
هوشاگر تلاش می‌کند قراردادهای پردازش داده مناسب با ارائه‌دهندگان خارجی منعقد کند. کاربر و مدرسه پیش از فرستادن داده حساس کودک به قابلیت هوش مصنوعی باید این احتمال را در نظر بگیرند.
۹. نگه‌داری داده
- حساب فعال: تا پایان قرارداد مدرسه
- پس از پایان اشتراک: ۳۰ روز برای بازیابی
- پس از درخواست حذف: حذف قابل‌اجرا در ۳۰ روز کاری
- نسخه پشتیبان: تا پایان چرخه پشتیبان
- لاگ‌های امنیتی: ۱۲ ماه یا مدت متعارف بررسی حادثه
- سوابق مالی: مدت الزام قانونی (معمولاً ۵ سال مالیاتی)
درخواست حذف، حذف فوری همه نسخه‌ها را تضمین نمی‌کند.
۱۰. امنیت
دسترسی بر اساس نقش کاربری محدود می‌شود، از جمله با سیاست سطح ردیف در پایگاه‌داده (Row Level Security). ارتباط با رمزنگاری لایه انتقال محافظت می‌شود. این تدابیر خطر را کاهش می‌دهد و امنیت مطلق ایجاد نمی‌کند.
در صورت وقوع حادثه امنیتی مؤثر بر داده شخصی:
- مدارس متأثر در اولین فرصت متعارف، و برای مقررات بین‌المللی حداکثر ظرف ۷۲ ساعت از شناسایی، مطلع می‌شوند.
- کاربران متأثر بر اساس شناسایی اثر حادثه آگاه می‌شوند.
- گزارش به compliance@hooshagar.ir ارسال می‌شود.
۱۲. حقوق شما
در حد قانون و نقش خود می‌توانید این حقوق را اعمال کنید:
- مشاهده: دریافت نسخه‌ای از داده‌هایتان
- اصلاح: تصحیح داده نادرست
- دریافت نسخه: صادرات داده در قالب قابل استفاده
- حذف: درخواست پاک‌سازی داده
- محدودسازی: محدود کردن نوع خاصی از پردازش
- پس‌گرفتن رضایت: برای پردازش‌هایی که مبنایشان رضایت بوده
درخواست را به compliance@hooshagar.ir بفرستید. هدف، پاسخ اولیه در ۱۰ روز کاری و اجرای حذف قابل‌اجرا در ۳۰ روز کاری است، مگر احراز هویت، حقوق مدرسه، یا الزام قانونی زمان دیگری بخواهد.
برای اعمال حقوق کودک ممکن است احراز هویت والد یا ارجاع به مدرسه لازم باشد. حذف داده ممکن است برخی خدمات را متوقف کند.
۱۳. به‌روزرسانی و تماس
نسخه جدید با تاریخ در همین صفحه منتشر می‌شود. تغییر اساسی پیشاپیش اطلاع‌رسانی می‌شود.
- حریم خصوصی، حقوقی و گزارش نقض داده: compliance@hooshagar.ir
- تماس عمومی: contact@hooshagar.ir
- پشتیبانی: support@hooshagar.ir
- اطلاعات: info@hooshagar.ir