Политика в отношении обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки и защиты персональных данных на сайте Совета обучающихся Астраханского государственного медицинского университета и в связанных с ним информационных системах (личный кабинет, формы обращений и записи на приём).

Оператором персональных данных является Федеральное государственное бюджетное образовательное учреждение высшего образования «Астраханский государственный медицинский университет» Министерства здравоохранения Российской Федерации (ФГБОУ ВО «Астраханский ГМУ» Минздрава России; ИНН 3015010536, ОГРН 1023000857285). Совет обучающихся — орган студенческого самоуправления в структуре университета, действующий на основании Устава университета, и не является отдельным юридическим лицом. Практические обращения по вопросам сайта Совет обучающихся принимает самостоятельно как представитель оператора (раздел 13).

Политика разработана с учётом Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и Федерального закона от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации».

2. Категории субъектов и какие данные обрабатываются

• Посетители сайта: только технические данные — журналы сервера (адрес устройства, время запроса); отдельно о себе ничего не сообщают.
• Аккаунт активиста или руководителя: логин, ФИО, факультет, курс, группа, роль и структура Совета, дата и версия согласия.
• Деятельность: заявки на баллы, решения по ним, штрафные и начисленные баллы, записи на мероприятия.
• Обращения и запись на приём: сведения, которые человек указывает в форме: ФИО, контакты и текст обращения (для ответа нужна почта).
• Публично представляемые лица (руководство Совета): ФИО, роль, фотография и иные сведения — только в объёме, на который получено отдельное согласие на распространение (раздел 8 и страница «Согласие на распространение персональных данных»).
• Служебные сведения: журнал действий в системе и технические журналы сервера.

Оператор не запрашивает паспортные данные, место рождения, полный домашний адрес, сведения об успеваемости, контакты для экстренной связи и специальные категории персональных данных без отдельно документированной необходимости.

3. Цели обработки

• обеспечение работы сайта и его безопасности;
• ведение рейтинговой (балльной) системы активности и личного кабинета;
• аутентификация, восстановление доступа и управление ролями;
• организация участия в мероприятиях и деятельности Совета;
• рассмотрение обращений и организация личного приёма;
• организационные и сервисные уведомления;
• публикация сведений о руководстве Совета — только при наличии отдельного согласия на распространение.

4. Основание обработки

Согласие субъекта персональных данных, которое человек даёт отдельным действием при первом входе в личный кабинет либо при отправке формы обращения или записи на приём (страница «Согласие на обработку персональных данных»). Согласие оформляется отдельно от пользовательского соглашения и не объединяется с иными согласиями в одном действии. Согласие можно отозвать в любой момент — порядок описан на странице «Права и отзыв согласия».

5. Локализация и трансграничная передача

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием базы данных, размещённой на территории Российской Федерации. Сайт не передаёт персональные данные зарубежным сервисам для хранения или обработки. Единственная внешняя технология, к которой обращается страница, — шрифты Google Fonts (см. «Cookie-уведомление», раздел 3); при подключении оператором в будущем иного зарубежного сервиса решение об этом и оценка по статье 12 152-ФЗ будут отражены здесь дополнительно.

6. Лица, осуществляющие обработку по поручению

На дату актуализации настоящей редакции обработка персональных данных сторонним подрядчикам (процессорам) не передаётся: сайт размещается и обслуживается силами Совета обучающихся и IT-специалистов университета, без привлечения внешних сервисов рассылок, аналитики или хостинг-панелей, обрабатывающих персональные данные пользователей. Если это изменится, здесь будет указан конкретный процессор и основание передачи.

7. Сроки хранения

• Данные аккаунта хранятся, пока человек состоит в активе. После ухода из состава аккаунт блокируется и скрывается; данные сохраняются в архиве для истории баллов и журнала действий и по заявлению человека удаляются или обезличиваются.
• История баллов ведётся по семестрам и сохраняется в архиве в обезличенном виде.
• Данные закрытых обращений удаляются автоматически через 90 дней после ответа, записи на личный приём — после приёма, решённые заявки на вступление — через 90 дней после решения, заявки гостей на мероприятия и сведения о гостях — через 30 дней после мероприятия. Перед удалением сохраняются только обезличенные счётчики (количество обращений и заявок по месяцам, темам и факультетам, сроки ответа) — без ФИО, контактов и текстов; они нужны для отчётов Совета обучающихся.
• Журнал действий в системе хранится один год.
• Уничтожение персональных данных документируется во внутреннем журнале.

8. Публичное распространение

Сведения о руководстве Совета (страница «Руководство») публикуются только при наличии отдельного согласия на распространение персональных данных, оформленного по правилам статьи 10.1 152-ФЗ и приказа Роскомнадзора от 24.02.2021 № 18. Такое согласие фиксирует именно тот перечень сведений, который человек разрешил публиковать, и условия распространения; молчание или бездействие не считаются согласием. Подробности — на странице «Согласие на распространение персональных данных».

9. Ваши права

Вы вправе узнать, какие данные о вас обрабатываются, потребовать их уточнения, блокирования или уничтожения, отозвать согласие и получить сведения о правовом основании и целях обработки. Сроки рассмотрения таких обращений и порядок отзыва согласия — на странице «Права и отзыв согласия». Отзыв согласия сам по себе не прекращает обработку, если для неё есть иное законное основание.

10. Защита данных

Пароли хранятся только в виде необратимых «отпечатков» (алгоритм scrypt) и недоступны никому, включая администраторов. Доступ к сведениям есть только у тех, кому он нужен по роли. Все действия в системе записываются в журнал. Соединение с сайтом защищено HTTPS, сессия — служебной cookie с флагами HttpOnly и Secure. Данные хранятся на сервере на территории Российской Федерации.

11. Cookies

Сайт использует единственную cookie — техническую, для входа в личный кабинет. Подробности — в «Cookie-уведомлении».

12. Изменения Политики

При изменении Политики меняется номер её версии; пользователи, уже вошедшие в личный кабинет, увидят уведомление и должны будут повторно подтвердить согласие с новой редакцией при следующем входе.

13. Контакты оператора

ФГБОУ ВО «Астраханский ГМУ» Минздрава России. ИНН 3015010536, ОГРН 1023000857285. Юридический адрес: 414000, Астраханская область, г. Астрахань, ул. Бакинская, дом 121. Официальный сайт университета: astgmu.ru.

По вопросам обработки данных на сайте Совета обучающихся, как представитель оператора, отвечает Председатель Совета обучающихся: studsovet.astgmy@gmail.com, 414000, г. Астрахань, ул. Бакинская, 121, новый корпус, каб. 159 (личный приём — четверг, 15:00–17:00, страница «Приёмная Председателя»).

См. также: все документы раздела «Правовая информация».