Политика конфиденциальности и обработки персональных данных ФГБОУ ВО Амурская ГМА Минздрава России для сайта amurgma.ru

1. Общие положения

1.1. Настоящая Политика конфиденциальности и обработки персональных данных (далее — Политика) определяет порядок и условия обработки Федеральным государственным бюджетным образовательным учреждением высшего образования «Амурская государственная медицинская академия» Министерства здравоохранения Российской Федерации (ИНН: 2801031068, адрес: 675001, Амурская область, г. Благовещенск, ул. Горького, 95, далее — Академия), персональных данных физических лиц (далее — субъект персональных данных/ПДн), которые могут быть переданы субъектами персональных данных:

• при использовании официального сайта amurgma.ru (далее — Сайт);
• при заполнении форм на базе сервиса Яндекс Формы;
• при сборе данных с помощью сервиса Яндекс Метрика.

1.2. Политика составлена в соответствии с:

• Конституцией Российской Федерации;
• Федеральным законом от 27.07.2006 № 149‑ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральным законом от 27.07.2006 № 152‑ФЗ «О персональных данных»;
• Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• иными применимыми нормативно‑правовыми актами Российской Федерации в сфере обработки и защиты персональных данных.

1.3. Посещая Сайт, заполняя формы на базе Яндекс Форм, а также взаимодействуя с ресурсами Академии иным способом, вы подтверждаете своё согласие с условиями, описанными в Политике.

1.4. Основные термины

• Оператор — ФГБОУ ВО Амурская ГМА Минздрава России.
• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому физическому лицу.
• Обработка ПДн — любые действия с ПДн, включая сбор, хранение, передачу, уничтожение.
• Субъект ПДн — физическое лицо, чьи ПДн обрабатываются.

2. Используемые сервисы сбора и обработки данных

2.1. Сайт использует следующие сервисы для сбора и обработки данных:

• сервис веб‑аналитики «Яндекс.Метрика» (предоставляется ООО «ЯНДЕКС»);
• сервис онлайн‑форм «Яндекс Формы» (предоставляется ООО «ЯНДЕКС»).

2.2. Использование указанных сервисов осуществляется на основании публичных оферт (условий использования сервисов), размещённых на официальных ресурсах ООО «ЯНДЕКС»:

• для Яндекс Метрики: Условия использования сервиса Яндекс.Метрика;
• для Яндекс Форм: Условия использования сервиса Яндекс Формы и Общие условия использования сервисов Яндекса.

2.3. Использование сервисов подразумевает обработку персональных данных в соответствии:

• с условиями использования сервисов, изложенными в договорах‑офертах и правилах, размещённых на официальных ресурсах ООО «ЯНДЕКС»;
• с требованиями законодательства Российской Федерации в сфере обработки и защиты персональных данных.

2.4. При использовании сервисов:

• Яндекс Метрика собирает обезличенные и агрегированные данные о поведении пользователей на Сайте (источники трафика, продолжительность визитов, просмотренные страницы и т. д.). Возможна обработка IP‑адресов с последующим обезличиванием данных в соответствии с настройками сервиса.
• Яндекс Формы обеспечивают сбор и хранение данных, введённых пользователями в формах (ФИО, контактные данные, сведения об образовании и т. д.), с соблюдением требований к защите персональных данных.

2.5. Академия обязуется:

• соблюдать условия публичных оферт сервисов Яндекс Метрика и Яндекс Формы;
• обеспечивать локализацию хранения персональных данных пользователей на территории Российской Федерации (в соответствии с ч. 5 ст. 18 ФЗ № 152‑ФЗ);
• контролировать соответствие настроек сервисов требованиям Политики и законодательства РФ;
• уведомлять пользователей о применении сервисов Яндекс (через баннер о cookie и уведомление в формах);
• не передавать персональные данные, полученные через сервисы Яндекс, третьим лицам без согласия субъекта ПДн, за исключением случаев, предусмотренных законодательством РФ.

2.6. Согласие субъекта персональных данных на обработку данных через указанные сервисы считается полученным:

• при продолжении использования Сайта после отображения уведомления о применении cookie и сервисов аналитики;
• при заполнении и отправке форм на базе Яндекс Форм.

2.7. Трансграничная передача данных

Академия не осуществляет трансграничную передачу персональных данных, за исключением случаев, прямо предусмотренных законодательством РФ и с соблюдением всех установленных требований.

3. Правовые основания, объём и категории обрабатываемых персональных данных

Цели обработки ПДн	Категории ПДн	Способы обработки	Категории субъектов ПД	Перечень действий с ПДн	Правовые основания
Использование Сайта, предоставление информации об образовательных программах, научных мероприятиях и услугах Академии	ФИО, адрес электронной почты, номер телефона; IP‑адрес устройств, информация cookie, данные браузера и ОС, время доступа и история действий на Сайте, данные из Яндекс Метрики (поведение на сайте, источники трафика)	Автоматизированная обработка с передачей данных по информационно‑телекоммуникационным сетям (в т. ч. передача данных в Яндекс Формы и Яндекс Метрику)	Пользователи Сайта, абитуриенты, студенты, сотрудники, партнёры	Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (в т. ч. сервисам Яндекс), блокирование, удаление и уничтожение ПДн	ФЗ от 27.07.2006 № 149‑ФЗ; ФЗ от 27.07.2006 № 152‑ФЗ; Постановления от 01.11.2012 № 1119; Приказ ФСТЭК от 18.02.2013 № 21; локальные акты Академии; договоры с субъектами ПДн; согласие на обработку ПДн; условия публичных оферт сервисов Яндекс
Подача заявок через Яндекс Формы (на поступление, участие в мероприятиях, получение консультаций и т. д.)	ФИО, дата рождения, контактные данные, сведения об образовании, иные данные, указанные в форме	Автоматизированная обработка, включая передачу данных в Яндекс Формы	Абитуриенты, участники мероприятий, посетители консультаций	Аналогично выше	Аналогично выше
Анализ посещаемости и поведения пользователей на Сайте с помощью Яндекс Метрики	Анонимные и агрегированные данные, IP‑адреса (могут быть обезличены), данные о браузере и устройстве, источники переходов, продолжительность визитов	Автоматизированная обработка в Яндекс Метрике (с возможностью обезличивания данных)	Все посетители Сайта	Сбор и анализ обезличенных данных, хранение в соответствии с настройками Яндекс Метрики	Согласие на использование cookie и сервисов аналитики; ФЗ № 152‑ФЗ (в части обработки обезличенных данных); условия публичной оферты Яндекс Метрики

3.1. Сроки хранения данных

• данные абитуриентов — до 5 лет после подачи заявления;
• данные студентов — в течение всего периода обучения и 75 лет после отчисления/окончания;
• данные сотрудников — в течение трудовых отношений и 75 лет после увольнения;
• обезличенные данные Яндекс Метрики — до 3 лет.

3.2. Объём обрабатываемых данных

Академия обрабатывает персональные данные в объёме, строго необходимом для достижения заявленных целей обработки. Избыточные данные не собираются.

• Для абитуриентов: ФИО, дата рождения, сведения об образовании, контактные данные, документы, необходимые для поступления (согласно правилам приёма).
• Для студентов: данные личного дела, успеваемость, сведения о стипендии, место проживания в общежитии (при наличии), медицинские справки (при необходимости).
• Для сотрудников: паспортные данные, СНИЛС, ИНН, сведения о трудовой деятельности, образовании, квалификации, воинском учёте.
• Для посетителей сайта: только данные, добровольно предоставленные через формы (ФИО, email, телефон), а также обезличенные данные Яндекс Метрики.

3.3. Категории обрабатываемых персональных данных

В зависимости от категории субъекта и цели обработки Академия может обрабатывать следующие категории персональных данных:

• Общие персональные данные: ФИО, дата и место рождения, адрес, контактные данные, сведения об образовании и квалификации.
• Специальные категории данных: обрабатываются только с письменного согласия субъекта и в случаях, предусмотренных ч. 2 ст. 10 ФЗ № 152‑ФЗ (например, медицинские сведения для организации медицинского обслуживания студентов).
• Биометрические данные: не обрабатываются, за исключением случаев, прямо предусмотренных законодательством РФ и с соблюдением всех требований безопасности.
• Иные данные: IP‑адреса, cookie, данные о браузере и устройстве (используются только в обезличенном виде для аналитики).

Важно: Академия не собирает и не обрабатывает данные о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни субъектов ПДн, за исключением случаев, прямо предусмотренных законом.

4. Основные права и обязанности субъекта персональных данных

Субъект персональных данных имеет право:

• на получение информации о наличии его персональных данных и доступ к ним;
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• выдвигать возражения против обработки персональных данных в случаях, предусмотренных законодательством;
• отзывать согласие на обработку персональных данных;
• обжаловать действия или бездействие Академии в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

4.1. Порядок реализации прав

Для реализации своих прав субъект ПДн направляет запрос по электронной почте obrasheniya@amursma.su или почтовым отправлением по адресу Академии. Срок рассмотрения запроса — не более 30 календарных дней с момента получения.

5. Основные обязанности Академии

Академия обязуется:

• обрабатывать персональные данные в соответствии с целями, указанными в Политике;
• обеспечивать конфиденциальность персональных данных;
• принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий;
• уведомлять субъекта персональных данных о фактах неправомерного доступа к его персональным данным;
• прекратить обработку персональных данных при достижении целей обработки или при отзыве согласия субъекта.

5.2. Обязанности по обеспечению доступа сотрудников к закрытой части сайта

В рамках обеспечения доступа сотрудников к закрытой части сайта Академия обязана:

• Устанавливать чёткие правила доступа: определять категории сотрудников, которым предоставляется доступ, и объём данных, к которым они могут обращаться в соответствии с должностными обязанностями.
• Реализовывать механизмы аутентификации и авторизации: внедрять двухфакторную аутентификацию, систему ролей и прав доступа.
• Обеспечивать защиту данных: использовать шифрование (HTTPS), межсетевые экраны, антивирусную защиту, системы обнаружения вторжений.
• Вести логирование действий: фиксировать все входы в систему и операции с данными для последующего аудита.
• Проводить регулярный аудит доступа: проверять соответствие прав доступа текущим должностным обязанностям сотрудников не реже одного раза в квартал.
• Организовывать обучение: проводить инструктажи и тренинги по информационной безопасности для сотрудников, имеющих доступ к закрытой части сайта.
• Своевременно отзывать доступ: прекращать права доступа при увольнении сотрудника или изменении его должностных обязанностей.

5.3. Обязанности по обработке данных, полученных через формы обращений по электронной почте

При обработке данных, поступивших через формы обращений, Академия обязана:

• Регистрировать каждое обращение: вносить данные в журнал регистрации с указанием даты, времени поступления и идентификатора обращения.
• Проверять безопасность данных: проводить антивирусную проверку вложений и текста сообщений перед их обработкой.
• Распределять обращения: направлять запросы ответственным исполнителям в соответствии с компетенцией.
• Рассматривать обращения в установленные сроки: отвечать на запросы в течение 30 календарных дней (или в иной срок, предусмотренный законодательством).
• Обеспечивать защиту данных:
  • ограничивать доступ к базе данных с обращениями только для уполномоченных сотрудников;
  • использовать защищённые почтовые протоколы (SSL/TLS);
  • размещать данные на серверах с сертифицированными средствами защиты.
• Хранить данные в течение установленного срока: сохранять обращения и переписку 5 лет (согласно Приказу Росархива от 20.12.2019 № 236), после чего уничтожать.
• Соблюдать требования к обработке персональных данных: если обращение содержит персональные данные третьих лиц, обрабатывать их только с письменного согласия этих лиц (за исключением случаев, предусмотренных законом).

5.5. Обеспечение информирования субъектов персональных данных

Академия обязана:

• Размещать уведомление о согласии: при наличии форм сбора данных на сайте — обеспечивать отображение уведомления о том, что отправка формы означает согласие на обработку указанных персональных данных;
• Предоставлять доступ к Политике: размещать прямую и постоянно действующую ссылку на Политику конфиденциальности и обработки персональных данных в футере сайта и возле каждой формы сбора данных;
• Обновлять Политику: своевременно вносить изменения в Политику при обновлении законодательства или внутренних процедур обработки данных;
• Информировать об отзыве согласия: указывать в уведомлении способ отзыва согласия (направление письменного уведомления на it@amursma.su.

6. Условия обработки персональных данных

Обработка персональных данных осуществляется:

• с согласия субъекта персональных данных на обработку его персональных данных;
• в случаях, предусмотренных федеральными законами, и в порядке, установленном этими законами;
• для исполнения договора, стороной которого является субъект персональных данных;
• для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных.

6.1. Согласие на обработку персональных данных при отправке обращений

Отправка обращения через электронную форму на сайте amurgma.ru означает:

• осознанное и добровольное согласие субъекта персональных данных на обработку указанных в обращении данных;
• подтверждение ознакомления с Политикой конфиденциальности и обработки персональных данных ФГБОУ ВО Амурская ГМА Минздрава России;
• понимание целей, объёма и способов обработки данных, указанных в настоящей Политике.

Важно: согласие действует до момента его письменного отзыва, направленного на адрес it@amursma.su

7. Основания для прекращения обработки данных

Обработка персональных данных прекращается:

• по достижении целей обработки;
• при отзыве согласия субъекта персональных данных (если согласие является правовым основанием обработки);
• при установлении факта неправомерной обработки персональных данных;
• по истечении установленных сроков хранения данных;
• в иных случаях, предусмотренных законодательством РФ.

8. Сроки обработки и хранения персональных данных

Персональные данные хранятся:

• не дольше, чем этого требуют цели их обработки;
• в соответствии с требованиями законодательства РФ о сроках хранения документов;
• до момента отзыва субъектом персональных данных своего согласия на обработку (если согласие — единственное правовое основание обработки).

9. Актуализация, исправление, удаление и уничтожение персональных данных

По запросу субъекта персональных данных Академия:

• уточняет персональные данные;
• блокирует или удаляет неактуальные, неточные или незаконно полученные данные;
• уничтожает персональные данные по истечении сроков хранения или при достижении целей обработки.

10. Ответственность сторон

Стороны несут ответственность за неисполнение или ненадлежащее исполнение своих обязательств в соответствии с законодательством Российской Федерации.

11. Обращения субъектов персональных данных

11.1. Академия рассматривает обращения, связанные с Политикой, включая запросы субъектов персональных данных относительно использования их данных, по почтовому или электронному адресу Академии .

11.2. Запрос должен содержать сведения, указанные в ч. 3 ст. 14 Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных».

11.3. Срок ответа на поступившие обращения субъектов персональных данных определяется в соответствии с законодательством Российской Федерации.

12. Меры, направленные на обеспечение безопасности данных при их обработке

Академия принимает следующие меры для обеспечения безопасности персональных данных:

• назначение ответственного лица за обеспечение безопасности данных;
• ограничение доступа к данным в соответствии с принципом «необходимо знать»;
• использование средств защиты информации, прошедших сертификацию в соответствии с требованиями ФСТЭК России;
• регулярное обновление антивирусного ПО и других средств защиты;
• обучение сотрудников, имеющих доступ к персональным данным;
• регулярное резервное копирование критически важных данных.

Меры реализуются в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119 и Приказами ФСТЭК России.

13. Заключительные положения

13.1. К Политике и отношениям между субъектом персональных данных и Академией применяется законодательство Российской Федерации.

13.2. Академия вправе в любой момент изменить Политику, опубликовав соответствующие изменения. Новая редакция Политики вступает в силу с момента её размещения на Сайте.

Положение по обработке файлов cookie

Настоящее Положение по обработке файлов cookie определяет основы использования Федеральным государственным бюджетным образовательным учреждением высшего образования «Амурская государственная медицинская академия» Министерства здравоохранения Российской Федерации (ИНН: 2801031068, адрес: 675000, Амурская обл., г. Благовещенск, ул. Горького, д. 95, далее — Академия) файлов cookie при посещении официального сайта amursma.ru, администрируемого Академией (далее совместно — Сайт), и является неотъемлемой частью Положения по обработке и защите персональных данных, которое, в свою очередь, определяет принципы, цели и способы обработки персональных данных пользователей Сайта.