Общая политика обработки персональных данных

ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ Портал ГПА Ялта и связанные информационные системы Проект от 05.10.2026 для согласования. Не является утверждённой редакцией и не заменяет ранее размещённую политику. Текст описывает предлагаемый порядок обработки; соответствие фактических настроек и внутренних документов проверяется до его введения в действие. Перечень открытых вопросов приведён в отдельном файле «Перед публикацией». 1. Оператор и область действия 1.1. Оператором персональных данных в рамках настоящей Политики является федеральное государственное автономное образовательное учреждение высшего образования «Крымский федеральный университет имени В. И. Вернадского» (далее – Университет, Оператор). ОГРН: 1149102048578. Адрес: 295007, Российская Федерация, Республика Крым, г. Симферополь, проспект Академика Вернадского, д. 4. 1.2. Политика определяет порядок обработки и защиты персональных данных в информационных системах, используемых Университетом для деятельности Гуманитарно-педагогической академии в г. Ялте: на Портале ГПА Ялта https://gpayalta.ru, в сервисах «Расписание», «ЦИТ», «ДОТ», «ЭОРы», связанных учебных кабинетах и административных модулях, включённых в перечень систем Оператора. Прежний адрес портала – gpayalta.com. Работающие архивы и прежние адреса включаются в область действия при сохранении обработки данных Оператором. 1.3. Политика применяется к автоматизированной и смешанной обработке данных посетителей, пользователей, поступающих, обучающихся, работников, авторов, участников мероприятий, заявителей и их представителей. Она не распространяется автоматически на сторонние сайты только потому, что на них ведёт ссылка с портала, либо на самостоятельные проекты других операторов. 1.4. ЦИТ осуществляет техническое сопровождение в пределах полномочий, установленных Университетом. Назначение сотрудника администратором системы не означает признания его самостоятельным оператором данных. Политика применяется совместно с действующими локальными актами Университета и не заменяет их. 1.5. Контакты по вопросам обработки, уточнения, удаления данных и отзыва согласия: основной адрес – me@gallini-pro.ru; дополнительный – gallini.nadi@yandex.ru. Почтовое обращение можно направить Оператору по адресу из пункта 1.1 с пометкой «Персональные данные. Портал ГПА Ялта». В обращении рекомендуется указать соответствующий сервис и способ обратной связи. 2. Принципы и основания обработки 2.1. Обработка ограничивается конкретными, заранее определёнными и законными целями. Для каждой цели используются только необходимые данные. Не допускаются избыточный сбор, объединение баз с несовместимыми целями и хранение дольше необходимого срока. Оператор обеспечивает точность данных и возможность их исправления. 2.2. Основания обработки определяются отдельно для каждого процесса: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральный закон от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации», трудовое, гражданское, архивное законодательство и иные применимые нормы; договор с субъектом либо его инициатива заключить договор; согласие субъекта в случаях, когда оно требуется. Локальные акты и технические задания конкретизируют порядок работы, но не создают самостоятельного основания для любой обработки. 2.3. Ознакомление с Политикой, посещение сайта, включённые cookie или JavaScript, а также принятие пользовательского соглашения сами по себе не являются согласием на все виды обработки. Когда основанием служит согласие, оно оформляется отдельно от иных подтверждаемых документов. Оператор сохраняет доказательства его получения, содержание и версию согласия, дату, способ подтверждения и сведения, позволяющие связать действие с субъектом. 2.4. Отказ от необязательной аналитики, рекламных сообщений или необязательной публичной публикации данных не должен препятствовать доступу к основному сервису. Если определённые данные необходимы для предоставления услуги либо исполнения закона, последствия их непредоставления разъясняются до сбора. 3. Цели, категории субъектов и состав данных 3.1. Учётные записи и управление доступом Цель: создание и сопровождение учётной записи, проверка полномочий, вход, восстановление доступа и защита кабинета. Субъекты: пользователи, обучающиеся, работники, участники мероприятий и администраторы. Данные: ФИО, логин, email, идентификатор учётной записи, роль, принадлежность к подразделению или учебной группе, сведения о состоянии учётной записи, данные аутентификации, время и результат входа. Телефон используется только в сервисе, где он необходим для заявленной функции. Основания: исполнение образовательных или трудовых обязанностей Оператора, договора с субъектом либо отдельное согласие для добровольного сервиса. Срок: период предоставления доступа. После его прекращения отдельно сохраняются только сведения, для которых остаётся законное основание и установленный срок; сроки журналов определяются в пункте 3.8. 3.2. Расписание и организация учебной работы Цель: составление, согласование и доведение расписания до пользователей, распределение нагрузки, рассмотрение замечаний и исправление ошибок. Субъекты: преподаватели, сотрудники, обучающиеся, если сведения относятся к конкретному обучающемуся. Данные: ФИО преподавателя, подразделение, дисциплина, нагрузка, время и место занятий, связь с группами, сведения об авторе замечания, содержание замечания и история его рассмотрения. Основания: образовательное и трудовое законодательство, соответствующие договорные отношения; для публичного раскрытия – самостоятельное основание, указанное в разделе 5. Срок: период организации соответствующего учебного процесса; архивные документы хранятся по применимой номенклатуре дел. Архив не означает сохранения бессрочного публичного доступа. 3.3. Электронные образовательные ресурсы и учебные кабинеты Цель: предоставление материалов, приём и проверка учебных работ, тестирование, обратная связь и учёт результатов обучения. Субъекты: обучающиеся, преподаватели, авторы материалов и уполномоченные сотрудники. Данные: ФИО, email, учебная группа, курс и дисциплина, направленные ответы, работы и файлы, время сдачи, попытки тестирования, баллы, оценки и комментарии преподавателя; сведения об авторстве учебных материалов. Основания: осуществление образовательной деятельности и исполнение образовательного договора; для добровольных дополнительных функций – соответствующее согласие либо договорное основание. Срок: период изучения дисциплины и проверки результатов; дальнейшее хранение документов об обучении определяется обязательными сроками и номенклатурой дел. Доступ к индивидуальным результатам ограничивается самим обучающимся и уполномоченными лицами. 3.4. ЦИТ, техническая поддержка и обращения Цель: регистрация и исполнение заявок, устранение неисправностей, сопровождение оборудования и систем, направление ответа заявителю. Субъекты: заявители, работники, пользователи и исполнители заявок. Данные: ФИО, должность и подразделение, контактный адрес, при необходимости телефон, содержание обращения, относящиеся к проблеме технические сведения и вложения, исполнитель, статус и переписка. Основания: обеспечение деятельности Университета, исполнение договора либо согласие при добровольном обращении, если иного основания нет. Срок: до исполнения обращения и завершения связанных процедур; последующее хранение – только в пределах применимого срока для соответствующего вида обращения или служебного документа. Пользователю не следует включать во вложения пароли, полные копии баз данных или документы посторонних лиц, если они не требуются для решения задачи и их передача не согласована законным способом. 3.5. ДОТ и другие научные и образовательные мероприятия Цель: регистрация и сопровождение участия, рассмотрение докладов и статей, рецензирование, подготовка программы, сертификатов, дипломов и сборников, организационная переписка, оформление договоров и подтверждений оплаты. Субъекты: участники, авторы и соавторы, научные руководители, рецензенты и члены оргкомитета. Данные: ФИО, контакты, организация, должность, учёная степень и звание, статус обучающегося, форма участия, секция, тема и текст работы, сведения о соавторах и научном руководителе, рецензии, результаты рассмотрения; договорные и платёжные сведения только в необходимом объёме. Основания: заключение и исполнение договора участия или публикации, согласие для соответствующих добровольных действий, исполнение обязательных учётных требований. Публикация персональных данных рассматривается отдельно от рассмотрения заявки. Срок: до завершения мероприятия, выдачи документов и исполнения обязательств; договорные и учётные документы сохраняются в установленные законом сроки. Для программы, сборника и иных публичных материалов определяются отдельные основание и период распространения. Партнёрство организации в конференции само по себе не даёт ей доступа к базе участников. Данные соавтора принимаются при наличии основания для их получения и использования; отправка статьи одним автором не заменяет требуемого согласия других лиц. 3.6. Приёмная комиссия и сопровождение контингента Цель: рассмотрение заявлений о приёме, проверка права на поступление и льготы, оформление зачисления и предусмотренный законом учёт обучающихся. Субъекты: поступающие, обучающиеся и представители в необходимых случаях. Данные: ФИО, пол, дата рождения, гражданство, паспортные сведения, контакты, сведения об образовании, результаты вступительных испытаний и ЕГЭ, достижения и участие в олимпиадах, сведения о целевом обучении и льготах; иные обязательные сведения только в объёме действующих правил приёма и законодательства. Основания: действующее законодательство об образовании и приёме, соответствующий договор, а также специальные основания для отдельных категорий данных. Приказ о вводе системы в эксплуатацию не заменяет эти основания. Срок: по действующим требованиям к документам приёмной комиссии и личным делам. Завершение приёмной кампании не означает ни автоматического удаления обязательного архива, ни бессрочного хранения всех рабочих копий. 3.7. Внутренние административные модули Цель: кадровое и учебное сопровождение, распределение нагрузки, ведение электронных журналов, подготовка предусмотренной деятельности Университета отчётности и учёт научной работы. Субъекты: работники, обучающиеся и иные лица в пределах конкретного процесса. Данные: идентификационные и служебные сведения, образование и квалификация, должность, нагрузка, результаты обучения и научной деятельности. Паспортные сведения, СНИЛС, ИНН, семейные сведения и документы воинского учёта допускаются исключительно в тех модулях и объёмах, где обязанность или иное законное основание отдельно установлены. Основания и сроки: применимые требования образовательного, трудового, налогового, архивного законодательства и законодательства о воинском учёте, соответствующие договоры. Перед включением каждого модуля утверждается его перечень данных, допущенных ролей и конкретных сроков хранения. Этот пункт не разрешает собирать все перечисленные сведения во всех сервисах. 3.8. Техническая работоспособность и безопасность Цель: доставка страниц, поддержание сеанса, предотвращение неправомерного доступа, диагностика ошибок и расследование инцидентов. Субъекты: посетители и пользователи систем. Данные: IP-адрес, дата и время запроса, запрошенный адрес, сведения о браузере и устройстве, идентификатор сеанса или пользователя, технические ошибки, события доступа и изменения данных. Состав журналов ограничивается необходимым для безопасности объёмом. Основания: исполнение обязанностей по защите данных, обеспечение запрошенного пользователем сервиса и защита законных интересов при соблюдении прав субъекта. Срок: конкретный период для каждого вида журнала устанавливается регламентом хранения; материалы подтверждённого инцидента сохраняются на период его рассмотрения и обязательного документирования. Журналы не используются как бессрочный архив поведения пользователей. 3.9. Аналитика посещаемости Цель: оценка использования страниц и улучшение интерфейса. Субъекты: посетители страниц с подключённой аналитикой. Данные: технические идентификаторы и cookie, сведения об устройстве и браузере, посещённых страницах, источниках перехода и взаимодействиях; IP-адрес и производные сведения в объёме фактической конфигурации сервиса. Основание предлагаемого порядка: отдельное предварительное согласие на необязательную аналитику. Срок определяется настройками счётчика и сроками соответствующих cookie, которые публикуются в уведомлении об аналитике после проверки конфигурации. Отзыв прекращает дальнейший сбор; ранее собранные данные обрабатываются по правилам прекращения обработки. 3.10. OCR, интеллектуальные помощники и исследовательские функции Цель: выполнение выбранной пользователем операции распознавания или обработки материала; исследовательское использование выделяется в самостоятельную цель. Данные: содержимое запроса, файла и результата, сведения об учётной записи, если функция требует входа. Объём и срок хранения зависят от конкретного сервиса и указываются до загрузки. Основания: исполнение запрошенной услуги на соответствующем законном основании; обработка для исследования требует отдельной оценки основания и необходимости обезличивания. Регистрация НИОКТР не даёт разрешения использовать все данные пользователей для обучения моделей. Передача документов внешней модели или API допускается только после определения получателя, состава данных, основания и условий передачи. При отсутствии этих условий ввод персональных данных в такую функцию должен быть исключён. Решения, затрагивающие права пользователя, не принимаются исключительно автоматически без предусмотренного законом основания и необходимых гарантий. 4. Источники и способы обработки 4.1. Данные поступают от субъекта или его уполномоченного представителя, от уполномоченных работников и информационных систем Университета на законном основании, а также формируются при использовании сервиса. Получение сведений из общедоступного источника не означает разрешения на любое последующее использование. 4.2. В пределах конкретной цели выполняются сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление доступа, передача уполномоченному получателю, обезличивание, блокирование, удаление и уничтожение. Распространение не входит автоматически в каждую из целей и осуществляется по разделу 5. 4.3. Специальные категории данных, в том числе сведения о здоровье и инвалидности, обрабатываются только при наличии основания, предусмотренного статьёй 10 закона № 152-ФЗ, в необходимом объёме и с ограничением доступа. Такие сведения могут содержаться в документах о льготах; их нельзя без проверки отнести к обычным данным. Фотографии не признаются биометрическими автоматически: если они используются для установления личности, отдельно применяются требования статьи 11. 4.4. При участии несовершеннолетнего проверяются применимые основания обработки и полномочия представителя в случаях, когда участие представителя необходимо. Не устанавливается единое правило о самостоятельном согласии для любого возраста и любого сервиса. 5. Публичные сведения и передача получателям 5.1. Размещение ФИО, фотографий, сведений об авторах, участниках, результатах и иных данных в открытом доступе допускается при наличии обязанности по закону либо другого применимого основания. Когда требуется согласие на обработку данных, разрешённых для распространения, оно оформляется отдельно по статье 10.1 закона № 152-ФЗ, с указанием данных, условий и запретов. Молчание и отсутствие возражений таким согласием не являются. 5.2. Работники получают доступ в пределах должностных обязанностей. Статус администратора не предоставляет права использовать данные для собственных целей. Пользователи учебных кабинетов и участники конференции не получают доступ к чужим контактам, работам, документам и результатам без установленного основания. 5.3. Передача государственным органам и информационным системам выполняется в пределах предусмотренных законом обязанностей. Передача издателю, подрядчику, организатору мероприятия или иному внешнему лицу допускается после определения конкретного получателя, цели, состава данных и правового основания. 5.4. Поручение обработки оформляется договором или иным предусмотренным законом основанием с требованиями к операциям, целям, конфиденциальности, защите данных и исполнению обязанностей. Оператор сохраняет ответственность перед субъектом в установленном законом объёме. Политика стороннего сервиса не освобождает Оператора от собственных обязанностей. 5.5. Для аналитики используется сервис «Яндекс Метрика». Его поставщик по опубликованным условиям – ООО «ЯНДЕКС», г. Москва, ул. Льва Толстого, д. 16. Условия: https://yandex.ru/legal/metrica_termsofuse/ru/ ; политика конфиденциальности: https://yandex.ru/legal/confidential/ . Перечень остальных внешних получателей и обработчиков, их адреса, цели и состав передаваемых сведений подлежит заполнению по фактическим договорам до публикации настоящего проекта. 6. Cookie и внешние компоненты 6.1. Необходимые технические cookie используются для выбранных пользователем функций, аутентификации и безопасности. Их отключение средствами браузера может препятствовать работе личного кабинета. Они не должны объединяться с необязательной аналитикой в одно принудительное согласие. 6.2. Для необязательной аналитики предусматриваются равнодоступные действия согласия и отказа, отсутствие предварительного выбора и возможность изменить решение. До получения согласия аналитические запросы не должны отправляться. Реализация этого порядка проверяется отдельно от публикации текста Политики. 6.3. Вебвизор и аналогичные средства записи действий не должны записывать персональные данные из кабинетов, форм, работ, платёжных и идентификационных документов. Подключение каждой функции требует проверки маскирования и исключений; при невозможности исключить запись функция отключается. 6.4. Внешние видео, виджеты, облачные редакторы, сервисы ИИ и другие встраиваемые компоненты проверяются на передачу данных. До их подключения пользователь получает сведения о получателе и целях, а требуемое согласие оформляется отдельно. Самостоятельный переход по внешней ссылке отличается от автоматической передачи данных встроенному компоненту. 7. Место обработки и трансграничная передача 7.1. При сборе персональных данных граждан Российской Федерации соблюдаются действующие требования части 5 статьи 18 закона № 152-ФЗ к использованию баз данных на территории Российской Федерации, с учётом предусмотренных законом исключений. Местонахождение основных баз, резервных копий и инфраструктуры привлечённых лиц проверяется и документируется до эксплуатации соответствующей обработки. 7.2. Трансграничная передача рассматривается отдельно для каждого сервиса и получателя. До её начала выполняются требования статьи 12 закона № 152-ФЗ, включая отдельное уведомление Роскомнадзора и соблюдение применимых ограничений. Общее согласие с Политикой не заменяет эту процедуру. Наличие иностранных партнёров конференции или иностранного программного продукта само по себе не подтверждает и не исключает фактическую передачу данных. 8. Сроки хранения и прекращение обработки 8.1. Для каждой цели из раздела 3 утверждается срок либо однозначное условие окончания обработки, включая рабочие базы, выгрузки, журналы и резервные копии. Обязательное архивное хранение применяется к соответствующим документам, а не автоматически ко всем копиям сведений в сервисах. Конкретные сроки и ссылки на номенклатуру дел в настоящем проекте требуют заполнения до публикации. 8.2. По достижении цели или отзыве согласия обработка прекращается, а данные уничтожаются в предусмотренный законом срок, как правило не позднее 30 дней, если отсутствуют предусмотренные законом основания продолжить хранение или обработку. При сохранении основания Оператор разъясняет его субъекту и ограничивает использование соответствующей целью. 8.3. При выявлении неправомерной обработки она прекращается в срок не более трёх рабочих дней; если обеспечить правомерность невозможно, данные уничтожаются в срок не более десяти рабочих дней с даты выявления. Неточные данные уточняются в течение семи рабочих дней со дня представления подтверждающих сведений. Блокирование и уведомления выполняются по статье 21 закона № 152-ФЗ. 8.4. Уничтожение производится способом, исключающим восстановление данных в соответствующем носителе или системе, и подтверждается в установленном порядке. Порядок охватывает порученных обработчиков и резервные копии. Если своевременное уничтожение невозможно, применяются блокирование и дальнейшее уничтожение в сроки и на условиях закона. После восстановления из резервной копии ранее исполненные требования об удалении должны учитываться повторно. 9. Права субъекта и обращения 9.1. Субъект вправе получить сведения об обработке, её основаниях и целях, составе данных, источниках, получателях и сроках; требовать уточнения, блокирования или уничтожения данных в предусмотренных законом случаях; отозвать согласие; требовать прекращения обработки в установленном порядке; обжаловать действия Оператора в Роскомнадзоре или суде. 9.2. Запросы направляются по контактам пункта 1.5. Оператор проверяет личность заявителя и полномочия представителя соразмерным способом. Для формального запроса о доступе применяются требования статьи 14 закона № 152-ФЗ. Направлять полный скан паспорта по обычной электронной почте без необходимости и согласованного защищённого способа не следует. 9.3. Информация по запросу о наличии и обработке данных предоставляется в течение десяти рабочих дней. Допускается продление не более чем на пять рабочих дней с мотивированным уведомлением. Для требования прекратить обработку и иных обращений применяются специальные сроки и исключения закона; один общий срок не подменяет их. 9.4. Отзыв согласия на аналитику, рассылку или распространение рассматривается отдельно от обработки, необходимой по закону либо договору. Удаление личного кабинета не отменяет обязательное хранение документов, а наличие обязанности хранить документы не разрешает продолжать необязательную аналитику или рассылку. 10. Защита данных и организационные меры 10.1. Оператор организует разграничение доступа, учёт уполномоченных лиц, защиту учётных записей и каналов передачи, регистрацию значимых событий, резервное копирование, восстановление, актуализацию программного обеспечения, контроль действий привлечённых обработчиков и обучение работников. Состав фактически реализованных мер определяется для каждой системы с учётом угроз и требований законодательства. 10.2. При выявлении инцидента принимаются меры по ограничению последствий, расследованию и устранению причин. В случаях, предусмотренных частью 3.1 статьи 21 закона № 152-ФЗ, Роскомнадзор уведомляется в течение 24 часов, результаты внутреннего расследования направляются в течение 72 часов с момента выявления инцидента. 11. Изменения и подключение новых систем 11.1. Политика размещается по единому адресу https://gpayalta.ru/policy.aspx. Доступная ссылка на неё размещается в каждом охватываемом сервисе и возле форм сбора данных. В интерфейсах не используются незаполненные шаблонные страницы конфиденциальности. 11.2. Новый сервис включается в область действия после установления оператора, цели, субъектов, перечня данных, основания, получателей, способов и сроков обработки, мер защиты и необходимых согласий. Наличие сервиса на том же домене не разрешает автоматически новые цели обработки. 11.3. При изменении целей, состава данных или получателей Политика и связанные документы актуализируются до начала соответствующей обработки. Новая редакция не расширяет ранее данное согласие автоматически. Дата вступления в силу и реквизиты утверждения указываются после принятия документа уполномоченным лицом.