Политика обработки и защиты персональных данных

Редакция от 15.10.2026 (версия 2026-10)

1. Общие положения

1.1. Настоящая Политика разработана во исполнение п. 2 ч. 1 и ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и определяет порядок обработки и меры по защите персональных данных в веб-сервисе «С.Н.О.У. — Система научной организации и управления данными» (далее — «Сервис»), доступном по адресу http://snou-epid.ru.

1.2. Оператор: [Полное наименование оператора], ИНН [ИНН], ОГРН [ОГРН], адрес: [Юридический адрес], электронная почта для обращений по вопросам персональных данных: [privacy@example.ru]. Регистрационный номер в реестре операторов, осуществляющих обработку персональных данных: [номер в реестре операторов ПДн].

1.3. Ответственный за организацию обработки персональных данных (ст. 22.1 152-ФЗ): [ФИО и должность ответственного], [privacy@example.ru].

1.4. Политика опубликована в открытом доступе на страницах Сервиса, с использованием которых осуществляется сбор персональных данных (ч. 2 ст. 18.1 152-ФЗ).

1.5. Основные понятия используются в значениях, установленных ст. 3 152-ФЗ.

2. Правовые основания обработки

2.1. Обработка осуществляется на основании:

Конституции РФ (ст. 23, 24);
152-ФЗ; Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» (в части врачебной тайны и информированного добровольного согласия);
Пользовательского соглашения (п. 5 ч. 1 ст. 6 152-ФЗ — исполнение договора, стороной которого является субъект);
согласия субъекта на обработку персональных данных, оформленного отдельно от иных документов (п. 1 ч. 1 ст. 6, ст. 9 152-ФЗ);
поручения оператора — исследовательского центра или исследователя — на обработку персональных данных участников исследований (ч. 3 ст. 6 152-ФЗ);
для специальных категорий персональных данных (сведения о состоянии здоровья) — оснований, предусмотренных ч. 2 ст. 10 152-ФЗ, прежде всего письменного согласия субъекта, полученного исследовательским центром.

3. Цели, категории субъектов, состав данных и сроки

№	Цель обработки	Субъекты	Персональные данные	Основание	Срок хранения
1	Регистрация и идентификация Пользователя, предоставление доступа к Сервису	Пользователи	ФИО, логин, хеш пароля, адрес электронной почты, кафедра (место работы или учёбы), должность, персональный код	Согласие; исполнение Пользовательского соглашения	До удаления учётной записи и 30 дней после
2	Организация совместной работы над исследованиями	Пользователи	ФИО, должность, персональный код (видны Автору протокола и членам команды)	Исполнение Пользовательского соглашения	До удаления учётной записи
3	Обеспечение безопасности, расследование инцидентов, подтверждение данного согласия	Пользователи	IP-адрес, дата и время входа, неудачные попытки входа, записи журнала аудита, дата, версия и IP-адрес при даче согласия	Согласие; ч. 1 ст. 19 152-ФЗ (обязанность обеспечивать безопасность)	Журнал аудита — 3 года; журналы событий безопасности на сервере — 90 дней; сведения о согласии — 3 года после его отзыва
4	Предоставление функций сбора и анализа данных исследований (по поручению)	Участники исследований (пациенты, добровольцы)	Код участника, возраст, пол, даты визитов, сведения о состоянии здоровья, назначенной группе, исходах и нежелательных явлениях, дополнительные показатели, заданные исследователем	Поручение оператора — исследовательского центра (ч. 3 ст. 6), ч. 2 ст. 10 152-ФЗ	До окончания исследования и срока хранения, установленного исследовательским центром, но не дольше срока действия поручения
5	Ответы на обращения субъектов и Пользователей	Пользователи, заявители	ФИО, адрес электронной почты, содержание обращения	Согласие; исполнение обязанностей по ст. 14, 20 152-ФЗ	3 года

3.2. Оператор не обрабатывает биометрические персональные данные (ст. 11 152-ФЗ), а также сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни и судимости. Загрузка таких данных в Сервис запрещена Пользовательским соглашением.

3.3. Сервис рассчитан на внесение данных участников исследований в псевдонимизированном виде (код участника вместо ФИО). Модуль рандомизированных исследований не предусматривает ввод ФИО участника.

3.4. Оператор не принимает решений, порождающих юридические последствия для субъекта, на основании исключительно автоматизированной обработки (ст. 16 152-ФЗ). Статистические расчёты и рандомизация выполняются в научных целях по решению исследователя.

4. Порядок и условия обработки

4.1. Оператор осуществляет следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ) членам команды исследования, обезличивание, блокирование, удаление, уничтожение.

4.2. Обработка осуществляется с использованием средств автоматизации.

4.3. Локализация. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Хостинг: [хостинг-провайдер и адрес ЦОД в РФ].

4.4. Трансграничная передача персональных данных Оператором не осуществляется. Для работы ИИ-ассистента используется языковая модель GigaChat (ПАО Сбербанк, РФ); персональные данные в ИИ-ассистент не передаются. Запросы в базу PubMed содержат только тему исследования.

4.5. Доступ к данным исследований имеют только Автор протокола и Исследователи, которым он предоставил доступ. Сотрудники Оператора получают доступ только для устранения технических сбоев по обращению Пользователя или по требованию закона; такой доступ фиксируется в журнале.

4.6. Передача третьим лицам допускается только с согласия субъекта или по требованию закона (запросы суда, органов прокуратуры и иных уполномоченных органов). Оператор может поручить обработку хостинг-провайдеру на основании договора, соответствующего ч. 3 ст. 6 152-ФЗ.

4.7. Файлы cookie. Сервис использует только технически необходимые cookie: для входа в учётную запись (sessionid), защиты форм от подделки запросов (csrftoken), одноразовых уведомлений (messages), защиты анонимной анкеты от повторной отправки (snou_s<номер>) и запоминания закрытого уведомления о cookie (cookie_notice). Назначение и сроки хранения каждого cookie, а также данные, которые страницы сохраняют в браузере (черновик ответов анкеты, настройки выгрузки графиков), приведены в Политике использования файлов cookie: http://snou-epid.ru/legal/cookies/. Аналитические и рекламные cookie, а также сторонние счётчики посещаемости не используются. Сессия завершается при закрытии браузера и не длится более 8 часов.

4.8. Все файлы, необходимые для работы страниц Сервиса (шрифты, скрипты, библиотека интерактивных графиков), загружаются с серверов Оператора. Сети доставки контента третьих лиц не используются, и IP-адрес посетителя им не передаётся.

4.9. Журналы и резервные копии. События безопасности (входы, неудачные попытки входа, блокировки, изменение доступа, выгрузки данных) записываются в журналы на сервере Оператора вместе с IP-адресом и логином; журналы доступны только администратору сервера и хранятся 90 дней. Резервные копии базы данных хранятся в зашифрованном виде не дольше 6 месяцев; данные, удалённые из Сервиса, исчезают из резервных копий по истечении этого срока.

5. Права субъектов персональных данных

5.1. Субъект вправе (ст. 14–17, 21 152-ФЗ):

получить сведения об обработке своих персональных данных;
требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели;
отозвать согласие на обработку персональных данных;
обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.

5.2. Запрос направляется на [privacy@example.ru] или по адресу [Юридический адрес] и должен содержать сведения, позволяющие идентифицировать субъекта (ч. 3 ст. 14 152-ФЗ). Оператор отвечает в течение 10 рабочих дней с даты получения запроса. Срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления.

5.3. При отзыве согласия Оператор прекращает обработку и уничтожает данные в срок, не превышающий 10 рабочих дней с даты поступления отзыва, если иное не предусмотрено законом или договором, стороной которого является субъект (ч. 5 ст. 21 152-ФЗ). Отзыв согласия на обработку данных Пользователя означает удаление учётной записи.

5.4. Участники исследований направляют запросы в исследовательский центр, который является оператором их данных. Оператор Сервиса содействует исследовательскому центру в исполнении таких запросов в соответствии с поручением. Если запрос поступил Оператору Сервиса напрямую, он в течение 3 рабочих дней пересылает его соответствующему исследовательскому центру и уведомляет об этом заявителя.

6. Меры по защите персональных данных

6.1. Оператор принимает правовые, организационные и технические меры в соответствии со ст. 18.1 и 19 152-ФЗ, постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», приказом ФСТЭК России от 18.02.2013 № 21, приказом ФСБ России от 10.07.2014 № 378.

6.2. Организационные меры: назначение ответственного за организацию обработки персональных данных; утверждение локальных актов по вопросам обработки и защиты; определение уровня защищённости информационной системы и актуальных угроз; ознакомление работников с требованиями законодательства; внутренний контроль и аудит.

6.3. Технические меры, реализованные в Сервисе:

разграничение доступа: данные протокола доступны только его Автору и Исследователям; управление командой — только Автору;
псевдонимизация участников рандомизированных исследований;
хранение паролей только в виде криптографического хеша (PBKDF2), требования к сложности пароля, блокировка после 5 неудачных попыток входа;
шифрование канала связи (HTTPS/TLS, HSTS), защищённые cookie, защита от CSRF, XSS и кликджекинга, политика безопасности содержимого (CSP);
неизменяемый журнал аудита действий с данными (просмотр, создание, импорт, выгрузка, рандомизация, выдача и отзыв доступа);
запрет кэширования страниц с данными в браузере;
резервное копирование и контроль целостности базы данных;
хранение секретов (ключей, паролей к внешним сервисам) вне исходного кода.

6.4. Инциденты. При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных Оператор (ч. 3.1 ст. 21 152-ФЗ):

в течение 24 часов уведомляет Роскомнадзор об инциденте, его предполагаемых причинах, вреде и принятых мерах, а также назначенном контактном лице;
в течение 72 часов уведомляет Роскомнадзор о результатах внутреннего расследования и лицах, действия которых стали причиной инцидента (при наличии);
уведомляет затронутых Пользователей и исследовательские центры, а также взаимодействует с ГосСОПКА в установленном порядке.

7. Сроки обработки и уничтожение

7.1. Персональные данные обрабатываются не дольше, чем этого требуют цели обработки, и уничтожаются по достижении целей, при утрате необходимости в их достижении, по истечении срока согласия или при его отзыве, если иное не предусмотрено законом.

7.2. Сведения о состоянии здоровья прекращают обрабатываться незамедлительно после достижения целей обработки (ч. 4 ст. 10 152-ФЗ).

7.3. Уничтожение подтверждается актом и (или) выгрузкой из журнала событий в соответствии с приказом Роскомнадзора от 28.10.2022 № 179.

8. Заключительные положения

8.1. Политика пересматривается при изменении законодательства и не реже одного раза в год. Новая редакция вступает в силу с момента публикации.

8.2. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством РФ.

8.3. Контроль за соблюдением законодательства о персональных данных осуществляет Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), сайт: rkn.gov.ru.