Blank page

1. Общие положения

Настоящая политика относится к веб-сервису учёта лабораторных реактивов факультета экотехнологий Университета ИТМО и дополняет общие документы Университета ИТМО в области обработки персональных данных.

Оператор: Федеральное государственное автономное образовательное учреждение высшего образования «Национальный исследовательский университет ИТМО» (Университет ИТМО), адрес: 197101, Россия, Санкт-Петербург, Кронверкский проспект, дом 49, литера А.

Обработка выполняется в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», иными применимыми нормативными актами и локальными документами Университета ИТМО.

Регистрация добровольна, но без необходимых регистрационных данных невозможно идентифицировать пользователя, вести персональный журнал операций и предоставлять доступ к сервису.

2. Какие данные обрабатываются

логин, фамилия, имя и отчество при наличии;
номер телефона и адрес электронной почты;
защищённый хеш пароля; открытый пароль в хранилище не записывается;
роль, статус аккаунта, отметки подтверждения почты и принятия политики;
действия с реактивами: выбранная бутылка, масса, количество, цель использования, комментарий, дата и время;
для прекурсоров: сведения, включаемые в заявление и справку об использовании;
технические сведения безопасности: IP-адрес, тип браузера, дата, время, результат входа и административные действия.

Сервис не предназначен для обработки специальных категорий персональных данных или биометрических персональных данных.

3. Цели и основания

регистрация, подтверждение почты, вход и восстановление управляемого доступа;
идентификация лица, выполнившего списание, пополнение или изменение карточки реактива;
ведение лабораторного и строгого учёта прекурсоров, формирование заявлений, справок и отчётных PDF;
обеспечение информационной безопасности, расследование ошибок и несанкционированных действий;
исполнение требований законодательства и локальных актов Университета ИТМО.

Основаниями обработки являются согласие субъекта персональных данных, выполнение функций и обязанностей оператора, а также исполнение требований законодательства в случаях, когда они применимы.

4. Порядок обработки

С данными могут выполняться сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление уполномоченным сотрудникам, блокирование, удаление и уничтожение. Обработка преимущественно автоматизированная.

Доступ получают только пользователи и администраторы в пределах назначенной роли. Администраторы лаборатории могут управлять статусом аккаунтов, сбрасывать временные пароли, просматривать журнал действий и отчётные документы.

Данные не публикуются и не передаются неопределённому кругу лиц. Передача третьим лицам допускается по законному требованию, для обеспечения инфраструктуры сервиса либо в иных предусмотренных законом случаях при соблюдении необходимых мер защиты.

Срок обработки

Регистрационные данные обрабатываются, пока аккаунт используется в сервисе, а после отключения — в течение срока, необходимого для аудита, соблюдения требований законодательства и локальных актов. Операции с реактивами и документы по прекурсорам хранятся в течение применимых отчётных и архивных сроков. После достижения целей данные удаляются или обезличиваются, если обязательное хранение не требуется.

5. Хранение и защита

Данные сервиса сохраняются в инфраструктуре Yandex Cloud Object Storage, настроенной для хранения в Российской Федерации. Доступ к хранилищу предоставляется сервисной учётной записи функции и ограниченному кругу администраторов.

пароли хешируются алгоритмом bcrypt;
коды подтверждения хранятся в виде хеша и действуют 10 минут;
сессии подписываются криптографической подписью и имеют срок 7 дней;
неудачные попытки входа ограничиваются, а значимые действия записываются в аудит;
обмен с API выполняется по HTTPS.

6. Cookies и локальное хранилище

В самом сервисе нет рекламных или аналитических cookies. Используются только технические механизмы, необходимые для безопасного входа.

Имя	Тип и срок	Назначение
`reagents_session`	HttpOnly cookie, до 7 дней	Подтверждает авторизованную сессию; недоступна JavaScript-коду страницы.
`greentech.reagents.session`	localStorage; токен действителен до 7 дней	Резервный механизм входа, если браузер блокирует межсайтовую cookie между Tilda и API Gateway.
`greentech.reagents.cookieConsent`	localStorage, до очистки браузера	Запоминает выбор пользователя в баннере cookies.

При выборе «Только необходимые» авторизационные механизмы продолжают работать, а необязательные технологии не включаются. Полный запрет cookies или localStorage в настройках браузера может приводить к частым выходам из аккаунта либо невозможности войти.

Основной сайт на Tilda может использовать собственные технические и иные cookies, которые не управляются HTML-блоком сервиса. Они описываются в общей политике ИТМО по cookies.

7. Права пользователя

Пользователь вправе получать сведения об обработке своих данных, требовать их уточнения, блокирования или удаления при наличии законных оснований, отозвать согласие, а также обжаловать действия оператора в Роскомнадзоре или суде.

Отзыв согласия не влияет на законность обработки, выполненной до его получения, и не отменяет обязательное хранение документов, если оно предусмотрено законодательством. После отзыва доступ к сервису может быть прекращён.

8. Обращения и изменения

По вопросам работы лабораторного сервиса можно обратиться по адресу greentech@itmo.ru или письменно в Университет ИТМО. В обращении следует указать ФИО, контакт для ответа и суть требования.

Актуальная общая политика Университета ИТМО в отношении персональных данных применяется совместно с настоящим документом.

Политика может обновляться при изменении сервиса или требований. Новая редакция действует с момента публикации, если в ней не указано иное.

Перед публикацией: документ необходимо согласовать с ответственным за организацию обработки персональных данных и юридической службой Университета ИТМО, а также заменить адрес страницы в ссылках формы, если в Tilda будет выбран другой URL.