隐私政策

1. 总则

1.1. 本关于门户网站 studyinrussia.ru 用户个人数据处理的隐私政策（以下简称“政策”）规定了个人数据处理的目的、法律依据、程序和条件、所处理个人数据的构成、个人数据主体类别、个人数据的处理和存储期限、其销毁程序，以及在使用门户网站 studyinrussia.ru（包括其语言版本、个人账户、注册和反馈表单、AI 顾问、信息订阅和 Cookie 技术；以下简称“网站”）时保障个人数据安全的措施。

1.2. 个人数据运营者为联邦国家预算机构“教育发展与国际活动中心（‘Interobrazovanie’）”（以下简称“ФГБУ «Интеробразование»”、运营者）。运营者信息：国家基本登记号（ОГРН）1027739014379；纳税人识别号（ИНН）7706001432；所在地及邮政地址：119021，俄罗斯莫斯科市，Bolshoy Chudov lane，8号，1号楼；电话：+7 (499) 246-31-10；电子邮箱：info@studyinrussia.ru。

1.3. 本政策依据俄罗斯联邦2006年7月27日第152-ФЗ号《个人数据法》及俄罗斯联邦个人数据领域其他规范性法律文件（以下简称“个人数据法律”）制定，是一份公开文件，并发布在网站上，地址为：https://studyinrussia.ru/contacts/privacy。所有收集个人数据的网站页面均提供政策访问权限。

1.4. 本政策不构成个人数据处理同意，也不取代该同意。在处理的法律依据为个人数据主体同意的情况下，该同意应与其他信息和文件（包括本政策）分开请求，并由用户通过积极、明确的行为表示。不提供同意仅限制网站中客观上确需进行相应处理的功能，不妨碍访问网站公开的信息栏目。

1.5. 本政策适用于运营者通过网站实施的个人数据处理。运营者在网站之外实施的个人数据处理（包括履行合同、举办活动、以纸质形式接收文件）受运营者其他地方性规范性文件的调整。

1.6. 本政策不适用于用户可能通过网站所载链接访问的第三方网站和服务。运营者不控制此类资源，也不对其所有者适用的个人数据处理条件负责。设置链接不表示运营者认可第三方资源的内容。

1.7. 向 ФГБУ «Интеробразование» 负责组织个人数据处理的人员提出的申请，应寄送至：119021，俄罗斯莫斯科市，Bolshoy Chudov lane，8号，1号楼，或发送至电子邮箱 info@studyinrussia.ru，并注明“个人数据”。

1.8. 运营者已列入实施个人数据处理的运营者登记册（登记号77-25-456377），并确保向个人数据主体权利保护授权机构（以下简称“授权机构”）提交的信息保持最新。

1.9. 本政策适用于其生效后实施的个人数据处理。对于在政策生效前取得的个人数据，本政策仅在不降低个人数据主体相较于取得该等数据时所依据条件之地位的范围内适用。

1.10. 如果个人数据法律（包括在政策批准后通过或修改的法律）规定了不同于本政策的规则，则适用法律规定的规则。不与法律相冲突的政策条款继续有效。

2. 基本概念

2.1. 政策中使用的概念，如本节未另有规定，按个人数据法律所规定的含义适用。

2.2. 政策还使用以下概念：

用户——访问网站或使用其服务的自然人。其个人数据由运营者处理的用户，即为个人数据主体。

网站服务——网站的软件组件和功能，包括个人账户、注册、反馈和订阅表单、AI 顾问、搜索。

个人账户——网站的个人专区，用户注册并完成身份验证后可访问。

AI 顾问——网站的一项服务，利用人工智能技术，就用户以自由文本形式提交的请求生成参考性答复。

Cookie 文件——网站保存在用户设备上的小段数据，并在用户随后访问网站时传送给网站。

事件——非法或意外传输（提供、传播、访问）个人数据，并导致个人数据主体权利受到侵犯。

3. 个人数据处理的原则和目的

3.1. 运营者依法并公平地处理个人数据，遵守个人数据法律规定的原则，包括：

• 处理限于实现具体、预先确定且合法的目的；不得进行与收集个人数据的目的不相容的处理；
• 不得合并包含个人数据的数据库，如果对其中个人数据的处理目的彼此不相容；
• 仅处理符合处理目的的个人数据；其内容和范围应与所声明的目的相符，且不得过度；
• 确保个人数据相对于处理目的的准确性、充分性和时效性；
• 个人数据应以能够确定个人数据主体的形式存储，且存储时间不得超过处理目的所要求的期限，但联邦法律或个人数据主体作为一方的合同规定存储期限的除外。

3.2. 运营者出于以下目的处理个人数据：

3.2.1. 确保网站运行、稳定性和安全，防止滥用和违法行为，提供技术支持。

3.2.2. 注册、身份验证和管理个人账户；接收和存储用户为使用个人账户功能而上传的信息和文件；保存设置和重要操作历史。

3.2.3. 确保教育组织代表使用为其提供的网站功能。

3.2.4. 审查用户的申请、请求和消息，提供参考性支持和反馈。

3.2.5. 根据用户请求生成 AI 顾问答复。

3.2.6. 发送俄罗斯联邦教育主题的信息和新闻通讯。

3.2.7. 分析网站使用情况，评估材料需求并改进信息呈现方式（网络分析）。

3.2.8. 履行俄罗斯联邦法律赋予运营者的义务，包括确认收到同意、审查个人数据主体及授权机构的请求。

3.3. 不得出于政策第3.2条未规定的目的处理个人数据。如出现为新目的处理个人数据的必要性，运营者应在开始此类处理前修改政策，并在法律依据为同意的情况下取得个人数据主体的同意。

4. 法律依据、主体类别及所处理个人数据清单

4.1. 运营者依据个人数据法律、规范运营者活动的其他俄罗斯联邦规范性法律文件、ФГБУ «Интеробразование» 章程以及运营者有关个人数据处理和保护的地方性规范性文件处理个人数据。

4.2. 个人数据处理的法律依据包括：个人数据主体的同意；履行俄罗斯联邦法律赋予运营者的义务；履行个人数据主体作为一方的合同（协议），或根据个人数据主体的主动提议订立合同；行使运营者的权利和合法利益，但以不侵犯个人数据主体的权利和自由为条件。

4.3. 对于每一项处理目的，个人数据主体类别、所处理个人数据清单、法律依据以及处理和存储期限确定如下：

4.4. 运营者不处理涉及种族、民族、政治观点、宗教或哲学信仰、健康状况、私生活的特殊类别个人数据，也不处理生物识别个人数据。用户上传至个人账户的照片不被运营者用于识别身份，也不作为生物识别个人数据处理。网站不用于收集特殊类别个人数据；除非相应网站功能明确要求提供，用户不应在联系、发送给 AI 顾问的请求及上传的文件中包含此类信息。用户主动提供的此类信息，运营者不予使用。

4.5. 运营者不通过网站请求银行卡号、账户详情或其他支付信息。

4.6. 网站表单中必须填写的字段会在界面中标明。填写非必填字段完全出于自愿。

4.7. 个人数据来源为用户本人或其法定代表人，以及在自动传输技术数据时用户和网站的软件。除非在相应处理开始前已告知用户，运营者不会从网站链接所指向的外部服务获得用户在此类服务中的操作信息。

4.8. 不满十四周岁的人员进行个人账户注册、订阅通讯和提交申请时，只能由其法定代表人代为进行。十四周岁至十八周岁的人员须在法定代表人同意下提供个人数据，用户在注册时确认该同意的存在。如发现未成年人个人数据在缺乏必要法律依据的情况下被处理，运营者将封锁此类数据，停止处理，并在个人数据法律规定的期限内销毁。

4.9. 运营者对个人数据实施以下操作：收集、记录、系统化、积累、存储、更正（更新、修改）、提取、使用、传输（提供、访问）、去标识化、封锁、删除、销毁。处理以混合方式进行：使用自动化工具，并在处理申请和文件时，在遵守法律针对该类处理规定的要求的情况下，也可不使用此类工具。

5. 个人数据处理的程序和条件

5.1. 个人数据处理同意应在了解其条件后，通过单独的表单或单独的界面元素提供，并针对每一项以同意为法律依据的目的分别提供。同意必须具体、针对明确事项、知情、自觉且无歧义。沉默、不作为、继续浏览网站、预先勾选的选项或接受本政策，均不视为同意个人数据处理。

5.2. 运营者确保能够确认已取得同意，并在确认所必需的范围内记录用户行为的日期和时间、表单或账户标识符、同意文本和政策版本、用户的选择结果，以及与该行为有关的技术信息，包括 IP 地址（如记录 IP 地址对于确认之必要）。

5.3. 用户有权随时按照同意文本中规定的方式，通过网站相应的界面功能（包括退订链接和 Cookie 文件管理界面），向电子邮箱 info@studyinrussia.ru 发送声明，或寄送至政策第1.2条所列运营者邮政地址，撤回同意。运营者不得设定限制个人数据主体撤回权的要求。撤回同意不影响在收到撤回前所实施处理的合法性。

5.4. 收到撤回同意后，运营者停止以该同意为依据的个人数据处理。仅在存在个人数据法律规定的其他依据时，运营者才可继续处理而无需个人数据主体同意。

5.5. 运营者不传播用户的个人数据。只有在取得关于允许个人数据主体传播的个人数据的单独处理同意，并按照个人数据法律要求办理的情况下，才可传播个人数据。

5.6. 经个人数据主体同意，运营者可依据与受托方签订的合同，将个人数据处理委托给其他个人或实体，但联邦法律另有规定的除外。受运营者委托处理的人员可包括负责网站托管和技术支持、消息和通讯投递、通信系统运行、信息安全及网络分析的人员。委托合同应包含个人数据法律规定的条件，包括个人数据及其操作清单、处理目的、遵守保密义务和保障个人数据安全的义务、向运营者通报事件的义务。运营者对该人员的行为向个人数据主体承担责任；受运营者委托处理的人员向运营者承担责任。应个人数据主体请求，向其告知该人员的名称（姓、名、父称）和地址。

5.7. 运营者仅在以下情况下向第三方提供个人数据：

• 个人数据主体已同意此类提供；
• 向运营者按照政策第5.6条委托处理个人数据的人员提供；
• 俄罗斯联邦法律规定提供，包括根据国家机关、法院、侦查机关和预审机关的有理由请求，在俄罗斯联邦法律规定的范围和程序内提供。

5.8. 用户通过链接访问第三方资源（包括向教育组织提交文件）时，个人账户中的个人数据不会自动传输。通过网站单独功能向教育组织或其他接收方传输个人数据，仅可由用户主动发起，在具备必要法律依据并向用户提供接收方和传输目的信息后进行。

5.9. 不允许确定具体用户身份的汇总网站访问统计数据，可提供给第三方。

5.10. 在收集个人数据时，包括通过网站收集时，运营者确保使用位于俄罗斯联邦境内的数据库，对俄罗斯联邦公民的个人数据进行记录、系统化、积累、存储、更正（更新、修改）和提取。包含用户个人数据的网站数据库位于俄罗斯联邦境内。

5.11. 运营者不进行个人数据跨境传输。如有必要进行个人数据跨境传输，运营者将在传输开始前履行个人数据法律要求，并对政策作出相应修改。

5.12. 发送给 AI 顾问的请求文本，仅为生成答复之目的，在运营者使用的软件和硬件设施上处理，不向第三方传输。运营者不保存对话历史和请求文本，包括不保存在技术日志中。用户不应向 AI 顾问发送护照信息、健康状况信息以及获得参考性答复所不必要的其他个人数据。AI 顾问的答复仅具有参考性质；运营者不会仅依据个人数据的自动化处理作出对用户产生法律后果或以其他方式影响其权利和合法利益的决定。

5.13. 仅向运营者员工及其他为履行职务或合同义务而确需访问个人数据的人员提供访问权限。此类人员应熟悉个人数据法律及运营者地方性规范性文件的要求，并承诺遵守个人数据保密义务。

5.14. 运营者及其他获得个人数据访问权限的人员，未经个人数据主体同意，不得向第三方披露或传播个人数据，但联邦法律另有规定的除外。

6. 处理和存储期限。个人数据的销毁

6.1. 个人数据的处理和存储期限不得超过处理目的所要求的期限，适用政策第4.3条规定的期限，但联邦法律或个人数据主体作为一方的合同规定更长期限的除外。

6.2. 电子形式的个人数据存储在位于俄罗斯联邦境内的运营者信息系统中。个人数据的物理载体应针对每一项处理目的分别存储，并置于能够排除未经授权访问的条件下。

6.3. 在达到处理目的、存储期限届满、撤回同意或其他处理法律依据终止后，个人数据应予销毁或去标识化，但联邦法律另有规定的除外。

6.4. 删除账户后，个人账户访问权限终止；个人账户信息及用户上传的文件，包括备份副本中的相关文件，均应销毁。如无法在规定期限内销毁个人数据，运营者应封锁该等个人数据，并在个人数据法律规定的期限内确保其销毁。

6.5. 个人数据销毁应通过授权机构关于确认个人数据销毁的要求所规定的文件予以确认，运营者应在上述要求规定的期限内保存这些文件。

7. 个人数据安全保障措施。事件

7.1. 运营者根据个人数据法律要求，采取必要且充分的法律、组织和技术措施，保护个人数据免受非法或意外访问、销毁、修改、封锁、复制、提供、传播及其他违法行为侵害，包括：

• 任命负责组织个人数据处理的人员，并制定关于个人数据处理和保护的地方性规范性文件；
• 确定个人数据安全威胁，并确定在个人数据信息系统中处理时的安全等级；
• 使工作人员熟悉个人数据法律及运营者地方性规范性文件的要求；
• 确保个人数据访问权限的划分和记录，以及对相关操作的登记和记录；
• 使用依法通过合格评定程序的信息保护工具，仅以经密码学转换的形式存储密码，并使用安全数据传输协议；
• 确保对因未经授权访问而被修改或销毁的个人数据进行备份和恢复；
• 发现未经授权访问个人数据的事实并采取措施消除其后果；
• 按照运营者地方性规范性文件规定的程序和频率，对个人数据处理是否符合相关法律要求进行内部控制，并评估所采取措施的有效性。

7.2. 如确认发生事件，运营者应按照个人数据法律规定的程序和期限，向授权机构报告所发生的事件、其推定原因以及对个人数据主体权利造成的损害、为消除事件后果所采取的措施和内部调查结果，并采取措施制止侵害、消除其后果及防止再次发生。

7.3. 运营者确保与俄罗斯联邦信息资源计算机攻击发现、预警和消除后果国家系统开展互动，包括按照俄罗斯联邦法律规定的程序，报告导致个人数据非法传输（提供、传播、访问）的计算机事件。

8. Cookie 文件和网络分析服务的使用

8.1. 网站使用严格必要的 Cookie 文件和分析 Cookie 文件。Cookie 文件可能包含会话或用户标识符、界面设置及其他技术信息；Cookie 文件的内容取决于其用途。

8.2. 严格必要的 Cookie 文件用于授权、安全、保存所选语言和其他设置，以及运行用户明确请求的功能。其使用无需单独同意，但仅限于网站运行所必要的范围。在浏览器设置中阻止此类 Cookie 可能导致网站部分功能无法使用。

8.3. 分析 Cookie 文件和网络分析计数器仅在取得用户单独同意后启用，该同意通过用户首次访问网站时显示的信息横幅表示。在用户选择“接受”之前，不向网络分析服务提供商传输数据。横幅提供同等机会选择“拒绝”，且不限制访问网站主要内容。用户有权随时通过网站提供的 Cookie 文件管理界面更改选择并撤回同意，也可在浏览器设置中删除或禁止 Cookie 文件。

8.4. 网站使用由 ООО «ЯНДЕКС»（俄罗斯联邦）提供的“Yandex Metrica”服务进行网络分析，不使用“Webvisor”功能。该服务可能接收 IP 地址、Cookie 文件标识符、浏览器、设备、来源、访问页面、访问时间和网站操作信息。运营者不向该服务传输所填写表单的内容、上传到个人账户的信息和文件，以及发送给 AI 顾问的请求文本。

8.5. 运营者不基于分析数据开展个性化广告。在接入新的网络分析服务或改变向其传输的数据构成之前，运营者应对政策和获取同意的界面作出相应修改，并在必要时取得用户新的同意。

8.6. 用户选择的信息保存在同意管理 Cookie 文件中，并用于应用用户设置。Cookie 文件的存储期限不超过政策第4.3条规定的期限。

9. 各方的权利和义务。请求的审查

9.1. 个人数据主体有权：

• 在个人数据法律规定的范围和程序内，获得与其个人数据处理有关的信息；
• 如其个人数据不完整、过时、不准确、非法取得或对于所声明的处理目的并非必要，要求更正、封锁或销毁其个人数据；
• 撤回个人数据处理同意；
• 在个人数据法律规定的情况下，要求停止处理个人数据，包括为发送信息通讯而进行的处理；
• 向授权机构或通过司法程序对运营者的行为或不作为提出申诉；
• 保护自己的权利和合法利益，包括通过司法程序要求赔偿损失和（或）精神损害；
• 行使个人数据法律规定的其他权利。

9.2. 用户必须提供真实的个人数据，并及时告知其变更情况。用户不得在缺乏相应法律依据的情况下通过网站提供第三方个人数据。

9.3. 运营者有权自行确定履行个人数据法律规定义务所需的必要且充分措施的构成和清单，要求用户更正已提供的个人数据，并在存在政策第5.4条所述依据时，在撤回同意后继续处理个人数据。

9.4. 运营者必须按照个人数据法律和本政策处理个人数据，审查个人数据主体的申请和请求并作出有理由的答复，为个人数据主体提供免费查阅其个人数据的机会，并履行俄罗斯联邦法律规定的其他义务。

9.5. 个人数据主体或其代表的申请（索赔）应以书面形式寄送至：119021，俄罗斯莫斯科市，Bolshoy Chudov lane，8号，1号楼，或以电子文件形式发送至电子邮箱 info@studyinrussia.ru。申请必须包含个人数据法律规定的信息，包括能够识别个人数据主体或其代表的信息，以及证明主体与运营者存在关系或以其他方式证明运营者处理其个人数据事实的信息。运营者不得要求提供法律规定以外的信息。

9.6. 运营者按照个人数据法律规定的程序和期限：

• 向个人数据主体或其代表提供所请求的信息，或提供有理由的拒绝；
• 发现个人数据不准确或被非法处理时，在核查期间封锁个人数据；
• 确认个人数据不准确后对其进行更正并解除封锁；
• 停止非法处理个人数据；如无法确保处理合法，则销毁该等个人数据；
• 销毁非法取得或对于所声明的处理目的并非必要的个人数据；
• 在达到处理目的、撤回同意或收到停止处理要求时，如不存在继续处理的其他依据，停止处理并销毁个人数据；
• 向个人数据主体或其代表通知所采取的措施；如联系或请求来自授权机构，还应向授权机构通知，并采取合理措施通知曾接收该主体个人数据的第三方；
• 审查授权机构的请求并提供必要信息。

10. 责任

10.1. 运营者根据俄罗斯联邦法律对违反个人数据法律承担责任。

10.2. 用户根据俄罗斯联邦法律对其所提供信息的真实性以及提供第三方个人数据的合法性承担责任。

10.3. 获得个人数据访问权限的运营者工作人员，根据俄罗斯联邦法律对违反个人数据法律要求承担责任。

10.4. 运营者采取个人数据安全保障措施，不限制个人数据主体要求保护受侵犯权利、赔偿损失和通过司法程序获得精神损害赔偿的权利。

11. 争议解决

11.1. 本政策以及用户与运营者因个人数据处理产生的关系，适用俄罗斯联邦法律。

11.2. 在向法院提起诉讼前，用户有权按照政策第9.5条规定的程序向运营者提交申请（索赔）。遵守诉前程序并非用户向授权机构或法院提出申请的强制性条件。

12. 附则

12.1. 本政策自其发布在网站之日起生效。

12.2. 在处理目的、方式、所处理个人数据构成或网站服务发生变化时，以及法律变更要求补充或修改政策条款时，运营者对政策作出修改。

12.3. 政策的修改不改变此前提供的同意条件，也不赋予政策新版本追溯效力。如处理变更需要新的同意，运营者应在开始此类处理前取得该同意。涉及处理目的、个人数据构成、接收方或用户权利的修改，应通过在相应处理开始前在网站发布政策新版本的方式告知用户。

12.4. 现行政策版本持续发布在网站上。政策的旧版本由运营者保存。

12.5. 关于个人数据处理的所有问题，用户有权联系运营者及负责组织个人数据处理的人员：119021，俄罗斯莫斯科市，Bolshoy Chudov lane，8号，1号楼；电话：+7 (499) 246-31-10；电子邮箱：info@studyinrussia.ru。