ПОЛИТИКА ООО «ЗДРАВОСТ» В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
ПОЛИТИКА ООО «ЗДРАВОСТ» В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Общие положения
1.1. Настоящая Политика ООО «ЗдравОст» в отношении обработки персональных данных (далее — Политика) разработана во исполнение пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет принципы, цели, правовые основания, содержание и порядок обработки персональных данных, категории субъектов персональных данных, сроки обработки и хранения, порядок уничтожения персональных данных, а также меры, принимаемые Оператором для обеспечения безопасности персональных данных.
1.2. Политика распространяется на все персональные данные, которые Оператор обрабатывает с использованием средств автоматизации или без их использования, в том числе при оказании медицинских услуг, ведении медицинской документации, осуществлении трудовых и договорных отношений, рассмотрении обращений, а также при эксплуатации сайта https://zdravost.ru.
1.3. Политика является общедоступным документом. Актуальная редакция размещается на сайте по адресу https://zdravost.ru/policy и предоставляется субъектам персональных данных по их запросу.
1.4. Оператор персональных данных: Общество с ограниченной ответственностью «ЗдравОст» (ООО «ЗдравОст»), ИНН 3525246401 КПП 352501001, ОГРН 1103525012909, адрес места нахождения: 160009, Вологодская область, г. Вологда, Огородный переулок, д. 9, адрес электронной почты: i@zdravost.ru, телефон: +7 (8172) 707-900.
1.5. Ответственный за организацию обработки персональных данных назначается приказом Оператора. Обращения по вопросам обработки персональных данных направляются по адресу Оператора либо на электронную почту i@zdravost.ru.
1.6. Политика применяется совместно с локальными актами Оператора, регулирующими обработку и защиту персональных данных. При расхождении положений Политики с обязательными требованиями законодательства Российской Федерации применяются требования законодательства Российской Федерации.
2. Основные понятия
персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу.
оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных и действия с ними.
обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение.
автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.
распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
блокирование персональных данных — временное прекращение обработки персональных данных, кроме случаев, когда обработка необходима для уточнения данных.
уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются материальные носители.
обезличивание персональных данных — действия, в результате которых без использования дополнительной информации становится невозможным определить принадлежность персональных данных конкретному субъекту.
трансграничная передача — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу.
сайт — интернет-ресурс Оператора, доступный по адресу https://zdravost.ru, включая его страницы и технические компоненты.
3. Принципы и общие условия обработки персональных данных
3.1. При обработке персональных данных Оператор руководствуется следующими принципами:
3.3. Персональные данные, разрешенные субъектом для распространения, обрабатываются отдельно от иных персональных данных и только при наличии отдельного согласия, отвечающего требованиям статьи 10.1 Федерального закона № 152-ФЗ, за исключением сведений, подлежащих обязательному опубликованию или раскрытию в силу федерального закона.
4. Правовые основания обработки персональных данных
4.1. Правовыми основаниями обработки персональных данных являются Конституция Российской Федерации, Гражданский кодекс Российской Федерации, Трудовой кодекс Российской Федерации, Налоговый кодекс Российской Федерации, Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете», Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации», Закон Российской Федерации от 07.02.1992 № 2300-1 «О защите прав потребителей», иные нормативные правовые акты Российской Федерации, регулирующие деятельность медицинских организаций, бухгалтерский, налоговый, кадровый и архивный учет.
4.2. В зависимости от цели обработки правовыми основаниями также являются: согласие субъекта персональных данных; договор, стороной, выгодоприобретателем или поручителем по которому является субъект, либо действия по заключению такого договора по инициативе субъекта; необходимость исполнения обязанностей, возложенных на Оператора законом; необходимость осуществления прав и законных интересов Оператора или третьих лиц при условии, что права и свободы субъекта не нарушаются; необходимость установления, осуществления или защиты прав в судебном или ином предусмотренном законом порядке; локальные акты и распорядительные документы Оператора.
4.3. Согласие на обработку персональных данных, когда оно требуется, оформляется отдельно от иных документов и информации, подписываемых или подтверждаемых субъектом персональных данных. Обязанность доказать получение согласия или наличие иного правового основания несет Оператор.
5. Цели обработки, категории субъектов и персональных данных, способы и сроки обработки
5.1. Оператор обрабатывает персональные данные только в рамках целей, перечисленных в настоящем разделе. Для каждой цели определены категории субъектов, перечень персональных данных, правовые основания, способы обработки и сроки хранения.
5.2. Обработка входящих обращений и предварительная запись на прием
Цель обработки: обработка входящих обращений и предварительная запись на прием
Категории субъектов: физические лица, обращающиеся к Оператору; потенциальные и действующие пациенты; законные представители и иные представители пациентов
Категории и перечень персональных данных: фамилия, имя, отчество; номер телефона; адрес электронной почты; сведения о представителе и документе, подтверждающем полномочия; желаемые дата и время приема, специалист или услуга; содержание обращения; иные сведения, добровольно сообщенные субъектом. Сведения о состоянии здоровья обрабатываются только в объеме, необходимом для организации медицинской помощи, и при наличии основания, предусмотренного законом
Правовые основания: пункты 1 и 5 части 1 статьи 6 Федерального закона № 152-ФЗ; пункт 4 части 2 статьи 10 Федерального закона № 152-ФЗ при обработке медицинским работником в медицинских целях; письменное согласие — в случаях, когда оно требуется законом
Перечень действий и способы обработки: сбор по телефону или электронной почте, запись, систематизация, накопление, хранение, уточнение, использование, предоставление уполномоченным работникам, блокирование, удаление и уничтожение; обработка смешанная — автоматизированная и неавтоматизированная
Сроки обработки и хранения: до завершения рассмотрения обращения и дополнительно не более 30 календарных дней; юридически значимая переписка хранится до 3 лет после завершения взаимодействия. При заключении договора или формировании медицинской документации данные обрабатываются в сроки, установленные для соответствующей цели
5.3. Заключение, исполнение, изменение и прекращение договоров на оказание платных медицинских услуг и проведение расчетов
Цель обработки: заключение, исполнение, изменение и прекращение договоров на оказание платных медицинских услуг и проведение расчетов
Категории субъектов: пациенты; заказчики медицинских услуг; законные представители и иные представители пациентов; плательщики
Категории и перечень персональных данных: фамилия, имя, отчество; дата и место рождения; пол; адрес регистрации и проживания; телефон; электронная почта; реквизиты документа, удостоверяющего личность, — когда их обработка необходима; сведения о законном представителе и подтверждении полномочий; сведения о договоре, оказанных услугах, стоимости, оплате, задолженности, возвратах
Правовые основания: пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ; пункт 2 части 1 статьи 6 Федерального закона № 152-ФЗ в части исполнения обязательных требований законодательства; согласие субъекта — при отсутствии иного основания
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача банкам, платежным организациям и иным получателям при наличии правового основания, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: в течение срока действия договора; договорные, расчетные и первичные учетные документы — не менее 5 лет после окончания отчетного года, в котором завершены отношения; материалы претензионной работы — до 3 лет после завершения спора либо дольше, если это требуется для судебной защиты; сведения, включенные в медицинскую документацию, хранятся в сроки, установленные для медицинской документации
5.4. Оказание медицинской помощи, установление диагноза, ведение медицинской документации и обеспечение преемственности лечения
Цель обработки: оказание медицинской помощи, установление диагноза, ведение медицинской документации и обеспечение преемственности лечения
Категории субъектов: пациенты, в том числе несовершеннолетние; законные представители пациентов; лица, оплачивающие медицинские услуги, — в части, необходимой для оформления отношений
Категории и перечень персональных данных: общие персональные данные: фамилия, имя, отчество; пол; дата и место рождения; гражданство; адрес; телефон; электронная почта; реквизиты документа, удостоверяющего личность; сведения о законном представителе. Специальные категории: сведения о состоянии здоровья, жалобах, анамнезе, диагнозах, результатах осмотров, исследований и обследований, назначениях, лечении, медицинских вмешательствах, противопоказаниях, аллергических реакциях, временной нетрудоспособности и иные сведения, необходимые для оказания медицинской помощи и ведения медицинской документации
Правовые основания: пункт 2 части 1 статьи 6 и пункт 4 части 2 статьи 10 Федерального закона № 152-ФЗ; Федеральный закон № 323-ФЗ и принятые в соответствии с ним акты; договор на оказание медицинских услуг; письменное согласие на обработку специальных категорий персональных данных — в случаях, когда оно обязательно
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление медицинским работникам и иным лицам в пределах закона, передача в государственные информационные системы и уполномоченным органам в случаях, установленных законом, обезличивание, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: в течение периода оказания медицинской помощи и последующего хранения медицинской документации. Медицинская карта пациента, получающего медицинскую помощь в амбулаторных условиях, хранится 25 лет, если обязательным нормативным актом не установлен иной срок. Иные формы медицинской документации хранятся в течение сроков, установленных законодательством, номенклатурой дел и обязательными требованиями к конкретной форме документа. При изменении обязательного срока применяется срок, действующий на момент решения вопроса об уничтожении
5.5. Бухгалтерский, налоговый, кассовый и статистический учет, обязательная отчетность
Цель обработки: бухгалтерский, налоговый, кассовый и статистический учет, обязательная отчетность
Категории субъектов: пациенты, заказчики и плательщики; работники и бывшие работники; физические лица — контрагенты; представители контрагентов; иные лица, сведения о которых включаются в обязательные учетные документы
Категории и перечень персональных данных: фамилия, имя, отчество; ИНН; СНИЛС; адрес; контактные данные; сведения о договоре, услугах, оплате и возвратах; банковские реквизиты; сведения о доходах, удержаниях, налогах, страховых взносах; реквизиты документов, подтверждающих операции; иные данные, обязательные для учета и отчетности
Правовые основания: пункт 2 части 1 статьи 6 Федерального закона № 152-ФЗ; Налоговый кодекс Российской Федерации; Федеральный закон № 402-ФЗ; законодательство о применении контрольно-кассовой техники, страховых взносах и обязательной отчетности
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача налоговым органам, Социальному фонду России, банкам, операторам фискальных данных, аудиторам и иным уполномоченным получателям, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: не менее 5 лет после отчетного года, к которому относятся документы; документы, необходимые для исчисления и уплаты страховых взносов и иных обязательных платежей, — в течение срока, установленного налоговым и иным законодательством, но не менее 6 лет, если такой срок применим; при наличии спора — до его окончательного завершения
5.6. Оформление и сопровождение трудовых отношений, кадровый учет, охрана труда и исполнение обязанностей работодателя
Цель обработки: оформление и сопровождение трудовых отношений, кадровый учет, охрана труда и исполнение обязанностей работодателя
Категории субъектов: работники и бывшие работники, в объёме, необходимом для исполнения обязанностей работодателя
Категории и перечень персональных данных: фамилия, имя, отчество; прежние фамилии; пол; дата и место рождения; гражданство; адрес; телефон; электронная почта; паспортные данные; ИНН; СНИЛС; сведения об образовании, квалификации, специальности, стаже и трудовой деятельности; семейное положение и сведения о членах семьи — когда это требуется законом; сведения воинского учета; банковские реквизиты; сведения о заработной плате, отпусках, командировках, дисциплинарных взысканиях и поощрениях; сведения о состоянии здоровья — только в объеме, необходимом по трудовому законодательству и требованиям охраны труда; фотография — если необходима для кадрового учета и внутренних документов
Правовые основания: пункт 2 части 1 статьи 6 Федерального закона № 152-ФЗ; Трудовой кодекс Российской Федерации; законодательство о налогах, страховых взносах, воинском учете, охране труда и архивном деле; согласие работника — в случаях, когда обработка не основана непосредственно на законе или трудовом договоре
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, использование, предоставление уполномоченным работникам, передача государственным органам, банкам и иным получателям при наличии основания, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: в течение трудовых отношений и далее в сроки обязательного хранения. Документы по личному составу, созданные после 1 января 2003 года, хранятся 50 лет, если для конкретного документа законом не установлен иной срок; документы по расчетам с работниками, налогам и страховым взносам — не менее установленных законом сроков; иные кадровые документы — в соответствии с законодательством об архивном деле и номенклатурой дел Оператора
5.7. Подбор кандидатов на замещение вакантных должностей
Цель обработки: подбор кандидатов на замещение вакантных должностей
Категории субъектов: соискатели и кандидаты на работу
Категории и перечень персональных данных: фамилия, имя, отчество; дата рождения — если указана соискателем; телефон; электронная почта; сведения об образовании, квалификации, опыте работы, навыках, рекомендациях; желаемая должность и условия работы; фотография и иные сведения, содержащиеся в резюме и добровольно предоставленные кандидатом
Правовые основания: согласие субъекта персональных данных; пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ при совершении действий по заключению трудового договора по инициативе кандидата
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, использование, предоставление работникам, участвующим в подборе, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: до принятия решения о приеме или отказе и не более 30 календарных дней после принятия решения; при наличии отдельного согласия на включение в кадровый резерв — в течение срока согласия, но не более 1 года
5.8. Заключение и исполнение договоров с контрагентами, ведение деловой переписки и проверка полномочий представителей
Цель обработки: заключение и исполнение договоров с контрагентами, ведение деловой переписки и проверка полномочий представителей
Категории субъектов: физические лица — контрагенты; представители, работники и контактные лица юридических лиц и индивидуальных предпринимателей; исполнители по гражданско-правовым договорам
Категории и перечень персональных данных: фамилия, имя, отчество; должность; место работы; телефон; электронная почта; сведения о полномочиях и доверенности; подпись; ИНН и банковские реквизиты — для физических лиц и индивидуальных предпринимателей; сведения о договоре, переписке и исполнении обязательств
Правовые основания: пункты 2, 5 и 7 части 1 статьи 6 Федерального закона № 152-ФЗ; договор; законные интересы Оператора по организации договорной работы и защите прав
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача банкам, аудиторам, государственным органам и иным получателям при наличии основания, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: в течение срока договора и не менее 5 лет после окончания отчетного года, в котором завершено исполнение; деловая переписка и материалы защиты прав — до 3 лет после прекращения отношений или окончательного завершения спора, если более длительный срок не установлен законом
5.9. Размещение на сайте сведений о медицинских работниках и специалистах
Цель обработки: размещение на сайте сведений о медицинских работниках и специалистах
Категории субъектов: работники Оператора; медицинские работники и иные специалисты, оказывающие услуги Оператору на законном основании
Категории и перечень персональных данных: фамилия, имя, отчество; должность; специальность; сведения об образовании, квалификации, стаже, аккредитации и сертификатах; график приема — при наличии; фотография — при наличии; иные профессиональные сведения в объеме, необходимом для информирования пациентов
Правовые основания: пункт 11 части 1 статьи 6 Федерального закона № 152-ФЗ — в отношении сведений, подлежащих обязательному опубликованию; отдельное согласие на обработку персональных данных, разрешенных субъектом для распространения, — в отношении фотографии и иных сведений, публикация которых не является обязательной
Перечень действий и способы обработки: сбор, запись, систематизация, хранение, уточнение, использование, распространение на сайте, блокирование, удаление и уничтожение; обработка автоматизированная и неавтоматизированная
Сроки обработки и хранения: в течение периода работы или оказания услуг и актуальности сведений. Неактуальные сведения удаляются в срок не более 10 рабочих дней после получения подтверждения об утрате актуальности. Распространение, основанное на согласии, прекращается в течение 3 рабочих дней с момента получения надлежащего требования субъекта, если иной срок не установлен законом или судебным актом
5.10. Обеспечение функционирования и информационной безопасности сайта
Цель обработки: обеспечение функционирования и информационной безопасности сайта
Категории субъектов: посетители сайта
Категории и перечень персональных данных: сетевой адрес устройства (IP-адрес); дата и время обращения к серверу; адрес запрошенной страницы; код ответа сервера; сведения о браузере, операционной системе и типе устройства (User-Agent); адрес страницы-источника перехода (Referer), если он передается браузером; технические идентификаторы сессии и строго необходимые файлы cookie — только если они создаются используемой системой управления сайтом или инфраструктурой хостинга
Правовые основания: пункт 7 части 1 статьи 6 Федерального закона № 152-ФЗ — законные интересы Оператора по обеспечению доступности и безопасности сайта при условии соблюдения прав посетителей; пункт 2 части 1 статьи 6 — в части исполнения обязательных требований законодательства об информации и информационной безопасности
Перечень действий и способы обработки: автоматизированный сбор и запись в технические журналы сервера, систематизация, хранение, использование для диагностики, предотвращения атак и расследования инцидентов, блокирование, удаление и уничтожение. Профилирование посетителей, рекламное отслеживание и принятие решений на основании поведения на сайте не осуществляются
Сроки обработки и хранения: технические журналы хранятся не более 30 календарных дней с момента записи; записи, относящиеся к выявленному инциденту информационной безопасности, могут храниться до окончания расследования и дополнительно не более 1 года для подтверждения принятых мер; технические файлы cookie хранятся до завершения сессии либо в течение срока, технически необходимого для их назначения, но не более 12 месяцев
5.11. Рассмотрение запросов субъектов персональных данных, обращений государственных органов, претензий и защита прав Оператора
Цель обработки: рассмотрение запросов субъектов персональных данных, обращений государственных органов, претензий и защита прав Оператора
Категории субъектов: субъекты персональных данных и их представители; заявители; участники претензионных, административных и судебных процедур; представители государственных органов
Категории и перечень персональных данных: фамилия, имя, отчество; контактные данные; реквизиты документа, удостоверяющего личность, и сведения о полномочиях представителя — в объеме, необходимом для идентификации; сведения о взаимоотношениях с Оператором; содержание обращения, запроса, требования, претензии или судебного документа; иные сведения, необходимые для рассмотрения
Правовые основания: пункты 2, 3, 3.1, 6 и 7 части 1 статьи 6 Федерального закона № 152-ФЗ; статьи 14, 20 и 21 Федерального закона № 152-ФЗ; процессуальное законодательство; законные интересы Оператора по подтверждению исполнения обязанностей и защите прав
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, использование, предоставление уполномоченным лицам, передача государственным органам, судам, представителям и экспертам при наличии основания, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: в течение срока рассмотрения и 3 лет после направления окончательного ответа или завершения процедуры; при возникновении судебного или административного дела — до окончания дела и истечения применимых сроков обжалования и хранения документов
1.1. Настоящая Политика ООО «ЗдравОст» в отношении обработки персональных данных (далее — Политика) разработана во исполнение пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет принципы, цели, правовые основания, содержание и порядок обработки персональных данных, категории субъектов персональных данных, сроки обработки и хранения, порядок уничтожения персональных данных, а также меры, принимаемые Оператором для обеспечения безопасности персональных данных.
1.2. Политика распространяется на все персональные данные, которые Оператор обрабатывает с использованием средств автоматизации или без их использования, в том числе при оказании медицинских услуг, ведении медицинской документации, осуществлении трудовых и договорных отношений, рассмотрении обращений, а также при эксплуатации сайта https://zdravost.ru.
1.3. Политика является общедоступным документом. Актуальная редакция размещается на сайте по адресу https://zdravost.ru/policy и предоставляется субъектам персональных данных по их запросу.
1.4. Оператор персональных данных: Общество с ограниченной ответственностью «ЗдравОст» (ООО «ЗдравОст»), ИНН 3525246401 КПП 352501001, ОГРН 1103525012909, адрес места нахождения: 160009, Вологодская область, г. Вологда, Огородный переулок, д. 9, адрес электронной почты: i@zdravost.ru, телефон: +7 (8172) 707-900.
1.5. Ответственный за организацию обработки персональных данных назначается приказом Оператора. Обращения по вопросам обработки персональных данных направляются по адресу Оператора либо на электронную почту i@zdravost.ru.
1.6. Политика применяется совместно с локальными актами Оператора, регулирующими обработку и защиту персональных данных. При расхождении положений Политики с обязательными требованиями законодательства Российской Федерации применяются требования законодательства Российской Федерации.
2. Основные понятия
персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу.
оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных и действия с ними.
обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение.
автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.
распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
блокирование персональных данных — временное прекращение обработки персональных данных, кроме случаев, когда обработка необходима для уточнения данных.
уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются материальные носители.
обезличивание персональных данных — действия, в результате которых без использования дополнительной информации становится невозможным определить принадлежность персональных данных конкретному субъекту.
трансграничная передача — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу.
сайт — интернет-ресурс Оператора, доступный по адресу https://zdravost.ru, включая его страницы и технические компоненты.
3. Принципы и общие условия обработки персональных данных
3.1. При обработке персональных данных Оператор руководствуется следующими принципами:
- обработка осуществляется на законной и справедливой основе и только при наличии надлежащего правового основания;
- цели обработки являются конкретными, заранее определенными и законными; не допускается обработка, несовместимая с заявленными целями;
- содержание и объем персональных данных соответствуют целям обработки; избыточные персональные данные не обрабатываются;
- обеспечиваются точность, достаточность и актуальность персональных данных, а при необходимости — их уточнение;
- персональные данные хранятся не дольше, чем этого требуют цели обработки или обязательные сроки хранения, установленные законодательством;
- по достижении целей обработки либо при утрате правового основания персональные данные уничтожаются или обезличиваются, если иное не установлено законом;
- Оператор соблюдает конфиденциальность персональных данных и врачебную тайну в случаях, предусмотренных законодательством;
- Оператор не принимает решений, порождающих юридические последствия для субъекта персональных данных или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки;
- Оператор не создает биометрические шаблоны и не использует изображения граждан для установления личности по физиологическим или биологическим особенностям. Фотографии работников и изображения в документах не рассматриваются Оператором как биометрические персональные данные, если они не используются для биометрической идентификации.
3.3. Персональные данные, разрешенные субъектом для распространения, обрабатываются отдельно от иных персональных данных и только при наличии отдельного согласия, отвечающего требованиям статьи 10.1 Федерального закона № 152-ФЗ, за исключением сведений, подлежащих обязательному опубликованию или раскрытию в силу федерального закона.
4. Правовые основания обработки персональных данных
4.1. Правовыми основаниями обработки персональных данных являются Конституция Российской Федерации, Гражданский кодекс Российской Федерации, Трудовой кодекс Российской Федерации, Налоговый кодекс Российской Федерации, Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете», Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации», Закон Российской Федерации от 07.02.1992 № 2300-1 «О защите прав потребителей», иные нормативные правовые акты Российской Федерации, регулирующие деятельность медицинских организаций, бухгалтерский, налоговый, кадровый и архивный учет.
4.2. В зависимости от цели обработки правовыми основаниями также являются: согласие субъекта персональных данных; договор, стороной, выгодоприобретателем или поручителем по которому является субъект, либо действия по заключению такого договора по инициативе субъекта; необходимость исполнения обязанностей, возложенных на Оператора законом; необходимость осуществления прав и законных интересов Оператора или третьих лиц при условии, что права и свободы субъекта не нарушаются; необходимость установления, осуществления или защиты прав в судебном или ином предусмотренном законом порядке; локальные акты и распорядительные документы Оператора.
4.3. Согласие на обработку персональных данных, когда оно требуется, оформляется отдельно от иных документов и информации, подписываемых или подтверждаемых субъектом персональных данных. Обязанность доказать получение согласия или наличие иного правового основания несет Оператор.
5. Цели обработки, категории субъектов и персональных данных, способы и сроки обработки
5.1. Оператор обрабатывает персональные данные только в рамках целей, перечисленных в настоящем разделе. Для каждой цели определены категории субъектов, перечень персональных данных, правовые основания, способы обработки и сроки хранения.
5.2. Обработка входящих обращений и предварительная запись на прием
Цель обработки: обработка входящих обращений и предварительная запись на прием
Категории субъектов: физические лица, обращающиеся к Оператору; потенциальные и действующие пациенты; законные представители и иные представители пациентов
Категории и перечень персональных данных: фамилия, имя, отчество; номер телефона; адрес электронной почты; сведения о представителе и документе, подтверждающем полномочия; желаемые дата и время приема, специалист или услуга; содержание обращения; иные сведения, добровольно сообщенные субъектом. Сведения о состоянии здоровья обрабатываются только в объеме, необходимом для организации медицинской помощи, и при наличии основания, предусмотренного законом
Правовые основания: пункты 1 и 5 части 1 статьи 6 Федерального закона № 152-ФЗ; пункт 4 части 2 статьи 10 Федерального закона № 152-ФЗ при обработке медицинским работником в медицинских целях; письменное согласие — в случаях, когда оно требуется законом
Перечень действий и способы обработки: сбор по телефону или электронной почте, запись, систематизация, накопление, хранение, уточнение, использование, предоставление уполномоченным работникам, блокирование, удаление и уничтожение; обработка смешанная — автоматизированная и неавтоматизированная
Сроки обработки и хранения: до завершения рассмотрения обращения и дополнительно не более 30 календарных дней; юридически значимая переписка хранится до 3 лет после завершения взаимодействия. При заключении договора или формировании медицинской документации данные обрабатываются в сроки, установленные для соответствующей цели
5.3. Заключение, исполнение, изменение и прекращение договоров на оказание платных медицинских услуг и проведение расчетов
Цель обработки: заключение, исполнение, изменение и прекращение договоров на оказание платных медицинских услуг и проведение расчетов
Категории субъектов: пациенты; заказчики медицинских услуг; законные представители и иные представители пациентов; плательщики
Категории и перечень персональных данных: фамилия, имя, отчество; дата и место рождения; пол; адрес регистрации и проживания; телефон; электронная почта; реквизиты документа, удостоверяющего личность, — когда их обработка необходима; сведения о законном представителе и подтверждении полномочий; сведения о договоре, оказанных услугах, стоимости, оплате, задолженности, возвратах
Правовые основания: пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ; пункт 2 части 1 статьи 6 Федерального закона № 152-ФЗ в части исполнения обязательных требований законодательства; согласие субъекта — при отсутствии иного основания
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача банкам, платежным организациям и иным получателям при наличии правового основания, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: в течение срока действия договора; договорные, расчетные и первичные учетные документы — не менее 5 лет после окончания отчетного года, в котором завершены отношения; материалы претензионной работы — до 3 лет после завершения спора либо дольше, если это требуется для судебной защиты; сведения, включенные в медицинскую документацию, хранятся в сроки, установленные для медицинской документации
5.4. Оказание медицинской помощи, установление диагноза, ведение медицинской документации и обеспечение преемственности лечения
Цель обработки: оказание медицинской помощи, установление диагноза, ведение медицинской документации и обеспечение преемственности лечения
Категории субъектов: пациенты, в том числе несовершеннолетние; законные представители пациентов; лица, оплачивающие медицинские услуги, — в части, необходимой для оформления отношений
Категории и перечень персональных данных: общие персональные данные: фамилия, имя, отчество; пол; дата и место рождения; гражданство; адрес; телефон; электронная почта; реквизиты документа, удостоверяющего личность; сведения о законном представителе. Специальные категории: сведения о состоянии здоровья, жалобах, анамнезе, диагнозах, результатах осмотров, исследований и обследований, назначениях, лечении, медицинских вмешательствах, противопоказаниях, аллергических реакциях, временной нетрудоспособности и иные сведения, необходимые для оказания медицинской помощи и ведения медицинской документации
Правовые основания: пункт 2 части 1 статьи 6 и пункт 4 части 2 статьи 10 Федерального закона № 152-ФЗ; Федеральный закон № 323-ФЗ и принятые в соответствии с ним акты; договор на оказание медицинских услуг; письменное согласие на обработку специальных категорий персональных данных — в случаях, когда оно обязательно
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление медицинским работникам и иным лицам в пределах закона, передача в государственные информационные системы и уполномоченным органам в случаях, установленных законом, обезличивание, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: в течение периода оказания медицинской помощи и последующего хранения медицинской документации. Медицинская карта пациента, получающего медицинскую помощь в амбулаторных условиях, хранится 25 лет, если обязательным нормативным актом не установлен иной срок. Иные формы медицинской документации хранятся в течение сроков, установленных законодательством, номенклатурой дел и обязательными требованиями к конкретной форме документа. При изменении обязательного срока применяется срок, действующий на момент решения вопроса об уничтожении
5.5. Бухгалтерский, налоговый, кассовый и статистический учет, обязательная отчетность
Цель обработки: бухгалтерский, налоговый, кассовый и статистический учет, обязательная отчетность
Категории субъектов: пациенты, заказчики и плательщики; работники и бывшие работники; физические лица — контрагенты; представители контрагентов; иные лица, сведения о которых включаются в обязательные учетные документы
Категории и перечень персональных данных: фамилия, имя, отчество; ИНН; СНИЛС; адрес; контактные данные; сведения о договоре, услугах, оплате и возвратах; банковские реквизиты; сведения о доходах, удержаниях, налогах, страховых взносах; реквизиты документов, подтверждающих операции; иные данные, обязательные для учета и отчетности
Правовые основания: пункт 2 части 1 статьи 6 Федерального закона № 152-ФЗ; Налоговый кодекс Российской Федерации; Федеральный закон № 402-ФЗ; законодательство о применении контрольно-кассовой техники, страховых взносах и обязательной отчетности
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача налоговым органам, Социальному фонду России, банкам, операторам фискальных данных, аудиторам и иным уполномоченным получателям, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: не менее 5 лет после отчетного года, к которому относятся документы; документы, необходимые для исчисления и уплаты страховых взносов и иных обязательных платежей, — в течение срока, установленного налоговым и иным законодательством, но не менее 6 лет, если такой срок применим; при наличии спора — до его окончательного завершения
5.6. Оформление и сопровождение трудовых отношений, кадровый учет, охрана труда и исполнение обязанностей работодателя
Цель обработки: оформление и сопровождение трудовых отношений, кадровый учет, охрана труда и исполнение обязанностей работодателя
Категории субъектов: работники и бывшие работники, в объёме, необходимом для исполнения обязанностей работодателя
Категории и перечень персональных данных: фамилия, имя, отчество; прежние фамилии; пол; дата и место рождения; гражданство; адрес; телефон; электронная почта; паспортные данные; ИНН; СНИЛС; сведения об образовании, квалификации, специальности, стаже и трудовой деятельности; семейное положение и сведения о членах семьи — когда это требуется законом; сведения воинского учета; банковские реквизиты; сведения о заработной плате, отпусках, командировках, дисциплинарных взысканиях и поощрениях; сведения о состоянии здоровья — только в объеме, необходимом по трудовому законодательству и требованиям охраны труда; фотография — если необходима для кадрового учета и внутренних документов
Правовые основания: пункт 2 части 1 статьи 6 Федерального закона № 152-ФЗ; Трудовой кодекс Российской Федерации; законодательство о налогах, страховых взносах, воинском учете, охране труда и архивном деле; согласие работника — в случаях, когда обработка не основана непосредственно на законе или трудовом договоре
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, использование, предоставление уполномоченным работникам, передача государственным органам, банкам и иным получателям при наличии основания, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: в течение трудовых отношений и далее в сроки обязательного хранения. Документы по личному составу, созданные после 1 января 2003 года, хранятся 50 лет, если для конкретного документа законом не установлен иной срок; документы по расчетам с работниками, налогам и страховым взносам — не менее установленных законом сроков; иные кадровые документы — в соответствии с законодательством об архивном деле и номенклатурой дел Оператора
5.7. Подбор кандидатов на замещение вакантных должностей
Цель обработки: подбор кандидатов на замещение вакантных должностей
Категории субъектов: соискатели и кандидаты на работу
Категории и перечень персональных данных: фамилия, имя, отчество; дата рождения — если указана соискателем; телефон; электронная почта; сведения об образовании, квалификации, опыте работы, навыках, рекомендациях; желаемая должность и условия работы; фотография и иные сведения, содержащиеся в резюме и добровольно предоставленные кандидатом
Правовые основания: согласие субъекта персональных данных; пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ при совершении действий по заключению трудового договора по инициативе кандидата
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, использование, предоставление работникам, участвующим в подборе, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: до принятия решения о приеме или отказе и не более 30 календарных дней после принятия решения; при наличии отдельного согласия на включение в кадровый резерв — в течение срока согласия, но не более 1 года
5.8. Заключение и исполнение договоров с контрагентами, ведение деловой переписки и проверка полномочий представителей
Цель обработки: заключение и исполнение договоров с контрагентами, ведение деловой переписки и проверка полномочий представителей
Категории субъектов: физические лица — контрагенты; представители, работники и контактные лица юридических лиц и индивидуальных предпринимателей; исполнители по гражданско-правовым договорам
Категории и перечень персональных данных: фамилия, имя, отчество; должность; место работы; телефон; электронная почта; сведения о полномочиях и доверенности; подпись; ИНН и банковские реквизиты — для физических лиц и индивидуальных предпринимателей; сведения о договоре, переписке и исполнении обязательств
Правовые основания: пункты 2, 5 и 7 части 1 статьи 6 Федерального закона № 152-ФЗ; договор; законные интересы Оператора по организации договорной работы и защите прав
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача банкам, аудиторам, государственным органам и иным получателям при наличии основания, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: в течение срока договора и не менее 5 лет после окончания отчетного года, в котором завершено исполнение; деловая переписка и материалы защиты прав — до 3 лет после прекращения отношений или окончательного завершения спора, если более длительный срок не установлен законом
5.9. Размещение на сайте сведений о медицинских работниках и специалистах
Цель обработки: размещение на сайте сведений о медицинских работниках и специалистах
Категории субъектов: работники Оператора; медицинские работники и иные специалисты, оказывающие услуги Оператору на законном основании
Категории и перечень персональных данных: фамилия, имя, отчество; должность; специальность; сведения об образовании, квалификации, стаже, аккредитации и сертификатах; график приема — при наличии; фотография — при наличии; иные профессиональные сведения в объеме, необходимом для информирования пациентов
Правовые основания: пункт 11 части 1 статьи 6 Федерального закона № 152-ФЗ — в отношении сведений, подлежащих обязательному опубликованию; отдельное согласие на обработку персональных данных, разрешенных субъектом для распространения, — в отношении фотографии и иных сведений, публикация которых не является обязательной
Перечень действий и способы обработки: сбор, запись, систематизация, хранение, уточнение, использование, распространение на сайте, блокирование, удаление и уничтожение; обработка автоматизированная и неавтоматизированная
Сроки обработки и хранения: в течение периода работы или оказания услуг и актуальности сведений. Неактуальные сведения удаляются в срок не более 10 рабочих дней после получения подтверждения об утрате актуальности. Распространение, основанное на согласии, прекращается в течение 3 рабочих дней с момента получения надлежащего требования субъекта, если иной срок не установлен законом или судебным актом
5.10. Обеспечение функционирования и информационной безопасности сайта
Цель обработки: обеспечение функционирования и информационной безопасности сайта
Категории субъектов: посетители сайта
Категории и перечень персональных данных: сетевой адрес устройства (IP-адрес); дата и время обращения к серверу; адрес запрошенной страницы; код ответа сервера; сведения о браузере, операционной системе и типе устройства (User-Agent); адрес страницы-источника перехода (Referer), если он передается браузером; технические идентификаторы сессии и строго необходимые файлы cookie — только если они создаются используемой системой управления сайтом или инфраструктурой хостинга
Правовые основания: пункт 7 части 1 статьи 6 Федерального закона № 152-ФЗ — законные интересы Оператора по обеспечению доступности и безопасности сайта при условии соблюдения прав посетителей; пункт 2 части 1 статьи 6 — в части исполнения обязательных требований законодательства об информации и информационной безопасности
Перечень действий и способы обработки: автоматизированный сбор и запись в технические журналы сервера, систематизация, хранение, использование для диагностики, предотвращения атак и расследования инцидентов, блокирование, удаление и уничтожение. Профилирование посетителей, рекламное отслеживание и принятие решений на основании поведения на сайте не осуществляются
Сроки обработки и хранения: технические журналы хранятся не более 30 календарных дней с момента записи; записи, относящиеся к выявленному инциденту информационной безопасности, могут храниться до окончания расследования и дополнительно не более 1 года для подтверждения принятых мер; технические файлы cookie хранятся до завершения сессии либо в течение срока, технически необходимого для их назначения, но не более 12 месяцев
5.11. Рассмотрение запросов субъектов персональных данных, обращений государственных органов, претензий и защита прав Оператора
Цель обработки: рассмотрение запросов субъектов персональных данных, обращений государственных органов, претензий и защита прав Оператора
Категории субъектов: субъекты персональных данных и их представители; заявители; участники претензионных, административных и судебных процедур; представители государственных органов
Категории и перечень персональных данных: фамилия, имя, отчество; контактные данные; реквизиты документа, удостоверяющего личность, и сведения о полномочиях представителя — в объеме, необходимом для идентификации; сведения о взаимоотношениях с Оператором; содержание обращения, запроса, требования, претензии или судебного документа; иные сведения, необходимые для рассмотрения
Правовые основания: пункты 2, 3, 3.1, 6 и 7 части 1 статьи 6 Федерального закона № 152-ФЗ; статьи 14, 20 и 21 Федерального закона № 152-ФЗ; процессуальное законодательство; законные интересы Оператора по подтверждению исполнения обязанностей и защите прав
Перечень действий и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, использование, предоставление уполномоченным лицам, передача государственным органам, судам, представителям и экспертам при наличии основания, блокирование, удаление и уничтожение; обработка смешанная
Сроки обработки и хранения: в течение срока рассмотрения и 3 лет после направления окончательного ответа или завершения процедуры; при возникновении судебного или административного дела — до окончания дела и истечения применимых сроков обжалования и хранения документов
6. Особенности обработки данных при использовании сайта
6.1. На сайте отсутствуют формы регистрации, авторизации, обратной связи, онлайн-записи, заказа обратного звонка, подписки и иные поля, через которые посетитель мог бы направить персональные данные непосредственно средствами сайта.
6.2. Связь с Оператором осуществляется путем самостоятельного телефонного звонка либо направления электронного письма на опубликованный адрес. Сайт не принимает, не записывает и не сохраняет содержание телефонных разговоров или электронных писем. Обработка данных, сообщенных по телефону или электронной почте, осуществляется вне функционала сайта в соответствии с пунктами 5.2–5.4 Политики.
6.3. На дату утверждения Политики на сайте не используются Яндекс.Метрика, и иные системы веб-аналитики, рекламные пиксели или технологии построения поведенческих профилей.
6.4. Оператор не использует аналитические и рекламные файлы cookie. Строго необходимые технические файлы cookie могут применяться только в случае, если они создаются системой управления сайтом или инфраструктурой хостинга для обеспечения сессии, безопасности и корректной работы. Такие файлы не используются для рекламы, аналитики, межсайтового отслеживания или передачи пользовательского профиля третьим лицам.
6.5. Сервер и инфраструктура хостинга могут автоматически формировать технические журналы обращений. Оператор рассматривает содержащиеся в них сетевые идентификаторы как персональные данные в случаях, когда они относятся к определенному или определяемому посетителю, и обрабатывает их только для обеспечения работы и безопасности сайта.
6.6. Общедоступные страницы сайта могут индексироваться роботами поисковых систем по инициативе владельцев таких систем. Оператор не получает от поисковых систем персональные данные лиц, которые выполнили поисковый запрос, и не передает поисковым системам базы персональных данных посетителей. Индексация относится к размещенному на сайте общедоступному контенту и не является установленной Оператором формой сбора данных посетителей.
6.7. На сайте не осуществляется трансграничная передача персональных данных посетителей. До подключения любого иностранного сервиса, способного получать персональные данные, Оператор обязан провести правовую и техническую оценку, выполнить предусмотренные законом уведомительные процедуры, обеспечить локализацию первичного сбора и обновить Политику до начала обработки.
6.8. При появлении на сайте форм, необязательных файлов cookie, аналитических систем, онлайн-записи или иных новых способов обработки персональных данных Оператор до их запуска определяет правовое основание, цель, состав данных, получателей и сроки обработки, при необходимости получает отдельное согласие субъекта и вносит изменения в Политику и уведомление Роскомнадзора.
7. Источники получения персональных данных
7.1. Персональные данные могут быть получены из следующих источников:
8. Предоставление, поручение обработки и распространение персональных данных
8.1. Оператор не продает персональные данные, не обменивает их и не предоставляет третьим лицам для целей, не совместимых с целями сбора.
8.2. Персональные данные могут предоставляться: государственным органам и организациям в случаях, установленных законом; банкам, платежным организациям и операторам фискальных данных — для расчетов; медицинским организациям, лабораториям и специалистам — когда это необходимо для оказания медицинской помощи и допускается законом; организациям, обеспечивающим информационные системы, российский хостинг, электронную почту, связь, бухгалтерский учет, архивное хранение и техническую поддержку; аудиторам, юристам и представителям — для исполнения обязанностей и защиты прав Оператора.
8.3. При поручении обработки другому лицу договор или иной документ определяет перечень персональных данных, действия с ними, цели обработки, требования к конфиденциальности, локализации и безопасности, обязанности предоставлять подтверждающие документы и уведомлять Оператора об инцидентах. Ответственность перед субъектом за действия лица, обрабатывающего данные по поручению, несет Оператор в пределах, установленных законом.
8.4. Доступ к персональным данным внутри Оператора предоставляется только работникам и иным лицам, которым он необходим для исполнения должностных или договорных обязанностей, в пределах предоставленных полномочий.
8.5. Распространение персональных данных неопределенному кругу лиц осуществляется только в случаях, прямо предусмотренных законом, либо на основании отдельного согласия на обработку персональных данных, разрешенных субъектом для распространения.
9. Локализация и трансграничная передача
9.1. При сборе персональных данных граждан Российской Федерации, в том числе с использованием сети Интернет, запись, систематизация, накопление, хранение, уточнение и извлечение таких данных осуществляются с использованием баз данных, находящихся на территории Российской Федерации, кроме прямо предусмотренных законом исключений.
9.2. На дату утверждения Политики Оператор не осуществляет трансграничную передачу персональных данных.
9.3. До начала трансграничной передачи Оператор обязан выполнить требования статьи 12 Федерального закона № 152-ФЗ, в том числе направить отдельное уведомление в Роскомнадзор, получить необходимые сведения об иностранном получателе, оценить соблюдение им конфиденциальности и безопасности, а также актуализировать Политику и локальные документы.
10. Порядок и условия обработки, хранения и уничтожения персональных данных
10.1. Обработка осуществляется смешанным способом: без использования средств автоматизации и с использованием средств вычислительной техники, информационных систем и программного обеспечения, размещенных и эксплуатируемых с учетом требований законодательства Российской Федерации.
10.2. Бумажные документы хранятся в помещениях с ограниченным доступом. Электронные данные хранятся в информационных системах, доступ к которым разграничен в соответствии с должностными обязанностями и полномочиями пользователей.
10.3. Оператор прекращает обработку и уничтожает персональные данные при достижении цели, истечении обязательного срока хранения, отзыве согласия при отсутствии иного основания, удовлетворении требования о прекращении обработки либо выявлении неправомерной обработки.
10.4. Если иное не предусмотрено законом или договором, персональные данные уничтожаются в срок, не превышающий 30 календарных дней с даты достижения цели обработки или отзыва согласия. При выявлении неправомерной обработки, правомерность которой невозможно обеспечить, данные уничтожаются в срок, не превышающий 10 рабочих дней с даты выявления. Если уничтожение в установленный срок невозможно, данные блокируются и уничтожаются не позднее 6 месяцев, если иной срок не установлен законом.
10.5. Уничтожение осуществляется способами, исключающими восстановление данных: бумажные носители уничтожаются механическим способом или передаются специализированной организации по акту; электронные записи удаляются из рабочих систем, а при необходимости — из резервных копий в соответствии с циклом их обновления и локальным порядком.
10.6. Уничтожение подтверждается актом об уничтожении и (или) выгрузкой из журнала регистрации событий в соответствии с требованиями Роскомнадзора. Подтверждающие документы хранятся 3 года с момента уничтожения.
11. Меры по обеспечению безопасности персональных данных
11.1. Оператор принимает необходимые и достаточные меры, в том числе:
12. Права субъектов персональных данных
12.1. Субъект персональных данных вправе:
12.3. Сведения предоставляются в течение 10 рабочих дней с момента получения обращения или запроса. Срок может быть продлен не более чем на 5 рабочих дней с направлением мотивированного уведомления. Уточнение неточных данных или уничтожение незаконно полученных и избыточных данных производится в сроки, установленные статьями 20 и 21 Федерального закона № 152-ФЗ.
12.4. Отзыв согласия или требование о прекращении обработки не влечет уничтожение данных, если Оператор обязан или вправе продолжить их обработку в силу закона, договора, необходимости защиты прав или иных предусмотренных законом оснований.
13. Действия при инцидентах с персональными данными
13.1. При выявлении неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным, повлекших нарушение прав субъектов, Оператор незамедлительно ограничивает последствия, устанавливает причины, принимает меры по прекращению нарушения и проводит внутреннее расследование.
13.2. В случаях, предусмотренных законом, Оператор уведомляет Роскомнадзор: в течение 24 часов — о выявленном инциденте, предполагаемых причинах, вреде и принятых мерах; в течение 72 часов — о результатах внутреннего расследования и лицах, действия которых стали причиной инцидента, при наличии таких сведений.
13.3. Работники и лица, действующие по поручению Оператора, обязаны незамедлительно сообщать ответственному лицу о любом известном или предполагаемом инциденте.
14. Заключительные положения
14.1. Политика вступает в силу с даты ее утверждения приказом Оператора и действует до утверждения новой редакции.
14.2. Оператор оставляет за собой право изменять Политику. Новая редакция вступает в силу с момента размещения на Сайте, если иное не установлено новой редакцией.
14.3. Оператор пересматривает Политику при изменении законодательства, целей или способов обработки, подключении новых информационных систем и сервисов, появлении новых получателей данных, изменении сроков хранения, а также по результатам проверок и внутреннего контроля.
14.4. Новая редакция размещается на сайте до начала обработки персональных данных на измененных условиях. Предыдущие редакции и документы об их утверждении хранятся в соответствии с номенклатурой дел Оператора.
14.5. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации и локальными актами Оператора.
6.1. На сайте отсутствуют формы регистрации, авторизации, обратной связи, онлайн-записи, заказа обратного звонка, подписки и иные поля, через которые посетитель мог бы направить персональные данные непосредственно средствами сайта.
6.2. Связь с Оператором осуществляется путем самостоятельного телефонного звонка либо направления электронного письма на опубликованный адрес. Сайт не принимает, не записывает и не сохраняет содержание телефонных разговоров или электронных писем. Обработка данных, сообщенных по телефону или электронной почте, осуществляется вне функционала сайта в соответствии с пунктами 5.2–5.4 Политики.
6.3. На дату утверждения Политики на сайте не используются Яндекс.Метрика, и иные системы веб-аналитики, рекламные пиксели или технологии построения поведенческих профилей.
6.4. Оператор не использует аналитические и рекламные файлы cookie. Строго необходимые технические файлы cookie могут применяться только в случае, если они создаются системой управления сайтом или инфраструктурой хостинга для обеспечения сессии, безопасности и корректной работы. Такие файлы не используются для рекламы, аналитики, межсайтового отслеживания или передачи пользовательского профиля третьим лицам.
6.5. Сервер и инфраструктура хостинга могут автоматически формировать технические журналы обращений. Оператор рассматривает содержащиеся в них сетевые идентификаторы как персональные данные в случаях, когда они относятся к определенному или определяемому посетителю, и обрабатывает их только для обеспечения работы и безопасности сайта.
6.6. Общедоступные страницы сайта могут индексироваться роботами поисковых систем по инициативе владельцев таких систем. Оператор не получает от поисковых систем персональные данные лиц, которые выполнили поисковый запрос, и не передает поисковым системам базы персональных данных посетителей. Индексация относится к размещенному на сайте общедоступному контенту и не является установленной Оператором формой сбора данных посетителей.
6.7. На сайте не осуществляется трансграничная передача персональных данных посетителей. До подключения любого иностранного сервиса, способного получать персональные данные, Оператор обязан провести правовую и техническую оценку, выполнить предусмотренные законом уведомительные процедуры, обеспечить локализацию первичного сбора и обновить Политику до начала обработки.
6.8. При появлении на сайте форм, необязательных файлов cookie, аналитических систем, онлайн-записи или иных новых способов обработки персональных данных Оператор до их запуска определяет правовое основание, цель, состав данных, получателей и сроки обработки, при необходимости получает отдельное согласие субъекта и вносит изменения в Политику и уведомление Роскомнадзора.
7. Источники получения персональных данных
7.1. Персональные данные могут быть получены из следующих источников:
- непосредственно от субъекта персональных данных или его законного либо уполномоченного представителя;
- от контрагента, работодателя, страховщика, медицинской или иной организации — при наличии законного основания и в пределах заявленной цели;
- из государственных информационных систем и от государственных органов — в случаях, предусмотренных законом;
- из общедоступных источников и официальных реестров — в случаях, когда использование таких сведений допускается законом;
- автоматически из технической инфраструктуры сайта — только в составе, указанном в пункте 5.10 Политики.
8. Предоставление, поручение обработки и распространение персональных данных
8.1. Оператор не продает персональные данные, не обменивает их и не предоставляет третьим лицам для целей, не совместимых с целями сбора.
8.2. Персональные данные могут предоставляться: государственным органам и организациям в случаях, установленных законом; банкам, платежным организациям и операторам фискальных данных — для расчетов; медицинским организациям, лабораториям и специалистам — когда это необходимо для оказания медицинской помощи и допускается законом; организациям, обеспечивающим информационные системы, российский хостинг, электронную почту, связь, бухгалтерский учет, архивное хранение и техническую поддержку; аудиторам, юристам и представителям — для исполнения обязанностей и защиты прав Оператора.
8.3. При поручении обработки другому лицу договор или иной документ определяет перечень персональных данных, действия с ними, цели обработки, требования к конфиденциальности, локализации и безопасности, обязанности предоставлять подтверждающие документы и уведомлять Оператора об инцидентах. Ответственность перед субъектом за действия лица, обрабатывающего данные по поручению, несет Оператор в пределах, установленных законом.
8.4. Доступ к персональным данным внутри Оператора предоставляется только работникам и иным лицам, которым он необходим для исполнения должностных или договорных обязанностей, в пределах предоставленных полномочий.
8.5. Распространение персональных данных неопределенному кругу лиц осуществляется только в случаях, прямо предусмотренных законом, либо на основании отдельного согласия на обработку персональных данных, разрешенных субъектом для распространения.
9. Локализация и трансграничная передача
9.1. При сборе персональных данных граждан Российской Федерации, в том числе с использованием сети Интернет, запись, систематизация, накопление, хранение, уточнение и извлечение таких данных осуществляются с использованием баз данных, находящихся на территории Российской Федерации, кроме прямо предусмотренных законом исключений.
9.2. На дату утверждения Политики Оператор не осуществляет трансграничную передачу персональных данных.
9.3. До начала трансграничной передачи Оператор обязан выполнить требования статьи 12 Федерального закона № 152-ФЗ, в том числе направить отдельное уведомление в Роскомнадзор, получить необходимые сведения об иностранном получателе, оценить соблюдение им конфиденциальности и безопасности, а также актуализировать Политику и локальные документы.
10. Порядок и условия обработки, хранения и уничтожения персональных данных
10.1. Обработка осуществляется смешанным способом: без использования средств автоматизации и с использованием средств вычислительной техники, информационных систем и программного обеспечения, размещенных и эксплуатируемых с учетом требований законодательства Российской Федерации.
10.2. Бумажные документы хранятся в помещениях с ограниченным доступом. Электронные данные хранятся в информационных системах, доступ к которым разграничен в соответствии с должностными обязанностями и полномочиями пользователей.
10.3. Оператор прекращает обработку и уничтожает персональные данные при достижении цели, истечении обязательного срока хранения, отзыве согласия при отсутствии иного основания, удовлетворении требования о прекращении обработки либо выявлении неправомерной обработки.
10.4. Если иное не предусмотрено законом или договором, персональные данные уничтожаются в срок, не превышающий 30 календарных дней с даты достижения цели обработки или отзыва согласия. При выявлении неправомерной обработки, правомерность которой невозможно обеспечить, данные уничтожаются в срок, не превышающий 10 рабочих дней с даты выявления. Если уничтожение в установленный срок невозможно, данные блокируются и уничтожаются не позднее 6 месяцев, если иной срок не установлен законом.
10.5. Уничтожение осуществляется способами, исключающими восстановление данных: бумажные носители уничтожаются механическим способом или передаются специализированной организации по акту; электронные записи удаляются из рабочих систем, а при необходимости — из резервных копий в соответствии с циклом их обновления и локальным порядком.
10.6. Уничтожение подтверждается актом об уничтожении и (или) выгрузкой из журнала регистрации событий в соответствии с требованиями Роскомнадзора. Подтверждающие документы хранятся 3 года с момента уничтожения.
11. Меры по обеспечению безопасности персональных данных
11.1. Оператор принимает необходимые и достаточные меры, в том числе:
- назначение ответственного за организацию обработки персональных данных;
- утверждение локальных актов, перечней информационных систем, категорий данных, должностей и лиц, допущенных к обработке;
- оценка вреда, который может быть причинен субъектам, и соотношение такого вреда с принимаемыми мерами;
- определение угроз безопасности и применение правовых, организационных и технических мер защиты;
- разграничение и учет доступа, использование средств аутентификации, журналирование действий и периодический контроль полномочий;
- применение антивирусной защиты, межсетевого экранирования, резервного копирования, обновления программного обеспечения и иных средств защиты в соответствии с актуальными рисками;
- учет и безопасное хранение носителей персональных данных, контроль помещений и рабочих мест;
- обучение и ознакомление работников с требованиями законодательства, Политикой и локальными актами;
- контроль лиц, обрабатывающих персональные данные по поручению Оператора, и закрепление требований к безопасности в договорах;
- внутренний контроль и периодическая оценка соответствия обработки персональных данных требованиям законодательства;
- выявление инцидентов, их внутреннее расследование, принятие мер по устранению последствий и уведомление Роскомнадзора в установленных законом случаях и сроки.
12. Права субъектов персональных данных
12.1. Субъект персональных данных вправе:
- получать подтверждение факта обработки и сведения, предусмотренные законом;
- требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели;
- отозвать согласие на обработку персональных данных;
- требовать прекращения обработки, кроме случаев, когда Оператор вправе или обязан продолжить ее без согласия на основании закона;
- устанавливать запреты и условия обработки персональных данных, разрешенных для распространения, и требовать прекращения их передачи;
- обжаловать действия или бездействие Оператора в Роскомнадзор или в суд;
- защищать свои права и требовать возмещения убытков и компенсации морального вреда в предусмотренных законом случаях.
12.3. Сведения предоставляются в течение 10 рабочих дней с момента получения обращения или запроса. Срок может быть продлен не более чем на 5 рабочих дней с направлением мотивированного уведомления. Уточнение неточных данных или уничтожение незаконно полученных и избыточных данных производится в сроки, установленные статьями 20 и 21 Федерального закона № 152-ФЗ.
12.4. Отзыв согласия или требование о прекращении обработки не влечет уничтожение данных, если Оператор обязан или вправе продолжить их обработку в силу закона, договора, необходимости защиты прав или иных предусмотренных законом оснований.
13. Действия при инцидентах с персональными данными
13.1. При выявлении неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным, повлекших нарушение прав субъектов, Оператор незамедлительно ограничивает последствия, устанавливает причины, принимает меры по прекращению нарушения и проводит внутреннее расследование.
13.2. В случаях, предусмотренных законом, Оператор уведомляет Роскомнадзор: в течение 24 часов — о выявленном инциденте, предполагаемых причинах, вреде и принятых мерах; в течение 72 часов — о результатах внутреннего расследования и лицах, действия которых стали причиной инцидента, при наличии таких сведений.
13.3. Работники и лица, действующие по поручению Оператора, обязаны незамедлительно сообщать ответственному лицу о любом известном или предполагаемом инциденте.
14. Заключительные положения
14.1. Политика вступает в силу с даты ее утверждения приказом Оператора и действует до утверждения новой редакции.
14.2. Оператор оставляет за собой право изменять Политику. Новая редакция вступает в силу с момента размещения на Сайте, если иное не установлено новой редакцией.
14.3. Оператор пересматривает Политику при изменении законодательства, целей или способов обработки, подключении новых информационных систем и сервисов, появлении новых получателей данных, изменении сроков хранения, а также по результатам проверок и внутреннего контроля.
14.4. Новая редакция размещается на сайте до начала обработки персональных данных на измененных условиях. Предыдущие редакции и документы об их утверждении хранятся в соответствии с номенклатурой дел Оператора.
14.5. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации и локальными актами Оператора.