Политика конфиденциальности
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика (далее — Политика) ООО «Мед Тайм», ИНН 4345253440, адрес: 610017, г. Киров, ул. Молодой Гвардии, 84/2, оф.1 (далее — Общество, Оператор) разработана в соответствии с Конституцией РФ, Трудовым кодексом РФ, Гражданским кодексом РФ, Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных» и иными нормативно-правовыми актами РФ в области защиты прав субъектов персональных данных.
1.2. Политика разработана с целью обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных (далее — ПДн), в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.3. Действие Политики распространяется на все персональные данные, обрабатываемые Оператором как в автоматизированном режиме, так и без использования средств автоматизации (на бумажных носителях).
2. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
ПДн обрабатываются Оператором в строго определенных, заранее заявленных и законных целях. Период обработки и состав собираемых ПДн соразмерны каждой из указанных целей:
- Ведение кадрового учета, содействие в трудоустройстве и регулирование трудовых отношений в соответствии с трудовым законодательством РФ;
- Ведение бухгалтерского и налогового учета, формирование и сдача обязательной отчетности в соответствии с налоговым законодательством РФ и законодательством об обязательном пенсионном и социальном страховании РФ;
- Рассмотрение резюме кандидатов (соискателей) в целях принятия решения о приеме на работу либо об отказе в приеме на работу;
- Оказание первичной доврачебной и специализированной медико-санитарной помощи в амбулаторных условиях в соответствии с действующими лицензиями на осуществление медицинской деятельности по направлениям: кардиология, неврология, онкология, оториноларингология (за исключением кохлеарной имплантации), ортодонтия, рентгенология, сестринское дело, стоматология, стоматология общей практики, стоматология ортопедическая, стоматология терапевтическая, стоматология хирургическая, стоматология профилактическая, ультразвуковая диагностика, функциональная диагностика, хирургия, эндокринология, а также выполнение сопутствующих зуботехнических работ в соответствии с законодательством РФ об охране здоровья граждан;
- Подготовка, заключение, исполнение, изменение и расторжение договоров на оказание платных медицинских услуг с пациентами (включая учет персональных скидок пациентов в медицинской информационной системе), а также гражданско-правовых договоров с контрагентами клиники;
- Осуществление обратной связи с пользователями сайта клиники: обработка входящих заявок, онлайн-запросов, консультирование и информирование о статусе и времени записи на прием к врачам;
- Организация дистанционной онлайн-записи пациентов на прием и информационного взаимодействия через сторонние ИТ-платформы, облачные медицинские системы и мобильные приложения (включая экосистему «ПроДокторов», платформу «Медфлекс», облачную МИС «Медлок», персональный кабинет пациента «МедТочка» и информационную систему «НаПоправку»);
- Направление биологического материала пациентов и сопутствующих сведений в сторонние специализированные лаборатории и медицинские учреждения (включая государственные онкологические диспансеры и независимые зуботехнические лаборатории) на основании договоров гражданско-правового характера в целях проведения диагностических, лабораторных исследований и изготовления ортопедических конструкций;
- Сбор, учет и публичное размещение (распространение) информации о квалификации и образовании медицинских работников клиники, их фото- и видеоматериалов, а также отзывов пациентов на официальном сайте компании, на её официальных страницах в социальных сетях (включая социальную сеть ВКонтакте), на профильных специализированных интернет-ресурсах (включая платформы «ПроДокторов» и «НаПоправку»), иных открытых информационных ресурсах и геосервисах, а также в рекламных и информационных материалах на сторонних площадках и в аккаунтах сторонних пользователей (блогеров) в сети Интернет в целях информирования потребителей, выполнения требований законодательства в сфере охраны здоровья и контроля качества обслуживания;
- Обеспечение безопасности пациентов и сотрудников, контроля качества обслуживания и сохранности имущества клиники посредством организации системы внутриобъектового видеонаблюдения (видеосъемки) в помещениях клиники;
- Проведение аналитической деятельности по исследованию предпочтений пользователей, сбор статистики активности пользователей и повышение производительности и эффективности работы официального сайта Оператора.
3. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Правовыми основаниями обработки ПДн Оператором являются:
— Гражданский кодекс РФ, Налоговый кодекс РФ, Трудовой кодекс РФ (ст. 85-90);
— Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных»;
— Федеральный закон от 13 марта 2006 года № 38-ФЗ «О рекламе»;
— Закон РФ от 07 февраля 1992 года № 2300-1 «О защите прав потребителей»;
— Устав ООО «Мед Тайм»;
— Договоры, заключаемые между Оператором и субъектами персональных данных (включая Пользовательское соглашение сайта);
— Согласия субъектов персональных данных на обработку их ПДн (включая согласия, предоставленные путем совершения конклюдентных действий — проставления отметки «галочки» в веб-формах на сайте).
4. ПЕРЕЧЕНЬ ДЕЙСТВИЙ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ
При обработке ПДн Оператор осуществляет следующий перечень операций: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
5. СОСТАВ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Обработке Оператором подлежат ПДн следующих категорий субъектов:
1) Персональные данные работников (в объеме, строго необходимом для целей кадрового учета и трудовых отношений: ФИО, дата рождения, паспортные данные, СНИЛС, ИНН, адрес проживания и регистрации, сведения об образовании и квалификации, сведения о трудовой деятельности и стаже, контактные данные, размер заработной платы и сведения о начислениях, а также сведения о семейном положении и составе семьи, включая данные свидетельств о заключении брака и свидетельств о рождении детей, исключительно в целях предоставления предусмотренных законодательством РФ налоговых вычетов, льгот и социальных пособий);
2) Персональные данные кандидатов (соискателей) на вакантные должности (фамилия, имя, отчество; пол; возраст; номер контактного телефона; адрес электронной почты; сведения о трудовой деятельности и стаже работы по профильной специальности с указанием мест и организаций предыдущей работы; сведения о наличии необходимого уровня профессионального образования, квалификации, ученых степеней, званий и специальных удостоверений, подтверждающих соответствие соискателя квалификационным требованиям вакантной должности, собираемые в форме устных или письменных заявлений о факте их наличия, без сбора и хранения копий самих документов об образовании; а также иные сведения, добровольно указанные соискателем в тексте резюме или сопроводительного письма);
3) Персональные данные пациентов (клиентов) и контрагентов:
— пациентов (клиентов): фамилия, имя, отчество, паспортные данные, номер контактного телефона, адрес электронной почты (данные собираются исключительно в клинике при оформлении официального договора на оказание платных медицинских услуг);
— контрагентов — индивидуальных предпринимателей (ИП): фамилия, имя, отчество, паспортные данные, идентификационный номер налогоплательщика (ИНН), основной государственный регистрационный номер индивидуального предпринимателя (ОГРНИП), адрес регистрации и фактического места жительства, номер телефона, адрес электронной почты, банковские реквизиты, реквизиты доверенности (номер и дата выдачи), а также копия самой доверенности (в случаях, когда ИП действует через представителя);
— представителей контрагентов — юридических лиц (директоров, подписантов по доверенности): фамилия, имя, отчество, должность, номер контактного телефона, адрес электронной почты, реквизиты доверенности (номер и дата выдачи), копия самой доверенности (для подписантов по доверенности), а также паспортные данные — исключительно в случаях, когда это прямо предусмотрено требованиями законодательства РФ или условиями заключения договора.
4) Персональные данные Посетителей и Пользователей официального сайта компании (пол, возраст, фамилия, имя, отчество, дата рождения, номер контактного телефона, адрес электронной почты — при заполнении веб-форм и использовании виджета онлайн-записи; а также автоматически собираемые технические данные: IP-адрес, логин, географическое положение, сведения о браузере, операционной системе, поведении на Сайте и файлы Cookie).
5.2. Использование файлов Cookie и сервисов веб-аналитики: На сайтах Компании автоматически собираются файлы Cookie с целью ведения веб-статистики через программное средство «Яндекс.Метрика». Сведения собираются в совокупном и обезличенном виде (без прямой идентификации личности конкретного гражданина). Пользователь сайта при входе информируется о сборе Cookie всплывающим баннером. Продолжая пользоваться сайтом, Пользователь подтверждает согласие на сбор этих данных. Пользователь вправе в любой момент самостоятельно отключить Cookie в настройках своего браузера.
6. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Обработка ПДн Оператором осуществляется следующими способами:
— неавтоматизированная обработка ПДн (на бумажных носителях);
— автоматизированная обработка ПДн с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
— смешанная обработка ПДн.
6.2. Обработка ПДн включает в себя перечень действий, определенных в пункте 4 настоящей Политики.
6.3. Оператор не вправе обрабатывать ПДн субъекта без его согласия, за исключением случаев, прямо предусмотренных статьей 6 Федерального закона № 152-ФЗ «О персональных данных».
6.4. Равнозначным содержащему собственноручную подпись субъекта согласию на бумажном носителе признается согласие, предоставленное субъектом персональных данных путем совершения конклюдентных действий на официальном сайте Оператора (путем проставления отметки «галочки» в соответствующем поле чек-бокса веб-формы).
6.5. Оператор обеспечивает конфиденциальность ПДн. Все операции с ПДн выполняются только работниками Оператора, должностные обязанности которых непосредственно связаны с обработкой такой информации.
6.6. Запрещается хранение документов с ПДн и их копий на рабочих местах в открытом доступе. В электронном виде ПДн хранятся в специализированных базах данных с ограничением и разграничением прав доступа по паролям.
7. ПОРЯДОК ОБРАБОТКИ ПДН В ИНФОРМАЦИОННЫХ СИСТЕМАХ (ИСПДн)
7.1. Обработка ПДн в информационных системах осуществляется после реализации организационных и технических мер по обеспечению безопасности, определенных с учетом актуальных угроз безопасности ПДн.
7.2. Обеспечение безопасности при обработке ПДн в ИСПДн осуществляется в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119 и Приказом ФСТЭК России от 18.02.2013 № 21.
7.3. Каждому уполномоченному сотруднику Оператора для доступа к ИСПДн предоставляется уникальный логин и пароль.
7.4. В состав технических мер защиты входят: идентификация и аутентификация субъектов доступа, управление доступом, антивирусная защита, регистрация событий безопасности, контроль (анализ) защищенности персональных данных.
8. ОБЕСПЕЧЕНИЕ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ ОПЕРАТОРОМ
8.1. Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом № 152-ФЗ. К таким мерам относятся:
— Назначение ответственного за организацию обработки ПДн;
— Издание локальных актов, определяющих политику в отношении обработки ПДн (настоящая Политика, Положения);
— Осуществление внутреннего контроля (аудита) соответствия обработки ПДн законодательству;
— Оценка вреда, который может быть причинен субъектам ПДн в случае нарушения Федерального закона № 152-ФЗ;
— Ознакомление работников Оператора, непосредственно осуществляющих обработку ПДн, с положениями законодательства и локальными актами.
9. ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА
9.1. Оператор обязан:
— Предоставлять субъекту ПДн по его запросу информацию, касающуюся обработки его ПДн;
— Разъяснять субъекту юридические последствия отказа предоставить ПДн, если такое предоставление является обязательным по закону;
— При сборе ПДн, в том числе посредством сети Интернет, обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан РФ с использованием баз данных, находящихся на территории Российской Федерации;
— Опубликовать или иным образом обеспечить неограниченный доступ к настоящей Политике.
10. ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТА ПДН
10.1. Субъект ПДн имеет право:
— Требовать от Оператора уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
— Получать информацию, касающуюся обработки его ПДн, в порядке и сроки, установленные законом;
— Отозвать согласие на обработку ПДн в любой момент;
— Обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.
11. ПРАВО СУБЪЕКТА ПДН НА ДОСТУП К ЕГО ПЕРСОНАЛЬНЫМ ДАННЫМ
11.1. Субъект ПДн вправе направить Оператору официальный запрос в целях ознакомления с обрабатываемыми ПДн и получения сведений об основаниях и целях их обработки.
11.2. Официальный запрос (заявление) оформляется в письменном бумажном виде и должен содержать: фамилию, имя, отчество субъекта персональных данных (или его законного представителя); сведения о серии, номере основного документа, удостоверяющего личность, сведения о дате выдачи указанного документа и выдавшем его органе; сведения, подтверждающие факт участия субъекта в отношениях с Оператором (номер договора на оказание платных медицинских услуг, дата заключения договора или номер амбулаторной карты пациента), а также личную собственноручную подпись субъекта персональных данных (или его законного представителя).
12. АКТУАЛИЗАЦИЯ, ИСПРАВЛЕНИЕ, УДАЛЕНИЕ И УНИЧТОЖЕНИЕ ПДН
12.1. В срок, не превышающий 7 (семи) рабочих дней со дня предоставления субъектом сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными, Оператор обязан внести в них необходимые изменения.
12.2. В срок, не превышающий 7 (семи) рабочих дней со дня предоставления субъектом сведений, подтверждающих, что ПДн являются незаконно полученными или не являются необходимыми для заявленной цели, Оператор обязан уничтожить такие ПДн.
12.3. В случае достижения цели обработки ПДн Оператор обязан прекратить обработку и уничтожить ПДн в срок, не превышающий 30 (тридцати) дней с даты достижения цели обработки, если иное не предусмотрено договором или законом.
12.4. Отзыв согласия на обработку персональных данных осуществляется субъектом персональных данных путем направления Оператору официального письменного заявления в свободной форме (или по утвержденному Оператором шаблону) Почтой России по юридическому адресу Оператора, либо при личном визите в клинику Оператора. В случае получения указанного письменного заявления, Оператор обязан прекратить обработку персональных данных и (если сохранение персональных данных более не требуется для целей обработки) уничтожить их в срок, не превышающий 30 (тридцати) дней с даты регистрации отзыва субъекта.
13. ПОРЯДОК УЧЕТА И РАССМОТРЕНИЯ ЗАПРОСОВ СУБЪЕКТОВ ПДН
13.1. Организация приема, регистрации и обработки запросов субъектов ПДн или их представителей осуществляется Ответственным за организацию обработки ПДн.
13.2. Ответственный сотрудник производит первичное рассмотрение запроса на предмет его соответствия требованиям ст. 14 ФЗ «О персональных данных».
13.3. Сроки рассмотрения запросов:
— Запрос субъекта о предоставлении информации, касающейся обработки его ПДн (ст. 14 ФЗ-152), подлежит рассмотрению Оператором в течение 10 (десяти) рабочих дней со дня получения обращения. Данный срок может быть продлен не более чем на 5 (пять) рабочих дней в случае направления Оператором мотивированного уведомления субъекту;
— В случае выявления неправомерной обработки ПДн Оператор обязан заблокировать такие данные на период проверки и устранить нарушения в срок, не превышающий 3 (трех) рабочих дней.
13.4. Официальные ответы Оператора на запросы и заявления граждан направляются Оператором в адрес заявителей в письменном бумажном виде — заказным почтовым отправлением с уведомлением о вручении по адресу, указанному в запросе, либо вручаются субъекту персональных данных (его законному представителю) лично под подпись при визите в клинику Оператора.
14. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
14.1. Настоящая Политика является общедоступным локальным нормативным актом Оператора и подлежит обязательному размещению на официальном сайте компании.
14.2. Политика может пересматриваться и актуализироваться Оператором в случае изменения действующего законодательства РФ в области персональных данных.
14.3. Ответственность сотрудников Оператора, имеющих доступ к ПДн, за нарушение правил обработки и защиты информации регулируется трудовым, административным и уголовным законодательством РФ.