Политика в отношении обработки персональных данных
1. Общие положения
1.1. Настоящий документ определяет политику Общества с ограниченной ответственностью «МЕДЭКСПЕРТ ПЛЮС» в отношении обработки персональных данных (далее – «Политика»).
1.2. Общество с ограниченной ответственностью «МЕДЭКСПЕРТ ПЛЮС» (далее – «Общество»), осуществляет обработку персональных данных, обеспечивает защиту прав и свобод субъектов при обработке их персональных данных и принимает меры для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – «Закон № 152-ФЗ») и принятыми в соответствии с ним нормативными правовыми актами.
1.3. Обработка сведений, составляющих врачебную тайну, которые включают в себя персональные данные, осуществляется Обществом с соблюдением требований Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» и иных нормативных правовых актов в сфере здравоохранения.
1.4. Настоящая Политика подлежит размещению на сайте Общества https://mymedex.ru/, а также на всех страницах сайта Общества, с использованием которых осуществляется сбор персональных данных субъектов.
1.5. Положения и требования настоящей Политики являются обязательными для исполнения всеми работниками Общества, имеющими доступ к персональным данным.
1.6. Локальные акты и другие документы, регламентирующие обработку персональных данных в Обществе, разрабатываются с учетом положений настоящей Политики.
2. Основные понятия, используемые в Политике
2.1. В настоящем документе используются следующие понятия:
1) персональные данные - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных);
2) субъект персональных данных - физическое лицо, которое прямо или косвенно определено, или определяемо с помощью персональных данных;
3) Общество - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. В данной Политике под оператором понимается Общество;
4) обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
5) автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
6) распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
7) предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
8) блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
9) уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
10) обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
11) информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
12) трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
13) врачебная тайна - сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении;
14) биометрические персональные данные - сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность;
15) персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Законом № 152-ФЗ.
3. Принципы обработки персональных данных
3.1. Обработка персональных данных осуществляется на основе следующих принципов:
1) обработка персональных данных осуществляется на законной и справедливой основе;
2) обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
3) не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
4) обработке подлежат только те персональные данные, которые отвечают целям их обработки;
5) содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям обработки;
6) при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к заявленным целям их обработки;
7) хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожениюпо достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации.
4. Права субъекта персональных данных
4.1. Субъект персональных данных имеет право:
1) свободно, своей волей и в своем интересе предоставлять свои персональные данные и давать согласие на их обработку;
2) отозвать свое согласие на обработку персональных данных;
3) получать информацию, касающуюся обработки своих персональных данных, в том числе содержащую:
- подтверждение факта обработки персональных данных Обществом;
- правовые основания и цели обработки персональных данных;
- цели и применяемые Обществом способы обработки персональных данных;
- наименование и место нахождения Общества, сведения о лицах (за исключением работников Общества), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Обществом или на основании законодательства Российской Федерации;
- обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
- сроки обработки персональных данных, в том числе сроки их хранения;
- порядок осуществления субъектом персональных данных прав, предусмотренных Законом № 152-ФЗ;
- информацию об отсутствии трансграничной передачи данных;
- наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Общества, если обработка поручена или будет поручена такому лицу;
- информацию о способах исполнения оператором обязанностей, установленных статьей 18.1 Закона №152-ФЗ;
- иные сведения, предусмотренные законодательством Российской Федерации;
4) требовать от Общества уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
5) требовать прекращения обработки своих персональных данных;
6) требовать прекращения обработки своих персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
7) обжаловать действия или бездействие Общества в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;
8) на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
5. Обязанности Общества при обработке персональных данных
5.1. Общество при осуществлении обработки персональных данных обязано:
1) опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику Общества в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
2) уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, об изменениях сведений, указанных в уведомлении, а также в случае прекращения обработки персональных данных в порядке и в сроки, установленные Законом № 152-ФЗ;
3) при сборе персональных данных предоставить субъекту персональных данных по его просьбе информацию, касающуюся обработки его персональных данных;
4) разъяснить субъекту персональных данных юридические последствия отказа предоставить персональные данные и (или) дать согласие на обработку персональных данных, если предоставление персональных данных и (или) получение согласия на обработку персональных данных является обязательным в соответствии с законодательством Российской Федерации;
5) обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе № 152-ФЗ;
6) не раскрывать и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации;
7) предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к субъекту персональных данных, в той форме, в которой были направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе;
8) внести необходимые изменения в персональные данные при наличии сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными;
9) немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
10) уничтожить персональные данные при наличии сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
11) в случае отзыва субъектом персональных данных согласия на обработку его персональных данных прекратить их обработку и уничтожить его персональные данные, за исключением случаев, предусмотренных законодательством о персональных данных;
12) по требованию субъекта персональных данных прекратить обработку и уничтожить его персональные данные, за исключением случаев, предусмотренных законодательством о персональных данных;
13) принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
14) обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных в порядке, определенном федеральным органом исполнительной власти в области обеспечения безопасности;
15) уведомить уполномоченный орган по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, в порядке и сроки, установленные законодательством о персональных данных;
16) сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию.
6. Цели обработки персональных данных
6.1. Цель: Ведение кадрового делопроизводства, осуществление Обществом прав и исполнение обязательств по трудовому праву.
6.1.1. Категории субъектов, персональные данные которых обрабатываются:
- кандидаты для приема на работу;
- работники;
- бывшие работники.
6.1.2. Категории и перечень обрабатываемых персональных данных:
(1) Кандидатов для приема на работу:
- фамилия, имя, отчество (в т.ч. прежние);
- число, месяц, год рождения;
- место рождения;
- сведения о гражданстве;
- вид, серия, номер документа, удостоверяющего личность, дата выдачи, наименование органа, выдавшего его;
- адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
- номера телефонов, адреса электронной почты, сведения о других способах связи;
- сведения о регистрации в системе индивидуального (персонифицированного) учета;
- сведения о трудовой деятельности;
- сведения об образовании, квалификации, наличии специальных знаний;
- сведения о профессиональной переподготовке и (или) повышении квалификации;
- данные медицинской книжки;
- сведения о воинском учете;
- фотография;
- другие персональные данные, необходимые для обеспечения реализации целей обработки, указанных в п. 6.1 настоящей Политики.
(2) Работников и бывших работников:
- сведения, указанные в п.п. (1) п. 6.1.2 настоящей Политики;
- сведения об обязательном социальном, пенсионном и медицинском страховании;
- сведения о добровольном медицинском страховании;
- идентификационный номер налогоплательщика;
- сведения о семейном положении, браке, составе семьи и близких родственниках, обрабатываемые в соответствии с законодательством Российской Федерации;
- сведения, содержащиеся в трудовом договоре, дополнительных соглашениях к трудовому договору;
- сведения о заключении, изменении, прекращении трудового договора;
- сведения о ежегодных оплачиваемых отпусках, отпусках работников, совмещающих работу с обучением (учебных отпусках), и отпусках без сохранения заработной платы;
- сведения о заработной плате, реквизиты банковского счета для перечисления заработной платы и социальных выплат;
- сведения о поощрении, применении дисциплинарных взысканий;
- другие персональные данные, необходимые для обеспечения реализации целей обработки, указанных в п. 6.1. настоящей Политики.
(3) Родственники работников:
- фамилия, имя, отчество;
- число, месяц, год рождения;
- реквизиты документа, удостоверяющего личность (серия, номер, кем выдан, дата выдачи);
- адрес и дата регистрации по месту жительства (месту пребывания);
- реквизиты банковского счета для перечисления сумм алиментов, социальных и иных выплат;
- другие персональные данные, необходимые для обеспечения реализации целей обработки, указанных в п. 6.1. настоящей Политики.
6.1.3. Способы, сроки обработки и хранения персональных данных:
(1) Способы обработки персональных данных:
- С использованием средств автоматизации;
- Без использования средств автоматизации.
(2) Сроки обработки и хранения персональных данных:
- Срок, в течение которого действует согласие субъекта персональных данных;
- В течение срока действия трудового договора и срока, установленного приказом Росархива от 20.12.2019 №236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения».
6.1.4. Порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований определен в разделе 9 настоящей Политики.
6.2. Цель: Осуществление медицинской деятельности.
6.2.1. Категории субъектов, персональные данные которых обрабатываются:
- Пациенты (в т.ч. несовершеннолетних);
- Представители пациентов;
- Лица, которым в интересах пациента может быть передана информация о состоянии его здоровья.
6.2.2. Категории и перечень обрабатываемых персональных данных:
(1) Пациентов:
- фамилия, имя, отчество;
- пол;
- число, месяц, год рождения;
- реквизиты документа, удостоверяющего личность (серия, номер, кем выдан, дата выдачи);
- адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
- номера телефонов, адреса электронной почты, сведения о других способах связи;
- сведения об обязательном медицинском страховании;
- сведения о добровольном медицинском страховании;
- сведения о месте работы/ учебы, в том числе сведения о работодателе/ учебном заведении;
- сведения о законном представителе;
- сведения о лицах, которым в интересах пациента может быть передана информация о состоянии его здоровья;
- сведения о состоянии здоровья и диагнозе, иные сведения, полученные при медицинском обследовании и лечении;
- сведения о факте обращения за медицинской помощью;
- сведения, содержащиеся в договоре добровольного медицинского страхования, договоре оказания медицинских услуг, дополнительных соглашениях к договорам;
- сведения о заключении, изменении, прекращении, а также об исполнении договора добровольного медицинского страхования, договора оказания медицинских услуг;
- другие персональные данные, необходимые для обеспечения реализации целей обработки, указанных в п. 6.3 настоящей Политики.
(2) Представителей пациентов:
- фамилия, имя, отчество;
- реквизиты документа, удостоверяющего личность (серия, номер, кем выдан, дата выдачи);
- адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
- номера телефонов, адреса электронной почты, сведения о других способах связи;
- сведения, содержащиеся в документах, подтверждающих полномочия представителя;
- другие персональные данные, необходимые для обеспечения реализации целей обработки, указанных в п. 6.3 настоящей Политики.
(3) Лиц, которым в интересах пациента может быть передана информация о состоянии его здоровья:
- фамилия, имя, отчество;
- реквизиты документа, удостоверяющего личность (серия, номер, кем выдан, дата выдачи);
- адрес регистрации по месту жительства (месту пребывания);
- номера телефонов, адреса электронной почты, сведения о других способах связи;
- сведения, содержащиеся в документах, подтверждающих полномочия представителя;
- другие персональные данные, необходимые для обеспечения реализации целей обработки, указанных в п. 6.3 настоящей Политики.
6.2.3. Способы, сроки обработки и хранения персональных данных:
(1) Способы обработки персональных данных:
- С использованием средств автоматизации.
- Без использования средств автоматизации.
(2) Сроки обработки и хранения персональных данных:
- Срок, в течение которого действует согласие субъекта персональных данных;
- В течение срока действия договора оказания медицинских услуг, договора добровольного медицинского страхования, а также в течение сроков, установленных нормативными правовыми актами в сфере здравоохранения. Комплексная информация о нормативных требованиях приведена в Письме Минздрава России от 07.12.2015 № 13-2/1538 «О сроках хранения медицинской документации».
6.2.4. Порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований определен в разделе 9 настоящей Политики.
6.3. Цель: Реализация функциональных модулей сайта, сбор статистики о посещаемости сайта.
6.3.1. . Категории субъектов, персональные данные которых обрабатываются:
- пациенты и / или представители пациентов;
- посетители сайта Общества.
6.3.2. Категории и перечень обрабатываемых персональных данных:
(1) Пациентов и / или представителей пациентов:
- фамилия, имя, отчество;
- номера телефонов, адреса электронной почты, сведения о других способах связи;
- сведения о факте обращения;
- техническая информация об используемых устройствах, активности посетителя на сайте.
(2) Посетителей сайта Общества:
- фамилия, имя, отчество;
- номера телефонов, адреса электронной почты, сведения о других способах связи;
- техническая информация об используемых устройствах, активности посетителя на сайте.
6.3.3. Способы, сроки обработки и хранения персональных данных:
(1) Способы обработки персональных данных:
- С использованием средств автоматизации.
(2) Сроки обработки и хранения персональных данных:
- Срок, в течение которого действует согласие субъекта персональных данных;
- Срок, установленный в нормативных правовых актах.
6.3.4. Порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований определен в разделе 9 настоящей Политики.
6.4. Цель: Организация и проведение мероприятий, направленных на повышение узнаваемости и лояльности в отношении Общества, а также продвижения услуг Общества.
6.4.1. Категории субъектов, персональные данные которых обрабатываются:
- пациенты;
- представители пациентов;
- контрагенты, не являющиеся пациентами, и заключившие договоры оказания медицинских услуг пациенту;
- посетители сайта Общества.
6.4.2. Категории и перечень обрабатываемых персональных данных:
(1) Пациентов:
- фамилия, имя, отчество;
- пол;
- число, месяц, год рождения;
- адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
- номера телефонов, адреса электронной почты, сведения о других способах связи;
- сведения об обязательном медицинском страховании;
- сведения о добровольном медицинском страховании;
- сведения о состоянии здоровья и диагнозе, иные сведения, полученные при медицинском обследовании и лечении;
- сведения о факте обращения за медицинской помощью;
- сведения, содержащиеся в договоре добровольного медицинского страхования, договоре оказания медицинских услуг, дополнительных соглашениях к договорам;
- сведения о заключении, изменении, прекращении, а также об исполнении договора добровольного медицинского страхования, договора оказания медицинских услуг.
(2) Представителей пациентов:
- фамилия, имя, отчество;
- реквизиты документа, удостоверяющего личность (серия, номер, кем выдан, дата выдачи);
- номера телефонов, адреса электронной почты, сведения о других способах связи;
- сведения, содержащиеся в документах, подтверждающих полномочия представителя.
(3) Контрагентов, не являющихся пациентами, и заключившими договоры оказания медицинских услуг пациенту:
- фамилия, имя, отчество;
- реквизиты документа, удостоверяющего личность (серия, номер, кем выдан, дата выдачи);
- номера телефонов, адреса электронной почты, сведения о других способах связи;
- сведения, содержащиеся в документах, подтверждающих полномочия представителя.
(4) Посетителей сайта Общества:
- фамилия, имя, отчество;
- номера телефонов, адреса электронной почты, сведения о других способах связи;
- техническая информация об используемых устройствах, активности посетителя на сайте.
6.4.3. Способы, сроки обработки и хранения персональных данных:
(1) Способы обработки персональных данных:
- С использованием средств автоматизации.
(2) Сроки обработки и хранения персональных данных:
- Срок, в течение которого действует согласие субъекта персональных данных.
6.4.4. Порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований определен в разделе 9 настоящей Политики.
6.5. Цель: Подготовка, заключение, изменение, исполнение и прекращение договоров.
6.5.1. Категории субъектов, персональные данные которых обрабатываются:
- контрагенты и их представители.
6.5.2. Категории и перечень обрабатываемых персональных данных:
(1) Контрагентов и их представителей
- фамилия, имя, отчество;
- реквизиты документа, удостоверяющего личность (серия, номер, кем выдан, дата выдачи);
- адрес и дата регистрации по месту жительства (месту пребывания;
- номера телефонов, адреса электронной почты, сведения о других способах связи;
- сведения о регистрации в качестве индивидуального предпринимателя, самозанятого гражданина, о наличии статуса нотариуса, адвоката и т.п.;
- сведения о наличии лицензий, иной разрешительной документации;
- сведения о применяемом режиме налогообложения;
- индивидуальный номер налогоплательщика;
- сведения, содержащиеся в договорах, дополнительных соглашениях к договорам;
- сведения о заключении, изменении, прекращении, а также об исполнении договоров;
- реквизиты банковского счета;
- другие персональные данные, необходимые для обеспечения реализации целей обработки, указанных в п.6.6. настоящей Политики.
6.5.3. Способы, сроки их обработки и хранения персональных данных:
(1) Способы обработки персональных данных:
- С использованием средств автоматизации;
- Без использования средств автоматизации.
(2) Сроки обработки и хранения персональных данных:
- Срок, в течение которого действует согласие субъекта персональных данных;
- В течение срока действия договора и срока исковой давности, если иное не предусмотрено в нормативных правовых актах.
6.5.4. Порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований определен в разделе 9 настоящей Политики.
6.6. Цель: Принятия корпоративных решений, выплаты вознаграждений членам органов управления Общества.
6.6.1. Категории субъектов, персональные данные которых обрабатываются:
- Члены органов управления Общества.
6.6.2. Категории и перечень обрабатываемых персональных данных:
(1) Членов органов управления:
- фамилия, имя, отчество;
- реквизиты документа, удостоверяющего личность (серия, номер, кем выдан, дата выдачи);
- адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
- индивидуальный номер налогоплательщика;
- номера телефонов, адреса электронной почты, сведения о других способах связи;
- согласие на избрание (назначение) в орган управления/ орган контроля Общества;
- сведения о трудовой деятельности;
- сведения о супруге, родителях, детях, полнородных и неполнородных братьях и сестрах, усыновителях и усыновленных лица, осуществляющего полномочия единоличного исполнительного органа, члена органа управления Общества и (или) подконтрольных им лицах (подконтрольных организациях);
- содержание корпоративных решений об избрании/ назначении в органы управления/ контроля, о продлении и прекращении полномочий, выплате вознаграждений;
- сведения, содержащиеся в соглашениях, заключенных Обществом с лицом, осуществляющим полномочия единоличного исполнительного органа, членами органов управления/ контроля;
- реквизиты банковского счета для перечисления вознаграждений;
- другие персональные данные, необходимые для обеспечения реализации целей обработки, указанных в п. 6.7 настоящей Политики.
6.6.3. Способы, сроки обработки и хранения персональных данных:
(1) Способы обработки персональных данных:
- С использованием средств автоматизации;
- Без использования средств автоматизации.
(2) Сроки обработки и хранения персональных данных:
- Срок, установленный в законодательстве об обществах с ограниченной ответственностью.
6.6.4. Порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований определен в разделе 9 настоящей Политики.
7. Правовые основания обработки персональных данных
7.1. Правовыми основаниями обработки персональных данных для достижения целей, указанных в разделе 6 настоящей Политики, являются:
1) Гражданский кодекс российской Федерации;
2) Трудовой кодекс Российской Федерации;
3) Налоговый кодекс Российской Федерации;
4) Федеральный закон от 08.02.1998 № 14-ФЗ «Об обществах с ограниченной ответственностью»;
5) Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
6) Федеральный закон Российской Федерации от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
7) Федеральный закон Российской Федерации от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
8) Федеральный закон Российской Федерации от 28.12.2003 №426 «О специальной оценке условий труда»;
9) Постановление Правительства Российской Федерации от 27.11.2006 г. № 719 «Об утверждении Положения о воинском учете»;
10) Устав Общества;
11) Лицензия № ЛО-77-01-018719
12) договоры, заключаемые между Обществом и субъектами персональных данных;
13) согласие субъектов персональных данных на обработку их персональных данных;
14) уведомление об автоматическом сборе технических данных пользователей (посетителей) сайта Общества;
15) иные нормативные правовые акты, исполнение требований которых связано с обработкой персональных данных.
8. Порядок и условия обработки персональных данных
8.1. Сбор персональных данных.
8.1.1. Общество получает персональные данные в устной и письменной форме (в том числе в результате предоставления оригиналов или копий документов) непосредственно от субъектов персональных данных, их представителей, в также иных лиц в случаях и порядке, предусмотренных законодательством Российской Федерации.
8.1.2. При сборе персональных данных на страницах сайта Общество предоставляет субъекту персональных данных возможность ознакомления с настоящей Политикой и дать согласие на обработку персональных данных свободно, своей волей и в своем интересе.
8.1.3. Сбор и обработка персональных данных субъекта в целях продвижения товаров, работ, услуг Общества и иных третьих лиц с помощью средств связи осуществляется только при условии получения предварительного согласия на это субъекта.
8.1.4. Если в соответствии с законодательством Российской Федерации предоставление персональных данных и (или) получение Обществом согласия на обработку персональных данных являются обязательными, Общество разъясняет субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку.
8.1.5. Если персональные данные получены не от субъекта персональных данных, Общество до начала обработки таких персональных данных предоставляет субъекту персональных данных следующую информацию:
- наименование и адрес Общества;
- цель обработки персональных данных и ее правовое основание;
- перечень персональных данных;
- предполагаемые пользователи персональных данных;
- установленные законодательством о персональных данных права субъекта персональных данных;
- источник получения персональных данных.
8.1.6. Общество освобождается от обязанности предоставлять субъекту перечисленные сведения, в случаях, если субъект уведомлен об осуществлении обработки его персональных данных, либо если персональные данные получены Обществом на основании федерального закона или в связи с исполнением договора, стороной которого является субъект.
8.2. Категории и состав обрабатываемых персональных данных.
8.2.1. Общество осуществляет обработку специальных категорий персональных данных, касающихся состояния здоровья работников, только в случаях, предусмотренных трудовым законодательством Российской Федерации.
- Общество осуществляет обработку специальных категорий персональных данных, касающихся состояния здоровья пациентов в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг на основании заключаемого с пациентом договора оказания медицинских услуг и /или договора добровольного медицинского страхования.
8.2.2. Общество осуществляет распространение персональных данных медицинских работников, а именно: фамилия, имя, отчество (при наличии), занимаемая должность, сведения об образовании, квалификации, профессиональном опыте, стаж работы, фотография, график работы и часы приема с целью предоставления пользователям сайта информации о медицинской организации и ее работниках на основании согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
8.2.3. Общество не осуществляет обработку биометрических персональных данных
8.2.4. Состав обрабатываемых Обществом персональных данных определен в п. 6 настоящей Политики
8.3. Условия передачи персональных данных третьим лицам.
8.3.1. Предоставление персональных данных органам государственной власти, органам местного самоуправления (в т.ч. путем внесения сведений в государственные и муниципальные информационные системы), а также иным уполномоченным органам допускается в случаях и на основаниях, предусмотренных законодательством Российской Федерации.
8.3.2. Передача персональных данных между подразделениями Общества осуществляется только между работниками, имеющими доступ к персональным данным субъектов.
8.3.3. Представителю субъекта персональные данные субъекта предоставляются в порядке, установленном действующим законодательством Российской Федерации, при наличии документов, подтверждающих полномочия представителя, и документов, удостоверяющих личность представителя.
8.3.4. Передача персональных данных субъекта третьему лицу осуществляется только с согласия субъекта персональных данных. В согласии субъекта персональных данных указывается сведения о третьем лице (третьих лицах), которому (которым) передаются персональные данные, а также цель передачи персональных данных.
8.3.5. Передача персональных данных или поручение обработки персональных данных субъектов третьему лицу осуществляется на основании договора, существенными условиями которого являются соблюдение третьим лицом конфиденциальности и обеспечение безопасности персональных данных в соответствии с требованиями законодательства о персональных данных.
8.3.6. При передаче персональных данных третьим лицам, которые на основании договоров получают доступ или осуществляют обработку персональных данных, Общество ограничивает эту информацию только теми персональными данными, которые необходимы для выполнения указанными лицами их функций (услуг, работ).
8.4. Трансграничная передача персональных данных.
8.4.1. Общество не осуществляет трансграничную передачу персональных данных.
9. Ответы на запросы субъектов на доступ к персональным данным. Актуализация, исправление, удаление и уничтожение персональных данных
9.1. Сведения, указанные в подп. 4 п. 4.1. настоящей Политики, предоставляются субъекту персональных данных или его представителю Обществом в течение 10 (десяти) рабочих дней с момента обращения либо получения Обществом запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Обществом в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Общество предоставляет сведения субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращение или запросе.
9.2. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Обществом (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Обществом, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
9.3. Если в обращении (запросе) субъекта персональных данных не отражены все необходимые сведения, указанные в п. 9.2. настоящей Политики, или субъект не обладает правами доступа к запрашиваемой информации, Общество направляет ему мотивированный отказ в предоставлении сведений.
9.4. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с ч. 8 ст. 14 Закона № 152-ФЗ, если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
9.5. Формы запросов (обращений) субъектов персональных данных и их представителей приведены в Приложениях №№ 2-5 к настоящей Политике.
9.6. Запросы субъектов персональных данных или их представителей принимаются по адресу: 121170, город Москва, Кутузовский пр-кт, д. 32 к. 1, эт/пом 1/1.143 . Также запрос, подписанный электронной подписью, может быть направлен на адрес электронной почты: PD@mymedex.ru.
9.7. В срок, не превышающий 7 (семи) рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, Общество вносит в них необходимые изменения.
9.8. В срок, не превышающий 7 (семи) рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Общество уничтожает такие персональные данные.
9.9. Общество уведомляет субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принимает разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.
9.10. В случае обращения субъекта с требованием прекратить обработку его персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи, Общество незамедлительно прекращает их обработку.
9.11. В случае обращения субъекта персональных данных к Обществу с требованием о прекращении обработки персональных данных Общество обязано в срок, не превышающий 10 (десяти) рабочих дней с даты получения Общества соответствующего требования, прекратить их обработку или обеспечить прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), за исключением случаев, предусмотренных пунктами 2 - 11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11, предусмотренных Законом № 152-ФЗ. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Обществом в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
9.12. В случае отзыва субъектом согласия на обработку его персональных данных Общество прекращает такую обработку и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожает персональные данные в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва, если иное не предусмотрено законодательством Российской Федерации, нормами архивного хранения документов, содержащих персональные данные, а также договором стороной которого является субъект.
9.13. В случае выявления неправомерной обработки персональных данных, Общество в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, прекращает неправомерную обработку персональных данных и в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки персональных данных, уничтожает такие персональные данные.
9.14. В случае утраты необходимости в достижении целей Компания уничтожает обрабатываемые персональные данные в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено законодательством Российской Федерации.
9.15. В случае достижения целей обработки персональных данных, а также по истечении установленных сроков хранения персональных данных Компания уничтожает обрабатываемые персональные данные в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено законодательством Российской Федерации.
9.16. В случае отсутствия возможности уничтожения персональных данных в течение вышеуказанного срока Общество осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общество) и обеспечивает уничтожение персональных данных в срок не более чем 6 (шесть) месяцев, если иной срок не установлен федеральными законами.
9.17. Общество сообщает в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение 10 (десяти) рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Обществом в адрес уполномоченного органа по защите прав субъект персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
10. Конфиденциальность персональных данных
10.1. Доступ к персональным данным ограничивается в соответствии с законодательством Российской Федерации.
10.2. Доступ к обрабатываемым персональным данным предоставляется только тем работникам Общества, которым он необходим в связи с исполнением ими своих должностных обязанностей.
10.3. Работники Общества, получившие доступ к персональным данным, принимают на себя обязательства по обеспечению конфиденциальности и безопасности обрабатываемых персональных данных.
10.4. Общество не раскрывает третьим лицам и не распространяет персональные данные без согласия на это субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.
10.5. Третьи лица, получившие доступ к персональным данным, или осуществляющие обработку персональных данных по поручению Общества, обязуются соблюдать требования договоров и соглашений с Обществом в части обеспечения конфиденциальности и безопасности персональных данных.
11. Требования к защите персональных данных, реализуемые Обществом
11.1. Обеспечение безопасности персональных данных при их обработке Обществом осуществляется в соответствии с законодательством Российской Федерации и требованиями уполномоченного органа государственной власти по защите прав субъектов персональных данных, федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, и федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации.
11.2. Общество предпринимает необходимые организационные и технические меры для защиты персональных данных от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий.
11.3. Меры защиты, реализуемые Обществом при обработке персональных данных, включают:
- принятие локальных актов и иных документов в области обработки и защиты персональных данных;
- назначение работника, ответственного за организацию обработки персональных данных;
- назначение работника, ответственного за обеспечение безопасности персональных данных в информационных системах Общества;
- организацию обучения и проведение методической работы с работниками, осуществляющими обработку персональных данных;
- создание необходимых условий для работы с материальными носителями и информационными системами, в которых обрабатываются персональные данные;
- организацию учета материальных носителей персональных данных и информационных систем, в которых обрабатываются персональные данные;
- хранение материальных носителей персональных данных с соблюдением условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним;
- обособление персональных данных, обрабатываемых без использования средств автоматизации, от иной информации;
- обеспечение раздельного хранения материальных носителей персональных данных, на которых содержатся персональные данные разных категорий или содержатся персональные данные, обработка которых осуществляется в разных целях;
- обеспечение защиты документов, содержащих персональные данные, на бумажных и иных материальных носителях при их передаче третьим лицам с использованием услуг почтовой связи;
- систематическую оценку угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
- оценку причинения вреда и (или) нанесения ущерба субъектам персональных данных в случае нарушения законодательства о персональных данных;
- определение необходимого уровня защищенности персональных данных, обрабатываемых в информационных системах Общества, в соответствии с Постановлением Правительства РФ от 01.11.2012 г. №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
- разграничение доступа к информационным системам персональных данных, материальным носителям (документам), съемным (машинным) носителям персональных данных;
- регистрацию и учет действий пользователей и администраторов информационных систем с персональными данными, программными средствами информационных систем, съемными (машинными) носителями и средствами защиты информации;
- предотвращение внедрения в информационные системы Общества вредоносных программ;
- использование защищенных каналов связи;
- резервирование и восстановление работоспособности технических средств и программного обеспечения, баз данных и средств защиты информации;
- выявление инцидентов, связанных с нарушением требований по обработке и обеспечению безопасности персональных данных, и реагирование на них;
- осуществление внутреннего контроля за соблюдением законодательства Российской Федерации и локальных актов Общества при обработке персональных данных;
- оценку эффективности принимаемых мер по обеспечению безопасности персональных данных и совершенствование системы защиты персональных данных.
11.4. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Общество обязано с момента выявления такого инцидента Обществом, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных:
1) в течение 24 (двадцати четырех) часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном на взаимодействие Обществом с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
2) в течение 72 (семидесяти двух) часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
12. Запреты и ограничения на обработку персональных данных, разрешенных субъектом персональных данных для распространения
12.1. Посетители сайта (неограниченный круг лиц) и любые сторонние операторы не могут осуществлять какие-либо действия в отношении персональных данных медицинских работников, которые распространяются на информационном ресурсе https://mymedex.ru/medics/, за исключением ознакомления с персональными данными.
13. Заключительные положения
13.1. Настоящая Политика подлежит пересмотру и совершенствованию на регулярной основе, а также в случаях изменения законодательства Российской Федерации.
13.2. Контроль исполнения требований настоящей Политики осуществляется лицами, ответственными за организацию обработки и обеспечение безопасности персональных данных в Обществе.
13.3. В случае нарушения требований законодательства Российской Федерации и локальных актов Общества в сфере обработки и защиты персональных данных Общество несет ответственность в соответствии с законодательством Российской Федерации.
Приложение № 1 к Политике
Запрос субъекта персональных данных на получение информации об обрабатываемых персональных данных (форма)
В ООО «МЕДЭКСПЕРТ ПЛЮС»
Я,___________________________________________________________________________, паспорт серии _____ № __________ выдан «____» __________ _______ г. _____________________________________________________________________________,
(кем выдан)
В лице представителя субъекта персональных данных (заполняется в случае направления запроса представителем субъекта персональных данных)
_____________________________________________________________________________
(фамилия, имя, отчество полностью)
паспорт серии _____ № __________ выдан «____» __________ _______ г. _____________________________________________________________________________,
(кем выдан)
действующего от имени субъекта персональных данных на основании
__________________________________________________________________________________________
(реквизиты доверенности или иного документа, подтверждающего полномочия представителя)
прошу ООО «МЕДЭКСПЕРТ ПЛЮС» предоставить мне следующую информацию, касающуюся обработки моих персональных данных в связи с _________________________________________________________________________________________:
(указать сведения, подтверждающие обработку персональных данных, например, номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения)
- подтверждение факта обработки персональных данных ООО «МЕДЭКСПЕРТ ПЛЮС»;
- правовые основания и цели обработки персональных данных;
- цели и применяемые ООО «МЕДЭКСПЕРТ ПЛЮС» способы обработки персональных данных;
- наименование и место нахождения ООО «МЕДЭКСПЕРТ ПЛЮС», сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с ООО «МЕДЭКСПЕРТ ПЛЮС» или на основании федерального закона;
- обрабатываемые персональные данные, источник их получения;
- сроки обработки персональных данных, в том числе сроки их хранения;
- порядок осуществления моих прав, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
- информацию о способах исполнения оператором обязанностей, установленных статьей 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
- информацию об осуществленной или о предполагаемой трансграничной передаче данных;
- наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению ООО «МЕДЭКСПЕРТ ПЛЮС», если обработка поручена или будет поручена такому лицу.
Указанную информацию прошу:
выдать мне на руки;
направить по адресу _____________________________________________________.
_______________________ /________________________/ «__» ________ 20__ г.
(подпись) (ФИО)
Приложение № 2 к Политике
Запрос/обращение субъекта персональных данных по вопросу правомерности обработки персональных данных (форма)
В ООО «МЕДЭКСПЕРТ ПЛЮС»
Я,___________________________________________________________________________, паспорт серии _____ № __________ выдан «____» __________ _______ г. _____________________________________________________________________________,
(кем выдан)
В лице представителя субъекта персональных данных (заполняется в случае направления запроса представителем субъекта персональных данных)
_____________________________________________________________________________
(фамилия, имя, отчество полностью)
паспорт серии _____ № __________ выдан «____» __________ _______ г. _____________________________________________________________________________,
(кем выдан)
действующего от имени субъекта персональных данных на основании
__________________________________________________________________________________________
(реквизиты доверенности или иного документа, подтверждающего полномочия представителя)
В соответствии с положениями ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» прошу предоставить в мой адрес сведения о правовых основаниях обработки моих персональных данных в ООО «МЕДЭКСПЕРТ ПЛЮС».
В случае подтверждения ООО «МЕДЭКСПЕРТ ПЛЮС» факта неправомерной обработки моих персональных данных прошу прекратить обработку персональных данных в течение трех рабочих дней.
Сведения об обеспечении правомерности обработки моих персональных данных или об уничтожении персональных данных ООО «МЕДЭКСПЕРТ ПЛЮС» в случае их неправомерной обработки прошу:
выдать мне на руки;
направить по адресу _____________________________________________________.
_______________________ /________________________/ «__» ________ 20__ г.
(подпись) (ФИО)
Приложение № 3 к Политике
Запрос/обращение субъекта персональных данных об уточнении персональных данных (форма)
В ООО «МЕДЭКСПЕРТ ПЛЮС»
Я,___________________________________________________________________________, паспорт серии _____ № __________ выдан «____» __________ _______ г. _____________________________________________________________________________,
(кем выдан)
В лице представителя субъекта персональных данных (заполняется в случае направления запроса представителем субъекта персональных данных)
_____________________________________________________________________________
(фамилия, имя, отчество полностью)
паспорт серии _____ № __________ выдан «____» __________ _______ г. _____________________________________________________________________________,
(кем выдан)
действующего от имени субъекта персональных данных на основании
__________________________________________________________________________________________
(реквизиты доверенности или иного документа, подтверждающего полномочия представителя)
В соответствии с положениями ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и на основании:
__________________________________________________________________________________________
(документ(ы) на основании которого(ых) оператор обязан уточнить персональные данные)
прошу произвести уточнение моих персональных данных либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению ООО «МЕДЭКСПЕРТ ПЛЮС») согласно представленным документам.
Уведомление о внесенных изменениях прошу:
выдать мне на руки
направить по адресу _____________________________________________________.
_______________________ /________________________/ «__» ________ 20__ г.
(подпись) (ФИО)
Приложение № 4 к Политике
Заявление/обращение субъекта персональных данных по вопросу отзыва согласия на обработку персональных данных (форма)
В ООО «МЕДЭКСПЕРТ ПЛЮС»
Я,___________________________________________________________________________, паспорт серии _____ № __________ выдан «____» __________ _______ г. _____________________________________________________________________________,
(кем выдан)
В лице представителя субъекта персональных данных (заполняется в случае направления заявления представителем субъекта персональных данных)
_____________________________________________________________________________
(фамилия, имя, отчество полностью)
паспорт серии _____ № __________ выдан «____» __________ _______ г. _____________________________________________________________________________,
(кем выдан)
действующего от имени субъекта персональных данных на основании
__________________________________________________________________________________________
(реквизиты доверенности или иного документа, подтверждающего полномочия представителя)
В соответствии с ч. 2 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» отзываю у ООО «МЕДЭКСПЕРТ ПЛЮС» согласие на обработку персональных данных для:
____________________________________________________________________________.
(цели обработки персональных данных, в отношении которых отзывается согласие)
Перечень моих персональных данных, обработку которых прошу прекратить:
_____________________________________________________________________________
_______________________ /________________________/ «___» ________ 20__ г.
(подпись) (ФИО)
