ПОЛИТИКА ООО «ССМЦ №1» в отношении обработки персональных данных
пользователей сайта lymphedema-plastic.ru и лиц, обращающихся по телефону
1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее - Политика) разработана во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - Закон о ПД) и определяет цели, правовые основания, условия и способы обработки персональных данных, а также меры по обеспечению их безопасности.
1.2. Оператором персональных данных является Общество с ограниченной ответственностью «Сеть семейных медицинских центров №1» (ООО «ССМЦ №1»), ОГРН 1147746023644, ИНН 7716764391, КПП 770701001, адрес места нахождения: 127006, г. Москва, ул. Садовая-Каретная, д. 8, стр. 6, помещ. II, ком. 2; лицензия на осуществление медицинской деятельности № Л041-01137-77/00363237 от 24.09.2020, выдана Департаментом здравоохранения города Москвы (далее - Оператор).
1.3. Политика применяется к персональным данным, которые Оператор обрабатывает: (а) в связи с использованием сайта в информационно-телекоммуникационной сети «Интернет», расположенного по адресу https://lymphedema-plastic.ru (далее - Сайт); (б) в связи с телефонными обращениями по номеру телефона, размещенному на Сайте.
1.4. Сайт не содержит форм для ввода персональных данных (форм заявки, заказа обратного звонка, регистрации, онлайн-чата), а также ссылок на мессенджеры Оператора. Единственным способом обращения к Оператору с Сайта является самостоятельный телефонный звонок Пользователя по номеру, указанному на Сайте. Через Сайт Оператор не запрашивает и не получает сведения о состоянии здоровья.
1.5. Обработка персональных данных пациентов при оказании медицинской помощи (в том числе ведение медицинской документации, оформление информированного добровольного согласия, договора на оказание платных медицинских услуг) осуществляется в соответствии с Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» (далее - Закон № 323-ФЗ), Правилами предоставления медицинскими организациями платных медицинских услуг, утвержденными постановлением Правительства РФ от 11.05.2023 № 736, и локальными нормативными актами Оператора на основании документов, оформляемых в медицинской организации. Настоящая Политика на такую обработку не распространяется.
1.6. Политика является общедоступным документом и опубликована на Сайте по адресу https://lymphedema-plastic.ru/policy. Используя Сайт или обращаясь к Оператору по телефону, указанному на Сайте, субъект персональных данных может ознакомиться с Политикой до предоставления своих персональных данных.
2. Основные термины
2.1. Персональные данные (ПД) - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
2.2. Обработка персональных данных - любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
2.3. Пользователь - любое физическое лицо, посещающее Сайт.
2.4. Абонент - физическое лицо, позвонившее Оператору по номеру телефона, указанному на Сайте, в том числе действующее в интересах другого лица (пациента) в качестве его законного представителя или представителя по доверенности.
2.5. Файлы cookie - небольшие текстовые файлы, которые Сайт сохраняет в браузере устройства Пользователя.
2.6. Сведения о состоянии здоровья - специальная категория персональных данных в смысле ст. 10 Закона о ПД. Сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну (ст. 13 Закона № 323-ФЗ).
2.7. Иные термины используются в значении, установленном Законом о ПД.
3. Правовые основания обработки персональных данных
3.1. Оператор обрабатывает персональные данные на основании и во исполнение: Конституции Российской Федерации; Гражданского кодекса Российской Федерации; Закона о ПД; Закона № 323-ФЗ; Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»; Закона РФ от 07.02.1992 № 2300-1 «О защите прав потребителей»; постановления Правительства РФ от 11.05.2023 № 736; постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»; устава Оператора; лицензии на осуществление медицинской деятельности; согласий субъектов персональных данных; договоров, заключаемых Оператором.
3.2. Конкретное правовое основание для каждой цели обработки указано в разделе 4 Политики.
4. Цели, категории субъектов, перечень персональных данных, правовые основания, способы и сроки обработки
4.1. Оператор обрабатывает персональные данные исключительно для следующих заранее определенных и законных целей:
Цель обработки Субъекты ПД Перечень ПД Правовое основание Способ и срок обработки
1. Обеспечение работоспособности и информационной безопасности Сайта Пользователи IP-адрес; сведения о браузере и операционной системе (user-agent); дата и время запроса; адрес запрашиваемой страницы; код ответа сервера п. 7 ч. 1 ст. 6 Закона о ПД (законный интерес Оператора в обеспечении безопасности Сайта) Автоматизированная. Хранение технических журналов - не более 30 (тридцати) календарных дней
2. Сбор статистики посещаемости, анализ использования Сайта, оценка эффективности рекламных кампаний Пользователи, давшие согласие Данные файлов cookie и идентификатор Яндекс Метрики (ClientID); IP-адрес; тип устройства, операционная система, браузер, разрешение экрана, язык; регион (город), определенный по IP-адресу; источник перехода на Сайт, в том числе UTM-метки и рекламные идентификаторы; адреса просмотренных страниц; дата, время и продолжительность посещения; действия на Сайте (переходы, клики, нажатие на номер телефона, прокрутка) п. 1 ч. 1 ст. 6 Закона о ПД (согласие, оформленное отдельно от иных документов) Автоматизированная. До отзыва согласия, но не более 1 (одного) года с даты последнего посещения Сайта
3. Консультирование по телефону об услугах, ценах, порядке и условиях их оказания; запись на консультацию (прием) к врачу; подтверждение и напоминание о записи Абоненты (пациенты и потенциальные пациенты, их законные представители и представители по доверенности) Фамилия, имя, отчество (или только имя - по выбору Абонента); номер телефона; дата и время звонка; дата рождения пациента (при записи на прием); желаемые дата и время приема; содержание обращения; сведения о состоянии здоровья - только в объеме, самостоятельно сообщенном Абонентом и необходимом для выбора специалиста и подготовки к консультации п. 5 ч. 1 ст. 6 Закона о ПД (действия по инициативе субъекта ПД, направленные на заключение договора); в части сведений о состоянии здоровья - п. 4 ч. 2 ст. 10 Закона о ПД Смешанная. До достижения цели; если договор на оказание медицинских услуг не заключен - не более 1 (одного) года с даты последнего обращения
4. Запись телефонных разговоров для контроля качества обслуживания, обучения сотрудников, рассмотрения обращений и претензий, защиты прав и законных интересов Оператора и Абонента Абоненты Аудиозапись разговора (голос и содержание разговора); номер телефона; дата, время и продолжительность звонка п. 7 ч. 1 ст. 6 Закона о ПД при условии уведомления Абонента о записи в начале звонка; в части сведений о состоянии здоровья, прозвучавших в разговоре, - п. 4 ч. 2 ст. 10 Закона о ПД Автоматизированная. Не более 6 (шести) месяцев с даты звонка, а при наличии претензии или спора - до их окончательного урегулирования
5. Рассмотрение запросов и требований субъектов ПД, исполнение обязанностей, установленных законодательством РФ Субъекты ПД и их представители Фамилия, имя, отчество; номер основного документа, удостоверяющего личность, дата его выдачи и выдавший орган; контактные данные; содержание запроса; сведения, подтверждающие участие субъекта в отношениях с Оператором; реквизиты доверенности (для представителя) п. 2 ч. 1 ст. 6 Закона о ПД (ст. 14, 20, 21 Закона о ПД) Смешанная. 3 (три) года с даты направления ответа на запрос
4.2. Не допускается обработка персональных данных, несовместимая с целями их сбора, а также объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой. Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки.
4.3. Факт посещения Пользователем Сайта и просмотра его страниц не рассматривается и не используется Оператором как сведения о состоянии здоровья Пользователя. Данные веб-аналитики (цель 2) обрабатываются в обезличенном виде для получения агрегированной статистики, не сопоставляются Оператором с данными Абонентов, не используются для установления личности Пользователя и для формирования аудиторий в целях показа рекламы.
4.4. Сведения о состоянии здоровья Оператор по телефону не запрашивает сверх необходимого для выбора специалиста и записи на прием. Абоненту рекомендуется сообщать по телефону минимально необходимые сведения; подробное обсуждение состояния здоровья, а также предоставление медицинских документов осуществляются на очной консультации врача. Обработка сведений о состоянии здоровья осуществляется лицами, профессионально занимающимися медицинской деятельностью и обязанными сохранять врачебную тайну, а также работниками Оператора, которым такие сведения стали известны при исполнении трудовых обязанностей и на которых распространяется обязанность по их неразглашению (ч. 2 ст. 13 Закона № 323-ФЗ).
4.5. Сведения о факте обращения пациента к Оператору не сообщаются третьим лицам, в том числе лицам, обратившимся по телефону от имени пациента, за исключением законных представителей пациента, лиц, указанных пациентом в информированном добровольном согласии, и иных случаев, предусмотренных ст. 13 Закона № 323-ФЗ.
4.6. Если обращение касается несовершеннолетнего или лица, признанного недееспособным, Абонент действует в качестве законного представителя такого лица и подтверждает свои полномочия при очном обращении в медицинскую организацию.
5. Принципы и условия обработки
5.1. Обработка персональных данных осуществляется на законной и справедливой основе с соблюдением принципов, установленных ст. 5 Закона о ПД, в том числе принципов ограничения обработки достижением конкретных целей, минимизации, точности и ограничения сроков хранения.
5.2. Оператор не осуществляет:
- принятие решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных (ст. 16 Закона о ПД);
- обработку биометрических персональных данных. Голос Абонента в аудиозаписях разговоров не используется Оператором для установления личности и в силу ч. 1 ст. 11 Закона о ПД не является биометрическими персональными данными;
- трансграничную передачу персональных данных;
- распространение персональных данных (раскрытие неопределенному кругу лиц);
- обработку персональных данных в целях продвижения товаров, работ, услуг путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи (рекламных звонков, рассылок) без отдельного предварительного согласия субъекта (ст. 15 Закона о ПД, ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»).
5.3. При сборе персональных данных Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о ПД).
5.4. Номер телефона Абонента определяется автоматически средствами телефонии при входящем звонке. Аудиозапись разговора осуществляется только после уведомления Абонента об этом в начале звонка. Абонент вправе до продолжения разговора сообщить о несогласии с записью; в этом случае Оператор предлагает получить консультацию при личном обращении в медицинскую организацию или обеспечивает разговор без записи.
6. Поручение обработки и передача персональных данных
6.1. Оператор вправе поручить обработку персональных данных другому лицу на основании договора (поручения) в соответствии с ч. 3 ст. 6 Закона о ПД. Лицо, осуществляющее обработку по поручению Оператора, обязано соблюдать принципы и правила обработки, предусмотренные Законом о ПД, обеспечивать конфиденциальность и безопасность персональных данных и выполнять требования ст. 18.1 и 19 Закона о ПД. Ответственность перед субъектом за действия такого лица несет Оператор.
6.2. На дату утверждения Политики обработку персональных данных по поручению Оператора осуществляют:
- ООО «ЯНДЕКС» (ОГРН 1027700229193, ИНН 7736207543, адрес: 119021, г. Москва, ул. Льва Толстого, д. 16) - сервис веб-аналитики «Яндекс Метрика» (цель 2), только при наличии согласия Пользователя;
6.3. Оператор предоставляет персональные данные органам государственной власти, суду, органам дознания и следствия и иным уполномоченным органам только в случаях и порядке, предусмотренных законодательством Российской Федерации, в том числе ч. 4 ст. 13 Закона № 323-ФЗ.
7. Прекращение обработки и уничтожение персональных данных
7.1. Персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, по истечении сроков, указанных в разделе 4 Политики, а также при отзыве согласия (если обработка осуществлялась на основании согласия), если иное не предусмотрено федеральным законом.
7.2. Уничтожение осуществляется в сроки, установленные ст. 21 Закона о ПД: в течение 30 (тридцати) дней с даты достижения цели обработки или поступления отзыва согласия; в течение 10 (десяти) рабочих дней с даты выявления неправомерной обработки, если обеспечить ее правомерность невозможно. При отсутствии возможности уничтожения в указанный срок Оператор блокирует персональные данные и обеспечивает их уничтожение в срок не более 6 (шести) месяцев, если иной срок не установлен федеральными законами.
7.3. Уничтожение подтверждается в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179 (акт об уничтожении персональных данных и, при автоматизированной обработке, выгрузка из журнала регистрации событий в информационной системе).
8. Права субъектов персональных данных
8.1. Субъект персональных данных имеет право:
- получать информацию, касающуюся обработки его персональных данных, в объеме, предусмотренном ч. 7 ст. 14 Закона о ПД;
- требовать уточнения своих персональных данных, их блокирования или уничтожения, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- отозвать согласие на обработку персональных данных;
- требовать прекращения обработки персональных данных (ч. 5.1 ст. 21 Закона о ПД);
- обжаловать действия или бездействие Оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в судебном порядке;
- на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке.
8.2. Запрос субъекта должен содержать сведения, предусмотренные ч. 3 ст. 14 Закона о ПД: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (например, номер телефона, с которого совершался звонок, дата и время звонка), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором; подпись субъекта или его представителя. Запрос может быть направлен в форме электронного документа, подписанного электронной подписью в соответствии с законодательством Российской Федерации.
8.3. Оператор предоставляет ответ на запрос в течение 10 (десяти) рабочих дней с даты его получения. Срок может быть продлен не более чем на 5 (пять) рабочих дней с направлением субъекту мотивированного уведомления о причинах продления.
8.4. Право субъекта на доступ к его персональным данным может быть ограничено в случаях, предусмотренных ч. 8 ст. 14 Закона о ПД.
9. Меры по обеспечению безопасности персональных данных
9.1. Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом о ПД, и защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, в том числе:
- назначает лицо, ответственное за организацию обработки персональных данных;
- издает локальные акты по вопросам обработки и защиты персональных данных и знакомит с ними работников под подпись;
- проводит оценку вреда, который может быть причинен субъектам, в соответствии с приказом Роскомнадзора от 27.10.2022 № 178;
- определяет угрозы безопасности и уровень защищенности персональных данных в информационных системах в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119 и применяет меры, установленные приказом ФСТЭК России от 18.02.2013 № 21;
- ограничивает и разграничивает доступ работников к персональным данным, в том числе к аудиозаписям разговоров;
- применяет средства защиты информации, антивирусной защиты, резервного копирования и восстановления;
- обеспечивает учет машинных носителей персональных данных;
- обеспечивает обнаружение фактов несанкционированного доступа и реагирование на компьютерные инциденты, в том числе путем взаимодействия с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ч. 12 ст. 19 Закона о ПД);
- осуществляет внутренний контроль соответствия обработки персональных данных требованиям законодательства.
9.2. В случае выявления неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 (двадцати четырех) часов о произошедшем инциденте и в течение 72 (семидесяти двух) часов о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона о ПД).
10. Контактная информация
10.1. Обращения и запросы по вопросам обработки персональных данных принимаются:
- по почтовому адресу: 127006, г. Москва, ул. Садовая-Каретная, д. 8, стр. 6, помещ. II, ком. 2, ООО «ССМЦ №1», с пометкой «Персональные данные»;
- по адресу электронной почты: info@semeynaya.ru (запрос в форме электронного документа должен быть подписан электронной подписью);
11. Заключительные положения
11.1. Оператор вправе вносить изменения в Политику. Новая редакция Политики вступает в силу с момента ее размещения на Сайте, если иное не предусмотрено новой редакцией. Предыдущие редакции хранятся Оператором и предоставляются по запросу.
11.2. Политика подлежит пересмотру при изменении законодательства Российской Федерации, состава обрабатываемых персональных данных, используемых сервисов или каналов связи, но не реже одного раза в 3 (три) года.
11.3. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.