Политика в отношении обработки персональных данных

Политика в отношении обработки персональных данных

Общество с ограниченной ответственностью «ЭРДА»

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ) и иными нормативными правовыми актами Российской Федерации в области персональных данных.
1.2. Политика определяет цели, правовые основания, порядок и условия обработки персональных данных, сроки их обработки и хранения, порядок уничтожения персональных данных, а также реализуемые Оператором меры по защите персональных данных.
1.3. Оператором персональных данных является ООО «ЭРДА» (ИНН 1657224739, адрес: 420081, Республика Татарстан, г. Казань, пр-кт Альберта Камалеева, д. 26/12, помещ. 1022) (далее — Оператор).
1.4. Политика применяется к персональным данным, обрабатываемым Оператором как с использованием средств автоматизации, так и без использования таких средств.
1.5. Политика является общедоступным документом и размещается в публичном доступе на сайте Оператора по адресу: https://erdamed.ru/about/legal/. Новая редакция Политики вступает в силу с момента её размещения на сайте.
1.6. Термины и понятия используются в Политике в значениях, определённых ст. 3 Закона № 152-ФЗ.

2. Категории субъектов, цели, состав персональных данных и правовые основания обработки

2.1. Оператор обрабатывает персональные данные следующих категорий субъектов: пользователей сайта https://erdamed.ru/ (далее — Сайт), пациентов и лиц, обращающихся за медицинскими услугами, лиц, обращающихся за оформлением документов для получения налогового вычета, авторов отзывов, зарегистрированных пользователей личного кабинета.
2.2. Оператор обрабатывает персональные данные исключительно в конкретных, заранее определённых и законных целях. Для каждой цели обработки определены состав обрабатываемых персональных данных и правовое основание обработки:
2.2.1. Цель: организация записи на приём (консультацию), заключение и исполнение договора на оказание платных медицинских услуг, взаимодействие с субъектом по вопросам оказания услуг (информирование о времени приёма, отмене, переносе).

• Состав персональных данных: фамилия, имя, отчество; дата рождения; номер телефона; адрес электронной почты.
• Правовое основание: п. 5 ч. 1 ст. 6 Закона № 152-ФЗ (заключение и исполнение договора, стороной либо выгодоприобретателем по которому является субъект персональных данных); согласие субъекта персональных данных (п. 1 ч. 1 ст. 6, ст. 9 Закона № 152-ФЗ); Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации».

2.2.2. Цель: подготовка и предоставление документов, необходимых субъекту для получения социального налогового вычета за медицинские услуги.

• Состав персональных данных: фамилия, имя, отчество; дата рождения; ИНН; паспортные данные (серия, номер, кем и когда выдан, дата выдачи); адрес регистрации; сведения о произведённых платежах (сумма, дата, назначение платежа); сведения о лице, за которое оформляется налоговый вычет, и документы, подтверждающие родство (при необходимости).
• Правовое основание: п. 5 ч. 1 ст. 6 Закона № 152-ФЗ; п. 2 ч. 1 ст. 6 Закона № 152-ФЗ (выполнение возложенных на Оператора законодательством Российской Федерации обязанностей, в том числе предусмотренных ст. 219 Налогового кодекса Российской Федерации); согласие субъекта персональных данных (ст. 9 Закона № 152-ФЗ).

2.2.3. Цель: сбор обратной связи о качестве оказанных услуг, публикация отзывов на Сайте.

• Состав персональных данных: фамилия, имя, отчество либо псевдоним (по выбору субъекта); номер телефона и (или) адрес электронной почты (предоставляются по усмотрению субъекта для обратной связи); текст отзыва.
• Правовое основание: согласие субъекта персональных данных (п. 1 ч. 1 ст. 6, ст. 9 Закона № 152-ФЗ). Публикация отзыва с указанием фамилии, имени, отчества субъекта осуществляется исключительно при наличии отдельного согласия на обработку персональных данных, разрешённых субъектом персональных данных для распространения (ст. 10.1 Закона № 152-ФЗ), выражаемого посредством самостоятельного, не отмеченного по умолчанию чек-бокса. При отсутствии такого согласия отзыв публикуется без указания персональных данных, позволяющих идентифицировать субъекта.

2.2.4. Цель: регистрация и ведение личного кабинета пользователя, идентификация и аутентификация пользователя, предоставление доступа к сервисам личного кабинета, восстановление доступа, обеспечение безопасности учётной записи.

• Состав персональных данных: фамилия, имя, отчество; адрес электронной почты; номер телефона; логин; хеш-значение пароля (пароль в открытом виде Оператором не хранится); иные данные, самостоятельно указанные пользователем в профиле.
• Правовое основание: п. 5 ч. 1 ст. 6 Закона № 152-ФЗ; согласие субъекта персональных данных (ст. 9 Закона № 152-ФЗ).

2.2.5. Цель: обеспечение корректной работы Сайта, анализ посещаемости Сайта, повышение удобства его использования, улучшение структуры и содержания Сайта (веб-аналитика).

• Состав персональных данных: IP-адрес; сведения о браузере и его версии; сведения об операционной системе; тип устройства; разрешение экрана; язык браузера; сведения о поддержке файлов cookie и JavaScript; сведения о посещённых страницах, дате, времени и продолжительности посещения; источник перехода на Сайт; поисковые запросы; действия пользователя на Сайте; идентификаторы файлов cookie.
• Правовое основание: согласие субъекта персональных данных (п. 1 ч. 1 ст. 6, ст. 9 Закона № 152-ФЗ), выражаемое посредством нажатия кнопки «Принять» в информационном баннере, отображаемом при входе на Сайт. Иных правовых оснований обработки персональных данных в целях веб-аналитики Оператор не использует.

2.3. Согласие субъекта персональных данных предоставляется при заполнении соответствующей формы на Сайте путём проставления отметки («галочки») в чек-боксе, не отмеченном по умолчанию. Отправка формы без проставления такой отметки технически невозможна. Непосредственно рядом с чек-боксом размещены активные гиперссылки на настоящую Политику и на текст соответствующего согласия.
2.4. Оператор не обрабатывает биометрические персональные данные. Сведения о состоянии здоровья, жалобах, анамнезе, диагнозах, назначенном лечении и иные сведения медицинского характера (специальная категория персональных данных, ст. 10 Закона № 152-ФЗ) посредством форм Сайта не собираются; их обработка осуществляется на основании пп. 4 п. 2.3 ч. 2 ст. 10 Закона № 152-ФЗ и (или) отдельного письменного согласия, оформляемого при непосредственном обращении субъекта за медицинской помощью.
2.5. Обработка персональных данных, несовместимая с целями сбора, а также обработка персональных данных, избыточных по отношению к заявленным целям, Оператором не осуществляется.

3. Сроки обработки и хранения персональных данных

3.1. Персональные данные обрабатываются и хранятся не дольше, чем этого требуют цели их обработки. Для каждой цели обработки установлены следующие сроки:

• организация записи на приём (консультацию), заключение и исполнение договора на оказание медицинских услуг — в течение срока действия договора и в течение 5 (пяти) лет с даты окончания его исполнения (срок хранения первичных учётных документов). Медицинская документация хранится в течение сроков, установленных законодательством Российской Федерации в сфере охраны здоровья граждан и об архивном деле;
• подготовка документов для получения налогового вычета — в течение 5 (пяти) лет с даты выдачи субъекту соответствующих документов (срок хранения документов, установленный законодательством Российской Федерации о налогах и сборах и о бухгалтерском учёте);
• сбор обратной связи и публикация отзывов — в течение срока публикации отзыва на Сайте, но не более 3 (трёх) лет с даты его размещения, либо до момента отзыва субъектом согласия (в том числе согласия на распространение персональных данных);
• регистрация и ведение личного кабинета — в течение срока действия учётной записи пользователя; при удалении учётной записи по инициативе пользователя либо при её неиспользовании в течение 3 (трёх) лет обработка персональных данных прекращается;
• веб-аналитика (файлы cookie, метрическая программа Яндекс Метрика) — до достижения цели обработки, но не более 12 (двенадцати) месяцев с даты сбора соответствующих данных, либо до момента отзыва согласия пользователем.

3.2. Если иной срок хранения персональных данных прямо установлен федеральным законом либо договором, стороной, выгодоприобретателем или поручителем по которому является субъект персональных данных, применяется такой срок.
3.3. По достижении целей обработки, а равно при наступлении иных законных оснований персональные данные подлежат уничтожению либо обезличиванию в порядке, установленном разделом 4 настоящей Политики.

4. Порядок прекращения обработки и уничтожения персональных данных

4.1. В случае достижения цели обработки персональных данных Оператор обязан прекратить обработку персональных данных или обеспечить её прекращение (если обработка осуществляется лицом, действующим по поручению Оператора) и уничтожить персональные данные или обеспечить их уничтожение в срок, не превышающий 30 (тридцати) дней с даты достижения цели обработки, если иное не предусмотрено договором, стороной, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта на основаниях, предусмотренных Законом № 152-ФЗ или иными федеральными законами (ч. 4 ст. 21 Закона № 152-ФЗ).
4.2. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор прекращает их обработку или обеспечивает её прекращение и уничтожает персональные данные или обеспечивает их уничтожение в срок, не превышающий 30 (тридцати) дней с даты поступления отзыва, если сохранение персональных данных не требуется для целей обработки, предусмотренных ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона № 152-ФЗ (ч. 5 ст. 21 Закона № 152-ФЗ).
4.3. В случае выявления неправомерной обработки персональных данных Оператор в срок, не превышающий 3 (трёх) рабочих дней с даты выявления, прекращает неправомерную обработку. В случае невозможности обеспечения правомерности обработки Оператор уничтожает персональные данные или обеспечивает их уничтожение в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки (чч. 1, 3 ст. 21 Закона № 152-ФЗ).
4.4. В случае выявления неточных персональных данных Оператор блокирует их на период проверки; после подтверждения неточности персональные данные уточняются в течение 7 (семи) рабочих дней, а блокирование снимается (ч. 2 ст. 21 Закона № 152-ФЗ).
4.5. Уничтожение персональных данных осуществляется комиссией, назначаемой приказом Оператора. Факт уничтожения персональных данных подтверждается актом об уничтожении персональных данных, а при уничтожении персональных данных, обрабатываемых с использованием средств автоматизации, — также выгрузкой из журнала регистрации событий в информационной системе персональных данных. Акт об уничтожении и выгрузка оформляются в соответствии с требованиями к подтверждению уничтожения персональных данных, утверждёнными приказом Роскомнадзора от 28.10.2022 № 179.
4.6. Акты об уничтожении персональных данных и выгрузки из журнала регистрации событий хранятся Оператором в течение 3 (трёх) лет с момента уничтожения персональных данных.
4.7. Обезличивание персональных данных допускается вместо их уничтожения в случаях, когда достижение целей обработки не требует идентификации субъекта персональных данных.

5. Принципы обработки персональных данных

5.1. Оператор обрабатывает персональные данные на основе следующих принципов (ст. 5 Закона № 152-ФЗ): законность и справедливость обработки; ограничение обработки достижением конкретных, заранее определённых и законных целей; недопустимость обработки, несовместимой с целями сбора; недопустимость объединения баз данных, обработка которых осуществляется в несовместимых между собой целях; обработка только тех персональных данных, которые отвечают целям обработки; соответствие содержания и объёма персональных данных заявленным целям обработки и недопустимость их избыточности; точность, достаточность и актуальность персональных данных; хранение персональных данных в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки; уничтожение либо обезличивание персональных данных по достижении целей обработки или в случае утраты необходимости в достижении этих целей.

6. Условия обработки персональных данных. Поручение обработки

6.1. Обработка персональных данных осуществляется в соответствии с настоящей Политикой, внутренними актами Оператора и законодательством Российской Федерации.
6.2. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (ч. 3 ст. 6 Закона № 152-ФЗ). В таком договоре определяются перечень действий (операций) с персональными данными, цели обработки, обязанность соблюдения конфиденциальности и требования к обеспечению безопасности персональных данных, а также обязанность по запросу Оператора прекратить обработку и уничтожить персональные данные.
6.3. Лица, привлекаемые Оператором к обработке персональных данных по поручению: оператор медицинской информационной системы (CRM), используемой для обработки обращений и записи пациентов; провайдер метрической программы Яндекс Метрика (ООО «ЯНДЕКС»); провайдер хостинга Сайта. Указанные лица осуществляют обработку персональных данных на территории Российской Федерации.
6.4. Оператор не размещает персональные данные в общедоступных источниках и не осуществляет их распространение без отдельного согласия субъекта персональных данных, оформленного в соответствии со ст. 10.1 Закона № 152-ФЗ.
6.5. Оператор не осуществляет трансграничную передачу персональных данных. Уведомление, предусмотренное ч. 3 ст. 12 Закона № 152-ФЗ, не направляется в связи с отсутствием факта трансграничной передачи.
6.6. Базы данных, обеспечивающие сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации, находятся на территории Российской Федерации (ч. 5 ст. 18 Закона № 152-ФЗ).
6.7. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных.

7. Файлы cookie и метрические программы

7.1. Файлы cookie — небольшие файлы, создаваемые и сохраняемые браузером пользователя при посещении Сайта. Срок хранения файлов cookie на устройстве пользователя не превышает 12 (двенадцати) месяцев.
7.2. На Сайте используется единственная метрическая программа — Яндекс Метрика. Иные метрические программы и сервисы веб-аналитики Оператором не используются.
7.3. При первом посещении Сайта пользователю отображается информационный баннер, уведомляющий об обработке персональных данных с использованием файлов cookie и метрической программы Яндекс Метрика и содержащий активные гиперссылки на настоящую Политику и на текст согласия. Пользователю предоставляется возможность выразить согласие (кнопка «Принять») либо отказаться от такой обработки (кнопка «Отказаться»). До выражения согласия обработка персональных данных с использованием метрической программы Яндекс Метрика не осуществляется.
7.4. Пользователь вправе в любой момент самостоятельно удалить файлы cookie либо запретить их сохранение средствами используемого браузера (Google Chrome, Microsoft Edge, Safari, Mozilla Firefox, Яндекс Браузер). Полное отключение файлов cookie может привести к ограничению функциональности Сайта.
7.5. Виды используемых файлов cookie: технические (обеспечивают надлежащую работу Сайта и являются необходимыми) и аналитические (сохраняют информацию об использовании Сайта в целях улучшения его интерфейсов и планирования развития).

8. Меры по обеспечению безопасности персональных данных

8.1. Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ, в том числе меры, предусмотренные ст. 18.1 и ст. 19 Закона № 152-ФЗ:

• назначение лица, ответственного за организацию обработки персональных данных (ст. 22.1 Закона № 152-ФЗ);
• издание локальных актов по вопросам обработки и защиты персональных данных, определяющих в том числе для каждой цели обработки сроки обработки и хранения персональных данных и порядок их уничтожения;
• определение угроз безопасности персональных данных и необходимого уровня их защищённости при обработке в информационных системах;
• применение организационных и технических мер защиты, включая разграничение прав доступа, регистрацию действий с персональными данными, резервное копирование, антивирусную защиту;
• ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства и локальных актов Оператора, обучение указанных работников;
• осуществление внутреннего контроля соответствия обработки персональных данных требованиям законодательства Российской Федерации;
• оценка вреда, который может быть причинён субъектам персональных данных, и соотнесение его с принимаемыми мерами;
• учёт машинных носителей персональных данных.

8.2. Доступ к персональным данным предоставляется исключительно работникам Оператора, которым он необходим для выполнения трудовых обязанностей. Работники, получившие доступ к персональным данным, обязаны соблюдать их конфиденциальность.

9. Права субъектов персональных данных. Порядок обращения

9.1. Субъект персональных данных вправе: получать информацию, касающуюся обработки его персональных данных (ст. 14 Закона № 152-ФЗ); требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки; отозвать согласие на обработку персональных данных; возражать против обработки персональных данных в целях продвижения товаров, работ, услуг на рынке; обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
9.2. Запросы и обращения, в том числе об отзыве согласия на обработку персональных данных, направляются Оператору:

• по адресу электронной почты: info@erdamed.ru;
• почтовым отправлением по адресу: 420081, Республика Татарстан, г. Казань, пр-кт Альберта Камалеева, д. 26/12, помещ. 1022.

9.3. Запрос должен содержать сведения, предусмотренные ч. 3 ст. 14 Закона № 152-ФЗ: номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора, дата обращения и т. п.), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором; подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью.
9.4. Запросы рассматриваются в течение 10 (десяти) рабочих дней с даты получения. Указанный срок может быть продлён, но не более чем на 5 (пять) рабочих дней, с направлением субъекту мотивированного уведомления о причинах продления.

10. Заключительные положения

10.1. Оператор осуществляет периодический контроль актуальности настоящей Политики и при необходимости вносит в неё изменения.
10.2. Настоящая редакция Политики вступает в силу с момента её размещения на Сайте и действует бессрочно до замены её новой редакцией.