ПОЛИТИКА ЗАЩИТЫ И ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1.      ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Политика защиты и обработки персональных данных (далее — Политика) в медицинском центре ВЕРАМЕД (Далее – Оператор) разработана в соответствии с Федеральным законом от 27.07.2006. № 152-ФЗ «О персональных данных» (далее — ФЗ-152), а также иными нормативно-правовыми актами в области защиты и обработки персональных данных.

1.2. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.3. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика (актуальная редакция) публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте Оператора

https://veramed-clinic.ru/o-nas/pdn/

1.4. Политика вступает в силу с момента утверждения и действует до утверждения новой редакции Политики.

1.5. В Политике используются следующие термины и принятые сокращения:

автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;

блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

информационная система персональных данных — совокупность содержащихся в базах данных персональных данных, и обеспечивающих их обработку информационных технологий, и технических средств;

обезличивание персональных данных — действия, в результате которых невозможно определить без использования дополнительной информации принадлежность персональных данных конкретному субъекту персональных данных;
обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление (доступ), распространение, обезличивание, блокирование, удаление, уничтожение;

оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
персональные данные (ПД) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

персональные данные, разрешенные субъектом персональных данных для распространения – это персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом;

субъект персональных данных – физическое лицо, данные которого обрабатываются;

трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу;
уничтожение персональных данных — действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных и (или) результате которых уничтожаются материальные носители персональных данных.

1.6.        Изменение Политики:

Оператор имеет право вносить изменения в настоящую Политику. При внесении изменений в заголовке Политики указывается дата последнего обновления редакции. Новая редакция Политики вступает в силу с момента ее подписания, если иное не предусмотрено новой редакцией Политики.

2. ПРИНЦИПЫ, ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Принципы обработки персональных данных

Обработка персональных данных у Оператора осуществляется на основе следующих принципов:

— законности и справедливой основы;

— ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;

— недопущения обработки персональных данных, несовместимой с целями сбора персональных данных;

— недопущения объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

— обработки только тех персональных данных, которые отвечают целям их обработки;

— соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки;

— недопущения обработки персональных данных, избыточных по отношению к заявленным целям их обработки;

— обеспечения точности, достаточности и актуальности персональных данных по отношению к целям обработки персональных данных;

— уничтожения либо обезличивания персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, при невозможности устранения Оператором допущенных нарушений персональных данных, если иное не предусмотрено федеральным законом.

2.2. Порядок и условия обработки персональных данных

Оператор производит обработку персональных данных при наличии хотя бы одного из следующих условий:

— обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных, согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения;

— обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора, функций, полномочий и обязанностей;

— обработка персональных данных необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;

— обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;

— обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

— обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 152-ФЗ, при условии обязательного обезличивания персональных данных;

— осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

Оператор согласно ст. 22 152-ФЗ вправе осуществлять обработку персональных данных без уведомления уполномоченного органа по защите прав субъектов персональных данных: полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных, разрешенных субъектом персональных данных для распространения при условии соблюдения оператором запретов и условий, предусмотренных статьей 10.1 152-ФЗ;

2.3. Цели обработки персональных данных

Оператор обрабатывает персональные данные в целях:

–  обеспечение соблюдения Конституции, федеральных законов и иных нормативных

правовых актов Российской Федерации;

- осуществление своей деятельности в соответствии с уставом

- оформления трудовых отношений, ведения кадрового делопроизводства, содействия в трудоустройстве, обучении, повышении по службе, пользовании различными льготами и гарантиями, обеспечения личной безопасности работников, контроля количества и качества  выполняемой работы и сохранности имущества;

-  привлечение и отбор кандидатов на работу у Оператора

–  заключения, исполнения и прекращения гражданско-правовых договоров;

–  оказания медицинских услуг, в том числе идентификации пациентов (заказчиков), отражения информации в медицинской документации, предоставления сведений страховым компаниям (в случае оплаты ими оказываемых услуг), предоставления установленной законодательством отчетности в отношении оказанных медицинских услуг;

- организация постановки на индивидуальный (персонифицированный) учет работников в системе обязательного пенсионного страхования;

- заполнение и передача в органы исполнительной власти и иные уполномоченные

организации требуемых форм отчетности;

- осуществление гражданско-правовых отношений;

- ведение бухгалтерского учета

–  выполнения требований действующего законодательства РФ;

–  в иных случаях, установленных в законе, уставе Оператора.

Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

2.4. Обработка персональных данных

Получение персональных данных.

Все персональные данные следует получать от самого субъект персональных данных. Если персональные данные субъекта можно получить только у третьей стороны, то субъект должен быть уведомлен об этом или от него должно быть получено согласие. Оператор может получать данные из ЕСИА с согласия субъект персональных данных. Регистрируясь на любом из Сайтов Оператора, заполняя форму обратной связи, при направлении обращения в мессенджерах, социальных сетях Оператора, субъект персональных данных тем самым дает согласие на обработку его персональных данных для целей оказания услуг Оператором, а также для иных целей, указанных в настоящей политике или отдельном согласии на обработку персональных данных. Субъект персональных данных подтверждает права в отношении созданной таким образом учетной записи. Документы, содержащие персональные данные, создаются путем:

– копирования/сканирования оригиналов документов;

– внесения сведений в учетные формы;

– получения оригиналов необходимых документов (трудовая книжка, медицинское заключение, характеристика и др.).

Категории субъектов персональных данных.

Обрабатываются персональные данные следующих субъектов ПД:

1) физические лица, состоящие с Обществом в трудовых отношениях;

2) физические лица, уволившиеся из Общества;

3) физические лица, являющиеся кандидатами на работу;

В отношении перечисленных категорий персональные данные обрабатываются в соответствии с Положением «об обработке и защите персональных данных работников»

4) физические лица, состоящие с Обществом в гражданско-правовых отношениях (в рамках заключенных договоров).

5)  Прочие клиенты и контрагенты Оператора (физические лица).

6) Представители/работники (физические лица) клиентов и контрагентов Оператора (юридических лиц).

В отношении перечисленных категорий обрабатываются

фамилия, имя, отчество;

–   пол;

–   возраст;

–   дата и место рождения;

–   адреса места жительства и регистрации;

–   серия и номер основного документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе;

–   данные страхового свидетельства государственного пенсионного страхования;

–   гражданство;

–   данные о состоянии здоровья, в том числе биометрические персональные данные;

–   семейное и социальное положение;

–   контактный телефон;

–   адрес электронной почты;

–   реквизиты полиса обязательного медицинского страхования;

–   реквизиты полиса (договора) добровольного медицинского страхования;

–   тип занятости;

–   место работы;

–   должность.

В отношении законных представителей или представителей по доверенности указанных ранее лиц обрабатываются:

–   фамилия, имя, отчество;

–   пол;

–   возраст;

–   дата и место рождения;

–   адреса места жительства и регистрации;

–   контрактный телефон;

–   адрес электронной почты;

–   серия и номер основного документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе;

–   сведения о документе, который подтверждает полномочия представителя.

Приведенные перечни обрабатываемых персональных данных может сокращаться или расширяться в зависимости от конкретного случая и целей обработки).

Персональные данные, обрабатываемые Оператором:

– данные, полученные при осуществлении трудовых отношений;

– данные, полученные для осуществления отбора кандидатов на работу;

– данные, полученные при осуществлении гражданско-правовых отношений.

Обработка персональных данных ведется:

– с использованием средств автоматизации;

– без использования средств автоматизации.

Хранение персональных данных.

Персональные данные субъектов могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде.

Персональные данные, зафиксированные на бумажных носителях, хранятся в запираемых шкафах либо в запираемых помещениях с ограниченным правом доступа.

Персональные данные субъектов, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в разных папках.

Не допускается хранение и размещение документов, содержащих персональные данные, в открытых электронных каталогах (файлообменниках).

Хранение персональных данных в форме, позволяющей определить субъекта ПД, осуществляется не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.

Уничтожение персональных данных.

Уничтожение документов (носителей), содержащих персональные данные, производится путем сожжения, дробления (измельчения), химического разложения, превращения в бесформенную массу или порошок. Для уничтожения бумажных документов допускается применение шредера.

Персональные данные на электронных носителях уничтожаются путем стирания или форматирования носителя.

Передача персональных данных.

Оператор передает персональные данные третьим лицам в следующих случаях:

– субъект выразил свое согласие на такие действия. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.

– передача предусмотрена законодательством РФ в рамках установленной законодательством процедуры.

Перечень лиц, которым предоставляются персональные данные.

Третьи лица, которым предоставляются персональные данные:

– Пенсионный фонд РФ для учета (на законных основаниях);

– Федеральную налоговую службу (на законных основаниях);

– Фонд социального страхования РФ (на законных основаниях);

– территориальный фонд обязательного медицинского страхования (на законных основаниях);

– страховые медицинские организации по обязательному и добровольному медицинскому страхованию (на законных основаниях);

– банки для начисления заработной платы (на основании договора, заявления Работника);

– органы МВД России, дознания и следствия в случаях, установленных законодательством.

- другие уполномоченные органы исполнительной власти и организации

- третьи лица, с которыми у Оператора заключены договоры, при условии соблюдения режима конфиденциальной информации, наличия согласия на обработку персональных данных.

Неопределенному кругу лиц:

- при наличии согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

2.5. Конфиденциальность персональных данных

Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, если иное не предусмотрено федеральным законом, настоящей Политикой.

2.6. Специальные категории персональных данных

Обработка Оператором специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, допускается в случаях, если:

— субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;

— персональные данные сделаны общедоступными субъектом персональных данных;

— обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях;

— обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно;

— обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;

— обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия;

— обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством.
Обработка специальных категорий персональных данных должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась их обработка, если иное не установлено федеральным законом.

2.7. Биометрические персональные данные

Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность — биометрические персональные данные — могут обрабатываться Оператором только при наличии согласия в письменной форме субъекта.

2.8. Поручение обработки персональных данных другому лицу

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные ФЗ-152.

2.9. Трансграничная передача персональных данных

Оператором, который осуществляет трансграничную передачу ПД, обязан убедиться в том, что иностранным государством, на территорию которого предполагается осуществлять передачу персональных данных, обеспечивается адекватная защита прав субъектов персональных данных, до начала осуществления такой передачи.

Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях:

— наличия согласия в письменной форме субъекта персональных данных на трансграничную передачу его персональных данных;

— исполнения договора, стороной которого является субъект персональных данных.

3. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Согласие субъекта персональных данных на обработку его персональных данных, Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе.

Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.

Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено оператору:

непосредственно;

с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.

Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено оператору:

1) непосредственно;

2) с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.

Правила использования информационной системы уполномоченного органа по защите прав субъектов персональных данных, в том числе порядок взаимодействия субъекта персональных данных с оператором, определяются уполномоченным органом по защите прав субъектов персональных данных.

3.2. Права субъекта персональных данных

Субъект персональных данных имеет право на получение у Оператора информации, касающейся обработки его персональных данных, если такое право не ограничено в соответствии с федеральными законами.

Субъект имеет право на доступ к его персональным данным и следующим сведениям:

– подтверждение факта обработки персональных данных Оператором;

– правовые основания и цели обработки персональных данных;

– цели и применяемые Оператором способы обработки персональных данных;

– наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;

– сроки обработки персональных данных, в том числе сроки их хранения;

– порядок осуществления субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;

– наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;

– обращение к Оператору и направление ему запросов;

Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу Роскомнадзора Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, допускается только при условии предварительного согласия субъекта персональных данных.

Оператор обязан немедленно прекратить по письменному требованию субъекта персональных данных обработку его персональных данных в вышеуказанных целях.

Если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований ФЗ-152 или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Оператора установленном порядке.

4. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Безопасность персональных данных, обрабатываемых Оператора, обеспечивается реализацией правовых, организационных и технических мер, необходимых для обеспечения требований федерального законодательства в области защиты персональных данных.

4.2. Для предотвращения несанкционированного доступа к персональным данным Оператором применяются следующие организационно-технические меры:
— назначение должностных лиц, ответственных за организацию обработки и защиты персональных данных;

— ограничение состава лиц, имеющих доступ к персональным данным;

— ознакомление субъектов с требованиями федерального законодательства и нормативных документов Оператора по обработке и защите персональных данных;

— организация учета, хранения и обращения носителей информации;
— определение угроз безопасности персональных данных при их обработке, формирование на их основе моделей угроз;

— разработка на основе модели угроз системы защиты персональных данных;
— проверка готовности и эффективности использования средств защиты информации;

— разграничение доступа пользователей к информационным ресурсам и программно-аппаратным средствам обработки информации;

— регистрация и учет действий пользователей информационных систем персональных данных;

— использование антивирусных средств и средств восстановления системы защиты персональных данных;

4.3. Информация о гарантиях конфиденциальности при использовании платежных банковских карт: Оператор обращает Ваше внимание на то, что при совершении Вами платежей с использованием платежных банковских карт, безопасность обработки платежей, в том числе и Интернет-платежей, гарантируется банками партнерами Оператора. Все ресурсы банков — партнеров соответствуют стандартам безопасности, имеют все необходимые разрешения и сертификаты. При проведении платежей предоставляемая Вами персональная информация (имя, адрес, телефон, e-mail, номер банковской карты) является конфиденциальной и не подлежит разглашению ни при каких условиях. Данная информация не сохраняется на Web-сервере Оператора и предоставляется только банку-партнеру. Никакая информация о платежах, кроме уведомления об оплате, банками-партнерами Оператора не передается. При передаче информации используются специальные технологии безопасности карточных онлайн-платежей, обработка данных ведется на безопасном высокотехнологичном сервере процессинговой компании.

5. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

5.1. Иные права и обязанности Оператора, как оператора персональных данных определяются законодательством Российской Федерации в области персональных данных.
5.2. Должностные лица Оператора, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном федеральными законами.

5.3. По всем вопросам, не нашедшим своего решения в настоящей Политики, Оператор руководствуются положениями Конституции РФ, Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», иных нормативно-правовых актов РФ. В случае если один из пунктов Политики окажется недействительным (включая, но не ограничиваясь случаем изменения законодательства), это не влечет недействительность всех иных ее условий.