Политика в отношении обработки персональных данных
- Термины и определения
В настоящих правилах используются термины и определения, представленные в текущем разделе документа:
Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу – субъекту персональных данных.
Оператор, Клиника – Общество с ограниченной ответственностью «Биоспаклиник+», самостоятельно или совместно с другими лицами организующий и осуществляющий обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Сайт – сайт Оператора, используемый для размещения информации о Программе, оформления заказа, оплаты, загрузки дистрибутива, публикации документов и обращения в службу поддержки: https://www.biospaclinic.ru.
Субъект персональных данных – это физическое лицо, информация о котором собирается, обрабатывается или хранится Оператором персональных данных.
Пациент – физическое лицо, обратившееся в Клинику за оказанием медицинской помощи либо получающее такую помощь.
Специальные категории персональных данных – персональные данные, касающиеся состояния здоровья пациента, включая сведения, полученные при его обследовании и оказании медицинской помощи.
Врачебная тайна – сведения о факте обращения пациента за медицинской помощью, состоянии его здоровья и диагнозе, а также иные сведения, полученные при его медицинском обследовании и лечении.
Медицинская документация – документы и сведения, содержащие информацию о состоянии здоровья пациента, проведенных обследованиях, назначенных и выполненных медицинских вмешательствах и результатах лечения.
Обработка персональных данных – действия и операции с персональными данными, включая сбор, систематизацию, накопление, хранение, обновление, изменение, использование, распространение, в том числе передачу, обезличивание, блокирование.
Конфиденциальность персональных данных – обязательное для соблюдения назначенным ответственным лицом, получившим доступ к персональным данным, требование не допускать их распространения без согласия субъекта или иного законного основания.
Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Уничтожение персональных данных – действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных, или в результате которых уничтожаются материальные носители персональных данных.
Термины, не определенные настоящей Политикой в отношении обработки персональных данных, применяются в значениях, установленных законодательством Российской Федерации.
- Общие положения
- Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок обработки и защиты персональных данных Оператором и направлена на обеспечение прав и свобод Субъектов персональных данных.
- Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных», Федеральным законом от 21 ноября 2011 г. № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» и иными применимыми нормативными правовыми актами.
- Политика является общедоступным документом и размещается на Сайте Оператора в соответствии с частью 2 статьи 18.1 Федерального закона «О персональных данных».
- Действие Политики распространяется на обработку персональных данных пациентов и их представителей, посетителей Сайта, лиц, обращающихся в Клинику, записывающихся на прием и получающих медицинские услуги, получателей информационных и рекламных сообщений, работников и кандидатов на трудоустройство, представителей контрагентов, а также иных лиц, персональные данные которых обрабатываются Оператором в процессе его деятельности.
- При обработке персональных данных пациентов Оператор обеспечивает конфиденциальность персональных данных и соблюдение врачебной тайны в соответствии с законодательством Российской Федерации.
- Сведения об ОператореОператором персональных данных является:ООО «Биоспаклиник+»
Юридический адрес: 119415, Российская Федерация, г. Москва, Ленинский пр-кт, д. 122
ОГРН: 1117746160454
ИНН / КПП: 7729676657 / 772901001 - Принципы обработки персональных данных
- Оператор осуществляет обработку персональных данных на законной и справедливой основе с соблюдением прав и законных интересов Субъектов персональных данных.
- Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей.
- Не допускается обработка персональных данных, несовместимая с целями их сбора, а также объединение баз данных, созданных для несовместимых целей.
- Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям. Обработка избыточных персональных данных не допускается.
- Персональные данные о состоянии здоровья обрабатываются только в объеме, необходимом для оказания медицинской помощи, ведения медицинской документации и исполнения обязанностей, установленных законодательством Российской Федерации.
- Оператор обеспечивает точность, достаточность и актуальность персональных данных и принимает необходимые меры по уточнению или удалению неполных и неточных сведений.
- Персональные данные хранятся не дольше, чем этого требуют цели их обработки, если иной срок не установлен законодательством Российской Федерации или договором.
- По достижении целей обработки персональные данные уничтожаются или обезличиваются, если их дальнейшая обработка не осуществляется на ином законном основании.
- Оператор обеспечивает конфиденциальность персональных данных и сведений, составляющих врачебную тайну, и предоставляет доступ к ним только работникам и иным лицам, которым такой доступ необходим для исполнения обязанностей.
- Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, изменения, раскрытия, блокирования, удаления, уничтожения и иных неправомерных действий.
- Правовые основания обработки
- Оператор осуществляет обработку персональных данных на следующих правовых основаниях:
- согласие Субъекта персональных данных;
- необходимость обработки для заключения и исполнения договора, стороной или выгодоприобретателем, по которому является Субъект персональных данных, включая договор об оказании платных медицинских услуг;
- необходимость обработки для исполнения обязанностей Оператора, установленных законодательством Российской Федерации, в том числе в сфере охраны здоровья граждан и ведения медицинской документации;
- необходимость обработки в медицинских целях, включая установление диагноза, проведение обследований и оказание медицинской помощи, при условии соблюдения врачебной тайны;
- необходимость обработки для защиты жизни и здоровья Субъекта персональных данных, если получение его согласия невозможно;
- необходимость обработки для осуществления прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы Субъекта персональных данных;
- иные основания, предусмотренные законодательством Российской Федерации.
- Обработка персональных данных для заключения и исполнения договора может осуществляться без отдельного согласия Субъекта, если обрабатываются только сведения, необходимые для этих целей. Обработка данных о состоянии здоровья осуществляется на основании письменного согласия либо без него в случаях, прямо предусмотренных законодательством Российской Федерации.
- Отказ Субъекта предоставить персональные данные, необходимые для записи на прием, заключения и исполнения договора, оказания медицинской помощи или ведения медицинской документации, может повлечь невозможность совершения соответствующих действий. Отказ от обработки данных в необязательных целях, включая получение рекламных сообщений, не влияет на возможность получения медицинских услуг.
- Категории Субъектов и обрабатываемых данных
- Оператор обрабатывает персональные данные пациентов и их представителей, лиц, обращающихся в Клинику или записывающихся на прием, посетителей Сайта, получателей информационных и рекламных сообщений, работников и кандидатов на трудоустройство, а также представителей контрагентов.
- При посещении Сайта могут автоматически обрабатываться IP-адрес, дата и время посещения, сведения о браузере, операционной системе и устройстве, адреса посещенных страниц, источник перехода, действия на Сайте, идентификаторы сессии, файлы cookie и иные технические сведения.
- При обращении в Клинику или записи на прием Оператор может обрабатывать фамилию, имя, отчество, дату рождения, номер телефона, адрес электронной почты, выбранную услугу или специалиста, желаемые дату и время приема, содержание обращения и историю взаимодействия с Клиникой.
- В отношении пациентов Оператор может обрабатывать фамилию, имя, отчество, пол, дату и место рождения, адрес, контактные данные, реквизиты документа, удостоверяющего личность, СНИЛС и иные сведения, необходимые для заключения и исполнения договора, оказания медицинской помощи и ведения медицинской документации.
- Оператор обрабатывает специальные категории персональных данных о состоянии здоровья пациента, включая жалобы, анамнез, сведения об аллергических реакциях и противопоказаниях, принимаемых лекарственных препаратах, результаты осмотров и исследований, диагнозы, назначения, сведения о выполненных медицинских вмешательствах, примененных препаратах и изделиях, ходе и результатах лечения.
- В целях диагностики, планирования и оценки результатов лечения Оператор может осуществлять фото- и видеофиксацию внешности и состояния пациента. Такие материалы включаются в медицинскую документацию и не используются для установления личности пациента по биометрическим характеристикам.
- Размещение фотографий, видеозаписей, отзывов и сведений о результатах лечения в рекламе, на Сайте, в социальных сетях или иных открытых источниках допускается только при наличии отдельного согласия пациента.
- В отношении законных и иных представителей пациента Оператор может обрабатывать фамилию, имя, отчество, контактные данные, реквизиты документа, удостоверяющего личность, а также сведения о документе, подтверждающем полномочия представителя.
- При оплате услуг Оператор может обрабатывать сведения о договоре, оказанных услугах, сумме, дате, способе и статусе платежа, идентификаторе платежной операции, примененной скидке и сформированном кассовом чеке.
- Оператор не получает и не хранит полный номер банковской карты, срок ее действия и защитный код. Эти сведения обрабатываются банком, платежным оператором и иными участниками платежной инфраструктуры.
- Для направления информационных и рекламных сообщений Оператор может обрабатывать имя, номер телефона, адрес электронной почты, сведения о предоставлении и отзыве согласия, дату подписки и предпочтения в отношении сообщений. Рекламные сообщения направляются только при наличии отдельного предварительного согласия Субъекта персональных данных.
- В отношении работников, кандидатов на трудоустройство и представителей контрагентов Оператор обрабатывает персональные данные в объеме, необходимом для оформления трудовых и договорных отношений, исполнения требований законодательства и ведения деловой переписки.
- Оператор не осуществляет целенаправленный сбор сведений о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях и интимной жизни, если их обработка не требуется в связи с оказанием медицинской помощи или исполнением требований законодательства.
- Оператор не обрабатывает изображения и иные сведения о внешности в целях установления личности Субъекта персональных данных по его биометрическим характеристикам.
- Сроки обработки и хранения персональных данных
- Персональные данные обрабатываются в течение срока, необходимого для достижения целей их обработки, но не дольше сроков, установленных настоящим разделом, если более продолжительное хранение не предусмотрено законодательством Российской Федерации.
- Оператор устанавливает следующие сроки обработки и хранения персональных данных:
- медицинские карты пациентов по форме № 025/у, информированные добровольные согласия, отказы от медицинского вмешательства, протоколы процедур, результаты обследований, назначения, фотографии и иные материалы, включенные в медицинскую документацию – 25 лет с 1 января года, следующего за годом последнего обращения пациента в Клинику;
- талоны пациентов по форме № 025-1/у – 1 год с 1 января года, следующего за годом их оформления;
- договоры об оказании платных медицинских услуг, дополнительные соглашения, акты и документы, подтверждающие исполнение договора – 10 лет после прекращения договора или полного исполнения обязательств;
- кассовые чеки, платежные, бухгалтерские и налоговые документы – не менее 5 лет после окончания соответствующего отчетного года, если законодательством для конкретного документа не предусмотрен более продолжительный срок;
- обращения и записи на прием, не повлекшие заключения договора и оказания медицинских услуг – до завершения рассмотрения обращения, отмены записи или отказа от услуг и не более 30 дней после наступления соответствующего события;
- обращения, жалобы, претензии пациентов и переписка по ним – 5 лет после направления окончательного ответа. Если обращение стало предметом судебного, административного или иного разбирательства, относящиеся к нему документы хранятся в течение всего срока разбирательства и 3 лет после его окончательного завершения. Медицинские документы при этом хранятся в течение срока, установленного пунктом 7.2.1 Политики;
- сведения, обрабатываемые для направления рекламных сообщений – до отзыва согласия. Документы и технические сведения, подтверждающие получение и отзыв такого согласия, хранятся 3 года после прекращения его действия;
- фотографии, видеозаписи, отзывы и сведения о результатах лечения, размещаемые в рекламных материалах, на Сайте или в социальных сетях – не более 10 лет со дня его предоставления. При отзыве согласия их распространение прекращается в срок, не превышающий 3 рабочих дней;
- технические журналы Сайта, содержащие IP-адреса и сведения о действиях пользователей – 1 год с даты их получения;
- файлы cookie и иные технические идентификаторы – в течение срока действия соответствующего файла, указанного в Политике использования файлов cookie, но не более 2 лет;
- персональные данные кандидатов на трудоустройство – до принятия решения по вакансии и не более 30 дней после отказа в трудоустройстве;
- документы по личному составу, созданные после 1 января 2003 г. – 50 лет, если иной срок не установлен законодательством Российской Федерации;
- персональные данные представителей контрагентов – в течение срока действия соответствующего договора и 10 лет после прекращения обязательств по нему;
- если документы необходимы для исполнения требования государственного органа, проведения проверки, расследования, рассмотрения претензии или судебного дела, их уничтожение приостанавливается до окончательного завершения соответствующей процедуры. Хранение допускается только в объеме, необходимом для указанной цели.
- По достижении цели обработки или при отзыве согласия Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 календарных дней, если их дальнейшая обработка не требуется на основании закона или договора.
- Отзыв согласия или требование о прекращении обработки не влечет досрочного уничтожения медицинской, бухгалтерской, налоговой, кадровой и иной документации, которую Оператор обязан или вправе хранить на другом законном основании до истечения установленного срока.
- Цели обработки персональных данных
- Оператор обрабатывает персональные данные в следующих целях:
- обеспечение работы Сайта, его информационной безопасности, предотвращение несанкционированного доступа и иных нарушений;
- предоставление информации о Клинике, медицинских и косметологических услугах, специалистах, стоимости и условиях их оказания;
- обработка обращений, запись на прием, подтверждение, перенос и отмена записи, направление напоминаний о предстоящем посещении;
- идентификация Пациента или его законного представителя, заключение и исполнение договора об оказании платных медицинских услуг;
- проведение консультаций, обследований, диагностики, профилактических и лечебных мероприятий, медицинских и косметологических процедур, подбор индивидуального плана лечения и ухода;
- выявление показаний и противопоказаний к медицинским вмешательствам, оценка состояния здоровья Пациента и наблюдение за результатами оказанных услуг;
- оформление и ведение медицинской документации, получение информированных добровольных согласий и отказов от медицинского вмешательства;
- обеспечение качества и безопасности медицинской деятельности, проведение внутреннего контроля качества медицинской помощи;
- прием и учет оплаты, оформление кассовых чеков, возврат денежных средств, ведение бухгалтерского и налогового учета;
- взаимодействие с Пациентами, рассмотрение обращений, заявлений, жалоб и претензий;
- исполнение требований законодательства Российской Федерации, предоставление обязательной отчетности и ответов на запросы уполномоченных государственных органов;
- предъявление, рассмотрение и защита требований, прав и законных интересов Оператора, Пациентов и иных лиц;
- направление информационных и рекламных сообщений о деятельности Клиники, ее услугах и специальных предложениях при наличии отдельного предварительного согласия Субъекта персональных данных;
- размещение фотографий, видеозаписей, отзывов и результатов косметологических процедур на Сайте, в социальных сетях и рекламных материалах при наличии отдельных согласий на распространение персональных данных и разглашение сведений, составляющих врачебную тайну;
- анализ работы Сайта, посещаемости и действий посетителей, улучшение его содержания и удобства использования при наличии соответствующего законного основания;
- подбор работников, ведение кадрового, воинского и бухгалтерского учета, исполнение обязанностей работодателя;
- заключение и исполнение договоров с контрагентами, а также взаимодействие с их представителями.
- Способы и действия с персональными данными
- Оператор осуществляет обработку персональных данных с использованием средств автоматизации, без их использования либо смешанным способом, в том числе с применением медицинских информационных систем.
- Оператор вправе осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, сопоставление, передачу, предоставление, обезличивание, блокирование, удаление и уничтожение персональных данных, а также распространение персональных данных при наличии соответствующего согласия Субъекта.
- Оператор получает персональные данные:
- непосредственно от Субъекта персональных данных или его законного представителя;
- автоматически при использовании Сайта, включая сведения, передаваемые посредством файлов cookie;
- от медицинских организаций, лабораторий, страховых организаций и иных лиц – при наличии согласия Субъекта либо иного законного основания;
- от платежных организаций – в части сведений о статусе и идентификаторе платежа без получения полного номера банковской карты и ее защитного кода;
- из государственных информационных систем и иных законных источников в случаях, предусмотренных законодательством Российской Федерации.
- Передача персональных данных третьим лицам осуществляется только в объеме, необходимом для достижения целей обработки, при наличии предусмотренного законодательством основания и с соблюдением требований о врачебной тайне.
- Автоматизированные средства могут использоваться для записи на прием, направления уведомлений и напоминаний, обработки платежей, ведения медицинской документации, обеспечения безопасности Сайта и информационных систем.
- Файлы cookie и аналитические сервисы
- Сайт может использовать обязательные и необязательные файлы cookie.
- Обязательные файлы cookie необходимы для технической работы и безопасности Сайта, сохранения пользовательской сессии и выбранных настроек конфиденциальности, а также для корректной работы форм обратной связи и записи на прием.
- Аналитические и рекламные файлы cookie используются только после получения предварительного согласия Посетителя. Посетитель вправе принять или отклонить необязательные файлы cookie, а также в любое время изменить свой выбор посредством настроек Сайта.
- Отключение обязательных файлов cookie в настройках браузера может привести к некорректной работе Сайта, форм обратной связи или сервиса онлайн-записи.
- Перечень используемых файлов cookie, их назначение, поставщики и сроки хранения указываются в Политике использования файлов cookie, размещенной на Сайте.
- Передача персональных данных третьим лицам
- Оператор вправе поручить обработку персональных данных другому лицу либо передать ему необходимые сведения при наличии согласия Субъекта персональных данных или иного законного основания.
- К числу возможных получателей персональных данных и лиц, осуществляющих их обработку, относятся банки, платежные сервисы, организации-эквайеры, операторы онлайн-касс и операторы фискальных данных, CRM-систем, сервисы онлайн-записи и телефонии, поставщики хостинга, серверной инфраструктуры, электронной почты, SMS-уведомлений и иных коммуникационных сервисов, организации, обеспечивающие техническую поддержку и информационную безопасность, аналитические и рекламные сервисы – при наличии соответствующего согласия Посетителя, государственные органы, суды и иные уполномоченные лица в случаях, предусмотренных законодательством Российской Федерации.
- Состав передаваемых персональных данных ограничивается объемом, необходимым для достижения соответствующей цели.
- При поручении обработки персональных данных Оператор определяет перечень передаваемых данных, совершаемые с ними действия, цели обработки, требования к конфиденциальности и безопасности, порядок уведомления об инцидентах, а также обязанность прекратить обработку и уничтожить данные после достижения установленных целей.
- Передача сведений о состоянии здоровья Пациента и иных сведений, составляющих врачебную тайну, осуществляется с письменного согласия Пациента или его законного представителя либо без такого согласия исключительно в случаях, предусмотренных законодательством Российской Федерации.
- Прекращение обработки и уничтожение персональных данных
- Оператор прекращает обработку и уничтожает либо обезличивает персональные данные:
- после достижения цели обработки или утраты необходимости в ее достижении;
- при отзыве согласия, если отсутствует иное законное основание для продолжения обработки;
- при выявлении неправомерной обработки, если обеспечить ее правомерность невозможно;
- по требованию Субъекта персональных данных в случаях, предусмотренных законодательством;
- в иных случаях, установленных законодательством Российской Федерации.
- После достижения цели обработки персональные данные уничтожаются либо обезличиваются в срок, не превышающий 30 календарных дней, если иной срок не предусмотрен законодательством, настоящей Политикой или иным соглашением с Субъектом персональных данных.
- При отзыве согласия Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 календарных дней со дня поступления отзыва, если их дальнейшая обработка не допускается на ином законном основании.
- При выявлении неправомерной обработки Оператор прекращает ее в срок, не превышающий 3 рабочих дней. Если обеспечить правомерность обработки невозможно, соответствующие персональные данные уничтожаются в срок, не превышающий 10 рабочих дней со дня выявления неправомерной обработки.
- Если уничтожение персональных данных в установленный срок невозможно, Оператор блокирует такие данные и обеспечивает их уничтожение в срок, не превышающий 6 месяцев, если иной срок не установлен законодательством.
- Уничтожение персональных данных осуществляется способом, исключающим возможность восстановления их содержания. Уничтожение подтверждается актом, а при автоматизированной обработке — также выгрузкой из журнала регистрации событий информационной системы. Указанные документы хранятся в течение 3 лет со дня уничтожения персональных данных.