Политика обработки персональных данных

Политика в отношении обработки персональных данных

1. Назначение и область действия документа

1.1. Настоящая политика ГК «МАТЬ И ДИТЯ» (далее – Общество) в отношении обработки персональных данных (далее - Политика) разработана в соответствии со ст.18.1. Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», Конституцией РФ, Трудовым кодексом РФ, Федеральным законом от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации», Постановлением Правительства РФ от 01.11.2012 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

1.2. Политика разработана в целях обеспечения реализации требований законодательства Российской Федерации в области обработки персональных данных (далее -ПД), направленного на обеспечение защиты прав Субъекта при обработке его ПД.

1.3. Политика предназначена для исполнения сотрудниками Общества, а также подлежит доведению до сведения лиц, состоящих в договорных, гражданско-правовых и иных отношениях с Обществом и других заинтересованных сторон.

1.4. Положения политики распространяются на отношения по обработке и защите ПД, полученных Обществом как до, так и после утверждения Политики, за исключением случаев, когда по причинам правового, организационного и иного характера положения Политики не могут быть распространены на отношения по обработке и защите ПД, полученных до её утверждения.

2. Основные положения

2.1. В настоящей Политике используются следующие понятия:

• Персональные данные (ПД) – любые сведения, прямо или косвенно идентифицирующие физическое лицо, то есть субъект персональных данных (ФИО, дата рождения, паспортные данные, а также другая информация).
• Обработка персональных данных - любое действие (операция) в отношении персональных данных, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• Безопасность персональных данных – защита конфиденциальности, целостности, доступности ПД в информационных системах Общества.
• Информационная система персональных данных (далее - ИСПД) – комплекс баз данных и технологий для обработки ПД.
• Оператор – организация или лицо, выполняющие обработку ПД.
• Субъект – физическое лицо которому принадлежат обрабатываемые персональные данные.
• Конфиденциальность персональных данных – обязанность оператора обеспечивать неразглашение ПД без согласия Субъекта или другого законного основания.
• Трансграничная передача персональных данных – передача персональных данных иностранным государствам, иностранным лицам или организациям.

2.2. В настоящей политике обработка персональных данных осуществляется в отношении следующих категорий:

• Субъекты – пациенты, законные представители, состав персональных данных и обработка которых описывается в пункте 6 настоящей Политики.
• Сотрудники – работники, уволенные работники, состав персональных данных и обработка которых описывается в пункте 5 настоящей Политики.
• Иные – ординаторы, лица, привлеченные по договору подряда (ГПХ), представители контрагентов, посетители сайта, родственники работников, соискатели, состав персональных данных и обработка которых описывается в пункте 7 настоящей Политики

3. Цели обработки персональных данных

3.1. Обработка ПД осуществляется Обществом в целях:

• оказания медицинских услуг, установления медицинского диагноза, в том числе с применением телемедицинских технологий; заключения и исполнения договора оказания платных медицинских услуг и иных договоров/дополнительных соглашений; оказания сервисных услуг, связанных с созданием условий получения медицинской помощи, повышения качества оказания медицинских услуг (сервис единого контакт-центра, личного кабинета, мобильного приложения и информирования о предоставляемых услугах, маркетинговых и/или рекламных акциях).
• исполнения требований трудового законодательства и изданных в соответствии с ним нормативных правовых актов, кадрового и бухгалтерского учета, оперативной коммуникации, верификации личности в информационных системах Группы Компаний, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения безопасности работников, контроля качества выполняемой работы, обеспечения сохранности имущества, расчёта и выплаты заработной платы и иных вознаграждений, расчета и перечисления налогов и страховых взносов.

4. Перечень действий с персональными данными, способы их обработки, хранения и уничтожения

4.1. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

4.2. Хранение ПД Субъектов с которыми заключены договора, соглашения и иные обязательства на оказание платных медицинских услуг, ведется до достижения целей или до утраты необходимости в достижении.

4.3. Персональные данные Субъектов хранятся и обрабатываются как на бумажных носителях, так и в электронном виде.

4.4. Обработка персональных данных в Обществе осуществляется смешанным способом обработки ПД.

4.5. Персональные данные на бумажных носителях, хранятся в запираемых шкафах либо в помещениях с ограниченным правом доступа.

4.6. Персональные данные Субъектов, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в отдельно организованных корпоративных сетевых хранилищах согласно категории данных и их назначению.

4.7. Не допускается хранение и размещение ПД, в открытых интернет ресурсах, облачных хранилищах, или иных публичных и общедоступных информационных системах.

4.8. После истечения срока нормативного хранения ПД Субъектов на бумажных носителях, создается комиссия, которая принимает решение об уничтожении персональных данных Субъектов. Но основе принятого решения комиссии ответственным сотрудником (или сотрудниками) Оператора производится физическое уничтожение бумажных носителей.

4.9. После истечения срока нормативного хранения ПД Субъектов в электронном виде ответственный сотрудник (или сотрудники) Оператора уничтожает с носителей персональные данные путем стирания или форматирования, либо физически уничтожает сами носители.

4.10. Факт уничтожения персональных данных как на бумажном носителе, так и в электронном виде подтверждается документально актом об уничтожении.

4.11. Трансграничная передача данных Оператором не осуществляется.

5. Персональные данные сотрудника

5.1. В состав ПД работников Общества входят данные: фамилия, имя, отчество; пол; дата рождения; фото; номер мобильного телефона; гражданство; реквизиты документов, удостоверяющих личность; номер СНИЛС; должность; место работы; данные трудового договора;; данные трудовой книжки; сведения о трудовом и общем стаже; сведения, содержащиеся в документах воинского учета; сведения об образовании, квалификации или наличии специальных знаний или подготовки; информация о состоянии здоровья в случаях, предусмотренных законодательством; данные листка нетрудоспособности; сведения об индивидуальном номере налогоплательщика; сведения о семейном положении; информация о доходах (заработной плате); банковские реквизиты для зачисления заработной платы; справка об отсутствии судимости и иные сведения предусмотренные законодательством Российской Федерации в рамках трудовых отношении с работником.

5.2. Обработка ПД работника осуществляется на основании его письменного согласия за исключением случаев, прямо предусмотренных действующим законодательством РФ.

5.3. Обработка ПД работника осуществляется в целях исполнения требований трудового законодательства, в рамках заключенного трудового договора, обеспечения безопасности работников, контроля качества выполняемой работы, обеспечения сохранности имущества, расчёта и выплаты заработной платы и иных вознаграждений, расчета и перечисления налогов и страховых взносов.

5.4. ПД хранятся до достижения целей обработки. После этого данные уничтожаются комиссией с оформлением подтверждающих документов.

6. Персональные данные субъекта

6.1. В состав ПД Субъекта входят: фамилия, имя, отчество, пол, дата рождения, реквизиты документов, удостоверяющих личность, номер полиса ДМС, номер полиса ОМС, СНИЛС, контактные данные (номера телефонов, адреса электронной почты и т.д.), место регистрации и фактическое место жительства и другие персональные данные (в том числе специальные категории ПД, такие как: сведения о состоянии здоровья, сведения о законном представителе), полученные Оператором в связи с заключением/исполнением договора на оказание платных медицинских услуг, а так же сведения полученные при обращении в контакт-центр и иные сведения предусмотренные законодательством Российской Федерации в рамках оказания медицинских услуг.

6.2. Обработка ПД Субъекта осуществляется на основании его письменного согласия, а также иных случаев, прямо предусмотренных действующим законодательством РФ. В случае недееспособности или не достижения лицом возраста 15 лет согласие на обработку его ПД даёт в письменной форме его законный представитель.

6.3. Субъект ПД имеет право: требовать от Оператора уточнения его ПД, их блокирования, уничтожения в случае, если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

6.4. Обработка ПД Субъекта ведётся до полного достижения целей обработки. При достижении целей обработки ПД проходят процедуру уничтожения/обезличивания с составлением соответствующих, подтверждающих документов.

7. Иные персональные данные

7.1. В состав категории иных ПД входят: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; пол; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); сведения об образовании, сведения о статистических данных с использованием метрических программ и иные сведения, предусмотренные законодательством Российской Федерации.

7.2. Обработка категории иных ПД осуществляется на основании его письменного согласия за исключением случаев, прямо предусмотренных действующим законодательством РФ.

7.3. Обработка категории иных ПД осуществляется в целях исполнения требований трудового законодательства и изданных в соответствии с ним нормативных правовых актов, кадрового и бухгалтерского учета, оперативной коммуникации, контроля качества выполняемой работы, обеспечения сохранности имущества, расчёта и выплаты заработной платы и иных вознаграждений, расчета и перечисления налогов и страховых взносов.

7.4. Иные ПД хранятся до достижения целей обработки. После этого данные уничтожаются комиссией с оформлением подтверждающих документов.

8. Положения Политики

8.1. При обработке ПД работника Общество следует требованиям, установленным ст. 86 ТК РФ, в частности:

• ПД работника следует получать непосредственно от него. Если данные могут быть получены от третьих лиц, необходимо заранее уведомить работника и получить его письменное согласие;
• обеспечить защиту персональных данных работника от неправомерного их использования за счет собственных средств работодателя;
• знакомить работников под роспись с локальными нормативными актами, устанавливающими порядок обработки персональных данных работников;

8.2. Общество, в связи с исполнением обязательств по договорам оказания платных медицинских услуг имеет право создавать информационные системы, содержащие данные о пациентах и об оказываемых им медицинских услугах, с соблюдением установленных законодательством РФ требований о защите ПД и соблюдением врачебной тайны.

8.3. Обработка и обеспечение безопасности ПД в Обществе осуществляется в соответствии с требованиями Конституции РФ, Трудового кодекса РФ, Федерального закона № 152-ФЗ «О персональных данных», подзаконных актов, Федерального закона №323-ФЗ «Об основах охраны здоровья граждан в РФ», и других определяющих случаи и особенности обработки ПД федеральных законов, руководящих и методических документов ФСТЭК России и ФСБ России.

8.4. При обработке ПД Общество придерживается следующих мер и принципов:

• обработка ПД осуществляется только на законной и справедливой основе;
• Общество соблюдает все требования конфиденциальности ПД согласно ст. 7 № 152-ФЗ «О персональных данных»;
• Общество принимает меры, предусмотренные ч.2 ст. 18.1, ч.1 ст. 19, №152-ФЗ «О персональных данных»;
• Общество не раскрывает третьим лицам и не распространяет ПД без согласия Субъекта (если иное не предусмотрено законодательством РФ);
• Общество определяет конкретные законные цели до начала обработки (в т.ч. сбора) ПД;
• Общество собирает необходимые и достаточные для заявленной цели обработки ПД (исполнение условий договора оказания платных медицинских услуг);
• уничтожение ПД в Обществе происходит при достижении целей обработки или в случае утраты необходимости в достижении целей или при запросе на отзыв согласия субъекта ПД.

8.5. В случаях, установленных законодательством РФ, Общество вправе осуществлять передачу ПД Субъектов третьим лицам.

8.6. Лица, осуществляющие обработку персональных данных по поручению Общества обязаны соблюдать принципы и правила обработки и защиты персональных данных, установленные Федеральным законом №152-ФЗ «О персональных данных». С третьими лицами заключается договор, который определяет:

• Перечень операций с персональными данными, выполняемых третьим лицом;
• Цели обработки персональных данных;
• Обязанность третьего лица соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке;
• Требования к защите обрабатываемых персональных данных, включая технические и организационные меры безопасности.

9. Права Субъекта в части обработки персональных данных

9.1. Субъект, ПД которого обрабатываются, имеет право (за исключением ограничения этого права федеральными законами РФ):

9.1.1. Получать от Общества:

• подтверждение факта обработки ПД;
• сведения о правовых основаниях и целях обработки ПД;
• сведения о целях и применяемых Обществом способах обработки ПД;
• сведения о наименовании и местонахождении Общества;
• сведения о порядке осуществления Субъектом прав, предусмотренных Федеральным законом №152-ФЗ «О персональных данных»;
• сведения о обрабатываемых ПД, относящихся к соответствующему Субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен Федеральным законом;
• иные сведения, предусмотренные Федеральным законом №152-ФЗ «О персональных данных» или другими федеральными законами, наименование, ФИО или адрес лица, осуществляющего обработку ПД по поручению Общества, если обработка поручена или будет поручена такому лицу.

9.1.2. Требовать уточнения своих ПД, их блокирования или уничтожения в случае, если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

9.1.3. Отозвать свое согласие на обработку персональных данных путем направления письменного уведомления Оператору. В таком случае Оператор обязан прекратить обработку персональных данных в течение срока, необходимого для технической реализации данного требования, начиная с момента получения уведомления. Действие настоящего подпункта применяется в части, не противоречащей действующему законодательству Российской Федерации.

9.1.4. Требовать устранения неправомерных действий Общества в отношении его ПД.

9.1.5. Обжалование действий или бездействия Общества в отношении персональных данных Субъекта осуществляется в порядке, предусмотренном законодательством Российской Федерации.

10. Сведения о реализуемых требованиях к защите персональных данных

10.1. К применяемым мерам по защите ПД в Обществе в соответствии со ст. 18 и 19 Федерального закона №152-ФЗ «О персональных данных» относятся, в том числе, следующие:

• назначение лица, ответственного за организацию обработки ПД, и лиц, ответственных за обеспечение безопасности ПД;
• разработка и утверждение локальных актов по вопросам обработки и защиты ПД;
• применение правовых, организационных и технических мер по обеспечению безопасности ПД;
• ознакомление работников Общества осуществляющих обработку ПД, с положениями законодательства РФ о ПД, в том числе с требованиями к защите ПД, локальными актами по вопросам обработки и защиты ПД, и обучение работников Общества;
• проведена оценка вреда, который может быть причинен субъектам ПД в случае нарушений законодательств;
• осуществляется внутренний контроль обработки ПД требованиям законодательства и принятым в соответствии с ним нормативными правовыми актами, требованиям к защите ПД, политике Оператора в отношении обработки ПД, локальным актам Оператора;
• определены угрозы безопасности персональных данных при их обработке в ИСПД.

11. Заключительные положения

11.1. Пересмотр положений настоящей политики проводится периодически не реже чем 1 раз в год, а также в следующих случаях:

• при изменении законодательства РФ в области обработки и защиты ПД;
• при изменении целей обработки ПД, структуры информационных и/или телекоммуникационных систем (или введении новых);
• при применении новых технологий обработки ПД (в т.ч. передачи, хранения);
• при появлении необходимости в изменении процесса обработки ПД, связанной с деятельностью Общества;
• по результатам контроля выполнения требований по обработке и защите ПД;
• по решению руководителя Общества.

12. Контактная информация

Субъекты, чьи персональные данные обрабатываются Обществом, могут направлять вопросы по обработке своих ПД в Общество по следующим адресам:

Адрес электронной почты: info@mcclinics.ru; Юридический адрес: 121374, г. Москва, ш. Можайское, д. 2, эт/пом/ком 1/XIIIА/1

Согласно ст.14. п.3 №152-ФЗ «О персональных данных» в тексте запроса в целях идентификации Субъекта необходимо указать:

• фамилию, имя, отчество Субъекта или его законного представителя, осуществляющего запрос;
• номер документа удостоверяющего личность Субъекта (или его законного представителя), сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие в отношениях с Обществом (номер договора, ФИО Субъекта), либо сведения, иным способом подтверждающие факт обработки ПД Обществом;
• подпись Субъекта (или его законного представителя). Если запрос отправляется в электронном виде, то он должен быть оформлен в виде электронного документа и подписан электронной подписью в соответствии с законодательством РФ.

12.1. Если в обращении (запросе) Субъекта персональных данных не отражены в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" все необходимые сведения или Субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.

12.2. Оператор обязан предоставить Субъекту доступ к его ПД в течении 30 календарных дней с момента получения запроса. Срок может быть продлен еще на 5 дней с уведомлением Субъекта.

12.3. Информация предоставляется в той же форме, в какой поступил запрос, если иное не указано.