Политика в отношении обработки персональных данных

1. Общие положения и реквизиты оператора

1. Настоящая Политика определяет порядок обработки и защиты персональных данных (далее — ПДн) физических лиц, использующих сайт https://potokmed.com (далее — Сайт), и принята во исполнение требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ).
2. Оператор персональных данных:
   • Полное наименование: Общество с ограниченной ответственностью «ПОТОК»
   • Сокращённое наименование: ООО «ПОТОК»
   • ИНН: 9725123790
   • КПП: 772501001
   • ОГРН: 1237700341999
   • Юридический адрес: 115142, г. Москва, вн.тер. г. Муниципальный округ Нагатинский Затон, ул. Корабельная, д. 5А, помещение 15Н
   • Генеральный директор: Ню Татьяна Геннадьевна
   • Медицинская лицензия: № Л041-01137-77/00675733
   • Контакты для вопросов по обработке ПДн: help@potokmed.com, телефон +7 (495) 642-42-38
3. Ответственный за организацию обработки ПДн: Генеральный директор ООО «ПОТОК» Ню Татьяна Геннадьевна (приказ о назначении ответственного за организацию обработки персональных данных от 03.02.2023 № 01-ПДн).
4. Настоящая Политика распространяется на все ПДн, обрабатываемые Оператором на Сайте, и не регулирует обработку ПДн, осуществляемую вне Сайта (медицинская карта пациента в клинике ведётся в отдельной информационной системе и регулируется внутренними документами Оператора).
5. Использование Сайта означает безоговорочное согласие пользователя с настоящей Политикой. В случае несогласия пользователю надлежит воздержаться от использования Сайта.
6. Действующая редакция Политики постоянно доступна по адресу: https://potokmed.com/policy/. Новая редакция вступает в силу с момента публикации на Сайте, если иное не предусмотрено самой редакцией.

2. Термины

1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту ПДн).
2. Обработка ПДн — любое действие или совокупность действий с ПДн (сбор, запись, систематизация, хранение, использование, передача, обезличивание, удаление и т. д.).
3. Специальные категории ПДн — сведения, касающиеся, в частности, состояния здоровья, в смысле ст. 10 152-ФЗ.
4. Субъект ПДн — физическое лицо, ПДн которого обрабатываются.
5. Третьи лица — лица, привлекаемые Оператором для обработки ПДн на основании заключённых договоров (поручений на обработку) либо публичных оферт.

3. Состав и категории обрабатываемых ПДн

1. На Сайте обрабатываются следующие ПДн, добровольно предоставленные пользователем при заполнении форм обратной связи:
   • имя (как указано пользователем);
   • номер мобильного телефона;
   • адрес электронной почты;
   • возраст (опционально);
   • текстовое сообщение в свободной форме («Опишите что вас беспокоит», «Вопрос», «Отзыв»).
2. Свободное текстовое поле может содержать сведения, относящиеся к специальным категориям ПДн (ст. 10 152-ФЗ), если пользователь добровольно их укажет. Оператор настоятельно рекомендует не указывать в формах подробные сведения о состоянии здоровья — такие сведения обсуждаются непосредственно на консультации со специалистом. На случай добровольного указания таких сведений согласие на их обработку отдельно отражено в тексте Согласия (см. Согласие на обработку ПДн).
3. Оператор не обрабатывает на Сайте биометрические ПДн, а также ПДн о расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях.
4. В автоматическом режиме при использовании Сайта собираются технические данные: IP-адрес, тип и версия браузера, операционная система, дата и время визита, адрес запрошенной страницы, реферер, идентификаторы cookie. Указанные данные обрабатываются в обезличенном виде в целях обеспечения работоспособности и безопасности Сайта, а также аналитики посещаемости (см. раздел 9 Cookies).
5. На Сайте не предусмотрены регистрация и личный кабинет пользователя; платежи на Сайте не принимаются — оплата услуг производится на стороне платёжного провайдера (АО «ТБанк»).

4. Правовые основания и цели обработки

1. Правовые основания обработки:
   • согласие субъекта ПДн (п. 1 ч. 1 ст. 6 152-ФЗ) — для обработки ПДн, указанных в формах Сайта;
   • согласие субъекта ПДн в письменной форме на обработку специальной категории ПДн (п. 1 ч. 2 ст. 10 152-ФЗ) — в случае добровольного указания сведений о здоровье в свободном поле формы;
   • исполнение договора, стороной которого является субъект ПДн (п. 5 ч. 1 ст. 6 152-ФЗ) — при последующем заключении договора об оказании медицинских услуг;
   • исполнение возложенных на Оператора законодательством РФ функций и обязанностей (п. 2 ч. 1 ст. 6 152-ФЗ) — для целей ведения медицинской документации и налогового учёта.
2. Цели обработки:
   • приём и обработка обращений пользователей, поступающих через формы Сайта;
   • обратная связь с пользователем (звонок, сообщение в выбранный пользователем мессенджер — VK, MAX, Telegram);
   • предоставление информации об услугах Оператора;
   • публикация отзывов на Сайте (при отправке формы «Отзыв»);
   • обеспечение работоспособности и безопасности Сайта;
   • статистика посещаемости (в обезличенном виде).

5. Способы и сроки обработки

1. Обработка ПДн на Сайте осуществляется смешанным способом (с использованием средств автоматизации и без таковых), без передачи по сетям общего пользования необезличенных ПДн за пределы территории Российской Федерации (трансграничной передачи не осуществляется; локализация баз данных обеспечивается на территории РФ в соответствии с ч. 5 ст. 18 152-ФЗ).
2. Сведения, полученные через формы Сайта, направляются на корпоративный электронный почтовый ящик Оператора и не сохраняются в базе данных Сайта. В базе данных Сайта хранятся только обезличенные доказательства факта дачи согласия (хеш-значения номера телефона / email, IP-адрес, User-Agent, дата и время, версия согласия).
3. Сроки хранения:
   • журнал согласий на обработку ПДн (хеши + метаданные) — до 25 лет с момента создания записи;
   • письма с обращениями в почтовом ящике Оператора — до фактической отработки обращения, но не более 12 месяцев с даты поступления;
   • отзывы, опубликованные на Сайте, — до отзыва согласия пользователем либо до удаления Оператором;
   • медицинская документация пациента (если пациент состоит на учёте в клинике Оператора) — 25 лет в соответствии с приказом Минздрава РФ № 530н, независимо от отзыва согласия.
4. По достижении целей обработки и истечении сроков хранения ПДн уничтожаются либо обезличиваются.

6. Передача ПДн третьим лицам

1. Оператор не передаёт ПДн третьим лицам, за исключением случаев, предусмотренных законодательством РФ, и случаев, указанных ниже.
2. Для обеспечения работы Сайта Оператор привлекает следующих третьих лиц на основании заключённых договоров либо публичных оферт:
   • АО «РСИЦ» (RU-CENTER) — хостинг-провайдер, серверы расположены на территории Российской Федерации;
   • ООО «ЯНДЕКС» — сервисы Yandex SmartCaptcha (защита от ботов), Яндекс.Метрика (аналитика посещаемости), Яндекс 360 (корпоративная электронная почта);
   • ООО «СМТП.БИЗ» — оператор связи, доставка системных писем;
   • АО «ТБанк» — приём платежей за услуги (платёж совершается вне Сайта, в платёжной форме банка);
   • ООО «Рубитайм» (rubitime.ru) — система онлайн-записи на консультации (используется в качестве самостоятельной площадки бронирования; данные пациента вводятся им непосредственно в системе Рубитайм по правилам этого сервиса).
   Передача ПДн указанным лицам осуществляется в объёме и на сроки, необходимые для оказания соответствующих услуг, исключительно на территории РФ.
3. Оператор может передавать ПДн уполномоченным государственным органам по запросу в порядке, установленном законодательством РФ.
4. Сотрудники Оператора, имеющие доступ к ПДн, ознакомлены под подпись с обязанностью не разглашать ПДн и подписали соответствующие обязательства.

7. Меры по обеспечению безопасности ПДн

1. Оператор принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий (ст. 19 152-ФЗ):
   • назначен ответственный за организацию обработки ПДн;
   • утверждены локальные акты по вопросам обработки ПДн (Положение об обработке ПДн, перечни обрабатываемых ПДн и мест хранения, модель угроз);
   • работники, имеющие доступ к ПДн, ознакомлены с Положением и подписали обязательство о неразглашении;
   • обеспечена локализация баз данных Сайта на территории РФ;
   • применяются технические меры: HTTPS-шифрование канала передачи данных (TLS), Yandex SmartCaptcha для защиты форм, ограничение количества обращений с одного IP, журналирование событий, регулярное обновление программного обеспечения сервера, резервное копирование;
   • доступ к административной части Сайта и к корпоративной почте ограничен, защищён паролем и двухфакторной аутентификацией.
2. Установлен уровень защищённости 4 (УЗ-4) для информационной системы «Сайт» (определён в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119, исходя из обработки иных категорий ПДн менее 100 000 субъектов).

8. Права субъекта ПДн

1. В соответствии со ст. 14 152-ФЗ субъект ПДн вправе:
   • получать сведения о факте, способах и целях обработки своих ПДн, об операторе, о сроках обработки и хранения, а также о лицах, которым его ПДн могут быть переданы;
   • требовать уточнения своих ПДн, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
   • отозвать своё согласие на обработку ПДн (ч. 2 ст. 9 152-ФЗ);
   • обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов ПДн — Роскомнадзор (rkn.gov.ru) — или в суд.
2. Для реализации своих прав субъект ПДн направляет письменное обращение по одному из адресов:
   • email: help@potokmed.com;
   • почтовый адрес: 115142, г. Москва, ул. Корабельная, д. 5А, помещение 15Н, ООО «ПОТОК».
   В обращении необходимо указать ФИО, контактные данные, по которым обращение подаётся, и существо требования. Для письменного обращения требуется подпись (для бумажного — собственноручная, для электронного — допускается простая электронная подпись в виде указания ФИО и контактов в тексте письма).
3. Срок ответа Оператора — не более 10 рабочих дней со дня получения обращения (ч. 1 ст. 20 152-ФЗ); при необходимости срок может быть продлён, но не более чем на 5 рабочих дней с уведомлением субъекта ПДн. Срок исполнения требования об отзыве согласия и уничтожении ПДн — 30 дней со дня получения обращения (ч. 5 ст. 21 152-ФЗ).
4. Подробная инструкция по отзыву согласия размещена на странице «Отзыв согласия на обработку ПДн».

9. Использование cookies и аналитика

1. На Сайте используются файлы cookie — небольшие текстовые файлы, которые сохраняются в браузере пользователя при посещении Сайта.
2. Категории используемых cookies:
   • Технические (необходимые) — обеспечивают работоспособность Сайта (CSRF-токен, флаг согласия с cookies, нонс CSP). Устанавливаются без согласия пользователя на основании п. 5 ч. 1 ст. 6 152-ФЗ.
   • Аналитические — Яндекс.Метрика. Устанавливаются только после явного согласия, выраженного нажатием кнопки «Принять все» на cookie-баннере. При выборе «Только необходимые» Яндекс.Метрика не загружается.
3. Яндекс.Метрика используется без режима «Вебвизор» и записи действий пользователя; данные передаются в обезличенном виде. Подробнее об использовании Яндекс.Метрикой данных см. публичную оферту: yandex.ru/legal/metrica_termsofuse/.
4. Пользователь вправе отозвать согласие на установку аналитических cookies в любое время — для этого необходимо очистить cookies в браузере; при следующем визите cookie-баннер будет показан повторно. Также пользователь вправе отказаться от cookies на уровне настроек браузера.

10. Уведомление об инцидентах

1. При выявлении неправомерной или случайной передачи ПДн, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о факте инцидента и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ).

11. Заключительные положения

1. Настоящая Политика подлежит изменению при изменении законодательства РФ о персональных данных, а также при изменении состава обрабатываемых ПДн, целей и способов их обработки.
2. Контроль за исполнением требований настоящей Политики возлагается на ответственного за организацию обработки ПДн.
3. Ответственность за нарушение требований законодательства РФ о персональных данных несут лица, виновные в таком нарушении, в порядке, предусмотренном законодательством РФ.