Политика обработки персональных данных

1. Общие положения

1.1. Политика обработки персональных данных (далее — Политика) в ООО «Офтальмологический центр Карелии» (далее — Оператор, медицинская организация) сформирована с целью соблюдения требований законодательства Российской Федерации в сфере обработки персональных данных.

1.2. Политика определяет основные принципы и направления работы в области обработки персональных данных в медицинской организации, цели, правовые основания, условия и способы обработки персональных данных, в том числе получаемых с использованием сайта Оператора в сети Интернет, права субъектов персональных данных и меры по защите персональных данных.

1.3. Политика определена в соответствии со следующими нормативными правовыми актами Российской Федерации:

• Конституцией Российской Федерации;
• Трудовым кодексом Российской Федерации;
• Гражданским кодексом Российской Федерации;
• Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Федеральный закон № 152-ФЗ);
• Федеральным законом от 19.12.2005 № 160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных»;
• Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» (далее — Федеральный закон № 323-ФЗ);
• Федеральным законом от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации» (далее — Федеральный закон № 326-ФЗ);
• Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе» (далее — Федеральный закон № 38-ФЗ);
• иными нормативными правовыми актами, регламентирующими деятельность в сфере обработки персональных данных.

1.4. Сведения об Операторе:

• полное наименование: Общество с ограниченной ответственностью «Офтальмологический центр Карелии»;
• ИНН 1001313008, ОГРН 1161001058833;
• адрес: 185031, Республика Карелия, г. Петрозаводск, наб. Варкауса, д. 1-Б;
• адрес электронной почты: klinika@karelia-eyes.ru.

1.5. Политика распространяется на все персональные данные, обрабатываемые Оператором, в том числе на персональные данные, получаемые с использованием сайта Оператора в сети Интернет по адресу https://karelia-eyes.ru (далее — Сайт).

1.6. Политика не распространяется на сайты и сервисы третьих лиц, на которые ведут ссылки с Сайта (сайты отзывов, социальные сети, сайты банков и иных организаций). Обработка персональных данных на таких сайтах осуществляется их владельцами по их собственным правилам.

1.7. Во исполнение части 2 статьи 18.1 Федерального закона № 152-ФЗ Политика опубликована на Сайте по адресу https://karelia-eyes.ru/​privacy-policy/; ссылка на нее размещена на страницах Сайта, с использованием которых осуществляется сбор персональных данных.

2. Основные понятия

2.1. В целях реализации настоящей Политики используются следующие основные понятия:

Персональные данные (ПД)

Любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).

Персональные данные, разрешенные субъектом персональных данных для распространения

Персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом № 152-ФЗ.

Оператор

Медицинская организация, самостоятельно или совместно с другими лицами организующая и (или) осуществляющая обработку персональных данных, а также определяющая цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Обработка персональных данных

Любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств, с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Автоматизированная обработка персональных данных

Обработка персональных данных с помощью средств вычислительной техники.

Распространение персональных данных

Действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Предоставление персональных данных

Действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Блокирование персональных данных

Временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Уничтожение персональных данных

Действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Обезличивание персональных данных

Действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Информационная система персональных данных

Совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Трансграничная передача персональных данных

Передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Сайт

Сайт Оператора в сети Интернет по адресу https://karelia-eyes.ru, включая используемую им систему приема заявок.

Файлы cookie

Небольшие фрагменты данных, которые сайт или подключенный к нему сервис сохраняет в браузере посетителя и получает при последующих обращениях.

Локальное хранилище браузера

Область памяти браузера на устройстве посетителя, в которой Сайт сохраняет настройки посетителя и служебные сведения, необходимые для работы Сайта.

Уполномоченный орган

Уполномоченный орган по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций).

3. Категории субъектов персональных данных

3.1. Оператором осуществляется обработка ПД следующих категорий субъектов персональных данных:

• работники медицинской организации;
• физические лица, являющиеся близкими родственниками работников медицинской организации;
• физические лица, уволившиеся из медицинской организации;
• физические лица, являющиеся кандидатами на работу в медицинскую организацию;
• физические лица, состоящие с медицинской организацией в гражданско-правовых отношениях;
• физические лица, обратившиеся в медицинскую организацию за медицинской помощью, и их законные представители;
• посетители Сайта, в том числе направившие через Сайт заявку на запись на прием или на обратный звонок, и лица, в интересах которых направлена такая заявка;
• подписчики рассылки Оператора;
• иные категории субъектов персональных данных в соответствии с законодательством.

3.2. ПД, обрабатываемые медицинской организацией:

• данные, полученные при осуществлении трудовых отношений с работниками;
• данные, полученные для осуществления отбора кандидатов на работу в медицинскую организацию;
• данные, полученные при осуществлении гражданско-правовых отношений с медицинской организацией;
• данные, полученные при оказании медицинской помощи медицинской организацией;
• данные, полученные от посетителей Сайта (раздел 7 Политики).

3.3. Обработка персональных данных ведется:

• с использованием средств автоматизации;
• без использования средств автоматизации.

4. Принципы обработки персональных данных в медицинской организации

4.1. Обработка персональных данных осуществляется на законной и справедливой основе.

4.2. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

4.3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

4.4. Обработке подлежат только персональные данные, которые отвечают целям их обработки.

4.5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

4.6. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.

4.7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

4.8. Уничтожение персональных данных осуществляется Оператором в соответствии с установленным им Порядком уничтожения, блокирования персональных данных, а также в соответствии с Требованиями к подтверждению уничтожения персональных данных, утвержденными уполномоченным органом.

5. Условия обработки персональных данных в медицинской организации

5.1. Оператор в своей деятельности обеспечивает соблюдение условий обработки персональных данных, установленных Федеральным законом № 152-ФЗ.

5.2. Обработка персональных данных осуществляется при наличии хотя бы одного из оснований, предусмотренных статьей 6 Федерального закона № 152-ФЗ, в том числе:

• с согласия субъекта персональных данных на обработку его персональных данных;
• для исполнения договора, стороной которого является субъект персональных данных, в том числе договора на оказание платных медицинских услуг, а также для заключения договора по инициативе субъекта персональных данных;
• для осуществления и выполнения возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей, в том числе в сфере охраны здоровья граждан и обязательного медицинского страхования;
• для осуществления прав и законных интересов Оператора при условии, что при этом не нарушаются права и свободы субъекта персональных данных.

5.3. Оператор не выполняет обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений.

5.4. Сведения о состоянии здоровья обрабатываются Оператором как медицинской организацией в медико-профилактических целях, в целях установления медицинского диагноза и оказания медицинских услуг лицами, профессионально занимающимися медицинской деятельностью и обязанными в соответствии с законодательством Российской Федерации сохранять врачебную тайну (пункт 4 части 2 статьи 10 Федерального закона № 152-ФЗ), а также в иных случаях, предусмотренных статьей 10 Федерального закона № 152-ФЗ. Сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе составляют врачебную тайну и охраняются в соответствии со статьей 13 Федерального закона № 323-ФЗ.

5.5. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

5.6. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом № 152-ФЗ, соблюдать конфиденциальность персональных данных и принимать меры, необходимые для их защиты. Наименование и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, сообщаются субъекту персональных данных по его запросу (раздел 12 Политики).

5.7. Оператор предоставляет персональные данные третьим лицам только с согласия субъекта персональных данных либо в случаях и в порядке, предусмотренных законодательством Российской Федерации, в том числе в сфере охраны здоровья граждан и обязательного медицинского страхования.

5.8. При сборе персональных данных, в том числе посредством сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

5.9. Оператор не осуществляет трансграничную передачу персональных данных.

6. Цели и правовые основания обработки персональных данных

6.1. Оператор обрабатывает персональные данные в следующих целях:

• оказание медицинской помощи, в том числе в рамках обязательного медицинского страхования, и платных медицинских услуг, ведение медицинской документации. Субъекты: пациенты и их законные представители. Правовые основания: Федеральный закон № 323-ФЗ, Федеральный закон № 326-ФЗ, договоры на оказание платных медицинских услуг (пункты 2 и 5 части 1 статьи 6 Федерального закона № 152-ФЗ); для сведений о состоянии здоровья — пункт 4 части 2 статьи 10 Федерального закона № 152-ФЗ;
• выполнение обязанностей работодателя. Субъекты: работники, их близкие родственники, уволившиеся работники. Правовые основания: Трудовой кодекс Российской Федерации и иные федеральные законы, трудовые договоры (пункты 2 и 5 части 1 статьи 6 Федерального закона № 152-ФЗ);
• подбор кандидатов на работу. Субъекты: кандидаты на работу. Правовые основания: согласие субъекта персональных данных, заключение трудового договора по инициативе кандидата (пункты 1 и 5 части 1 статьи 6 Федерального закона № 152-ФЗ);
• заключение и исполнение гражданско-правовых договоров. Субъекты: физические лица, состоящие с медицинской организацией в гражданско-правовых отношениях. Правовое основание: пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ;
• информирование граждан об осуществляемой медицинской деятельности и о медицинских работниках Оператора, об уровне их образования и об их квалификации. Субъекты: медицинские работники Оператора. Правовые основания: пункт 7 части 1 статьи 79 Федерального закона № 323-ФЗ (пункт 2 части 1 статьи 6 Федерального закона № 152-ФЗ); для сведений сверх предусмотренных законодательством — согласие на обработку персональных данных, разрешенных для распространения (раздел 8 Политики);
• рассмотрение заявок и обращений посетителей Сайта, учет обращений и оценка эффективности рекламы, обеспечение работы и безопасности Сайта, рассылка, веб-аналитика — в объеме и на условиях, указанных в разделе 7 Политики.

6.2. Перечень персональных данных, обрабатываемых в целях, не связанных с использованием Сайта, сроки их обработки и хранения определяются законодательством Российской Федерации, в том числе сроками хранения медицинской и иной документации, договорами с субъектами персональных данных и локальными нормативными актами Оператора (раздел 11 Политики).

7. Обработка персональных данных посетителей Сайта

7.1. Просматривать Сайт можно без регистрации и без заполнения каких-либо форм. Персональные данные посетителя Оператор получает, когда посетитель сам направляет их через формы Сайта или подписывается на рассылку. Кроме того, при посещении Сайта обрабатываются технические данные в объеме, указанном в пунктах 7.4–7.9 Политики.

7.2. Сайт и система приема заявок размещены на серверах, находящихся на территории Российской Федерации. Данные между браузером посетителя и Сайтом передаются по защищенному протоколу HTTPS.

7.3. Заявка на запись на прием и заказ обратного звонка

7.3.1. Цели обработки:

• рассмотрение заявки: связь с посетителем по телефону или электронной почте для записи на прием (консультацию, диагностику), уточнения и подтверждения даты и времени приема;
• учет обращений и оценка эффективности рекламы Оператора.

7.3.2. Субъекты персональных данных: посетители Сайта, направившие заявку, а также лица, в интересах которых направлена заявка (например, дети или другие родственники посетителя).

7.3.3. Для рассмотрения заявки обрабатываются:

• в форме «Запись на приём»: имя, фамилия, номер телефона, адрес электронной почты, тема обращения, желаемая дата приема, текст сообщения;
• в форме «Заказать звонок»: номер телефона;
• для обеих форм: адрес страницы Сайта, с которой отправлена заявка; дата и время получения заявки; отметки работников Оператора о ходе рассмотрения заявки.

7.3.4. Для учета обращений и оценки эффективности рекламы обрабатываются: вид формы, адрес страницы Сайта, с которой отправлена заявка, дата и время получения заявки, отметка о результате ее рассмотрения, а если посетитель перешел на Сайт по рекламной ссылке — параметры этой ссылки (метки UTM и идентификаторы рекламного перехода) и страница входа на Сайт, а если посетитель перешел на Сайт с другого сайта без рекламной ссылки — доменное имя этого сайта (без адреса страницы) и страница входа на Сайт. Сведения о заявках рекламным системам не передаются.

7.3.5. Тема обращения и текст сообщения могут содержать сведения о состоянии здоровья. Такие сведения обрабатываются только для рассмотрения заявки, лицами, обязанными сохранять врачебную тайну, на основании пункта 4 части 2 статьи 10 Федерального закона № 152-ФЗ (пункт 5.4 Политики) и для оценки эффективности рекламы не используются. Оператор просит не описывать в сообщении подробные сведения о здоровье: необходимую информацию врач уточнит на приеме.

7.3.6. Правовые основания: согласие посетителя на обработку персональных данных, которое дается отдельно путем проставления отметки в поле согласия в форме заявки (пункт 1 части 1 статьи 6 Федерального закона № 152-ФЗ); текст согласия размещен на странице «Согласие посетителя сайта на обработку персональных данных». Сведения о состоянии здоровья обрабатываются на основании пункта 4 части 2 статьи 10 Федерального закона № 152-ФЗ.

7.3.7. Порядок обработки: заявка передается с Сайта в систему приема заявок Оператора и сохраняется в ее базе данных; уведомление о заявке направляется на корпоративный адрес электронной почты Оператора. Повторные заявки с того же номера телефона, поступившие в течение короткого времени, объединяются с первой. Доступ к заявкам предоставляется только работникам, допущенным Оператором к обработке персональных данных, по индивидуальным учетным записям.

7.3.8. Оператор фиксирует факт дачи согласия: дату и время получения заявки и редакцию текста согласия, действовавшую на момент ее отправки.

7.3.9. Заявки, автоматически отмеченные как отправленные программами-роботами (спам), сохраняются в системе приема заявок с соответствующей отметкой для проверки работниками Оператора и на электронную почту не направляются.

7.3.10. Срок обработки: не более 5 лет с даты получения заявки либо до отзыва согласия, если согласие отозвано ранее. По истечении этого срока заявка и сведения о ней, в том числе в электронной почте Оператора, уничтожаются в порядке, указанном в разделе 9 Политики. Если по результатам заявки с субъектом персональных данных заключен договор на оказание медицинских услуг, дальнейшая обработка его персональных данных осуществляется в соответствии с этим договором и законодательством в сфере охраны здоровья граждан.

7.3.11. Для улучшения информационных материалов Сайта (в том числе раздела «Вопросы и ответы») Оператор при получении заявки сохраняет обезличенную копию текста сообщения: из нее автоматически удаляются имя, фамилия, отчество, номера телефонов, адреса электронной почты и места жительства, даты и иные сведения, позволяющие определить субъекта персональных данных. Копия хранится отдельно от заявки, без связи с ней, вместе с темой обращения, адресом страницы Сайта и месяцем получения, доступна только работникам Оператора и уничтожается не позднее чем через 12 месяцев (пункт 9 части 1 статьи 6 Федерального закона № 152-ФЗ). Для оценки эффективности рекламы такие копии не используются.

7.4. Ограничение количества отправок форм

7.4.1. Для ограничения количества отправок форм с одного адреса система приема заявок использует IP-адрес отправителя. IP-адрес хранится только в оперативной памяти сервера не дольше 10 минут после последней отправки формы, не записывается в базу данных заявок и третьим лицам не передается. Правовое основание — осуществление прав и законных интересов Оператора по защите Сайта от злоупотреблений (пункт 7 части 1 статьи 6 Федерального закона № 152-ФЗ).

7.5. Технический журнал веб-сервера

7.5.1. При обращении к Сайту веб-сервер автоматически записывает в технический журнал: IP-адрес, дату и время запроса, адрес запрошенной страницы (включая параметры в адресе, например метки UTM и текст поискового запроса по Сайту), адрес страницы, с которой выполнен переход, сведения о браузере и операционной системе.

7.5.2. Цели обработки: обеспечение работоспособности и безопасности Сайта, выявление и устранение сбоев и попыток несанкционированного доступа. Правовое основание — пункт 7 части 1 статьи 6 Федерального закона № 152-ФЗ. Сведения из технического журнала третьим лицам не передаются.

7.6. Файлы cookie и локальное хранилище браузера

7.6.1. Сайт не устанавливает собственных файлов cookie. Для работы Сайта в локальном хранилище браузера посетителя сохраняются:

• выбор посетителя в окне «Файлы cookie» (согласие на использование сервиса веб-аналитики или отказ от него); изменить или отозвать его можно в любой момент кнопкой «Настройки cookie» внизу страницы Сайта;
• настройки версии для слабовидящих (размер шрифта, цветовая схема, отображение изображений, интервалы, шрифт);
• сведения о закрытых посетителем информационных объявлениях;
• на время сеанса — параметры рекламной ссылки, по которой посетитель перешел на Сайт, и страница входа на Сайт;
• на время сеанса — текст поискового запроса при переходе из окна поиска на страницу результатов поиска.

7.6.2. Эти сведения хранятся в браузере посетителя. На сервер Оператора передаются только параметры рекламной ссылки и страница входа на Сайт — вместе с заявкой (пункт 7.3.4). Посетитель может удалить эти сведения в настройках браузера.

7.6.3. Файлы cookie могут устанавливать сервисы третьих лиц: сервис веб-аналитики (пункт 7.7) — только после согласия посетителя, картографический сервис и видеосервисы (пункт 7.8) — только после действия посетителя.

7.7. Веб-аналитика

7.7.1. Для анализа посещаемости Сайта, улучшения его работы и оценки эффективности рекламы Оператор использует сервис веб-аналитики «Яндекс Метрика». Сервис загружается только после того, как посетитель нажмет кнопку «Принять» в уведомлении о файлах cookie. До этого, а также если посетитель нажал «Отклонить», сервис не загружается и данные в него не передаются.

7.7.2. После получения согласия сервис обрабатывает: идентификатор посетителя, сохраняемый в файле cookie; IP-адрес; сведения об устройстве и браузере; адреса просмотренных страниц, включая параметры в адресе, и адрес страницы, с которой выполнен переход; дату, время и продолжительность посещения; сведения о действиях на Сайте (например, нажатие на номер телефона, открытие карты, начало заполнения и отправка формы, поисковые запросы по Сайту). Содержание данных, введенных в формы заявок, в сервис не передается. Сервис также записывает действия посетителя на страницах Сайта (перемещения, прокрутку, нажатия) без содержания данных, вводимых в формы.

7.7.3. Обработку осуществляет ООО «ЯНДЕКС» по поручению Оператора в соответствии с условиями использования сервиса «Яндекс Метрика».

7.7.4. Правовое основание — согласие посетителя (пункт 1 части 1 статьи 6 Федерального закона № 152-ФЗ), текст которого размещен на странице «Согласие на обработку персональных данных сервисом веб-аналитики». Посетитель может отозвать согласие в любой момент с помощью ссылки «Настройки cookie» в нижней части Сайта; после этого сервис на Сайте не загружается. Файлы cookie сервиса посетитель может также удалить в настройках браузера.

7.8. Карта и видеозаписи

7.8.1. Интерактивная карта сервиса «Яндекс Карты» загружается на страницах Сайта только после того, как посетитель нажмет кнопку «Показать карту».

7.8.2. Видеозаписи сторонних видеосервисов загружаются на страницах Сайта только после того, как посетитель нажмет кнопку воспроизведения.

7.8.3. До действия посетителя обращений к серверам картографического сервиса и видеосервисов не происходит. После него браузер посетителя обращается к серверам соответствующего сервиса, который получает IP-адрес и сведения о браузере посетителя, может устанавливать собственные файлы cookie и обрабатывает эти данные по своим правилам. Оператор такие данные не получает.

7.9. Поиск по Сайту

7.9.1. Поиск по Сайту выполняется в браузере посетителя без обращения к сторонним сервисам. Текст запроса отображается в адресе страницы результатов поиска и в этом виде может попадать в технический журнал веб-сервера (пункт 7.5) и, при наличии согласия посетителя, в сервис веб-аналитики (пункт 7.7). Для улучшения Сайта текст запроса (без номеров телефонов и адресов электронной почты — такие запросы не сохраняются), число найденных результатов и факт перехода по результату направляются в систему Оператора и хранятся в обобщенном виде — количество запросов по дням — не более 100 дней; IP-адрес и иные сведения о посетителе при этом не сохраняются.

7.10. Обращения по телефону и электронной почте

7.10.1. Посетитель может обратиться к Оператору по телефону или по адресу электронной почты, указанным на Сайте. Сведения, сообщенные при таком обращении, обрабатываются в целях ответа на обращение и записи на прием в соответствии с Политикой.

7.11. Рассылка

7.11.1. Посетитель может подписаться на рассылку Оператора по электронной почте: информационные материалы о зрении и здоровье глаз, напоминания о профилактической проверке зрения и сведения об услугах, акциях и специальных предложениях Оператора.

7.11.2. Обрабатываемые персональные данные: адрес электронной почты; страница Сайта, на которой оформлена подписка; дата и время подписки и отказа от рассылки; дата и время дачи и отзыва согласий и редакции их текстов.

7.11.3. Правовые основания: согласие на обработку персональных данных для получения рассылки (пункт 1 части 1 статьи 6, статья 15 Федерального закона № 152-ФЗ) и согласие на получение рекламной рассылки (статья 18 Федерального закона № 38-ФЗ), которые посетитель дает, отмечая поле согласия в форме подписки. Эти согласия не являются условием записи на прием или получения медицинских услуг.

7.11.4. Подписка оформляется после отправки формы. Каждое письмо рассылки содержит ссылку для отказа от нее; после получения отказа направление рассылки прекращается незамедлительно.

7.11.5. Рассылка не содержит сведений об обращениях подписчика к Оператору, о посещениях и о состоянии его здоровья.

7.11.6. Срок обработки: до отзыва согласия (отказа от рассылки). После отказа персональные данные уничтожаются в срок, не превышающий 30 дней, если иное не предусмотрено федеральным законом.

7.12. Заочная консультация по документам

7.12.1. Посетитель может направить Оператору медицинские документы для заочного рассмотрения через форму «Отправка документов» на Сайте. Цели обработки: заочное рассмотрение документов специалистами Оператора, оценка возможности диагностики и лечения и связь с посетителем по результатам рассмотрения.

7.12.2. Обрабатываемые персональные данные: фамилия, имя, отчество; дата рождения; номер телефона; адрес электронной почты (если указан); регион и город проживания (если указаны); копии медицинских документов, в том числе сведения о состоянии здоровья и данные полиса обязательного медицинского страхования; дата и время получения обращения; отметки работников Оператора о ходе его рассмотрения.

7.12.3. Правовые основания: согласие посетителя, которое дается отдельно путем проставления отметки в поле согласия в форме (пункт 1 части 1 статьи 6, пункт 1 части 2 статьи 10 Федерального закона № 152-ФЗ); текст согласия размещен на странице «Согласие на обработку персональных данных, включая сведения о состоянии здоровья, для заочной консультации». Сведения о состоянии здоровья обрабатываются лицами, обязанными сохранять врачебную тайну (пункт 4 части 2 статьи 10 Федерального закона № 152-ФЗ). Оператор фиксирует факт дачи согласия: дату и время получения обращения и редакцию текста согласия.

7.12.4. Порядок обработки: обращение и документы сохраняются в системе приема обращений Оператора на сервере на территории Российской Федерации; уведомление с копиями документов направляется на корпоративный адрес электронной почты Оператора. Фотографии документов уменьшаются, служебные сведения файлов (в том числе о месте съемки) удаляются. Доступ предоставляется только работникам, допущенным Оператором к обработке персональных данных, по индивидуальным учетным записям. Обращения, автоматически определенные как отправленные программами-роботами, не сохраняются.

7.12.5. Срок обработки: файлы документов в системе приема обращений удаляются автоматически через 30 дней после получения; иные сведения об обращении, в том числе копии документов в электронной почте Оператора, обрабатываются не более 5 лет с даты получения обращения либо до отзыва согласия, если согласие отозвано ранее, и уничтожаются в порядке, указанном в разделе 9 Политики.

8. Особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения

8.1. Обработка персональных данных, разрешенных субъектом персональных данных для распространения (пункт 2.1 Политики), осуществляется с учетом статьи 10.1 Федерального закона № 152-ФЗ.

8.2. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан субъекту персональных данных обеспечить возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

8.3. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено Оператору:

• непосредственно;
• с использованием информационной системы уполномоченного органа.

8.4. Правила использования информационной системы уполномоченного органа, в том числе порядок взаимодействия субъекта персональных данных с Оператором, определяются уполномоченным органом.

8.5. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

8.6. В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных Оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ Оператора в установлении субъектом персональных данных запретов и условий не допускается.

8.7. Установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации.

8.8. Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации.

8.9. Обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется в целях информирования граждан о медицинской организации, ее медицинских работниках и оказываемых медицинских услугах в соответствии с законодательством в сфере охраны здоровья граждан. В иных целях обработка персональных данных, разрешенных субъектом персональных данных для распространения, не допускается.

8.10. На Сайте в соответствии с пунктом 7 части 1 статьи 79 Федерального закона № 323-ФЗ размещаются сведения о медицинских работниках Оператора, об уровне их образования и об их квалификации. Фотографии работников и иные сведения о них сверх предусмотренных законодательством размещаются на основании их согласия на обработку персональных данных, разрешенных для распространения.

8.11. Отзывы пациентов с указанием фамилии, имени, фотографии или иных сведений, позволяющих установить личность пациента, размещаются на Сайте только при наличии согласия пациента на обработку персональных данных, разрешенных для распространения, и его письменного согласия на разглашение сведений, составляющих врачебную тайну. Иные отзывы размещаются в обезличенном виде.

9. Сроки обработки, прекращение обработки и уничтожение персональных данных

9.1. Сроки обработки и хранения персональных данных определяются целями их обработки, сроком действия согласия субъекта персональных данных, договором, стороной которого является субъект персональных данных, а также сроками хранения документов, установленными законодательством Российской Федерации.

9.2. Сроки обработки персональных данных посетителей Сайта указаны в разделе 7 Политики.

9.3. Если иное не предусмотрено федеральным законом или договором, стороной которого является субъект персональных данных, Оператор прекращает обработку персональных данных и уничтожает их:

• при достижении цели обработки или утрате необходимости в ее достижении — в срок, не превышающий 30 дней;
• при отзыве субъектом персональных данных согласия, если сохранение персональных данных более не требуется для целей обработки и отсутствуют иные основания для обработки, — в срок, не превышающий 30 дней с даты поступления отзыва;
• при выявлении неправомерной обработки, если обеспечить ее правомерность невозможно, — в срок, не превышающий 10 рабочих дней с даты выявления.

9.4. При отсутствии возможности уничтожения персональных данных в указанные сроки Оператор осуществляет их блокирование и обеспечивает уничтожение в срок не более 6 месяцев, если иной срок не установлен федеральными законами.

9.5. Уничтожение персональных данных и его подтверждение осуществляются в порядке, указанном в пункте 4.8 Политики.

10. Меры по обеспечению безопасности персональных данных при их обработке

10.1. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

10.2. Обеспечение безопасности персональных данных достигается, в том числе:

• определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
• оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• учетом машинных носителей персональных данных;
• обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
• восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
• осуществлением внутреннего контроля и (или) аудита соответствия обработки персональных данных законодательству о персональных данных, требованиям к защите персональных данных, политике Оператора в отношении обработки персональных данных, локальным актам Оператора;
• оценкой вреда, который может быть причинен субъектам персональных данных в случае нарушения законодательства о персональных данных, соотношением указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных законодательством о персональных данных;
• иными мерами, предусмотренными законодательством.

10.3. Оператором осуществляется оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона № 152-ФЗ. Данная оценка осуществляется в соответствии с Требованиями к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных», утвержденными уполномоченным органом.

10.4. При обработке персональных данных, полученных с использованием Сайта, в том числе:

• данные передаются по защищенному протоколу HTTPS;
• доступ к системе приема заявок предоставляется по индивидуальным учетным записям; пароли хранятся в защищенном (хешированном) виде; после нескольких неудачных попыток входа учетная запись временно блокируется;
• для защиты форм от автоматических отправок браузер посетителя выполняет вычислительную задачу, выданную сервером Оператора; проверка выполняется без привлечения сторонних сервисов и без использования персональных данных.

11. Регулирование обработки персональных данных в медицинской организации локальными нормативными актами

11.1. В целях соблюдения установленных законодательством Российской Федерации требований к обработке персональных данных медицинская организация принимает необходимые локальные нормативные акты.

11.2. Медицинская организация принимает локальные нормативные акты по вопросам обработки персональных данных, а также локальные нормативные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации по вопросам обработки персональных данных, устранение последствий таких нарушений.

11.3. Руководителем медицинской организации принимаются локальные нормативные акты о допуске к обработке персональных данных, а также определяющие ответственность работников, допущенных к обработке персональных данных.

11.4. Руководителем медицинской организации назначается лицо, ответственное за организацию обработки персональных данных.

12. Права субъектов персональных данных и порядок их реализации

12.1. При обработке персональных данных в медицинской организации соблюдаются права и обязанности, установленные действующим законодательством.

12.2. Субъект персональных данных вправе:

• получать сведения, касающиеся обработки его персональных данных, в том числе подтверждение факта обработки, правовые основания и цели обработки, применяемые способы обработки, наименование и место нахождения Оператора, сроки обработки и хранения, сведения о лицах, которым персональные данные могут быть раскрыты, и о лице, осуществляющем обработку по поручению Оператора (статья 14 Федерального закона № 152-ФЗ);
• требовать уточнения своих персональных данных, их блокирования или уничтожения, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• требовать прекращения обработки своих персональных данных (часть 5.1 статьи 21 Федерального закона № 152-ФЗ);
• требовать прекращения обработки персональных данных в целях продвижения товаров, работ, услуг на рынке (статья 15 Федерального закона № 152-ФЗ);
• реализовывать права при принятии решений на основании исключительно автоматизированной обработки его персональных данных (статья 16 Федерального закона № 152-ФЗ);
• обжаловать действия или бездействие Оператора в уполномоченный орган или в судебном порядке;
• требовать прекращения обработки персональных данных в целях продвижения товаров, работ, услуг на рынке, в том числе отказаться от рассылки (статья 15 Федерального закона № 152-ФЗ);
• осуществлять иные права, установленные действующим законодательством.

12.3. Запросы и обращения субъекта персональных данных или его представителя, в том числе отзыв согласия, направляются Оператору в письменной форме по адресу: 185031, Республика Карелия, г. Петрозаводск, наб. Варкауса, д. 1-Б, либо в форме электронного документа, подписанного электронной подписью в соответствии с законодательством Российской Федерации, на адрес электронной почты klinika@karelia-eyes.ru.

12.4. Согласие, данное на Сайте, может быть также отозвано сообщением на адрес электронной почты klinika@karelia-eyes.ru. Отказаться от рассылки можно также по ссылке в любом письме рассылки. Согласие на обработку данных сервисом веб-аналитики можно отозвать с помощью ссылки «Настройки cookie» в нижней части Сайта.

12.5. Запрос о предоставлении сведений должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (например, дату отправки заявки на Сайте), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, а также подпись субъекта персональных данных или его представителя.

12.6. Оператор предоставляет ответ на запрос безвозмездно в течение 10 рабочих дней с даты его получения. Указанный срок может быть продлен не более чем на 5 рабочих дней с направлением субъекту персональных данных мотивированного уведомления о причинах продления.

12.7. Требование субъекта персональных данных о прекращении обработки его персональных данных исполняется в срок, не превышающий 10 рабочих дней с даты его получения, за исключением случаев, предусмотренных пунктами 2–11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона № 152-ФЗ. Этот срок может быть продлен не более чем на 5 рабочих дней с направлением субъекту персональных данных мотивированного уведомления о причинах продления.

13. Обязанности Оператора

13.1. При обработке персональных данных Оператор выполняет обязанности, установленные законодательством Российской Федерации, в том числе:

• предоставляет субъекту персональных данных информацию при сборе его персональных данных;
• принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом № 152-ФЗ;
• принимает меры по обеспечению безопасности персональных данных при их обработке;
• отвечает на обращения и запросы субъектов персональных данных, их представителей и уполномоченного органа;
• устраняет нарушения законодательства, допущенные при обработке персональных данных, уточняет, блокирует и уничтожает персональные данные в случаях, предусмотренных законодательством;
• выполняет иные обязанности, установленные действующим законодательством.

13.2. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Оператор уведомляет уполномоченный орган в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования.

14. Заключительные положения

14.1. Политика вступает в силу со дня ее утверждения руководителем медицинской организации и действует до утверждения новой редакции.

14.2. Настоящая Политика доводится до сведения субъектов персональных данных, обработка персональных данных которых осуществляется Оператором. Действующая редакция Политики опубликована на Сайте по адресу https://karelia-eyes.ru/​privacy-policy/.

14.3. Лица, виновные в нарушении требований законодательства в области персональных данных, несут предусмотренную законодательством Российской Федерации ответственность.