Политика по обработке и обеспечению конфиденциальности персональных данных в Обществе с ограниченной ответственностью «Детокс».

Общие положения

1.1. ООО «Детокс» (далее — Общество) придерживается принципов законности, справедливости и конфиденциальности при обработке персональных данных. Обеспечение безопасности всех связанных с этим процессов является приоритетной задачей ООО «Детокс» в рамках соблюдения законодательства РФ.

1.2. Настоящая Политика (далее — Политика) определяет основные принципы и порядок работы ООО «Детокс» с персональными данными и выполняет следующие функции:

1.2.1. Раскрывает категории обрабатываемых персональных данных, цели и способы обработки, права и обязанности ООО «Детокс», а также права субъектов персональных данных.

1.2.2. Является публичным документом, декларирующим подход ООО «Детокс» к операциям с персональными данными.

1.3. Термины и определения:

1.3.1. Биометрические персональные данные — информация о физиологических и биологических характеристиках человека, позволяющая установить его личность и используемая Обществом исключительно для этой цели.

1.3.2. Блокирование персональных данных — временное приостановление обработки данных (кроме случаев, необходимых для их уточнения).

1.3.3. Доступ к информации — ознакомление, обработка, копирование, изменение или удаление информации.

1.3.4. Информационная система персональных данных (ИСПДн) — совокупность баз данных персональных данных, информационных технологий и технических средств, обеспечивающих их обработку.

1.3.5. Несанкционированный доступ (НСД) — неправомерный доступ к информации на любых носителях (бумажных, магнитных, оптических и др.) путём изменения (повышения, фальсификации) уровня прав доступа.

1.3.6. Носитель информации — любой материальный объект или среда для хранения или передачи информации.

1.3.7. Персональные данные (ПДн) — любая информация, прямо или косвенно относящаяся к определённому или определяемому физическому лицу (субъекту персональных данных).

1.3.8. Оператор — орган или лицо, самостоятельно или совместно с другими организующие и/или осуществляющие обработку персональных данных, определяющие цели обработки, состав данных и действия с ними. В рамках настоящей Политики Оператором является ООО «Детокс».

1.3.9. Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

1.3.10. Предоставление персональных данных — раскрытие персональных данных определённому лицу или кругу лиц.

1.3.11. Распространение персональных данных — раскрытие персональных данных неопределённому кругу лиц.

1.3.12. Специальные категории персональных данных — данные о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни.

1.3.13. Субъект персональных данных — физическое лицо, которое прямо или косвенно определено или может быть определено с помощью относящихся к нему персональных данных.

1.3.14. Трансграничная передача персональных данных — передача данных на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу.

1.3.15. Уничтожение персональных данных — действия, делающие невозможным восстановление содержания персональных данных в ИСПДн и/или уничтожающие материальные носители данных.

1.4. Права субъектов персональных данных:

1.4.1. Получать полную информацию об обработке своих персональных данных в Обществе.

1.4.2. Требовать от Общества уточнения, блокирования или уничтожения своих персональных данных, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели обработки, а также принимать законные меры защиты своих прав.

1.4.3. Доступ к персональным данным может быть ограничен только федеральными законами.

1.4.4. Обращаться в Общество с запросами для реализации своих прав и защиты интересов. Общество обязуется рассматривать обращения и жалобы, расследовать нарушения и принимать меры для их устранения, привлекая виновных к ответственности и урегулируя споры до суда.

1.4.5. Обжаловать действия или бездействие Общества в уполномоченном органе по защите прав субъектов персональных данных (территориальный орган Роскомнадзора).

1.4.6. Обращаться в суд для защиты своих прав и интересов, включая возмещение убытков и/или компенсацию морального вреда.

1.5. Обязанности ООО «Детокс»:

1.5.1. Строго соблюдать законодательство РФ в области обработки и защиты персональных данных.

1.5.2. Предоставлять субъекту по его требованию полную информацию об обработке его персональных данных.

1.5.3. Разъяснять субъекту последствия отказа предоставить персональные данные, если это обязательно по федеральному закону.

1.5.4. При сборе персональных данных, в том числе через Интернет, обеспечивать их запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение с использованием баз данных, расположенных на территории Российской Федерации.

1.5.5. Обеспечивать неограниченный доступ к актуальной версии Политики и информации о мерах по защите персональных данных.

1.5.6. Принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа и других неправомерных действий.

1.5.7. Сообщать субъекту или его представителю о наличии персональных данных и предоставлять доступ к ним по запросу.

1.5.8. Уточнять, блокировать или уничтожать персональные данные, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели обработки.

1.5.9. Незамедлительно прекращать обработку персональных данных при отзыве согласия субъекта, за исключением случаев, предусмотренных пунктами 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Цели сбора персональных данных

2.1. Общество обрабатывает персональные данные следующих категорий субъектов (далее — Субъекты):

2.1.1. Работники.

2.1.2. Родственники работников.

2.1.3. Бывшие работники.

2.1.4. Учредители.

2.1.5. Кандидаты на вакантные должности.

2.1.6. Пациенты и их законные представители.

2.1.7. Контрагенты (физические лица).

2.1.8. Представители/сотрудники контрагентов (юридические лица).

2.1.9. Обратившиеся граждане.

2.1.10. Пользователи сайта.

2.2. Персональные данные работников обрабатываются в следующих целях:

2.2.1. Выполнение требований трудового законодательства РФ.

2.2.2. Осуществление трудовых и иных правоотношений.

2.2.3. Исполнение трудовых договоров.

2.2.4. Ведение кадрового, бухгалтерского и налогового учёта.

2.2.5. Организация обучения и повышения квалификации.

2.2.6. Размещение информации на сайте и в соцсетях для информирования работников.

2.2.7. Изготовление визиток.

2.2.8. Организация медосмотров.

2.2.9. Подключение к корпоративной связи.

2.2.10. Размещение информации на информационных стендах.

2.3. Персональные данные родственников работников обрабатываются для ведения кадрового делопроизводства и бухгалтерского учёта.

2.4. Персональные данные бывших работников обрабатываются для ведения кадрового делопроизводства и бухгалтерского учёта.

2.5. Персональные данные учредителей обрабатываются в целях:

2.5.1. Соблюдения законодательства РФ.

2.5.2. Ведения бухгалтерского и налогового учёта.

2.6. Персональные данные кандидатов на вакантные должности обрабатываются для принятия решения о трудоустройстве.

2.7. Персональные данные пациентов и их представителей обрабатываются в целях:

2.7.1. Соблюдения законодательства РФ в области медицины.

2.7.2. Установления диагноза, оказания медицинских и медико-социальных услуг, проведения профилактических мероприятий.

2.7.3. Записи на приём, информирования об услугах.

2.7.4. Организации перевозки больных и сопутствующих услуг.

2.7.5. Проведения лабораторных исследований.

2.7.6. Предоставления медицинских услуг.

2.8. Персональные данные контрагентов — физических лиц — обрабатываются для заключения и исполнения договоров.

2.9. Персональные данные представителей/сотрудников контрагентов (юридических лиц) обрабатываются для исполнения договоров.

2.10. Персональные данные обратившихся граждан обрабатываются для информационно-справочного обслуживания, рассмотрения заявлений и принятия мер.

2.11. Персональные данные пользователей сайта обрабатываются в целях:

2.11.1. Обработки запросов и заявок, связи с пользователями.

2.11.2. Записи на приём, информирования об услугах.

2.11.3. Проведения исследований, поддержки функциональности сайта, улучшения качества услуг.

2.12. ООО «Детокс» обрабатывает персональные данные пользователей сайта исключительно для следующих целей:

2.12.1. Запись на приём к специалистам организации.

3. Правовые основания обработки персональных данных

3.1. Общество обрабатывает персональные данные в соответствии с законодательством РФ, определяющим правовые рамки и условия сбора, хранения и обработки персональной информации.

3.2. Обработка персональных данных осуществляется на основании следующих нормативно-правовых актов и документов:

3.2.1. Конституция Российской Федерации.

3.2.2. Трудовой кодекс Российской Федерации.

3.2.3. Гражданский кодекс Российской Федерации.

3.2.4. Уголовный кодекс Российской Федерации.

3.2.5. Кодекс Российской Федерации об административных правонарушениях.

3.2.6. Налоговый кодекс Российской Федерации.

3.2.7. Федеральный закон «Об индивидуальном (персонифицированном) учёте в системе обязательного пенсионного страхования».

3.2.8. Федеральный закон «О лицензировании отдельных видов деятельности».

3.2.9. Федеральный закон «О бухгалтерском учёте».

3.2.10. Федеральный закон «Об обязательном пенсионном страховании в Российской Федерации».

3.2.11. Федеральный закон «Об основах обязательного социального страхования».

3.2.12. Федеральный закон «Об основах охраны здоровья граждан в Российской Федерации».

3.2.13. Федеральный закон «Об обязательном социальном страховании от несчастных случаев на производстве и профессиональных заболеваний».

3.2.14. Федеральный закон «Об архивном деле в Российской Федерации».

3.2.15. Федеральный закон «Об основах социального обслуживания граждан в Российской Федерации».

3.2.16. Федеральный закон «Об обязательном медицинском страховании в Российской Федерации».

3.2.17. Федеральный закон «Об обязательном социальном страховании на случай временной нетрудоспособности и в связи с материнством».

3.2.18. Федеральный закон «О порядке рассмотрения обращений граждан Российской Федерации».

3.2.19. Письмо Минздрава России «О сроках хранения медицинской документации».

3.2.20. Постановление Правительства РФ «Об утверждении Правил предоставления медицинскими организациями платных медицинских услуг».

3.2.21. Постановление Правительства РФ «О лицензировании медицинской деятельности».

3.2.22. Постановление Правления ПФР «О формах документов индивидуального (персонифицированного) учёта».

3.2.23. Приказ Минздрава России «Об утверждении порядка назначения лекарственных препаратов».

3.2.24. Приказ Минздрава России «Об утверждении правил обязательного медицинского страхования».

3.2.25. Приказ Минздрава России «Об утверждении учётных форм для цитологических исследований».

3.2.26. Приказ Минздрава России «Об утверждении порядка дачи информированного добровольного согласия на медицинское вмешательство».

3.2.27. Приказ Минздрава России «Об утверждении порядка проведения экспертизы связи заболевания с профессией».

3.2.28. Приказ Минздрава России «Об утверждении учётной и отчётной медицинской документации».

3.2.29. Приказ Минздрава России «О введении формы учёта клинико-экспертной работы».

3.2.30. Приказ Минздрава России «Об утверждении Инструкции по применению компонентов крови».

3.2.31. Приказ Минздрава СССР «Об утверждении форм первичной медицинской документации учреждений здравоохранения».

3.2.32. Приказ Минздравсоцразвития России «Об утверждении Порядка выбора гражданином медицинской организации».

3.2.33. Приказ Минздравсоцразвития России «О порядке оказания первичной медико-санитарной помощи».

3.2.34. Приказ Минздравсоцразвития России «Об утверждении статистического инструментария больниц».

3.2.35. Приказ Минздравсоцразвития России «Об утверждении порядка ведения персонифицированного учёта в сфере ОМС».

3.2.36. Приказ Минздрава России «Об утверждении порядка и сроков совершенствования профессиональных знаний медицинскими работниками».

3.2.37. Приказ Минздрава России «Об информации, необходимой для проведения независимой оценки качества оказания медицинских услуг».

3.2.38. Приказ Минздрава России «Об утверждении унифицированных форм медицинской документации».

3.2.39. Приказ Минздрава России «О проведении обязательного медицинского освидетельствования водителей».

3.2.40. Приказ Минздрава России «О порядке использования вспомогательных репродуктивных технологий».

3.2.41. Приказ Минтруда России, Минздрава России «Об утверждении перечня вредных и (или) опасных производственных факторов».

3.2.42. Лицензии на осуществление медицинской деятельности.

3.2.43. Устав ООО «Детокс».

3.2.44. Трудовые договоры с работниками.

3.2.45. Договоры с субъектами персональных данных.

3.2.46. Согласие субъектов на обработку персональных данных.

4. Объём и категории обрабатываемых персональных данных, категории субъектов персональных данных

4.1. Общество обрабатывает персональные данные Субъектов в соответствии с целями сбора, в минимально необходимом объёме.

4.2. Персональные данные сотрудников обрабатываются в минимальном объёме, определённом законодательством РФ, формами кадрового делопроизводства и бухучёта, а также трудовыми договорами, исключительно для исполнения обязательств по этим договорам.

4.3. Персональные данные родственников сотрудников обрабатываются в минимальном объёме, необходимом согласно законодательству, формам кадрового делопроизводства и бухучёта.

4.4. Персональные данные бывших сотрудников хранятся и обрабатываются в минимальном объёме, предусмотренном законодательством для кадрового и бухгалтерского учёта.

4.5. Данные учредителей обрабатываются в минимальном объёме, необходимом для бухучёта и налогового учёта согласно законодательству РФ.

4.6. Персональные данные кандидатов на вакантные должности обрабатываются в минимальном объёме, необходимом для принятия решения о трудоустройстве.

4.7. Персональные данные пациентов и их представителей обрабатываются в объёме, необходимом для оказания медицинских услуг, в соответствии с законодательством.

4.8. Персональные данные контрагентов – физических лиц – обрабатываются в объёме, необходимом для заключения и исполнения договоров.

4.9. Персональные данные представителей/сотрудников контрагентов – юридических лиц – обрабатываются в минимальном объёме для исполнения договоров.

4.10. Данные обратившихся граждан обрабатываются в минимальном объёме, необходимом для информационно-справочного обслуживания, рассмотрения обращений и принятия мер.

4.11. Данные пользователей сайта обрабатываются в минимальном объёме для обработки запросов, связи, записи на приём, информирования об услугах, анализа использования сайта, поддержки его работы и повышения качества обслуживания.

4.12. Общество не обрабатывает биометрические персональные данные.

4.13. Специальные категории персональных данных, касающиеся здоровья, обрабатываются исключительно для оказания медицинских услуг, установления диагноза, лечения и профилактики, медико-социальной помощи.

5. Порядок и условия обработки персональных данных

5.1. Обработка персональных данных в Обществе осуществляется в соответствии с целями, указанными в разделе II настоящей Политики.

5.2. Общество обрабатывает категории персональных данных, перечисленные в разделе IV настоящей Политики.

5.3. Обработка персональных данных осуществляется только с согласия субъектов персональных данных, оформленного в письменной форме, если иное не предусмотрено Федеральным законом «О персональных данных».

5.4. Обработка персональных данных включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

5.5. Обработка персональных данных, включая специальные категории (состояние здоровья), производится с учётом целей обработки и утверждённого перечня должностей.

5.6. Общество имеет общедоступные источники персональных данных (сайт, информационный стенд). Размещение персональных данных (ФИО, должность, квалификация и др.) в этих источниках осуществляется только с письменного согласия субъектов.

5.7. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных осуществляются путём получения данных непосредственно от субъектов или их законных представителей.

5.8. Общество и его работники, имеющие доступ к персональным данным, обязаны не разглашать и не распространять их третьим лицам без согласия субъектов, за исключением случаев, предусмотренных федеральным законодательством.

5.9. Общество вправе передавать персональные данные органам дознания и следствия, а также иным уполномоченным органам в соответствии с законодательством РФ.

5.10. Если предоставление персональных данных обязательно по федеральному закону, работник ООО «Детокс», осуществляющий сбор данных, обязан разъяснить субъекту юридические последствия отказа.

5.11. Общество при обработке персональных данных соблюдает принципы, изложенные в статье 5 Федерального закона № 152-ФЗ «О персональных данных».

5.12. Общество принимает меры, предусмотренные частями 2 статьи 18.1 и частью 1 статьи 19 Федерального закона № 152-ФЗ «О персональных данных».

5.13. Общество не использует для обработки персональных данных базы данных, расположенные за пределами Российской Федерации.

5.14. Условия прекращения обработки персональных данных:

5.14.1. Достижение целей обработки.

5.14.2. Прекращение трудовых (договорных) отношений.

5.14.3. Утрата правовых оснований для обработки.

5.14.4. Истечение срока действия согласия или его отзыв.

5.14.5. Выявление неправомерной обработки.

5.14.6. Ликвидация ООО «Детокс».

5.15. Назначенные лица в Обществе контролируют хранение и использование материальных носителей персональных данных, предотвращая НСД, уточнение, распространение и уничтожение данных.

5.16. Срок хранения персональных данных не превышает срока, необходимого для достижения целей обработки, за исключением случаев, когда срок хранения установлен федеральным законом или договором с субъектом.

5.17. Общество предпринимает необходимые правовые, организационные и технические меры, а также реализует требования защиты персональных данных:

5.17.1. Определяет угрозы безопасности персональных данных.

5.17.2. Применяет организационные и технические меры безопасности в соответствии с требованиями, обеспечивая необходимые уровни защищённости.

5.17.3. Использует сертифицированные средства защиты информации.

5.17.4. Оценивает эффективность мер безопасности до ввода ИСПДн в эксплуатацию.

5.17.5. Ведёт учёт носителей персональных данных.

5.17.6. Обнаруживает факты НСД и принимает меры.

5.17.7. Восстанавливает данные после НСД.

5.17.8. Устанавливает правила доступа к данным и обеспечивает регистрацию и учёт всех действий с ними в ИСПДн.

5.17.9. Контролирует эффективность мер безопасности и уровень защищённости ИСПДн.

5.18. С согласия субъектов и для достижения целей обработки, Общество передаёт персональные данные следующим организациям:

5.18.1. ФНС России.

5.18.2. ПФР.

5.18.3. Страховым компаниям.

5.18.4. Роспотребнадзору.

5.18.5. ФСС.

5.18.6. ТФОМС.

5.18.7. Минздраву.

5.18.8. Уполномоченным госорганам, осуществляющим оперативно-розыскную деятельность или обеспечивающим безопасность РФ.

5.18.9. Лицензирующим и контролирующим органам.

5.18.10. Другим третьим лицам по договорам или запросам.

6. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным

6.1. При выявлении неправомерной обработки персональных данных Общество незамедлительно блокирует незаконно обрабатываемую информацию.

6.2. При обнаружении неточностей в персональных данных Общество временно блокирует их для проверки. При подтверждении недостоверности (на основании данных субъекта, его представителя, уполномоченного органа или документов) Общество вносит исправления и снимает блокировку.

6.3. Общество предоставляет субъекту или его представителю информацию о порядке обработки данных по их запросу.

6.4. Субъект вправе запросить сведения об обработке своих данных. Запрос направляется в Общество в электронном виде с электронной подписью согласно законодательству РФ.

6.5. Процедура рассмотрения запросов субъектов, их представителей и уполномоченных органов:

6.5.1. Субъект вправе получить следующую информацию:

6.5.1.1. Подтверждение факта обработки данных в Обществе.

6.5.1.2. Правовые основания и цели обработки.

6.5.1.3. Цели и способы обработки, применяемые Обществом.

6.5.1.4. Категории обрабатываемых данных, источник их получения (кроме случаев, предусмотренных законом).

6.5.1.5. Сроки обработки и хранения данных.

6.5.1.6. Порядок реализации субъектом своих прав.

6.5.1.7. Иные сведения, предусмотренные законодательством.

6.5.2. Общество отвечает на запросы в сроки, установленные статьёй 20 Федерального закона «О персональных данных».

6.6. Субъект вправе требовать от ООО «Детокс» уточнения, блокировки или удаления своих данных, если они неполные, устаревшие, неточные, получены незаконно или не требуются для заявленных целей обработки. Субъект также вправе принимать законные меры по защите своих прав.

6.7. Ограничение доступа субъекта к своим данным допускается в случаях, предусмотренных федеральными законами (например, для защиты прав третьих лиц).

6.8. Для получения информации об обработке данных (см. п. 6.5.1) субъект (или его представитель) заполняет форму (приложение 1 или 5) и предоставляет её в Общество (лично или почтой).

6.9. Для уточнения данных заполняется форма (приложение 2 или 6) и передаётся в Общество (лично или почтой).

6.10. Для удаления данных заполняется форма (приложение 3 или 7) и направляется в Общество (лично или почтой).

6.11. Отзыв согласия на обработку данных оформляется по форме (приложение 4 или 8) и передаётся в Общество (лично или почтой). Общество вправе продолжить обработку без согласия субъекта при наличии оснований, указанных в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона «О персональных данных».

6.12. Данные уничтожаются после достижения целей обработки или отзыва согласия, если иное не предусмотрено договором или соглашением между Обществом и субъектом.

6.13. Получив запрос об устранении нарушений, уточнении, блокировке или удалении данных, Общество выполняет необходимые действия и уведомляет заявителя о результатах в сроки, установленные статьёй 21 Федерального закона «О персональных данных».

7. Заключительные положения

7.1. Настоящая Политика – публичный документ ООО «Детокс», размещённый на официальном сайте.

7.2. Политика пересматривается и обновляется при изменении законодательства, но не реже раза в три года.

7.3. Соблюдение Политики контролирует специалист ООО «Детокс», ответственный за организацию обработки персональных данных.

7.4. Ответственность сотрудников, допущенных к работе с персональными данными, за несоблюдение правил их обработки и защиты регулируется законодательством РФ и внутренними документами ООО «Детокс».