1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) определяет порядок и условия обработки персональных данных в ООО «Клиника АВС» (далее – Оператор), а также права субъектов персональных данных и обязанности Оператора.

1.2. Политика разработана в соответствии с Конституцией РФ, Трудовым кодексом РФ, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», Федеральным законом от 06.03.2006 № 35-ФЗ «О противодействии терроризму» и иными нормативными правовыми актами.

1.3. Настоящая Политика является общедоступной и размещается в «Уголке потребителя» и на официальном сайте Оператора.

2. Цели обработки персональных данных

Персональные данные обрабатываются Оператором в целях:

• предоставления медицинских услуг и ведения медицинской документации;
• заключения и исполнения договоров с пациентами, сотрудниками;
• запись пациента на прием, подтверждение и напоминание о приеме (звонки, SMS, мессенджеры);
• взаимодействие с пациентом по вопросам оказания медицинских услуг;
• направление информации пациенту по электронной почте по его запросу, включая медицинскую информацию;
• оформление документов для получения пациентом социального налогового вычета. 
• ведения кадрового и бухгалтерского учета;
• заключения и исполнения договоров гражданско-правового характера с самозанятыми (исполнителями) и договоров с контрагентами, ведения связанного документооборота, бухгалтерского и налогового учёта;
• выполнения требований налогового, пенсионного и трудового законодательства;
• обеспечения учета и отчетности, предусмотренной законом;
• соблюдения требований законодательства РФ о противодействии терроризму;
• обеспечения безопасности пациентов, сотрудников и имущества.

3. Состав обрабатываемых персональных данных

3.1. Пациенты

• фамилия, имя, отчество;
•  пол
• возраст
• дата рождения 
• адрес места регистрации
• адрес места жительства
• серия и номер документа, удостоверяющего личность, сведения о выдаче указанного документа и выдавшем его органе;
• контактный телефон
• адрес электронной почты
• ИНН (для получения пациентом социального налогового вычета)
• фото-видео изображение лица, данные голоса человека (не относятся к биометрическим персональным данным, тк они не используются для установления личности субъекта с применением специальных технологий.)
• сведения о состоянии здоровья (анамнез, диагнозы, результаты обследований, назначенное лечение, медицинские документы).

3.2. Работники

• фамилия, имя, отчество;
• пол, возраст;
• дата, месяц год и место рождения;
• гражданство;
• паспортные данные (серия и номер, сведения о выдаче указанного документа и выдавшем его органе);
• адрес регистрации по месту жительства и адрес фактического проживания;
•  номер контактного телефона (домашний, мобильный);
• адрес электронной почты;
• данные документов об образовании, квалификации, профессиональной подготовке, сведения о повышении квалификации;
•  профессия, должность;
• семейное положение
• сведения о трудовой деятельности ( в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации);
• номер СНИЛС;
•  идентификационный номер налогоплательщика; 
•  табельный номер;
•  сведения о доходах;
•  сведения о воинском учете;
•  сведения о наградах (поощрениях), почетных званиях;
•  сведения о социальных гарантиях;
•  информация о приеме, переводе, увольнении и иных событиях, относящихся к моей трудовой деятельности в ООО «Клиника АВС»;
•  номер лицевого счета;
•  номер расчетного счета
•  реквизиты банковской карты;
•  фото-видео изображение лица, данные голоса человека (не относятся к биометрическим персональным данным, тк они не используются для установления личности субъекта с применением специальных технологий.)

а также специальных персональных данных: сведений о состоянии здоровья, влияющие на выполнение трудовой функции, сведения о судимости

3.3. Самозанятые (исполнители по договорам ГПХ) и представители контрагентов

фамилия, имя, отчество, контактные данные, должность; для самозанятых также ИНН, реквизиты документа, удостоверяющего личность, и реквизиты счёта. Обрабатываются в минимальном объёме, необходимом для заключения и исполнения договоров, расчётов и документооборота.

4. Правовые основания обработки

Обработка персональных данных осуществляется Оператором на законной и справедливой основе, в целях, заранее определенных и соответствующих деятельности Оператора.

Обработка персональных данных допускается как с согласия субъекта персональных данных, 

так и без такого согласия в случаях, прямо предусмотренных законодательством Российской Федерации.

Оператор обрабатывает персональные данные на основании:

• Конституции РФ;
• Трудового кодекса РФ;
• Налогового кодекса РФ;
• Федерального закона № 152-ФЗ «О персональных данных»;
• Федерального закона № 323-ФЗ «Об основах охраны здоровья граждан в РФ»;
• Федерального закона № 35-ФЗ «О противодействии терроризму»;
• договоров, заключаемых с субъектами персональных данных;
• согласий на обработку персональных данных.

5. Порядок и условия обработки

5.1. Обработка персональных данных осуществляется с согласия субъекта персональных данных, за исключением случаев, прямо предусмотренных законодательством РФ.

5.2. Обработка ведется как автоматизированным способом (с использованием медицинских информационных систем, баз данных и облачных сервисов на территории РФ), так и неавтоматизированным способом (бумажные носители).

5.3. Оператор обеспечивает хранение персональных данных на серверах, расположенных на территории Российской Федерации.

5.4. Персональные данные могут поступать от субъекта персональных данных до заключения договора, в том числе посредством:

— телефонной связи;

— мессенджеров;

— сайта медицинской организации;

— электронной почты.

5.5 Персональные данные не подлежат передаче третьим лицам без согласия субъекта персональных данных, за исключением случаев, установленных законодательством Российской Федерации.

При этом персональные данные могут передаваться третьим лицам, привлекаемым Оператором для обеспечения функционирования информационных систем и исполнения обязательств перед субъектом персональных данных, в том числе:

— операторам связи и телефонии;

— поставщикам CRM-систем;

— поставщикам МИС (медицинская информационная система)

— сервисам мессенджеров;

— сервисам электронной почты,

— оператору электронной отчётности и электронного документооборота;

— организации, осуществляющей бухгалтерское обслуживание по договору;

— обслуживающему банку в рамках зарплатного проекта и расчётов;

— медицинской организации, проводящей обязательные медицинские осмотры работников,

при условии соблюдения требований законодательства Российской Федерации и обеспечения конфиденциальности персональных данных.

Также передача персональных данных допускается без согласия субъекта в случаях, прямо предусмотренных законодательством Российской Федерации (налоговые органы, органы дознания, суд, страховые компании при наличии договора ОМС/ДМС и иные уполномоченные органы).

5.6. Передача персональных данных по каналам связи, не находящимся под полным контролем Оператора (в том числе электронная почта, мессенджеры), осуществляется по инициативе субъекта персональных данных либо с его согласия.

5.7. Трансграничная передача персональных данных Оператором не осуществляется. Базы данных, содержащие персональные данные граждан Российской Федерации, размещаются на серверах на территории Российской Федерации.

5.8. Размещение сведений о медицинских работниках (фамилия, имя, отчество, образование, квалификация, должность, график приёма), а также их фотографий и иных материалов на сайте Оператора и в социальных сетях осуществляется на основании отдельных согласий на распространение персональных данных (статья 10.1 № 152-ФЗ), полученных от работников. Обязательное раскрытие сведений об образовании и квалификации медицинских работников осуществляется также во исполнение требований законодательства в сфере охраны здоровья.

Оператор принимает необходимые меры по защите персональных данных при их обработке, однако не может гарантировать полную безопасность передачи информации по каналам связи, не зависящим от Оператора.

5.9. Сроки хранения персональных данных определяются законодательством РФ:

• медицинская документация – не менее 25 лет;
• кадровые документы – в соответствии с трудовым законодательством и архивными правилами (от 5 до 75 лет);
• бухгалтерские документы – не менее 5 лет;

договоры – не менее срока исковой давности (3 года) или иного срока, установленного законом.

6. Права субъектов персональных данных

Субъект персональных данных имеет право:

• получать информацию об обработке своих персональных данных;
• иметь доступ к своим персональным данным;
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными или незаконно обрабатываются;
• отозвать согласие на обработку персональных данных;
• отозвать согласие полностью или в части отдельных целей либо категорий персональных данных (обработка, обязательная в силу закона и договора, при этом продолжается);
• ограничить способы обработки своих персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде;
• требовать возмещения убытков и компенсации морального вреда в судебном порядке.

7. Меры по обеспечению безопасности персональных данных

Оператор принимает необходимые организационные и технические меры защиты персональных данных, включая:

• ограничение и разграничение доступа сотрудников к персональным данным;
• сотрудникам запрещается осуществлять доступ к персональным данным, не связанным с выполнением их должностных обязанностей, даже при наличии технической возможности такого доступа;
• использование паролей, антивирусного программного обеспечения и систем защиты информации;
• хранение бумажных носителей в помещениях с ограниченным доступом;
• контроль доступа к медицинским информационным системам;
• обучение сотрудников правилам работы с персональными данными и подписания обязательств о конфиденциальности.

Обработка персональных данных в организации регулируется настоящим документом, а также иными локальными нормативными актами, включая:

• Регламент допуска к персональным данным;
• Инструкции по информационной безопасности;
• Порядок удаления персональных данных.