Политика обработки персональных данных | Клиника Современной Трихологии

1. Общие положения
1.1. Настоящая Политика определяет цели, правовые основания, условия обработки и меры защиты персональных данных при использовании сайта https://tricholog-yakutsk.ru/ (далее — Сайт), поступлении заявок через Сайт, использовании веб-аналитики, публикации сведений о специалистах и рассмотрении обращений по вопросам персональных данных.
1.2. Оператор — Общество с ограниченной ответственностью «Клиника современной трихологии».
ИНН: 1435356244;
ОГРН: 1201400011340.
Адрес: 677027, Республика Саха (Якутия), г. Якутск, ул. Орджоникидзе, д. 50, пом. 101. Электронная почта для обращений: office_kst_kr@mail.ru.
Телефон: +7-914-273-55-85.

1.3. Политика разработана с учётом Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и иных применимых нормативных правовых актов Российской Федерации.
1.4. Политика является информационным документом, а не согласием. Когда основанием обработки является согласие, оно оформляется отдельно от иных информации и документов, которые подтверждает или подписывает субъект. Просмотр Сайта, прокрутка страниц и закрытие уведомления не означают согласия на необязательную аналитику.
1.5. Сроки хранения заявок, установленные настоящей Политикой, не распространяются на медицинскую, кадровую и иную документацию, для которой имеются самостоятельные законные основания обработки и сроки хранения. Обработка при оказании медицинской помощи и в трудовых отношениях регулируется также отдельными документами Оператора.

2. Принципы обработки
2.1. Обработка осуществляется на законной и справедливой основе, для конкретных, заранее определённых и законных целей. Объём и содержание данных соответствуют целям; избыточная обработка не допускается.
2.2. Не допускаются обработка, несовместимая с целями сбора, и объединение баз данных с несовместимыми целями обработки. Оператор принимает необходимые меры для обеспечения точности, достаточности и в необходимых случаях актуальности данных.
2.3. Данные хранятся в форме, позволяющей определить субъекта, не дольше, чем необходимо для целей обработки, если иной срок не установлен федеральным законом либо договором, стороной, выгодоприобретателем или поручителем, по которому является субъект. Данные уничтожаются либо обезличиваются по достижении целей или утрате необходимости в их достижении, если иное не предусмотрено федеральным законом.

3. Цели и условия обработки

3.1. Обратная связь и запись на приём. Субъекты: посетители, направившие заявку. Цель: обработать запрос на обратную связь, ответить на организационный вопрос, согласовать запись на консультацию или приём. Данные: имя, номер телефона, выбранный способ связи, если такой выбор предусмотрен формой. Основание: согласие субъекта, пункт 1 части 1 статьи 6 Закона № 152-ФЗ. Срок обработки: до достижения цели, но не более двух месяцев с даты поступления заявки. При возникновении основания для более раннего прекращения применяются требования закона. Прекращение обработки и уничтожение осуществляются в соответствии с разделом 8 с соблюдением двухмесячного предела хранения заявок. Продолжение обработки на ином законном основании допускается только в необходимом для этого основания объёме.
3.2. Для цели пункта 3.1 выполняются сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление доступа уполномоченным лицам, передача привлечённым обработчикам при наличии законного основания, блокирование, удаление и уничтожение. Обработка автоматизированная и неавтоматизированная. Заявки поступают через Tilda и на электронную почту Оператора. Распространение данных заявок не осуществляется.
3.3. Формы обратной связи не предназначены для передачи диагнозов, результатов обследований и других сведений о здоровье. Оператор не запрашивает такие сведения в этих формах. Полученные вне предусмотренного порядка медицинские сведения не включаются в аналитические системы; возможность дальнейшей обработки оценивается отдельно с учётом статьи 10 Закона № 152-ФЗ и требований о врачебной тайне.
3.4. Публикация сведений о специалистах. Субъекты: специалисты клиники. Цели: раскрытие обязательной информации о медицинской организации и информирование о профессиональной деятельности специалистов. Для обязательной информации основанием являются пункт 2 части 1 статьи 6 Закона № 152-ФЗ, применимые требования Федерального закона № 323-ФЗ, в том числе статьи 79, и действующие требования к информации на сайтах медицинских организаций. Для дополнительных публикаций используется отдельное согласие на обработку персональных данных, разрешённых для распространения, по статье 10.1 Закона № 152-ФЗ, когда такое согласие необходимо. Использование изображения осуществляется с учётом статьи 152.1 ГК РФ.
3.5. В отношении специалистов обрабатываются фамилия, имя, отчество при наличии, должность, специальность, сведения об образовании и квалификации, стаже работы, фотография. Публикация каждой категории данных осуществляется в объёме, предусмотренном соответствующим законным основанием. Для сведений, публикуемых на основании согласия, соблюдаются его условия. Действия: сбор, запись, хранение, уточнение, использование, распространение на Сайте, блокирование, удаление и уничтожение. Способы: автоматизированный и неавтоматизированный. Срок обязательной публикации определяется действием соответствующей обязанности; срок публикации по согласию — его условиями, достижением цели и отсутствием требования о прекращении распространения. Прекращение обработки и уничтожение осуществляются по разделам 8 и 10.
3.6. Рассмотрение обращений по персональным данным. Субъекты: заявители и их представители. Данные: ФИО, контакты для ответа, содержание обращения, сведения для подтверждения личности и полномочий в случаях и объёме, предусмотренных законом. Цель: исполнение требований и предоставление ответов. Основание: пункт 2 части 1 статьи 6, статьи 14, 20 и 21 Закона № 152-ФЗ. Действия: получение, регистрация, запись, хранение, уточнение, использование, предоставление ответа, блокирование, удаление и уничтожение. Обработка автоматизированная и неавтоматизированная. По истечении срока документы уничтожаются в порядке раздела 8.
3.7. Веб-аналитика: категории субъектов, цель, состав данных, действия, основание и сроки приведены в разделе 7.

4. Согласия и отправка форм
4.1. До отправки заявки посетитель может ознакомиться с Политикой и отдельным текстом согласия. Согласие выражается самостоятельной отметкой в незаполненном заранее поле и отправкой формы. Без необходимого согласия заявка через такую форму не отправляется.
4.2. Оператор сохраняет доказательства получения согласия: дату и время, способ выражения и редакцию согласия, а также сведения, необходимые для связи согласия с соответствующей заявкой. Доступ к доказательствам ограничивается. Хранение доказательств не означает продления срока хранения всей исходной заявки. По окончании применимого срока доказательства уничтожаются в порядке раздела 8.
4.3. Согласие на заявку не включает согласие на рекламные сообщения и необязательную веб-аналитику. Выбор способа связи не является согласием на рекламу. Рекламные сообщения при их организации требуют отдельного надлежащего предварительного согласия.

5. Хранение заявок
5.1. Заявки принимаются средствами платформы Tilda и поступают на электронную почту Оператора office_kst_kr@mail.ru. Доступ к заявкам предоставляется только уполномоченным работникам и привлечённым лицам в объёме, необходимом для выполнения их обязанностей.
5.2. Предельный двухмесячный срок распространяется на заявки в Tilda, почтовых папках и созданные рабочие копии. Пересылка или копирование не продлевает срок. Если сервис автоматически удаляет заявки раньше, это учитывается при организации обработки.
5.3. Удаление организуется так, чтобы соблюсти установленный срок и специальные требования закона. Копии в папках удалённых сообщений также подлежат удалению. При возникновении нового самостоятельного законного основания сохраняются только необходимые для него данные, а не автоматически вся исходная заявка.
5.4. Продление срока хранения допускается только при наличии обоснованной необходимости и надлежащего правового основания. Решение руководителя само по себе не заменяет такого основания. При необходимости изменения условий обработки актуализируются документы и запрашивается новое согласие.

6. Привлечение сторонних сервисов и передача данных
6.1. Для приёма заявок Оператор использует платформу Tilda, для получения и обработки сообщений — электронную почту Mail.ru, для анализа посещаемости Сайта — сервис Яндекс.Метрика. При использовании этих сервисов их поставщики могут обрабатывать персональные данные в объёме, необходимом для выполнения соответствующих функций.
6.2. Привлечение лиц к обработке персональных данных по поручению Оператора осуществляется с соблюдением части 3 статьи 6 Закона № 152-ФЗ. Передача данных осуществляется при наличии законного основания, а когда это необходимо — согласия субъекта персональных данных.
6.3. Данные заявок не размещаются в открытом доступе. Их передача и предоставление доступа допускаются только уполномоченным лицам в необходимом объёме либо в случаях, предусмотренных законодательством Российской Федерации. Условия использования веб-аналитики приведены в разделе 7.
6.4. При сборе персональных данных граждан Российской Федерации Оператор соблюдает требования части 5 статьи 18 Закона № 152-ФЗ о локализации баз данных. Трансграничная передача допускается только с соблюдением требований статьи 12 указанного закона.

7. Файлы cookie и веб-аналитика
7.1. На Сайте используется сервис Яндекс.Метрика для анализа посещаемости и действий посетителей, а также улучшения работы Сайта. Сервис использует файлы cookie — небольшие фрагменты данных, сохраняемые на устройстве посетителя. Субъекты персональных данных — посетители Сайта.
7.2. Для указанных целей обрабатываются технические данные посетителей: IP-адрес, идентификаторы cookie, сведения об устройстве, операционной системе и браузере, посещённых страницах, источниках переходов и действиях на Сайте. Обработка осуществляется автоматизированно и включает сбор, запись, систематизацию, накопление, хранение, извлечение, использование, передачу поставщику сервиса Яндекс.Метрика, блокирование, удаление и уничтожение.
7.3. Обработка персональных данных средствами веб-аналитики осуществляется на основании отдельного согласия посетителя в соответствии с пунктом 1 части 1 статьи 6 Закона № 152-ФЗ. До получения согласия Яндекс.Метрика не запускается. Посетитель может разрешить или отклонить аналитику через уведомление на Сайте. Отказ не препятствует использованию основных функций Сайта.
7.4. Аналитические данные обрабатываются не дольше, чем необходимо для достижения указанной цели. При более раннем достижении цели или отзыве согласия обработка прекращается и данные уничтожаются в порядке и сроки, предусмотренные статьёй 21 Закона № 152-ФЗ, если отсутствует другое законное основание для их обработки. Срок действия файла cookie на устройстве может отличаться от срока хранения информации в сервисе.
7.5. Посетитель может изменить ранее принятое решение через ссылку «Изменить выбор cookie» на Сайте или направить отзыв согласия на адрес office_kst_kr@mail.ru. После отказа от аналитики новые аналитические запросы прекращаются. Удаление файлов cookie через настройки браузера само по себе не означает удаления ранее собранных данных из сервиса.
7.6. Технические средства, необходимые для сохранения выбора посетителя относительно аналитики, используются только для этой цели. Информация о работе Яндекс.Метрики доступна в документации сервиса: https://yandex.ru/support/metrica/.

8. Прекращение обработки и уничтожение
8.1. Обработка прекращается при достижении цели, истечении установленного срока, отзыве согласия при отсутствии другого законного основания, законном требовании субъекта, выявлении неправомерности и в иных предусмотренных законом случаях.
8.2. По достижении цели данные уничтожаются в срок не более 30 дней, если иное не предусмотрено применимыми положениями закона. При отзыве согласия Оператор прекращает обработку и, если сохранение данных более не требуется для целей обработки, уничтожает их в срок не более 30 дней с даты поступления отзыва, с учётом предусмотренных законом исключений. Продолжение обработки после отзыва допускается только при наличии самостоятельного законного основания. Более короткий срок, установленный для конкретного процесса, учитывается при организации удаления. Для заявок соблюдается предельный срок, установленный пунктом 3.1.
8.3. В случае выявления неправомерной обработки она прекращается в течение трёх рабочих дней с даты выявления. Если обеспечить правомерность невозможно, данные уничтожаются в срок не более десяти рабочих дней с даты выявления. В остальных случаях блокирование, уточнение и уничтожение осуществляются по статье 21 Закона № 152-ФЗ.
8.4. Уничтожение персональных данных осуществляется способом, исключающим возможность восстановления их содержания в информационной системе персональных данных и (или) предусматривающим уничтожение материальных носителей. Подтверждение уничтожения оформляется в соответствии с приказом Роскомнадзора от 28.10.2022 № 179: при неавтоматизированной обработке — актом об уничтожении; при автоматизированной обработке либо одновременном использовании обоих способов — актом об уничтожении и выгрузкой из журнала регистрации событий.
8.5. Резервные копии не являются основанием бессрочного хранения. При отсутствии возможности уничтожить данные в сроки, указанные в частях 3–5 статьи 21 Закона № 152-ФЗ, Оператор блокирует их и обеспечивает уничтожение в срок не более шести месяцев, если иной срок не установлен федеральным законом. Удаление у привлечённых обработчиков организуется в рамках поручения; при восстановлении системы просроченные данные не возвращаются в обычную обработку.

9. Права субъектов и обращения
9.1. Субъект вправе получать информацию об обработке, требовать уточнения, блокирования и уничтожения в установленных законом случаях, отзывать согласие, требовать прекращения обработки и распространения, обжаловать действия или бездействие Оператора в Роскомнадзор или суд и осуществлять иные предусмотренные законом права.
9.2. Обращения принимаются по office_kst_kr@mail.ru и по адресу из пункта 1.2. При необходимости Оператор запрашивает сведения, позволяющие подтвердить личность и полномочия, в предусмотренном законом объёме. Запрос доступа к данным оформляется с учётом части 3 статьи 14 Закона № 152-ФЗ. Направлять паспортные копии без установленной необходимости не требуется.
9.3. Информация об обработке предоставляется в течение десяти рабочих дней с даты получения обращения или запроса; срок может быть продлён не более чем на пять рабочих дней с мотивированным уведомлением о причинах. Отказ в предоставлении сведений допускается только по основаниям и в порядке, предусмотренным законом.
9.4. Требование о прекращении обработки исполняется в течение десяти рабочих дней с даты получения с учётом исключений части 5.1 статьи 21 Закона № 152-ФЗ. Возможно мотивированное продление не более чем на пять рабочих дней. Для иных требований действуют специальные сроки закона; этот срок не распространяется автоматически на все обращения.
9.5. Отзыв согласия не исключает продолжение обработки на самостоятельном законном основании. При этом сохраняются только необходимые для такого основания данные.

10. Распространение данных специалистов
10.1. Согласие на обработку данных, разрешённых для распространения, оформляется отдельно в соответствии со статьёй 10.1 Закона № 152-ФЗ и применимыми требованиями к содержанию согласия. Подписанное согласие, подпись и непубличные контакты специалиста на Сайте не размещаются.
10.2. Не позднее трёх рабочих дней с момента получения такого согласия Оператор публикует информацию об условиях обработки и о наличии запретов и условий на обработку персональных данных неограниченным кругом лиц. Информация размещается в разделе «Условия обработки персональных данных специалистов, разрешённых для распространения» по адресу: https://tricholog-yakutsk.ru/policy. Информация позволяет определить, к каким данным и специалистам относятся соответствующие условия.
10.3. Субъект вправе потребовать прекращения передачи (распространения, предоставления, доступа) данных, разрешённых им для распространения. Требование должно содержать фамилию, имя, отчество при наличии, контактную информацию и перечень соответствующих данных. Согласие прекращает действие с момента поступления требования, предусмотренного частью 12 статьи 10.1 Закона № 152-ФЗ. При применении части 14 этой статьи обработка прекращается в течение трёх рабочих дней с момента получения требования либо в срок, определённый вступившим в законную силу решением суда.
10.4. Доступность данных в Интернете не является самостоятельным разрешением на их копирование, повторную публикацию или рекламное использование. Лица, получившие доступ, обязаны иметь собственное законное основание обработки и соблюдать применимые запреты и условия. Обязательное раскрытие сведений по закону оценивается отдельно от публикации на основании согласия.

11. Безопасность и инциденты
11.1. Оператор принимает необходимые правовые, организационные и технические меры с учётом статей 18.1 и 19 Закона № 152-ФЗ. Меры включают назначение ответственного за организацию обработки, принятие локальных актов, разграничение доступа, учёт носителей в применимых случаях, обучение работников, контроль соблюдения требований и восстановление данных, изменённых или уничтоженных вследствие несанкционированного доступа.
11.2. Ответственный за организацию обработки персональных данных назначается внутренним приказом Оператора. Обращения ему передаются через office_kst_kr@mail.ru.
11.3. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в соответствии с частью 3.1 статьи 21 Закона № 152-ФЗ: в течение 24 часов с момента выявления — об инциденте, предполагаемых причинах и вреде, принятых мерах и лице для взаимодействия; в течение 72 часов — о результатах внутреннего расследования и предусмотренных законом сведениях о лицах, действия которых стали причиной инцидента, при наличии таких сведений.

12. Актуализация
12.1. Политика размещается в открытом доступе по адресу https://tricholog-yakutsk.ru/policy. Ссылки на неё размещаются в местах сбора данных.
12.2. Изменения утверждаются Оператором при изменении законодательства или фактической обработки персональных данных.