ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана в соответствии с частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые индивидуальным предпринимателем Лепахиной Анной Александровной (далее — Оператор).

1.2. Политика действует в отношении всех персональных данных, которые Оператор получает от субъектов персональных данных при использовании ими сайта https://elhovka-clinic.ru (далее — Сайт), при обращении по телефону, через мессенджеры и социальные сети, а также при оказании медицинских услуг в клинике «Елховка Клиник» (далее — Клиника).

1.3. Политика является общедоступным документом. Она публикуется на Сайте по адресу https://elhovka-clinic.ru/privacy-policy и предоставляется для ознакомления в помещении Клиники. Оператор обеспечивает неограниченный доступ к Политике в соответствии с частью 2 статьи 18.1 Закона о персональных данных.

1.4. Термины, используемые в Политике, применяются в значениях, установленных статьёй 3 Закона о персональных данных. Дополнительно используются следующие понятия:

– Пользователь — любое физическое лицо, использующее Сайт, включая посетителей, не оставлявших заявок.

– Пациент — физическое лицо, которому Оператор оказывает медицинские услуги, либо его законный представитель (родитель, усыновитель, опекун, попечитель).

– Заявка — сведения, переданные Пользователем через формы Сайта («Запись на приём», «Обратный звонок» и иные формы), в том числе через сервис онлайн-записи.

– Метрические данные — сведения, автоматически собираемые при посещении Сайта с помощью файлов cookie и счётчиков веб-аналитики.

1.5. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её размещения на Сайте, если иное не предусмотрено новой редакцией. Действующая редакция всегда доступна на Сайте.

2.1. Оператор включён в реестр операторов, осуществляющих обработку персональных данных, ведение которого осуществляет Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), на основании уведомления, направленного в порядке статьи 22 Закона о персональных данных. Регистрационный номер в реестре операторов: 52-26-258800 (приказ № 129 от 29.05.2026).

3. Принципы и условия обработки персональных данных

3.1. Оператор обрабатывает персональные данные на основе принципов, установленных статьёй 5 Закона о персональных данных:

– обработка осуществляется на законной и справедливой основе;

– обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора;

– не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

– обрабатываются только те персональные данные, которые отвечают целям обработки; содержание и объём данных соответствуют заявленным целям, избыточность не допускается;

– обеспечивается точность, достаточность и актуальность данных; неполные или неточные данные удаляются или уточняются;

– хранение осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки; по достижении целей или утрате необходимости в их достижении данные уничтожаются или обезличиваются.

3.2. Обработка персональных данных осуществляется Оператором на следующих правовых основаниях (статья 6 Закона о персональных данных):

– согласие субъекта персональных данных (пункт 1 части 1 статьи 6) — при обработке Заявок, метрических данных, направлении информационных и рекламных сообщений;

– обработка необходима для заключения и исполнения договора, стороной или выгодоприобретателем по которому является субъект (пункт 5 части 1 статьи 6) — договор на оказание платных медицинских услуг;

– обработка необходима для достижения целей, предусмотренных законом, и для осуществления возложенных на Оператора функций (пункт 2 части 1 статьи 6) — ведение медицинской документации, учёт, отчётность, соблюдение требований лицензирования;

– обработка специальных категорий персональных данных (сведений о состоянии здоровья) — в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских услуг, при условии, что обработка осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным сохранять врачебную тайну (пункт 4 части 2 статьи 10 Закона о персональных данных, статья 13 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»).

3.3. Нормативные акты, в соответствии с которыми осуществляется обработка: Конституция РФ; Гражданский кодекс РФ; Налоговый кодекс РФ; Трудовой кодекс РФ; Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»; Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»; Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»; Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»; Федеральный закон от 07.02.1992 № 2300-1 «О защите прав потребителей»; Постановление Правительства РФ от 11.05.2023 № 736 «Об утверждении Правил предоставления медицинскими организациями платных медицинских услуг»; Постановление Правительства РФ от 01.11.2012 № 1119; Постановление Правительства РФ от 15.09.2008 № 687; Приказ ФСТЭК России от 18.02.2013 № 21; Приказ Роскомнадзора от 28.10.2022 № 179; нормативные акты Минздрава России о ведении и сроках хранения медицинской документации.

3.4. Согласие на обработку персональных данных даётся субъектом свободно, своей волей и в своём интересе, является конкретным, предметным, информированным, сознательным и однозначным. Согласие оформляется отдельно от иной информации и документов, которые подписывает или принимает субъект (часть 1 статьи 9 Закона о персональных данных). Согласие, данное на Сайте, оформляется путём проставления отметки в соответствующем поле (чекбоксе), которое по умолчанию не заполнено, с последующей отправкой формы; Оператор фиксирует дату, время, IP-адрес и содержание согласия.

3.5. Оператор не ставит оказание услуг в зависимость от предоставления субъектом согласия на обработку персональных данных, если такая обработка не является необходимой для заключения и исполнения договора. Отказ от согласия на обработку метрических данных или на получение рассылок не препятствует записи на приём и получению медицинских услуг.

3.6. Обработка персональных данных осуществляется как с использованием средств автоматизации (на Сайте, в собственном сервисе онлайн-записи Оператора, в медицинской информационной системе и учётных программах), так и без использования средств автоматизации (бумажная медицинская документация, договоры, журналы).

3.7. Трансграничная передача персональных данных Оператором не осуществляется. Базы данных, содержащие персональные данные граждан Российской Федерации, размещаются на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных). Оператор использует только те сервисы, серверы которых расположены на территории Российской Федерации.

3.8. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных.

3.9. Оператор не осуществляет обработку персональных данных, разрешённых субъектом для распространения, за исключением случаев, когда субъект дал отдельное согласие в соответствии со статьёй 10.1 Закона о персональных данных (например, для публикации отзыва с указанием имени). Обработка биометрических персональных данных не осуществляется.

4. Цели обработки, категории субъектов и состав персональных данных

4.1. Оператор обрабатывает персональные данные исключительно в целях, перечисленных в настоящем разделе и в Приложении № 1 к Политике. Для каждой цели определены категории субъектов, состав данных, правовое основание, способы обработки и сроки хранения.

4.2. Обработка Заявок с Сайта (запись на приём, обратный звонок, вопрос). Субъекты: Пользователи Сайта, а также дети Пользователей, законными представителями которых они являются. Данные: фамилия, имя, отчество; номер телефона; адрес электронной почты (если указан); имя и возраст (дата рождения) ребёнка, для которого запрашивается приём; выбранная услуга, врач, дата и время приёма; содержание сообщения. Правовое основание: согласие субъекта; принятие мер по заключению договора по инициативе субъекта (пункт 5 части 1 статьи 6). Цель: связь с Пользователем, согласование даты и времени приёма, подготовка к заключению договора на оказание медицинских услуг.

4.3. Оператор не запрашивает через формы Сайта сведения о состоянии здоровья, диагнозах и иные специальные категории персональных данных. Пользователю рекомендуется не указывать такие сведения в свободных полях Заявки. Если Пользователь по собственной инициативе сообщил такие сведения, они используются исключительно для подготовки к приёму, обрабатываются медицинскими работниками, обязанными хранить врачебную тайну, и не передаются третьим лицам.

4.4. Веб-аналитика и обеспечение работы Сайта. Субъекты: Пользователи Сайта. Данные: IP-адрес; сведения о браузере, операционной системе и устройстве; язык; источник перехода (реферер); дата и время посещения; просмотренные страницы и действия на Сайте; идентификаторы файлов cookie; данные счётчика веб-аналитики Яндекс Метрика (номер счётчика 112178502). Правовое основание: согласие Пользователя, выражаемое через уведомление о файлах cookie. Цель: обеспечение корректной работы Сайта, защита от атак и злоупотреблений, статистический анализ посещаемости, улучшение Сайта. Метрические данные не сопоставляются с Заявками и не используются для идентификации конкретного Пользователя. Подробнее — в разделе 6 Политики.

4.5. Информационные и рекламные сообщения. Субъекты: Пользователи и Пациенты, давшие отдельное согласие. Данные: фамилия, имя, отчество; номер телефона; адрес электронной почты; история обращений. Правовое основание: отдельное согласие (пункт 1 части 1 статьи 6 Закона о персональных данных, часть 1 статьи 18 Федерального закона «О рекламе»). Цель: направление сообщений об акциях, новых услугах, напоминаний о профилактических осмотрах. Сервисные сообщения (напоминание о записи, изменение времени приёма, результаты обследования) направляются без такого согласия как необходимые для исполнения договора.

4.6. Заключение и исполнение договора на оказание платных медицинских услуг, оказание медицинской помощи. Субъекты: Пациенты, законные представители несовершеннолетних Пациентов. Данные: фамилия, имя, отчество; дата рождения; пол; адрес места жительства; данные документа, удостоверяющего личность; данные документа, подтверждающего полномочия законного представителя (свидетельство о рождении, акт об опеке); контактный телефон и электронная почта; номер полиса ОМС/ДМС (при наличии); СНИЛС (при наличии); сведения о состоянии здоровья, анамнезе, результатах обследований, поставленных диагнозах, назначенном и проведённом лечении, аллергических реакциях; фотографии и рентгенологические снимки зубочелюстной системы; сведения об оплате. Правовое основание: договор; пункт 4 части 2 статьи 10 Закона о персональных данных; Федеральный закон № 323-ФЗ. Порядок обработки этих данных дополнительно регулируется локальными актами Клиники и информированными добровольными согласиями Пациентов.

4.7. Рассмотрение обращений, жалоб и претензий. Субъекты: Пользователи, Пациенты, их представители. Данные: фамилия, имя, отчество; контактные данные; содержание обращения; сведения, необходимые для рассмотрения по существу. Правовое основание: закон (Федеральный закон от 02.05.2006 № 59-ФЗ, Закон «О защите прав потребителей»), договор.

4.8. Кадровый, бухгалтерский и налоговый учёт, договорная работа с контрагентами — обработка данных работников, соискателей и представителей контрагентов осуществляется в порядке, установленном Трудовым, Налоговым кодексами РФ и локальными актами Оператора; объём и сроки хранения указаны в Приложении № 1.

5. Передача персональных данных третьим лицам. Поручение обработки5.1. Оператор не продаёт, не передаёт и не раскрывает персональные данные третьим лицам, за исключением случаев, указанных в настоящем разделе.

5.2. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта или на ином правовом основании на основании договора, содержащего условия, предусмотренные частью 3 статьи 6 Закона о персональных данных (перечень действий, цели, обязанность соблюдать конфиденциальность и обеспечивать безопасность, требования к защите). Лицо, осуществляющее обработку по поручению, не обязано получать согласие субъекта; ответственность перед субъектом несёт Оператор.

5.3. Лица, осуществляющие обработку персональных данных по поручению Оператора (обработчики):

5.3.1. Иные лица (оператор медицинской информационной системы, оператор связи, сервис SMS-уведомлений) привлекаются к обработке только при условии размещения их серверов на территории Российской Федерации и заключения договора с условиями части 3 статьи 6 Закона о персональных данных. Актуальный перечень таких лиц предоставляется субъекту по запросу в порядке раздела 8 Политики.

5.4. Оператор передаёт персональные данные без согласия субъекта государственным органам и организациям в случаях, прямо предусмотренных законом: в фонд обязательного медицинского страхования и страховые медицинские организации (при оказании помощи по ОМС/ДМС), налоговым органам, органам Росздравнадзора, Роспотребнадзора, Роскомнадзора, судам, органам дознания и следствия, прокуратуре — по запросам, оформленным в установленном порядке, а также в иных случаях, предусмотренных частью 4 статьи 13 Федерального закона № 323-ФЗ.

5.5. Сведения, составляющие врачебную тайну (факт обращения, состояние здоровья, диагноз и иные сведения, полученные при обследовании и лечении), не подлежат разглашению, в том числе после смерти Пациента, за исключением случаев, установленных статьёй 13 Федерального закона № 323-ФЗ. Информация о состоянии здоровья несовершеннолетнего Пациента предоставляется его законным представителям.

6. Файлы cookie и веб-аналитика6.1. Cookie — небольшие текстовые файлы, сохраняемые браузером Пользователя по запросу Сайта. Сайт использует:

– технически необходимые cookie — обеспечивают работу Сайта, хранение выбранных настроек, защиту от автоматизированных запросов; устанавливаются без согласия на основании необходимости для предоставления запрошенной Пользователем функции;

– аналитические cookie — устанавливаются счётчиком Яндекс Метрика (номер 112178502), включая функцию «Вебвизор» (запись действий Пользователя на страницах Сайта; содержимое полей форм при записи маскируется и не сохраняется), и используются для сбора обезличенной статистики посещаемости, анализа поведения на Сайте и его улучшения; устанавливаются только после согласия Пользователя.

6.2. При первом посещении Сайта Пользователю показывается уведомление об использовании cookie. Аналитические cookie активируются только после нажатия кнопки «Принять»; нажатие кнопки «Только необходимые» или закрытие уведомления согласием не считается. Пользователь вправе отказаться от аналитических cookie: в этом случае Сайт продолжает работать в полном объёме. Пользователь также может в любой момент удалить или заблокировать cookie в настройках браузера либо отключить Яндекс Метрику по инструкции ООО «Яндекс» (https://yandex.ru/support/metrica/general/opt-out.html).

6.3. Данные, собираемые Яндекс Метрикой, обрабатываются ООО «Яндекс» на серверах, расположенных на территории Российской Федерации, в соответствии с условиями использования сервиса Яндекс Метрика и политикой конфиденциальности ООО «Яндекс» (https://yandex.ru/legal/confidential/). Оператор не передаёт в Яндекс Метрику данные Заявок и не использует функции, позволяющие сопоставить метрические данные с конкретным Пользователем.

6.4. Максимальный срок жизни аналитических cookie — 1 год с момента последнего посещения Сайта. Технические журналы сервера, содержащие IP-адреса, хранятся не более 30 дней, после чего уничтожаются, кроме случаев расследования инцидентов информационной безопасности.

7. Сроки обработки и хранения. Уничтожение

7.1. Сроки хранения персональных данных определяются целями обработки, требованиями законодательства и договорами и указаны в Приложении № 1. Хранение осуществляется не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом или договором.

7.2. Обработка прекращается, а персональные данные уничтожаются или обезличиваются в течение 30 дней с момента: достижения цели обработки; утраты необходимости в её достижении; истечения срока хранения; отзыва субъектом согласия (если иное основание для обработки отсутствует); выявления неправомерной обработки, устранить которую невозможно (в течение 10 рабочих дней); прекращения деятельности Оператора.

7.3. Данные Заявки, по которой Пользователь не явился на приём и не заключил договор, хранятся 1 год с даты обращения, после чего уничтожаются.

7.4. Медицинская документация хранится в течение сроков, установленных нормативными актами Минздрава России, независимо от отзыва согласия Пациента, поскольку её ведение является обязанностью Оператора в силу закона.

7.5. Уничтожение персональных данных производится комиссией с составлением акта об уничтожении, а для данных, обрабатываемых в информационных системах, — с сохранением выгрузки из журнала регистрации событий (Приказ Роскомнадзора от 28.10.2022 № 179).

8. Права субъектов персональных данных8.1. Субъект персональных данных имеет право:

– получать информацию, касающуюся обработки его персональных данных, в объёме, предусмотренном частью 7 статьи 14 Закона о персональных данных (подтверждение факта обработки, правовые основания и цели, способы, наименование и место нахождения Оператора, обрабатываемые данные и источник их получения, сроки обработки и хранения, сведения о передаче третьим лицам);

– требовать уточнения, блокирования или уничтожения персональных данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели;

– отозвать согласие на обработку персональных данных;

– отказаться от получения рекламных сообщений в любой момент;

– обжаловать действия или бездействие Оператора в Роскомнадзор или в суд;

– на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.

8.2. Для реализации своих прав субъект направляет Оператору запрос: на бумажном носителе по адресу места осуществления деятельности; в форме электронного документа на адрес электронной почты a.lepakhina@yandex.ru; лично в Клинике. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с Оператором (номер телефона, указанный в Заявке, дата обращения, номер договора) либо иным образом подтверждающие факт обработки, подпись субъекта или представителя (часть 3 статьи 14 Закона о персональных данных).

8.3. Оператор сообщает субъекту сведения об обработке его персональных данных или предоставляет мотивированный отказ в течение 10 рабочих дней с момента получения запроса. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту уведомления с указанием причин.

8.4. Оператор вправе отказать в предоставлении сведений в случаях, установленных частью 8 статьи 14 Закона о персональных данных, а также если запрос не позволяет идентифицировать субъекта. Сведения, составляющие врачебную тайну, предоставляются только Пациенту (его законному представителю) либо лицу, указанному в информированном добровольном согласии.

8.5. Отзыв согласия оформляется тем же способом, что и запрос по пункту 8.2. Оператор прекращает обработку в течение 30 дней с даты получения отзыва, за исключением данных, обработка которых осуществляется на иных законных основаниях (пункты 2–11 части 1 статьи 6, часть 2 статьи 10 Закона о персональных данных), — в частности, медицинской документации и данных, необходимых для исполнения договора и бухгалтерского учёта.

8.6. Отказ от рассылок осуществляется по ссылке в письме, ответным сообщением «СТОП» на SMS или в мессенджере, а также любым способом из пункта 8.2. Рассылка прекращается не позднее 3 рабочих дней.

9. Обязанности Оператора и меры по обеспечению безопасности

9.1. Оператор обязан: предоставлять субъекту по его запросу информацию об обработке; разъяснять юридические последствия отказа предоставить данные, если их предоставление обязательно по закону; сообщать субъекту об обработке данных, полученных не от него, до начала обработки (за исключениями, установленными частью 4 статьи 18 Закона); блокировать и уточнять неточные данные по требованию субъекта; уведомлять Роскомнадзор об инциденте, повлёкшем неправомерную передачу персональных данных, в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (часть 3.1 статьи 21 Закона); опубликовать Политику и обеспечить к ней доступ.

9.2. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий (статьи 18.1, 19 Закона о персональных данных), в том числе:

– назначение лица, ответственного за организацию обработки персональных данных;

– издание локальных актов по вопросам обработки и защиты персональных данных, ознакомление с ними работников под подпись, обучение работников;

– получение с работников, имеющих доступ к персональным данным, обязательств о неразглашении и о сохранении врачебной тайны;

– определение угроз безопасности и уровня защищённости информационных систем персональных данных (Постановление Правительства РФ № 1119), применение мер, предусмотренных Приказом ФСТЭК России № 21;

– разграничение прав доступа, парольная защита, ведение журналов действий в информационных системах;

– применение средств антивирусной защиты, межсетевого экранирования, резервного копирования, шифрования каналов передачи данных (HTTPS/TLS на Сайте);

– ограничение доступа в помещения, где ведётся обработка на бумажных носителях; хранение медицинских карт в закрытых шкафах;

– учёт машинных носителей персональных данных, обеспечение восстановления данных, уничтоженных вследствие несанкционированного доступа;

– внутренний контроль соответствия обработки требованиям закона, оценка вреда, который может быть причинён субъектам в случае нарушения;

– заключение с обработчиками договоров, содержащих требования части 3 статьи 6 Закона; проверка размещения серверов обработчиков на территории РФ.

9.3. Работники Оператора, допущенные к обработке персональных данных, несут дисциплинарную, административную, гражданско-правовую и уголовную ответственность за нарушение требований законодательства о персональных данных и врачебной тайне.

10. Заключительные положения

10.1. Вопросы, не урегулированные Политикой, регулируются законодательством Российской Федерации. Если какое-либо положение Политики будет признано недействительным, это не влияет на действительность остальных положений.

10.2. Контроль за соблюдением Политики осуществляет лицо, ответственное за организацию обработки персональных данных. Политика пересматривается не реже одного раза в 3 года, а также при изменении законодательства, целей обработки или используемых сервисов.

10.3. Обращения, связанные с обработкой персональных данных, принимаются по адресу электронной почты a.lepakhina@yandex.ru, по телефону +7 (920) 294-20-39 и по адресу: г.о. Нижний Новгород, с. Елховка, ТИЗ Елховка, ул. Светлая, д. 5.

РЕКВИЗИТЫ КОМПАНИИ:

Индивидуальный предприниматель:

 Лепахина Анна Александровна

Юридический и фактический адрес:

Городской округ Нижний Новгород, с. Елховка, ТИЗ Елховка,

 ул. Светлая, дом 5

ИНН 526209736544

ОГРН 326527500006154