Политика в отношении обработки персональных данных

1. Общие положения и принципы

Политика разработана во исполнение Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных (ПДн) и сведения о реализуемых требованиях к их защите. Обработка ПДн осуществляется на законной и справедливой основе, ограничивается достижением заранее определённых целей, не является избыточной; обеспечиваются точность и актуальность ПДн.

2. Категории субъектов и персональных данных

Субъекты ПДн: пользователи сайта и сервиса «Картея» (медицинские работники); лица, направившие обращения; контрагенты — физические лица. Категории ПДн: фамилия, имя, отчество; контактные данные (адрес электронной почты, номер телефона); сведения о специальности; логин учётной записи; сведения об услугах и платежах; технические данные (IP-адрес, cookie, сведения о браузере и устройстве, дата и время посещения, источник перехода).

Специальные категории ПДн, биометрические ПДн и данные пациентов Оператором не обрабатываются. Данные пациентов вносятся и обрабатываются пользователями сервиса локально на их устройствах и Оператору не передаются.

3. Цели и правовые основания обработки

Цель 1. Регистрация и доступ к сервису

Регистрация пользователей на сайте kartea.ru, создание и ведение учётной записи, идентификация и аутентификация пользователей, предоставление доступа к функционалу сервиса.

Правовое основание: согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ); исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ).

Цель 2. Договор, платежи и кассовые чеки

Заключение и исполнение договора оказания услуг (лицензионного договора-оферты), приём и учёт платежей за услуги сервиса, исполнение обязанностей, предусмотренных законодательством о применении контрольно-кассовой техники (формирование и направление кассовых чеков).

Правовое основание: исполнение договора (п. 5 ч. 1 ст. 6 152-ФЗ); ГК РФ; Федеральный закон от 22.05.2003 № 54-ФЗ; Налоговый кодекс РФ.

Цель 3. Сообщения, поддержка и обратная связь

Направление пользователям информационных и сервисных сообщений, связанных с работой сервиса (уведомления об оплате, окончании оплаченного срока доступа, изменениях в работе сервиса), оказание технической поддержки, обработка обращений и обратной связи; направление рекламных и новостных сообщений — при наличии отдельного согласия пользователя.

Правовое основание: согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ).

Цель 4. Аналитика и работоспособность сайта

Аналитика посещаемости сайта, улучшение его работы и обеспечение работоспособности.

Правовое основание: согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ).

Условия прекращения обработки: достижение целей обработки; удаление учётной записи пользователя; отзыв субъектом согласия; истечение установленных законом сроков хранения; прекращение деятельности индивидуального предпринимателя.

4. Порядок и условия обработки

Обработка ведётся смешанным способом с преобладанием автоматизированной обработки, с передачей информации по сети Интернет. Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.

Обработка ПДн поручается следующим лицам на основании договоров, содержащих условия об обеспечении конфиденциальности и безопасности ПДн:

АО «ТБанк» (ИНН 7710140679, ОГРН 1027739642281; 127287, г. Москва, вн.тер.г. муниципальный округ Савеловский, ул. Хуторская 2-я, д. 38А, стр. 26) — приём платежей, формирование и направление кассовых чеков (54-ФЗ);

ООО «Таймвэб.Клауд» (ИНН 7810945525, ОГРН 1227800052215) — предоставление вычислительной инфраструктуры для размещения базы данных (ЦОД IXcellerate: 117545, г. Москва, ул. Подольских Курсантов, д. 15Б, стр. 1);

ООО «Яндекс» (ИНН 7736207543, ОГРН 1027700229193; 119021, г. Москва, ул. Льва Толстого, д. 16) — сбор статистики посещаемости сайта посредством сервиса Яндекс.Метрика; аналитические cookie устанавливаются только с согласия пользователя.

База данных с ПДн граждан РФ находится на территории Российской Федерации. Трансграничная передача не осуществляется. Сроки хранения определяются целями обработки и требованиями законодательства; платёжные документы хранятся 5 лет.

5. Меры защиты персональных данных

назначение ответственного за организацию обработки ПДн;

организационные меры: издание локальных актов, ограничение доступа к ПДн, инструктаж лиц, допущенных к обработке;

технические меры: идентификация и аутентификация пользователей, разграничение прав доступа, защищённое соединение (HTTPS/TLS), защита от несанкционированного доступа, антивирусная защита, резервное копирование, журналирование событий;

оценка вреда, который может быть причинён субъектам ПДн; определение угроз безопасности; обеспечение уровня защищённости УЗ-4.

Сертифицированные средства криптографической защиты информации не используются.

6. Внутренний контроль и реагирование на инциденты

Ответственный за организацию обработки ПДн не реже одного раза в год проводит внутреннюю проверку соответствия обработки ПДн требованиям 152-ФЗ и настоящей Политики, включая: актуальность целей и перечней ПДн, соответствие опубликованных документов фактическим процессам, соблюдение сроков хранения и уничтожения, актуальность сведений в реестре операторов Роскомнадзора. Результаты проверки фиксируются письменно.

При выявлении инцидента (неправомерной или случайной передачи, утечки ПДн) Оператор: в течение 24 часов уведомляет Роскомнадзор о факте инцидента, предполагаемых причинах и вреде, принятых мерах; в течение 72 часов направляет результаты внутреннего расследования с указанием лиц, действия которых стали причиной инцидента (ч. 3.1 ст. 21 152-ФЗ); принимает меры по устранению последствий и недопущению повторения.

При изменении процессов обработки (новые цели, категории данных, третьи лица) Оператор актуализирует настоящую Политику, публичные документы сайта и в течение 10 рабочих дней подаёт сведения об изменениях в Роскомнадзор.

7. Права субъектов и порядок обращений

Субъекты ПДн реализуют права, предусмотренные ст. 14–22 152-ФЗ. Запросы направляются на support@kartea.ru либо почтой на юридический адрес Оператора и рассматриваются в течение 10 рабочих дней (с возможностью продления не более чем на 5 рабочих дней с уведомлением заявителя).

8. Ответственный за организацию обработки ПДн

Мосиенко Никита Михайлович. Контакт для обращений: support@kartea.ru.