Политика в отношении обработки персональных данных

Настоящая Политика оператора в отношении обработки персональных данных (далее – Политика) определяет условия обработки персональных данных, предоставленных физическим лицом (пользователем)  во время использования интернет-сервиса https://peredelkinokardio.ru, и действует в отношении всей информации, которую оператор персональных данных самостоятельно или совместно с другими лицами, может получить о пользователе во время использования интернет-сервиса, программ, продуктов, в ходе исполнения пользовательского соглашения, а также любых иных соглашений, заключенных оператором персональных данных с пользователем.

1. Общие положения

1.1. Основные понятия, используемые в Политике:

• персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (пользователю);
• оператор персональных данных (далее «Оператор») – Общество с ограниченной ответственностью КСЦ «Переделкино», ОГРН 1177746010584, адрес местонахождения: 119619, г.Москва, ул. 6-я Лазенки, д. 2, стр.2;
• субъект персональных данных – физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных;
• пользователь — субъект персональных данных, лицо, пользующееся или намеревающееся воспользоваться продуктами и/или услугами Оператора, предоставляемыми при реализации санаторно-курортной и медицинской деятельности посредством обращения к Оператору напрямую, через контрагентов Оператора или с использованием интернет-сервиса, размещенного на сайте https://peredelkinokardio.ru, и при оказании Оператором иных сопутствующих услуг;
• интернет-сервис https://peredelkinokardio.ru (далее «интернет-сервис») – информационно-компьютерная система, находящаяся по адресу https://peredelkinokardio.ru;
• обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя, в том числе: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
• конфиденциальность персональных данных — обязательное для соблюдения Оператором или иными получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания;
• информационные системы персональных данных (ИСПД) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

1.2. Иные термины и понятия, упомянутые в Политике, используются в значении, установленном действующим законодательством Российской Федерации о персональных данных.

1.3. Политика распространяется на персональные данные, полученные как до, так и после введение в действие настоящей Политики.

1.4. Принятие условий Политики при регистрации пользователя в интернет-сервисе, а равно заполнение формы согласия на обработку персональных данных, означает безоговорочное согласие пользователя с настоящей Политикой и указанными в ней условиями обработки его персональных данных. В случае несогласия с этими условиями пользователь должен воздержаться от использования интернет-сервиса, кроме того, Оператор вправе отказать пользователю в предоставлении услуг, если отсутствует возможность их оказания без использования персональных данных пользователя.

1.5. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных».

1.6. Оператор не контролирует и не несет ответственности за обработку информации сайтами третьих лиц, на которые пользователь может перейти по ссылкам, доступным на странице интернет-сервиса в сети Интернет.

1.7. Субъект персональных данных вправе:

1.7.1. получать информацию, касающуюся обработки его персональных данных, в том числе содержащей подтверждение факта обработки персональных данных Оператором, правовые основания и цели обработки персональных данных, цели и применяемые Оператором способы обработки персональных данных, а также иные, предусмотренные Федеральном законом от 27.07.2006 № 152-ФЗ «О персональных данных»;

1.7.2. отозвать согласие на обработку персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных действующим законодательством;

1.7.3. требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

1.7.4. обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке, в случае если Оператор осуществляет обработку его персональных данных с нарушением требований федеральных законов или иным образом нарушает его права и свободы;

1.7.5. осуществлять меры по защите своих прав и законных интересов, в том числе требовать возмещения убытков и (или) компенсацию морального вреда в судебном порядке;

1.7.6. осуществлять иные права, предусмотренные действующим законодательством.

1.8. Субъект персональных данных обязан:

1.8.1. предоставить информацию о персональных данных, необходимую для пользования интернет-сервисом;

1.8.2. обновлять, дополнять предоставленную информацию о персональных данных в случае изменения данной информации.

1.9. Оператор вправе:

1.9.1. при обработке персональных данных применять правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии с положениями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;

1.9.2. на основании договора поручить обработку персональных данных третьему лицу. Существенным условием такого договора является наличие права у данного лица на обработку персональных данных, обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке;

1.9.3. использовать персональные данные субъекта без его согласия, в случаях, предусмотренных законодательством Российской Федерации.

1.10. Оператор обязан:

1.10.1. обеспечить режим конфиденциальности персональных данных, предоставленных субъектом персональных данных, согласно порядку, обычно используемому для защиты такого рода информации в существующем деловом обороте;

1.10.2. использовать полученную информацию о персональных данных субъекта исключительно для целей, указанных в настоящей Политике;

1.10.3. не разглашать без предварительного письменного разрешения субъекта персональных данных, а также не осуществлять продажу, обмен, опубликование либо разглашение иными возможными способами переданных персональных данных, за исключением предусмотренных настоящей Политикой;

1.10.4. осуществить блокирование персональных данных, относящихся к соответствующему субъекту, с момента обращения или запроса субъекта или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных на период проверки в случае выявления недостоверных персональных данных или неправомерных действий;

1.10.5. обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных»;

1.10.6. давать ответы на запросы и обращения субъектов персональных данных, их представителей и уполномоченного органа по защите прав субъектов персональных данных.

2. Цели сбора персональных данных

2.1. Целью обработки персональных данных является:

2.1.1. обеспечение соблюдения Конституции Российской Федерации, федеральных законов и иных нормативных правовых актов Российской Федерации, при осуществлении Пользователем доступа к продуктам и/или услугам, предоставляемым Оператором, при использовании интернет-сервиса;

2.1.2. идентификация Пользователя при использовании интернет-сервиса, предоставления Пользователю доступа к сайту https://peredelkinokardio.ru, его содержанию, продуктам (услугам), приложениям;

2.1.3. направление уведомлений, запросов и информации, касающихся использования интернет-сервиса, обработка запросов и заявок от пользователя, предоставление таргетированной рекламы, улучшение качества интернет-сервиса, удобства его использования, разработка новых приложений и продуктов, проведения статистических и иных исследований на основе указанных данных;

2.1.4. исполнение соглашений, заключенных между Оператором и субъектом персональных данных, в сфере санаторно-курортной и медицинской деятельности,  а также иных сопутствующих услуг.

3. Правовые основания обработки персональных данных

3.1. Оператор осуществляет обработку персональных данных субъектов персональных данных, руководствуясь:

• Конституцией Российской Федерации,
• Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных»,
• Федеральным законом от 24.11.1996№ 132-ФЗ «Об основах туристской деятельности в Российской Федерации»,
• иными нормативными правовыми актами в установленной сфере деятельности;
• Уставом;
• договорами, заключаемыми в электронной форме между Оператором и субъектом персональных данных, прямыми соглашениями между Оператором и субъектом персональных данных в документарной форме, а также договорами о реализации санаторно-курортных услуг, которые заключены между субъектом персональных данных и агентами Оператора;
• согласием на обработку персональных данных (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям Оператора).

4. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных

4.1. Политика применяется в отношении персональных данных (субъектов), которые могут быть получены Оператором в процессе использования субъектом интернет-сервиса (персональные данные Пользователя), а также при оказании услуг без использования интернет-сервиса.

4.2. Оператор обрабатывает персональные данные следующих категорий субъектов:

4.2.1. пользователей;

4.2.2. работников Оператора;

4.2.3. клиентов и контрагентов Оператора (физические лица);

4.2.4. представителей/работников клиентов и контрагентов Оператора (юридических лиц).

4.3. Состав обрабатываемых персональных данных:

4.3.1. пользователей:

• фамилия, имя, отчество,
• дата, месяц, год рождения;
• данные документов, удостоверяющих личность;
• адрес регистрации/места жительства;
• место работы;
• адрес электронной почты и номер телефона;
• информация о состоянии здоровья.

4.3.2. клиентов и контрагентов Оператора (физические лица), представителей/работников клиентов и контрагентов Оператора (юридических лиц), в том числе не являющихся пользователями интернет-сервиса:

• фамилия, имя, отчество,
• дата, месяц, год рождения;
• данные документов, удостоверяющих личность;
• адрес регистрации/места жительства;
• место работы;
• адрес электронной почты и номер телефона;
• информация о состоянии здоровья.

4.3.3. Состав обрабатываемых персональных данных работников Оператора установлен локальными нормативными актами Оператора.

5. Порядок и условия обработки персональных данных

5.1. Пользователь дает свое согласие на обработку персональных данных, которые он предоставляет о себе самостоятельно при регистрации в интернет-сервисе (создании учетной записи пользователя) или в процессе использования интернет-сервиса. Получение согласия на обработку персональных данных осуществляется посредством проставления «галочки» пользователем в соответствующей веб-форме.

5.2. Пользователь соглашается с тем, что данные, указанные им при регистрации в интернет-сервисе и создании учетной записи пользователя, будут обрабатываться Оператором либо третьими лицами по поручению Оператора на условиях, указанных в настоящей Политике, любым способом, и дает согласие на такую обработку для целей, указанных в Политике.

5.3. В отношении персональных данных сохраняется режим конфиденциальности, кроме случаев добровольного предоставления пользователем информации о себе для общего доступа неограниченному кругу лиц.

5.4. Оператор гарантирует принятие необходимых организационных и технических мер для защиты персональных данных пользователя от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц.

5.5. В целях координации действий по организации обработки персональных данных (в том числе за их безопасность) Оператор назначает ответственное лицо.

5.6. Оператор вправе передать персональные данные пользователя третьим лицам в объеме, указанном в п.4.3 Политики, только на условиях соглашения, заключенного Оператором и третьим лицом, в том числе посредством акцепта оферты, для осуществления действий, указанных в п. 2.1.4 Политики, при условии:

5.6.1. пользователь выразил согласие на такие действия путем регистрации в интернет-сервисе;

5.6.2. передача необходима для использования пользователем определенного интернет-сервиса (например, для целей совершения платежей, и др.), либо для исполнения определенного соглашения или договора, заключенного с пользователем;

5.6.3. передача предусмотрена российским или иным применимым законодательством в рамках установленной законодательством процедуры;

5.6.4. в целях обеспечения возможности защиты прав и законных интересов Оператора, других Пользователей или третьих лиц в случаях, когда нарушается пользовательское соглашение, Политика, либо иные соглашения, заключенные между Оператором и пользователем;

5.6.5. в результате обработки персональных данных пользователя путем их обезличивания получены обезличенные данные, которые передаются третьему лицу для проведения исследований, выполнения работ или оказания услуг по поручению Оператора в целях исполнения заключенного с пользователем соглашения.

5.7. Обработка персональных данных пользователя осуществляется без ограничения срока любым законным способом, в том числе в информационных системах персональных данных с использованием средств автоматизации или без использования таких средств.

5.8. Хранение персональных данных Пользователя осуществляется в течение десяти лет с момента регистрации Пользователя с интернет-сервисе, кроме случаев, когда срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, либо если последующее хранение необходимо в целях достижение цели использования персональных данных.

5.9. При утрате или разглашении персональных данных Оператор информирует пользователя об утрате или разглашении персональных данных. При этом Оператор совместно с пользователем принимает все необходимые меры по предотвращению убытков или иных отрицательных последствий, вызванных утратой или разглашением персональных данных пользователя.

5.10. Согласие на обработку персональных данных действует с момента начала использования интернет-сервиса/заключения соответствующего соглашения и до момента отзыва пользователем данного согласия, направленного в письменной форме заказным письмом с уведомлением, по адресу Оператора, указанному в Политике, в соответствии с требованиями законодательства Российской Федерации.

5.11. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только при условии предварительного согласия пользователя и прекращается Оператором немедленно по требованию пользователя, направленному в письменном виде по адресам Оператора.

5.12. Оператор не проверяет достоверность персональных данных, предоставляемых Пользователем.

5.13. Оператор прекращает обработку персональных данных в следующих случаях:

5.13.1. достижение целей обработки персональных данных;

5.13.2. истечение срока действия согласия или отзыв согласия субъекта персональных данных на обработку его персональных данных;

5.13.3. выявление неправомерной обработки персональных данных.

6. Принципы обеспечения безопасности персональных данных

6.1. Основной задачей обеспечения безопасности персональных данных при их обработке Оператором является предотвращение несанкционированного доступа к ним третьих лиц, предупреждение преднамеренных программно-технических и иных воздействий с целью хищения персональных данных, разрушения (уничтожения) или искажения их в процессе обработки.

6.2. Для обеспечения безопасности персональных данных Оператор руководствуется следующими принципами:

6.2.1. законность: защита персональных данных основывается на положениях нормативных правовых актов и методических документов уполномоченных государственных органов в области обработки и защиты персональных данных;

6.2.2. системность: обработка персональных данных осуществляется Оператором с учетом всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов, значимых для понимания и решения проблемы обеспечения безопасности персональных данных;

6.2.3. комплексность: защита персональных данных строится с использованием функциональных возможностей информационных технологий, реализованных в информационных системах Оператора (далее — ИС) и других имеющихся у Оператора систем и средств защиты;

6.2.4. непрерывность: защита персональных данных обеспечивается на всех этапах их обработки и во всех режимах функционирования систем обработки персональных данных, в том числе при проведении ремонтных и регламентных работ;

6.2.5. своевременность: меры, обеспечивающие надлежащий уровень безопасности персональных данных, принимаются до начала их обработки;

6.2.6. преемственность и непрерывность совершенствования: модернизация и наращивание мер и средств защиты персональных данных осуществляется на основании результатов анализа практики обработки персональных данных Оператором с учетом выявления новых способов и средств реализации угроз безопасности персональных данных, отечественного и зарубежного опыта в сфере защиты информации;

6.2.7. персональная ответственность: ответственность за обеспечение безопасности персональных данных возлагается на работников Оператора в пределах их обязанностей, связанных с обработкой и защитой персональных данных;

6.2.8. минимизация прав доступа: доступ к персональным данным предоставляется работникам Оператора только в объеме, необходимом для выполнения их должностных обязанностей;

6.2.9. гибкость: обеспечение выполнения функций защиты персональных данных при изменении характеристик функционирования информационных систем персональных данных Оператора, а также объема и состава обрабатываемых персональных данных;

6.2.10. открытость алгоритмов и механизмов защиты: структура, технологии и алгоритмы функционирования системы защиты персональных данных Оператора не дают возможности преодоления имеющихся у Оператора систем защиты возможными нарушителями безопасности персональных данных;

6.2.11. научная обоснованность и техническая реализуемость: уровень мер по защите персональных данных определяется современным уровнем развития информационных технологий и средств защиты информации;

6.2.12. специализация и профессионализм: реализация мер по обеспечению безопасности персональных данных осуществляются работниками Оператора, имеющими необходимые для этого квалификацию и опыт;

6.2.13. эффективность процедур отбора кадров и выбора контрагентов: кадровая политика Оператора предусматривает тщательный подбор персонала и мотивацию работников, позволяющую исключить или минимизировать возможность нарушения ими безопасности персональных данных; минимизация вероятности возникновения угрозы безопасности персональных данных, источники которых связаны с человеческим фактором, обеспечивается получением наиболее полной информации о контрагентах Оператора до заключения договоров;

6.2.14. наблюдаемость и прозрачность: меры по обеспечению безопасности персональных данных должны быть спланированы так, чтобы результаты их применения были явно наблюдаемы (прозрачны) и могли быть оценены лицами, осуществляющими контроль;

6.2.15. непрерывность контроля и оценки: устанавливаются процедуры постоянного контроля использования систем обработки и защиты персональных данных, а результаты контроля регулярно анализируются.

6.3. В соответствии с требованиями нормативных документов Оператором создана система защиты персональных данных (СЗПД), состоящая из подсистем правовой, организационной и технической защиты.

6.3.1. подсистема правовой защиты представляет собой комплекс правовых, организационно-распорядительных и нормативных документов, обеспечивающих создание, функционирование и совершенствование СЗПД.

6.3.2. подсистема организационной защиты включает в себя организацию структуры управления СЗПД, разрешительной системы, защиты информации при работе с сотрудниками, партнерами и сторонними лицами.

6.3.3. подсистема технической защиты включает в себя комплекс технических, программных, программно-аппаратных средств, обеспечивающих защиту персональных данных.

6.4. Основными мерами защиты персональных данных, используемыми Оператором, являются:

6.4.1. назначение лица, ответственного за обработку персональных данных, которое осуществляет организацию обработки персональных данных, обучение и инструктаж, внутренний контроль за соблюдением Оператором и его работниками требований к защите персональных данных;

6.4.2. определение актуальных угроз безопасности персональных данных при их обработке в ИСПД и разработка мер и мероприятий по защите персональных данных;

6.4.3. разработка и опубликование на сайте Оператора политики в отношении обработки персональных данных;

6.4.4. установление правил доступа к персональным данным, обрабатываемым в ИСПД, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в ИСПД;

6.4.5. установление индивидуальных паролей доступа сотрудников в информационную систему в соответствии с их производственными обязанностями;

6.4.6. применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

6.4.7. сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами;

6.4.8. соблюдение условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный к ним доступ;

6.4.9. обнаружение фактов несанкционированного доступа к персональным данным и принятие мер реагирования;

6.4.10. восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

6.4.11. обучение работников Оператора, непосредственно осуществляющих обработку персональных данных, положениям законодательства РФ о персональных данных, в том числе требованиям к защите персональных данных, документам, определяющим политику Оператора в отношении обработки персональных данных, локальным актам по вопросам обработки персональных данных;

6.4.12. осуществление внутреннего контроля и аудита.

7. Заключительные положения

7.1. Настоящая Политика является общедоступной и подлежит размещению на официальном сайте Оператора.

7.2. Политика подлежит изменению, дополнению в случае появления новых законодательных актов и специальных нормативных актов по обработке и защите персональных данных.

7.3. Контроль исполнения требований настоящей Политики осуществляется лицом, ответственным за организацию обработки персональных данных в организации Оператора.

7.4. Ответственность работников Оператора, осуществляющих обработку персональных данных и имеющих право доступа к ним, за невыполнение требований норм, регулирующих обработку и защиту персональных данных, определяется в соответствии с законодательством Российской Федерации и внутренними документами Оператора.