Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) составлена в соответствии с п. 2 ст. 18.1 Федерального закона РФ «О персональных данных» №152-ФЗ от 27 июля 2006 года и действует в отношении персональных данных посетителей сайта https://gr-medicine.ru/, обрабатываемых в Обществе с ограниченной ответственностью «Глобалрус» (ООО «Глобалрус») (далее — Оператор).

1.2. Целью разработки настоящей Политики является определение категорий персональных данных, обрабатываемых Оператором, а также основных принципов, которыми Оператор руководствуется при обработке персональных данных.

1.3. Положения настоящей Политики являются обязательными для исполнения всеми работниками Оператора, а также иными лицами, имеющими доступ к персональным данным.

1.4. В настоящей Политике используются следующие понятия:

• персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя, в том числе: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
• автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
• предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• конфиденциальность персональных данных – обязанность Оператора и иных лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

1.5. Настоящая Политика применяется только к сайту https://gr-medicine.ru/. Оператор не контролирует и не несет ответственности за сайты третьих лиц, на которые Пользователь может перейти по ссылкам, доступным на Сайте.

1.6. Оператор осуществляет обработку персональных данных Пользователей исключительно при условии получения отдельного, информированного и осознанного согласия в порядке, предусмотренном статьей 9 Федерального закона №152-ФЗ «О персональных данных». Согласие на обработку персональных данных оформляется в виде отдельного документа и подтверждается путем совершения Пользователем активного действия (проставления отметки в пустом чекбоксе). Использование сервисов Сайта не означает автоматического согласия на обработку персональных данных.

1.7. Для обеспечения единого учета и хранения персональных данных Оператор поручает их обработку Облачной CRM-системе «Битрикс24» (ООО «1С-Битрикс»), которая является лицом, осуществляющим обработку персональных данных по поручению Оператора. Все персональные данные хранятся на серверах, расположенных на территории Российской Федерации.

2. Основные права и обязанности Оператора и Субъекта персональных данных

2.1. Субъекты персональных данных имеют право:

• получать полную информацию о своих персональных данных и обработке этих данных (в том числе автоматизированной);
• осуществлять свободный бесплатный доступ к своим персональным данным, включая право получать копии любой записи, содержащей персональные данные субъекта, за исключением случаев, предусмотренных федеральным законодательством РФ;
• требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработка которых ведется с нарушением законодательства РФ;
• при отказе Оператора исключить или исправить персональные данные субъекта — заявить в письменной форме о своем несогласии, представив соответствующее обоснование;
• требовать от Оператора уведомления всех лиц, которым ранее были сообщены неверные или неполные персональные данные субъекта, обо всех произведенных в них изменениях или исключениях из них;
• обжаловать в уполномоченном органе по защите прав субъектов персональных данных или в суде любые неправомерные действия или бездействие Оператора;
• отозвать согласие на обработку персональных данных в порядке, предусмотренном п. 9.2 настоящей Политики.

2.2. Субъекты персональных данных обязаны:

• предоставлять Оператору персональные данные, соответствующие действительности;
• своевременно уведомлять Оператора обо всех изменениях персональных данных.

2.3. Оператор обязан:

• за свой счет обеспечить защиту персональных данных от неправомерного их использования или утраты в порядке, установленном законодательством РФ;
• предоставлять субъекту персональных данных по его запросу информацию, касающуюся обработки его персональных данных, либо на законных основаниях предоставить отказ;
• обеспечить субъекту свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей его персональные данные, за исключением случаев, предусмотренных законодательством РФ;
• по требованию субъекта персональных данных уточнять обрабатываемые персональные данные, блокировать или удалять, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• вести Журнал учета обращений субъектов персональных данных, в котором должны фиксироваться запросы субъектов персональных данных на получение персональных данных, а также факты предоставления персональных данных по этим запросам;
• рассматривать обращения субъекта персональных данных (его законного представителя) по вопросам обработки персональных данных и давать мотивированные ответы в установленные сроки;
• организовывать защиту персональных данных в соответствии с требованиями законодательства Российской Федерации;
• не распространять персональные данные без согласия субъекта, если иное не предусмотрено действующим законодательством;
• в случае достижения цели обработки персональных данных незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий тридцати рабочих дней с даты достижения цели обработки персональных данных, если иное не предусмотрено федеральным законодательством РФ;
• в случае направления субъектом запроса о прекращении обработки его персональных данных прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий десяти рабочих дней с даты поступления указанного запроса, за исключением случаев, предусмотренных пунктами 2–11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона № 152-ФЗ;
• обеспечивать хранение персональных данных на серверах, расположенных на территории Российской Федерации, в соответствии с требованиями законодательства о локализации данных.

3. Цели обработки персональных данных

3.1. Для каждой категории персональных данных Оператором определены и утверждены конкретные цели обработки. Обработка персональных данных, несовместимая с утвержденными целями, не допускается.

3.2. Персональные данные посетителей сайта https://gr-medicine.ru/ обрабатываются Оператором в следующих целях:

• предоставление функционала Сайта и обеспечение его корректной работы;
• обработка обращений, заявок и запросов Пользователей, направленных через формы на Сайте (обратная связь, консультация, запись на прием);
• установление и поддержание с Пользователем обратной связи для предоставления информации, ответа на вопросы и консультации по услугам Оператора;
• заключение и исполнение договоров (в том числе, но не ограничиваясь, для записи на прием);
• продвижение товаров, работ, услуг на рынке (маркетинговые и рекламные цели) — исключительно при наличии отдельного согласия Пользователя на получение рекламных рассылок, оформленного в виде самостоятельного документа и подтвержденного отдельным пустым чекбоксом.

4. Правовые основания обработки персональных данных

4.1. Правовыми основаниями обработки персональных данных Оператором являются:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон от 26.12.2008 № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля»;
• Налоговый кодекс РФ, Федеральный закон № 402-ФЗ «О бухгалтерском учете», Федеральный закон № 125-ФЗ «Об архивном деле в Российской Федерации»;
• Указ Президента Российской Федерации от 06.03.1997 № 188 «Об утверждении Перечня сведений конфиденциального характера»;
• Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении Требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• отдельное, информированное и осознанное согласие Пользователя на обработку его персональных данных, оформленное в виде самостоятельного документа и подтвержденное активным действием (проставлением отметки в пустом чекбоксе);
• договор (лицензионное соглашение, публичная оферта) с ООО «1С-Битрикс», в соответствии с которым Оператор поручает обработку персональных данных указанному лицу.

5. Объем и категории обрабатываемых персональных данных

5.1. Оператором обрабатываются персональные данные следующих категорий субъектов: посетители сайта https://gr-medicine.ru/.

5.2. Персональные данные посетителей сайта https://gr-medicine.ru/ включают в себя следующие сведения:

• фамилия, имя, отчество (при указании);
• номер контактного телефона;
• адрес электронной почты (e-mail);
• IP-адрес, данные файлов cookie, информация о браузере и иные технические данные, автоматически передаваемые устройством Пользователя при взаимодействии с сайтом Оператора (сведения, собираемые посредством метрических программ).

5.3. Оператор не осуществляет сбор и обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также биометрических персональных данных (сведения о состоянии здоровья, за исключением случаев, прямо предусмотренных законодательством при оказании медицинских услуг, с отдельным письменным согласием).

6. Порядок и условия обработки персональных данных

6.1. Все персональные данные Оператор получает непосредственно от субъекта персональных данных при заполнении форм на Сайте, а также автоматически в результате использования Пользователем Сайта.

6.2. Обработка персональных данных осуществляется с отдельного, информированного и осознанного согласия субъекта персональных данных. Согласие на обработку персональных данных оформляется в виде отдельного документа и подтверждается путем совершения Пользователем активного действия (проставления отметки в пустом чекбоксе) в форме сбора персональных данных на Сайте.

6.3. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных в порядке, предусмотренном п. 9.2 настоящей Политики. В случаях, предусмотренных законодательством РФ, обработка персональных данных может быть продолжена даже после отзыва субъектом согласия на обработку.

6.4. При принятии решений, затрагивающих интересы субъекта, Оператор никогда не основывается на персональных данных субъекта, полученных исключительно в результате их автоматизированной обработки или электронного получения.

6.5. Персональные данные не используются в целях причинения имущественного и/или морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации.

6.6. Доступ к персональным данным имеют работники Оператора, которым персональные данные необходимы в связи с исполнением ими должностных обязанностей.

6.7. Оператор вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям и в пределах, предусмотренных действующим законодательством Российской Федерации.

6.8. Передача персональных данных Пользователя в коммерческих целях без его письменного согласия не осуществляется. Передача персональных данных третьим лицам в иных целях возможна только с отдельного письменного согласия Пользователя. При этом Пользователь уведомлен и согласен, что для целей хранения, систематизации и учета его персональных данных Оператор использует Облачную CRM-систему «Битрикс24» (ООО «1С-Битрикс»), которая осуществляет обработку персональных данных по поручению Оператора.

6.9. Обработка персональных данных осуществляется как с использованием средств вычислительной техники, так и без использования таковых средств.

6.10. Сроки обработки персональных данных Оператором в общем случае определяются сроком действия согласия Пользователя на обработку персональных данных (до 30 апреля 2029 года), но в любом случае не дольше, чем этого требуют цели обработки персональных данных, если иное не предусмотрено договором или федеральным законом.

6.11. Все персональные данные Пользователей хранятся на серверах, расположенных на территории Российской Федерации, в соответствии с требованиями законодательства о локализации персональных данных.

6.12. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, обособляются от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных в специальных разделах или на полях форм (бланков).

6.13. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных используется отдельный материальный носитель.

6.14. Лица, осуществляющие обработку персональных данных без использования средств автоматизации, должны быть проинформированы о факте обработки ими персональных данных, обработка которых осуществляется оператором без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки.

6.15. При использовании типовых форм документов, заполняемых субъектом персональных данных собственноручно, характер информации в которых предполагает или допускает включение в них персональных данных (далее — типовая форма), соблюдаются следующие условия:

• типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, имя (наименование) и адрес оператора, фамилию, имя, отчество и адрес субъекта персональных данных, источник получения персональных данных, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых оператором способов обработки персональных данных;
• типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации — при необходимости получения письменного согласия на обработку персональных данных;
• типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;
• типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо несовместимы.

6.16. Трансграничная передача персональных данных Оператором не осуществляется.

7. Блокирование, уточнение и уничтожение персональных данных

7.1. В случае выявления неправомерной обработки персональных данных при обращении Пользователя (его представителя) либо по запросу уполномоченного органа по защите прав субъектов персональных данных Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к соответствующему Пользователю, или обеспечивает их блокирование с момента такого обращения или получения указанного запроса на период проверки.

7.2. В случае выявления неточных персональных данных при обращении Пользователя или его представителя либо по их запросу или по запросу уполномоченного органа Оператор осуществляет блокирование персональных данных, относящихся к этому Пользователю, или обеспечивает их блокирование с момента такого обращения или получения указанного запроса на период проверки, если блокирование не нарушает права и законные интересы Пользователя или третьих лиц.

7.3. В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных Пользователем (его представителем) либо уполномоченным органом, или иных необходимых документов уточняет персональные данные либо обеспечивает их уточнение в течение семи рабочих дней со дня представления таких сведений.

7.4. В случае выявления неправомерной обработки персональных данных Оператор в срок, не превышающий трех рабочих дней с даты этого выявления, прекращает неправомерную обработку персональных данных или обеспечивает ее прекращение. Если обеспечить правомерность обработки невозможно, Оператор в срок, не превышающий десяти рабочих дней с даты выявления, уничтожает такие персональные данные или обеспечивает их уничтожение.

7.5. В случае достижения цели обработки персональных данных Оператор уничтожает персональные данные или обеспечивает их уничтожение в срок, не превышающий тридцати рабочих дней с даты достижения цели обработки, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Пользователь, иным соглашением между Оператором и Пользователем либо если Оператор не вправе осуществлять обработку персональных данных без согласия Пользователя на основаниях, предусмотренных Федеральным законом № 152-ФЗ или другими федеральными законами.

7.6. В случае отзыва Пользователем согласия на обработку его персональных данных и в случае, если сохранение персональных данных более не требуется для целей обработки, Оператор уничтожает персональные данные или обеспечивает их уничтожение в срок, не превышающий десяти рабочих дней с даты поступления указанного отзыва (с возможным продлением, но не более чем на пять рабочих дней, при наличии мотивированного уведомления Пользователю), если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Пользователь, иным соглашением между Оператором и Пользователем либо если Оператор не вправе осуществлять обработку персональных данных без согласия Пользователя на основаниях, предусмотренных Федеральным законом № 152-ФЗ или другими федеральными законами.

7.7. В срок, не превышающий семи рабочих дней со дня представления Пользователем (его представителем) сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Оператор уничтожает такие персональные данные.

8. Защита персональных данных

8.1. Оператор обеспечивает защиту персональных данных субъекта от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий, в том числе с использованием Облачной CRM-системы «Битрикс24», которая имеет сертификат соответствия требованиям Федеральной службы по техническому и экспортному контролю (ФСТЭК России) по 4 уровню доверия. Наличие данного сертификата подтверждает, что система соответствует российским требованиям по защите информации и может использоваться для обработки персональных данных.

8.2. Защита персональных данных обеспечивается Оператором в установленном действующим законодательством РФ и локальными актами Оператора порядке путем выполнения комплекса организационно-технических мероприятий, обеспечивающих их безопасность, включая:

• назначение лица, ответственного за организацию обработки персональных данных;
• применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со ст. 19 Федерального закона № 152-ФЗ;
• ознакомление работников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ о персональных данных, требованиями к защите персональных данных, настоящей Политикой и локальными актами по вопросам обработки персональных данных;
• осуществление внутреннего контроля соответствия обработки персональных данных требованиям законодательства.

8.3. Все меры защиты при сборе, обработке, хранении и передаче персональных данных субъекта распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.

8.4. При утрате или разглашении персональных данных Оператор информирует Пользователя об утрате или разглашении персональных данных в порядке, установленном законодательством.

9. Актуализация, исправление, удаление и уничтожение персональных данных. Порядок отзыва согласия и ответы на запросы

9.1. Оператор имеет право вносить, дополнять, изменять, блокировать или удалять персональные данные в соответствии с Федеральным законодательством Российской Федерации.

9.2. Отзыв согласия на обработку персональных данных осуществляется на основании письменного заявления субъекта персональных данных, направленного Оператору на адрес электронной почты: info@grmedicine.ru или почтовым отправлением по адресу: 432012, Ульяновская область, г. Ульяновск, ул. Луначарского, д.23В, к.1, офис 23. В заявлении об отзыве необходимо указать фамилию, имя, отчество (при наличии), контактный телефон или адрес электронной почты, которые были указаны при оставлении заявки.

9.3. По запросу субъекта персональных данных Оператор обязан:

• предоставить сведения о наличии у Оператора персональных данных субъекта;
• предоставить возможность ознакомления с персональными данными субъекта (за исключением случаев, предусмотренных статьей 14 частью 5 Федерального закона №152-ФЗ);
• уточнить недостоверные или изменившиеся персональные данные;
• блокировать или уничтожить персональные данные в случае, если они являются незаконно полученными, не являются необходимыми для заявленной цели обработки или отозвано согласие субъекта.

9.4. Запрос (требование) субъекта персональных данных должен быть направлен Оператору в письменной форме (на бумажном носителе) по адресу: 432012, Ульяновская область, г. Ульяновск, ул. Луначарского, д.23В, к.1, офис 23, и содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе, и собственноручную подпись субъекта персональных данных или его законного представителя.

9.5. Запрос может быть направлен в электронной форме и подписан электронной подписью в соответствии с законодательством Российской Федерации на электронную почту: info@grmedicine.ru.

9.6. При поступлении запроса (обращения) субъекта ответственный работник Оператора обязан зарегистрировать такой запрос в журнале регистрации обращений субъектов персональных данных.

9.7. Ответ либо мотивированный отказ должны быть отправлены в течение десяти рабочих дней с даты получения запроса от субъекта персональных данных. Указанный срок может быть продлен, но не более чем на пять рабочих дней, в случае направления Оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Ответ должен быть в форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, и содержать конкретную и исчерпывающую информацию, касающуюся сути вопроса.

10. Информация об Операторе

10.1. Полное наименование: Общество с ограниченной ответственностью «Глобалрус» (ООО «Глобалрус»).

10.2. Сокращенное наименование: ООО «Глобалрус».

10.3. Юридический адрес: 432012, Ульяновская область, г. Ульяновск, ул. Луначарского, д.23В, к.1.

10.4. Почтовый адрес для обращений: 432012, Ульяновская область, г. Ульяновск, ул. Луначарского, д.23В, к.1, офис 23.

10.5. ИНН: 7300039795.

10.6. КПП: 730001001.

10.7. ОГРН: 1257300000902.

10.8. Адрес электронной почты: info@grmedicine.ru.

10.9. Контактный номер телефона: +7 (985) 588-77-70.

10.10. Информация о лице, осуществляющем обработку персональных данных по поручению Оператора:

• Наименование: Общество с ограниченной ответственностью «1С-Битрикс» (ООО «1С-Битрикс»).
• Информация о месте нахождения и обработки данных: г. Москва, дата-центры на территории РФ (ЦОД DataPro, ЦОД Nord, ЦОД М8).

11. Изменение Политики

11.1. Оператор имеет право вносить изменения в настоящую Политику. При внесении изменений в заголовке Политики указывается дата последнего обновления редакции.

11.2. Действующая редакция публикуется на Сайте Оператора по адресу: https://gr-medicine.ru/politika-konfidentsialnosti/.

11.3. К настоящей Политике и отношениям между субъектами персональных данных и Оператором подлежит применению право Российской Федерации.