ОБЩЕСТВО С ОГРАНИЧЕННОЙ ОТВЕТСТВЕННОСТЬЮ

«ЭМПАТИЯ МЕД»

ПОЛИТИКА ЗАЩИТЫ И ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) составлена в соответствии с п. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных), а также иными нормативно-правовыми актами в области защиты и обработки персональных данных и действует в отношении всех персональных данных (далее — Данные), которые ООО «ЭМПАТИЯ МЕД» (далее — Оператор, Общество) может получить от субъекта персональных данных, пользователя сайта Общества и/или являющегося стороной по гражданско-правовому договору.

1.2. Оператор обеспечивает защиту обрабатываемых персональных данных от несанкционированного доступа и разглашения, неправомерного использования или утраты в соответствии с требованиями Закона о персональных данных.

1.3. Оператор имеет право вносить изменения в настоящую Политику. При внесении изменений указывается дата последнего обновления редакции Политики. Новая редакция Политики вступает в силу с момента её размещения на сайте, если иное не предусмотрено новой редакцией Политики.

2. Термины и принятые сокращения

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
Оператор персональных данных (Оператор) — Общество, самостоятельно или совместно с другими лицами организующее и/или осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая:

• сбор;
• запись;
• систематизацию;
• накопление;
• хранение;
• уточнение (обновление, изменение);
• извлечение;
• использование;
• передачу (распространение, предоставление, доступ);
• обезличивание;
• блокирование;
• удаление;
• уничтожение.

Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.

Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и/или в результате которых уничтожаются материальные носители персональных данных.

Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

3. Порядок и условия обработки и хранения персональных данных

3.1. Обработка персональных данных осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации.

3.2. Обработка персональных данных осуществляется с согласия субъектов персональных данных на обработку их персональных данных, а также без такового в случаях, предусмотренных законодательством Российской Федерации.

3.3. Оператор осуществляет как автоматизированную, так и неавтоматизированную обработку персональных данных.

3.4. К обработке персональных данных допускаются работники Оператора, в должностные обязанности которых входит обработка персональных данных.

3.5. Обработка персональных данных осуществляется путём:

• получения персональных данных в устной и письменной форме непосредственно с согласия субъекта персональных данных;
• получения персональных данных из общедоступных источников;
• внесения персональных данных в журналы, реестры и информационные системы Оператора;
• использования иных способов обработки персональных данных.

3.6. Не допускается раскрытие третьим лицам и распространение персональных данных без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

3.7. Передача персональных данных органам дознания и следствия, в Федеральную налоговую службу, Пенсионный фонд, Фонд социального страхования и другие уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.

3.8. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в том числе:

• определяет угрозы безопасности персональных данных при их обработке;
• принимает локальные нормативные акты и иные документы, регулирующие отношения в сфере обработки и защиты персональных данных;
• назначает лиц, ответственных за обеспечение безопасности персональных данных в структурных подразделениях и информационных системах Оператора;
• создаёт необходимые условия для работы с персональными данными;
• организует учёт документов, содержащих персональные данные;
• организует работу с информационными системами, в которых обрабатываются персональные данные;
• хранит персональные данные в условиях, при которых обеспечивается их сохранность и исключается неправомерный доступ к ним;
• организует обучение работников Оператора, осуществляющих обработку персональных данных.

3.9. Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения не установлен федеральным законом или договором.

3.10. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе о персональных данных.

3.11. Цели обработки персональных данных

3.11.1. Обработке подлежат только персональные данные, которые отвечают целям их обработки.

3.11.2. Обработка Оператором персональных данных осуществляется в следующих целях:

• обеспечение соблюдения Конституции, федеральных законов и иных нормативных правовых актов Российской Федерации;
• осуществление своей деятельности в соответствии с уставом Общества;
• заполнение и передача в органы исполнительной власти и иные уполномоченные организации требуемых форм отчётности;
• осуществление гражданско-правовых отношений;
• ведение бухгалтерского учёта.

3.12. Категории субъектов персональных данных

Оператором обрабатываются персональные данные следующих субъектов:

• физические лица, имеющие намерение вступить в гражданско-правовые отношения с Обществом и заполняющие на сайте Общества необходимые формы, содержащие персональные данные;
• физические лица, состоящие с Обществом в гражданско-правовых отношениях.

3.13. Персональные данные, обрабатываемые Оператором:

• данные, полученные при заполнении форм и сведений на сайте Общества;
• данные, полученные при осуществлении гражданско-правовых отношений.

3.14. Персональные данные субъектов могут быть получены, обрабатываться и передаваться на хранение как на бумажных носителях, так и в электронном виде.

3.15. Персональные данные, зафиксированные на бумажных носителях, хранятся в запираемых шкафах либо в запираемых помещениях с ограниченным доступом.

3.16. Персональные данные, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в разных предназначенных для этого папках.

3.17. Не допускается хранение и размещение документов, содержащих персональные данные, в открытых электронных каталогах (файлообменниках) или в иных открытых источниках.

3.18. Хранение персональных данных в форме, позволяющей определить субъекта персональных данных, осуществляется не дольше, чем этого требуют цели их обработки. Данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.

3.19. Уничтожение документов (носителей), содержащих персональные данные, производится путём сожжения, дробления (измельчения), химического разложения, превращения в бесформенную массу или порошок. Для уничтожения бумажных документов допускается применение шредера.

3.20. Персональные данные на электронных носителях уничтожаются путём стирания или форматирования носителя.

3.21. Факт уничтожения персональных данных подтверждается документально — Актом об уничтожении носителей, содержащих персональные данные.

4. Защита персональных данных

4.1. В соответствии с требованиями нормативных документов Оператором создана система защиты персональных данных, состоящая из подсистем правовой, организационной и технической защиты.

4.2. Подсистема правовой защиты представляет собой комплекс правовых, организационно-распорядительных и нормативных документов, обеспечивающих создание, функционирование и совершенствование системы защиты персональных данных.

4.3. Подсистема организационной защиты включает организацию структуры управления системой защиты персональных данных, разрешительной системы, защиты информации при работе с сотрудниками, партнёрами и сторонними лицами.

4.4. Подсистема технической защиты включает комплекс технических, программных, программно-аппаратных средств, обеспечивающих защиту персональных данных.

4.5. Основными мерами защиты персональных данных, используемыми Оператором, являются:

4.5.1. назначение лица, ответственного за обработку персональных данных, которое осуществляет организацию обработки персональных данных, обучение и инструктаж, внутренний контроль за соблюдением Оператором и его работниками требований к защите персональных данных;

4.5.2. определение актуальных угроз безопасности персональных данных при их обработке в информационной системе персональных данных и разработка мер и мероприятий по защите персональных данных;

4.5.3. разработка политики в отношении обработки персональных данных;

4.5.4. установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учёта всех действий, совершаемых с персональными данными;

4.5.5. установление индивидуальных паролей доступа сотрудников в информационную систему в соответствии с их производственными обязанностями;

4.5.6. применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

4.5.7. использование сертифицированного антивирусного программного обеспечения с регулярно обновляемыми базами;

4.5.8. соблюдение условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный к ним доступ;

4.5.9. обнаружение фактов несанкционированного доступа к персональным данным и принятие соответствующих мер;

4.5.10. восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

4.5.11. обучение работников Оператора, непосредственно осуществляющих обработку персональных данных, положениям законодательства Российской Федерации о персональных данных, требованиям к защите персональных данных, внутренним документам Оператора по обработке и защите персональных данных;

4.5.12. осуществление внутреннего контроля и аудита соблюдения требований к защите персональных данных.

5. Основные права субъекта персональных данных и обязанности Оператора

5.1. Субъект персональных данных имеет право на доступ к своим персональным данным и следующим сведениям:

• подтверждение факта обработки персональных данных Оператором;
• правовые основания и цели обработки персональных данных;
• цели и применяемые Оператором способы обработки персональных данных;
• наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
• сроки обработки персональных данных, в том числе сроки их хранения;
• порядок осуществления субъектом персональных данных прав, предусмотренных федеральным законом;
• обращение к Оператору и направление ему запросов;
• обжалование действий или бездействия Оператора.

5.2. Оператор обязан:

• при сборе персональных данных предоставить информацию об обработке персональных данных;
• если персональные данные были получены не от субъекта персональных данных, уведомить об этом субъекта;
• при отказе в предоставлении персональных данных субъекту разъяснить последствия такого отказа;
• опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, а также сведения о реализуемых требованиях к защите персональных данных;
• принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных;
• давать ответы на запросы и обращения субъектов персональных данных, их представителей и уполномоченного органа по защите прав субъектов персональных данных.