Политика конфидициальности

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) разработана ООО «Медицинский центр Куркино» (брендовое наименование — клиника «МИР») в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ) с учётом изменений, вступивших в силу в 2025–2026 годах, Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», приказами ФСТЭК России № 21 от 18.02.2013 и ФСБ России № 378 от 10.07.2014, иными нормативными правовыми актами Российской Федерации.

1.2. Политика определяет: объём и категории обрабатываемых персональных данных, цели и правовые основания обработки, способы и сроки обработки, перечень действий с данными, сведения об операторе и ответственном за организацию обработки, требования к обеспечению безопасности, порядок реализации прав субъектов персональных данных, а также сведения об осуществляемой обработке, подлежащие обнародованию в силу части 2 статьи 18.1 Закона № 152-ФЗ.

1.3. Политика распространяется на все персональные данные, которые Оператор получает или получает в дальнейшем от субъектов посредством сайта https://www.clinicamir.ru/ (далее — Сайт), мобильных сервисов записи, телефонии, мессенджеров, электронной почты, личных обращений в клиники, видеонаблюдения, а также в рамках трудовых отношений и договорной работы.

1.4. Политика размещается в открытом доступе на Сайте, в помещении клиники для ознакомления пациентов и в системе электронного документооборота Оператора для работников. Условия Политики применяются к отношениям, возникшим после размещения актуальной редакции.

1.5. Настоящая Политика является документом Оператора локального характера, обязательна для ознакомления всеми работниками, осуществляющими обработку персональных данных. Несоблюдение требований Политики работниками влечёт ответственность, предусмотренную законодательством Российской Федерации и локальными актами Оператора.

Термины, применяемые в Политике

персональные данные (ПДн)

любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн);

специальные категории ПДн

сведения, касающиеся состояния здоровья субъекта, обрабатываемые в соответствии со статьёй 10 Закона № 152-ФЗ;

биометрические ПДн

сведения, которые характеризуют физиологические и биологические особенности человека и используются для установления его личности (статья 11 Закона № 152-ФЗ);

обработка ПДн

любое действие (операция) или совокупность действий с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, распространение, доступ), обезличивание, блокирование, удаление, уничтожение;

предоставление ПДн

действие, направленное на раскрытие ПДн определённому лицу или определённому кругу лиц;

распространение ПДн

действие, направленное на раскрытие ПДн неопределённому кругу лиц (в том числе публикация в СМИ, на сайте, в социальных сетях), — только на основании отдельного согласия;

автоматизированная обработка

обработка с помощью средств вычислительной техники;

информационная система ПДн (ИС ПДн)

совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств;

обезличенные данные

данные, которые не позволяют определить принадлежность информации конкретному субъекту;

куки (cookie), IP-адрес, user agent

технические идентификаторы и метаданные посещения Сайта, не относящиеся к ПДн, если не позволяют установить личность пользователя;

врачебная тайна

сведения о факте обращения гражданина, состоянии его здоровья и диагнозе, иные полученные при обследовании и лечении сведения (статья 13 Закона № 323-ФЗ).

2. Оператор персональных данных. Сведения, подлежащие обнародованию

2.1. Оператором и правообладателем Сайта является:

Общество с ограниченной ответственностью «Медицинский центр Куркино» (ООО «Медицинский центр Куркино»), бренд — клиника «МИР»;

• ИНН 9717086400, КПП 771701001, ОГРН 1197746559878;
• юридический адрес: 129626, г. Москва, вн. тер. г. муниципальный округ Алексеевский, ул. 3-я Мытищинская, д. 14А, помещ. XI, ком. 6;
• факческое место оказания медицинской помощи: 125466, г. Москва, район Куркино, ул. Родионовская, д. 2 и д. 2, корп. 1;
• сайт: https://www.clinicamir.ru/;
• телефон колл-центра: +7 (495) 660-30-90 (ежедневно с 08:00 до 21:00);
• адрес электронной почты: info@clinicamir.ru;
• лицензия на осуществление медицинской деятельности № Л041-01137-77/00334853 от 02.10.2019, выдана Департаментом здравоохранения города Москвы (в ранее публикуемых реквизитах также встречается номер лицензии № Л0-77-01-018831).

2.2. Оператор включён в реестр операторов, осуществляющих обработку персональных данных (номер записи в реестре: ____________). Сведения об обработке, подлежащие уведомлению, направляются в территориальный орган Роскомнадзора.

2.3. Ответственным за организацию обработки и обеспечение безопасности персональных данных назначен: __________________________ (должность, фамилия, имя, отчество полностью), контактный телефон ______________, адрес электронной почты: ______________@clinicamir.ru. По всем вопросам, связанным с обработкой Ваших персональных данных, в том числе для отзыва согласия, Вы можете обратиться к ответственному указанными способами.

2.4. Ответственность за исполнение требований законодательства о персональных данных полностью несёт Оператор. Делегирование этих обязанностей третьим лицам (подрядчикам по технической поддержке, разработчикам сайта, провайдерам хостинга) не освобождает Оператора от ответственности.

2.5. Оператор не является оператором биометрических персональных данных в смысле статьи 11 Закона № 152-ФЗ и не осуществляет обработку биометрических ПДн для установления личности, за исключением случаев, прямо предусмотренных законодательством или оформленных отдельным письменным согласием субъекта.

3. Категории субъектов персональных данных

3.1. Политика и обработка применяются к следующим категориям субъектов:

• пациенты клиник Оператора, в том числе бывшие, — лица, получающие или получавшие медицинские услуги;
• законные представители пациентов — родители, усыновители, опекуны пациентов, не достигших 15 лет (для больных наркоманией — 16 лет), и лиц, признанных недееспособными;
• пользователи Сайта и цифровых сервисов — посетители разделов Сайта, пользователи форм «Регистрация», «Записаться к врачу», «Заказать обратный звонок», «Задать нам вопрос», сервисов онлайн-записи https://clinicamir.ru/appointment, чатов и мессенджеров, подписчики информационных рассылок;
• посетители помещений клиники — сопровождающие лица, посетители, клиенты смежных организаций, находящиеся в зоне видеонаблюдения;
• работники Оператора, исполнители по договорам ГПХ, бывшие работники, а также кандидаты (соискатели) на замещение вакантных должностей;
• представители юридических лиц — сотрудники страховых медицинских организаций и страховщиков ДМС, контрагентов, с которыми Оператор взаимодействует при исполнении договоров;
• близкие родственники умершего пациента — в объёме и порядке, установленных статьёй 22 и статьёй 67 Закона № 323-ФЗ.

4. Состав и объём обрабатываемых персональных данных

4.1. Данные, которые пользователь передаёт самостоятельно через формы Сайта: фамилия, имя, отчество (при наличии), номер телефона, адрес электронной почты, желаемые дата и время приёма, наименование услуги или врача, текст обращения, иные сведения, которые пользователь указывает добровольно.

4.2. Данные пациентов:

• установочные и документальные: фамилия, имя, отчество, дата и место рождения, пол, гражданство, данные документа, удостоверяющего личность, сведения о законном представителе;
• идентификационные и социальные: СНИЛС, номер полиса ОМС, реквизиты договора (полиса) ДМС, идентификационные номера медицинских услуг (ИНМУ), номер медицинской карты, ИНН — при необходимости для налогового и бухгалтерского учёта;
• контактные и адресные: адрес регистрации и фактического проживания, адрес электронной почты, номера телефонов, контактные данные представителей;
• специальные категории (статья 10 Закона № 152-ФЗ) — сведения о состоянии здоровья: данные анамнеза, жалобы, результаты осмотров, лабораторных и инструментальных исследований, заключения консультантов, диагноз по МКБ-10, назначения, эпикризы, листки нетрудоспособности и справки, сведения о групповых и индивидуальных особенностях, влияющих на тактику лечения;
• финансовые и договорные: сведения об оказанных услугах, стоимости, оплате, задолженности, реквизиты для возврата средств, данные для выдачи документов;
• медиасведения: фотографии и видеозаписи, полученные при диагностических и эстетических процедурах (в том числе «до/после»), аудиозаписи телемедицинских консультаций, записи телефонных разговоров с колл-центром.

4.3. Обезличенные данные посетителей Сайта: файлы cookie, IP-адрес, тип браузера и устройства, язык и часовой пояс, адрес страницы перехода, идентификаторы счётчиков веб-аналитики, данные о нажатиях и прокрутке страниц. Обезличенные данные не используются для оценки поведения и принятия решений в отношении конкретного субъекта.

4.4. Оператор не обрабатывает: биометрические ПДн для установления личности; сведения о политических, религиозных убеждениях, интимной жизни, членстве в общественных объединениях; сведения о судимости; специальные категории ПДн лиц, не являющихся пациентами.

4.5. Публикация фотографий пациентов, видеоматериалов с их участием, отзывов с указанием имени и факта обращения в клинику («распространение ПДн») осуществляется исключительно на основании отдельного письменного согласия субъекта, в котором прямо указано, что согласие распространяется на распространение его данных.

4.6. Автоматизированное принятие решений, порождающее юридические последствия или существенно влияющее на права субъекта, Оператором не осуществляется. Профилирование субъектов в целях, предусмотренных статьёй 16.1-1 Закона № 152-ФЗ, не производится. Если такой функционал будет внедрён, об этом будет направлено отдельное уведомление и запрошено согласие.

5. Цели обработки персональных данных

5.1. Оператор обрабатывает персональные данные в следующих целях:

1. Онлайн-запись на приём, подбор удобное время, подтверждение, перенос и отмена визита, информирование о времени и враче приёма.
2. Обратный звонок колл-центра для согласования деталей обращения.
3. Консультирование по предварительным вопросам («Задать вопрос врачу») и подготовка к приёму.
4. Оказание платных и страховых медицинских услуг, постановка диагноза, назначение и контроль лечения, ведение медицинской документации (учётные формы, установленные приказом Минздрава России № 217н от 28.11.2020), хранение и архивирование медицинской документации, повторные обращения.
5. Проведение лабораторных и инструментальных исследований, в том числе с привлечением сторонних лабораторий, передача биоматериала и запрос результатов.
6. Телемедицинские консультации, дистанционное наблюдение, направление электронных документов пациенту.
7. Выставление счетов, приём оплаты, выдача и получение чеков в соответствии с Федеральным законом № 54-ФЗ, возврат денежных средств, сверка взаиморасчётов.
8. Обслуживание застрахованных по программам ДМС: согласование случаев со страховщиком, обмен сведениями, необходимые для оценки страховой выплат, взаимодействие с клиниками медицинской сети, участвующими в обслуживании застрахованных.
9. Направление справок, выписок, результатов анализов и иных документов по электронной почте и в мессенджерах, в том числе по просьбе пациента.
10. Обработка обращений, отзывов, предложений и жалоб, внутренний контроль качества и безопасности медицинской деятельности, разбор инцидентов.
11. Информирование об услугах, акциях, изменениях в работе клиники (реклама и маркетинговые рассылки) — только при наличии отдельного согласия, оформленного с возможностью независимого отзыва.
12. Обеспечение пропускного и охранного режима, видеонаблюдение в зонах ресепшен, коридорах и парковке, предотвращение правонарушений и защита жизни и здоровья пациентов и работников.
13. Кадровая работа: подбор персонала, оформление трудовых отношений, воинский учёт, сдача отчётности в государственные органы, охрана труда.
14. Ведение статистики посещаемости и улучшение Сайта, диагностика технических сбоев, обеспечение корректной работы сервисов (обработка обезличенных данных).
15. Исполнение обязательных требований законодательства: бухгалтерский и налоговый учёт, отчётность в органы контроля, исполнение запросов суда, следствия, Роспотребнадзора, страховых медицинских организаций в системе ОМС, реализация требований лицензионного контроля.
16. Защита жизни, здоровья или иных существенных интересов субъекта, если получение его согласия невозможно (экстренные состояния).

5.2. Обработка ПДн в иных целях, несовместимых с указанными, не допускается. При необходимости обработки в новой цели Оператор получает согласие либо получает иные правовые основания, предусмотренные частью 1 статьи 6 и частью 2 статьи 10 Закона № 152-ФЗ.

6. Правовые основания обработки

6.1. Обработка осуществляется при наличии одного из следующих оснований (соответствие цели и основания фиксируется в реестре обработок Оператора):

• согласие субъекта ПДн (пункт 1 части 1 статьи 6 Закона № 152-ФЗ) — обработка рекламных и информационных рассылок, публикация «до/после» и отзывов, обратный звонок по инициативе клиники, улучшение сервисов, видеонаблюдение в части, не охватываемой законными интересами, обработка данных соискателей;
• письменное согласие субъекта на обработку специальных категорий (часть 1 статьи 10 Закона № 152-ФЗ) — обработка сведений о состоянии здоровья при первичном обращении, оформляемая подписью пациента (его законного представителя) в информационной системе или на бумажном носителе;
• осуществление и исполнение договора, стороной которого является субъект (пункт 5 части 1 статьи 6) — оказание медицинских услуг по договору, заключённому путём акцепта публичной оферты, размещённой на Сайте, выполнение его условий, включая запись, оплату и выдачу документов;
• осуществление деятельности, непосредственно направленной на защиту жизни, здоровья или иных жизненно важных интересов субъекта (пункт 7 части 1 статьи 6, пункт 2 части 2 статьи 10) — оказание экстренной и неотложной помощи, в том числе лицу, не способному выразить свою волю;
• медицинская деятельность, осуществляемая в соответствии с законодательством в сфере охраны здоровья (пункт 3 части 2 статьи 10) — диагностика, профилактика и лечение при условии обеспечения конфиденциальности сведений работниками, на которых возложена обязанность по сохранению врачебной тайны (статья 13 Закона № 323-ФЗ);
• выполнение установленных законом обязанностей (пункт 2 части 1 статьи 6) — налогового и бухгалтерского учёта (54-ФЗ, НК РФ), миграционного, таможенного, трудового законодательства, законодательства об обращениях граждан, лицензионных требований, санитарно-эпидемиологических требований, отчётности в системе ОМС;
• законные интересы Оператора или третьих лиц, если не нарушаются права субъектов (пункт 7 части 1 статьи 6) — обеспечение безопасности посетителей, предотвращение мошенничества при оплате, защита Сайта от атак, обработка обезличенных данных веб-аналитики, ведение статистики посещаемости;
• осуществление правозащитной деятельности (пункт 6 части 1 статьи 6) — подготовка ответов на претензии, досудебное и судебное урегулирование споров.

6.2. Оператор не принимает и не проверяет подлинность сведений, которые пользователь указывает в формах Сайта, и исходит из того, что пользователь действует добросовестно (пункт 4 статьи 21 Закона № 152-ФЗ). Если для оказания услуги требуется подтверждение личности или возраста, Оператор вправе запросить соответствующие документы.

6.3. Обработка ПДн иностранных граждан и лиц без гражданства, а также обработка с использованием облачных сервисов, расположенных за пределами Российской Федерации, не осуществляется. Хранение и уточнение ПДн производятся на базах данных, находящихся на территории Российской Федерации (часть 8 статьи 18.5 Закона № 152-ФЗ). Трансграничная передача ПДн не планируется; при её необходимости Оператор заранее обеспечивает выполнение статьи 12 Закона № 152-ФЗ.

7. Способы, сроки обработки и хранения

7.1. Способ обработки — смешанный: автоматизированная обработка с помощью информационных систем (медицинская информационная система, CRM-система колл-центра, IP-телефония с записью разговоров, сайты и сервисы записи, электронная почта, мессенджеры, системы видеонаблюдения, бухгалтерская программа, система электронного документооборота) и без использования средств автоматизации (бумажная медицинская документация, журналы, приказы).

7.2. Перечень действий с ПДн, совершаемых Оператором: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Распространение — только при наличии отдельного согласия.

7.3. Сроки обработки и хранения определяются целью обработки:

• согласие на обработку ПДн — до даты отзыва согласия либо до истечения срока, указанного в согласии (если срок не указан — 5 лет с даты сбора, если иное не следует из договора);
• медицинская документация — сроки, установленные приказом Минздрава России № 217н от 28.11.2020 (для медицинских карт пациентов — 25 лет; для протоколов лабораторных и инструментальных исследований — более длительные сроки);
• договоры, счета, кассовые и налоговые документы — 5 лет, а в случаях, предусмотренных налоговым законодательством, — более длительные сроки;
• кадровые документы — согласно перечню типовых управленческих архивных документов (75 или 50 лет в зависимости от вида документа);
• обращения, претензии и жалобы — 5 лет;
• записи с камер видеонаблюдения — 30 дней, если запись не стала доказательством по делу;
• записи разговоров колл-центра — до [указать: 30/90] дней, если запись не оспорена;
• куки и данные веб-аналитики — до истечения срока жизни соответствующего cookie (не более 2 лет) либо до их удаления пользователем в настройках браузера.

7.4. По истечении срока хранения или при достижении цели обработки ПДн уничтожаются, либо Оператор обезличивает их для статистических и архивных нужд. При отзыве согласия Оператор прекращает обработку и в течение 30 суток уничтожает данные, если сохранение не требуется по основаниям, предусмотренным пунктом 5 части 1 статьи 6 и частью 2 статьи 10 Закона № 152-ФЗ (в частности, медицинская документация хранится в архиве независимо от отзыва согласия на её использование в иных целях). Факт уничтожения оформляется актом.

7.5. Передача ПДн третьим лицам допускается только в объёме и для целей, указанных в Политике и согласии. Поручение обработки (хостинг, техподдержка, рассылки) оформляется договором, которым устанавливается обязанность соблюдать конфиденциальность, не распространять данные, обеспечивать безопасность и уничтожить данные по окончании обработки (часть 2 и часть 3 статьи 6 Закона № 152-ФЗ). Иная передача ПДн третьим лицам, не являющимся поручителями, осуществляется только при наличии отдельного согласия субъекта или иного законного основания.

8. Перечень третьих лиц, которым могут быть предоставлены персональные данные

8.1. Оператор не продаёт персональные данные и не раскрывает их неопределённому кругу лиц. Предоставление возможно следующим категориям получателей:

• медицинские организации и врачи-консультанты, привлекаемые к диагностике и лечению пациента (в том числе клиники медицинской сети, участвующие в обслуживании застрахованных по ДМС);
• лаборатории, диагностические и функциональные центры, выполняющие исследования по направлению Оператора;
• страховые медицинские организации (ОМС) и страховщики ДМС, медицинские организаторы страховых программ — в объёме, необходимом для согласования и оплаты медицинской помощи;
• операторы связи и IP-телефонии, провайдеры облачной АТС и сервисов записи визитов;
• операторы информационных систем: разработчик и техподдержка Сайта, хостинг-провайдеры, оператор CRM и медицинской информационной системы, провайдеры сервисов SMS, e-mail и мессенджер-рассылок;
• операторы фискальных данных, банки и платёжные сервисы (эквайринг, эквайринговые шлюзы), бухгалтерская служба или аутсорсинговая бухгалтерская организация;
• организации, оказывающие архивные, охранные, клининговые, курьерские и почтовые услуги, — в объёме, необходимом для исполнения договоров;
• государственные органы и должностные лица — в случаях, порядке и объёме, предусмотренных законодательством (суд, прокуратура, следственные органы, Роспотребнадзор, ФНС, ФОМС, военкомат, Росздравнадзор, Роскомнадзор);
• оценщики качества медицинских услуг, аккредитующие и страховые аудиторские организации в рамках обязательных процедур;
• работники Оператора, допущенные к обработке ПДн по перечню должностей и в объёме, необходимом для выполнения трудовых обязанностей (доступ к врачебной тайне — только медицинских работников, участвующих в обследовании и лечении данного пациента).

8.2. Конкретный перечень поручителей и третьих лиц с наименованиями, ИНН и целями поручения приводится в Приложении № 1 к настоящей Политике и в реестре обработок Оператора; он обновляется приказом ответственного за обработку ПДн без изменения текста Политики.

8.3. Раскрытие сведений, составляющих врачебную тайну, представителям пациента и третьим лицам производится с письменного согласия пациента (часть 4 статьи 13 Закона № 323-ФЗ), а в исключительных случаях — в порядке частей 3 и 4 той же статьи. Родственникам умершего пациента сведения предоставляются, если это не ограничено при жизни самим пациентом (статья 67 Закона № 323-ФЗ).

9. Права субъекта персональных данных и порядок их реализации

9.1. Субъект ПДн вправе:

1. получить информацию об обработке своих ПДн, в том числе подтверждение факта обработки, правовые основания и цели, применяемые способы, используемые ИС ПДн, наименование лиц, которым данные предоставляются, обрабатываемые данные и источник их получения, сроки обработки и хранения (статья 14 Закона № 152-ФЗ);
2. требовать уточнения, блокирования или уничтожения данных, если они неполные, устарели, неточны или обработаны незаконно, а также уведомлять Оператора о правообладателе и поручении обработки;
3. отозвать согласие на обработку — полностью или в части целей (например, отозвать только согласие на рассылку), не объясняя причин;
4. отозвать согласие на получение рекламы и рассылок в любой момент без объяснения причин;
5. требовать прекращения обработки, основанной на законных интересах (в том числе веб-аналитике), направив мотивированное требование;
6. получить копию медицинской документации и выписки из неё в порядке статьи 22 Закона № 323-ФЗ;
7. требовать введения ограничения обработки (блокирования) на срок проверки;
8. обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов ПДн — Роскомнадзор и (или) его территориальный орган (приём на сайте rkn.gov.ru), а также в суд;
9. требовать возмещения убытков и компенсации морального вреда, причинённых незаконной обработкой;
10. защитить права в связи с нарушением требований к биометрической обработке, если такая обработка будет вводиться — с уведомлением субъекта.

9.2. Порядок обращения. Требование (запрос, отзыв согласия) подаётся в письменной форме:

• лично в клинике — через администратора с отметкой о принятии на втором экземпляре;
• по электронной почте на адрес info@clinicamir.ru с темой письма «Персональные данные»;
• заказным письмом по юридическому адресу Оператора;
• через ответственного за организацию обработки ПДн (контакты — пункт 2.3).

9.3. В требовании указываются: фамилия, имя, отчество; контакты для ответа; реквизиты документа, удостоверяющего личность (при личном обращении — предъявляется документ); суть требования; адрес для ответа. Для подтверждения личности Оператор вправе запросить дополнительные сведения, если данные в требовании недостаточны. Отзыв согласия, поданный через сервисы Сайта, учитывается в информационной системе автоматически.

9.4. Оператор выдаёт информацию по запросу в течение 10 рабочих дней с даты обращения, а при необходимости — продлевает срок ещё не более чем на 15 рабочих дней, уведомив об этом субъекта. Отказ в предоставлении информации мотивируется в письменной форме с указанием оснований.

9.5. Отзыв согласия не влечёт уничтожения медицинской документации, обязанность по хранению которой установлена законодательством об охране здоровья, а также документов, обязательных для хранения налоговым, бухгалтерским и архивным законодательством.

9.6. Оператор не осуществляет обработку ПДн несовершеннолетних самостоятельно без участия их законных представителей. Запись ребёнка до 15 лет оформляется с согласия родителя или иного законного представителя, данные которого также вносятся в медицинскую документацию.

10. Файлы cookie и обезличенная статистика посещений Сайта

10.1. Сайт использует файлы cookie, пиксели (pixel), локальные хранилища браузера и сервисы веб-аналитики для: корректной работы форм записи и личного кабинета, сохранения выбранного города и настроек, оценки посещаемости и качества контента, защиты от автоматизированных атак и спама в формах, измерения эффективности рекламных кампаний.

10.2. Перечень используемых категорий: технические (обязательные) cookie без работы самого сайта, аналитические и функциональные — с согласия пользователя; рекламные — только при наличии согласия. Оператор использует обезличенные данные аналитики и не передаёт рекламным системам сведения о факте обращения конкретного лица к врачу.

10.3. Пользователь может в любой момент отключить или удалить cookie в настройках браузера. Это не лишает возможности пользоваться Сайтом, но отдельные функции (онлайн-запись, личный кабинет) могут работать некорректно.

10.4. Согласие на обработку cookie и обезличенных данных пользователь выражает продолжением использования Сайта после отображения информационного баннера, а отзыв — через настройки браузера или форму отзыва.

11. Меры по обеспечению безопасности персональных данных

11.1. Оператор выполняет требования статьи 18.1 и статьи 19 Закона № 152-ФЗ, постановления Правительства РФ № 1119, приказов ФСТЭК России № 21 и ФСБ России № 378. Применяемые меры:

• организационные: назначение ответственного за организацию обработки ПДн приказом; определение перечня лиц, получающих доступ к ПДн; разработка и утверждение локальных актов (политика, положения, формы согласий, акты об уничтожении, журнал учёта); регулярное обучение и ознакомление работников под роспись; принятие обязательства о неразглашении врачебной тайны и ПДн; утверждение матрицы доступа и перечня информационных систем;
• правовые: закрепление обязанности по обеспечению конфиденциальности в трудовых договорах и должностных инструкциях, во включаемых в договоры обязательствах о конфиденциальности (NDA) с подрядчиками, в лицензионных соглашениях с операторами ИС;
• технические: разграничение прав доступа по ролям в МИС, CRM, бухгалтерской системе; аутентификация по персональным учётным записям, запрет общих паролей и передачи учётных данных; использование актуальных антивирусных средств и регулярного обновления программного обеспечения; применение сертифицированных средств защиты в соответствии с классом защищённости ИС ПДн; защита каналов связи протоколом TLS, использование HTTPS на Сайте; резервное копирование баз данных и проверка возможности восстановления; разделение тестовых и продуктивных баз, обезличивание данных в тестовых средах; учёт машинных носителей информации, их хранение в сейфах, списание и уничтожение по акту; ограничение автоматизированного доступа к медицинским данным (ведение журнала действий пользователей и администраторов);
• режимно-территориальные: охрана помещений, доступ в архив и серверную — только по списку, закрытие на ключ рабочих столов с бумажными документами, уничтожение черновиков и ошибочных распечаток шредером, видеонаблюдение и контроль доступа в зоны хранения документации;
• режим реагирования на инциденты: выявление инцидентов, локализация, информирование ответственного; уведомление Роскомнадзора об инциденте, повлёкшем утечку, в срок не позднее 24 часов с момента его выявления, и о выявленной утечке — в течение 24 часов; взаимодействие с ГосСОПКА и проведение расследования в сроки, установленные статьёй 21 Закона № 152-ФЗ (как правило, до 30 суток, при необходимости — с продлением); уведомление субъектов ПДн об утечке, если их права могли быть нарушены;
• оценка эффективности: периодическая (не реже одного раза в год) внутренняя проверка соблюдения требований, оценка вреда правам субъектов, актуализация модели угроз и перечня мер, контроль актуальности реестра обработок и уведомления в Роскомнадзор.

11.2. Оператор не использует для обработки ПДн общедоступные публичные Wi-Fi-сети без средств защиты, не хранит ПДн на личных устройствах работников и съёмных носителях вне помещений клиники, не передаёт их по незащищённым каналам.

11.3. Уничтожение ПДн на бумажных носителях — путём механического уничтожения (шредирование), на электронных — способами, не позволяющими восстановить содержание, с составлением акта в течение 10 рабочих дней с даты уничтожения, но не позднее 30 дней с момента, когда такая обязанность возникла.

12. Изменение Политики и заключительные положения

12.1. Политика пересматривается не реже одного раза в два года, а также при изменении законодательства, целей, состава или способов обработки. Новая редакция вводится приказом генерального директора и размещается на Сайте с указанием даты начала действия и версии редакции.

12.2. Настоящая редакция № 2 введена в действие взамен ранее применявшегося документа «Согласие на обработку персональных данных», размещённого по адресу https://clinicamir.ru/assets/docs/private-policy.pdf. Тот документ сохраняет силу как согласие субъекта на обработку в той части, в какой он оформлен подписью (отметкой) субъекта; он не заменяет настоящую Политику и не является документом, раскрывающим сведения, предусмотренные частью 2 статьи 18.1 Закона № 152-ФЗ.

12.3. Формы согласий (на обработку ПДн, на обработку специальных категорий, на рассылку, на распространение, на трансфер данных страховщику) утверждаются отдельными приложениями к настоящей Политике и применяются как самостоятельные документы.

12.4. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.

12.5. Настоящая Политика доступна для ознакомления: на Сайте в разделе «Политика обработки персональных данных», в электронном виде по запросу, а также в бумажной копии на ресепшене клиник.