Политика обработки персональных данных

1. Общие положения
1.1. Настоящая Политика ООО «Эстилайн» в отношении обработки персональных данных (далее — Политика) разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» и иными нормативными правовыми актами Российской Федерации в области обработки и защиты персональных данных.
1.2. Политика определяет принципы, цели, условия и способы обработки персональных данных ООО «Эстилайн», категории субъектов персональных данных, состав обрабатываемых персональных данных, права субъектов персональных данных, а также меры, принимаемые Оператором для обеспечения безопасности персональных данных.
1.3. Оператором персональных данных является:
ООО «Эстилайн»
 ИНН 7813235040
 ОГРН 1157847373463
 юридический адрес: г. Санкт-Петербург, проспект Малый П.С., д. 36–38, литера Б, пом. 2Н
 фактический/почтовый адрес: г. Санкт-Петербург, проспект Малый П.С., д. 36–38, литера Б, пом. 2Н
 электронная почта: estiline@mail.ru.
1.4. Настоящая Политика распространяется на персональные данные, получаемые Оператором:

• при посещении и использовании сайта estiline-spb.ru;
• при заполнении форм обратной связи;
• при записи на прием, в том числе онлайн;
• при обращении в Клинику по телефону, электронной почте и посредством электронных сервисов связи;
• при заключении и исполнении договоров;
• при оказании медицинской помощи и ведении медицинской документации;
• при осуществлении сервисных и организационных коммуникаций;
• при направлении рекламных и маркетинговых сообщений при наличии необходимого согласия;
• при взаимодействии с контрагентами, работниками, кандидатами на трудоустройство и иными лицами;
• в иных случаях, предусмотренных законодательством Российской Федерации.

1.5. Настоящая Политика является общедоступным документом и размещается на сайте Оператора. Оператор обеспечивает неограниченный доступ к Политике, в том числе со страниц сайта, посредством которых осуществляется сбор персональных данных. Это соответствует требованиям ч. 2 ст. 18.1 Федерального закона № 152-ФЗ.
1.6. Использование сайта само по себе не означает предоставление согласия на обработку персональных данных в случаях, когда законодательством Российской Федерации требуется отдельное согласие субъекта.

2. Основные понятия
Для целей настоящей Политики используются следующие понятия:
персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу;
оператор персональных данных — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, определяющее цели обработки, состав персональных данных и действия, совершаемые с ними;
обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение;
субъект персональных данных — физическое лицо, к которому относятся персональные данные;
предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
блокирование персональных данных — временное прекращение обработки персональных данных, кроме случаев, когда обработка необходима для их уточнения;
уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются материальные носители;
обезличивание персональных данных — действия, в результате которых без использования дополнительной информации невозможно определить принадлежность персональных данных конкретному субъекту;
информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку технологий и технических средств;
специальные категории персональных данных — в том числе сведения о состоянии здоровья субъекта персональных данных.

3. Принципы обработки персональных данных
3.1. Обработка персональных данных осуществляется Оператором на законной и справедливой основе.
3.2. Обработка ограничивается достижением конкретных, заранее определенных и законных целей.
3.3. Не допускается обработка персональных данных, несовместимая с целями их сбора.
3.4. Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки.
3.5. Не допускается обработка персональных данных, избыточных по отношению к заявленным целям.
3.6. При обработке обеспечиваются точность, достаточность и, при необходимости, актуальность персональных данных.
3.7. Персональные данные хранятся не дольше, чем этого требуют цели обработки, если иной срок хранения не установлен законом, договором или иным законным основанием.
3.8. По достижении целей обработки либо при утрате необходимости в их достижении персональные данные подлежат прекращению обработки и уничтожению либо обезличиванию, если иное не предусмотрено законодательством Российской Федерации.

4. Категории субъектов персональных данных
Оператор обрабатывает персональные данные следующих категорий субъектов:
4.1. Посетителей сайта.
4.2. Лиц, направивших заявку на обратный звонок, консультацию или запись на прием.
4.3. Лиц, осуществляющих онлайн-запись.
4.4. Пациентов Клиники.
4.5. Законных представителей пациентов.
4.6. Лиц, обращающихся в Клинику по телефону, электронной почте и посредством электронных сервисов связи.
4.7. Лиц, давших согласие на получение рекламных и маркетинговых сообщений.
4.8. Контрагентов Оператора и представителей контрагентов.
4.9. Работников, бывших работников и кандидатов на трудоустройство.

5. Цели обработки персональных данных, категории субъектов и состав данных
5.1. Обработка обращений и заявок с сайта
Цель обработки: обработка обращения, установление обратной связи, предоставление информации об услугах Клиники, запись на прием или организация обратного звонка.
Категории субъектов: посетители сайта, потенциальные пациенты.
Персональные данные могут включать:

• имя;
• номер телефона;
• иные сведения, добровольно указанные субъектом в сообщении.

Действия с данными: сбор, запись, систематизация, накопление, хранение, извлечение, использование, уточнение, предоставление лицам, обрабатывающим данные по поручению Оператора, удаление, уничтожение.
Правовые основания: согласие субъекта персональных данных; совершение действий по запросу субъекта до заключения договора.
Заявки с сайта могут поступать на электронную почту Оператора.
5.2. Онлайн-запись и организация приема
Цель обработки: запись на прием, выбор услуги и специалиста, ведение расписания, подтверждение, изменение или отмена записи, информирование о предстоящем приеме.
Категории субъектов: пациенты и потенциальные пациенты.
Персональные данные могут включать:

• фамилию, имя, отчество;
• номер телефона;
• адрес электронной почты;
• сведения о выбранной услуге;
• сведения о выбранном специалисте;
• дату и время записи;
• сведения, добровольно сообщенные пациентом.

Для онлайн-записи и организации приема может использоваться медицинская информационная система и CRM SONLINE.
5.3. Оказание медицинской помощи и ведение медицинской документации
Цель обработки: оказание медицинской помощи, проведение диагностики, назначение и выполнение медицинских вмешательств, ведение медицинской документации и исполнение обязанностей медицинской организации.
Категории субъектов: пациенты и их законные представители.
Персональные данные могут включать:

• фамилию, имя, отчество;
• дату рождения;
• пол;
• контактные данные;
• адрес;
• реквизиты документа, удостоверяющего личность, если это необходимо;
• сведения о законном представителе;
• сведения о договорах и оказанных услугах;
• сведения медицинской документации;
• сведения о состоянии здоровья;
• жалобы;
• анамнез;
• диагнозы;
• сведения о противопоказаниях;
• сведения о проведенных медицинских вмешательствах и их результатах;
• иные сведения, необходимые для оказания медицинской помощи.

Сведения о состоянии здоровья относятся к специальным категориям персональных данных. Их обработка допускается в случаях, установленных ст. 10 Федерального закона № 152-ФЗ, в том числе в медицинских целях лицами, профессионально осуществляющими медицинскую деятельность и обязанными соблюдать врачебную тайну.
5.4. Телефонные обращения и запись разговоров
Цель обработки: прием и обработка обращений, организация записи, подтверждение, изменение и отмена записи, предоставление организационной информации, контроль качества обслуживания, рассмотрение спорных ситуаций и обращений пациентов.
Категории субъектов: пациенты, потенциальные пациенты и иные лица, обращающиеся в Клинику по телефону.
Персональные данные могут включать:

• номер телефона;
• имя;
• сведения о записи;
• сведения, сообщенные субъектом во время разговора;
• аудиозапись телефонного разговора.

Для телефонной связи и записи разговоров может использоваться Облачная АТС Билайн.
Оператор обеспечивает информирование звонящего о факте записи телефонного разговора.
5.5. Сервисные и организационные коммуникации
Цель обработки: подтверждение записи, напоминание о приеме, изменение или отмена записи, направление иной организационной информации, связанной с обращением пациента и оказанием услуг.
Персональные данные могут включать:

• имя;
• номер телефона;
• идентификатор пользователя в соответствующем сервисе связи;
• сведения о записи;
• дату и время приема;
• сведения о выбранной услуге в необходимом объеме;
• содержание переписки, добровольно предоставленное субъектом.

Коммуникация может осуществляться работниками Оператора вручную либо с использованием автоматизированных средств и ботов, в том числе посредством MAX, Telegram и сервиса Wazapa.
5.6. Рекламные и маркетинговые сообщения
Цель обработки: информирование о специальных предложениях, новых услугах, мероприятиях, акциях и иных предложениях Клиники рекламного характера.
Категории субъектов: лица, предоставившие соответствующее согласие.
Персональные данные могут включать:

• имя;
• номер телефона;
• адрес электронной почты;
• идентификатор пользователя в используемом канале связи.

Обработка персональных данных в целях прямого продвижения услуг посредством средств связи осуществляется при наличии предварительного согласия субъекта.
5.7. Работа сайта и веб-аналитика
Цель обработки: обеспечение функционирования и безопасности сайта, получение статистической информации, анализ и улучшение работы сайта.
Данные могут включать:

• IP-адрес;
• cookie-файлы и технические идентификаторы;
• сведения о браузере;
• сведения об устройстве и операционной системе;
• дату и время обращения к сайту;
• источник перехода;
• сведения о действиях пользователя на сайте.

Для веб-аналитики может использоваться Яндекс.Метрика.
Подробная информация об использовании cookie-файлов размещается в отдельной Политике использования cookie-файлов.

6. Правовые основания обработки персональных данных
6.1. Оператор обрабатывает персональные данные при наличии одного или нескольких предусмотренных законодательством оснований.
6.2. К таким основаниям относятся:

• согласие субъекта персональных данных;
• необходимость обработки для заключения договора по инициативе субъекта либо исполнения договора;
• необходимость выполнения обязанностей и полномочий Оператора, предусмотренных законодательством;
• законодательство Российской Федерации в сфере охраны здоровья граждан и медицинской деятельности;
• законодательство о бухгалтерском и налоговом учете;
• основания для обработки специальных категорий персональных данных, предусмотренные законом;
• иные основания, установленные законодательством Российской Федерации.

6.3. В случаях, когда законодательством требуется согласие субъекта, Оператор получает такое согласие в форме, позволяющей подтвердить факт его получения.
6.4. Согласие на обработку персональных данных оформляется отдельно от иной информации и документов в случаях, предусмотренных законодательством.

7. Обработка специальных категорий персональных данных
7.1. В связи с осуществлением медицинской деятельности Оператор обрабатывает сведения о состоянии здоровья пациентов.
7.2. Обработка осуществляется только в объеме, необходимом для:

• оказания медицинской помощи;
• диагностики;
• назначения и проведения медицинских вмешательств;
• ведения медицинской документации;
• исполнения иных обязанностей медицинской организации.

7.3. Доступ к сведениям о состоянии здоровья предоставляется работникам и иным лицам только в объеме, необходимом для выполнения профессиональных и должностных обязанностей.
7.4. Лица, получившие доступ к сведениям о состоянии здоровья пациентов, обязаны соблюдать конфиденциальность персональных данных и врачебную тайну.
7.5. Оператор не использует сведения о состоянии здоровья пациентов в рекламных и маркетинговых целях без самостоятельного законного основания.

8. Порядок и способы обработки персональных данных
8.1. Обработка осуществляется:

• с использованием средств автоматизации;
• без использования средств автоматизации;
• посредством смешанной обработки.

8.2. Оператор вправе осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, обновление, изменение, извлечение, использование, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение персональных данных.
8.3. Персональные данные могут обрабатываться в информационных системах и сервисах, используемых Оператором.
8.4. В деятельности Оператора могут использоваться, в частности:

• SONLINE — медицинская информационная система и CRM;
• электронная почта Mail.ru;
• Облачная АТС Билайн;
• Wazapa — сервис автоматизации коммуникаций;
• MAX и Telegram — сервисы электронной коммуникации;
• сервисы веб-аналитики;
• иные информационные системы и сервисы, необходимые для деятельности Оператора.

8.5. Доступ работников Оператора к персональным данным ограничивается объемом, необходимым для выполнения их должностных обязанностей.

9. Предоставление персональных данных и поручение обработки
9.1. Оператор не распространяет персональные данные неопределенному кругу лиц без законного основания.
9.2. Персональные данные могут предоставляться третьим лицам:

• с согласия субъекта;
• для заключения или исполнения договора;
• во исполнение требований законодательства Российской Федерации;
• если обработка поручена иному лицу на основании договора.

9.3. Оператор вправе поручать обработку персональных данных лицам, обеспечивающим работу медицинских информационных систем, CRM, телефонии, электронной почты, сервисов автоматизации коммуникаций, информационно-технологической инфраструктуры и иных сервисов Оператора.
9.4. При поручении обработки персональных данных Оператор устанавливает в договоре требования, предусмотренные ч. 3 ст. 6 Федерального закона № 152-ФЗ, включая перечень персональных данных и операций с ними, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность персональных данных, а также иные обязательные требования.
9.5. Объем персональных данных, предоставляемых третьему лицу либо обрабатываемых по поручению Оператора, ограничивается объемом, необходимым для соответствующей цели.
9.6. Работники Оператора, обрабатывающие персональные данные в пределах своих должностных обязанностей, не рассматриваются в рамках настоящего раздела как лица, которым Оператор передает персональные данные для самостоятельных целей.

10. Сроки обработки, хранения и уничтожение персональных данных
10.1. Сроки обработки и хранения персональных данных определяются целями обработки, правовыми основаниями, условиями договоров, сроками хранения медицинской и иной документации и требованиями законодательства Российской Федерации.
10.2. Персональные данные обрабатываются не дольше, чем это необходимо для соответствующей цели, если иной срок не предусмотрен законодательством или договором.
10.3. Данные, полученные при обращении через сайт, обрабатываются в течение срока, необходимого для рассмотрения обращения, организации записи и последующего взаимодействия с субъектом, а также в течение срока, необходимого для защиты законных интересов Оператора при наличии соответствующего основания.
10.4. Персональные данные, содержащиеся в медицинской документации, хранятся в течение сроков, установленных законодательством Российской Федерации для соответствующих видов медицинской документации.
10.5. Аудиозаписи телефонных разговоров хранятся в течение срока, установленного настройками используемой Оператором телефонной системы и договором с оператором связи, с учетом целей их обработки.
10.6. Персональные данные, используемые для рекламных и маркетинговых коммуникаций, обрабатываются до отзыва соответствующего согласия, прекращения соответствующей цели обработки либо наступления иного основания для прекращения обработки.
10.7. При достижении целей обработки либо утрате законного основания для дальнейшей обработки персональные данные уничтожаются либо обезличиваются в порядке и сроки, установленные законодательством Российской Федерации.

11. Права субъектов персональных данных
11.1. Субъект персональных данных имеет право получать информацию, касающуюся обработки его персональных данных, в предусмотренных законодательством случаях.
11.2. Субъект вправе требовать:

• уточнения персональных данных;
• блокирования неправомерно обрабатываемых данных;
• прекращения неправомерной обработки;
• уничтожения персональных данных в предусмотренных законом случаях;
• прекращения обработки в предусмотренных законом случаях;
• отзыва ранее предоставленного согласия.

11.3. Отзыв согласия не влечет обязательного прекращения любой обработки персональных данных, если Оператор вправе или обязан продолжить ее на ином законном основании.
11.4. Субъект вправе отдельно отказаться от получения рекламных и маркетинговых сообщений.

12. Меры по обеспечению безопасности персональных данных
12.1. Оператор принимает правовые, организационные и технические меры, необходимые для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.
12.2. Оператор, в частности:

• назначает лицо, ответственное за организацию обработки персональных данных;
• принимает локальные акты по вопросам обработки и защиты персональных данных;
• определяет перечень работников, которым необходим доступ к персональным данным;
• знакомит работников с требованиями законодательства и локальными актами;
• разграничивает права доступа к информационным системам;
• применяет необходимые средства защиты информации;
• осуществляет внутренний контроль за соблюдением требований законодательства;
• принимает меры по выявлению и устранению последствий инцидентов с персональными данными;
• осуществляет иные мероприятия, предусмотренные законодательством Российской Федерации.

Указанные меры прямо относятся законом к обязанностям оператора.
12.3. Работники, имеющие доступ к персональным данным пациентов, обязаны соблюдать конфиденциальность персональных данных и врачебную тайну.

13. Порядок обращения субъектов персональных данных
13.1. По вопросам обработки персональных данных субъект может обратиться к Оператору:
ООО «Эстилайн»
 ИНН 7813235040
 ОГРН 1157847373463
 адрес: г. Санкт-Петербург, проспект Малый П.С., д. 36–38, литера Б, пом. 2Н
 электронная почта: estiline@mail.ru.
13.2. Обращение должно содержать сведения, позволяющие идентифицировать заявителя и рассмотреть его требование в соответствии с законодательством Российской Федерации.
13.3. Оператор рассматривает обращения и исполняет требования субъектов в сроки и порядке, установленные законодательством Российской Федерации.

14. Cookie-файлы и веб-аналитика
14.1. При использовании сайта Оператор может получать техническую информацию, включая IP-адрес, сведения о браузере и устройстве, cookie-файлы и иные технические идентификаторы.
14.2. Для получения статистической информации об использовании сайта и улучшения его работы могут использоваться системы веб-аналитики, в том числе Яндекс.Метрика.
14.3. Подробная информация о видах используемых cookie-файлов, целях и сроках их использования, применяемых сервисах и способах управления cookie содержится в отдельной Политике использования cookie-файлов, размещенной на сайте Оператора.

15. Заключительные положения
15.1. Настоящая Политика действует до замены ее новой редакцией.
15.2. Оператор вправе вносить изменения в Политику в связи с изменением законодательства Российской Федерации, процессов обработки персональных данных, используемых информационных систем и сервисов и по иным обоснованным причинам.
15.3. Новая редакция Политики вступает в силу с момента ее размещения на сайте, если иное не предусмотрено самой редакцией.
15.4. Актуальная редакция Политики размещается в свободном доступе на сайте estiline-spb.ru.