Политика обработки персональных данных ООО «Медико-реабилитационный центр «Махаон»

1. ОБЩИЕ ПОЛОЖЕНИЯ.

1.1. Настоящая Политика обработки персональных данных (далее – Политика) разработана в соответствии с пунктом 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет политику Общества с ограниченной ответственностью «МЕДИКО-РЕАБИЛИТАЦИОННЫЙ ЦЕНТР «МАХАОН»» (далее – «Организация») в области обработки и защиты персональных данных (далее – «ПД»), а также раскрывает реализуемые в Организации меры, принимаемые для обеспечения безопасности ПД.

1.2. Настоящая политика распространяется на все процессы Организации, в рамках которых осуществляется обработка ПД, как с использованием средств вычислительной техники, в том числе с использованием официального сайта Организации в информационно-телекоммуникационной сети «Интернет» https://www.machaon.spb.ru, так и без использования таких средств.

1.3 Используемые термины и определения.

1.3.1. Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (далее по тексту – «ПД»).

1.3.2. Субъект персональных данных – физическое лицо, обладающее прямо или косвенно определяющими его персональными данными (далее по тексту – «Субъект ПД»).

1.3.3. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ.

2.1. При организации обработки ПД Организация руководствуется следующими принципами:

обработка ПД осуществляется на законной и справедливой основе, с согласия Субъектов ПД;
обработка ПД ограничивается достижением конкретных, заранее определенных и законных целей;
не допускается объединение баз данных, содержащих ПД, обработка которых осуществляется в целях, несовместимых между собой;
обработке подлежат только ПД, которые отвечают целям их обработки;
содержание и объем обрабатываемых ПД соответствуют заявленным целям обработки;
при обработке ПД обеспечивается точность ПД, их достаточность и актуальность по отношению к целям обработки ПД;
хранение ПД осуществляется в форме, позволяющей определить Субъекта ПД, не дольше, чем этого требуют цели обработки ПД, если срок хранения ПД не установлен Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПД. Обрабатываемые ПД подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей;
обработка ПД без согласия Субъекта ПД не допускается.

3. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ.

3.1. Организация производит обработку ПД в соответствии с договорными и иными обязательствами, хозяйственной деятельностью Организации, а также в соответствии с требованиями законодательства Российской Федерации в области ПД.

3.2. Обработка ПД производится Организацией в том случае, если персональные данные Субъекта персональных данных были получены посредством использования Субъектом ПД официального сайта Организации в информационно-телекоммуникационной сети «Интернет» – https://www.machaon.spb.ru.

3.3. В Организации производится обработка ПД следующих категорий Субъектов ПД:

кандидаты на вакантные должности;
работники Организации;
контрагенты Организации;
клиенты – физические лица, с которыми Организацией заключаются договоры гражданско-правового характера;
посетители официального сайта Организации в информационно-телекоммуникационной сети «Интернет» (https://www.machaon.spb.ru), если предоставляемых ими данных достаточно для прямой либо косвенной идентификации физического лица.

3.4. Для каждой категории Субъектов ПД определены цели обработки их ПД:

3.4.1. Обработка ПД кандидатов на вакантные должности производится в целях подбора подходящих кандидатов, проведения собеседования, принятия решения о возможности приема на работу.

3.4.2. Обработка ПД работников Организации производится в следующих целях:

обеспечение соблюдения требований трудового, пенсионного, страхового законодательства и иных требований действующего законодательства Российской Федерации в связи с возникновением, изменением и прекращением трудовых отношений, включая осуществление контроля качества и количества выполняемой работы, учета рабочего времени, обеспечения сохранности имущества, соблюдения пропускного режима в помещениях Организации;
ведение единого кадрового учёта работников Организации, включая расчет и начисление заработной платы;
ведение бухгалтерского учета Организации, включая оформление необходимых первичных документов (организация командировок, внутренних мероприятий Организации);
обеспечение личной безопасности работников Организации;
обеспечение выполнения внутренних политик и процедур Организации;
участия в корпоративных мероприятиях.

3.4.3. Обработка ПД контрагентов Организации производится с целью взаимодействия с ними по вопросам, связанным с исполнением принятых обязательств, для отправки писем о наличии задолженности и иных юридически значимых сообщений, осуществления рассылок по электронной почте, обмена необходимыми сведениями.

3.4.4. Обработка ПД физических лиц, с которыми Организацией заключаются договоры гражданско-правового характера, производится в целях обеспечения соблюдения требований гражданского, пенсионного, страхового, налогового законодательства и иных требований действующего законодательства Российской Федерации в связи с возникновением, изменением и прекращением гражданско-правовых отношений, включая осуществление контроля за качеством и объемом оказанных услуг, обеспечения сохранности имущества, соблюдения пропускного режима в помещениях Организации.

3.4.5. Обработка ПД посетителей официального сайта Организации в информационно-телекоммуникационной сети «Интернет» (https://www.machaon.spb.ru) производится в следующих целях:

направления в адрес посетителей официального сайта Организации в информационно-телекоммуникационной сети «Интернет» (https://www.machaon.spb.ru) уведомлений, касающихся предоставляемых услуг;
подготовка и направление ответов на запросы посетителей официального сайта организации в сети Интернет;
направление в адрес посетителей официального сайта Организации в информационно-телекоммуникационной сети «Интернет» (https://www.machaon.spb.ru) сведений, в том числе рекламных, о мероприятиях/товарах /услугах/ Организации;
получение обратной связи в отношении оказанных Организацией услуг (в том числе посредством смс-сообщений, электронных писем, телефонных звонков) и последующий анализ полученных данных;

4. УСЛОВИЯ ПЕРЕДАЧИ ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ.

4.1. Передача ПД третьим лицам для выполнения договорных обязательств осуществляется только с согласия Субъекта ПД, а для выполнения требований законодательства Российской Федерации – в рамках установленной законодательством процедуры.

4.2. Организация может поручить обработку ПД другому лицу при выполнении следующих условий:

получено в установленной форме согласие Субъекта ПД на поручение обработки ПД другому лицу;
поручение обработки ПД осуществляется на основании заключаемого с этим лицом договора, разработанного с учетом требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

4.3. Лицо, осуществляющее обработку ПД по поручению Организации, обязано соблюдать принципы и правила обработки ПД и несет ответственность перед Организацией. Организация несет ответственность перед Субъектом ПД за действия уполномоченного лица, которому она поручила обработку ПД.

5. ПРАВА И ОБЯЗАННОСТИ ОРГАНИЗАЦИИ.

5.1. В соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» Организация обязуется:

осуществлять обработку ПД с соблюдением принципов и правил, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
не раскрывать третьим лицам и не распространять ПД без согласия Субъекта ПД, если иное не предусмотрено Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
представлять доказательства получения согласия Субъекта ПД на обработку его ПД или доказательство наличия оснований, в соответствии с которыми такое согласие не требуется;
осуществлять обработку ПД только с согласия в письменной форме Субъекта ПД, в случаях, предусмотренных Федеральным законом от 27.07.2006 №1 52-ФЗ «О персональных данных»;
представлять Субъекту ПД или его представителю по запросу информацию, касающуюся обработки ПД соответствующего Субъекта ПД, либо предоставить мотивированный отказ в предоставлении указанной информации, содержащий ссылку на положения Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», в срок, не превышающий тридцати дней со дня обращения Субъекта ПД или его представителя;
разъяснять Субъекту ПД юридические последствия отказа предоставить его ПД, если предоставление ПД является обязательным в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПД, а также от иных неправомерных действий в отношении ПД;
вносить изменения в обрабатываемые ПД по требованию Субъекта ПД или его представителя, в случае подтверждения факта неточности обрабатываемых ПД соответствующего Субъекта ПД в течение семи рабочих дней;
блокировать обработку ПД в случае выявления неправомерной обработки при обращении Субъекта ПД или его представителя, если блокирование ПД не нарушает права и законные интересы соответствующего Субъекта ПД или третьих лиц;
вести журнал учета обращений Субъектов ПД, в котором фиксируются все запросы и обращения Субъекта ПД или его представителя;
прекращать обработку и уничтожать ПД соответствующего Субъекта ПД, в случае достижения цели обработки ПД в срок, не превышающий тридцати дней с даты достижения цели обработки ПД, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПД, иным соглашением между Организацией и Субъектом ПД, либо Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных» либо другими федеральными законами;
прекращать обработку ПД и уничтожать ПД соответствующего Субъекта ПД, в случае отзыва Субъектом ПД согласия на обработку своих ПД в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПД, иным соглашением между Организацией и Субъектом ПД.

5.2. В соответствии с положениями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» Организация имеет право:

осуществлять обработку ПД без согласия Субъекта ПД при наличии оснований, указанных в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных»;
отказать Субъекту ПД в выполнении запроса/повторного запроса, в случае, если Субъекту ПД был предоставлен мотивированный ответ об отказе выполнения такого запроса;
осуществлять обработку ПД без уведомления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) об обработке ПД в случаях обработки ПД, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»

6. МЕРЫ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ СУБЪЕКТОВ.

6.1. Организация принимает необходимые и достаточные организационные и технические меры для защиты ПД Субъектов ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.

6.2. Меры по обеспечению безопасности ПД, применяемые в Организации:

назначение ответственного за организацию обработки ПД;
издание документов, определяющих политику в отношении обработки ПД, локальных нормативных актов по вопросам обработки ПД, а также иные меры.
ознакомление работников Организации, непосредственно осуществляющих обработку ПД, с положениями законодательства Российской Федерации в области ПД, в том числе требованиями к защите ПД, документами, определяющими политику в отношении обработки ПД, локальными нормативными актами по вопросам обработки ПД, и (или) обучение указанных работников;
применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
обнаружение фактов несанкционированного доступа к ПД и принятие мер;
контроль за принимаемыми мерами по обеспечению безопасности ПД и уровня защищенности ПД.

7. ЛИЦО, ОТВЕТСТВЕННОЕ ЗА ОРГАНИЗАЦИЮ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ В ОРГАНИЗАЦИИ.

7.1. Организация назначает лицо, ответственное за организацию обработки ПД.

7.2. Лицо, ответственное за организацию обработки ПД, получает указания непосредственно от генерального директора Организации.

7.3. Лицо, ответственное за организацию обработки ПД обязано:

осуществлять внутренний контроль за соблюдением Организацией и ее работниками законодательства Российской Федерации в области ПД, а также внутренних организационно-распорядительных документов Организации по вопросам обработки и защиты ПД;
доводить до сведения работников Организации положения законодательства Российской Федерации в области ПД, локальных нормативных актов по вопросам обработки ПД, требований к защите ПД;
участвовать в пересмотре внутренних организационно-распорядительных документов Организации по вопросам обработки и защиты ПД;
организовывать прием и обработку обращений и запросов Субъектов ПД или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов;

8. ОТВЕТСТВЕННОСТЬ ЗА РЕАЛИЗАЦИЮ ПОЛОЖЕНИЙ ПОЛИТИКИ.

8.1. Работники Организации, осуществляющие обработку ПД, а также ответственные лица за организацию и обеспечение безопасности ПД в Организации несут ответственность в соответствии с действующим законодательством Российской Федерации за нарушение положений настоящей Политики, локальных нормативных актов, иных требований, предусмотренных законодательством Российской Федерации в области ПД.

9. ЗАКЛЮЧИТЕЛЬНЫЕ И ПЕРЕХОДНЫЕ ПОЛОЖЕНИЯ.

9.1. Настоящая Политика вступает в силу с момента ее утверждения генеральным директором Организации и действует бессрочно.

9.2. Пересмотр положений настоящей Политики и их актуализация по мере необходимости допускаются в следующих случаях:

изменения положений законодательства Российской Федерации, включая законодательство в области ПД;
в случаях выявления несоответствий, затрагивающих обработку и (или) защиту ПД;
по результатам контроля выполнения требований по обработке и (или) защите ПД;
по решению руководства Организации;

9.3. Обеспечение неограниченного доступа к Политике реализуется путем ее публикации официальном сайте Организации в информационно-телекоммуникационной сети «Интернет» https://www.machaon.spb.ru.