ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ООО «КОРОНА ДЕНТАЛ»

Оглавление:

1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Общие сведения
1.2. Основные понятия
1.3. Цели и способы обработки
1.4. Правовые основания обработки
1.5. Принципы обработки персональных данных
1.6. Условия обработки персональных данных
1.7. Конфиденциальность персональных данных
1.8. Сроки обработки персональных данных. Хранение и уничтожение персональных данных
1.9. Порядок обработки персональных данных, в том числе специальных категорий
персональных данных
1.10. Права и обязанности субъекта персональных данных
1.11. Права и обязанности Общества
1.12. Обработка персональных данных, разрешенных субъектом персональных данных для
распространения
1.13. Трансграничная передача персональных данных
1.14. Взаимодействие с федеральными органами исполнительной власти

2. СУБЪЕКТЫ И КАТЕГОРИИ ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1. Субъекты персональных данных
2.2. Категории персональных данных

3. МЕРОПРИЯТИЯ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1. Общие положения
3.2.Мероприятия по обеспечению безопасности персональных данных при автоматизированной обработке
3.2.1. Система защиты персональных данных
3.2.2. Перечень мероприятий по обеспечению безопасности персональных данных
3.2.3. Помещения, в которых ведется обработка персональных данных
3.3. Мероприятия по обеспечению безопасности персональных данных при их обработке без использования средств автоматизации
3.4. Контроль и надзор за выполнением требований Политики обработки персональных данных ООО «КОРОНА ДЕНТАЛ»
3.5. Ответственность за нарушение требований настоящей Политики

4. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Общие сведения
Настоящая Политика обработки персональных данных (далее – Политика) в ООО «Корона Дентал» (далее – Общество) разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - Закон), а также в соответствии с иными федеральными законами Российской Федерации, определяющими случаи и особенности обработки персональных данных и обеспечения безопасности и конфиденциальности персональных данных.

Политика разработана в целях реализации требований законодательства в области обработки и обеспечения безопасности персональных данных. Назначение Политики - обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных в Обществе.

Настоящая Политика распространяется на всю информацию о субъектах персональных данных, которую Общество получает в ходе своей деятельности.

Политика определяет:
- принципы обработки персональных данных;
- цели, правовые основания и способы обработки персональных данных;
- перечень субъектов персональных данных;
- сроки обработки персональных данных;
- порядок и условия обработки персональных данных;
- права и обязанности субъектов персональных данных;
- права и обязанности Общества;
- конфиденциальность и безопасность персональных данных.

Политика является основой для организации работы по обработке персональных данных в Обществе, для разработки Обществом локальных нормативных актов (приказов, положений, правил и т.д.), регулирующих процесс обработки персональных данных.
Положения Политики являются обязательными для исполнения всеми работниками Общества, имеющими доступ к персональным данным. Факт ознакомления работников с Политикой подтверждается их личной подписью.
Настоящая Политика является локальным нормативным актом Общества и вступает в силу с момента утверждения генеральным директором.

1.2. Основные понятия
Персональные данные - любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).
Персональные данные, разрешенные субъектом персональных данных для распространения - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом.
Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

1.3. Цели и способы обработки
Целью настоящей Политики является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также установление ответственности должностных лиц, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.

Обработка персональных данных субъектов персональных данных осуществляется Обществом в заранее определенных целях. В зависимости от конкретных целей обработки персональных данных такая обработка может включать в себя, в частности, совершение всех или некоторых из следующих действий (операций) с персональными данными: сбор (получение), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, обезличивание, удаление, уничтожение персональных данных.

Для каждой цели обработки персональных данных предусмотрены следующие способы обработки персональных данных: автоматизированная обработка персональных данных (с использованием средств вычислительной техники) и неавтоматизированная обработка персональных данных (без использования средств вычислительной техники) с фиксацией персональных данных на материальных носителях. Обработка Обществом персональных данных автоматизированным способом и неавтоматизированным способом осуществляется с соблюдением требований законодательства Российской Федерации и внутренних нормативных документов Общества, регламентирующих вопросы обработки и защиты персональных данных. При обработке персональных данных автоматизированным способом Общество принимает необходимые меры по обеспечению безопасности обрабатываемых персональных данных. Обработка Обществом персональных данных неавтоматизированном способом, в том числе хранение материальных носителей персональных данных, осуществляется в помещениях, обеспечивающих их сохранность, в порядке, предусмотренном законодательством Российской Федерации.

Мероприятия по обеспечению безопасности персональных данных являются составной частью деятельности Общества.

1.4. Правовые основания обработки
Правовыми основаниями обработки персональных данных в Обществе являются:
- Конституция Российской Федерации;
- Трудовой кодекс Российской Федерации;
- Гражданский кодекс Российской Федерации;
- Налоговый кодекс Российской Федерации;
- Федеральный закон от 27 июля 2006 года №152-ФЗ «О персональных данных», далее — Закон № 152-ФЗ;
- Федеральный закон от 21 ноября 2011 г. № 323-ФЗ "Об основах охраны здоровья граждан в Российской Федерации"
- Постановление Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
- Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования и обязательного социального страхования»;
- Постановление Правительства Российской Федерации от 27.11.2006 № 719 «Об утверждении Положения о воинском учете»;
- Федеральный закон от 28.12.2013 № 426-ФЗ «О специальной оценке условий труда»;
- Постановление Правительства РФ от 1 ноября 2012 года №1119;
- Приказ ФСТЭК России от 18 февраля 2013 г. № 21;
- Приказ ФСБ России от 10 июля 2014 г. № 378;
- Постановление Правительства Российской Федерации от 06.07.08 №512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных».
- СанПиН 2.1.3678-20; СанПиН 3.3686-21;
- Федеральный закон от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации";
- Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
- Иные нормативно правовые акты Российской Федерации и нормативные документы уполномоченных органов государственной власти;

1.5. Принципы обработки персональных данных
Обработка персональных данных в Обществе осуществляется на основе следующих принципов:
- на законной и справедливой основе;
- ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
- не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
- обработке подлежат только персональные данные, которые отвечают целям их обработки.
- содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
- при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Общество принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных, или неточных данных.
-хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
-обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

1.6. Условия обработки персональных данных
Обработка персональных данных осуществляется с соблюдением принципов и правил, предусмотренных Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», а также настоящей Политикой.

Обработка персональных данных допускается в следующих случаях:
1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
2) обработка персональных данных необходима для достижения целей, возложенных законодательством Российской Федерации на Общество;
3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
4) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных.
5) обработка персональных данных необходима для осуществления прав и законных интересов Общества или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
6) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно.
7) осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с Законом.

Общество вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта. Лицо, осуществляющее обработку персональных данных по поручению общества, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом. В поручении Общества должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Закона.

Лицо, осуществляющее обработку персональных данных по поручению Общества, не обязано получать согласие субъекта персональных данных на обработку его персональных данных.
В случае, если Общество поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Общество. Лицо, осуществляющее обработку персональных данных по поручению Общества, несет ответственность перед Обществом.

1.7. Конфиденциальность персональных данных
Доступ к персональным данным ограничивается в соответствии с законодательством Российской Федерации

Доступ к обрабатываемым персональным данным предоставляется только тем работникам Общества, которым он необходим в связи с исполнением ими своих должностных обязанностей.

Общество и иные лица, получившие доступ к персональным данным обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Третьи лица, получившие доступ к персональным данным, или осуществляющие обработку персональных данных по поручению Общества, обязуются соблюдать требования договоров и соглашений с Обществом в части обеспечения конфиденциальности и безопасности персональных данных.

1.8. Сроки обработки персональных данных. Хранение и уничтожение персональных данных
Сроки обработки персональных данных:
Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, истечение срока действия согласия или отзыв согласия субъекта персональных данных на обработку его персональных данных, а также выявление неправомерной обработки персональных данных. При отзыве субъектом персональных данных Согласия на обработку его персональных данных, Общество вправе продолжить обработку персональных данных без согласия субъекта персональных данных, если такая обработка предусмотрена договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Обществом и субъектом персональных данных, либо если Общество вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом, другими федеральными законами.

Хранение персональных данных в Обществе осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, если иное не предусмотрено Законом или Соглашением с субъектом персональных данных не установлен соответствующий срок хранения. Места хранения материальных носителей персональных данных утверждаются приказом генерального директора.

Персональные данные, обрабатываемые в Обществе, подлежат уничтожению при наступлении следующих условий:
- при достижении целей (цели) обработки персональных данных или максимальных сроков хранения- подлежит уничтожению в течение 30 дней, если иное не установлено Законом или иными применимыми нормативными правовыми актами Российской Федерации;
- утрата необходимости в достижении целей обработки персональных данных- в течение 30 дней;
- истечение срока хранения, установленного законом, Политикой Общества или Согласием субъекта;
- отзыв субъектом персональных данных согласия на обработку персональных данных, если сохранение персональных данных более не требуется для целей обработки персональных данных- в течение 30 дней;
- требование субъекта персональных данных о прекращении обработки персональных данных- в течение 10 дней;
- предоставление субъектом персональных данных или его законным представителем подтверждения того, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки- в течение 7 дней;
- невозможность обеспечения правомерности обработки персональных данных- в течение 10 дней;
- при ликвидации/реорганизации Общества, если правопреемник не определен.
Для уничтожения персональных данных, приказом генерального директора назначается комиссия по уничтожению персональных данных.

Уничтожение персональных данных оформляется актом.

1.9. Порядок обработки персональных данных, в том числе специальных категорий персональных данных.

Все персональные данные субъектов Общество получает от них самих либо от их представителей.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.

В случаях, предусмотренных федеральным законом, обработка специальных категорий персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности:
1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
3) наименование Общества, получающего согласие субъекта персональных данных;
4) цель обработки персональных данных;
5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
6) перечень действий с персональными данными, на совершение которых дается согласие;
7) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва;
8) подпись субъекта персональных данных.

В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.
В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.

Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Общество вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе.
Персональные данные могут быть получены Обществом от лица, не являющегося субъектом персональных данных, при условии предоставления Обществу подтверждения наличия оснований, указанных в Законе.

Общество осуществляет передачу персональных данных государственным органам в рамках их полномочий в соответствии с законодательством Российской Федерации.

Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, не допускается, за исключением случаев, предусмотренных Законом.

Обработка указанных в Законе специальных категорий персональных данных допускается в случаях, если:
1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
2) персональные данные сделаны общедоступными субъектом персональных данных:
- обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях, об обязательных видах страхования, в соответствии со страховым законодательством;
- обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных Законом:
3) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно;
4) обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия;

Обществом осуществляется деятельность в области здравоохранения, включая установление медицинского диагноза, оказание медицинских и медико-социальных услуг, медицинского обследования и лечения по различным направлениям, ведение учета и систематизации оказанных услуг, в целях исполнение условий договоров, улучшения, контроля качества и безопасности оказания услуг, в том числе выполнение требований Обществом действующего законодательства РФ о порядке организации системы документооборота в сфере охраны здоровья в части установленных требованиями законодательства сведений и передачу их в единую государственную информационную систему в сфере здравоохранения (ЕГИСЗ). Согласование услуг для пациентов страховых компаний, обработка гарантийных писем на оказание медицинской помощи, координация процессов урегулирования вопросов, связанных с пациентами страховых компаний, взаимодействие Общества со страховыми компаниями для целей оказания медицинской помощи и выполнения требований законодательства РФ.

Права и обязанности субъекта персональных данных

Субъект персональных данных имеет право:
Свободно своей волей и в своем интересе предоставлять свои персональные данные и давать согласие на их обработку. На получение информации, касающейся обработки его персональных данных, в том числе содержащей:
1. Подтверждение факта обработки персональных данных Обществом;
2. Правовые основания, цели, сроки, способы обработки персональных данных, сроки их хранения;
3. Наименование и место нахождения Общества, сведения о лицах (за исключением работников Общества), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Обществом или на основании Закона;
4. Обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен Законом;
5. Иные сведения, предусмотренные Законом.

Субъект персональных данных вправе требовать от Общества уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Направлять в Общество обращения, в том числе повторные, и получать информацию по вопросам обработки персональных данных, принадлежащих субъекту персональных данных, в порядке, форме, объеме и в сроки, установленные законодательством Российской Федерации.
Обратиться в Общество с требованием прекратить обработку своих персональных данных, а также отозвать предоставленное согласие на обработку персональных данных.
Обработка персональных данных в целях продвижения работ, услуг, путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, допускается только при условии предварительного согласия субъекта персональных данных и прекращается по требованию субъекта персональных данных.

Имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Субъект персональных данных обязан:
1. Предоставить Обществу достоверные данные о себе.
2. Сообщить Обществу об уточнении (обновлении, изменении) своих персональных данных.
3. Лица, передавшие Обществу недостоверные сведения о себе, либо сведения о другом субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством РФ.

Права и обязанности Общества

Обязанности Общества при сборе персональных данных:
Не раскрывать и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.

Организовать обработку персональных данных в порядке, установленном действующим законодательством Российской Федерации.

Предоставить субъекту персональных данных или его законному представителю, по его запросу информацию, касающуюся обработки его персональных данных, либо на законных основаниях предоставить отказ.

Разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на обработку персональных данных, если предоставление персональных данных и (или) получение согласия на обработку персональных данных является обязательным в соответствии с законодательством Российской Федерации.
По требованию субъекта персональных данных уточнять обрабатываемые персональные данные, блокировать или удалять, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки в соответствии с законодательством Российской Федерации.
Прекратить обработку и уничтожить персональные данные согласно настоящей Политики.
Вести учет обращений субъектов персональных данных.

Публиковать или иным образом обеспечивать неограниченный доступ к настоящей Политике.
Принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
Уведомить уполномоченный орган по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных в порядке и сроки, установленные Законом.

Сообщать в уполномоченный орган по защите прав субъектов персональных данных, по запросу этого органа необходимую информацию в течение 10 дней с даты получения такого запроса.

Осуществлять взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности.
При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", Общество обязано обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе.

Выполнять иные обязанности, предусмотренные законодательством Российской Федерации.

Права Общества:
Получать от субъекта персональных данных достоверные информацию и/или документы, содержащие персональные данные.

В случае отзыва субъектом персональных данных согласия на обработку персональных данных, а также, направления обращения с требованием о прекращении их обработки, Общество вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе.

Отказать субъекту персональных данных в предоставлении сведений об обработке его персональных данных в случаях, предусмотренных Законом.

Поручить обработку персональных данных субъектов персональных данных третьим лицам при наличии соответствующих правовых оснований и соблюдении требований Закона.
Осуществлять передачу персональных данных субъектов персональных данных третьим лицам, государственным органам, муниципальным органам власти, государственным учреждениям, государственным внебюджетным фондам, иным лицам, если это предусмотрено действующим законодательством (налоговые, правоохранительные органы и др.) или имеется согласие субъекта на такую передачу.

Обрабатывать персональные данные субъектов персональных данных в отсутствие согласия на обработку персональных данных в случаях, предусмотренных Законом.
Отстаивать свои интересы в суде.

Самостоятельно, с учетом требований Закона, определять перечень необходимых правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления персональных данных, а также от иных неправомерных действий в отношении персональных данных.

Реализовывать иные права, предусмотренные законодательством Российской Федерации.

1.12. Обработка персональных данных, разрешенных субъектом персональных данных для распространения

Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Общество обязано обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

В случае раскрытия персональных данных неопределенному кругу лиц самим субъектом персональных данных без предоставления Обществу согласия, предусмотренного Законом, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.

Действие согласия субъекта персональных данных на обработку персональных данных, разрешенных субъектом для распространения, прекращается с момента поступления Обществу требования о прекращении распространения, оформленное согласно требованиям Закона.

1.13. Трансграничная передача персональных данных

Общество до начала осуществления деятельности по трансграничной передаче персональных данных обязано уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных.
Указанное уведомление направляется отдельно от уведомления о намерении осуществлять обработку персональных данных, предусмотренного Законом.

Общество до подачи вышеуказанного уведомления, обязано получить от органов власти иностранного государства, иностранных физических лиц, иностранных юридических лиц, которым планируется трансграничная передача персональных данных, соответствующие сведения.

1.14. Взаимодействие с федеральными органами исполнительной власти
Взаимодействие с федеральными органами исполнительной власти по вопросам обработки и защиты персональных данных субъектов, персональные данные которых обрабатываются Обществом, осуществляется в рамках законодательства Российской Федерации.

2. СУБЪЕКТЫ И КАТЕГОРИИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Субъекты персональных данных
Обществом (оператором персональных данных) осуществляется обработка персональных данных следующих категорий субъектов персональных данных:

1. Работники - физические лица, вступившие в трудовые отношения с Обществом.
2. Ближайшие родственники работника.
3. Соискатели - физические лица, претендующие на вакантное место в организации.
4. Пациенты (физические лица).
5. Пациенты- законные представители несовершеннолетних (лиц, не достигших 18 лет), недееспособных лиц.
6. Контрагенты - юридические и физические лица.
7. Посетители официального сайта Общества.

2.2. Категории персональных данных
В Обществе осуществляется обработка следующих категорий персональных данных:
1. Данные Работников, уволенных работников, родственников работников:
Категория обрабатываемых данных: иные
Состав: ФИО, предыдущие ФИО, пол, паспортные данные (серия, номер, кем и когда выдан, регистрация), дата и место рождения, адрес проживания, телефон, электронная почта, трудовая деятельность (стаж работы, сведения о приеме, переводах, увольнения), трудовой договор, доп. соглашения, должность, структурное подразделение, профессия, образование (диплом, сертификаты, свидетельства, аккредитации), сведения об отпусках, больничные листы, медкнижки, ИНН, СНИЛС, банковские реквизиты, размер оклада, премия, удержания, НДФЛ, данные воинского учета, гражданство, реквизиты актов гражданского состояния, сведения о семейном положении, составе семьи, сведения об инвалидности, сведения о наличии судимостей.
Основания обработки: Согласие субъекта персональных данных на обработку его персональных данных в Обществе; для достижения целей, предусмотренных законодательством Российской Федерации, для осуществления Обществом возложенных на него законодательством Российской Федерации, а также уставом Общества функций, полномочий и обязанностей;
Тип обработки: смешанная, с использованием средств автоматизации и без использования таких средств.
Действия: сбор, запись, систематизация, накопление, уточнение (обновление, изменение), извлечение, использование, хранение, блокирование, удаление, уничтожение;

Срок обработки: 75 лет для документов по личному составу, исполненных до 01.01.2003, 50 лет для документов, исполненных после 01.01.2003; до отзыва согласия на обработку персональных данных.

2. Данные Соискателей:

Категория обрабатываемых данных: иные
Состав: ФИО, возраст, пол, дата рождения, место рождения, телефон, семейное положение, сведения об образовании, адрес электронной почты, гражданство, профессия, должность, сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации), отношение к воинской обязанности, сведения о воинском учете
Срок обработки: до отзыва согласия на обработку персональных данных, но не более 30 дней;
Основания обработки: Согласие субъекта персональных данных на обработку его персональных данных в Обществе;
Тип обработки: смешанная, с использованием средств автоматизации и без использования таких средств.
Действия: сбор, запись, систематизация, накопление, уточнение (обновление, изменение), извлечение, использование, хранение, блокирование, удаление, уничтожение;

3. Данные Пациентов, Пациентов- законных представителей несовершеннолетних (лиц, не достигших 18 лет), недееспособных лиц:

Категории обрабатываемых: иные; специальные
Состав: ФИО, паспортные данные (серия, номер, кем и когда выдан, регистрация), пол, дата и место рождения, адрес регистрации и проживания, полис ДМС (номер, срок действия, название страховой компании), СНИЛС, телефон, электронная почта, контакты, документы, подтверждающие представительство (свидетельство о рождении, решение суда).
Обработка персональных данных несовершеннолетних пациентов (лиц, не достигших 18 лет), недееспособных лиц осуществляется только на основании письменного согласия их законного представителя (родителя, усыновителя, опекуна).
При сборе согласия у законного представителя сотрудник Общества, в чти обязанности это входит, обязан: удостовериться в личности представителя (проверить паспорт); проверить документ, подтверждающий полномочия (свидетельство о рождении, решение суда об опеке/попечительстве); предоставить представителю полную информацию о целях и условиях обработки персональных данных ребенка в доступной форме. Обработка персональных данных несовершеннолетних без верифицированного согласия законного представителя запрещена.
Медицинские данные: жалобы и анамнез, результаты осмотров, данные обследований (инструментальная диагностика, рентген, МРТ, КТ), диагнозы, результаты анализов, выполненное лечение, история болезни, дата приема.
Основания обработки: согласие субъекта персональных данных на обработку его персональных данных в Обществе; для достижения целей, предусмотренных законодательством Российской Федерации; для исполнения договора, стороной которого является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;  обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно.
Тип обработки: смешанная, с использованием средств автоматизации и без использования таких средств.
Перечень действий: сбор, запись, систематизация, накопление, уточнение (обновление, изменение), извлечение, использование, хранение, блокирование, удаление, уничтожение;
Срок обработки: до достижения цели обработки; до отзыва согласия на обработку персональных данных.

4. Данные Контрагентов:
Категория обрабатываемых данных: иные
Состав: ФИО, паспортные данные (серия, номер, кем и когда выдан, регистрация), ИНН, адрес проживания, телефон, электронная почта, реквизиты банковские, реквизиты свидетельства о регистрации ИП/самозанятого, данные по договору- предмет договора, финансовые условия, отчетные документы.
Основания обработки: согласие субъекта персональных данных на обработку его персональных данных в Обществе;  для достижения целей, предусмотренных законодательством Российской Федерации, для осуществления Обществом возложенных на него законодательством Российской Федерации; для исполнения договора, стороной которого является субъект персональных данных.
Тип обработки: смешанная, с использованием средств автоматизации и без использования таких средств.
Действия: сбор, запись, систематизация, накопление, уточнение (обновление, изменение), извлечение, использование, хранение, блокирование, удаление, уничтожение;
Срок обработки: до достижения цели обработки; до отзыва согласия на обработку персональных данных.

5.Данные Пользователей официального сайта ООО «Корона Дентал»:
Категория обрабатываемых данных: иные
Состав: имя, телефон, адрес электронной почты, выбор врача или услуги, кукис файлы, IP-адреса, данные устройства, страницы посещения, время на сайте, источник перехода, иные сведения, которые по собственной воле представлены пользователем официального сайта ООО «Корона Дентал» в информационно-телекоммуникационной сети «Интернет».
Основания обработки: Согласие субъекта персональных данных на обработку его персональных данных в Обществе.
Тип обработки: с использованием средств автоматизации.
Перечень действий: сбор, запись, систематизация, накопление, уточнение (обновление, изменение), извлечение, использование, хранение, блокирование, удаление, уничтожение.
Срок обработки: до достижения цели обработки; до отзыва согласия на обработку персональных данных.
Запрещается получать, обрабатывать персональные данные субъектов касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.

3. МЕРОПРИЯТИЯ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Общие положения
Организация работ по обеспечению безопасности персональных данных осуществляется руководством Общества.

Для разработки и осуществления мероприятий по обеспечению безопасности персональных данных при их обработке в информационных системах Общества, приказом генерального директора назначаются ответственные за обеспечение безопасности персональных данных.
Лица, доступ которых к персональным данным, обрабатываемым в информационных системах, необходим для выполнения служебных (трудовых) обязанностей, допускаются к соответствующим персональным данным на основании утвержденного списка.

Ознакомление работников Общества, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику Общества в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных.

Осуществление внутреннего контроля соответствия обработки персональных данных Обществом Закону, требованиям к защите персональных данных.

Оценка вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных, который может быть причинен субъектам персональных данных в случае нарушения Закона, соотношение указанного вреда и принимаемых Обществом мер.

3.2. Мероприятия по обеспечению безопасности персональных данных при автоматизированной обработке

3.2.1. Система защиты персональных данных
Безопасность персональных данных при их обработке обеспечивается с помощью системы защиты персональных данных, включающей правовые, организационные меры и технические средства защиты персональных данных, средства предотвращения несанкционированного доступа и неправомерных действий в отношении персональных данных, а также используемые в информационной системе информационные технологии.

При обработке персональных данных Общества должно быть обеспечено:

• проведение мероприятий, направленных на предотвращение несанкционированного доступа к персональным данным и (или) передачи их лицам, не имеющим права доступа к такой информации;
• своевременное обнаружение фактов несанкционированного доступа к персональным данным;
• недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;
• установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных
• обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
• возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• постоянный контроль над обеспечением уровня защищенности персональных данных.

3.2.2. Перечень мероприятий по обеспечению безопасности персональных данных
Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах включают в себя:

• определение угроз безопасности персональных данных при их обработке, формирование на их основе модели угроз;
• оценку эффективности и проверку готовности средств защиты информации к использованию с составлением заключений о возможности их эксплуатации;
• применением для уничтожения персональных данных, прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, в составе которых реализована функция уничтожения информации;
• обучение лиц, использующих средства защиты информации, применяемые в информационных системах, правилам работы с ними;
• учет применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных;
• учет лиц, допущенных к работе с персональными данными в информационной системе;
• контроль над соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;
• разбирательство и составление заключений по фактам несоблюдения условий хранения носителей персональных данных, использования средств защиты информации, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений.

3.2.3. Помещения, в которых ведется обработка персональных данных
Размещение информационных систем, специальное оборудование и охрана помещений, в которых ведется работа с персональными данными, организация режима обеспечения безопасности в этих помещениях обеспечивают сохранность носителей персональных данных и средств защиты информации, а также исключают возможность неконтролируемого проникновения или пребывания в этих помещениях посторонних лиц.

3.3. Мероприятия по обеспечению безопасности персональных данных при их обработке без использования средств автоматизации
Обработка персональных данных, осуществляемая без использования средств автоматизации, осуществляется таким образом, чтобы в отношении каждой категории персональных данных определены места хранения персональных данных (материальных носителей) и установлен перечень лиц, осуществляющих обработку персональных данных, либо имеющих к ним доступ.

В Обществе обеспечивается раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.

При хранении материальных носителей соблюдаются условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.

Лица, осуществляющие обработку персональных данных без использования средств автоматизации проинформированы о факте обработки ими персональных данных, обработка которых осуществляется без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки.

3.4. Контроль и надзор за выполнением требований Политики обработки персональных данных ООО «КОРОНА ДЕНТАЛ»
Контроль и надзор за выполнением требований настоящей Политики осуществляется в соответствии с «Планом внутренних проверок состояния защиты персональных данных».
Контроль заключается в проверке выполнения требований нормативных документов по защите информации, а также в оценке обоснованности и эффективности принятых мер. Проводится ответственным лицом за обеспечение безопасности персональных данных, или на договорной основе сторонними организациями, имеющими лицензии на деятельность по технической защите конфиденциальной информации.

Общество обязано разместить в доступном месте документ, определяющий его Политику в отношении обработки персональных данных, а также опубликовать данные документы на страницах принадлежащего Обществу сайта в информационно-телекоммуникационной сети "Интернет".

3.5. Ответственность за нарушение требований настоящей Политики
Лица, виновные в нарушении требований настоящей Политики, несут гражданскую, уголовную, административную, дисциплинарную и иную ответственность, предусмотренную законодательством Российской Федерации.

4. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

Настоящая Политика подлежит пересмотру и актуализации один раз в пять лет, либо в следующих случаях:
1) Изменение законодательства РФ в области персональных данных и здравоохранения.
2) Изменение структуры, процессов или используемых ИТ-систем Оператора, влияющих на обработку персональных данных.
3) Выявление несоответствий в ходе внутренних аудитов или проверок РКН.
4) Поступление обоснованных обращений от субъектов персональных данных.
Все изменения Политики утверждаются приказом генерального директора.
В случае существенных изменений (касающихся прав субъектов), информация об этом размещается на сайте не менее чем за 10 дней до их вступления в силу.

Актуальная версия Политики всегда доступна на официальном сайте Общества: koronadental.ru, а также в бумажном виде в регистратурах подразделений в уголке потребителя.

Субъекты персональных данных, чьи персональные данные обрабатываются Обществом, могут получить разъяснения по вопросам обработки своих персональных данных, а также реализовать свои права и законные интересы, направив соответствующее письменное обращение по юридическому адресу: 350061, Краснодарский край, Краснодар г, им. Игнатова ул, дом № 4, строение Литер А1, оф.8, 10

Обращение от субъекта персональных данных или его представителя должно содержать сведения, позволяющие идентифицировать субъекта персональных данных и его представителя (в случае наличия), а также сведения, позволяющие установить характер отношений с Обществом, в частности: фамилию, имя, отчество субъекта персональных данных или его представителя, серию, номер документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, подпись субъекта персональных данных или его представителя, в случае, если обращение направлено представителем субъекта персональных данных, оно должно содержать копию документа, подтверждающего полномочия такого представителя.