Политика в отношении обработки персональных данных

Настоящая Политика определяет порядок обработки и защиты персональных данных в сервисе медотчёт.рф оператором — Общество с ограниченной ответственностью «Квалификация Кадров» (ОГРН 1237700421221, ИНН 9709095337, 119021, г. Москва, муниципальный округ Хамовники, бульвар Зубовский, д. 21-23, стр. 1; далее — «Оператор»), и подлежит размещению в открытом доступе на сайте.

1. Общие положения

1.1. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет принципы, цели, состав и порядок обработки персональных данных.

1.2. Используя Сервис, субъект персональных данных подтверждает ознакомление с настоящей Политикой.

2. Категории субъектов и обрабатываемые данные

2.1. Пользователи Сервиса. Данные, предоставляемые при регистрации и использовании Сервиса: фамилия, имя, отчество; наименование организации (при наличии); контактные данные (адрес электронной почты, телефон); сведения об оплате. При подключении приёма платежей платёжные данные обрабатываются платёжным провайдером; карточные данные Оператором не хранятся.

2.2. Медицинские работники, сведения о которых вносятся в Сервис. Пользователь может вносить сведения как о себе (если он сам является медицинским работником), так и о другом лице — работнике организации- пользователя либо лице, обратившемся в неё за услугой. Обрабатываются: фамилия, имя, отчество; сведения об образовании (вид документа, специальность, квалификация, даты, регистрационные номера и номера бланков, наименование образовательной организации); сведения о профессиональной деятельности (наименования работодателей, должности, структурные подразделения, периоды работы); сведения об аккредитации и сертификации.

2.3. Загружаемые файлы не сохраняются. Документ обрабатывается в оперативной памяти для распознавания и после этого не сохраняется: файл на серверах Оператора не остаётся ни в каком виде. Сохраняются только сведения, указанные в п. 2.2, — до автоматического удаления в порядке п. 5.4.

2.4. Технические данные. Для обеспечения безопасности обработки Оператор ведёт журнал операций, в котором фиксируются IP-адрес, дата и время, вид действия и его результат. Журнал не содержит сведений, указанных в п. 2.2, и ведётся отдельно от них.

2.5. Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные. Паспортные данные и страховой номер индивидуального лицевого счёта (СНИЛС) Сервисом не запрашиваются.

2.6. Если сведения, вносимые пользователем, относятся к другому лицу, ответственность за правомерность их внесения и получение необходимых согласий субъектов несёт пользователь.

3. Цели обработки

3.1. В отношении данных пользователей (п. 2.1): регистрация и идентификация, предоставление доступа к функционалу Сервиса, оказание услуг и приём оплаты, связь с пользователем и поддержка.

3.2. В отношении сведений о медицинских работниках (п. 2.2): подготовка проектов документов для прохождения периодической аккредитации — распознавание сведений из документов, расчёт стажа, сверка должности и специальности с приказами Министерства здравоохранения Российской Федерации, формирование отчёта о профессиональной деятельности, заявления и портфолио.

3.3. В отношении технических данных (п. 2.4): обеспечение безопасности обработки и возможность установить факт и обстоятельства операций с персональными данными, исполнение требований законодательства.

4. Правовые основания обработки

4.1. Согласие субъекта на обработку персональных данных; заключение и исполнение договора (пользовательского соглашения); требования законодательства Российской Федерации.

5. Порядок и условия обработки

5.1. Обработка осуществляется на территории Российской Федерации с использованием средств автоматизации. Базы данных размещаются на территории РФ (ч. 5 ст. 18 Закона № 152-ФЗ).

5.2. Оператор осуществляет следующие действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), блокирование, удаление, уничтожение.

5.3. Оператор вправе поручать обработку иным лицам (обработчикам) с согласия субъекта и при условии соблюдения ими требований Закона № 152-ФЗ. Для распознавания рукописных записей может привлекаться поставщик облачного сервиса, размещённого на территории РФ (в частности, Yandex Cloud / Yandex Vision OCR); при этом передаётся фрагмент изображения с отдельным полем документа, не содержащий фамилии, имени и отчества. При подключении приёма платежей привлекается платёжный провайдер. Размещение серверов обеспечивает российский хостинг-провайдер. Передача персональных данных третьим лицам осуществляется Оператором исключительно в целях обеспечения функционирования Сервиса и повышения качества предоставляемых услуг.

5.4. Сроки хранения персональных данных. Загружаемые файлы не сохраняются (п. 2.3). Сведения, указанные в п. 2.2, удаляются автоматически по истечении 7 дней с даты последнего обращения к ним — вместе со всем комплектом, без отдельного запроса. Данные пользователя (п. 2.1) обрабатываются в течение срока действия учётной записи и удаляются при её удалении либо при отзыве согласия. Записи журнала операций (п. 2.4) хранятся не менее шести месяцев и сохраняются после удаления комплекта — они не содержат сведений о медицинских работниках и нужны для подтверждения правомерности действий.

5.5. Оператор не осуществляет трансграничную передачу персональных данных.

5.6. Обработка персональных данных субъектов, указанных в п. 2.1 — Пользователи Сервиса, — осуществляется Оператором с согласия субъекта персональных данных. Персональные данные, указанные в п. 2.2, обрабатываются в соответствии с договором поручения, заключённым между Оператором и организацией-пользователем.

5.7. ООО «Квалификация Кадров», осуществляющее обработку персональных данных по поручению организации-пользователя, не обязано получать согласие субъекта персональных данных на обработку его персональных данных. Ответственность перед субъектом персональных данных за действия лица, осуществляющего обработку персональных данных, несёт организация-пользователь.

5.8. До начала регистрации на Сервисе организация-пользователь должна реализовать меры по получению отдельного согласия от привлечённого ею субъекта персональных данных на передачу его персональных данных лицу, осуществляющему обработку персональных данных по поручению оператора, которым в данном случае является организация-пользователь.

5.9. Оператор не осуществляет проверку достоверности предоставляемых персональных данных и наличия у организации-пользователя необходимого согласия на их обработку в соответствии с настоящей Политикой, полагая, что организация-пользователь действует добросовестно, осмотрительно и прилагает все необходимые усилия к поддержанию персональных данных в актуальном состоянии и получению всех необходимых согласий субъектов персональных данных.

6. Права субъекта персональных данных

6.1. Субъект вправе: получать информацию об обработке своих данных; требовать их уточнения, блокирования или удаления; отозвать согласие на обработку в любой момент; обжаловать действия Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд.

6.2. Обращение направляется на адрес zakaz@k-kadrov.ru и должно содержать сведения, позволяющие установить личность обратившегося и подтвердить его отношение к запрашиваемым данным. Оператор рассматривает обращение и даёт ответ в течение 30 дней с даты его получения.

6.3. Если сведения о медицинском работнике внесены организацией-пользователем, обращение может быть направлено также ей — как лицу, по поручению которого обрабатываются такие сведения; Оператор при необходимости содействует в исполнении требования.

7. Меры защиты

7.1. Оператор принимает правовые, организационные и технические меры защиты персональных данных в соответствии со ст. 18.1 и 19 Закона № 152-ФЗ. Фактически применяются:

— передача данных между пользователем и Сервисом по защищённому протоколу HTTPS (TLS);
— доступ к Сервису по паролю с разграничением прав; данные каждого кабинета изолированы на уровне системы управления базой данных, доступ к чужим комплектам технически невозможен;
— минимизация: паспортные данные и СНИЛС не запрашиваются, загружаемые файлы не сохраняются, сведения автоматически удаляются в срок по п. 5.3;
— журналирование операций с персональными данными (п. 2.4);
— размещение серверов и баз данных на территории Российской Федерации;
— межсетевое экранирование сервера и ограничение сетевого доступа к базе данных.

7.2. Определение уровня защищённости персональных данных (постановление Правительства РФ от 01.11.2012 № 1119) и разработка модели угроз проводятся в порядке, установленном Оператором.

8. Заключительные положения

8.1. Оператор вправе изменять Политику; актуальная редакция размещается на сайте. По вопросам обработки данных: zakaz@k-kadrov.ru.