Политика обработки персональных данных

1Общие положения

Настоящая Политика обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые Оператором.

Политика действует в отношении всех персональных данных, которые Оператор получает от пользователей сайта progressus-dental.ru и связанных с ним сервисов (личный кабинет, запись на мероприятия, чат-бот, рассылки). Используя сайт и сервисы, пользователь подтверждает согласие с настоящей Политикой.

Обработка и хранение персональных данных осуществляются Оператором исключительно на территории Российской Федерации, с использованием баз данных, находящихся на территории Российской Федерации. Это требование установлено ч. 5 ст. 18 152-ФЗ и определяет как порядок обработки, так и выбор любых сторонних сервисов, привлекаемых для функционирования сайта (раздел 10).

2Основные понятия

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту). Обработка — любое действие с персональными данными. Субъект — физическое лицо, к которому относятся данные. Иные понятия используются в значениях, определённых 152-ФЗ.

3Правовые основания обработки

• согласие субъекта на обработку его персональных данных;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», в том числе ч. 5 ст. 18 (локализация баз данных на территории РФ) и ст. 12 (трансграничная передача);
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• исполнение договора/соглашения, стороной которого является субъект (оказание услуг тренинг-центра).

4Цели обработки

• регистрация и ведение учётной записи пользователя;
• запись на семинары, мастер-классы и иные мероприятия тренинг-центра, ведение листа ожидания;
• направление служебных и информационных уведомлений (о записи, мероприятиях, статусах заявок) по электронной почте, а также в мессенджер или социальную сеть — если пользователь добровольно привязал соответствующий аккаунт;
• обработка заявок (в т.ч. партнёрских и на университетский консилиум);
• приём оплат за услуги и товары;
• подтверждение статуса (студент, ординатор, сотрудник) для доступа к отдельным разделам;
• обеспечение безопасности (двухфакторная аутентификация, журналирование действий);
• улучшение качества сервиса.

5Категории субъектов

Пользователи и участники мероприятий: врачи, студенты, ординаторы, сотрудники, преподаватели, представители партнёров и кураторы.

6Категории обрабатываемых данных

• фамилия, имя, отчество;
• адрес электронной почты; номер телефона;
• организация / место обучения, ИНН организации (при указании);
• статус (студент / ординатор / сотрудник / врач), номер студенческого билета, кафедра;
• идентификатор и имя пользователя в мессенджере или социальной сети — при добровольной привязке аккаунта;
• сведения о записях на мероприятия, посещаемости и оплатах;
• документы, загружаемые для подтверждения статуса;
• технические данные: файлы cookie, IP-адрес, журналы действий в сервисе.

Специальные категории персональных данных и биометрические персональные данные Оператор не обрабатывает. В разделе «Университетский консилиум» клинические случаи описываются обезличенно — без сведений, позволяющих идентифицировать пациента.

7Перечень действий и способы обработки

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка ведётся как с использованием средств автоматизации, так и без них.

При работе модуля автоматизированной поддержки (ИИ-ассистента) текст обращения предварительно обезличивается: адреса электронной почты, номера телефонов и цифровые идентификаторы автоматически заменяются на условные метки до начала обработки. Модуль не получает доступ к учётной записи пользователя, не сохраняет содержимое обращения и не используется для принятия решений, порождающих юридические последствия для субъекта (ст. 16 152-ФЗ).

8Конфиденциальность

Оператор не раскрывает третьим лицам и не распространяет персональные данные без согласия субъекта, если иное не предусмотрено законом.

9Передача третьим лицам (поручение обработки)

Для функционирования сервиса отдельные действия с персональными данными в минимально необходимом объёме совершаются по поручению Оператора третьими лицами (ч. 3 ст. 6 152-ФЗ). Оператор поручает обработку исключительно лицам, которые зарегистрированы в Российской Федерации и обрабатывают персональные данные с использованием баз данных, расположенных на территории РФ. Поручение оформляется договором, обязывающим привлечённое лицо соблюдать конфиденциальность и требования ст. 19 152-ФЗ к безопасности данных. Согласие субъекта на передачу данных таким лицам не требуется, ответственность перед субъектом несёт Оператор.

Хостинг-провайдер

размещение сервиса и серверное хранение баз данных; центры обработки данных расположены на территории РФ

Сервис отправки писем — UniSender

доставка служебных уведомлений на адрес электронной почты (подтверждение записи, электронный билет, доступ в личный кабинет, сведения об оплате) и ведение списка рассылки; передаются адрес электронной почты и имя получателя, а также содержание письма

Платёжный сервис — Robokassa

приём и проведение онлайн-платежей, формирование кассового чека; передаются адрес электронной почты плательщика, сумма, номер и состав заказа. Реквизиты банковской карты вводятся на стороне платёжного сервиса и Оператору не передаются

Справочный сервис проверки организаций — DaData

сверка сведений о юридическом лице по ИНН или наименованию; запрос направляется через сервер Оператора и содержит только реквизиты организации, персональные данные физических лиц в нём не передаются

Мессенджер, социальная сеть

доставка уведомлений, авторизация и подтверждение номера телефона — исключительно при добровольной привязке аккаунта самим пользователем

Названные сервисы зарегистрированы в Российской Федерации и обрабатывают данные с использованием баз данных, расположенных на территории РФ. Перечень привлекаемых лиц может изменяться; условием привлечения во всех случаях остаётся размещение баз данных на территории РФ (раздел 10). Актуальные сведения о лицах, которым поручена обработка, — включая наименование и место нахождения хостинг-провайдера, — предоставляются субъекту по запросу на адрес, указанный в разделе 17.

10Место обработки и хранения. Выбор сторонних сервисов

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации, в том числе полученных через сеть «Интернет», осуществляются Оператором исключительно с использованием баз данных, находящихся на территории Российской Федерации. Это прямое требование ч. 5 ст. 18 152-ФЗ, введённой Федеральным законом от 21.07.2014 № 242-ФЗ и действующей с 1 сентября 2015 года.

Выбор сторонних сервисов. Названное требование является для Оператора императивным и определяет выбор любого стороннего сервиса, привлекаемого для функционирования сайта, — хостинга, сервиса отправки писем, платёжного и справочных сервисов. Сервис, не обеспечивающий размещение баз данных на территории РФ, к обработке персональных данных не привлекается независимо от его технических или коммерческих преимуществ. Условие о локализации баз данных и о соблюдении конфиденциальности включается в договор с каждым таким лицом. Нарушение этого порядка влечёт ограничение доступа к информационному ресурсу в порядке ст. 15.5 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

Трансграничная передача. Оператор не осуществляет трансграничную передачу персональных данных в значении ст. 12 152-ФЗ: персональные данные не передаются органам власти иностранных государств, иностранным физическим и иностранным юридическим лицам. Уведомление о намерении осуществлять трансграничную передачу в Роскомнадзор Оператором не подавалось, поскольку такая передача не производится.

Если пользователь по собственной инициативе привязывает аккаунт стороннего мессенджера или социальной сети либо переходит по размещённой на сайте ссылке в такой сервис, его взаимодействие с этим сервисом происходит в рамках отношений пользователя с владельцем сервиса. Владелец сервиса выступает самостоятельным оператором и обрабатывает данные на условиях собственной политики; Оператор не размещает и не хранит персональные данные в таких сервисах.

11Сроки обработки и хранения

Персональные данные обрабатываются до достижения целей обработки либо до отзыва согласия субъектом. По достижении целей или по истечении установленного срока данные подлежат удалению или обезличиванию, если иное не предусмотрено законом.

12Права субъекта персональных данных

Субъект вправе: получать сведения об обработке своих данных; требовать уточнения, блокирования или удаления данных, если они неполны, устарели, получены незаконно или не нужны для заявленной цели; отозвать согласие; обжаловать действия Оператора в уполномоченный орган (Роскомнадзор) или в суд.

13Отзыв согласия

Согласие может быть отозвано направлением запроса на адрес progressus.1med@mail.ru. После отзыва Оператор прекращает обработку, за исключением случаев, когда обработка необходима в силу закона. Отписаться от email-рассылок можно по ссылке в письме.

14Файлы cookie и аналогичные технологии

Сайт использует файлы cookie:

• строго необходимые (сессионные) — для авторизации, поддержания сессии и защиты от межсайтовых атак; без них личный кабинет не работает;
• функциональные — сохранение пользовательских настроек (например, светлая/тёмная тема оформления) в локальном хранилище браузера.

Сторонние рекламные и аналитические трекеры на сайте не используются. Продолжая использование сайта, пользователь соглашается с применением необходимых cookie; управлять файлами cookie можно в настройках браузера, однако отключение части из них может ограничить работу сервиса.

15Меры защиты

Оператор принимает организационные и технические меры защиты: разграничение доступа, журналирование действий, шифрование чувствительных данных и секретов, двухфакторную аутентификацию, передачу данных по защищённому протоколу HTTPS.

16Изменения Политики

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция всегда доступна на данной странице.

17Контакты

По вопросам обработки персональных данных: progressus.1med@mail.ru, 197022, г. Санкт-Петербург, Петроградская наб., д. 44.