УТВЕРЖДЕНА

приказом генерального директора

ООО «ЦСМ №1»

от «01» сентября 2026 г.

№ б/н

ПОЛИТИКА

в отношении обработки персональных данных в ООО «ЦСМ №1»

1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет политику Общества с ограниченной ответственностью «Центр современной медицины №1» (далее — Оператор, Клиника) в отношении обработки персональных данных и издана во исполнение пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ).
1.2. Сведения об Операторе:
Показатель
Значение
Полное наименование
Общество с ограниченной ответственностью «Центр современной медицины №1»
ОГРН
1247700588519
ИНН
9714057979
КПП
771401001
Адрес
127220, г. Москва, ул. 2-я Квесисская, д. 25, помещ. 5/1
Адрес электронной почты
info@yniclinic.ru
Сайты Оператора
uzunyandental.ru
Лицензия на осуществление медицинской деятельности
№ Л041-01137-77/02032600, дата предоставления 26.03.2025, Департамент здравоохранения города Москвы
Ответственный за организацию обработки персональных данных
генеральный директор Амбарцумян Вардгес Епремович, адрес электронной почты info@yniclinic.ru, телефон +7 (926) 677-48-04
1.3. Политика действует в отношении всех персональных данных, которые Оператор обрабатывает как с использованием средств автоматизации, так и без их использования, в том числе в отношении персональных данных, получаемых через сайты Оператора.
1.4. Действующая редакция Политики размещается в свободном доступе на сайтах Оператора и предоставляется по требованию любого лица. Обязанность обеспечить неограниченный доступ к Политике установлена частью 2 статьи 18.1 Закона № 152-ФЗ. Политика размещается также на каждой интернет-странице сайтов Оператора, посредством которой осуществляется сбор персональных данных.
1.5. Политика подлежит пересмотру не реже одного раза в год, а также при каждом изменении состава обрабатываемых персональных данных, целей обработки, перечня лиц, которым персональные данные передаются, используемых информационных систем и применимого законодательства.

2. Термины
2.1. Термины «персональные данные», «оператор», «обработка персональных данных», «автоматизированная обработка», «распространение персональных данных», «предоставление персональных данных», «блокирование персональных данных», «уничтожение персональных данных», «обезличивание персональных данных», «информационная система персональных данных», «персональные данные, разрешённые субъектом персональных данных для распространения» используются в значениях, определённых статьёй 3 Закона № 152-ФЗ.
2.2. Специальные категории персональных данных — персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (часть 1 статьи 10 Закона № 152-ФЗ).
2.3. Врачебная тайна — сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении (часть 1 статьи 13 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», далее — Закон № 323-ФЗ).
2.4. Пользователь — физическое лицо, использующее сайты Оператора.
2.5. Пациент — физическое лицо, которому Оператор оказывает или оказывал медицинские услуги либо которое обратилось за их оказанием.
3. Правовые основания обработки персональных данных
3.1. Настоящая Политика разработана, и обработка персональных данных осуществляется Оператором с учётом требований:

• Конституции Российской Федерации;
• Закона № 152-ФЗ;
• Закона № 323-ФЗ, в том числе статей 13, 20, 22, 79, 91;
• Гражданского кодекса Российской Федерации;
• Трудового кодекса Российской Федерации, в том числе главы 14;
• Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»;
• Правил предоставления медицинскими организациями платных медицинских услуг, утверждённых постановлением Правительства Российской Федерации от 30.05.2026 № 659
• Постановления Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Постановления Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Приказа ФСТЭК России от 18.02.2013 № 21;
• Приказов Роскомнадзора от 24.02.2021 № 18, от 27.10.2022 № 178, от 28.10.2022 № 179, от 28.10.2022 № 180, от 14.11.2022 № 187;
• уставных документов Оператора, договоров с субъектами персональных данных и согласий субъектов персональных данных;
• иных нормативных правовых актов Российской Федерации, регулирующих обработку персональных данных и охрану здоровья граждан.

3.2. Обработка персональных данных осуществляется при наличии хотя бы одного из условий, предусмотренных частью 1 статьи 6 Закона № 152-ФЗ, а обработка специальных категорий персональных данных — при наличии хотя бы одного из условий, предусмотренных частями 2 и 2.1 статьи 10 Закона № 152-ФЗ. Настоящий раздел не рассматривает Закон № 152-ФЗ и принятые в соответствии с ним подзаконные акты как самостоятельное правовое основание обработки: правовыми основаниями обработки являются согласие субъекта персональных данных, договор об оказании медицинских услуг, а также иные условия, предусмотренные статьями 6, 10 и 11 Закона № 152-ФЗ и федеральными законами.
4. Принципы обработки персональных данных
4.1. Оператор обрабатывает персональные данные на законной и справедливой основе.
4.2. Обработка ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора.
4.3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
4.4. Обрабатываются только те персональные данные, которые отвечают целям обработки. Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки; избыточные по отношению к целям персональные данные не обрабатываются.
4.5. Оператор обеспечивает точность персональных данных, их достаточность и, в необходимых случаях, актуальность по отношению к целям обработки, принимает необходимые меры по удалению или уточнению неполных или неточных данных.
4.6. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом, договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.
4.7. Обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
4.8. Оператор руководствуется принципом минимизации: через формы на сайтах собирается минимально необходимый объём персональных данных, достаточный для обработки соответствующего обращения.
5. Категории субъектов персональных данных
5.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• пациенты и лица, обратившиеся за оказанием медицинских услуг, включая лиц, направивших заявку через сайт;
• законные представители пациентов и иные представители пациентов;
• лица, указанные пациентом в качестве лиц, которым может быть передана информация о состоянии его здоровья;
• посетители сайтов Оператора;
• лица, направившие обращение, отзыв, жалобу или иное сообщение;
• лица, оформившие подписку на информационные и (или) рекламные сообщения;
• работники Оператора, соискатели, лица, состоящие с Оператором в гражданско-правовых отношениях, представители контрагентов (обработка этих данных настоящей Политикой охватывается, но осуществляется не через сайт).

6. Цели обработки, состав персональных данных, правовые основания и сроки
6.1. Персональные данные, получаемые через сайты Оператора:
№
Форма / источник
Состав персональных данных
Цель обработки
Правовое основание
Срок обработки
1
Форма записи на приём
фамилия, имя, отчество; номер телефона; адрес электронной почты; желаемая дата и время приёма; сведения, добровольно сообщённые в поле «комментарий»
запись на приём; подтверждение, перенос, отмена записи; информирование о подготовке к приёму; обеспечение оказания медицинских услуг
пункт 5 части 1 статьи 6 Закона № 152-ФЗ (заключение договора по инициативе субъекта персональных данных и исполнение договора); в части сведений, относящихся к состоянию здоровья, — пункт 4 части 2 статьи 10 Закона № 152-ФЗ либо письменное согласие субъекта (пункт 1 части 2 статьи 10 Закона № 152-ФЗ)
до достижения цели обработки, а при заключении договора на оказание медицинских услуг — в течение сроков хранения медицинской документации, установленных законодательством Российской Федерации
2
Форма заказа обратного звонка
имя; номер телефона
связь с посетителем сайта и консультирование по вопросам оказания медицинских услуг
пункт 1 части 1 статьи 6 Закона № 152-ФЗ (согласие субъекта персональных данных)
до достижения цели обработки, но не более 3 месяцев со дня получения обращения, либо до отзыва согласия
3
Форма обратной связи (обращения, отзывы)
имя; номер телефона и (или) адрес электронной почты; текст обращения
рассмотрение обращения; предоставление ответа; повышение качества обслуживания
пункт 1 части 1 статьи 6 Закона № 152-ФЗ (согласие субъекта персональных данных)
до достижения цели обработки, но не более 12 месяцев со дня получения обращения, либо до отзыва согласия
4
Публикация отзыва на сайте
имя (либо иное обозначение, выбранное субъектом); текст отзыва; иные данные, прямо разрешённые субъектом для распространения
размещение отзыва в открытом доступе на сайте Оператора
статья 10.1 Закона № 152-ФЗ — отдельное согласие на обработку персональных данных, разрешённых субъектом персональных данных для распространения
до прекращения размещения отзыва, но не позднее момента поступления требования субъекта о прекращении распространения
5
Подписка на информационные и рекламные сообщения
имя; номер телефона и (или) адрес электронной почты; канал доставки, выбранный субъектом
направление информационных сообщений о деятельности Клиники; направление рекламных сообщений (акции, специальные предложения, скидки)
пункт 1 части 1 статьи 6 Закона № 152-ФЗ (отдельное согласие); в части рекламных сообщений, распространяемых по сетям электросвязи, — также согласие, предусмотренное статьёй 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»
до отзыва согласия либо до отказа от получения сообщений
6
Технические данные, формируемые при посещении сайта
IP-адрес; файлы cookie и хранящиеся в них идентификаторы; сведения о браузере, устройстве и операционной системе; сведения о просмотренных страницах; продолжительность посещения; источник перехода; данные, формируемые сервисами веб-аналитики
обеспечение корректной работы сайта и безопасности; анализ посещаемости; улучшение пользовательского опыта; оценка эффективности сайта и рекламных кампаний
в части данных, технически необходимых для функционирования и безопасности сайта, — пункт 7 части 1 статьи 6 Закона № 152-ФЗ (осуществление прав и законных интересов Оператора); в части аналитических и рекламных идентификаторов — пункт 1 части 1 статьи 6 Закона № 152-ФЗ (согласие, выражаемое через баннер об использовании файлов cookie)
срок хранения соответствующего файла cookie, указанный в Политике использования файлов cookie, но не более 12 месяцев
6.2. Персональные данные, получаемые вне сайта (при обращении в Клинику, при заключении и исполнении договора на оказание платных медицинских услуг, в рамках трудовых и гражданско-правовых отношений), обрабатываются в целях и на основаниях, установленных Законом № 323-ФЗ, Трудовым кодексом Российской Федерации, Правилами предоставления медицинскими организациями платных медицинских услуг и иными нормативными правовыми актами, а также заключёнными договорами и полученными согласиями.
6.3. Оператор не осуществляет обработку персональных данных в целях принятия решений исключительно на основании автоматизированной обработки персональных данных, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы (статья 16 Закона № 152-ФЗ).
6.4. Оператор не осуществляет обработку биометрических персональных данных, если такая обработка не предусмотрена отдельным письменным согласием субъекта персональных данных, оформленным в соответствии со статьёй 11 Закона № 152-ФЗ. Предоставление биометрических персональных данных не может быть обязательным; Оператор не вправе отказывать в обслуживании в случае отказа субъекта персональных данных предоставить биометрические персональные данные и (или) дать согласие на их обработку, если получение согласия не является обязательным в силу федерального закона (часть 3 статьи 11 Закона № 152-ФЗ).
6.5. Персональные данные несовершеннолетних пациентов обрабатываются Оператором с согласия их законных представителей. Информированное добровольное согласие на медицинское вмешательство в отношении несовершеннолетнего, не достигшего возраста пятнадцати лет (по общему правилу), даёт один из родителей или иной законный представитель (часть 2 статьи 20, часть 2 статьи 54 Закона № 323-ФЗ). Сведения, составляющие врачебную тайну, предоставляются законному представителю несовершеннолетнего в порядке, установленном Законом № 323-ФЗ. Оператор обрабатывает персональные данные законного представителя в объёме, необходимом для подтверждения его полномочий и для оказания медицинской помощи несовершеннолетнему.
7. Специальные категории персональных данных и врачебная тайна
7.1. Оператор является медицинской организацией и в силу характера деятельности обрабатывает специальные категории персональных данных, касающиеся состояния здоровья (часть 1 статьи 10 Закона № 152-ФЗ).
7.2. К специальным категориям персональных данных Оператор относит, в частности:

• сведения о жалобах, симптомах и состоянии здоровья;
• сведения об установленном диагнозе;
• сведения о проведённых обследованиях, вмешательствах, лечении и его результатах;
• сведения о назначенных лекарственных препаратах и медицинских изделиях;
• результаты лабораторных, инструментальных и рентгенологических исследований;
• сведения о наличии противопоказаний, аллергических реакций, непереносимости;
• любые иные сведения о состоянии здоровья, включая сведения, добровольно сообщённые субъектом персональных данных через формы на сайте.

7.3. Обработка специальных категорий персональных данных осуществляется Оператором на основании пункта 4 части 2 статьи 10 Закона № 152-ФЗ — в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг, при условии что обработка осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну, либо на основании письменного согласия субъекта персональных данных (пункт 1 части 2 статьи 10 Закона № 152-ФЗ).
7.4. Сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну (часть 1 статьи 13 Закона № 323-ФЗ). Оператор исходит из того, что врачебную тайну составляет только свершившийся факт непосредственного обращения лица в Клинику за оказанием медицинской помощи, факт направления форм через сайт, к врачебной тайне не относится.
7.5. Оператор обеспечивает, чтобы все работники, а также лица, привлекаемые Оператором по договорам и получающие доступ к сведениям, составляющим врачебную тайну, были письменно уведомлены о режиме врачебной тайны и приняли обязательство о её неразглашении.
7.6. Оператор не размещает и не допускает размещения на сайтах сведений, позволяющих идентифицировать пациента в связи с обращением за медицинской помощью, состоянием здоровья или диагнозом, без письменного согласия пациента, оформленного в соответствии с частью 3 статьи 13 Закона № 323-ФЗ, и без согласия на обработку персональных данных, разрешённых субъектом персональных данных для распространения (статья 10.1 Закона № 152-ФЗ). Данное правило распространяется в том числе на фотографии «до и после», видеоотзывы, клинические примеры и публикации в социальных сетях.
7.9. Оператор не собирает через формы сайта сведения о состоянии здоровья в объёме большем, чем необходимо для записи на приём. Поле «Комментарий» в форме записи на приём сопровождается предупреждением о том, что указывать сведения о состоянии здоровья и диагнозах не требуется.
8. Порядок и условия обработки персональных данных
8.1. Обработка персональных данных осуществляется путём совершения любых действий (операций) или совокупности действий (операций), включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.
8.2. Обработка осуществляется как с использованием средств автоматизации, так и без их использования. Обработка персональных данных, осуществляемая без использования средств автоматизации, производится с учётом требований Положения, утверждённого постановлением Правительства Российской Федерации от 15.09.2008 № 687.
8.3. Оператор использует следующие информационные системы персональных данных: медицинская информационная система, система управления взаимоотношениями с клиентами (CRM), система управления сайтом, корпоративная электронная почта, средства телефонии, средства направления сообщений. Актуальный перечень информационных систем персональных данных и их характеристики определяются локальным актом Оператора.
8.4. Поручение обработки персональных данных. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (часть 3 статьи 6 Закона № 152-ФЗ). В таком договоре в обязательном порядке определяются перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку по поручению Оператора, цели обработки, устанавливается обязанность такого лица соблюдать конфиденциальность персональных данных, обеспечивать их безопасность, а также требования к защите обрабатываемых персональных данных в соответствии со статьёй 19 Закона № 152-ФЗ. Ответственность перед субъектом персональных данных за действия указанного лица несёт Оператор. Привлечение лицом, которому поручена обработка персональных данных, третьих лиц к обработке персональных данных допускается только в случае, если это предусмотрено поручением Оператора и согласием субъекта персональных данных.
8.5. Категории лиц, которым Оператор может поручать обработку персональных данных, полученных через сайты:

• организация, осуществляющая хостинг сайтов;
• организация, предоставляющая систему управления взаимоотношениями с клиентами (CRM) и (или) сервис коллтрекинга;
• организация, предоставляющая систему управления сайтом;
• организация, предоставляющая сервис веб-аналитики;
• организация, предоставляющая сервис корпоративной электронной почты;
• организация или индивидуальный предприниматель, осуществляющие техническую поддержку сайтов;
• организация или индивидуальный предприниматель, осуществляющие продвижение сайтов и интернет-маркетинг;
• организация или индивидуальный предприниматель, осуществляющие направление сообщений по сетям электросвязи;
• поставщик и (или) обслуживающая организация медицинской информационной системы.

Наименования и адреса конкретных лиц, которым поручена обработка персональных данных, приводятся в Приложении № 1 к настоящей Политике и актуализируются Оператором при изменении состава таких лиц.
8.6. Оператор не поручает обработку персональных данных, составляющих врачебную тайну, лицам, не обязанным сохранять врачебную тайну, без письменного согласия субъекта персональных данных, полученного в соответствии с частью 3 статьи 13 Закона № 323-ФЗ.
8.7. Предоставление персональных данных третьим лицам без согласия субъекта осуществляется Оператором только в случаях, прямо предусмотренных федеральным законом, в том числе в случаях, установленных частью 4 статьи 13 Закона № 323-ФЗ, а также по запросам органов, уполномоченных требовать такие сведения в силу закона, в объёме, соответствующем предмету запроса.
8.8. Локализация баз данных. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации осуществляются Оператором с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ).
8.9. Трансграничная передача персональных данных. Оператор не осуществляет трансграничную передачу персональных данных. В случае возникновения необходимости в такой передаче Оператор до начала осуществления соответствующей деятельности уведомляет уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять трансграничную передачу персональных данных; такое уведомление направляется отдельно от уведомления, предусмотренного статьёй 22 Закона № 152-ФЗ (части 3 и 4 статьи 12 Закона № 152-ФЗ). До направления уведомления Оператор получает от получателей персональных данных сведения, предусмотренные частью 5 статьи 12 Закона № 152-ФЗ.
8.10. Оператор не использует для взаимодействия с субъектами персональных данных и для передачи персональных данных сервисы обмена сообщениями и иные информационные сервисы, использование которых приводит к записи, хранению или извлечению персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, либо к трансграничной передаче персональных данных, без соблюдения требований статей 12 и 18 Закона № 152-ФЗ.
9. Файлы cookie и веб-аналитика
9.1. На сайтах Оператора используются файлы cookie и аналогичные технологии, а также сервисы веб-аналитики. Порядок их использования, назначение отдельных категорий файлов cookie, обрабатываемые сведения, сроки хранения и способы отказа определены настоящим разделом Политики. Отдельный документ о порядке использования файлов cookie Оператором не издаётся.
9.2. Файлы cookie, необходимые для функционирования сайта и обеспечения его безопасности, используются на основании пункта 7 части 1 статьи 6 Закона № 152-ФЗ. Аналитические и рекламные файлы cookie используются на основании согласия Пользователя, выражаемого посредством баннера об использовании файлов cookie.
9.3. Пользователь вправе в любое время отказаться от использования аналитических и рекламных файлов cookie путём изменения настроек в баннере об использовании файлов cookie, а также путём настройки браузера. Отказ от использования файлов cookie не влечёт отказа в записи на приём и в оказании медицинских услуг.
9.4. Файл cookie — небольшой текстовой файл, который сохраняется в браузере пользователя при посещении сайта и может считываться при последующих посещениях. Наряду с файлами cookie на сайтах Оператора могут использоваться аналогичные технологии: локальное хранилище браузера, пиксели (веб-маяки), скрипты систем веб-аналитики.
9.5. При использовании файлов cookie и аналогичных технологий обрабатываются:

• идентификатор, присваиваемый браузеру пользователя;
• IP-адрес;
• тип и версия браузера, тип устройства, операционная система, разрешение экрана, язык;
• дата и время посещения, просмотренные страницы, длительность просмотра, последовательность переходов;
• источник перехода на Сайт (в том числе адрес страницы, с которой осуществлён переход, параметры рекламной кампании);
• совершённые на Сайте действия (нажатия на кнопки, отправка форм).

9.6. Оператор исходит из того, что совокупность указанных в пункте 9.5 сведений может позволить определить пользователя, и обрабатывает их как персональные данные с соблюдением требований Закона № 152-ФЗ.
9.7. Оператор не использует файлы cookie и системы веб-аналитики для сбора и обработки сведений о состоянии здоровья пользователя.
9.8. Категории файлов cookie, назначение, правовые основания и необходимость получения согласия:
Категория
Назначение
Правовое основание
Требуется ли согласие
Технически необходимые
обеспечение работоспособности Сайта, сохранение сессии, работа форм, защита от автоматизированных запросов, сохранение выбора пользователя в отношении файлов cookie
пункт 7 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ (обработка необходима для осуществления прав и законных интересов оператора при условии, что при этом не нарушаются права и свободы субъекта персональных данных)
не требуется, отключение невозможно
Аналитические
оценка посещаемости Сайта, анализ поведения пользователей, улучшение структуры и содержания Сайта
согласие пользователя (статья 9 Федерального закона от 27.07.2006 № 152-ФЗ)
требуется
Рекламные (маркетинговые)
оценка эффективности рекламных кампаний, показ рекламы Клиники на иных ресурсах
согласие пользователя (статья 9 Федерального закона от 27.07.2006 № 152-ФЗ)
требуется


9.9. Сервисы, используемые на сайтах Оператора:
Сервис
Кто предоставляет
Назначение
Категория
Яндекс Метрика
ООО «Яндекс»
веб-аналитика
аналитические
Битрикс 24
ООО «1С-Битрикс»
учёт обращений, определение источника обращения
аналитические / рекламные
Calltouch
ООО «Колтач Солюшнс»
коллтрекинг, отслеживание источников обращений и звонков, аналитика эффективности рекламы
аналитические / рекламные
UIS


ООО «НОВОСИСТЕМ»
телефония, обработка звонков и обращений, обратный звонок и коммуникация с пользователями
функциональные
YCLIENTS
ООО «Уайклаентс»
онлайн-запись на приём, обработка заявок и данных, необходимых для записи
аналитические / рекламные
9.10. Перечень, приведённый в пункте 9.9, подлежит актуализации при подключении и отключении сервисов. Не допускается размещение на сайтах Оператора скриптов сторонних сервисов без внесения их в указанный перечень.
9.11. Сроки хранения. Технически необходимые файлы cookie хранятся в течение сессии либо не более 12 месяцев. Аналитические и рекламные файлы cookie хранятся не более 24 месяцев, если пользователь ранее не отозвал согласие.
9.12. Пользователь может изменить или отозвать своё согласие в отношении аналитических и рекламных файлов cookie в любое время посредством раздела «Настройки cookie», доступного по адресу указать адрес страницы «Настройки cookie».
9.13. Пользователь может самостоятельно настроить или запретить использование файлов cookie в настройках своего браузера, а также удалить сохранённые файлы cookie. Порядок настройки зависит от используемого браузера и приведён в его документации.
9.14. Отключение технически необходимых файлов cookie может привести к невозможности использования отдельных функций сайтов Оператора, в том числе форм записи на приём.
9.15. Отзыв согласия в отношении аналитических и рекламных файлов cookie не влияет на возможность использования сайтов Оператора и на возможность записи на приём.
9.16. Изменения в порядок использования файлов cookie вносятся путём утверждения новой редакции настоящей Политики в порядке, предусмотренном разделом 16 Политики.
9.17. Вопросы, связанные с использованием файлов cookie, направляются по адресу электронной почты info@yniclinic.ru.
9.18. На сайтах Оператора используется баннер об использовании файлов cookie, позволяющий пользователю согласиться на использование аналитических и рекламных файлов cookie, отказаться от их использования либо настроить их по категориям. Аналитические и рекламные файлы cookie устанавливаются только после получения согласия пользователя.
9.19. Оператор не использует сервисы веб-аналитики и иные сервисы, предполагающие передачу персональных данных на территорию иностранных государств, без выполнения требований статьи 12 и части 5 статьи 18 Закона № 152-ФЗ.
10. Меры по обеспечению безопасности персональных данных
10.1. Оператор принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами. Состав и перечень таких мер определяются Оператором самостоятельно (статья 18.1 Закона № 152-ФЗ). К таким мерам, в частности, относятся:

• назначение ответственного за организацию обработки персональных данных;
• издание документов, определяющих политику Оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
• применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со статьёй 19 Закона № 152-ФЗ;
• осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных Закону № 152-ФЗ и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, настоящей Политике и локальным актам Оператора;
• оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона № 152-ФЗ, соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных Законом № 152-ФЗ. Оценка вреда проводится с учётом Требований, утверждённых приказом Роскомнадзора от 27.10.2022 № 178;
• ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, документами, определяющими политику Оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников.

10.2. Обеспечение безопасности персональных данных достигается, в частности:

• определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищённости персональных данных;
• применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
• применением для уничтожения персональных данных прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, в составе которых реализована функция уничтожения информации;
• оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных, а в дальнейшем — не реже одного раза в 3 года (пункт 6 требований, утверждённых приказом ФСТЭК России от 18.02.2013 № 21); контролем за выполнением требований к защите персональных данных не реже 1 раза в 3 года (пункт 17 требований, утверждённых постановлением Правительства Российской Федерации от 01.11.2012 № 1119);
• учётом машинных носителей персональных данных;
• обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по восстановлению персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учёта всех действий, совершаемых с персональными данными в информационной системе персональных данных;
• контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищённости информационных систем персональных данных.

10.3. Уровень защищённости персональных данных при их обработке в информационных системах персональных данных Оператора определяется в соответствии с требованиями, утверждёнными постановлением Правительства Российской Федерации от 01.11.2012 № 1119, и фиксируется актом определения уровня защищённости. Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных определяются в соответствии с приказом ФСТЭК России от 18.02.2013 № 21.
10.4. Оператор ведёт учёт лиц, допущенных к обработке персональных данных, устанавливает разграничение прав доступа в информационных системах персональных данных по принципу минимально необходимых полномочий и обеспечивает регистрацию действий пользователей.
10.5. Сведения о реализуемых требованиях к защите персональных данных. Настоящий подраздел публикуется в составе Политики во исполнение части 2 статьи 18.1 Закона № 152-ФЗ. Отдельный документ «Сведения о реализуемых требованиях к защите персональных данных» Оператором не издаётся.
10.6. Организационные меры, реализованные Оператором:
10.6.1. Назначен ответственный за организацию обработки персональных данных; определены его полномочия и порядок взаимодействия с субъектами персональных данных и уполномоченным органом.
10.6.2. Утверждены и введены в действие:

• Политика в отношении обработки персональных данных;
• Положение об обработке и защите персональных данных;
• перечень персональных данных, обрабатываемых Оператором, и перечень информационных систем персональных данных;
• перечень должностей работников, допущенных к обработке персональных данных, и перечень должностей, ответственных за эксплуатацию информационных систем персональных данных;
• правила осуществления внутреннего контроля соответствия обработки персональных данных требованиям законодательства;
• порядок рассмотрения обращений и запросов субъектов персональных данных;
• порядок реагирования на инциденты в области персональных данных, включая порядок уведомления уполномоченного органа в сроки, установленные частью 3.1 статьи 21 Закона № 152-ФЗ;
• порядок уничтожения персональных данных и подтверждения их уничтожения;
• приказ о назначении должностного лица, ответственного за обеспечение безопасности персональных данных в информационной системе персональных данных (пункт 14 требований, утверждённых постановлением Правительства Российской Федерации от 01.11.2012 № 1119). Это отдельное лицо и отдельная функция по отношению к ответственному за организацию обработки персональных данных (статья 22.1 Закона № 152-ФЗ);
• типовые формы согласий на обработку персональных данных;
• типовая форма обязательства о неразглашении персональных данных и сведений, составляющих врачебную тайну.

10.6.3. Проведена оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона № 152-ФЗ, с учётом Требований, утверждённых приказом Роскомнадзора от 27.10.2022 № 178. Результаты оценки соотнесены с принимаемыми мерами по обеспечению безопасности.
10.6.4. Определён уровень защищённости персональных данных при их обработке в информационных системах персональных данных в соответствии с требованиями, утверждёнными постановлением Правительства Российской Федерации от 01.11.2012 № 1119. Оператор учитывает, что обрабатывает специальные категории персональных данных, касающиеся состояния здоровья.
10.6.5. Определены актуальные угрозы безопасности персональных данных при их обработке в информационных системах персональных данных Оператора; результаты оформлены моделью угроз.
10.6.6. Работники, непосредственно осуществляющие обработку персональных данных, ознакомлены с положениями законодательства Российской Федерации о персональных данных, требованиями к защите персональных данных, Политикой и локальными актами Оператора; проводится их периодическое обучение.
10.6.7. Со всеми лицами, которым поручена обработка персональных данных, заключены договоры, содержащие условия, предусмотренные частью 3 статьи 6 Закона № 152-ФЗ, включая обязанность соблюдать конфиденциальность персональных данных, обеспечивать их безопасность и соблюдать требования к защите персональных данных, установленные статьёй 19 Закона № 152-ФЗ.
10.6.8. Установлен режим врачебной тайны: со всеми работниками и привлекаемыми лицами, получающими доступ к сведениям, составляющим врачебную тайну, оформлены обязательства о её неразглашении с учётом статьи 13 Федерального закона от 21.11.2011 № 323-ФЗ.
10.6.9. Обеспечен контролируемый доступ в помещения, в которых обрабатываются персональные данные, и сохранность материальных носителей персональных данных; ведётся учёт машинных носителей персональных данных.
10.6.10. Обработка персональных данных без использования средств автоматизации осуществляется с учётом требований Положения, утверждённого постановлением Правительства Российской Федерации от 15.09.2008 № 687.
10.7. Технические меры. Применяются организационные и технические меры по обеспечению безопасности персональных данных, необходимые для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищённости персональных данных. Состав и содержание мер определены в соответствии с приказом ФСТЭК России от 18.02.2013 № 21. Реализованы, в частности:

• идентификация и аутентификация пользователей информационных систем персональных данных, парольная политика;
• управление доступом по принципу минимально необходимых полномочий, разграничение прав доступа;
• регистрация и учёт действий пользователей в информационных системах персональных данных, ведение журналов событий безопасности;
• антивирусная защита;
• защита от несанкционированного доступа, межсетевое экранирование;
• защита каналов передачи данных, использование протокола HTTPS на сайтах Оператора;
• резервное копирование персональных данных и восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
• обнаружение фактов несанкционированного доступа к персональным данным и реагирование на них;
• применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
• применение для уничтожения персональных данных прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, в составе которых реализована функция уничтожения информации;
• контроль за принимаемыми мерами и уровнем защищённости информационных систем персональных данных;
• оценка эффективности принимаемых мер до ввода информационной системы персональных данных в эксплуатацию и в дальнейшем не реже одного раза в 3 года; контроль за выполнением требований к защите персональных данных не реже 1 раза в 3 года.

10.8. Локализация баз данных. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются Оператором с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ). Трансграничная передача персональных данных Оператором не осуществляется.
11. Права субъектов персональных данных и порядок их реализации
11.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей подтверждение факта обработки персональных данных Оператором, правовые основания и цели обработки, применяемые Оператором способы обработки, наименование и место нахождения Оператора, сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные, перечень обрабатываемых персональных данных и источник их получения, сроки обработки, в том числе сроки хранения, порядок осуществления субъектом персональных данных прав, предусмотренных Законом № 152-ФЗ, сведения об осуществлённой или предполагаемой трансграничной передаче данных, наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора (часть 7 статьи 14 Закона № 152-ФЗ).
11.2. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путём осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только при условии предварительного согласия субъекта персональных данных; Оператор обязан немедленно прекратить такую обработку по требованию субъекта персональных данных (части 1 и 2 статьи 15 Закона № 152-ФЗ).
11.3. Обращение или запрос направляются Оператору по адресу электронной почты info@yniclinic.ru или по адресу 127220, г. Москва, ул. 2-я Квесисская, д. 25, помещ. 5/1. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
11.4. Сведения, указанные в части 7 статьи 14 Закона № 152-ФЗ, предоставляются субъекту персональных данных или его представителю в течение десяти рабочих дней с момента обращения либо получения Оператором запроса. Указанный срок может быть продлён, но не более чем на пять рабочих дней, в случае направления Оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
11.5. В случае отказа в предоставлении информации Оператор даёт в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 Закона № 152-ФЗ или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий десяти рабочих дней со дня обращения либо с даты получения запроса, с возможностью продления срока не более чем на пять рабочих дней.
11.6. Оператор предоставляет безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, Оператор вносит в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Оператор уничтожает такие персональные данные. Оператор уведомляет субъекта персональных данных или его представителя о внесённых изменениях и предпринятых мерах и принимает разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.
11.7. Ознакомление пациента либо его законного представителя с медицинской документацией, отражающей состояние здоровья пациента, осуществляется в порядке, установленном приказом Министерства здравоохранения Российской Федерации от 12.11.2021 № 1050н, с учётом статьи 22 Закона № 323-ФЗ.
11.8. Субъект персональных данных вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций) или в судебном порядке (статья 17 Закона № 152-ФЗ).
12. Отзыв согласия на обработку персональных данных
12.1. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных в любое время.
12.2. Отзыв согласия оформляется в виде заявления в свободной форме, содержащего сведения, позволяющие идентифицировать субъекта персональных данных и установить, какое именно согласие отзывается, и направляется Оператору по адресу электронной почты info@yniclinic.ru или по адресу 127220, г. Москва, ул. 2-я Квесисская, д. 25, помещ. 5/1. Отзыв согласия на получение рекламных сообщений может быть заявлен также по телефону Клиники или способом, указанным в самом сообщении.
12.3. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор прекращает обработку персональных данных и, если сохранение персональных данных более не требуется для целей обработки, уничтожает персональные данные или обеспечивает их уничтожение в срок, не превышающий тридцати дней с даты поступления отзыва, если иное не предусмотрено договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом № 152-ФЗ или иными федеральными законами.
12.4. Отзыв согласия не влечёт прекращения обработки персональных данных, осуществляемой Оператором на иных законных основаниях, в том числе в целях исполнения договора на оказание медицинских услуг, исполнения обязанностей, возложенных на медицинскую организацию законодательством Российской Федерации, а также в целях хранения медицинской документации в течение установленных сроков.
12.5. Отзыв согласия на обработку персональных данных, разрешённых субъектом персональных данных для распространения, а также требование о прекращении передачи (распространения, предоставления, доступа) таких персональных данных рассматриваются Оператором в порядке, установленном статьёй 10.1 Закона № 152-ФЗ.
13. Прекращение обработки и уничтожение персональных данных
13.1. В случае выявления неправомерной обработки персональных данных, осуществляемой Оператором или лицом, действующим по поручению Оператора, Оператор в срок, не превышающий трёх рабочих дней с даты этого выявления, прекращает неправомерную обработку персональных данных или обеспечивает её прекращение. В случае, если обеспечить правомерность обработки персональных данных невозможно, Оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки уничтожает такие персональные данные или обеспечивает их уничтожение.
13.2. В случае достижения цели обработки персональных данных Оператор прекращает обработку персональных данных и уничтожает персональные данные или обеспечивает их уничтожение в срок, не превышающий тридцати дней с даты достижения цели обработки, если иное не предусмотрено договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом № 152-ФЗ или иными федеральными законами.
13.3. Уничтожение персональных данных подтверждается Оператором в соответствии с Требованиями к подтверждению уничтожения персональных данных, утверждёнными приказом Роскомнадзора от 28.10.2022 № 179. Акт об уничтожении персональных данных и выгрузка из журнала регистрации событий в информационной системе персональных данных хранятся Оператором в течение 3 лет с момента уничтожения персональных данных (пункт 8 указанных Требований).
13.4. Сроки хранения медицинской документации и содержащихся в ней персональных данных определяются законодательством Российской Федерации и не могут быть сокращены отзывом согласия субъекта персональных данных.
14. Реагирование на инциденты в области персональных данных
14.1. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор с момента выявления такого инцидента Оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомляет уполномоченный орган по защите прав субъектов персональных данных:
в течение двадцати четырёх часов — о произошедшем инциденте, о предполагаемых причинах, повлёкших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесённом правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
в течение семидесяти двух часов — о результатах внутреннего расследования выявленного инцидента, а также предоставляет сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
14.2. Взаимодействие Оператора с уполномоченным органом по защите прав субъектов персональных данных в рамках ведения реестра учёта инцидентов в области персональных данных осуществляется в порядке и на условиях, установленных приказом Роскомнадзора от 14.11.2022 № 187.
14.3. Оператор ведёт внутренний учёт инцидентов в области персональных данных и результатов их расследования.
15. Уведомление уполномоченного органа
15.1. Оператор до начала обработки персональных данных уведомляет уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять обработку персональных данных (часть 1 статьи 22 Закона № 152-ФЗ). Уведомление подаётся по форме, утверждённой приказом Роскомнадзора от 28.10.2022 № 180.
15.2. При изменении сведений, содержащихся в уведомлении, а также при прекращении обработки персональных данных Оператор направляет уполномоченному органу соответствующее уведомление по формам, утверждённым тем же приказом.
16. Заключительные положения
16.1. Настоящая Политика вступает в силу с даты её утверждения и действует бессрочно до замены её новой редакцией.
16.2. Изменения в Политику вносятся приказом генерального директора Оператора. Новая редакция Политики размещается на сайтах Оператора не позднее дня, следующего за днём её утверждения.
16.3. Лица, виновные в нарушении требований законодательства Российской Федерации о персональных данных и требований настоящей Политики, несут ответственность, предусмотренную законодательством Российской Федерации.

 
Приложение № 1 к Политике
Перечень лиц,
 осуществляющих обработку персональных данных по поручению Оператора
№
Наименование / ФИО
ИНН
Адрес
Обрабатываемые персональные данные
Совершаемые действия
Цель обработки
1
ООО «1С-Битрикс»
7717586110
109544, г. Москва, б-р Энтузиастов, д. 2, 13 эт., пом. 8–19
ФИО, номер телефона, адрес электронной почты, сведения об обращениях и коммуникациях
сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление доступа, блокирование, удаление, уничтожение
ведение клиентской базы (CRM), обработка обращений и заявок, организация взаимодействия с пациентами
2
ООО «Колтач Солюшнс»
7703388936
127018, г. Москва, вн.тер.г. муниципальный округ Бутырский, ул. Складочная, д. 1, стр. 9, помещ. 3/1
ФИО (при наличии), номер телефона, сведения об обращении, данные о звонках, технические данные пользователя сайта
сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление доступа, удаление, уничтожение
коллтрекинг, аналитика обращений и звонков, оценка эффективности рекламных каналов
3
ООО «НОВОСИСТЕМ»
7710311878
117638, г. Москва, ул. Одесская, д. 2, К/Э/П С/17/21Н
ФИО (при наличии), номер телефона, сведения о телефонных соединениях, аудиозаписи разговоров
сбор, запись, систематизация, накопление, хранение, извлечение, использование, предоставление доступа, удаление, уничтожение
обеспечение телефонной связи, запись и обработка звонков, контроль качества обслуживания
4
ООО «УАЙКЛАЕНТС»
7708274185
117105, г. Москва, Варшавское шоссе, д. 9, стр. 1
ФИО, номер телефона, адрес электронной почты, дата рождения (если вносится), сведения о записи на услуги и посещениях
сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление доступа, удаление, уничтожение
ведение электронной записи и клиентской базы, организация записи и обслуживания пациентов
5
ЧУП по оказаию услуг «Сеолоджик»
191787875
220036, г. Минск, ул. К. Либкнехта, д.66, оф. 503
ФИО, номер телефона, адрес электронной почты, сведения об обращении / заявке, данные об источнике обращения — при наличии доступа подрядчика к этим данным
получение, систематизация, использование, анализ, предоставление доступа, удаление, уничтожение
продвижение услуг, обработка и аналитика обращений, оценка эффективности рекламных кампаний