1.

Общие положения

1.1.

Настоящая Политика ТОО «Стоматология» в отношении сбора, обработки и защиты персональных данных определяет порядок обработки персональных данных, получаемых через сайт Оператора, формы обратной связи, формы записи, телефонные обращения, электронную почту, мессенджеры и иные каналы коммуникации, указанные на сайте.

1.2.

Оператором, а также собственником и оператором базы, содержащей персональные данные, является:

• ТОО «Стоматология»
• БИН ############
• Адрес: Республика Казахстан, город ######, улица ######, дом ##
• Контактный телефон: +7 999 999-99-99
• Адрес электронной почты для обращений по вопросам персональных данных: clinic@yandex.ru

1.3.

Политика распространяется на пользователей сайта, лиц, направляющих обращения и заявки, клиентов, потенциальных клиентов, а при использовании сайта для записи на медицинские услуги — также на пациентов и их законных представителей.

1.4.

Политика подлежит размещению в открытом доступе на сайте Оператора и применяется ко всем персональным данным, которые Оператор получает и обрабатывает в связи с функционированием сайта и оказанием соответствующих услуг.

1.5.

Отдельные согласия на сбор и обработку персональных данных, на рекламные рассылки, на обработку персональных медицинских данных и иные документы, если они используются Оператором, дополняют настоящую Политику и применяются в части, не противоречащей законодательству Республики Казахстан.

2.

Основные понятия, используемые в Политике

2.1.

Персональные данные — сведения, относящиеся к определённому или определяемому на их основании субъекту, зафиксированные на электронном, бумажном и (или) ином материальном носителе;

2.2.

Субъект персональных данных — физическое лицо, к которому относятся персональные данные;

2.3.

Собственник и (или) оператор — лицо, которому принадлежат, которым используются и распоряжаются базы, содержащие персональные данные, и которое организует сбор, обработку и защиту персональных данных;

2.4.

Третье лицо — лицо, которому Оператор правомерно предоставляет доступ к персональным данным либо поручает отдельные действия по их обработке в пределах закона и договора;

2.5.

Сбор, обработка, защита персональных данных — действия, связанные с получением, накоплением, хранением, изменением, дополнением, использованием, распространением, обезличиванием, блокированием и уничтожением персональных данных;

2.6.

Персональные данные ограниченного доступа — персональные данные, доступ к которым ограничен законодательством Республики Казахстан;

2.7.

Общедоступные персональные данные — данные, доступ к которым является свободным с согласия субъекта;

2.8.

Трансграничная передача персональных данных — передача персональных данных на территорию иностранных государств;

2.9.

Обезличивание — действия, в результате которых становится невозможным определить принадлежность данных конкретному субъекту без использования дополнительной информации;

2.10.

Уничтожение — действия, в результате которых персональные данные не подлежат дальнейшему восстановлению и использованию.пользователи Сайтов,

3.

Основные права и обязанности Оператора

3.1.

Оператор имеет право:

• осуществлять сбор и обработку персональных данных в порядке, установленном законодательством Республики Казахстан;
• запрашивать у субъекта достоверные и актуальные сведения, необходимые для достижения заявленных целей обработки;
• передавать персональные данные третьим лицам в случаях, предусмотренных законодательством, договором с субъектом либо согласием субъекта;
• продолжать обработку персональных данных после отзыва согласия в случаях, когда это прямо допускается законодательством Республики Казахстан либо связано с неисполненным обязательством субъекта;
• использовать обезличенные данные для статистики, аналитики и улучшения качества сервиса, если это допускается законодательством.

3.2.

Оператор обязан:

• утвердить перечень персональных данных, необходимый и достаточный для выполнения осуществляемых им задач;
• принимать и соблюдать правовые, организационные и технические меры по защите персональных данных;
• соблюдать законодательство Республики Казахстан о персональных данных и их защите;
• иметь доказательства получения согласия субъекта в случаях, когда обработка осуществляется на основании согласия;
• сообщать субъекту запрашиваемую информацию о нём в течение трёх рабочих дней со дня получения обращения либо в тот же срок давать мотивированный отказ, если предоставление сведений ограничено законом;
• в течение одного рабочего дня изменять, дополнять, блокировать или уничтожать персональные данные в случаях, прямо установленных законом и подтверждённых соответствующими документами;
• назначить лицо, ответственное за организацию обработки персональных данных, если Оператор является юридическим лицом;
• в установленном порядке уведомлять уполномоченный орган о нарушении безопасности персональных данных;
• утвердить документы, определяющие политику и процедуры Оператора в отношении сбора, обработки и защиты персональных данных, и вести учёт срока действия согласий, передачи третьим лицам, наличия или отсутствия трансграничной передачи и распространения в общедоступных источниках.

4.

Основные права и обязанности субъектов персональных данных

4.1.

Субъекты персональных данных имеют право:

• знать о наличии у Оператора своих персональных данных и получать информацию, содержащую подтверждение факта, цели, источников, способов сбора и обработки, перечень персональных данных, а также сроки обработки и хранения;
• требовать изменения и дополнения своих персональных данных при наличии подтверждающих документов;
• требовать блокирования своих персональных данных при наличии информации о нарушении условий их сбора или обработки;
• требовать уничтожения своих персональных данных, если их сбор и обработка произведены с нарушением законодательства Республики Казахстан либо если такие данные более не нужны для заявленных целей;
• отозвать согласие на сбор и обработку персональных данных, кроме случаев, когда отзыв невозможен по закону или при наличии неисполненного обязательства;
• дать согласие или отказать в распространении своих персональных данных в общедоступных источниках;
• защищать свои права и законные интересы, в том числе требовать возмещения материального и морального вреда, а также обращаться в уполномоченный орган и в суд.

4.2.

Субъект обязан предоставлять Оператору достоверные персональные данные и своевременно сообщать об их изменении, если такие изменения имеют значение для заявленных целей обработки.

5.

Правовые основания обработки персональных данных

5.1.

Правовыми основаниями обработки персональных данных являются:

• Конституция Республики Казахстан;
• Закон Республики Казахстан «О персональных данных и их защите»;
• Закон Республики Казахстан «Об информатизации»;
• Закон Республики Казахстан «Об электронном документе и электронной цифровой подписи»;
• иные нормативные правовые акты Республики Казахстан, применимые к деятельности Оператора;
• договоры, заключаемые между Оператором и субъектом персональных данных;
• согласие субъекта персональных данных;
• при медицинском профиле сайта — Кодекс Республики Казахстан «О здоровье народа и системе здравоохранения» и подзаконные акты, регулирующие сбор, обработку, хранение, защиту и предоставление персональных медицинских данных. 

6.

Категории (перечни) обрабатываемых персональных данных Субъекта

6.1.

Оператор может обрабатывать следующие категории персональных данных:

• фамилия, имя, отчество;
• номер телефона;
• адрес электронной почты;
• сведения, содержащиеся в обращении, заявке, форме обратной связи, форме записи, анкете или квизе на сайте;
• сведения о выбранной услуге, дате и времени записи, предпочтительном способе связи;
• технические данные, автоматически передаваемые при использовании сайта, включая IP-адрес, cookie, сведения о браузере, устройстве, времени доступа, действиях на сайте;
• обезличенные данные веб-аналитики.

6.2.

Биометрические данные через сайт по общему правилу не собираются и не обрабатываются, если иное прямо не указано в отдельной форме, отдельном согласии и отдельной цели обработки.

6.3.

Персональные данные ограниченного доступа, включая сведения о состоянии здоровья, по общему правилу через публичные лид-формы сайта не запрашиваются. Если субъект самостоятельно и добровольно сообщает такие сведения при записи на медицинскую консультацию, в анкете или квизе, Оператор обрабатывает их только в минимально необходимом объёме для цели записи, маршрутизации обращения, подготовки к оказанию медицинской помощи и соблюдения применимых требований законодательства Республики Казахстан в сфере здравоохранения. Если сайт фактически не используется для медицинских услуг, положения настоящего абзаца не применяются. 

7.

Принципы обработки персональных данных

7.1.

Оператор обрабатывает персональные данные на основании следующих принципов:

• законности;
• соблюдения конституционных прав и свобод человека и гражданина;
• конфиденциальности персональных данных ограниченного доступа;
• ограничения обработки достижением конкретных, заранее определённых и законных целей;
• недопустимости обработки персональных данных, несовместимой с целями их сбора;
• недопустимости обработки избыточных персональных данных;
• точности, актуальности и достаточности персональных данных;
• обеспечения защиты персональных данных на всём протяжении их обработки;
• хранения в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки и требования законодательства. 

8.

Цели обработки персональных данных

8.1.

Оператор обрабатывает персональные данные для следующих целей:

• рассмотрение заявок, обращений и запросов субъекта;
• обратная связь с пользователем сайта, в том числе путём звонка, сообщения или электронного письма;
• предварительная запись на консультацию, приём, услугу или иное взаимодействие с Оператором;
• заключение, исполнение и прекращение договоров с субъектом;
• информирование о деятельности, услугах, стоимости, графике, специальных предложениях и организационных вопросах;
• обеспечение функционирования, безопасности и улучшения сайта;
• аналитика и статистика использования сайта в обезличенном или минимально необходимом объёме;
• исполнение обязанностей Оператора, предусмотренных законодательством Республики Казахстан;
• при наличии отдельного согласия — направление рекламных и информационных сообщений;
• при медицинском профиле сайта — обработка данных, необходимых для организации медицинской консультации, маршрутизации пациента, подготовки к оказанию медицинской помощи и сопровождения пациента в рамках разрешённых законом целей. 

9.

Порядок и условия обработки персональных данных

9.1.

Оператор осуществляет обработку персональных данных с использованием средств автоматизации, без использования таких средств либо смешанным способом.

9.2.

Обработка осуществляется с согласия субъекта либо без него только в случаях, прямо предусмотренных законодательством Республики Казахстан. Согласие может быть выражено письменно, в форме электронного документа либо иным способом, позволяющим подтвердить факт его получения, включая проставление отметки в веб-форме, нажатие кнопки подтверждения, ввод одноразового кода или иной защитный механизм, не противоречащий законодательству Республики Казахстан.

9.3.

К обработке допускаются только работники и лица, которым такой доступ необходим для исполнения их обязанностей. Передача третьим лицам допускается лишь в объёме и на условиях, необходимых для достижения заявленных целей, исполнения договора либо выполнения требований закона, при условии соблюдения конфиденциальности и мер защиты.

9.4.

Если Оператор взаимодействует с государственными информационными системами или получает персональные данные из таких систем в случаях, предусмотренных законодательством, соответствующая интеграция и механизмы согласия осуществляются по специальным правилам Республики Казахстан.

10.

10.1.

Хранение персональных данных в электронном виде осуществляется в базе, находящейся на территории Республики Казахстан. Если для работы сайта используются подрядчики, CRM, хостинг-провайдеры, средства телефонии, рассылок или аналитики, договоры с ними должны обеспечивать хранение и обработку персональных данных в соответствии с законодательством Республики Казахстан и настоящей Политикой.

10.2.

В целях защиты персональных данных Оператор применяет, в зависимости от характера данных и масштаба обработки, в том числе следующие меры:

• разграничение прав доступа;
• назначение ответственного лица;
• внутренние локальные документы по обработке и защите данных;
• журналирование и логирование действий пользователей и систем;
• применение антивирусной защиты, резервного копирования, контроля учётных записей и иных технических мер;
• применение средств криптографической защиты информации при хранении и передаче персональных данных ограниченного доступа;
• обучение работников и регулярную проверку соблюдения правил обработки.

10.3.

При нарушении безопасности персональных данных Оператор действует в соответствии с законодательством и установленными правилами уведомления, в том числе уведомляет уполномоченный орган в течение одного рабочего дня с момента обнаружения нарушения и далее исполняет требования по уведомлению субъектов.

10.4.

Срок хранения персональных данных определяется целью обработки и категорией данных. Если иной срок прямо не установлен законом или договором, Оператор применяет следующие сроки:

• данные заявок, обратной связи и записи, не перешедшие в договорные отношения, — не дольше [12 месяцев] с даты последнего взаимодействия;
• данные договоров, расчётов и связанных документов — в течение срока договора и далее в сроки, установленные законодательством Республики Казахстан;
• данные для рекламных и информационных рассылок — до отзыва согласия или окончания срока его действия;
• технические данные, cookie и аналитические идентификаторы — в течение срока, определяемого настройками браузера, настройками соответствующего сервиса или до их удаления субъектом, если иной срок не требуется для безопасности сайта.

10.5.

По достижении целей обработки, истечении срока хранения, прекращении правоотношений либо отзыве согласия, если отсутствуют иные законные основания для обработки, персональные данные подлежат блокированию, обезличиванию или уничтожению.

11.

Актуализация, исправление, удаление, уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным

11.1.

Субъект или его законный представитель вправе направить Оператору обращение, запрос, требование об уточнении, блокировании, удалении или уничтожении персональных данных в письменной форме, в форме электронного документа либо иным способом, позволяющим достоверно идентифицировать заявителя.

11.2.

Оператор предоставляет информацию, относящуюся к субъекту, в течение трёх рабочих дней со дня получения обращения, если иные сроки не установлены законодательством Республики Казахстан. В тот же срок Оператор направляет мотивированный отказ, если предоставление информации ограничено законом.

11.3.

При подтверждении неточности данных Оператор в течение одного рабочего дня изменяет и (или) дополняет их либо уничтожает данные, если корректировка невозможна. При подтверждении факта нарушения условий сбора или обработки Оператор в течение одного рабочего дня блокирует либо уничтожает такие данные в случаях, предусмотренных законом.

11.4.

Персональные данные, незаконно размещённые в общедоступных источниках, подлежат исключению из таких источников по требованию субъекта, решению суда или иного уполномоченного органа.