Согласие посетителя сайта assy-rb.ru на обработку персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее – Политика) определяет порядок и условия обработки персональных данных в акционерном обществе «Санаторий Ассы» (далее – Оператор, Общество), цели и правовые основания обработки персональных данных, права субъектов персональных данных, а также реализуемые требования к защите персональных данных.
1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных), иными нормативными правовыми актами Российской Федерации в области персональных данных.
1.3. Политика является общедоступным документом, опубликовывается на официальном сайте Оператора в информационно-телекоммуникационной сети «Интернет» и обеспечивает неограниченный доступ к ней (ч. 2 ст. 18.1 Закона о персональных данных).
1.4. Основные понятия, используемые в Политике: персональные данные, оператор, обработка персональных данных, автоматизированная обработка, распространение, предоставление, блокирование, уничтожение, обезличивание персональных данных, информационная система персональных данных, трансграничная передача персональных данных – в значениях, определенных ст. 3 Закона о персональных данных.

2. Принципы обработки персональных данных

Обработка персональных данных в Обществе осуществляется на основе принципов, установленных ст. 5 Закона о персональных данных:

• законность и справедливость обработки;
• ограничение обработки достижением конкретных, заранее определенных и законных целей;
• недопустимость обработки, несовместимой с целями сбора, и объединения баз данных, обрабатываемых в несовместимых целях;
• обработка только тех данных, которые отвечают целям обработки и не являются избыточными;
• обеспечение точности, достаточности и актуальности данных;
• хранение данных в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором;
• уничтожение либо обезличивание данных по достижении целей обработки или утраты необходимости в их достижении.

3. Цели обработки персональных данных

3.1. Обработка персональных данных в Обществе осуществляется в следующих целях:

• осуществление уставной деятельности – оказание санаторно-курортных, лечебно-оздоровительных и медицинских услуг;
• кадровая деятельность – ведение кадрового учета, оформление трудовых отношений, ведение бухгалтерского и налогового учета, исчисление и уплата налогов, страховых взносов, формирование отчетности;
• исполнение договоров – заключение и исполнение договоров с контрагентами, клиентами и посетителями;
• пропускной режим – обеспечение пропускного и внутриобъектового режима на территории Общества;
• исполнение требований законодательства – выполнение обязанностей, возложенных на Оператора федеральными законами, в том числе по предоставлению информации в государственные органы, Социальный фонд России, налоговые органы, военкоматы и иные уполномоченные органы;
• обратная связь – рассмотрение обращений, заявлений и жалоб граждан, ответы на запросы.

4. Правовые основания обработки персональных данных

4.1. Правовыми основаниями обработки персональных данных являются:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации, Трудовой кодекс Российской Федерации, Налоговый кодекс Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
• Федеральный закон от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»;
• Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
• Федеральный закон от 26.12.1995 № 208-ФЗ «Об акционерных обществах»;
• устав и локальные нормативные акты Общества;
• договоры, заключаемые между Оператором и субъектами персональных данных;
• согласия субъектов персональных данных на обработку их персональных данных.

5. Категории субъектов и объем обрабатываемых персональных данных

5.1. Общество обрабатывает персональные данные следующих категорий субъектов:

• работники Общества, бывшие работники, кандидаты на замещение вакантных должностей;
• клиенты (отдыхающие, пациенты) и их законные представители;
• контрагенты – представители (работники) юридических лиц, физические лица – контрагенты;
• посетители.

5.2. В отношении работников и кандидатов могут обрабатываться: фамилия, имя, отчество; дата и место рождения; пол; адрес места жительства (регистрации); контактные данные; паспортные данные; сведения об образовании, квалификации, стаже; сведения о семейном положении, составе семьи; ИНН, СНИЛС; сведения о доходах; сведения о воинском учете; сведения о состоянии здоровья в объеме, необходимом для выполнения трудовой функции; иные данные, предоставляемые в соответствии с трудовым законодательством.
5.3. В отношении клиентов (отдыхающих, пациентов) могут обрабатываться: фамилия, имя, отчество; дата и место рождения; пол; адрес места жительства (регистрации); контактные данные; паспортные данные; данные полиса обязательного медицинского страхования; сведения о состоянии здоровья (медицинские данные – при оказании медицинских услуг); иные данные, необходимые для оказания услуг.
5.4. В отношении контрагентов могут обрабатываться: фамилия, имя, отчество; контактные данные; должность; паспортные данные (при необходимости); ИНН, СНИЛС (при необходимости); иные данные, необходимые для исполнения договора.

6. Порядок и условия обработки персональных данных

6.1. Обработка осуществляется с использованием средств автоматизации и без их использования (на бумажных носителях).
6.2. Обработка персональных данных допускается при наличии хотя бы одного из условий, предусмотренных ст. 6 Закона о персональных данных, в том числе: согласие субъекта; обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект; обработка необходима для выполнения обязанностей, возложенных законодательством; обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта, если получение согласия невозможно; обработка необходима для осуществления прав и законных интересов Оператора или третьих лиц; обработка подлежащих опубликованию или обязательному раскрытию данных.
6.3. Общество вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных на основании заключаемого с этим лицом договора (поручение оператора). Лицо, осуществляющее обработку по поручению, обязано соблюдать принципы и правила обработки, предусмотренные Законом о персональных данных, и обеспечивать безопасность персональных данных. Ответственность перед субъектом за действия такого лица несет Оператор.
6.4. Оператор обеспечивает конфиденциальность персональных данных и обязуется не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом (ст. 7 Закона о персональных данных).
6.5. Сбор персональных данных, в том числе посредством сети «Интернет», запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, предусмотренных федеральным законом.
6.6. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором.
6.7. По достижении целей обработки или утраты необходимости в их достижении персональные данные подлежат уничтожению или обезличиванию.
6.8. Уничтожение персональных данных осуществляется комиссией, назначаемой приказом генерального директора Общества. Факт уничтожения оформляется актом.

7. Согласие субъекта персональных данных на обработку его персональных данных

7.1. В случаях, когда обработка персональных данных не является обязательной в силу закона, Общество получает согласие субъекта персональных данных.
7.2. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, может быть дано в любой позволяющей подтвердить факт его получения форме (ст. 9 Закона о персональных данных).
7.3. Согласие оформляется отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.
7.4. Согласие может быть отозвано субъектом в любое время. При отзыве согласия Общество вправе продолжить обработку при наличии оснований, указанных в п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона о персональных данных.

8. Обработка специальных категорий персональных данных

8.1. Сведения о состоянии здоровья относятся к специальным категориям персональных данных, обработка которых допускается, в частности, при наличии согласия в письменной форме субъекта персональных данных, а также при оказании медицинских услуг лицом, профессионально занимающимся медицинской деятельностью и обязанным сохранять врачебную тайну (ст. 10 Закона о персональных данных).
8.2. Обработка специальных категорий персональных данных прекращается, если устранены причины, вследствие которых она осуществлялась.

9. Уведомление уполномоченного органа по защите прав субъектов персональных данных

9.1. До начала обработки персональных данных Общество направляет в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) уведомление о намерении осуществлять обработку персональных данных в порядке, предусмотренном ст. 22 Закона о персональных данных, если иное не установлено ч. 2 указанной статьи.

10. Права субъектов персональных данных

10.1. Субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных, в том числе о подтверждении факта обработки, правовых основаниях и целях обработки, применяемых способах обработки, наименовании и месте нахождения Оператора, перечне обрабатываемых данных и источнике их получения, сроках обработки и хранения, о трансграничной передаче (ст. 14 Закона о персональных данных);
• требовать уточнения, блокирования или уничтожения персональных данных в случае, если они являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда (ст. 17 Закона о персональных данных).

10.2. Для реализации своих прав субъект направляет Оператору запрос в порядке, установленном ст. 14 Закона о персональных данных.

11. Меры по обеспечению безопасности персональных данных

11.1. Общество принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных (ст. 18.1 Закона о персональных данных), в том числе:

• назначено лицо, ответственное за организацию обработки персональных данных;
• изданы локальные акты по вопросам обработки персональных данных, в том числе настоящая Политика и локальные акты, определяющие для каждой цели обработки категории и перечень обрабатываемых персональных данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения при достижении целей обработки;
• применяются правовые, организационные и технические меры по обеспечению безопасности персональных данных, предусмотренные ст. 19 Закона о персональных данных: определение угроз безопасности, применение средств защиты информации, оценка вреда, контроль за принимаемыми мерами, обнаружение фактов несанкционированного доступа и реагирование на компьютерные инциденты;
• осуществляется внутренний контроль и (или) аудит соответствия обработки персональных данных требованиям законодательства;
• работники, непосредственно осуществляющие обработку персональных данных, ознакомлены с положениями законодательства о персональных данных и локальными актами Общества;
• опубликован и обеспечен неограниченный доступ к настоящей Политике.

11.2. По запросу уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзора) Общество обязано представить документы и локальные акты, подтверждающие принятие указанных мер.

12. Ответственное лицо за организацию обработки персональных данных

12.1. В соответствии со ст. 22.1 Закона о персональных данных в Обществе назначено лицо, ответственное за организацию обработки персональных данных (далее – ответственное лицо).
12.2. Ответственное лицо получает указания непосредственно от исполнительного органа Общества и подотчетно ему.
12.3. К обязанностям ответственного лица относятся: осуществление внутреннего контроля за соблюдением законодательства о персональных данных; доведение до сведения работников положений законодательства о персональных данных, локальных актов, требований к защите персональных данных; организация приема и обработки обращений и запросов субъектов персональных данных.
12.4. Сведения об ответственном лице (фамилия, имя, отчество, должность, контактные данные) размещаются на официальном сайте Общества.

13. Обработка персональных данных на сайте Общества

13.1. На сайте Общества обрабатываются персональные данные, которые субъект самостоятельно предоставляет при заполнении форм обратной связи, записи на прием, бронировании путевок и в иных случаях.
13.2. На сайте опубликована настоящая Политика и обеспечен доступ к ней с помощью средств соответствующей информационно-телекоммуникационной сети.
13.3. На сайте обеспечивается: информирование субъектов персональных данных об обработке их персональных данных; возможность дать согласие на обработку персональных данных и отозвать его; использование отечественных метрических систем и сервисов при обработке персональных данных в сети «Интернет».

14. Заключительные положения

14.1. Настоящая Политика является общедоступным документом Общества и подлежит опубликованию на сайте Общества.
14.2. Политика вступает в силу с даты ее утверждения генеральным директором Общества.
14.3. Общество вправе вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с даты ее утверждения, если иное не предусмотрено в тексте Политики.
14.4. Контроль за исполнением настоящей Политики возлагается на лицо, ответственное за организацию обработки персональных данных.
14.5. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации о персональных данных.