ПОЛОЖЕНИЕ ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
ГЛАВА 1
ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Положение о защите персональных данных (далее – Положение) разработано обществом ограниченной ответственностью «ДОРСУМ» (далее – Центр) в соответствии с требованиями и во исполнение Закона Республики Беларусь от 07.05.2021 г. № 99-З «О защите персональных данных» (далее – Закон о защите персональных данных), Закона Республики Беларусь от 10.11.2008 г. № 455-З «Об информации, информатизации и защите информации» и иных актов законодательства Республики Беларусь в целях обеспечения защиты прав и свобод человека и гражданина при обработке Обществом его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личной и семейной тайны.
1.2. Термины, используемые в настоящем Положении:
Клиент – любое физическое лицо, обратившееся в Центр с целью получения услуг в соответствии с действующим прейскурантом цен и перечнем оказываемых услуг, в том числе онлайн с использованием глобальной сети Интернет, через сайт https://dorsum.by/ (далее – Сайт) и в связи с этим предоставляющее Центру свои персональные данные в письменном, устном или электронном виде.
Место оказания оздоровительных услуг ООО «Дорсум» – г.Минск, ул.Киселева,12.
Обработка персональных данных – любое действие или совокупность действий, совершаемые с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, удаление персональных данных.
Персональные данные – любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано.
Пользователь – лицо, имеющее доступ к Сайту посредством сети Интернет и использующее Сайт, в отношении которого осуществляется обработка персональных данных.
Сайт – расположенная в глобальной сети Интернет страница под доменным именем https://dorsum.by/
Субъект персональных данных – физическое лицо, в отношении которого осуществляется обработка персональных данных.
Cookies – небольшой фрагмент данных, отправленный веб-сервером и хранимый на компьютере Пользователя, который веб-клиент или веб-браузер каждый раз пересылает веб-серверу в HTTP-запросе при попытке открыть страницу соответствующего сайта.
IP-адрес – уникальный сетевой адрес, идентифицирующий устройство в интернете или локальной сети.
1.3.Положение является локальным правовым актом Центра, регламентирующим отношения Центра и субъектов персональных данных в области защиты персональных данных при их обработке, включая сбор, систематизацию, хранение, изменение, использование, удаление персональных данных, в том числе переданных клиентом Центру в письменном, устном или электронном виде, а также определяет порядок организации работы по созданию в Центре системы защиты персональных данных.
1.4. Обработка персональных данных производится Центром на основании действующего законодательства и локальных документов в соответствии с принципами законности, прозрачности, баланса интересов всех заинтересованных субъектов, добросовестности, достоверности данных, соответствия содержания и объёма обрабатываемых данных и целей их обработки, ограниченности времени хранения персональных данных, конфиденциальности и надежности.
1.5. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Центр осуществляет обработку персональных данных, в том числе:
– Конституция Республики Беларусь;
– Гражданский кодекс Республики Беларусь;
– Трудовой кодекс Республики Беларусь;
– Налоговый кодекс Республики Беларусь;
– Закон Республики Беларусь «О защите персональных данных»;
– иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Центра.
1.6. Локальным правовым основанием обработки персональных данных являются:
– устав Центра со всеми изменения и дополнениями;
– договоры, заключаемые между Центром, клиентами и иными субъектами персональных данных;
– согласие клиентов и иных субъектов на обработку их персональных данных.
ГЛАВА 2
ПЕРСОНАЛЬНЫЕ И ИНЫЕ ДАННЫЕ.
ПОЛУЧЕНИЕ ДАННЫХ
2.1. Центр собирает, обрабатывает, хранит и использует различные данные, которые можно разделить на следующие группы:
Личные данные, которые может потребоваться указать в соответствии с требованиями законодательства при заключении договора на оказании услуг, при регистрации или входе на Сайт, оформлении на работу и (или) участии в обсуждении вакансии Центра, в том числе:
– фамилия, имя, отчество;
– дата рождения (возраст);
– информация медицинского содержания;
– никнейм;
– электронный адрес;
– контактный телефон;
– изображение (записи с камер видеонаблюдения);
– аудиозапись.
В отношении сотрудников Центра дополнительно могут предоставляться следующие личные данные:
– сведения о семейном положении и составе семьи с указанием фамилий, имен и отчеств членов семьи, даты рождения, места работы и/или учебы;
-сведения о регистрации по месту жительства (включая адрес, дату регистрации);
-номер и серия страхового свидетельства государственного социального страхования;
-сведения медицинского характера (в случаях, предусмотренных законодательством);
-биометрические персональные данные (фотографии);
-сведения о социальных льготах и выплатах;
-сведения о наличии исполнительных производств в органах принудительного исполнения.
Кандидаты на вакантные места в Центре могут предоставлять:
-данные об образовании, повышении квалификации и профессиональной переподготовке, ученой степени, ученом звании;
– сведения о трудовой деятельности (включая стаж и опыт работы, данные о занятости с указанием должности, подразделения, сведений о работодателе и др.);
-специальность, профессию, квалификацию;
-сведения о воинском учете;
-сведения медицинского характера (в случаях, предусмотренных законодательством)
-биометрические персональные данные (фотографии);
– иные данные, которые могут быть указаны в резюме или анкете кандидата.
Контактные данные включают адрес для направления сообщений и документов, в том числе почтовый адрес, адрес электронной почты, и номера телефонов, в том числе используемые для общения Центра и субъекта персональных данных в мессенджерах, иные идентификаторы мессенджеров.
Транзакционные данные включают информацию о совершенных субъектом действиях, в том числе на Сайте.
Технические данные включают IP-адрес, логин, тип и версию браузера, временной пояс и местоположение, тип и версию плагинов браузера, операционной системы и платформы, а также данные о других технологиях, применяемых на устройствах, с которых клиент осуществляет доступ на Сайт, а также об использовании Cookie, хранящихся на устройствах.
Данные особой категории / Специальные персональные данные, в том числе чувствительные данные включают информацию о результатах медицинских обследований клиента, заключения врачей по результатам приема и (или) консультации, иная информация, которая касается состояния здоровья клиента и т.д.
Аудиоданные включают все записи входящих и исходящих звонков на рабочие телефоны Центра.
Все вышеперечисленное относится к персональным данным.
Агрегированные данные включают статистические данные для любых целей, используемые Центром. Эту информацию можно получить из данных клиентов и (или) иных субъектов персональных данных, однако она не будет считаться персональными данными, поскольку она не позволяет прямо или косвенно установить личность, которая была связана с их получением. Например, Центр может агрегировать данные о частоте использования той или иной услуги и (или) предпочтениях того или иного специалиста. Невзирая на вышесказанное, если Центр использует агрегированные данные вместе с иными данными, что влечет вероятность идентификации субъекта данных, Центр будет считать такую совокупность данных конфиденциальными в соответствии с положениями настоящего документа, относящимися к обработке персональных данных.
2.2.Центр может получать персональные данные:
-от клиентов лично при первичном обращении;
-от клиентов лично в последующем при дополнении, исправлении существующей личной карточки;
-c использованием технических средств Сайта / ресурсов сети Интернет при использовании их субъектом персональных данных;
-из публичных источников.
2.3. Клиенты и иные субъекты персональных данных признают, что информация о них частично или полностью будут храниться Центром и может полностью или частично использоваться в случае спорных ситуаций.
2.4. Клиенты и иные субъекты персональных данных отвечают за обновление (внесение изменений, актуализацию) любых данных, предоставленных Центру. Центр не обязан прикладывать усилия для актуализации и проверки данных, предоставленных ей субъектом персональных данных. Субъекты персональных данных признают, что у Центра нет перед ними обязательств по проверке таких данных.
ГЛАВА 3
ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ.
ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ
3.1.Обработка персональных данных осуществляется Центром исключительно после ознакомления субъекта персональных данных с текстом настоящего Положения и утвержденной Центром Политикой конфиденциальности, а также получения Центром свободного, однозначного, информированного согласия на обработку персональных данных, если получение такого согласия требуется в соответствии с действующим законодательством.
Размещение Центром полного текста Положения и Политики конфиденциальности в электронном виде в свободном доступе на Сайте в глобальной сети Интернет является достаточным для обеспечения возможности ознакомления с текстом Положения для любого субъекта персональных данных.
3.2. Согласие субъекта персональных данных на обработку его персональных данных может быть получено любым допустимым законодательством Республики Беларусь способом.
3.3. При обращении в Центр клиента, признанного недееспособным или ограниченно дееспособным, либо пациента, не достигшего шестнадцатилетнего возраста, согласие на обработку персональных данных дает один из его законных представителей.
3.4. Сведения о необходимости предварительного ознакомления с Положением и Политикой конфиденциальности, а также предоставление бланка согласия на обработку персональных данных, контроль наличия отметки о согласии субъекта на обработку персональных данных до начала сбора, хранения, использования и т.д. персональных данных, организация учёта лиц в качестве субъектов персональных данных, выразивших согласие на обработку своих персональных данных, осуществляют сотрудники Центра, исполняющие соответствующие должностные обязанности в момент обращения клиента за оказанием оздоровительных услуг, оформления сотрудника на работу, рассмотрения кандидатур на вакантные должности в Центре и т.д.
3.5. Срок, на который даётся согласие клиента на обработку его персональных данных, ограничивается сроком действия договоров на оказание оздоровительных услуг, заключённых между Центром и клиентом, трудовых договоров с сотрудниками Центра и (или) периода наличия вакансии, и может быть продлён на срок, предусмотренный законодательством Республики Беларусь в отношении обязательного периода хранения документации, содержащей персональные данные, а также на иной срок, предусмотренный законодательством Республики Беларусь для
Обязательного хранения персональных данных.
3.6. Доступ к персональным данным предоставляется только тем сотрудникам Центра, служебные обязанности которых предполагают работу с персональными данными, и только на период, необходимый для работы с
соответствующими данными. Работникам Центра, не ознакомленным должным образом с особенностями и правилами осуществления обработки персональных данных, установленных законодательством и настоящим Положением, доступ к персональным данным запрещается.
3.7. Работники, осуществляющие обработку персональных данных с использованием средств автоматизации и специального программного обеспечения, кроме информирования и обучения, в том числе по вопросам обработки персональных данных, допускаются к работе в программах через личный идентифицирующий пароль и логин, что позволяет разграничить доступ к персональным данным и фиксировать все действия с персональными данными, осуществляемые определенным лицом. Передача своего пароля и логина другому лицу, использование чужого логина и пароля для доступа к персональным данным запрещены.
ГЛАВА 4
ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1 Центр собирает и обрабатывает персональные данные для следующих целей:
– для выполнения своих договорных обязательств;
– для оценки и повышения качества оказываемых Центром услуг;
-для рассмотрения обстоятельств по поступившим в Центр жалобам, претензиям и (или) обращениям клиентов и иных субъектов персональных данных и защиты своих законных интересов;
-с целью соответствия деятельности Центра требованиям, предусмотренным трудовым, налоговым и иными видами законодательства.
4.2. Персональные данные необходимы и помогают:
-подтвердить личность клиента-физического лица;
-оперативно обрабатывать заявки на оказание оздоровительных услуг;
-своевременно информировать о расширении сервисов Центра и об изменения, которые, по мнению Центра, могут заинтересовать клиента;
-предоставлять услуги, связанные с договорами, заключенными Центром;
-анализировать статистические данные, чтобы предложить услуги более высокого качества, анализировать уровень и качество оказываемых услуг и эффективность оказанной помощи в оздоровлении.
ГЛАВА 5
ПРАВА И ОБЯЗАННОСТИ
В ОБЛАСТИ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1.Центр имеет право с соблюдением действующего законодательства собирать, хранить и обрабатывать персональные данные для осуществления своей уставной деятельности и исполнения своих обязательств, предусмотренных действующим законодательством и заключенными договорами.
5.2.Субъект персональных данных обязан:
5.2.1. предоставлять Центру достоверные персональные данные;
5.2.2. своевременно сообщать Центру об изменениях и дополнениях
своих персональных данных;
5.2.3. осуществлять свои права в соответствии с законодательством Республики Беларусь и локальными правовыми актами Центра в области
обработки и защиты персональных данных.
5.2.4. исполнять иные обязанности, предусмотренные законодательством Республики Беларусь и локальными правовыми актами Центра в области обработки и защиты персональных данных.
5.3. Обработка персональных данных осуществляется с согласия субъекта персональных данных. Согласие субъекта персональных данных на обработку персональных данных не требуется в случаях, предусмотренных Законом о персональных данных, в том числе, но не ограничиваясь:
-для ведения индивидуального (персонифицированного) учета сведений о застрахованных лицах для целей государственного социального страхования, в том числе профессионального пенсионного страхования;
– при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством;
– при обработке персональных данных, когда они указаны в документе, адресованном Центру и подписанном субъектом персональных данных, в соответствии с содержанием такого документа;
5.4. Субъект персональных данных вправе в любое время без объяснения причин отозвать свое согласие на обработку своих персональных данных посредством направления Центру соответствующего заявления.
Заявление об отзыве согласия на обработку персональных данных должно быть подано с учётом требований действующего законодательства, в том
числе содержать:
– фамилию, собственное имя, отчество (если таковое имеется) субъекта, адрес его места жительства (места пребывания);
-указание непосредственно на отзыв согласия на обработку персональных данных;
-личную подпись субъекта персональных данных.
5.6. В случае поступления в Центр заявления субъекта персональных данных об отзыве согласия на обработку персональных данных, такое заявление передаётся на рассмотрение должностному лицу, ответственному за осуществление внутреннего контроля за обработкой персональных данных, в соответствии с распоряжением по Центру.
Уполномоченной должностное лицо Центра обязано в течение пятнадцати дней рассмотреть заявление субъекта персональных данных об отзыве согласия на обработку персональных данных и в соответствии с его содержанием прекратить обработку персональных данных, осуществить их удаление и уведомить субъекта, если отсутствуют иные основания для таких действий с персональными данными, предусмотренные законодательными актами Республики Беларусь.
При отсутствии технической возможности удаления персональных данных Центр обязан принять меры по недопущению дальнейшей обработки персональных данных, включая их блокирование, и уведомить об этом субъекта персональных данных в тот же срок.
5.7.Субъект персональных данных также вправе:
5.7.1. Получить информацию, касающуюся обработки своих персональных данных, содержащую:
-наименование и место нахождения Центра;
-его персональные данные и источник их получения;
-правовые основания и цели обработки персональных данных;
-срок, на который дано его согласие;
-иную информацию, предусмотренную законодательством.
5.7.2. Обжаловать действия (бездействие) и решения Центра, нарушающие его права при обработке персональных данных, в уполномоченный орган по защите прав субъектов персональных данных в порядке, установленном законодательством об обращениях граждан и юридических лиц.
5.8. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с законодательством Республики Беларусь.
5.9. Центр обязан:
5.9.1. разъяснять субъекту персональных данных его права, связанные с обработкой персональных данных;
5.9.2. получать согласие на обработку персональных данных, за исключением случаев, предусмотренных Законом о защите персональных данных и иными законодательными актами;
5.9.3. обеспечивать защиту персональных данных в процессе их обработки;
5.9.4. предоставлять клиенту информацию о его персональных данных, а также о предоставлении его персональных данных третьим лицам, за исключением случаев, предусмотренных Законом о защите персональных данных и иными законодательными актами;
5.9.5. вносить изменения в персональные данные, которые являются неполными, устаревшими или неточными, за исключением случаев, когда иной порядок внесения изменений в персональные данные установлен законодательными актами либо если цели обработки персональных данных не предполагают последующих изменений таких данных;
5.9.6. прекращать обработку персональных данных, а также осуществлять их удаление или блокирование (обеспечивать прекращение обработки персональных данных, а также их удаление или блокирование уполномоченным лицом) при отсутствии оснований для обработки персональных данных, предусмотренных Законом о защите персональных данных и иными законодательными актами;
5.9.7. осуществлять изменение, блокирование или удаление недостоверных
или полученных незаконным путем персональных данных субъекта персональных данных по требованию уполномоченного органа по защите прав субъектов персональных данных, если иной порядок внесения изменений в персональные данные, их блокирования или удаления не установлен законодательными актами:
5.9.9. исполнять иные требования уполномоченного органа по защите прав субъектов персональных данных об устранении нарушений законодательства о персональных данных и иные обязанности, предусмотренные Законом о защите персональных данных и иными законодательными актами.
5.10. В случае необходимости разъяснения субъекту персональных данных какого-либо вопроса касаемо его прав в связи с обработкой персональных данных, Центр обязан разъяснить соответствующие права по запросу субъекта, направленному в адрес Общества в письменном виде или в электронном виде на почтовый ящик info@dorsum.by.
ГЛАВА 6
МЕРЫ ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Под защитой персональных данных понимается ряд правовых, организационных и технических мер, направленных на:
a) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
б) соблюдение конфиденциальности информации ограниченного доступа;
в) реализацию права на доступ к информации.
6.2.Центр принимает правовые, организационные и технические меры по обеспечению защиты персональных данных от несанкционированного или случайного доступа к ним, изменения, блокирования, копирования, распространения, предоставления, удаления персональных данных, а также от иных неправомерных действий в отношении персональных данных.
6.3. Организационные меры, принимаемые Центром в области защиты персональных данных:
-назначение лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных;
-обеспечение неограниченного доступ к документам, определяющим политику Центра в области защиты персональных данных, в том числе путём размещения таких документов в глобальной сети Интернет на Сайте;
-ознакомление сотрудников Центра, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Республики Беларусь и локальных правовых актов Центра в области персональных данных, в том числе с требованиями к защите персональных данных, и обучение указанных работников;
-учёт и регистрация всех обращений субъектов персональных данных по вопросам персональных данных;
– прекращение обработки и уничтожение персональных данных в случаях, предусмотренных законодательством Республики;
– обеспечение условия для хранения документов, содержащих персональные данные в ограниченном доступе;
– контроль соблюдения требований по обеспечению безопасности персональных данных, в том числе установленных настоящим Положением.
6.4. Правовые меры, принимаемые Центром в области защиты персональных данных:
– утверждение настоящего Положения;
– утверждение Политики в области защиты персональных данных;
-включение в договоры с организациями–партнёрами дополнительных требований о соблюдении условий конфиденциальности и законодательства в области зашиты персональных данных;
-издание иных документов, необходимых для обеспечения соблюдения законодательства в области защиты персональных данных.
6.5.Для защиты персональных данных при их обработке в информационных системах Центр проводит необходимые предусмотренные законом технические мероприятия, включая, но не ограничиваясь:
– предоставление каждому сотруднику Центра, имеющему доступ к автоматизированным системам хранения и обработки персональных данных, персонализированной учётной записи, доступ к которой обеспечен при введении индивидуальных логина и пароля, а также возможность отследить все совершаемые в автоматизированной системе действий такого сотрудника;
– определение угроз безопасности персональных данных при их обработке; применение мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных;
-обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;
-восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
6.6. Центром могут приниматься иные меры, направленные на обеспечение выполнения Центром обязанностей в сфере персональных данных, предусмотренных действующим законодательством Республики Беларусь.
ГЛАВА 7
ОТВЕТСТВЕННОСТЬ СТОРОН
7.1. За неисполнение или ненадлежащее исполнение условий настоящего Положения Центр и субъект персональных данных несут ответственность, предусмотренную законодательством Республики Беларусь.
7.2. В случае утраты или разглашения персональной информации Центр не несёт ответственность, если данная информация:
-стала публичным достоянием до её утраты или разглашения;
-была получена от третьей стороны до момента её получения Центром;
-была разглашена с согласия субъекта персональных данных.
ГЛАВА 8
ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
8.1. К настоящему Положению и отношениям между субъектом персональных данных и Центром применяется действующее законодательство Республики Беларусь.
8.2. Действующее Положение является общедоступным, вступает в силу с момента его утверждения;
8.3. Центр оставляет за собой право по своему усмотрению в будущем добавлять, менять или удалять пункты настоящего Положения для обеспечения актуальности и полноты информации о процедурах сбора и обработки персональных данных, правах и обязанностях сторон и т.д.
Центр обязуется информировать субъектов персональных данных о любых обновлениях настоящего Положения путем публикации актуальной редакции на Сайте и (или) иным способом по своему выбору.