Политика конфиденциальности в отношении обработки персональных данных Специалистов мобильного приложения Doctor FM

1. Общие положения
1.1. Настоящая Политика конфиденциальности (далее – «Политика») является локальным нормативным актом Общества с ограниченной ответственностью «Феникс Медика» (далее – «Оператор»), определяет политику, цели, порядок и условия обработки персональных данных Специалистов – врачей и медицинского персонала Оператора, использующих мобильное приложение Doctor FM для устройств с операционными системами iOS и Android (далее – «Приложение»).
1.2. Оператор осуществляет обработку персональных данных в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152‑ФЗ «О персональных данных», Трудовым кодексом Российской Федерации и иными нормативными правовыми актами Российской Федерации.
1.3. В настоящей Политике используются следующие термины:

• «Оператор» – общество с ограниченной ответственностью «Феникс Медика», ИНН 2635808683 /ОГРН 1112651034099, место нахождения: 355011, Ставропольский край, г. Ставрополь, ул. 50 лет ВЛКСМ, д. 91.

• «Специалист» – врач‑специалист, медицинский работник ООО «Феникс Медика», использующий Приложение в служебных целях.

• «Персональные данные Специалиста» – любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (Специалисту), обрабатываемая Оператором в связи с использованием Приложения.

• «Обработка персональных данных» – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

• «Приложение» – служебное мобильное приложение Doctor FM для устройств с операционными системами iOS и Android, предназначенное для обеспечения доступа Специалистов к своему расписанию приёмов и ленте объявлений руководства Оператора.

1.4. Настоящая Политика регулирует порядок получения, обработки, систематизации, хранения, использования и защиты персональных данных Специалистов и применяется ко всем случаям обработки персональных данных Оператором в рамках Приложения.
1.5. Принципы обработки персональных данных Оператором:

• законность целей и способов обработки персональных данных, добросовестность и справедливость деятельности Оператора;

• обработка персональных данных в объёме, необходимом и достаточном для заявленных целей, недопустимость обработки избыточных персональных данных;

• обеспечение точности персональных данных, их достаточности, а в необходимых случаях – актуальности по отношению к целям обработки;

• хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если более длительный срок хранения не установлен федеральным законом.

1.6. Все вопросы, связанные с обработкой персональных данных, не урегулированные настоящей Политикой, разрешаются в соответствии с действующим законодательством Российской Федерации.

2. Категории субъектов и состав обрабатываемых персональных данных
2.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• Специалисты (врачи и другой медицинский персонал Оператора), использующие Приложение в служебных целях.

2.2. В отношении Специалистов Оператор обрабатывает следующие персональные данные:

• фамилия, имя, отчество;

• должность, специализация;

• идентификатор в медицинской информационной системе используемой в работе ООО «Феникс Медика»;

• контактные данные (номер телефона, адрес электронной почты);

• данные для авторизации в Приложении (логин – электронная почта, хеш пароля);

• время входа и выхода из Приложения (время сессии).

2.3. Оператор не обрабатывает в рамках Приложения персональные данные пациентов как отдельную категорию субъектов. Данные о пациентах (ФИО и инициалы, возраст, номер амбулаторной карты, телефон, комментарий регистратуры к записи) отображаются Специалисту исключительно в целях исполнения трудовых обязанностей и не сохраняются на устройстве Специалиста.

3. Правовые основания обработки персональных данных
3.1. Правовыми основаниями обработки персональных данных Специалистов Оператором являются:

• Трудовой кодекс Российской Федерации – в части обработки персональных данных работников;

• Федеральный закон от 27.07.2006 № 152‑ФЗ «О персональных данных»;

• Трудовые договоры, должностные инструкции и иные локальные нормативные акты Оператора, регулирующие трудовые отношения со Специалистами;

• Приказы и распоряжения Оператора о допуске к обработке персональных данных и использовании информационных систем.

3.2. Обработка персональных данных Специалистов осуществляется в целях исполнения трудовых договоров, обеспечения доступа к информационным системам Оператора и выполнения Специалистами своих трудовых обязанностей.
3.3. Отдельное согласие Специалиста на обработку его персональных данных в рамках Приложения не требуется, так как обработка осуществляется в целях исполнения трудового договора и связана с трудовой деятельностью Специалиста у Оператора.

4. Цели обработки персональных данных Специалистов
4.1. Персональные данные Специалистов обрабатываются Оператором для следующих целей:

• обеспечение функционирования и работы Приложения;

• авторизация Специалиста в Приложении;

• предоставление Специалисту доступа к своему расписанию приёмов на неделю;

• предоставление Специалисту доступа к ленте объявлений руководства Оператора;

• обеспечение технической поддержки и администрирования Приложения;

• учёт рабочего времени и контроль доступа к информационным системам Оператора;

• исполнение требований трудового законодательства и внутренних локальных актов Оператора.

4.2. Обработка персональных данных Специалистов не осуществляется в целях маркетинга, рекламы, аналитики использования Приложения или передачи третьим лицам в коммерческих целях.

5. Порядок и способы обработки персональных данных
5.1. Оператор осуществляет сбор и хранение персональных данных Специалистов с использованием электронных баз данных, расположенных на территории Российской Федерации.
5.2. При сборе персональных данных Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных в базах данных, расположенных на территории РФ, в соответствии с требованиями 152‑ФЗ о локализации.
5.3. Учётные записи в Приложении создаются главным врачом Оператора. Регистрация Специалистов в Приложении отсутствует.
5.4. Данные о расписании приёмов (ФИО и инициалы пациента, возраст, номер амбулаторной карты, телефон, комментарий регистратуры к записи) запрашиваются из медицинской информационной системы используемой в работе ООО «Феникс Медика» в момент открытия экрана Приложения и на устройстве Специалиста не сохраняются.
5.5. На устройстве Специалиста в защищённом хранилище телефона хранится только токен сессии, необходимый для авторизации и поддержания сеанса работы в Приложении.
5.6. Сервер Приложения расположен в Российской Федерации (хостинг Timeweb, г. Санкт‑Петербург). Передача данных третьим лицам не осуществляется.
5.7. Аналитика использования Приложения, сбор статистики, реклама и трекинг Специалистов отсутствуют.

6. Передача персональных данных
6.1. Оператор осуществляет передачу персональных данных Специалистов только для целей, указанных в настоящей Политике, и в объёме, необходимом для достижения этих целей.
6.2. Передача персональных данных Специалистов третьим лицам не осуществляется, за исключением случаев, предусмотренных законодательством Российской Федерации (например, по запросам уполномоченных государственных органов).
6.3. Трансграничная передача персональных данных Оператором не осуществляется; сервер Приложения расположен в Российской Федерации (хостинг Timeweb, г. Санкт‑Петербург).

7. Права Специалистов
7.1. Специалист имеет право:

• получать информацию, касающуюся обработки его персональных данных, включая сведения о подтверждении факта обработки, правовых основаниях и целях обработки;

• требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, неточными, неактуальными, избыточными или обрабатываются с нарушением требований законодательства;

• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд.

7.2. В случае отказа Оператора удалить или исправить персональные данные Специалиста, Специалист вправе направить Оператору заявление о своём несогласии с указанием причин, а также обратиться в Роскомнадзор или суд.

8. Защита персональных данных
8.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных Специалистов от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.
8.2. Правовые меры включают: принятие настоящей Политики и иных локальных актов, получение необходимых согласий (при необходимости), заключение договоров с третьими лицами, содержащих положения о защите персональных данных, привлечение к ответственности лиц, нарушающих правила обработки.
8.3. Организационные меры включают: назначение лица, ответственного за организацию обработки персональных данных; определение порядка доступа к персональным данным; обучение работников; регулярный мониторинг изменений законодательства и актуализацию мер защиты.
8.4. Технические меры включают: ограничение физического доступа к серверам и носителям; идентификацию и аутентификацию пользователей информационных систем; управление учётными записями и правами доступа; регистрацию событий безопасности; использование средств защиты информации; хранение токенов сессий в защищённом хранилище устройств.
8.5. Для авторизации в Приложении используется логин (номер мобильного телефона) и пароль Специалиста. Специалист несёт ответственность за сохранность данной информации, не вправе передавать пароль третьим лицам и обязан незамедлительно сменить пароль при подозрении на его компрометацию.
8.6. Оператор предоставляет доступ к данным в Приложении только лицам, имеющим соответствующие полномочия (Специалистам Оператора), и прекращает доступ немедленно при увольнении или отключении учётной записи.

9. Контроль обработки персональных данных
9.1. Оператор осуществляет внутренний контроль за соблюдением сотрудниками требований законодательства РФ и настоящей Политики.
9.2. Аудит соответствия обработки персональных данных требованиям законодательства и настоящей Политики может проводиться третьими лицами, имеющими необходимую квалификацию, на договорной основе.
9.3. По результатам внутреннего контроля и (или) аудита Оператор оценивает возможный вред, который может быть причинён персональным данным Специалистов, и при необходимости вводит дополнительные меры защиты, а также вносит изменения в настоящую Политику.

10.Использование тестовых данных для проверки приложения

10.1. Для целей тестирования и проверки функциональности мобильного приложения Doctor FM могут использоваться вымышленные персональные данные, не относящиеся к реальным субъектам персональных данных.
10.2. Тестовые данные включают:

• вымышленные фамилии, имена и отчества пациентов;

• вымышленные даты рождения и возрасты;

• вымышленные номера амбулаторных карт;

• вымышленные номера телефонов;

• вымышленные комментарии регистратуры к записи;

• вымышленные сведения о диагнозах и лечении.

10.3. Тестовые данные не являются персональными данными в смысле Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», так как не относятся к прямо или косвенно определённым или определяемым физическим лицам.
10.4. Тестовые данные используются исключительно в следующих целях:

• проверка функциональности мобильного приложения;

• тестирование новых версий приложения;

• демонстрация работы приложения при проверке магазинами приложений (App Store, Google Play);

• обучение медицинских работников использованию приложения.

10.5. Тестовые данные не передаются третьим лицам, за исключением случаев, когда передача необходима для проверки приложения магазинами приложений (App Store, Google Play).
10.6. Тестовые данные хранятся на сервере приложения и не сохраняются на мобильных устройствах пользователей.
10.7. При проверке приложения магазинами приложений (App Store, Google Play) используется специальная тестовая учётная запись, для которой сервер подменяет реальные персональные данные пациентов на вымышленные тестовые данные.

11. Ответственность
11.1. Лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут дисциплинарную, административную, гражданско‑правовую или уголовную ответственность в соответствии с законодательством РФ.
11.2. Моральный вред, причинённый Специалисту вследствие нарушения его прав, подлежит возмещению независимо от возмещения имущественного вреда.

12. Порядок изменения Политики и контакты Оператора
12.1. Оператор вправе вносить изменения в настоящую Политику. Обновлённая редакция Политики вступает в силу с момента её размещения в Приложении и на сайте Оператора, если иной срок не указан в новой редакции.
12.2. Все вопросы и письменные обращения, связанные с обработкой персональных данных, могут быть направлены по электронной почте: info@fenixmedica.ru или по адресу места нахождения Оператора.