1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) разработана в соответствии с Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных» (далее – Закон о ПД) с учётом изменений, внесённых Федеральным законом от 14.07.2022 №266-ФЗ и Федеральным законом от 30.11.2024 №420-ФЗ, Федеральным законом от 21.11.2011 №323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», а также иными нормативными правовыми актами Российской Федерации в области защиты персональных данных. 1.2. Настоящая Политика определяет порядок обработки и обеспечения безопасности персональных данных физических лиц — субъектов персональных данных — в ООО «ИЖ ДЕНТАЛ» (далее – Оператор, Организация, Клиника). 1.3. ООО «ИЖ ДЕНТАЛ» осуществляет деятельность по оказанию платных стоматологических услуг и является оператором персональных данных в соответствии со ст. 3 Федерального закона от 27.07.2006 №152-ФЗ. 1.4. Оператор зарегистрирован в реестре операторов, осуществляющих обработку персональных данных, который ведёт Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). 1.5. Настоящая Политика распространяется на все процессы обработки персональных данных, осуществляемые Оператором как с использованием средств автоматизации, так и без их использования. 1.6. Политика подлежит опубликованию на официальном сайте Оператора: artes18.ru и должна быть доступна неограниченному кругу лиц. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Оператор персональных данных — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Специальные категории персональных данных — персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также биометрические персональные данные. Субъект персональных данных — физическое лицо, персональные данные которого обрабатываются Оператором. Инцидент в области персональных данных — неправомерная или случайная передача (предоставление, распространение, доступ) персональных данных, повлёкшая нарушение прав субъектов персональных данных (утечка персональных данных). 3.1. Оператор обрабатывает следующие категории персональных данных: 3.1.1. Персональные данные пациентов (клиентов):

• – фамилия, имя, отчество;
• – дата рождения, пол;
• – паспортные данные (серия, номер, кем и когда выдан);
• – адрес регистрации и фактического проживания;
• – номер телефона, адрес электронной почты;
• – сведения о состоянии здоровья, медицинские диагнозы, результаты обследований и лечения (специальные категории ПД, обрабатываются с письменного согласия субъекта или в соответствии с п.4 ч.2 ст.10 Закона о ПД);
• – данные страхового полиса ОМС/ДМС (при наличии);
• – номер СНИЛС;
• – фотографические изображения (при необходимости для проведения стоматологического лечения);
• – рентгеновские снимки, результаты компьютерной томографии.

3.1.2. Персональные данные работников (сотрудников) Оператора:

• – фамилия, имя, отчество;
• – дата и место рождения, гражданство;
• – паспортные данные;
• – ИНН, СНИЛС;
• – адрес регистрации и фактического проживания;
• – номер телефона, адрес электронной почты;
• – сведения об образовании, квалификации, профессиональной подготовке;
• – сведения о трудовой деятельности (стаж, занимаемые должности);
• – сведения о заработной плате и иных выплатах;
• – сведения о воинском учёте;
• – сведения о составе семьи;
• – медицинские сведения (медицинская книжка, результаты медосмотров);
• – биометрические данные (при использовании систем контроля доступа).

3.2. Цели обработки персональных данных: 3.2.1. В отношении пациентов:

• – заключение и исполнение договоров на оказание платных медицинских (стоматологических) услуг;
• – оказание медицинской помощи, ведение медицинской документации;
• – информирование о результатах лечения, записи на приём;
• – передача сведений в страховые организации при наличии договора ОМС/ДМС;
• – исполнение обязательств перед государственными органами (ФНС, Роспотребнадзор, ФОМС и др.);
• – передача сведений в ФГИС «Единый реестр в сфере здравоохранения» (ЕГИЗС, ФРМР, ФРМО) в соответствии с законодательством;
• – взаимодействие с субъектом посредством мессенджеров и SMS (при наличии согласия);
• – разрешение споров и защита прав в судебном порядке.

3.2.2. В отношении работников:

• – исполнение обязательств работодателя по трудовому договору;
• – ведение кадрового делопроизводства, бухгалтерского учёта;
• – исполнение обязательств перед ФНС, ПФР, ФСС, военными комиссариатами;
• – обеспечение охраны здоровья и безопасности труда;
• – обеспечение пропускного режима.

4.1. Обработка персональных данных осуществляется на следующих правовых основаниях:

• – согласие субъекта персональных данных (ст. 6, ст. 9, ст. 10 Закона о ПД);
• – исполнение договора, стороной которого является субъект ПД, или заключение договора по инициативе субъекта ПД (п. 5 ч. 1 ст. 6 Закона о ПД);
• – осуществление прав и законных интересов оператора или третьих лиц (п. 7 ч. 1 ст. 6 Закона о ПД);
• – осуществление медицинской деятельности (п. 4 ч. 2 ст. 10 Закона о ПД, ст. 13 Федерального закона от 21.11.2011 №323-ФЗ);
• – выполнение обязательств, предусмотренных трудовым законодательством (ст. 86 Трудового кодекса РФ, п. 2 ч. 2 ст. 10 Закона о ПД);
• – выполнение требований законодательства о налогах и сборах, бухгалтерском учёте, социальном страховании.

5.1. Обработка персональных данных осуществляется с соблюдением принципов и правил, предусмотренных Законом о ПД, в частности:

• – обработка ПД осуществляется на законной и справедливой основе;
• – обработка ПД ограничивается достижением конкретных, заранее определённых и законных целей;
• – не допускается объединение баз данных, содержащих ПД, для несовместимых целей;
• – обработке подлежат только ПД, отвечающие целям их обработки;
• – содержание и объём обрабатываемых ПД соответствуют заявленным целям обработки;
• – при обработке ПД обеспечивается точность персональных данных, их достаточность и актуальность;
• – хранение ПД осуществляется не дольше, чем требует цель их обработки.

5.2. Обработка персональных данных осуществляется смешанным способом (автоматизированным и неавтоматизированным). 5.3. Персональные данные граждан Российской Федерации хранятся и обрабатываются исключительно в базах данных, расположенных на территории Российской Федерации (ст. 18.1 Закона о ПД). 5.4. Передача персональных данных третьим лицам (включая трансграничную передачу) осуществляется только в случаях, установленных законодательством, либо с письменного согласия субъекта ПД. При трансграничной передаче ПД Оператор обязан до начала такой передачи уведомить Роскомнадзор в порядке, установленном ч. 7 ст. 12 Закона о ПД. 5.5. Поручение обработки персональных данных третьим лицам осуществляется на основании договора (соглашения), в котором определяются перечень действий с ПД, цели обработки, обязанность обеспечить конфиденциальность ПД и их безопасность. 5.6. Биометрические персональные данные обрабатываются исключительно при наличии письменного согласия субъекта ПД, за исключением случаев, предусмотренных законодательством. 5.7. С 01.09.2025 года согласие субъекта персональных данных на обработку его ПД оформляется исключительно в виде отдельного самостоятельного документа. Включение согласия в текст договора, анкеты, оферты или иного документа не допускается. Передача персональных данных третьим лицам — облачным сервисам, SMS-агрегаторам, операторам мессенджеров и иным обработчикам — требует получения отдельного согласия субъекта с указанием конкретного получателя и целей передачи. 6.1. Персональные данные хранятся в течение сроков, необходимых для достижения целей их обработки, если иное не предусмотрено законодательством:

• – медицинская документация пациентов — 25 лет (медицинские карты), рентгенограммы — 5 лет (в соответствии с приказом Минздрава России от 31.07.2020 №789н);
• – персональные данные работников, используемые в бухгалтерском учёте, — 50 лет (Федеральный закон от 22.10.2004 №125-ФЗ);
• – договоры на оказание медицинских услуг — 5 лет после завершения срока их действия;
• – согласия на обработку ПД — в течение всего срока обработки ПД и не менее 3 лет после прекращения обработки;

– иные документы, содержащие ПД, — в соответствии с номенклатурой дел Оператора и требованиями законодательства. 6.2. По истечении сроков хранения персональные данные подлежат уничтожению в порядке, установленном Положением об уничтожении носителей персональных данных. 7.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от несанкционированного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. 7.2. Обеспечение безопасности персональных данных достигается, в частности, следующими мерами:

• – назначением Администратора информационной безопасности, ответственного за организацию обработки персональных данных и за обеспечение безопасности ПД;
• – изданием локальных нормативных актов, регулирующих порядок обработки и защиты ПД;
• – ознакомлением работников, непосредственно осуществляющих обработку ПД, с требованиями законодательства и локальными актами;
• – организацией физической защиты помещений, в которых обрабатываются ПД;
• – разграничением прав доступа работников к информационным системам, содержащим ПД;
• – применением антивирусных средств защиты информации;
• – применением сертифицированных средств криптографической защиты информации при необходимости;
• – обнаружением фактов несанкционированного доступа к ПД и принятием мер по реагированию на инциденты;
• – проведением периодических проверок соответствия требованиям по защите ПД;
• – резервным копированием баз данных, содержащих ПД.

7.3. Информационные системы персональных данных относятся к ИСПДн 3-го уровня защищённости (Постановление Правительства РФ от 01.11.2012 №1119). Технические меры защиты реализуются в соответствии с Приказом ФСТЭК России от 18.02.2013 №21. 8.1. Субъект персональных данных имеет право: 8.1.1. Получить подтверждение факта обработки его ПД Оператором, а также информацию о составе обрабатываемых данных, целях, сроках, источниках обработки — в течение 10 рабочих дней с момента обращения (ст. 14 Закона о ПД). 8.1.2. Требовать уточнения, блокирования или уничтожения ПД в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки. 8.1.3. Отозвать согласие на обработку персональных данных. Отзыв согласия не влечёт прекращения обработки ПД в случаях, когда обработка осуществляется на иных правовых основаниях. 8.1.4. Требовать прекращения обработки ПД в случаях, предусмотренных Законом о ПД. 8.1.5. Обжаловать неправомерные действия (бездействие) Оператора в Роскомнадзоре или в судебном порядке. 8.1.6. Требовать возмещения убытков и (или) компенсации морального вреда в судебном порядке в случае нарушения Оператором его прав. 8.2. Для реализации своих прав субъект ПД может обратиться к Оператору по адресу: 426063, Удмуртская Респ., г. Ижевск, ул. Орджоникидзе, д. 69, офис 3, или по электронной почте: izhdental@mail.ru. Обращение рассматривается в сроки, установленные ст. 20 Закона о ПД. 9.1. В случае выявления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов ПД (инцидент/утечка), Оператор обязан: 9.1.1. В течение 24 часов с момента обнаружения инцидента направить в Роскомнадзор уведомление о произошедшем инциденте, в котором указываются:

• – наименование Оператора, его ИНН, адрес;
• – дата и место обнаружения инцидента;
• – предполагаемые причины, повлёкшие нарушение прав субъектов ПД;
• – предполагаемый вред, нанесённый правам субъектов ПД;
• – принятые меры по устранению последствий инцидента;
• – сотрудник, уполномоченный взаимодействовать с Роскомнадзором.

9.1.2. В течение 72 часов с момента обнаружения инцидента направить в Роскомнадзор уведомление о результатах внутреннего расследования, в котором указываются:

• – перечень обрабатываемых ПД, в отношении которых допущено нарушение;
• – категории и приблизительное количество субъектов ПД;
• – категории и приблизительное количество записей ПД;
• – принятые меры по реагированию на инцидент;
• – лица, допустившие нарушение (если установлены).

9.2. Уведомление направляется через Портал персональных данных (pd.rkn.gov.ru). 9.3. Оператор также принимает меры по уведомлению субъектов ПД, чьи данные были скомпрометированы, если такое уведомление способно предотвратить или уменьшить ущерб для субъектов. 10.1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, несут ответственность, предусмотренную законодательством Российской Федерации. 10.2. За нарушения в области персональных данных законодательством Российской Федерации предусмотрены следующие виды ответственности:

• – дисциплинарная ответственность — в соответствии с Трудовым кодексом Российской Федерации;
• – гражданско-правовая ответственность — возмещение убытков и компенсация морального вреда субъектам персональных данных;
• – административная ответственность — по ст. 13.11 КоАП РФ (нарушение законодательства о персональных данных, включая необеспечение уведомления Роскомнадзора и утечку персональных данных) и по ст. 13.14 КоАП РФ (разглашение информации с ограниченным доступом). С 30.05.2025 года действуют существенно увеличенные санкции по ст. 13.11 КоАП РФ, установленные Федеральным законом от 30.11.2024 №420-ФЗ и Федеральным законом от 28.02.2025 №23-ФЗ;
• – уголовная ответственность — по ст. 137 УК РФ (нарушение неприкосновенности частной жизни) и по ст. 272.1 УК РФ (незаконные действия с персональными данными, введена Федеральным законом от 30.11.2024 №420-ФЗ с 11.12.2024).

10.3. Конкретные составы правонарушений и санкции определяются действующей редакцией соответствующих кодексов и федеральных законов на момент совершения нарушения. 11.1. Настоящая Политика вступает в силу с момента её утверждения руководителем Оператора. 11.2. Политика подлежит пересмотру и актуализации не реже одного раза в год, а также при изменении законодательства о персональных данных. 11.3. Администратор информационной безопасности обязан следить за актуальностью настоящей Политики и инициировать её обновление при необходимости. 11.4. По всем вопросам, связанным с обработкой персональных данных, можно обратиться к Администратору информационной безопасности:

• – адрес: 426063, Удмуртская Респ., г. Ижевск, ул. Орджоникидзе, д. 69, офис 3;
• – телефон: 8(3412) 57-02-02;
• – электронная почта: izhdental@mail.ru.