Поручение на обработку данных пациентов

1. Стороны и порядок заключения

1.1. Оператор — пользователь онлайн-сервиса «Dental-Journal» (врач, индивидуальный предприниматель или медицинская организация), принявший Публичную оферту о предоставлении доступа к Сервису (далее — Оферта) и вносящий в Сервис персональные данные своих пациентов.

1.2. Обработчик — Юсупов Магомед Юсупович, физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход», ИНН 054703628581, адрес электронной почты 89882134693@mail.ru.

1.3. Настоящий Договор является неотъемлемой частью Оферты и заключается одновременно с её акцептом. Внесение Оператором в Сервис первых данных пациентов подтверждает поручение Обработчику обработки этих данных на условиях настоящего Договора (часть 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — Закон).

1.4. По запросу Оператора — юридического лица или ИП стороны могут подписать настоящий Договор отдельным документом на бумаге или с использованием электронной подписи. Содержание такого документа не должно отличаться от настоящей редакции, если стороны письменно не согласуют иное.

2. Предмет поручения

2.1. Оператор поручает, а Обработчик принимает на себя обязательство обрабатывать персональные данные пациентов Оператора (далее — Персональные данные) исключительно в целях и в объёме, указанных в настоящем Договоре.

2.2. Цель обработки: обеспечение технической возможности для Оператора вести в Сервисе журнал записи пациентов — хранить, просматривать и изменять записи на приём, карточки пациентов и статусы визитов.

2.3. Перечень действий (операций) с Персональными данными, которые вправе совершать Обработчик:

— запись;

— систематизация;

— накопление;

— хранение (в том числе в резервных копиях);

— уточнение (обновление, изменение) — по действиям или указанию Оператора;

— извлечение — для отображения Оператору в Сервисе и выгрузки по его запросу;

— использование — только в целях, указанных в пункте 2.2;

— предоставление доступа — только Оператору и уполномоченным им пользователям его Учётной записи;

— блокирование;

— удаление;

— уничтожение.

2.4. Способ обработки: автоматизированная обработка с использованием средств вычислительной техники.

2.5. Категории субъектов: пациенты Оператора, а также их законные представители (при внесении Оператором).

2.6. Перечень Персональных данных (в объёме, вносимом Оператором):

— фамилия, имя, отчество;

— дата рождения (возраст);

— пол;

— номер телефона, адрес электронной почты;

— дата, время, длительность и статус визита (запись, подтверждён, состоялся, отменён, неявка и т. п.);

— сведения о планируемых и проведённых процедурах;

— заметки врача, в том числе сведения о состоянии здоровья — специальная категория персональных данных (статья 10 Закона).

2.7. Обработчик не обрабатывает биометрические персональные данные пациентов и не определяет цели обработки самостоятельно.

2.8. Обработчик не осуществляет обзвон пациентов, рассылки пациентам и иные контакты с ними.

3. Обязанности Оператора

3.1. Оператор гарантирует, что имеет законное основание для обработки Персональных данных и поручения их обработки Обработчику, в том числе:

— письменное согласие пациента на обработку сведений о состоянии здоровья (пункт 1 части 2 статьи 10 и часть 4 статьи 9 Закона), или

— иное основание, предусмотренное законом, включая обработку лицом, профессионально занимающимся медицинской деятельностью и обязанным сохранять врачебную тайну, в целях оказания медицинских услуг (пункт 4 части 2 статьи 10 Закона, статья 13 Федерального закона от 21.11.2011 № 323-ФЗ).

3.2. Оператор самостоятельно информирует пациентов об обработке их данных, в том числе о привлечении Обработчика, если это требуется законом, и отвечает на запросы пациентов (статьи 14, 20 Закона).

3.3. Оператор вносит в Сервис только те данные, которые необходимы для цели, указанной в пункте 2.2 (принцип минимизации, часть 5 статьи 5 Закона).

3.4. Оператор обеспечивает безопасность своих учётных данных и рабочих мест, с которых осуществляется доступ к Сервису, а также определяет, кто из его работников имеет доступ к Учётной записи.

3.5. Оператор самостоятельно исполняет обязанности оператора, предусмотренные Законом, в том числе по уведомлению Роскомнадзора об обработке персональных данных (статья 22 Закона) и об инцидентах (часть 3.1 статьи 21 Закона).

4. Обязанности Обработчика

4.1. Обработчик обязуется:

1. обрабатывать Персональные данные только в целях и в объёме, установленных настоящим Договором, и только по документированным указаниям Оператора (действия Оператора в интерфейсе Сервиса считаются такими указаниями);

2. соблюдать принципы и правила обработки персональных данных, предусмотренные Законом;

3. соблюдать конфиденциальность Персональных данных: не раскрывать третьим лицам и не распространять их без согласия субъекта или указания Оператора, если иное не предусмотрено федеральным законом (статья 7 Закона), а также сохранять конфиденциальность сведений, составляющих врачебную тайну, ставших ему известными;

4. принимать меры, необходимые для обеспечения безопасности Персональных данных, в соответствии со статьёй 19 Закона (раздел 5);

5. обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение Персональных данных граждан РФ с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона);

6. не осуществлять трансграничную передачу Персональных данных;

7. по запросу Оператора в течение срока действия поручения, в том числе до начала обработки, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных настоящей статьёй и статьёй 19 Закона, — в срок не более 10 (десяти) рабочих дней с даты запроса;

8. уведомлять Оператора об инцидентах в порядке раздела 6;

9. содействовать Оператору в исполнении запросов субъектов персональных данных и уполномоченного органа: в течение 2 (двух) рабочих дней перенаправлять Оператору поступившие Обработчику обращения пациентов и по запросу Оператора выполнять в Сервисе уточнение, блокирование или уничтожение данных, если Оператор не может сделать это самостоятельно;

10. не использовать Персональные данные для собственных целей, в том числе для аналитики, рекламы, обучения моделей, продажи или передачи третьим лицам;

11. допускать к Персональным данным только себя лично, а также Гусенова Ахмеда Гусеновича (пункт 7.2, строка 2), который действует по письменному поручению Обработчика, связан обязательством о конфиденциальности и вправе работать с Персональными данными исключительно для технического сопровождения Сервиса и хранения резервных копий. Обработчик не имеет работников по трудовому договору. Привлечение иных лиц к доступу к Персональным данным допускается только в порядке раздела 7. За действия лиц, допущенных к Персональным данным, Обработчик отвечает перед Оператором как за свои собственные.

4.2. Обработчик не несёт ответственности перед субъектами персональных данных за действия Оператора. Ответственность перед субъектом за действия Обработчика несёт Оператор; Обработчик несёт ответственность перед Оператором (часть 5 статьи 6 Закона).

5. Меры безопасности

5.1. Обработчик принимает следующие меры по обеспечению безопасности Персональных данных (статья 19 Закона):

1. определение угроз безопасности Персональных данных при их обработке в информационной системе Сервиса и оформление модели угроз;

2. определение уровня защищённости в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119 с учётом обработки специальных категорий персональных данных и выполнение соответствующих требований;

3. применение организационных и технических мер защиты в соответствии с составом и содержанием мер, утверждённых приказом ФСТЭК России от 18.02.2013 № 21, в объёме, соответствующем установленному уровню защищённости;

4. размещение Сервиса на облачной инфраструктуре, расположенной на территории РФ (раздел 7); при обращениях в техническую поддержку провайдера инфраструктуры Обработчик не передаёт ему Персональные данные и не предоставляет доступ к ним;

5. шифрование каналов передачи данных (HTTPS/TLS) между пользователем и Сервисом;

6. разграничение доступа: изоляция данных разных Операторов на уровне приложения; административный доступ (учётная запись на платформе Amvera, административная панель, база данных) — только у Обработчика и лица, указанного в строке 2 пункта 7.2, с использованием сложных паролей и двухфакторной аутентификации; пароли известны только этим лицам;

7. хранение паролей пользователей в виде криптографических хешей;

8. ежедневное резервное копирование, шифрование резервных копий и их хранение на территории РФ, регулярная проверка восстановления;

9. регистрация и учёт действий с Персональными данными: журналы входов и административных действий;

10. своевременная установка обновлений безопасности и контроль уязвимостей используемого программного обеспечения;

11. обнаружение фактов несанкционированного доступа и принятие мер реагирования;

12. учёт машинных носителей Персональных данных; резервные копии вне инфраструктуры, указанной в строке 1 пункта 7.2, хранятся только в зашифрованном виде на компьютере лица, указанного в строке 2 пункта 7.2, расположенном на территории РФ, не более 4 (четырёх) последних еженедельных копий; передача копий третьим лицам, в облачные хранилища, мессенджеры и иностранные сервисы запрещена;

13. контроль за принятыми мерами и уровнем защищённости не реже 1 (одного) раза в год;

14. взаимодействие с ГосСОПКА в случаях и порядке, предусмотренных частью 12 статьи 19 Закона.

5.2. Обработчик не просматривает содержимое Персональных данных, кроме случаев, когда это необходимо для устранения технической неисправности по обращению Оператора, по его указанию или для исполнения требований закона. Каждый такой случай фиксируется в журнале.

6. Инциденты

6.1. При выявлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) Персональных данных, повлёкшей нарушение прав субъектов (далее — Инцидент), Обработчик:

1. незамедлительно, но не позднее 12 (двенадцати) часов с момента выявления, уведомляет Оператора по электронной почте Учётной записи и в интерфейсе Сервиса, сообщая известные сведения: о характере Инцидента, предполагаемых причинах, категориях и примерном количестве затронутых записей, предполагаемом вреде, принятых мерах, контактном лице;

2. принимает меры по устранению последствий Инцидента;

3. проводит внутреннее расследование и не позднее 48 (сорока восьми) часов с момента выявления сообщает Оператору его результаты, а также сведения о лицах, действия которых стали причиной Инцидента (при наличии).

6.2. Сроки, указанные в пункте 6.1, установлены так, чтобы Оператор мог исполнить свою обязанность уведомить Роскомнадзор в течение 24 часов об Инциденте и в течение 72 часов о результатах расследования (часть 3.1 статьи 21 Закона). Уведомление Роскомнадзора об Инциденте с Персональными данными пациентов направляет Оператор; Обработчик оказывает ему содействие и по просьбе Оператора предоставляет необходимые сведения.

6.3. Обработчик ведёт журнал Инцидентов и предоставляет Оператору сведения из него по запросу.

7. Привлечение третьих лиц

7.1. Оператор даёт согласие на привлечение Обработчиком лиц, указанных в Перечне привлечённых лиц (пункт 7.2), в объёме и для целей, указанных в Перечне. Обработчик заключает с каждым таким лицом договор (поручение), отвечающий требованиям части 3 статьи 6 Закона и обязывающий его соблюдать конфиденциальность, требования к защите Персональных данных и хранить их на территории РФ.

7.2. Перечень привлечённых лиц (субобработчиков)

7.3. Изменение Перечня. Обработчик вправе дополнить или изменить Перечень, уведомив Оператора по электронной почте Учётной записи и в интерфейсе Сервиса не менее чем за 10 (десять) календарных дней до начала обработки новым лицом. Новое лицо должно обрабатывать Персональные данные только на территории РФ. Если Оператор в указанный срок письменно возражает, Обработчик не передаёт ему Персональные данные данного Оператора, а при невозможности этого Оператор вправе отказаться от Оферты с возвратом средств за неиспользованный период. Продолжение использования Сервиса после истечения срока без возражений означает согласие Оператора на изменение Перечня.

7.4. Передача Персональных данных лицам, не указанным в Перечне, не допускается.

7.5. Обработчик отвечает перед Оператором за действия (бездействие) лиц, указанных в Перечне, как за свои собственные, и обеспечивает соблюдение ими требований настоящего Договора, в том числе разделов 5 и 6.

8. Срок действия и прекращение обработки

8.1. Договор действует в течение срока действия Оферты в отношении соответствующего Оператора.

8.2. Оператор вправе в любое время удалить Персональные данные из Сервиса самостоятельно или потребовать их уничтожения.

8.3. При прекращении Оферты (Договора о предоставлении доступа) Обработчик:

1. в течение 30 (тридцати) календарных дней сохраняет Персональные данные в заблокированном виде для возможности выгрузки Оператором или возобновления доступа;

2. по требованию Оператора в течение этого срока предоставляет выгрузку данных в машиночитаемом формате (например, CSV/XLSX) защищённым способом;

3. по истечении указанного срока или ранее — по требованию Оператора — уничтожает Персональные данные в рабочей базе данных, а в резервных копиях — по истечении срока их ротации, но не позднее 30 (тридцати) календарных дней с даты уничтожения в рабочей базе данных;

4. по запросу Оператора подтверждает уничтожение (акт или письмо по электронной почте с указанием даты и способа уничтожения).

8.4. Обработчик вправе хранить Персональные данные после прекращения Договора только в случаях, прямо предусмотренных федеральным законом.

9. Ответственность

9.1. Стороны несут ответственность за нарушение настоящего Договора в соответствии с законодательством РФ и с учётом раздела 10 Оферты.

9.2. Оператор отвечает за наличие законных оснований для обработки Персональных данных и за достоверность гарантий, данных в разделе 3.

9.3. Обработчик отвечает перед Оператором за обработку Персональных данных с нарушением настоящего Договора, а также за неисполнение мер безопасности, предусмотренных разделом 5.

10. Заключительные положения

10.1. В части, не урегулированной настоящим Договором, применяются условия Оферты и законодательство РФ.

10.2. Изменение настоящего Договора производится в порядке изменения Оферты. Изменения, снижающие уровень защиты Персональных данных, не допускаются.

11. Реквизиты Обработчика

— ФИО: Юсупов Магомед Юсупович

— ИНН: 054703628581

— Статус: физическое лицо, плательщик налога на профессиональный доход (самозанятый)

— Email для уведомлений и запросов (официальный канал): 89882134693@mail.ru

— Telegram (оперативная связь, без передачи Персональных данных): @blackcharter, @closefor

— Сайт: https://dental-journal.ru

Реквизиты Оператора — данные, указанные им при регистрации в Сервисе.