Политика обработки персональных данных

Общество с ограниченной ответственностью «Кайрост» Редакция от [дата редакции]. Опубликована по адресу https://cardio.kairost.ru/privacy.

1. Общие положения

1.1. Политика описывает, какие персональные данные обрабатывает ООО «Кайрост» (ИНН 7715730946, ОГРН 5087746604886, адрес: 127349, г. Москва, Шенкурский проезд, д. 3Б, оф. 108; далее — Оператор), зачем, на каком основании, как долго и как их защищает. Политика принята во исполнение Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон).

1.2. Политика распространяется на обработку персональных данных:

• на сайте https://cardio.kairost.ru и в личном кабинете «Измерения Хронос III» (далее — Кабинет);
• в системе приёма и расчёта измерений, которые прибор «Хронос 3» передаёт через программу «Регистратор».

1.3. Оператор внесён в реестр операторов персональных данных под номером [рег. номер в реестре РКН].

1.4. Ответственный за организацию обработки персональных данных — [ответственный за обработку ПДн]. Обращения по вопросам персональных данных: [e-mail], почтовый адрес [почтовый адрес для обращений].

2. Принципы

Оператор обрабатывает персональные данные законно и справедливо: только для целей из раздела 3, только данные, нужные для этих целей, и не дольше, чем нужно. Оператор не обрабатывает данные для рекламы, не продаёт и не передаёт их третьим лицам для их собственных целей.

3. Цели, данные, основания и сроки

№	Цель	Чьи данные	Какие данные	Основание	Срок
1	Приём, хранение и расчёт измерений, переданных с прибора	пользователи карт измерений	логин карты, идентификатор прибора, запись ЭКГ, RR-интервалы, дата и время измерения, рассчитанные показатели вариабельности сердечного ритма, оценка ПАРС, тексты заключений	согласие пользователя, данное при создании карты (условия)	до отзыва согласия или удаления карты; уничтожение — в течение 30 дней
2	Доступ к Кабинету и показ результатов измерений	пользователи карт	логин и пароль карты, идентификатор, тип и статус карты, срок подписки, серийный номер прибора, ФИО (если указано), данные из цели 1, комментарии и даты, которые пользователь вносит сам	то же	то же
3	Анкета к измерению и расчёт дополнительной части отчёта	пользователи карт; у корпоративных карт — лица, на которых заполняется анкета	ФИО, дата рождения, пол, рост, вес, артериальное давление (низкое, нормальное, высокое), ответы о курении, сне, частых простудах, одышке, болях в груди, болях в животе, отёках, сведения о хронических заболеваниях (11 групп)	то же	то же
4	Показ владельцу прибора списка карт на его приборе	пользователи карт на приборе	логин, ФИО, тип и статус карты, дата регистрации, срок подписки	согласие пользователей карт	пока карта привязана к прибору
5	Работа и безопасность сайта и Кабинета	посетители сайта, пользователи карт	IP-адрес, сведения о браузере, дата и время запросов, адреса страниц, сессионный файл cookie, события входа, выхода, неверных паролей и блокировок	исполнение правил пользования Кабинетом (ст. 6 ч. 1 п. 5); законный интерес Оператора в защите системы (ст. 6 ч. 1 п. 7)	журналы — [срок хранения журналов]; cookie — до закрытия браузера или 24 минут бездействия
6	Учёт отзывов согласия и уничтожения данных	пользователи карт, отозвавшие согласие	логин карты, ФИО, дата отзыва, акт об уничтожении	исполнение обязанностей Оператора (ст. 6 ч. 1 п. 2; ст. 21; приказ РКН № 179)	3 года с даты акта
7	Ответы на обращения и запросы	лица, обратившиеся к Оператору	ФИО, контактные данные, сведения из обращения, реквизиты документа, если они нужны по закону	исполнение обязанностей Оператора (ст. 6 ч. 1 п. 2; ст. 14 Закона)	[срок хранения обращений]

Сведения о состоянии здоровья (цели 1–3) Оператор обрабатывает на основании согласия, которое пользователь дал, создав карту измерений; условия этого согласия — на странице https://cardio.kairost.ru/consent. Новые карты не выдаются.

Оператор не обрабатывает биометрические персональные данные и не принимает на основании исключительно автоматизированной обработки решений, которые порождают для пользователя юридические последствия. Отчёт в Кабинете носит информационный характер (раздел 9).

4. Действия с данными

Оператор собирает, записывает, систематизирует, накапливает, хранит, уточняет, извлекает, использует, блокирует, удаляет и уничтожает персональные данные автоматизированным способом. Данные не распространяются (не публикуются).

5. Где хранятся данные

5.1. Данные хранятся и обрабатываются в базах данных на серверах в Российской Федерации: [хостер сервера обработки, ЦОД в РФ]; [хостер сайта и кабинета, ЦОД в РФ].

5.2. Трансграничная передача персональных данных не осуществляется. Сайт и Кабинет не загружают шрифты, скрипты и другие ресурсы с иностранных серверов и не используют сторонние счётчики посещений.

6. Кому передаются данные

6.1. Оператор поручает хранение данных на серверах хостинг-провайдерам в Российской Федерации ([хостер сайта и кабинета, ЦОД в РФ], [хостер сервера обработки, ЦОД в РФ]) по договору, который обязывает их соблюдать конфиденциальность и защищать данные (ст. 6 ч. 3 Закона).

6.2. Государственным органам — только в случаях, предусмотренных законом.

6.3. Владельцу прибора — сведения о картах на его приборе (цель 4).

7. Файлы cookie

Сайт и Кабинет используют один сессионный файл cookie, без которого вход в Кабинет невозможен. Он удаляется при закрытии браузера или через 24 минуты бездействия. Аналитические и рекламные cookie не используются.

8. Права пользователя и как ими воспользоваться

8.1. Пользователь вправе:

• получить сведения о том, какие его данные обрабатываются, зачем и как;
• потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, неточные, получены незаконно или не нужны для цели;
• отозвать согласие;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

8.2. Как обратиться:

• отозвать согласие — письмом на [e-mail] или [почтовый адрес для обращений] с логином карты и ФИО;
• запрос о своих данных — письмом на [почтовый адрес для обращений] или электронным документом на [e-mail]. Запрос должен позволять установить, что он исходит от пользователя карты: логин карты, ФИО, реквизиты документа, удостоверяющего личность, подпись (ст. 14 ч. 3 Закона).

8.3. Сроки ответа Оператора:

• сведения о данных — в течение 10 рабочих дней с получения запроса; срок может быть продлён не более чем на 5 рабочих дней с объяснением причин;
• отзыв согласия — обработка прекращается, данные уничтожаются в течение 30 дней, если закон не требует их хранить; если уничтожить в срок нельзя — данные блокируются и уничтожаются не позднее 6 месяцев;
• неправомерная обработка — прекращается в течение 3 рабочих дней; если устранить нарушение нельзя — данные уничтожаются в течение 10 рабочих дней.

8.4. Отзыв согласия означает, что Кабинет перестаёт показывать данные карты, а Оператор прекращает приём и расчёт её измерений.

9. Немедицинский характер сервиса

Прибор «Хронос 3», программа «Регистратор» и Кабинет предназначены для самостоятельного наблюдения за показателями сердечного ритма и не являются медицинским изделием. Показатели и тексты отчёта не являются медицинским заключением и не заменяют консультацию врача.

10. Как Оператор защищает данные

Оператор:

• назначил ответственных за организацию обработки и за безопасность данных;
• утвердил локальные акты по обработке и защите данных и знакомит с ними работников;
• определил угрозы безопасности и уровень защищённости информационной системы, применяет меры по требованиям Правительства РФ и ФСТЭК России;
• ограничивает доступ к данным кругом лиц, которым он нужен для работы, с отдельными учётными записями;
• шифрует передачу данных через интернет;
• ведёт журналы событий безопасности, делает резервные копии и проверяет восстановление;
• учитывает носители данных и уничтожает данные способом, который исключает восстановление;
• оценивает эффективность мер не реже одного раза в 3 года;
• при утечке уведомляет Роскомнадзор в сроки, установленные законом (24 и 72 часа).

11. Заключительные положения

11.1. Оператор может изменять Политику. Новая редакция действует с момента публикации на сайте; предыдущие редакции доступны по ссылке на этой странице.

11.2. Если изменения затрагивают цели или состав данных, для которых нужно согласие, Оператор запрашивает новое согласие.