Політика конфіденційності щодо обробки персональних даних

1 ЗАГАЛЬНІ ПОЛОЖЕННЯ

Ця Політика визначає порядок обробки персональних даних та заходів щодо забезпечення безпеки персональних даних у Medical Platform (далі – Оператор) з метою захисту прав і свобод людини та громадянина при обробці його персональних даних, у тому числі захисту прав на недоторканність приватної життя, особисту та сімейну таємницю.

У Політиці використовують такі основні поняття:

автоматизована обробка персональних даних – обробка персональних даних за допомогою засобів обчислювальної техніки;

блокування персональних даних - тимчасове припинення обробки персональних даних (за винятком випадків, якщо обробка необхідна для уточнення персональних даних);

інформаційна система персональних даних - сукупність персональних даних, що містяться в базах даних, що забезпечують їх обробку інформаційних технологій і технічних засобів;

знеособлення персональних даних - дії, внаслідок яких неможливо визначити без використання додаткової інформації належність персональних даних конкретному суб'єкту персональних даних;

обробка персональних даних - будь-яка дія (операція) або сукупність дій (операцій), що здійснюються з використанням засобів автоматизації або без використання таких засобів із персональними даними, включаючи збирання, запис, систематизацію, накопичення, зберігання , уточнення (оновлення, зміна), вилучення, використання, передачу (поширення, надання, доступ), знеособлення, блокування, видалення, знищення персональних даних;

оператор - державний орган, муніципальний орган, юридична або фізична особа, які самостійно або спільно з іншими особами організовують і (або) здійснюють обробку персональних даних, а також визначають цілі обробки персональних даних, склад персональних даних, що підлягають обробці, дії (операції), що здійснюються з персональними даними;

персональні дані – будь-яка інформація, що відноситься до прямо або опосередковано визначеної або визначеної фізичної особи (суб'єкта персональних даних);

надання персональних даних – дії, спрямовані на розкриття персональних даних певній особі або певному колу осіб;

розповсюдження персональних даних - дії, спрямовані на розкриття персональних даних невизначеному колу осіб (передача персональних даних) або на ознайомлення з персональними даними необмеженого кола осіб, у тому числі оприлюднення персональних даних у засобах масової інформації, розміщення в інформаційно-телекомунікаційних мережах або надання доступу до персональних даних будь-яким іншим способом;

транскордонна передача персональних даних - передача персональних даних на територію іноземної держави органу влади іноземної держави, іноземній фізичній чи іноземній юридичній особі.

знищення персональних даних - дії, внаслідок яких неможливо відновити зміст персональних даних в інформаційній системі персональних даних та (або) внаслідок яких знищуються матеріальні носії персональних даних;

Компанія зобов'язана опублікувати чи іншим чином забезпечити необмежений доступ до цієї Політики обробки персональних даних.

2 ПРИНЦИПИ І УМОВИ ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ

2.1 Принципи обробки персональних даних

Обробка персональних даних у Оператора здійснюється на основі наступних принципів:

• законності та справедливої ​​основи;
• обмеження обробки персональних даних досягненням конкретних, заздалегідь визначених та законних цілей;
• недопущення обробки персональних даних, несумісної з метою збору персональних даних;
• недопущення об'єднання баз даних, що містять персональні дані, обробка яких здійснюється з метою, несумісною між собою;
• обробки лише персональних даних, які відповідають цілям їх обробки;
• відповідності змісту та обсягу оброблюваних персональних даних заявленим цілям обробки;
• недопущення обробки персональних даних, надлишкових по відношенню до заявлених цілей їх обробки;
• забезпечення точності, достатності та актуальності персональних даних по відношенню до цілей обробки персональних даних;
• знищення або знеособлення персональних даних щодо досягнення цілей їх обробки або у разі втрати необхідності в досягненні цих цілей, за неможливості усунення Оператором допущених порушень персональних даних, якщо інше не передбачено законом.

2.2 Умови обробки персональних даних

Оператор здійснює обробку персональних даних за наявності хоча б однієї з таких умов:

• обробка персональних даних здійснюється за згодою суб'єкта персональних даних на обробку його персональних даних;
• обробка персональних даних необхідна для досягнення цілей, передбачених міжнародним договором України або законом, для здійснення та виконання покладених законодавством України на оператора функцій, повноважень та обов'язків;
• обробка персональних даних необхідна для здійснення правосуддя, виконання судового акта, акта іншого органу або посадової особи, які підлягають виконанню відповідно до законодавства України про виконавче провадження;
• обробка персональних даних необхідна для виконання договору, стороною якого або вигодонабувачем або поручителем за яким є суб'єкт персональних даних, а також для укладання договору з ініціативи суб'єкта персональних даних або договору, за яким суб'єкт персональних даних буде вигодонабувачем або поручителем;
li>
• обробка персональних даних необхідна для здійснення прав та законних інтересів оператора чи третіх осіб або для досягнення суспільно значимих цілей за умови, що при цьому не порушуються права та свободи суб'єкта персональних даних;
• здійснюється обробка персональних даних, доступ необмеженого кола осіб до яких надано суб'єктом персональних даних або на його прохання (далі - загальнодоступні персональні дані);
• здійснюється обробка персональних даних, що підлягають опублікуванню або обов'язковому розкриттю відповідно до закону.

2.3 Конфіденційність персональних даних

Оператор та інші особи, які отримали доступ до персональних даних, зобов'язані не розкривати третім особам і не поширювати персональні дані без згоди суб'єкта персональних даних, якщо інше не передбачено законом.

2.4 Загальнодоступні джерела персональних даних

З метою інформаційного забезпечення у Оператора можуть створюватися загальнодоступні джерела персональних даних суб'єктів, у тому числі довідники та адресні книги. До загальнодоступних джерел персональних даних за письмовою згодою суб'єкта можуть включатися його прізвище, ім'я, по батькові, дата і місце народження, посада, номери контактних телефонів, адреса електронної пошти та інші персональні дані, що повідомляються суб'єктом персональних даних.

Відомості про суб'єкта повинні бути у будь-який час виключені із загальнодоступних джерел персональних даних на вимогу суб'єкта або за рішенням суду або інших уповноважених державних органів.

2.5 Спеціальні категорії персональних даних

Обробка Оператором спеціальних категорій персональних даних, що стосуються расової, національної приналежності, політичних поглядів, релігійних чи філософських переконань, стану здоров'я, інтимної життя, допускається у випадках, коли:

• суб'єкт персональних даних дав згоду у письмовій формі на обробку своїх персональних даних;
• персональні дані зроблені загальнодоступними суб'єктом персональних даних;
• обробка персональних даних здійснюється відповідно до законодавства про державну соціальну допомогу, трудового законодавства, законодавства України про пенсії з державного пенсійного забезпечення, трудових пенсій;
• обробка персональних даних необхідна для захисту життя, здоров'я або інших життєво важливих інтересів суб'єкта персональних даних або життя, здоров'я або інших життєво важливих інтересів інших осіб і отримання згоди суб'єкта персональних даних неможливе;
• обробка персональних даних здійснюється в медико-профілактичних цілях, з метою встановлення медичного діагнозу, надання медичних та медико-соціальних послуг за умови, що обробка персональних даних здійснюється особою, яка професійно займається медичною діяльністю та зобов'язана відповідно до законодавства України зберігати лікарську таємницю ;
• обробка персональних даних необхідна для встановлення або здійснення прав суб'єкта персональних даних або третіх осіб, а також у зв'язку із здійсненням правосуддя;
• обробка персональних даних здійснюється відповідно до законодавства про обов'язкові види страхування, зі страховим законодавством.

Обробка спеціальних категорій персональних даних має бути негайно припинена, якщо усунуті причини, внаслідок яких здійснювалася їх обробка, якщо інше не встановлено законом.

Обробка персональних даних про судимість може здійснюватися Оператором виключно у випадках і в порядку, що визначаються відповідно до законів.

2.6 Біометричні персональні дані

Відомості, що характеризують фізіологічні та біологічні особливості людини, на підставі яких можна встановити її особистість - біометричні персональні дані - можуть оброблятися Оператором лише за наявності згоди у письмовій формі суб'єкта.

2.7 Доручення обробки персональних даних іншій особі

Оператор має право доручити обробку персональних даних іншій особі за згодою суб'єкта персональних даних, якщо інше не передбачено законом, на підставі договору, що укладається з цією особою. Особа, яка здійснює обробку персональних даних за дорученням Оператора, зобов'язана дотримуватись принципів та правил обробки персональних даних, передбачених ЗУ.

2.8 Транскордонна передача персональних даних

Оператор зобов'язаний переконатися в тому, що іноземною державою, на територію якої передбачається здійснювати передачу персональних даних, забезпечується адекватний захист прав суб'єктів персональних даних до початку здійснення такої передачі

Транскордонна передача персональних даних на території іноземних держав, які не забезпечують адекватного захисту прав суб'єктів персональних даних, може здійснюватися у випадках:

• наявності згоди в письмовій формі суб'єкта персональних даних на транскордонну передачу його персональних даних;
• виконання договору, стороною якого є суб'єкт персональних даних.

3 ПРАВА СУБ'ЄКТУ ПЕРСОНАЛЬНИХ ДАНИХ

3.1 Згода суб'єкта персональних даних на обробку його персональних даних

Суб'єкт персональних даних приймає рішення про надання його персональних даних та дає згоду на їх обробку вільно, своєю волею та у своєму інтересі. Згода на обробку персональних даних може бути надана суб'єктом персональних даних або його представником у будь-якій формі, що дозволяє підтвердити факт її отримання, якщо інше не встановлено законом.

Обов'язок надати доказ отримання згоди суб'єкта персональних даних на обробку його персональних даних або доказ наявності підстав, що покладається на Оператора.

3.2 Права суб'єкта персональних даних

Суб'єкт персональних даних має право на отримання у Оператора інформації щодо обробки його персональних даних, якщо таке право не обмежене відповідно до і законів. Суб'єкт персональних даних має право вимагати від Оператора уточнення його персональних даних, їх блокування чи знищення у разі, якщо персональні дані є неповними, застарілими, неточними, незаконно отриманими або не є необхідними для заявленої мети обробки, а також вживати передбачених законом заходів щодо захисту своїх прав .

Обробка персональних даних з метою просування товарів, робіт, послуг на ринку шляхом здійснення прямих контактів з потенційним споживачем за допомогою засобів зв'язку, а також з метою політичної агітації допускається лише за умови попередньої згоди суб'єкта персональних даних. Вказана обробка персональних даних визнається здійснюваною без попередньої згоди суб'єкта персональних даних, якщо Компанія не доведе, що така згода була отримана.

Оператор зобов'язаний негайно припинити на вимогу суб'єкта персональних даних обробку його персональних даних у вищезазначених цілях.

Забороняється прийняття на підставі виключно автоматизованої обробки персональних даних рішень, що породжують юридичні наслідки щодо суб'єкта персональних даних або іншим чином зачіпають його права та законні інтереси, за винятком випадків, передбачених і законами, або за наявності згоди у письмовій формі суб'єкта персональних даних .

Якщо суб'єкт персональних даних вважає, що Оператор здійснює обробку його персональних даних з порушенням вимог або іншим чином порушує його права та свободи, суб'єкт персональних даних має право оскаржити дії чи бездіяльність Оператора до Уповноваженого органу захисту прав суб'єктів персональних даних або у судовому порядку.

Суб'єкт персональних даних має право на захист своїх прав та законних інтересів, у тому числі на відшкодування збитків та (або) компенсацію моральної шкоди у судовому порядку.

4 ЗАБЕЗПЕЧЕННЯ БЕЗПЕКИ ПЕРСОНАЛЬНИХ ДАНИХ

Безпека персональних даних, що обробляються Оператором, забезпечується реалізацією правових, організаційних та технічних заходів, необхідних для забезпечення вимог законодавства в галузі захисту персональних даних.

Для запобігання несанкціонованому доступу до персональних даних Оператором вживаються такі організаційно-технічні заходи:

1. призначення посадових осіб, відповідальних за організацію обробки та захисту персональних даних;
2. обмеження складу осіб, які мають доступ до персональних даних;
3. ознайомлення суб'єктів з вимогами законодавства та нормативних документів Оператора з обробки та захисту персональних даних;
4. організація обліку, зберігання та обігу носіїв інформації;
5. визначення загроз безпеці персональних даних при їх обробці, формування на їх основі моделей загроз;
6. розробка на основі моделі загроз системи захисту персональних даних;
7. перевірка готовності та ефективності використання засобів захисту інформації;
8. розмежування доступу користувачів до інформаційних ресурсів та програмно-апаратних засобів обробки інформації;
9. реєстрація та облік дій користувачів інформаційних систем персональних даних;
10. використання антивірусних засобів та засобів відновлення системи захисту персональних даних;
11. застосування у необхідних випадках засобів міжмережевого екранування, виявлення вторгнень, аналізу захищеності та засобів криптографічного захисту інформації;
12. організація пропускного режиму на територію Оператора, охорони приміщень з технічними засобами обробки персональних даних.

5 ЗАКЛЮЧНІ ПОЛОЖЕННЯ

Інші права та обов'язки Оператора як оператора персональних даних визначаються законодавством України в галузі персональних даних.

Посадові особи Оператора, винні у порушенні норм, що регулюють обробку та захист персональних даних, несуть матеріальну, дисциплінарну, адміністративну, цивільно-правову або кримінальну відповідальність у порядку, встановленому і законами.