Поручение на обработку персональных данных
Приложение к Публичной оферте
Поручение на обработку персональных данных
Настоящий документ определяет условия поручения на обработку персональных данных и является неотъемлемым Приложением к Публичной оферте на использование Сервиса, размещенной по адресу: https://mis.32top.ru/publichnaya-oferta/.
Настоящий договор на поручение обработки персональных данных (далее также «Оферта», «Договор») заключается ООО «Айкомплекс», (далее – «Обработчик») с юридическим лицом или индивидуальным предпринимателем, физическим лицом, (далее — «Оператор») с которым ООО «Айкомплекс» заключило лицензионный договор на использование программного обеспечения, на условиях, изложенных ниже.
Настоящий Договор является публичным Договором-офертой в соответствии ст. 435 и 437 Гражданского кодекса РФ.
Настоящий договор признается заключенным с момента его акцепта Оператором. Под акцептом в целях настоящего договора признается дата начала срока действия лицензионного договора на использование программного обеспечения,
1. Предмет
1.1. Оператор поручает Обработчику обработку следующих персональных данных (далее – Субъекты):
1.1.1. фамилия, имя, отчество;
1.1.2. дата рождения;
1.1.3. медицинские показатели: сведения о заболеваниях, анализы, результаты рентгена, компьютерной томографии, назначения, сведения о проделанных операциях и медицинских процедурах;
1.1.4. Фотография и видео.
1.2. Обработчик вправе совершать следующие действия (операции) с персональными данными: получение, сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение, с передачей и без передачи по локальной сети, с передачей и без передачи по информационно-телекоммуникационной сети интернет, как с использованием средств автоматизации, так и без использования таковых.
1.3. Обработчик осуществляет обработку персональных данных в целях организации работы предприятия Оператора посредством Сервиса МИС 32top.
1.4. Оператор заверяет:
1.4.1. Персональные данные получены законными способами, цели сбора персональных данных совместимы с целями, указанными в Соглашении;
1.4.2. Субъекты дали согласие на обработку;
1.4.3. Оператор своевременно уведомит обработчика об отзыве субъектом согласия на обработку или достижении цели обработки в отношении определенного субъекта персональных данных.
2. Порядок исполнения поручения
2.1. Обработчик получает персональные данные от:
2.1.1. Оператора через программное обеспечение «Сервис МИС 32top»;
2.2. Срок обработки: срок действия соглашения.
2.3. Если субъект обратился к обработчику с запросом на получение информации, касающейся обработки его персональных данных, обработчик информирует об этом оператора и действует в соответствии с требованиями законодательства РФ.
2.4. Обработчик обязуется представлять Оператору по его требованию информацию о ходе исполнения поручения Обработчик обрабатывает персональные данные на основе следующих принципов:
2.4.1. законная и справедливая основа обработки;
2.4.2. обработка в соответствии с конкретными, заранее определенными и законными целями;
2.4.3. недопущение объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
2.4.4. соответствие содержания и объема персональных данных заявленным целям обработки;
2.4.5. точность, достаточность, актуальность и достоверность персональных данных;
2.4.6. законность технических мер, направленных на обработку;
2.4.7. разумность и целесообразность обработки;
2.4.8. хранение персональных данных не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом, договором;
2.4.9. Уничтожение или обезличивание персональных данных по достижении целей обработки или в случае утраты необходимости в их достижении, если иное не предусмотрено законом.
2.5. Обработчик обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.
2.6. Обработчик обязан по запросу оператора в течение срока действия поручения, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований закона и поручения.
3. Меры по соблюдению требований законодательства
3.1. Обработчик обеспечивает реализацию правовых, организационных и технических мер, необходимых и достаточных для обеспечения защиты персональных данных:
- разработка локальных документов, реализующих требования законодательства РФ;
- отказ от любых способов обработки, не соответствующих целям, указанным в соглашении.
Организационные меры:
- назначение лица, ответственного за организацию обработки;
- ограничение состава работников, имеющих доступ к персональным данным, и организацию разрешительной системы доступа к ним;
- инструктаж и ознакомление работников, осуществляющих обработку, с положениями законодательства РФ о персональных данных, в том числе с требованиями к защите персональных данных, с локальными актами, регламентирующими порядок работы и защиты персональных данных;
- периодическая оценка рисков, касающихся процесса обработки;
- проведение периодических проверок в целях осуществления внутреннего контроля соответствия обработки требованиям законодательства РФ.
Технические меры:
- предотвращение, в том числе путем проведение внутренних расследований, несанкционированного доступа к системам, в которых хранятся персональные данные;
- хранение и восстановление персональных данных, работоспособности технических средств и программного обеспечения, средств защиты информации в информационных системах персональных данных;
- иные необходимые меры безопасности.
3.2. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав Субъектов, Обработчик обязан с момента выявления такого инцидента уведомить Оператора по адресам электронной почты в течение 12 часов:
- о произошедшем инциденте, включая перечень персональных данных, категории Субъектов, количество Субъектов, затронутых инцидентом;
- о предполагаемых причинах, повлекших нарушение прав Субъектов;
- о предполагаемом вреде, нанесенном правам Субъектов;
- о принятых мерах по устранению последствий соответствующего инцидента;
- о лице, уполномоченном обработчиком на реагирование и расследованию инцидента.
3.2.1 В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав Субъектов, Обработчик обязан с момента выявления такого инцидента уведомить Оператора по адресам электронной почты, в течение 48 часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
4. Уничтожение персональных данных
4.1. Обработчик по запросу оператора должен уничтожить определенные оператором или все персональные данные, которые были поручены ему на обработку, в течение 15 (пятнадцати) календарных дней с момента получения запроса, если обработка их не требуется согласно законодательству российской федерации.
4.2. Оператор вправе в течение всего срока действия поручения запрашивать у обработчика копии документов, а также документов, содержащих записи событий в информационных системах персональных данных обработчика, подтверждающих уничтожение персональных данных, переданных ему на обработку.
4.3. Обработчик предоставляет оператору копии документов в течение 5 (пяти) рабочих дней с даты получения соответствующего запроса оператора.
4.4. В случае отсутствия возможности уничтожения персональных данных в течение 15 (пятнадцати) календарных дней с момента поступления запроса от Оператора Обработчик:
4.4.1. осуществляет блокирование таких персональных данных
4.4.2. Обеспечивает уничтожение персональных данных в срок, не превышающий 6 месяцев.
4.5. О факте блокирования обработчик сообщает оператору в течение 15 (пятнадцати) календарных дней с момента поступления запроса от оператора.
4.6. В случае невозможности уничтожить персональные данные по запросу оператора в связи с необходимостью их обработки, связанной с исполнением требований законодательства российской федерации, обработчик направляет мотивированное обоснование о невозможности уничтожения или блокировки персональных данных оператору в течение 15 (пятнадцати) календарных дней с момента поступления запроса от оператора.
5. Конфиденциальность и защита данных
5.1. Стороны обязуются соблюдать режим конфиденциальности в отношении персональных данных, ставших им известными при исполнении соглашения, в течение срока действия соглашения.
5.2. Персональные данные подлежат уничтожению (обезличиванию) по достижении целей обработки.
5.3. Обработчик обеспечивает безопасность персональных данных посредством:
5.3.1. определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
5.3.2. применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке;
5.3.3. оценки эффективности принимаемых мер по обеспечению безопасности персональных данных;
5.3.4. обнаружения фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий атак;
5.3.5. восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
5.3.6. установления правил доступа к персональным данным;
5.3.7. Контроля за принимаемыми мерами по обеспечению безопасности персональных данных.
5.4. Обработчик определяет тип угроз и осуществляет выбор средств защиты в соответствии с законодательством РФ.
5.5. Обработчик обязуется раскрывать информацию о персональных данных своим работникам и иным лицам, вовлеченным в обработку, только в тех пределах, которые необходимы для достижения целей, определенных в поручении.
6. Ответственность
6.1. Ответственность перед субъектом за действия обработчика несет оператор.
6.2. Оператор обязан по запросу Обработчика, предоставить копию согласия поручения обработки персональных данных от пациента.
6.3. Во всех остальных случаях, сторон унесут ответственность согласно законодательству РФ.
7. Реквизиты Обработчика
Наименование: ООО «АЙКОМПЛЕКС»
Юридический адрес: 654007 г. Новокузнецк, ул. Ермакова 11, офис 5
ОГРН 1154217003049
ИНН/КПП 4217170238/421701001
р/с 40702810926000006514
Отделение № 8615 Сбербанка России г. Кемерово
к/с 30101810200000000612
БИК 043207612
