Политика в отношении обработки персональных данных ЗАО «НМЦ «Софиатрия»

1. Общие положения

1.1. Политика определяет, как ЗАО «НМЦ «Софиатрия» обрабатывает и защищает персональные данные. Она принята во исполнение п. 2 ч. 1 и ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон).

1.2. Политика действует в отношении всех данных, которые клиника получает: в клинике, по телефону, в мессенджерах, по электронной почте и через сайт sophiatria.ru (далее — Сайт).

1.3. Политика — общедоступный документ. Она опубликована на Сайте и размещена на информационном стенде клиники. На неё ссылается согласие на обработку персональных данных, которое пациент подписывает при заключении договора.

1.4. Оператор персональных данных (далее — Оператор, клиника):

Реквизит	Значение
Полное наименование	Закрытое акционерное общество «Научно-медицинский центр «Софиатрия»
Краткое наименование	ЗАО «НМЦ «Софиатрия»
ОГРН / ИНН	1057747200818 / 7703553562
Адрес юридического лица	121069, г. Москва, пер. Скатертный, д. 8/1, стр. 1, ком. 2
Адрес клиники и для писем	г. Москва, Шубинский пер., д. 6, стр. 1
Лицензия	№ Л041-01137-77/00309603 от 09.11.2016, выдана Департаментом здравоохранения г. Москвы
Телефон	+7 (985) 928-77-28
Электронная почта для запросов по персональным данным	info@sophiatria.ru
Ответственный за организацию обработки	Генеральный директор Косс Виктор Викторович

2. Термины

Термины используются в значении ст. 3 Закона и ст. 2 и 13 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации».

•          Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

•          Сведения о состоянии здоровья — специальная категория персональных данных (ст. 10 Закона). Сведения о факте обращения за медицинской помощью, состоянии здоровья, диагнозе и лечении составляют врачебную тайну (ст. 13 323-ФЗ).

•          Обработка — любое действие с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

•          Предоставление — раскрытие данных определённому лицу.

•          Распространение — раскрытие неопределённому кругу лиц. Клиника не распространяет персональные данные пациентов.

•          Лицо, осуществляющее обработку по поручению — организация, которой клиника по договору поручила операции с данными (ч. 3 ст. 6 Закона). Например, разработчик медицинской информационной системы или хостинг-провайдер.

•          МИС — медицинская информационная система клиники, в которой ведутся запись и медицинская документация.

•          Файлы cookie — небольшие файлы, которые Сайт или сторонний сервис сохраняет в браузере посетителя. Порядок их использования — в Политике использования файлов cookie (sophiatria.ru/cookies/).

3. Принципы и правовые основания обработки

3.1. Клиника обрабатывает данные по принципам ст. 5 Закона:

•          законно и справедливо;

•          только для заранее определённых целей из раздела 4;

•          в объёме, который нужен для цели, без избыточных сведений;

•          без объединения баз данных с несовместимыми целями;

•          с проверкой точности и актуальности данных;

•          с хранением не дольше, чем требует цель или закон, и уничтожением по достижении цели.

3.2. Правовые основания обработки (ст. 6 и 10 Закона):

•          согласие субъекта (п. 1 ч. 1 ст. 6). Согласие оформляется отдельно от других документов (ч. 1 ст. 9);

•          заключение и исполнение договора, стороной или выгодоприобретателем которого является субъект (п. 5 ч. 1 ст. 6);

•          исполнение обязанностей, которые закон возлагает на клинику (п. 2 ч. 1 ст. 6);

•          законные интересы клиники, если при этом не нарушаются права субъекта (п. 7 ч. 1 ст. 6);

•          для сведений о здоровье — медико-профилактические цели, установление диагноза и оказание медицинских услуг. Такие сведения обрабатывают медицинские работники, обязанные сохранять врачебную тайну (п. 4 ч. 2 ст. 10), или на основании письменного согласия пациента (п. 1 ч. 2 ст. 10). Сведения о здоровье работников — по трудовому законодательству (п. 2.3 ч. 2 ст. 10).

3.3. Нормативная база: Закон; 323-ФЗ; Гражданский и Трудовой кодексы РФ; Закон РФ «О защите прав потребителей»; Правила предоставления медицинскими организациями платных медицинских услуг (Постановление Правительства РФ от 30.05.2026 № 659); Федеральные законы № 54-ФЗ «О применении контрольно-кассовой техники…», № 402-ФЗ «О бухгалтерском учёте», № 125-ФЗ «Об архивном деле в Российской Федерации», № 38-ФЗ «О рекламе»; Налоговый кодекс РФ; приказы Минздрава России о медицинской документации; устав клиники; договоры с субъектами и их согласия.

4. Цели, категории субъектов, состав данных и сроки

4.1. Для каждой цели клиника обрабатывает только указанные в таблице данные. Срок обработки заканчивается достижением цели, отзывом согласия или истечением срока хранения, если закон не требует хранить данные дольше.

№	Цель	Субъекты	Данные	Основание	Срок хранения
1	Оказание медицинской помощи, ведение медицинской документации	Пациенты, их законные представители	ФИО, пол, дата и место рождения, гражданство, документ о личности, адрес, телефон, e-mail, СНИЛС, полис ДМС; сведения о здоровье: жалобы, анамнез, диагнозы, антропометрия, результаты обследований и анализов, снимки, назначения, проведённое лечение	Договор; п. 4 ч. 2 ст. 10 Закона; письменное согласие пациента	Срок хранения медицинской документации; для медицинской карты пациента, получающего помощь в амбулаторных условиях, — 25 лет
2	Запись на приём, обработка заявок и вопросов с Сайта, по телефону, в мессенджерах и по почте	Лица, оставившие заявку или позвонившие; пациенты	Имя, телефон, e-mail, выбранная услуга, дата и время визита, текст комментария; дата и время отправки заявки, IP-адрес, адрес страницы; в онлайн-записи – медицинская информационная система; запись телефонного разговора	Форма заявки — согласие (sophiatria.ru/consent/); онлайн-запись и звонки — действия по запросу субъекта для заключения договора (п. 5 ч. 1 ст. 6)	До визита или отказа от записи, но не дольше 1 года с последнего обращения; журнал согласий — 3 года после окончания обработки; записи разговоров — 6 месяцев.
3	Заключение и исполнение договора на платные медицинские услуги, расчёты, документы для налогового вычета	Пациенты, законные представители, заказчики услуг	ФИО, документ о личности, адрес, телефон, e-mail для чека, сведения об оплатах, ИНН (для справки об оплате медицинских услуг)	Договор; обязанности по 54-ФЗ, 402-ФЗ, НК РФ	5 лет после окончания года исполнения договора
4	Напоминания о визитах, сопровождение курса лечения	Пациенты	ФИО, телефон, дата и время визита	Договор	Срок действия договора
5	Информационные и рекламные сообщения об услугах клиники	Лица, давшие отдельное согласие	ФИО, телефон, e-mail	Отдельное согласие; ст. 18 38-ФЗ	До отзыва согласия
6	Анализ посещаемости и улучшение Сайта, оценка рекламы	Посетители Сайта	Идентификаторы cookie, IP-адрес, сведения о браузере и устройстве, просмотренные страницы, источник перехода, действия на Сайте, запись сеанса	Согласие на аналитические cookie (sophiatria.ru/consent-cookies/)	До отзыва согласия, не дольше сроков из Политики cookie
7	Рассмотрение обращений, отзывов и претензий; внутренний контроль качества	Пациенты, заявители	ФИО, контакты, текст обращения, сведения об оказанной услуге	Обязанности по Закону «О защите прав потребителей» и 323-ФЗ; договор	3 года после ответа
8	Трудовые отношения, кадровый и бухгалтерский учёт, сведения для регистра медицинских работников	Работники, бывшие работники; члены их семей — в случаях, предусмотренных законом	ФИО, документ о личности, адрес, СНИЛС, ИНН, образование, квалификация и аккредитация, трудовая деятельность, воинский учёт, реквизиты для выплат, результаты обязательных медосмотров	Трудовой кодекс РФ, НК РФ, 323-ФЗ; п. 2.3 ч. 2 ст. 10 Закона — для сведений о здоровье; трудовой договор	Документы по личному составу — 50 лет (125-ФЗ); бухгалтерские — 5 лет
9	Подбор персонала	Соискатели	ФИО, контакты, сведения из резюме: образование, квалификация, опыт	Согласие; действия до заключения договора	30 дней после решения по кандидату; дольше — с согласия на кадровый резерв
10	Заключение и исполнение договоров с контрагентами	Представители контрагентов, индивидуальные предприниматели, самозанятые	ФИО, должность, контакты; для ИП и самозанятых — документ о личности, ИНН, реквизиты	Договор; законный интерес	5 лет после исполнения договора

4.2. Клиника не обрабатывает биометрические данные для установления личности. Сведения о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях и интимной жизни не собирает.

4.3. Данные несовершеннолетнего пациента в возрасте до 15 лет клиника получает от его законного представителя. Согласие даёт представитель.

4.4. Сведения о врачах на Сайте. Обязательные сведения о медицинских работниках клиника публикует по Правилам предоставления платных медицинских услуг (п. 2 ч. 1 ст. 6 Закона). Фотографии, биографии и видео сверх обязательного — только с согласия работника на распространение (ст. 10.1 Закона). Отзывы пациентов с именами публикуются так же.

5. Порядок и условия обработки

5.1. Способы. Клиника обрабатывает данные смешанным способом: в МИС и других информационных системах и на бумажных носителях.

5.2. Сбор. Данные получаем от самого субъекта или его представителя. Из других источников — только если это допускает закон. Например, результаты анализов из лаборатории-партнёра, куда клиника направила пациента.

5.3. Хранение в России. Запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан РФ ведутся в базах данных на территории Российской Федерации (ч. 5 ст. 18 Закона).

5.4. Поручение обработки. Клиника вправе поручить обработку другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, на основании договора (ч. 3 ст. 6 Закона). В поручении определены перечень данных и действий, цели, обязанности соблюдать конфиденциальность, требования ч. 5 ст. 18, ст. 18.1 и 19, предоставлять клинике документы о соблюдении требований и уведомлять её об инцидентах. Перечень таких лиц — в Приложении 1. Перед субъектом за их действия отвечает клиника.

5.5. Передача третьим лицам. Клиника передаёт данные только с согласия субъекта или когда этого требует закон: налоговому органу, Социальному фонду, органам государственного контроля, суду, в государственные информационные системы в сфере здравоохранения. Страховой компании по договору ДМС — с письменного согласия пациента и в объёме, нужном для оплаты услуг (ч. 3 ст. 13 323-ФЗ).

5.6. Врачебная тайна. Сведения, составляющие врачебную тайну, клиника раскрывает только с письменного согласия пациента или в случаях ч. 4 ст. 13 323-ФЗ. Медицинские документы по электронной почте направляем только по письменному заявлению пациента на указанный им адрес.

5.7. Трансграничная передача данных не осуществляется.

5.8. Сайт.

•          Форма заявки собирает имя, телефон, выбранную услугу и комментарий, а также дату и время отправки, IP-адрес и адрес страницы. Она работает по согласию, опубликованному отдельным документом (sophiatria.ru/consent/).

•          Если заявку оставили за другого человека, клиника при звонке получает согласие у него или у его законного представителя.

•          Формы Сайта не предназначены для сведений о здоровье. Если посетитель их всё же указал, к ним имеют доступ только работники, обязанные хранить врачебную тайну. Сведения используются для организации медицинской помощи (п. 4 ч. 2 ст. 10 Закона), не передаются в системы аналитики и рекламы и удаляются из заявки после переноса в МИС.

•          Онлайн-запись работает через виджет МИС. Данные из него поступают напрямую в МИС клиники. Основание — действия по запросу субъекта для заключения договора (п. 5 ч. 1 ст. 6 Закона).

•          Аналитические сервисы (Яндекс Метрика) включаются только после согласия посетителя (sophiatria.ru/consent-cookies/). Порядок — в Политике использования файлов cookie.

•          Решений, которые порождают юридические последствия для субъекта, клиника на основании только автоматизированной обработки не принимает.

5.9. Прекращение обработки и уничтожение (ст. 20 и 21 Закона):

Основание	Срок
Достижение цели или истечение срока хранения	Уничтожить в течение 30 дней
Отзыв согласия, если нет другого основания	Прекратить и уничтожить в течение 30 дней
Требование субъекта прекратить обработку	10 рабочих дней, можно продлить на 5 рабочих дней с объяснением причин
Субъект подтвердил, что данные неполные, неточные или устарели	Уточнить в течение 7 рабочих дней
Субъект подтвердил, что данные получены незаконно или не нужны для цели	Уничтожить в течение 7 рабочих дней
Выявлена неправомерная обработка	Прекратить в течение 3 рабочих дней; нельзя устранить — уничтожить в течение 10 рабочих дней
Уничтожить в срок невозможно	Заблокировать и уничтожить не позднее 6 месяцев

Клиника продолжает обработку после отзыва согласия, если её требует закон. Пример — хранение медицинской документации и бухгалтерских документов. Уничтожение подтверждается актом и выгрузкой из журнала событий информационной системы.

6. Права субъекта персональных данных

6.1. Вы вправе:

•          получить сведения об обработке ваших данных: какие данные, зачем, на каком основании, как долго, кому переданы или поручены (ч. 7 ст. 14 Закона);

•          требовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, неточные, получены незаконно или не нужны для цели;

•          отозвать согласие на обработку;

•          в любой момент отказаться от рекламных сообщений — клиника прекращает их немедленно (ст. 15);

•          возразить против решения, принятого только на основе автоматизированной обработки (ст. 16);

•          обжаловать действия клиники в Роскомнадзоре или в суде (ст. 17).

6.2. Знакомство с медицинской документацией и выдача её копий идут по ст. 22 323-ФЗ и порядку Минздрава России.

6.3. Как подать запрос. Письменно — лично в регистратуре или почтой по адресу клиники. В электронной форме — на info@sophiatria.ru, запрос подписывается электронной подписью. В запросе укажите (ч. 3 ст. 14 Закона):

1.        ФИО, номер документа, удостоверяющего личность, дату его выдачи и выдавший орган;

2.        сведения об отношениях с клиникой: номер и дату договора или дату заявки на Сайте;

3.        суть запроса и подпись.

Запрос представителя сопровождается документом о полномочиях.

6.4. Срок ответа — 10 рабочих дней со дня получения (ч. 1 ст. 20 Закона). Клиника может продлить срок ещё на 5 рабочих дней, направив вам мотивированное уведомление.

6.5. Отзыв согласия. Достаточно заявления в регистратуре, письма по адресу клиники или письма на info@sophiatria.ru с темой «Отзыв согласия». Согласие на cookie отзывается ссылкой «Настройки cookie» в подвале Сайта.

7. Обязанности клиники и меры защиты

7.1. Организационные меры (ст. 18.1 и 22.1 Закона):

•          назначение ответственного за организацию обработки персональных данных;

•          локальные акты: положение об обработке, перечень информационных систем и должностей с доступом к данным;

•          ознакомление работников с требованиями под подпись и их обязательство сохранять врачебную тайну и конфиденциальность данных;

•          доступ к данным только для работников, которым он нужен для работы; прекращение доступа в день увольнения;

•          внутренний контроль соответствия обработки требованиям Закона и оценка вреда, который может быть причинён субъектам;

•          уведомление Роскомнадзора об обработке данных и об изменении сведений в уведомлении (ст. 22).

7.2. Технические меры (ст. 19 Закона, Требования к защите персональных данных, Постановление Правительства РФ от 01.11.2012 № 1119):

•          определение угроз безопасности и уровня защищённости данных в информационных системах;

•          персональные учётные записи, разграничение прав доступа, журнал действий пользователей;

•          антивирусная защита, межсетевое экранирование, своевременные обновления;

•          резервное копирование и восстановление данных;

•          шифрование соединения с Сайтом (HTTPS);

•          учёт носителей; хранение бумажных документов в запираемых шкафах и помещениях.

7.3. Инциденты. При выявлении неправомерной или случайной передачи данных, повлёкшей нарушение прав субъектов, клиника уведомляет Роскомнадзор в течение 24 часов с момента выявления, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона).

8. Заключительные положения

8.1. Клиника пересматривает Политику при изменении законодательства, целей или способов обработки, но не реже одного раза в год.

8.2. Новая редакция вступает в силу со дня размещения на Сайте. Предыдущие редакции хранятся в клинике и предоставляются по запросу.

8.3. По вопросам обработки персональных данных пишите на info@sophiatria.ru или по адресу: г. Москва, Шубинский пер., д. 6, стр. 1, ЗАО «НМЦ «Софиатрия», ответственному за обработку персональных данных.