УТВЕРЖДЕНА
Приказом генерального директора ООО «ЛМА»
от «21» августа 2026 г. № 8-П
1. Общие положения и сведения об операторе
1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок и условия обработки персональных данных, меры по обеспечению их безопасности, а также права субъектов персональных данных в Обществе с ограниченной ответственностью «Лаборатория — Медицинских Анализов» (ООО «ЛМА»), ИНН 2626048958, ОГРН 1192651017932 (далее — Оператор).
1.2. Юридический адрес Оператора: 357502, Ставропольский край, г. Пятигорск, пр-кт 40 лет Октября, зд. 58А, офис 1. Адреса лабораторий Оператора: Ставропольский край, г. Ессентуки, ул. Пятигорская, 117, Ставропольский край, ст. Ессентукская, ул. Гагарина 30А. Адрес электронной почты для обращений по вопросам обработки персональных данных: lma-work@mail.ru. Лицо, ответственное за организацию обработки персональных данных: Сысоева Инна Сергеевна, тел.: 8 905 496 48 06, адрес электронной почты: sisoeva.inna2015@yandex.ru.
1.3. Политика применяется к обработке персональных данных при использовании сайта https://lma-lab.ru/ и фактически используемых субдоменов Оператора, при оказании медицинских услуг и выполнении лабораторных исследований, при заключении и исполнении договоров, в трудовых отношениях и в иных процессах, прямо указанных в настоящей Политике.
1.4. Политика действует в отношении обработки персональных данных с использованием средств автоматизации и без использования таких средств. Оператор публикует Политику в свободном доступе на своем сайте и обеспечивает возможность доступа к ней на страницах, с использованием которых собираются персональные данные.
1.5. В настоящей Политике понятия «персональные данные», «обработка персональных данных», «автоматизированная обработка», «предоставление», «распространение», «блокирование», «уничтожение», «обезличивание» и «трансграничная передача» используются в значениях, установленных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
1.6. «Пациент» — физическое лицо, которому Оператор оказывает медицинскую помощь, выполняет лабораторное исследование либо в отношении которого Оператор обрабатывает персональные данные для соответствующей медицинской цели. «Законный представитель» — лицо, действующее от имени пациента в случаях, предусмотренных законодательством Российской Федерации.
2. Принципы и правовые основания обработки
2.1. Оператор обрабатывает персональные данные на законной и справедливой основе, только для конкретных, заранее определённых и законных целей, в объёме, необходимом для достижения этих целей. Оператор не обрабатывает данные для целей, несовместимых с первоначально заявленными, без самостоятельного законного основания.
2.2. В зависимости от конкретной цели Оператор обрабатывает персональные данные на следующих правовых основаниях: согласие субъекта персональных данных; заключение и исполнение договора с субъектом либо заключение договора по инициативе субъекта; выполнение обязанностей, установленных Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»; трудовое законодательство; законодательство об охране здоровья граждан; иные основания, предусмотренные Законом № 152-ФЗ.
2.3. Согласие, если оно является правовым основанием конкретной обработки, предоставляется субъектом свободно, своей волей и в своём интересе, является конкретным, предметным, информированным, сознательным и однозначным. Такое согласие оформляется отдельно от иных документов и информации, которые подтверждает или подписывает субъект. Оператор обеспечивает возможность подтвердить факт получения согласия.
2.4. Согласие на обработку персональных данных не заменяет информированное добровольное согласие на медицинское вмешательство и не заменяет согласие на разглашение сведений, составляющих врачебную тайну, если такие документы требуются законодательством.
3. Цели, субъекты, категории и состав обрабатываемых данных
3.1. Оператор обрабатывает персональные данные только для конкретных, заранее определенных и законных целей, указанных в настоящем разделе. Для каждой цели определены категории субъектов, категории и перечень обрабатываемых персональных данных, правовое основание, действия и способы обработки, сроки обработки и хранения. Порядок прекращения обработки, блокирования и уничтожения персональных данных установлен разделом 7 настоящей Политики.
3.1.1. Ведение кадрового и бухгалтерского учета
Категории субъектов персональных данных: Работники, уволенные работники, родственники работников и законные представители — только в объеме, необходимом для предоставления установленных законом гарантий и компенсаций.
Категории и перечень обрабатываемых персональных данных: Фамилия, имя, отчество; дата и место рождения; пол; гражданство; адрес места жительства и адрес регистрации; номер телефона; адрес электронной почты; реквизиты документа, удостоверяющего личность; ИНН; СНИЛС; сведения о банковском счете для перечисления выплат; сведения о трудовой деятельности, должности, образовании, квалификации и воинском учете; сведения о начислениях, удержаниях и выплатах; сведения о составе семьи — только в необходимом объеме; иные данные, прямо предусмотренные законодательством Российской Федерации.
Правовые основания обработки: Трудовое, налоговое и бухгалтерское законодательство Российской Федерации; законодательство об обязательном социальном страховании; трудовой договор и иные основания, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
Действия с персональными данными: Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление уполномоченным лицам и государственным органам в случаях, предусмотренных законодательством, блокирование, удаление и уничтожение.
Способы обработки: Смешанная обработка: автоматизированная обработка в используемых Оператором информационных системах и обработка без использования средств автоматизации на бумажных носителях; передача по внутренней сети Оператора и сети Интернет — только в пределах, необходимых для достижения указанной цели и при применении мер защиты персональных данных.
Сроки обработки и хранения: в течение срока трудовых отношений и далее в течение сроков хранения кадровых, расчетных и бухгалтерских документов, установленных законодательством Российской Федерации и номенклатурой дел Оператора.
3.1.2. Подбор персонала (соискателей) на вакантные должности оператора
Категории субъектов персональных данных: Соискатели на вакантные должности Оператора.
Категории и перечень обрабатываемых персональных данных: фамилия, имя, отчество; номер телефона; адрес электронной почты; сведения, содержащиеся в резюме; сведения об образовании, квалификации, профессиональном опыте, трудовой деятельности, деловых качествах, достижениях и рекомендациях. Оператор не запрашивает и не обрабатывает избыточные сведения, включая специальные категории персональных данных, если обязанность их обработки прямо не установлена законодательством Российской Федерации.
Правовые основания обработки: Согласие соискателя, выраженное при направлении резюме либо предоставленное в иной форме, позволяющей подтвердить факт его получения; действия, необходимые для заключения трудового договора по инициативе соискателя; иные основания, предусмотренные законодательством Российской Федерации.
Действия с персональными данными: Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование при рассмотрении кандидатуры, блокирование, удаление и уничтожение.
Способы обработки: Смешанная обработка: автоматизированная обработка в информационных системах Оператора и обработка без использования средств автоматизации; передача по сети Интернет — при получении резюме, проведении дистанционного собеседования или использовании сайта Оператора.
Сроки обработки и хранения: До завершения подбора на соответствующую вакантную должность и принятия решения по кандидатуре. При отсутствии трудоустройства персональные данные хранятся не более 30 календарных дней с даты принятия решения, если соискатель не предоставил отдельное согласие на включение в кадровый резерв. При наличии такого согласия срок определяется сроком, указанным в согласии, либо до его отзыва.
3.1.3. Обеспечение соблюдения трудового законодательства РФ
Категории субъектов персональных данных: Работники, уволенные работники, родственники работников.
Категории и перечень обрабатываемых персональных данных: фамилия, имя, отчество; дата рождения; пол; гражданство; контакты; реквизиты документа, удостоверяющего личность; сведения о трудовой деятельности, должности, рабочем времени, образовании, квалификации, обучении, аттестации, воинском учете, гарантиях и компенсациях; сведения о прохождении обязательных медицинских осмотров и допуске к работе — только в объеме, предусмотренном законодательством; иные сведения, необходимые Оператору для исполнения обязанностей работодателя.
Правовые основания обработки: Трудовой кодекс Российской Федерации, законодательство об охране труда, законодательство о воинском учете, законодательство об обязательном социальном страховании и иные нормативные правовые акты, устанавливающие обязанности работодателя.
Действия с персональными данными: Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление уполномоченным государственным органам в установленных законом случаях, блокирование, удаление и уничтожение.
Способы обработки: Смешанная обработка: автоматизированная обработка в информационных системах Оператора и обработка без использования средств автоматизации; передача по внутренней сети Оператора и сети Интернет — в случаях, предусмотренных законодательством и необходимостью исполнения обязанностей работодателя.
Сроки обработки и хранения: В течение срока трудовых отношений и после их прекращения — в течение обязательных сроков хранения кадровых документов, установленных законодательством Российской Федерации и номенклатурой дел Оператора.
3.1.4. Обеспечение соблюдения налогового законодательства РФ
Категории субъектов персональных данных: Работники, бывшие работники, физические лица — контрагенты, индивидуальные предприниматели и представители контрагентов.
Категории и перечень обрабатываемых персональных данных: фамилия, имя, отчество; ИНН; СНИЛС; дата рождения; адрес; реквизиты документа, удостоверяющего личность; сведения о доходах, выплатах, удержаниях, налоговых вычетах, банковских реквизитах; сведения о договоре, расчетах и платежах; иные сведения, предусмотренные законодательством Российской Федерации о налогах и сборах.
Правовые основания обработки: Налоговый кодекс Российской Федерации, Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете», законодательство об обязательном социальном страховании и иные нормативные правовые акты, возлагающие на Оператора соответствующие обязанности.
Действия с персональными данными: Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление налоговым органам и иным уполномоченным органам в случаях, установленных законодательством, блокирование, удаление и уничтожение.
Способы обработки: Смешанная обработка: автоматизированная обработка в бухгалтерских и иных информационных системах Оператора и обработка без использования средств автоматизации; передача по сети Интернет — при представлении отчетности и взаимодействии с уполномоченными органами или операторами электронного документооборота.
Сроки обработки и хранения: В течение срока, необходимого для исчисления и уплаты налогов, подготовки и представления отчетности, но не менее сроков хранения документов, установленных законодательством Российской Федерации о налогах и сборах и бухгалтерском учете.
3.1.5. Обеспечение соблюдения пенсионного законодательства РФ
Категории субъектов персональных данных: Работники и бывшие работники Оператора.
Категории и перечень обрабатываемых персональных данных: фамилия, имя, отчество; дата рождения; СНИЛС; ИНН; сведения о трудовой деятельности, страховом стаже, начислениях, выплатах, страховых взносах и иные сведения, прямо предусмотренные законодательством Российской Федерации об обязательном пенсионном и социальном страховании.
Правовые основания обработки: Законодательство Российской Федерации об обязательном пенсионном и социальном страховании, персонифицированном учете и иные нормативные правовые акты, возлагающие на Оператора обязанности страхователя.
Действия с персональными данными: Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление в Социальный фонд России и иным уполномоченным лицам в предусмотренных законом случаях, блокирование, удаление и уничтожение.
Способы обработки: Смешанная обработка: автоматизированная обработка в информационных системах Оператора и обработка без использования средств автоматизации; передача по сети Интернет — при представлении сведений в Социальный фонд России через предусмотренные законодательством каналы связи.
Сроки обработки и хранения: В течение срока исполнения обязанностей страхователя и после его истечения — в течение сроков хранения документов персонифицированного учета, трудовых и расчетных документов, установленных законодательством Российской Федерации и номенклатурой дел Оператора.
3.1.6. Подготовка, заключение и исполнение гражданско-правового договора
Категории субъектов персональных данных: Заказчики, пациенты — в части договорных отношений, законные представители пациентов, физические лица — контрагенты, индивидуальные предприниматели, представители контрагентов, выгодоприобретатели и поручители по гражданско-правовым договорам — при наличии соответствующего договора.
Категории и перечень обрабатываемых персональных данных: фамилия, имя, отчество; дата рождения — если это необходимо для идентификации стороны договора; номер телефона; адрес электронной почты; адрес места жительства; реквизиты документа, удостоверяющего личность; ИНН; банковские реквизиты; сведения о заказе, договоре, расчетах, оплате, претензиях и иные данные, необходимые для подготовки, заключения или исполнения конкретного гражданско-правового договора.
Правовые основания обработки: Исполнение договора, стороной, выгодоприобретателем или поручителем по которому является субъект персональных данных; заключение договора по инициативе субъекта персональных данных; выполнение обязанностей, установленных законодательством Российской Федерации.
Действия с персональными данными: Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление контрагентам, банкам, операторам электронного документооборота и уполномоченным органам — при наличии законного основания, блокирование, удаление и уничтожение.
Способы обработки: Смешанная обработка: автоматизированная обработка в используемых Оператором информационных системах и обработка без использования средств автоматизации; передача по внутренней сети Оператора и сети Интернет — в объеме, необходимом для исполнения договора, расчетов и юридически значимого документооборота.
Сроки обработки и хранения: В течение переговоров и срока действия гражданско-правового договора, а после его прекращения — в течение сроков хранения договорных, расчетных и первичных учетных документов, установленных законодательством Российской Федерации, а также срока, необходимого для защиты прав и законных интересов Оператора и субъекта персональных данных.
3.1.7. Оказание медицинских услуг, включая выполнение лабораторных исследований
Категории субъектов персональных данных: Пациенты, законные представители пациентов и лица, направляющие пациента на исследование, — если их персональные данные необходимы для оказания конкретной медицинской услуги или выполнения лабораторного исследования.
Категории и перечень обрабатываемых персональных данных: фамилия, имя, отчество; дата рождения; пол; реквизиты документа, удостоверяющего личность; адрес и контактные данные; сведения о законном представителе; номер договора или заказа; сведения об оплате. Специальные категории персональных данных: сведения о состоянии здоровья, включая сведения о назначенных исследованиях, биоматериале, результатах исследований, диагнозе — если он установлен в процессе оказания медицинской услуги, и иные сведения медицинской документации, необходимые для диагностики и лечения.
Правовые основания обработки: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»; Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»; договор на оказание медицинских услуг; в случаях, предусмотренных законодательством Российской Федерации, письменное согласие пациента или его законного представителя.
Действия с персональными данными: Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление пациенту, его законному представителю и иным лицам только в случаях и порядке, предусмотренных законодательством Российской Федерации, блокирование, обезличивание — если оно фактически осуществляется, удаление и уничтожение.
Способы обработки: Смешанная обработка: автоматизированная обработка в медицинских информационных системах Оператора и обработка без использования средств автоматизации на бумажных носителях; передача по внутренней сети Оператора и сети Интернет — только в объеме, необходимом для оказания услуги и при соблюдении требований к защите персональных данных и врачебной тайне.
Сроки обработки и хранения: В течение оказания медицинской услуги и далее в течение сроков хранения медицинской документации, установленных законодательством Российской Федерации и номенклатурой дел Оператора. Удаление личного кабинета или отзыв согласия на необязательные сервисы не прекращает хранение медицинской документации, если Оператор обязан хранить ее по закону.
3.1.8. Обеспечение функционирования сайта, личного кабинета пациентов и рассмотрение обращений
Категории субъектов персональных данных: Посетители сайта, пользователи сайта, зарегистрированные пользователи, пациенты — пользователи личного кабинета, а также лица, направившие обращение Оператору.
Категории и перечень обрабатываемых персональных данных: фамилия, имя, отчество; дата рождения; пол; номер телефона; адрес электронной почты; адрес; логин; пароль в защищенном виде; содержание обращения; сведения о заказе, включая наименования анализов, в объеме, необходимом для оформления и исполнения заказа, а также ответа пользователю; поисковые запросы по каталогу; IP-адрес; тип и версия браузера; операционная система; разрешение экрана; язык браузера; источник перехода (реферер); поисковые запросы и переходы по ссылкам; просмотренные страницы; дата, время, продолжительность посещения и последовательность действий; технические журналы; cookie-файлы и технические идентификаторы. При использовании Яндекс.Метрики с согласия пользователя также могут обрабатываться сведения о действиях на страницах Сайта, включая клики, движения мыши, прокрутку, ввод в поля и событие добавления анализа в корзину. Сведения о составе заказа и иные данные, относящиеся к оказанию медицинских услуг или лабораторному исследованию, не используются для веб-аналитики и обрабатываются в соответствии с подпунктом 3.1.7 настоящей Политики.
Правовые основания обработки: Согласие субъекта персональных данных; исполнение пользовательского соглашения; действия по запросу субъекта персональных данных; иные основания, предусмотренные законодательством Российской Федерации.
Действия с персональными данными: Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование для регистрации, аутентификации, рассмотрения обращений, обеспечения безопасности сайта и обратной связи, предоставление лицам, осуществляющим обработку по поручению Оператора, при наличии надлежащего договора и законного основания, блокирование, удаление и уничтожение.
Способы обработки: Автоматизированная и смешанная обработка с использованием сайта, личного кабинета, информационных систем и бумажных носителей — при рассмотрении обращений; передача по сети Интернет осуществляется при использовании сайта и личного кабинета.
Сроки обработки и хранения: Данные учетной записи личного кабинета обрабатываются в течение срока действия учетной записи и одного года после ее удаления, если отсутствует обязанность хранить данные дольше. Обращения хранятся три года с даты завершения их рассмотрения. Технические журналы и данные, необходимые для безопасности сайта, хранятся один год с даты их формирования. Данные, относящиеся к медицинской документации, хранятся в сроки, указанные в подпункте 3.1.7 настоящей Политики.
3.2. Содержание и объем обрабатываемых персональных данных должны соответствовать каждой заявленной цели обработки и не быть избыточными по отношению к ней. Оператор не обрабатывает персональные данные для целей, несовместимых с целями их первоначального сбора, если отсутствует самостоятельное законное основание.
3.3. Оператор не обрабатывает сведения о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни и судимости, если их обработка прямо не требуется законодательством Российской Федерации или не возникает в рамках самостоятельного законного основания. Сведения о состоянии здоровья обрабатываются только в пределах цели, указанной в подпункте 3.1.7 настоящей Политики, либо в иных случаях, предусмотренных законодательством Российской Федерации.
3.4. Оператор не обрабатывает биометрические персональные данные для установления личности субъекта персональных данных, если такой процесс не введен отдельным документом Оператора, не обеспечен применимым правовым основанием и не отражен в настоящей Политике.
4. Обработка данных пациентов и врачебная тайна
4.1. Для оказания медицинской помощи, выполнения лабораторных исследований, оформления и исполнения договора на медицинские услуги, ведения медицинской документации, выдачи результатов, контроля качества и безопасности медицинской деятельности Оператор обрабатывает персональные данные пациентов и, при наличии законного основания, их законных представителей.
4.2. Сведения о состоянии здоровья относятся к специальным категориям персональных данных. Оператор обрабатывает их в объёме, необходимом для медицинской профилактики, установления диагноза, оказания медицинских и медико-социальных услуг и ведения связанной с этим документации, при соблюдении требований о врачебной тайне.
4.3. Факт обращения за медицинской помощью, состояние здоровья, диагноз и иные сведения, полученные при медицинском обследовании и лечении, составляют врачебную тайну. Доступ к таким сведениям предоставляется только работникам и иным лицам, которым он необходим для исполнения профессиональных обязанностей и которые обязаны соблюдать конфиденциальность.
4.4. Результаты исследований и иные сведения, составляющие врачебную тайну, предоставляются пациенту после надлежащей идентификации. Законному представителю или иному лицу они предоставляются только при наличии основания, установленного законодательством Российской Федерации, либо надлежащим образом оформленного согласия пациента (его законного представителя ), если оно требуется.
4.5. Оператор не использует сведения о состоянии здоровья пациентов для рекламной сегментации и рекламных рассылок.
5. Использование файлов cookie и сервисов веб-аналитики
5.1. Сайт https://lma-lab.ru/ использует файлы cookie для обеспечения функциональности, улучшения пользовательского опыта и сбора аналитической информации. При первом посещении Сайта Пользователю предлагается дать согласие на использование аналитических файлов cookie.
5.2. Типы используемых файлов cookie и технических идентификаторов:
— Технические и сессионные: PHPSESSID и BITRIX_SM_* - служебные cookie платформы 1С-Битрикс, необходимые для работы сессии, личного кабинета и корзины; mdd — служебный параметр со сроком хранения 1 сутки; lma-cookie-ok, хранимый в sessionStorage в течение сессии, — отметка о выборе пользователя в отношении cookie.
— Функциональные и конверсионные: BITRIX_CONVERSION_CONTEXT_s1 со сроком хранения 1 год — идентификатор, используемый платформой 1С-Битрикс для учета конверсионного контекста.
— Аналитические: _ym_uid — идентификатор посетителя со сроком хранения 1 год; _ym_d — дата первого посещения со сроком хранения 1 год; _ym_isad — признак использования блокировщика рекламы со сроком хранения 1 сутки; _ym_visorc — сессионный идентификатор, необходимый для работы Вебвизора Яндекс.Метрики.
— Технические идентификаторы браузерных хранилищ Яндекс.Метрики: в localStorage и sessionStorage могут храниться идентификаторы посетителя и вкладки, включая _ym_uid, __ym_tab_guid и иные технические идентификаторы, необходимые для работы сервиса.
5.3. Программная платформа Сайта и сервис веб-аналитики, используемые Оператором:
— 1С‑Битрикс: платформа, обеспечивающая функционирование Сайта, работу пользовательских сессий, личного кабинета и корзины. Платформа использует служебные cookie, включая PHPSESSID и BITRIX_SM_, необходимые для работы указанных функций.
— Яндекс.Метрика (ООО «ЯНДЕКС», адрес: 119021, Россия, г. Москва, ул. Льва Толстого, д. 16), счетчик № 97224906: используется для веб-аналитики и оценки работы Сайта. В рамках работы сервиса применяются Вебвизор, карта кликов, отслеживание ссылок и точный показатель отказов. Вебвизор может фиксировать действия пользователя на странице, включая клики, движения мыши, прокрутку и ввод в поля. Политика конфиденциальности Яндекса: https://yandex.ru/legal/confidential/
Оператор передает ООО «ЯНДЕКС» технические и аналитические данные, перечисленные в подпункте 3.1.8 настоящей Политики, только при наличии согласия пользователя на использование аналитических cookie. Оператор не передает Яндекс.Метрике сведения о составе заказа, результаты исследований и иные сведения, относящиеся к оказанию медицинских услуг или лабораторному исследованию.
5.4. Управление файлами cookie и техническими идентификаторами: Пользователь может в любой момент отозвать согласие на использование аналитических cookie путем изменения настроек в cookie-баннере или в настройках браузера, а также удалить ранее сохраненные cookie, localStorage и sessionStorage через настройки браузера. Отключение технических cookie может повлиять на работоспособность личного кабинета, корзины и иных функций Сайта.
6. Предоставление данных, поручение обработки и локализация
6.1. Оператор предоставляет персональные данные третьим лицам только в случаях, предусмотренных законодательством Российской Федерации, договором с субъектом, отдельным согласием субъекта или иным законным основанием.
6.2. Если Оператор поручает обработку персональных данных другому лицу, такое лицо действует только по поручению Оператора и на основании договора. Договор определяет цель обработки, перечень данных и операций, обязанности по конфиденциальности и безопасности, требования к уведомлению об инцидентах и иные применимые условия.
6.3. Оператор осуществляет запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.
6.4. Оператор не осуществляет трансграничную передачу персональных данных. В случае возникновения необходимости осуществить трансграничную передачу персональных данных такая передача осуществляется Оператором только после соблюдения требований статьи 12 Закона № 152-ФЗ, включая направление отдельного уведомления в уполномоченный орган до начала передачи.
7. Сроки обработки, хранения и уничтожение
7.1. Оператор хранит персональные данные не дольше, чем этого требуют цели обработки, договор с субъектом и/или законодательство Российской Федерации и обязательные сроки хранения документов.
7.2. Конкретные сроки хранения по категориям документов и данных утверждаются внутренними документами Оператора, в том числе для медицинской документации, договорных и расчётных документов, кадровых документов, обращений с сайта, рекламных согласий, технических журналов и резервных копий.
7.3. При достижении цели обработки персональных данных Оператор прекращает обработку персональных данных и уничтожает их или обеспечивает их уничтожение в срок, не превышающий 30 календарных дней с даты достижения цели, если иной срок не предусмотрен договором с субъектом персональных данных, соглашением с ним либо федеральным законом.
7.4. При отзыве субъектом согласия Оператор прекращает обработку персональных данных, а если их сохранение более не требуется для целей обработки и отсутствует иное законное основание, уничтожает данные или обеспечивает их уничтожение в срок, не превышающий 30 календарных дней с даты поступления отзыва. При требовании субъекта о прекращении обработки Оператор прекращает ее в срок не более 10 рабочих дней с даты получения требования; этот срок может быть продлен не более чем на 5 рабочих дней при направлении субъекту мотивированного уведомления.
7.5. При выявлении неправомерной обработки Оператор прекращает такую обработку или обеспечивает ее прекращение в срок не более 3 рабочих дней с даты выявления. Если обеспечить правомерность обработки невозможно, Оператор уничтожает персональные данные или обеспечивает их уничтожение в срок не более 10 рабочих дней с даты выявления неправомерной обработки.
7.6. При отсутствии возможности уничтожить персональные данные в сроки, установленные законодательством Российской Федерации, Оператор осуществляет блокирование персональных данных или обеспечивает их блокирование и обеспечивает уничтожение в срок не более шести месяцев, если иной срок не установлен федеральным законом.
7.7. Уничтожение персональных данных осуществляется способом, исключающим возможность их восстановления. Персональные данные на бумажных носителях уничтожаются физическим уничтожением документов; персональные данные в информационных системах удаляются или уничтожаются с применением средств, исключающих их восстановление. Если персональные данные невозможно уничтожить без повреждения материального носителя, препятствующего его дальнейшему использованию по назначению, уничтожению подлежат персональные данные и соответствующий материальный носитель.
7.8. В отношении резервных копий Оператор обеспечивает прекращение доступа к персональным данным и исключение их из рабочих систем. Уничтожение данных в резервных копиях осуществляется при их плановой перезаписи либо ранее, если это технически возможно и необходимо в соответствии с законодательством Российской Федерации.
7.9. Уничтожение персональных данных, включая персональные данные пациентов и сведения, составляющие врачебную тайну, осуществляется с соблюдением конфиденциальности. Уничтожение подтверждается документально в случаях и порядке, установленных законодательством Российской Федерации и локальными актами Оператора.
8. Права субъектов и порядок обращений
8.1. Субъект персональных данных вправе получать сведения об обработке его данных, требовать уточнения неточных данных, блокирования или уничтожения данных при наличии оснований, требовать прекращения обработки в предусмотренных законом случаях, а также отзывать согласие.
8.2. Обращение может быть направлено по адресу Оператора, указанному в настоящей Политике, либо на адрес электронной почты lma-work@mail.ru. Оператор вправе запросить сведения, необходимые для подтверждения личности заявителя или полномочий представителя, если это необходимо для предотвращения неправомерного раскрытия данных.
8.3. Оператор предоставляет информацию о наличии персональных данных и обеспечивает доступ к ним в течение 10 рабочих дней с даты получения запроса. Срок может быть продлён не более чем на 5 рабочих дней при направлении субъекту мотивированного уведомления с указанием причин продления. При отказе Оператор направляет мотивированный ответ со ссылкой на применимое положение закона в тот же срок.
8.4. При поступлении обращения или запроса субъекта персональных данных, его представителя либо уполномоченного органа о неточности или неправомерности обработки персональных данных Оператор осуществляет блокирование соответствующих персональных данных или обеспечивает их блокирование с момента получения обращения или запроса на период проверки, если блокирование не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
8.5. При подтверждении неточности персональных данных Оператор уточняет персональные данные или обеспечивает их уточнение в течение 7 рабочих дней со дня представления подтверждающих сведений и снимает блокирование персональных данных. При подтверждении того, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Оператор уничтожает такие персональные данные или обеспечивает их уничтожение в течение 7 рабочих дней со дня представления подтверждающих сведений. Оператор уведомляет субъекта персональных данных или его представителя о внесенных изменениях и принятых мерах, а также принимает разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.
8.6. Оператор не передаёт по телефону, через незащищённый канал связи или лицу, не прошедшему необходимую идентификацию, сведения, способные раскрыть персональные данные или врачебную тайну, если отсутствует законное основание.
9. Меры по защите персональных данных
9.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры для выполнения требований законодательства и защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.
9.2. К таким мерам относятся назначение ответственного за организацию обработки персональных данных, утверждение локальных актов, разграничение доступа, учёт действий с персональными данными, защита от вредоносного программного обеспечения, резервное копирование, обучение работников, внутренний контроль, оценка вреда и меры реагирования на инциденты. Конкретный состав технических мер определяется с учётом фактически используемых информационных систем и требований законодательства.
9.3. При выявлении инцидента, повлёкшего нарушение прав субъектов персональных данных, Оператор проводит расследование, устраняет последствия и уведомляет уполномоченный орган в случаях и сроки, установленные законодательством Российской Федерации.
10. Заключительные положения
10.1. Политика вступает в силу с даты её утверждения, если приказом Оператора не установлен иной срок, и действует до утверждения новой редакции.
10.2. Новая редакция Политики размещается по адресу https://lma-lab.ru/privacy/.
10.3. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.
