Политика в отношении обработки персональных данных
1. Общие положения
1.1. Настоящая Политика обработки персональных данных (далее — «Политика») составлена в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон») и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые ООО «Черепаха» (далее — «Оператор»).
1.2. Оператор признаёт защиту прав и свобод человека при обработке персональных данных важнейшим условием своей деятельности, в том числе права на неприкосновенность частной жизни, личную и семейную тайну.
1.3. Настоящая Политика распространяется на все персональные данные, которые Оператор получает при использовании Пользователями мобильного приложения Health Motivation System (далее — «Приложение»).
1.4. Обработка персональных данных осуществляется исключительно на основании отдельного согласия Пользователя, оформленного путём проставления соответствующей отметки при регистрации в Приложении, и не может считаться данным лишь в силу факта использования Приложения. Обработка специальных категорий персональных данных (сведения о состоянии здоровья, диагнозе, факте обращения за медицинской помощью) осуществляется на основании отдельного письменного согласия, оформляемого при регистрации и/или перед первым обращением за медицинской услугой.
1.5. В случае несогласия с условиями настоящей Политики Пользователь должен прекратить использование Приложения и направить запрос на удаление учётной записи.
1.6. Ответственным за организацию обработки персональных данных в соответствии со ст. 22.1 Закона является: Шагалин Ринат Рашитович, e-mail: info@myhms.ru, тел.: 8-917-049-33-79.
2. Основные понятия
2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (Пользователю).
2.2. Специальные категории персональных данных — данные о состоянии здоровья, диагнозе заболевания, факте обращения за медицинской помощью, назначенном лечении, видеозаписи консультаций, а также данные биометрического характера. Обработка специальных категорий осуществляется исключительно на основании явного письменного согласия субъекта персональных данных (ст. 10 Закона).
2.3. Оператор — ООО «Черепаха» (ИНН: 0275927449, ОГРН: 1220200009897, адрес: 450076, Республика Башкортостан, г. Уфа, ул. Красина, д. 21, офис 604/2, e-mail: info@myhms.ru), самостоятельно организующее обработку персональных данных.
2.4. Пользователь — физическое лицо, использующее Приложение и принявшее условия настоящей Политики путём проставления соответствующей отметки при регистрации.
2.5. Приложение — программно-аппаратный комплекс Health Motivation System, функционирующий в виде мобильного приложения для платформ iOS и Android, доступный по адресу https://myhms.ru/.
2.6. Медицинский партнёр — юридическое лицо или индивидуальный предприниматель, имеющий лицензию на медицинскую деятельность, оказывающий медицинские услуги Пользователям через Приложение.
2.7. Немедицинский специалист — физическое лицо (самозанятый или ИП), оказывающее немедицинские услуги (нутрициология, психологическое консультирование, фитнес) через Приложение.
2.8. Обработка персональных данных — любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.
2.9. Трансграничная передача — передача персональных данных на территорию иностранного государства иностранным физическим или юридическим лицам.
3. Состав обрабатываемых персональных данных
Оператор обрабатывает следующие категории персональных данных Пользователей:
ВАЖНО: Оператор обрабатывает только те данные, которые необходимы для достижения конкретных целей, указанных в разделе 4 настоящей Политики. Данные, не являющиеся необходимыми, не запрашиваются и не обрабатываются.
3.1. Идентификационные данные (для регистрации и идентификации в Приложении):
- фамилия, имя, отчество;
- дата рождения;
- номер мобильного телефона;
- адрес электронной почты;
- фотография профиля (при наличии).
3.2. Данные для оказания медицинских услуг (специальная категория, ст. 10 152-ФЗ):
- сведения о состоянии здоровья (анамнез, симптомы, хронические заболевания);
- диагноз заболевания и назначенное лечение (при наличии ранее поставленного диагноза);
- факт обращения за медицинской помощью;
- результаты медицинских обследований и анализов, загружаемые Пользователем;
- видеозапись телемедицинской консультации (при согласии Пользователя);
- данные полисов ОМС и/или ДМС (при наличии и предоставлении Пользователем).
3.3. Данные для оказания немедицинских услуг:
- сведения о физической активности (количество шагов, тренировки);
- сведения о питании (рацион, калорийность);
- данные о весе и других показателях, вносимых Пользователем добровольно;
- запросы и переписка с нутрициологом, психологом, фитнес-тренером.
3.4. Финансовые данные:
- реквизиты банковской карты (в обезличенном виде — последние 4 цифры, срок действия);
- история транзакций в рамках Приложения;
- остаток Фонда здоровья.
3.5. Технические данные (собираются автоматически):
- IP-адрес устройства;
- идентификатор устройства (Device ID);
- версия операционной системы и Приложения;
- данные об использовании Приложения (время сессий, посещённые разделы);
- данные об ошибках и сбоях (для технической поддержки);
- геолокация (только при явном разрешении Пользователя, для поиска ближайших партнёров).
4. Цели обработки персональных данных и правовые основания
| Цель обработки | Правовое основание / состав данных |
|---|---|
| Регистрация и идентификация Пользователя в Приложении | Ст. 6 ч.1 п.5 152-ФЗ (договор); согласие. Данные: п. 3.1. |
| Оказание медицинских услуг Медицинскими партнёрами | Ст. 10 ч.2 п.4 152-ФЗ (охрана здоровья); письменное согласие. Данные: п. 3.2. |
| Оказание немедицинских услуг специалистами | Ст. 6 ч.1 п.5 152-ФЗ (договор); согласие. Данные: п. 3.1, 3.3. |
| Приём платежей через Фонд здоровья и Подписку | Ст. 6 ч.1 п.5 152-ФЗ (договор). Данные: п. 3.1, 3.4. |
| Начисление HMS-баллов и учёт программы лояльности | Ст. 6 ч.1 п.5 152-ФЗ (договор); согласие. Данные: п. 3.1, 3.3. |
| Направление уведомлений, ответов на запросы, сервисных сообщений | Ст. 6 ч.1 п.5 152-ФЗ (договор). Данные: п. 3.1. |
| Маркетинговые рассылки (при наличии отдельного согласия) | Ст. 6 ч.1 п.1 152-ФЗ (согласие). Данные: п. 3.1. Согласие может быть отозвано. |
| Улучшение качества Приложения, аналитика, разработка новых функций | Ст. 6 ч.1 п.6 152-ФЗ (законный интерес). Данные: п. 3.5 (обезличенно). |
| Техническая поддержка и устранение ошибок | Ст. 6 ч.1 п.5 152-ФЗ (договор). Данные: п. 3.5. |
| Исполнение требований законодательства, ответы на запросы органов власти | Ст. 6 ч.1 п.2 152-ФЗ (закон). Данные: все категории по запросу. |
| Защита законных интересов Оператора, противодействие мошенничеству | Ст. 6 ч.1 п.6 152-ФЗ (законный интерес). Данные: п. 3.1, 3.5. |
5. Условия обработки персональных данных
5.1. Обработка персональных данных осуществляется на законной и справедливой основе при наличии одного из оснований, предусмотренных ст. 6 и ст. 10 Закона.
5.2. Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей, указанных в разделе 4 настоящей Политики. Не допускается обработка данных, несовместимая с заявленными целями.
5.3. Обработке подлежат только те персональные данные, которые необходимы для достижения конкретной цели. Избыточный сбор данных не допускается.
5.4. Оператор обеспечивает точность и актуальность персональных данных и принимает меры по удалению или уточнению неполных или неточных данных.
5.5. Не допускается объединение баз данных, содержащих персональные данные, обработка которых ведётся в несовместимых целях.
6. Сроки хранения персональных данных
| Категория данных | Срок хранения |
|---|---|
| Данные учётной записи (п. 3.1) | До удаления учётной записи + 3 года (для защиты интересов Оператора) |
| Медицинская документация (п. 3.2) | 25 лет с момента создания (Приказ Минздрава РФ № 925н) |
| Данные о немедицинских услугах (п. 3.3) | До удаления учётной записи + 1 год |
| Финансовые данные (п. 3.4) | 5 лет с момента транзакции (НК РФ, ст. 23) |
| Технические данные (п. 3.5) | 12 месяцев с момента сбора (в обезличенном виде — бессрочно) |
| Данные для маркетинга (при согласии) | До отзыва согласия или 3 года с момента последнего взаимодействия |
6.1. По истечении сроков хранения персональные данные уничтожаются или обезличиваются в порядке, установленном внутренними регламентами Оператора.
6.2. Хранение медицинской документации в течение 25 лет является обязательным требованием законодательства и не может быть сокращено даже при отзыве согласия Пользователя на обработку персональных данных.
7. Передача персональных данных третьим лицам
Оператор передаёт персональные данные третьим лицам исключительно в случаях, прямо предусмотренных настоящей Политикой. Передача в иных целях без согласия Пользователя не допускается.
7.1. Оператор передаёт персональные данные следующим категориям получателей:
| Получатель | Какие данные / с какой целью |
|---|---|
| Медицинские партнёры (лицензированные ИП и юрлица) | Идентификационные данные (п. 3.1) и медицинские данные (п. 3.2) — для оказания медицинских услуг по запросу Пользователя. Основание: письменное согласие, ст. 10 ч.2 п.4 152-ФЗ. |
| Немедицинские специалисты (самозанятые и ИП) | Идентификационные данные (п. 3.1) и данные о здоровом образе жизни (п. 3.3) — для оказания немедицинских услуг. Основание: согласие, ст. 6 ч.1 п.1 152-ФЗ. |
| Платёжные системы и банки | Данные, необходимые для проведения платежей (п. 3.1, 3.4) — для обеспечения расчётов. Оператор не хранит полные реквизиты карт. Основание: договор, ст. 6 ч.1 п.5 152-ФЗ. |
| Аналитические сервисы (Firebase, Amplitude и аналоги) | Технические данные в обезличенном виде (п. 3.5) — для аналитики использования Приложения. Основание: законный интерес, ст. 6 ч.1 п.6 152-ФЗ. |
| Органы государственной власти | По законному запросу в объёме, предусмотренном законодательством РФ. Основание: ст. 6 ч.1 п.2 152-ФЗ. |
7.2. При передаче данных Медицинским партнёрам и Немедицинским специалистам Оператор передаёт только минимально необходимый объём данных для оказания конкретной Услуги. Пользователь уведомляется о передаче данных в момент подтверждения заказа.
7.3. Третьи лица, которым переданы персональные данные, обязаны обеспечивать их конфиденциальность и безопасность в соответствии с законодательством РФ. Соответствующее обязательство включается в договоры Оператора с третьими лицами.
7.4. Информация, которую собирают сторонние сервисы (платёжные системы, аналитические платформы) при взаимодействии с Пользователем, обрабатывается ими в соответствии с их собственными политиками конфиденциальности. Оператор рекомендует Пользователям ознакомиться с политиками конфиденциальности используемых сервисов.
8. Трансграничная передача персональных данных
8.1. Оператор стремится хранить и обрабатывать персональные данные Пользователей на серверах, расположенных на территории Российской Федерации, в соответствии с требованиями ст. 18.1 Закона.
8.2. В случае если аналитические или иные сервисы осуществляют обработку данных на территории иностранных государств, Оператор до начала такой передачи уведомляет уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в соответствии со ст. 12 Закона и убеждается в наличии надлежащей защиты данных в стране-получателе.
8.3. При использовании технических данных в обезличенном виде аналитическими сервисами трансграничная передача осуществляется в соответствии с законодательством РФ. Пользователь вправе запросить информацию о конкретных сервисах, направив запрос на адрес info@myhms.ru.
9. Права субъектов персональных данных
Пользователь имеет следующие права в отношении своих персональных данных:
9.1. Право на получение информации — узнать, какие персональные данные обрабатывает Оператор, на каком основании, с какой целью и кому они переданы. Запрос направляется на info@myhms.ru. Ответ предоставляется в течение 10 рабочих дней.
9.2. Право на исправление — потребовать уточнения неточных или неполных персональных данных. Исправление может быть произведено самостоятельно в настройках Приложения или путём направления запроса на info@myhms.ru.
9.3. Право на удаление (право быть забытым) — потребовать удаления персональных данных при отсутствии законных оснований для их дальнейшей обработки. Исключение составляют медицинские данные, хранение которых обязательно в течение 25 лет по законодательству, и финансовые данные, хранение которых обязательно 5 лет.
9.4. Право на отзыв согласия — отозвать ранее данное согласие на обработку персональных данных в любое время. Отзыв согласия осуществляется:
- через настройки Приложения (раздел «Конфиденциальность»);
- путём направления заявления на info@myhms.ru с пометкой «Отзыв согласия»;
- путём направления заявления почтой на адрес Оператора.
9.5. Отзыв согласия не влечёт прекращения обработки данных, если существуют иные законные основания для их обработки (исполнение договора, требование закона). После отзыва согласия Оператор прекращает обработку данных в течение 30 дней, за исключением данных, обязательных к хранению по закону.
9.6. Право на блокирование — потребовать временного прекращения обработки данных при наличии оснований, предусмотренных Законом.
9.7. Право на обжалование — обжаловать неправомерные действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных:
- Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор): www.rkn.gov.ru, тел.: 8 (495) 983-33-93.
- В судебном порядке по месту жительства Пользователя.
10. Меры по обеспечению безопасности персональных данных
10.1. Оператор реализует правовые, организационные и технические меры защиты персональных данных, в том числе:
- шифрование данных при передаче (TLS/SSL) и хранении;
- разграничение прав доступа к персональным данным сотрудников Оператора;
- хранение данных на серверах, расположенных на территории Российской Федерации;
- регулярное резервное копирование данных;
- мониторинг несанкционированного доступа и аномальной активности;
- обучение сотрудников требованиям защиты персональных данных;
- заключение соглашений о конфиденциальности с сотрудниками и контрагентами, имеющими доступ к данным.
10.2. Доступ к персональным данным Пользователей имеют только те сотрудники Оператора, которым это необходимо для выполнения своих служебных обязанностей.
10.3. В случае выявления нарушения безопасности персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов, а при наличии угрозы правам Пользователей — также уведомляет самих Пользователей в течение 72 часов с момента выявления инцидента.
11. Обязанности субъектов персональных данных
11.1. Пользователь обязан предоставлять Оператору достоверные и актуальные персональные данные о себе.
11.2. Пользователь обязан своевременно уведомлять Оператора об изменении своих персональных данных, в том числе об изменении контактной информации.
11.3. Лица, передавшие Оператору недостоверные сведения, несут ответственность в соответствии с законодательством РФ. Оператор вправе приостановить предоставление Услуг при выявлении недостоверности предоставленных данных.
11.4. При оказании медицинских услуг Пользователь обязан пройти идентификацию в порядке, предусмотренном ст. 36.2 ФЗ №323-ФЗ. Оказание медицинских услуг без надлежащей идентификации не допускается.
12. Cookies и технические данные
12.1. Приложение использует технические средства автоматического сбора информации об использовании Приложения (аналитические инструменты, идентификаторы сессий) в целях улучшения его функциональности и пользовательского опыта.
12.2. Технические данные, перечисленные в п. 3.5 настоящей Политики, собираются автоматически при использовании Приложения. Данные о геолокации собираются исключительно при явном разрешении Пользователя в настройках устройства.
12.3. Пользователь вправе ограничить сбор технических данных в настройках операционной системы своего устройства. Ограничение сбора технических данных может повлиять на функциональность отдельных разделов Приложения.
13. Порядок обращений и запросов
13.1. Пользователь вправе направить запрос, связанный с обработкой его персональных данных:
- по электронной почте: info@myhms.ru (с пометкой «Персональные данные»);
- почтовым отправлением: 450076, Республика Башкортостан, г. Уфа, ул. Красина, д. 21, офис 604/2;
- через форму обратной связи в разделе «Конфиденциальность» Приложения.
13.2. Оператор рассматривает обращения, связанные с обработкой персональных данных, в течение 10 (десяти) рабочих дней с момента получения запроса. При необходимости срок рассмотрения может быть продлён до 30 (тридцати) рабочих дней с уведомлением заявителя.
13.3. Для идентификации заявителя при обработке запроса Оператор вправе запросить подтверждение личности (скан документа с закрытыми лишними данными).
14. Заключительные положения
14.1. Настоящая Политика является публичным документом и находится в свободном доступе в Приложении в разделе «Конфиденциальность», а также на официальном сайте Оператора.
14.2. Оператор вправе вносить изменения в настоящую Политику. Об изменениях, затрагивающих права Пользователей, Оператор уведомляет посредством push-уведомления в Приложении и/или направления сообщения на адрес электронной почты Пользователя не менее чем за 14 (четырнадцать) дней до вступления изменений в силу.
14.3. Политика действует с даты публикации до принятия новой редакции.
14.4. По всем вопросам, связанным с обработкой персональных данных, Пользователь может обратиться к Оператору: e-mail: info@myhms.ru, тел.: 8-917-049-33-79.
14.5. Уполномоченный орган по защите прав субъектов персональных данных — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор): www.rkn.gov.ru, 109074, г. Москва, Китайгородский пр-д, д. 7, стр. 2.
ООО «Черепаха»
ИНН: 0275927449 | ОГРН: 1220200009897
450076, Республика Башкортостан, г. Уфа, ул. Красина, д. 21, офис 604/2
info@myhms.ru | 8-917-049-33-79