Политика в области обработки и защиты персональных данных (152-ФЗ)

1. Общие положения и термины

1.1. Оператор ставит своей важнейшей целью и условием осуществления своей деятельности соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Настоящая Политика применяется ко всей информации, которую Оператор может получить о посетителях и зарегистрированных пользователях специализированного B2B-портала https://igenicalab.ru (далее — «Сайт»).

1.3. Использование Сайта, регистрация Личного кабинета специалиста, загрузка документов о медицинском образовании или оформление заказа означает безоговорочное согласие Пользователя с настоящей Политикой и указанными в ней условиями обработки его персональных данных. В случае несогласия с этими условиями Пользователь должен воздержаться от использования сервисов Сайта.

2. Категории субъектов и перечень обрабатываемых персональных данных

2.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• посетителей Сайта (неавторизованных пользователей);
• регистрирующихся и верифицированных специалистов здравоохранения (врачей-косметологов, дерматовенерологов, представителей медицинских организаций);
• контрагентов и покупателей (индивидуальных предпринимателей, представителей юридических лиц и специалистов), оформляющих заказы на поставку продукции.

2.2. В зависимости от используемых сервисов Сайта Оператор обрабатывает следующие персональные данные:

• При регистрации и верификации специалиста: фамилия, имя, отчество; дата рождения (для подтверждения совершеннолетия); адрес электронной почты (e-mail); контактный номер телефона; цифровые копии (фотографии или сканы) документов о профильном медицинском образовании и квалификации (дипломы о высшем или среднем медицинском образовании, сертификаты специалиста, свидетельства об аккредитации, удостоверерения о повышении квалификации).
• При оформлении и доставке заказов: фамилия, имя, отчество получателя; контактный телефон; адрес электронной почты; адрес доставки заказа (регион, населённый пункт, улица, дом, квартира/офис, почтовый индекс, код ФИАС/ГАР); история заказов и расчётов.
• При посещении Сайта (технические данные): IP-адрес, сведения о типе и версии браузера, операционной системе, файлах cookie, времени доступа и посещённых страницах Сайта.

2.3. Оператор не осуществляет обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья пациентов или интимной жизни, а также биометрических персональных данных. Фотографии в дипломах или документах об образовании не используются Оператором для установления личности (биометрической идентификации) и проверяются исключительно в целях подтверждения профессиональной квалификации специалиста.

3. Цели обработки, категории субъектов, перечень данных, сроки и порядок уничтожения (ч. 2 ст. 18.1 152-ФЗ)

3.1. Во исполнение требований ч. 2 ст. 18.1 Федерального закона № 152-ФЗ для каждой цели обработки персональных данных установлены следующие параметры:

• Цель № 1: Регистрация Личного кабинета и документальная верификация профессиональной квалификации специалиста здравоохранения (предоставление закрытого доступа к профессиональной информации о продукции RecomboColl® и ARTLINE® и оптовым ценам во исполнение ограничений Федерального закона № 38-ФЗ «О рекламе» и № 323-ФЗ «Об основах охраны здоровья граждан в РФ»).
  Категории субъектов: регистрирующиеся и верифицированные специалисты здравоохранения.
  Категории и перечень ПД: общие (иные) ПД — ФИО, дата рождения, e-mail, контактный телефон, сведения об образовании и квалификации из цифровых копий дипломов и сертификатов.
  Правовое основание: согласие субъекта ПД (п. 1 ч. 1 ст. 6 152-ФЗ), Пользовательское соглашение.
  Способы и срок хранения: смешанная обработка; в течение всего срока действия учётной записи специалиста либо до отзыва согласия.
• Цель № 2: Заключение и исполнение Договора публичной оферты (комплектация, оплата, учёт и доставка заказов).
  Категории субъектов: верифицированные специалисты и покупатели.
  Категории и перечень ПД: общие ПД — ФИО, телефон, e-mail, адрес доставки (индекс, ФИАС/ГАР), состав и история заказов.
  Правовое основание: исполнение договора, стороной которого является субъект ПД (п. 5 ч. 1 ст. 6 152-ФЗ, Договор оферты), налоговое и бухгалтерское законодательство РФ (Федеральный закон № 402-ФЗ «О бухгалтерском учёте»).
  Способы и срок хранения: смешанная обработка; в течение срока исполнения договора и 5 (пяти) лет после окончания отчётного года для первичных учётных документов.
• Цель № 3: Сервисное и информационное взаимодействие со специалистами (направление кодов подтверждения e-mail, уведомлений о результатах модерации документов и статусах заказов).
  Категории субъектов: зарегистрированные пользователи и покупатели.
  Категории и перечень ПД: общие ПД — ФИО, e-mail, телефон.
  Правовое основание: согласие субъекта ПД, исполнение Пользовательского соглашения и Договора оферты.
  Способы и срок хранения: автоматизированная обработка; до прекращения действия учётной записи или отзыва согласия.
• Цель № 4: Обеспечение безопасности, работоспособности Сайта, веб-аналитика (Яндекс.Метрика) и предотвращение мошенничества.
  Категории субъектов: все посетители и авторизованные пользователи Сайта.
  Категории и перечень ПД: технические и аналитические данные — IP-адрес, файлы cookie (включая сессионные и метрические _ym_*), сведения о браузере, устройстве и времени сессии.
  Правовое основание: согласие субъекта ПД (Политика использования файлов cookie), осуществление прав и законных интересов Оператора (п. 7 ч. 1 ст. 6 152-ФЗ).
  Способы и срок хранения: автоматизированная обработка; в течение срока жизни сессии или до 1 (одного) года для функциональных и аналитических файлов cookie.

4. Порядок, условия обработки и защита документов специалистов

4.1. Обработка персональных данных осуществляется смешанным способом (с использованием средств автоматизации и без использования таких средств) и включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ в случаях, предусмотренных законом и договором), обезличивание, блокирование, удаление и уничтожение.

4.2. Локализация баз данных (ч. 5 ст. 18 152-ФЗ): запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, физически расположенных на территории Российской Федерации. Трансграничная передача персональных данных Оператором не осуществляется.

4.3. Специальный режим защиты документов о квалификации: загружаемые специалистами цифровые копии дипломов и сертификатов проходят многоуровневую проверку безопасности, переименовываются с использованием криптографически стойких идентификаторов и хранятся в изолированном защищённом хранилище сервера без прямого публичного веб-доступа. Доступ к просмотру документов имеют исключительно сам владелец Личного кабинета и уполномоченные сотрудники отдела модерации Оператора через защищённый программный шлюз с проверкой прав доступа.

4.4. Передача третьим лицам (поручение обработки по ч. 3 ст. 6 152-ФЗ): Оператор не раскрывает и не распространяет персональные данные третьим лицам без согласия субъекта, за исключением случаев, когда это необходимо для исполнения договора с Пользователем и функционирования Сайта:

• ООО «СДЭК-Глобал» (ИНН 7722327689, ОГРН 1157746448463, адрес: 630007, г. Новосибирск, ул. Кривощёковская, д. 15, корп. 1, этаж 1, 2) — в объёме ФИО, контактного телефона и адреса доставки для вручения заказа;
• ООО НКО «ЮМани» (платёжный сервис ЮKassa, ИНН 7750005725, ОГРН 1127711000031, лицензия Банка России № 3510-К, адрес: 115035, г. Москва, Садовническая ул., д. 82, стр. 2) — в объёме номера заказа, суммы оплаты, адреса электронной почты и/или контактного телефона для приёма безналичных онлайн-платежей и формирования электронных кассовых чеков (54-ФЗ);
• АО «Дейта Кью» (сервис DaData.ru, ИНН 7721581040, ОГРН 1127746505469, адрес: 129110, г. Москва, пр-кт Мира, д. 68, стр. 1А) — исключительно обезличенной строки вводимого адреса через защищённый серверный прокси для определения индекса и кода ФИАС/ГАР;
• ООО «ЯНДЕКС» (сервисы веб-аналитики Яндекс.Метрика и корпоративной почты Яндекс 360 для бизнеса, ИНН 7736207543, ОГРН 1027700229193, адрес: 119021, г. Москва, ул. Льва Толстого, д. 16) — в объёме технических параметров визита и аналитических файлов cookie (с хранением баз данных на территории РФ) для оценки посещаемости и удобства навигации, а также в объёме адреса электронной почты для отправки транзакционных уведомлений по защищённому протоколу SMTP;
• уполномоченным государственным органам РФ — строго по основаниям и в порядке, установленным законодательством Российской Федерации.

5. Использование файлов Cookie

5.1. На Сайте используются технические и функциональные файлы cookie и технология локального хранилища браузера (localStorage). Подробный перечень категорий файлов cookie, сроки их хранения и порядок управления ими приведены в отдельном документе — Политике использования файлов cookie.

6. Сроки хранения, права субъекта и порядок уничтожения персональных данных

6.1. Персональные данные хранятся в течение всего срока действия учётной записи Пользователя на Сайте и/или срока исполнения договорных обязательств и хранения бухгалтерской документации в соответствии с законодательством РФ, либо до момента отзыва субъектом согласия на обработку персональных данных.

6.2. Субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных (ч. 7 ст. 14 152-ФЗ);
• самостоятельно актуализировать свои контактные данные в разделе «Личный кабинет» либо требовать от Оператора их уточнения, блокирования или уничтожения;
• в любой момент отозвать своё согласие на обработку персональных данных, направив письменное заявление на электронную почту Оператора info@igenicalab.ru или по адресу места нахождения Оператора.

6.3. Порядок уничтожения персональных данных (Приказ Роскомнадзора от 28.10.2022 № 179): при достижении целей обработки, выявлении неправомерной обработки или поступлении отзыва согласия Оператор прекращает обработку и обеспечивает безвозвратное удаление (стирание) персональных данных и цифровых копий документов из баз данных информационной системы Сайта в срок, не превышающий 30 (тридцати) календарных дней (а при выявлении неправомерной обработки — в течение 10 рабочих дней), с оформлением Акта об уничтожении персональных данных и выгрузки из журнала регистрации событий в информационной системе персональных данных.