Политика обработки персональных данных

1. Термины и определения

В настоящей Политике используются следующие термины в значениях, установленных статьёй 3 152-ФЗ:

• Оператор — лицо, организующее и (или) осуществляющее обработку персональных данных (реквизиты — см. п. 2);
• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн);
• Субъект ПДн — физическое лицо, персональные данные которого обрабатывает Оператор;
• Обработка ПДн — любое действие или совокупность действий, совершаемых с ПДн (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение);
• Автоматизированная обработка — обработка с использованием средств вычислительной техники;
• Сайт — информационный ресурс Оператора, размещённый по адресу https://med-risk.ru;
• Услуга — информационно-консультационная услуга по оценке готовности медицинского/фармацевтического работника к периодической аккредитации либо услуга аудита сайта клиники.

2. Оператор персональных данных

Оператор: Индивидуальный предприниматель Самойлов Константин Олегович (бренд «Мед-Риск»)

• ИНН: 501604988692
• ОГРНИП: 325508100096890
• ОКВЭД: 63.99.1
• Система налогообложения: УСН-доходы (6%); НДС не облагается
• Адрес (для переписки): 141280, Московская область, г. Пушкино, мкр. Ивантеевка, ул. Заводская, д. 2, кв. 13
• Адрес электронной почты: privacy@med-risk.ru
• Ответственный за организацию обработки ПДн: ИП Самойлов Константин Олегович, privacy@med-risk.ru
• Реестровая запись Роскомнадзора: 77-25-486850 от 19.02.2025.

3. Принципы и условия обработки

3.1. Оператор осуществляет обработку ПДн в соответствии со следующими принципами (ст. 5 152-ФЗ):

• законность и справедливость;
• ограничение обработки конкретными, заранее определёнными и законными целями;
• недопустимость обработки ПДн, несовместимой с целями сбора;
• недопустимость объединения баз данных, цели обработки которых несовместимы;
• обработка только тех ПДн, которые необходимы для достижения целей;
• соответствие содержания и объёма обрабатываемых ПДн заявленным целям;
• точность, достаточность, актуальность ПДн; при необходимости — обновление;
• хранение в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки.

3.2. Обработка ПДн осуществляется с соблюдением следующих условий (ст. 6 152-ФЗ):

• с согласия субъекта ПДн;
• для исполнения договора, стороной которого является субъект ПДн (публичная оферта);
• для осуществления прав и законных интересов Оператора, не нарушающих права субъекта;
• для исполнения обязанностей, возложенных на Оператора законодательством РФ (в том числе 54-ФЗ — выдача чеков).

4. Цели обработки персональных данных

4.1. Оператор обрабатывает ПДн в следующих целях:

• оказание Услуги: проведение опроса, формирование PDF-отчёта детерминированным правил-движком, доставка отчёта на email;
• идентификация Заказчика как стороны договора по публичной оферте;
• осуществление расчётов и выставление кассовых чеков (54-ФЗ);
• информирование Заказчика о ходе оказания Услуги и результатах;
• рассмотрение обращений и претензий;
• обеспечение информационной безопасности сервиса, противодействие мошенничеству и злоупотреблениям;
• ведение статистики, улучшение качества сервиса (по обезличенным данным);
• веб-аналитика посещаемости и оценка эффективности рекламных каналов Оператора — исключительно при наличии согласия Пользователя на аналитические cookie (см. Политику использования файлов cookie);
• исполнение иных обязанностей, возложенных на Оператора законодательством РФ.

5. Категории субъектов персональных данных

5.1. Оператор обрабатывает ПДн следующих категорий субъектов:

• медицинских и фармацевтических работников Российской Федерации, использующих Сайт (в том числе лиц, проходящих или планирующих прохождение периодической аккредитации);
• пользователей Сайта, заполняющих опросник;
• лиц, направляющих Оператору обращения и претензии.

6. Состав обрабатываемых персональных данных

6.1. Идентификационные и контактные ПДн, предоставляемые субъектом ПДн добровольно:

• фамилия, имя, отчество (при добровольном указании);
• адрес электронной почты;
• номер мобильного телефона (опционально).

6.2. Профессиональные данные:

• специальность, квалификация, стаж;
• ответы Пользователя на вопросы опросника о профессиональной деятельности и подготовке к периодической аккредитации.

6.3. Технические данные:

• IP-адрес, тип и версия браузера, операционная система, разрешение экрана, источник перехода (Referer);
• идентификаторы сессии и cookie (см. Политику использования файлов cookie);
• идентификаторы сторонних счётчиков аналитики и рекламной аналитики — при наличии согласия Пользователя на аналитические cookie (Yandex.Metrika, Top.Mail.Ru — см. п. 10.2);
• логи действий на Сайте.

6.4. Платёжные данные:

• токен и статус транзакции, получаемые от платёжного сервиса CloudPayments;
• номер банковской карты Оператором не хранится.

6.5. Важно. Оператор не обрабатывает:

• биометрические персональные данные (ст. 11 152-ФЗ);
• специальные категории персональных данных (ст. 10 152-ФЗ);
• сведения о состоянии здоровья.

Загрузка документов (сканов, фотографий, файлов) в сервисе не предусмотрена: всё взаимодействие с Сервисом ограничивается прохождением опросника и обработкой ответов.

7. Правовые основания обработки

7.1. Обработка ПДн осуществляется на следующих правовых основаниях:

• согласие субъекта ПДн (ст. 6 ч. 1 п. 1 152-ФЗ) — базовое основание для всех категорий ПДн; выражается путём проставления отметки «Я даю согласие на обработку персональных данных» при прохождении опросника;
• исполнение договора (ст. 6 ч. 1 п. 5 152-ФЗ) — публичная оферта, стороной которой становится субъект ПДн, производя оплату;
• исполнение обязанностей, возложенных на Оператора (54-ФЗ, налоговое законодательство) — при выставлении кассовых чеков и ведении учёта.

8. Порядок и способы обработки

8.1. Обработка ПДн осуществляется смешанным способом — с использованием средств автоматизации (детерминированный правил-движок, веб-формы Сайта, базы данных) и без использования таковых (рассмотрение обращений и претензий).

8.2. Оператор не принимает решения, порождающие юридические последствия в отношении субъекта ПДн или иным образом затрагивающие его права и законные интересы, исключительно на основании автоматизированной обработки (ст. 16 152-ФЗ).

8.3. Формируемый Оператором отчёт носит рекомендательный информационный характер и не является юридически значимым решением.

9. Сроки обработки и хранения

9.1. Оператор хранит ПДн в течение следующих сроков:

| Категория ПДн | Срок хранения | Обоснование | |---|---|---| | Ответы опросника | 3 года | Защита прав Оператора, калибровка правил, разрешение претензий | | Email учётной записи | Срок жизни аккаунта + 30 дней | Поддержание доступа к личному кабинету | | Сгенерированные PDF-отчёты | 180 дней с момента формирования | Обеспечение доступа Заказчика к отчёту | | Фискальные данные (чеки, суммы, даты) | 5 лет | НК РФ ст. 23 | | Согласия на обработку ПДн | Срок действия + 5 лет | Доказательство правомерности обработки | | Логи доступа и безопасности | 12 месяцев | Информационная безопасность, расследование инцидентов | | Обезличенные статистические данные | Бессрочно | Аналитика использования сервиса |

9.2. По истечении установленных сроков ПДн подлежат уничтожению или обезличиванию в порядке, предусмотренном внутренними регламентами Оператора.

9.3. При отзыве субъектом ПДн согласия на обработку Оператор прекращает обработку в течение 10 рабочих дней и уничтожает ПДн в течение 30 дней с момента получения отзыва, если иное не предусмотрено законодательством РФ.

10. Локализация в РФ. Передача персональных данных

10.1. В соответствии с ч. 5 ст. 18 152-ФЗ запись, систематизация, накопление, хранение, уточнение, извлечение персональных данных граждан РФ осуществляется на серверах, находящихся на территории Российской Федерации:

• хостинг-провайдер: ООО «Селектел» (Selectel), дата-центр в г. Москва, зона ru-6a.

10.2. Оператор может передавать ПДн следующим категориям третьих лиц на основании поручения обработки (ст. 6 ч. 3 152-ФЗ):

• платёжный сервис — CloudPayments (ООО «КлаудПэйментс», ИНН 7708806062) — для проведения платежей;
• сервис фискализации чеков — CloudKassir (партнёрский сервис CloudPayments) — для выдачи кассовых чеков по 54-ФЗ;
• email-провайдер — Unisender Go (ООО «Юнисендер Рус», ИНН 7728827409) — для доставки отчётов и уведомлений;
• органы государственной власти — в случаях и в объёме, предусмотренных законодательством РФ.

10.2.1. Дополнительно, при наличии согласия Пользователя на аналитические cookie, доступ к части технических данных (IP-адрес, идентификаторы cookie, факт посещения страниц) получают операторы сторонних счётчиков веб-аналитики и рекламной аналитики, действующие как самостоятельные операторы (не на основании поручения обработки):

• Yandex.Metrika — ООО «ЯНДЕКС» (ИНН 7736207543) — обезличенный подсчёт посещаемости Сайта;
• Top.Mail.Ru / VK Реклама — ООО «ВК» (ИНН 7743001840) — измерение эффективности рекламных кампаний Оператора.

Указанные лица обрабатывают полученные данные в соответствии с собственными политиками конфиденциальности; их серверы расположены на территории Российской Федерации, трансграничная передача не осуществляется. Порядок подключения счётчиков и управления согласием описан в Политике использования файлов cookie.

10.3. Со всеми третьими лицами, которым поручена обработка ПДн, Оператор заключает договоры, содержащие обязанности по обеспечению конфиденциальности и безопасности ПДн (ст. 6 ч. 3 152-ФЗ).

10.4. Трансграничная передача ПДн не осуществляется. Все серверы хранения ПДн размещены на территории Российской Федерации в соответствии с требованиями ст. 18 ч. 5 152-ФЗ (локализация, 242-ФЗ).

10.5. Оператор не передаёт ПДн в страны, не обеспечивающие адекватной защиты прав субъектов ПДн, и не использует облачные сервисы зарубежных провайдеров для хранения ПДн.

11. Права субъекта персональных данных

11.1. В соответствии со ст. 14, 18, 20, 21 152-ФЗ субъект ПДн имеет право:

• получать информацию, касающуюся обработки его ПДн (факт обработки, правовые основания, цели, перечень обрабатываемых ПДн, сроки);
• требовать уточнения, блокирования или уничтожения ПДн, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленных целей;
• отозвать согласие на обработку ПДн (ч. 2 ст. 9);
• требовать прекращения обработки ПДн;
• возражать против обработки в целях продвижения услуг (ст. 15);
• обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке (ст. 17);
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке.

11.2. Для реализации своих прав субъект ПДн направляет Оператору обращение в письменной форме по адресу электронной почты privacy@med-risk.ru. Обращение должно содержать:

• ФИО, адрес электронной почты, иные идентифицирующие данные;
• сведения, подтверждающие участие субъекта в отношениях с Оператором (например, идентификатор проверки);
• существо обращения и подпись (при направлении на бумаге).

11.3. Срок рассмотрения обращения — не более 10 рабочих дней с возможностью продления ещё на 5 рабочих дней с уведомлением субъекта (приказ РКН от 24.03.2023 № 28).

11.4. Подробное описание прав субъектов ПДн размещено на странице https://med-risk.ru/legal/data-rights.

12. Меры по обеспечению безопасности персональных данных

12.1. Оператор принимает следующие организационно-технические меры для защиты ПДн:

• определение угроз безопасности ПДн при их обработке в информационных системах;
• назначение ответственного за организацию обработки ПДн;
• принятие локальных нормативных актов Оператора по вопросам обработки и защиты ПДн;
• ограничение доступа к ПДн: доступ предоставляется только уполномоченным лицам в объёме, необходимом для выполнения их обязанностей;
• применение шифрования ПДн при передаче (HTTPS / TLS 1.3) и при хранении (шифрование чувствительных полей в базе данных);
• использование подготовленных запросов (prepared statements) для защиты от SQL-инъекций;
• защита от перебора (fail2ban) и ограничение скорости запросов (rate-limiting);
• регулярное резервное копирование с шифрованием и контроль целостности данных;
• ведение журнала доступа и действий (аудит-лог);
• применение средств защиты информации, прошедших оценку соответствия требованиям законодательства РФ (при необходимости);
• регулярная оценка рисков и пересмотр мер защиты.

12.2. Для маскирования ПДн в технических логах Оператор применяет следующие подходы: в логи не пишутся ФИО, контактные данные; события привязываются к идентификатору проверки.

13. Реакция на инциденты

13.1. В соответствии с ч. 22.1 ст. 21 152-ФЗ Оператор обязан:

• в течение 24 часов с момента выявления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкших нарушение прав субъектов, — уведомить Роскомнадзор через портал pd.rkn.gov.ru;
• в течение 72 часов — направить в Роскомнадзор сведения о результатах внутреннего расследования и лицах, действия которых привели к инциденту;
• уведомить затронутых субъектов персональных данных в порядке и случаях, установленных ст. 21 152-ФЗ.

14. Файлы cookie и аналогичные технологии

14.1. Порядок использования файлов cookie описан в отдельном документе — «Политика использования файлов cookie».

15. Изменения Политики

15.1. Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция доступна по адресу https://med-risk.ru/privacy.

15.2. При существенных изменениях Оператор уведомляет субъектов ПДн путём публикации на Сайте и/или направления уведомления по адресу электронной почты не менее чем за 10 рабочих дней до вступления изменений в силу.

15.3. Продолжение использования Сайта после публикации новой редакции Политики означает согласие субъекта ПДн с её условиями.

16. Контакты для обращений

• Адрес электронной почты: privacy@med-risk.ru
• Почтовый адрес: 141280, Московская область, г. Пушкино, мкр. Ивантеевка, ул. Заводская, д. 2, кв. 13
• Контроль в сфере ПДн: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), 109992, г. Москва, Китайгородский пр-д, д. 7, стр. 2, сайт: https://rkn.gov.ru.

Дата редакции: 28 апреля 2026. Оператор: Индивидуальный предприниматель Самойлов Константин Олегович.