Политика оператора в отношении обработки персональных данных

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») издана и применяется Индивидуальным предпринимателем Грикевич Анной Сергеевной (ОГРНИП: 322774600453566, ИНН: 236103653078, далее — «Оператор»), в соответствии с:

• Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
• Конституцией Российской Федерации;
• Гражданским кодексом Российской Федерации и иными применимыми нормативными актами.

1.2. Политика применяется ко всем персональным данным, которые Оператор получает при использовании сайта https://bloomcare.ru/ и его поддоменов (включая bloom-care.ru) и электронную почту.

1.3. Оператор внесён в реестр операторов персональных данных Роскомнадзора в соответствии с пунктом 1 статьи 22 ФЗ-152. Регистрационный номер записи в реестре: 77-26-528125

1.4. Ответственным за организацию обработки персональных данных является Оператор — ИП Грикевич Анна Сергеевна. Контакт: bloomcare.ru@gmail.com.

1.5. Политика является общедоступной и размещена на сайте: https://bloomcare.ru/

1.6. Настоящая Политика распространяется на отношения в области обработки персональных данных, возникшие как до, так и после её утверждения.

Оператор строит работу с персональными данными на следующих принципах, закреплённых в ст.5 ФЗ-152 и лучших практиках отрасли:

• Законность и добросовестность — обработка осуществляется только при наличии законного основания (согласие, договор, закон);
• Соответствие целям — персональные данные собираются под конкретные, заранее определённые цели и не обрабатываются способами, несовместимыми с этими целями;
• Минимизация — обрабатываются только те данные, которые необходимы для достижения заявленных целей, и не более того;
• Точность и актуальность — Оператор принимает необходимые меры по обновлению, исправлению или удалению неполных и неточных данных;
• Ограничение хранения — персональные данные хранятся в форме, позволяющей идентифицировать субъекта, не дольше, чем этого требуют цели обработки;
• Целостность и конфиденциальность — персональные данные защищены от несанкционированного доступа, уничтожения, изменения, раскрытия;
• Недопустимость слияния баз данных — не допускается объединение баз данных, обработка которых осуществляется в целях, несовместимых между собой;
• Прозрачность — Оператор предоставляет субъектам ПД полную информацию об обработке их данных по первому запросу.

4.1. Согласие субъекта ПД на обработку данных оформляется одним из следующих способов:

• Проставление отметки (чекбокса) в соответствующей форме на Сервисе — считается подписанным с использованием средств простой электронной подписи;
• Оплата услуг (акцепт публичной оферты) — является согласием на обработку ПД в целях исполнения договора;
• Письменное согласие, подписанное собственноручно и направленное Оператору в виде скана по электронной почте или в мессенджере.

4.2. Согласие на обработку специальных категорий персональных данных оформляется отдельным чекбоксом по Форме СК-ПД-01. Оно не может быть объединено с иными согласиями и должно содержать явное указание на то, что субъект ПД осознаёт характер предоставляемых им данных.

4.3. Согласие на распространение персональных данных (публикация профиля специалиста, размещение отзывов) оформляется отдельно в соответствии со статьёй 10.1 ФЗ-152. Субъект ПД вправе установить запреты и ограничения на способы распространения своих данных.

4.4. Согласие на получение рекламных и информационных рассылок оформляется отдельным необязательным чекбоксом, не связанным с акцептом оферты или основным согласием на ПД.

4.5. Субъект ПД вправе отозвать любое из согласий в любое время, направив уведомление на общедоступный адрес Оператора. После получения отзыва Оператор прекращает обработку в течение 30 календарных дней. При отзыве согласия Оператор вправе продолжить обработку в случаях, прямо предусмотренных ФЗ-152 (исполнение договора, налоговый учёт и т.д.).

4.6. Пользователь не предоставляет Оператору сведения о состоянии своего здоровья. Такие данные предоставляются исключительно добровольно в целях однозначной рекомендации обращения к специалисту.

5.1. Данные, предоставляемые пользователями напрямую

• Фамилия, имя, отчество;
• Адрес электронной почты;
• Номер мобильного телефона;
• Никнейм / аккаунт в Telegram;
• Пол, возраст / дата рождения;
• Город / адрес регистрации (при необходимости);
• Банковские реквизиты — исключительно для возврата денежных средств;
• Специализация, образование, профессиональный опыт — для специалистов-партнёров;
• Фотографии, дипломы, сертификаты — для публикации профиля партнёра, исключительно с согласия.

5.2. Специальные категории ПД

Оператор обрабатывает сведения о состоянии здоровья исключительно с отдельного письменного согласия субъекта ПД (пункт 1 части 2 статьи 10 ФЗ-152) и только в объёме, необходимом для целей, определяемых соглашением Оператора и самого субъекта, а равно офертой, акцептованной субъектом. Медицинские данные передаются Клинике-партнёру и привлеченным ею кураторам только для оказания запрошенной пользователем услуги и не используются в маркетинговых целях.

• Симптомы и жалобы, добровольно указанные пользователем;
• Сведения о беременности, родах, послеродовом периоде, хирургических вмешательствах;
• Иные сведения о состоянии здоровья, добровольно сообщённые субъектом.

5.3. Видеоотчёты слушателя

5.3.1. В рамках кураторского сопровождения курсов слушатель вправе направлять Оператору видеоматериалы, отражающие выполнение упражнений курса, для получения обратной связи куратора по корректности техники. Такие материалы относятся к специальным категориям персональных данных, поскольку могут отражать состояние здоровья и физические возможности субъекта.

5.3.2. Видеоотчёты обрабатываются на основании отдельного согласия субъекта ПД на обработку специальных категорий ПД, передаются куратору-сотруднику Клиники-партнёра и хранятся в личном кабинете слушателя в течение срока, указанного в разделе 8 настоящей Политики.

5.4. Данные об отзывах

При публикации отзывов пользователей о специалистах и курсах платформы Оператор обрабатывает имя пользователя и содержание отзыва. Публикация осуществляется в форме, не позволяющей однозначно идентифицировать пользователя третьими лицами, если иное не предусмотрено согласием пользователя. Использование отзывов в рекламных целях — только с отдельного согласия.

5.5. Технические данные (Cookies и метрика)

Оператор использует следующие категории файлов cookie:

Помимо cookies, автоматически обрабатываются: IP-адрес; данные браузера и устройства; история посещённых страниц; реферер (адрес предыдущей страницы). Оператор ведёт лог-файлы о действиях пользователей в целях обеспечения безопасности и правовой защиты. Срок хранения лог-файлов — 12 месяцев.

5.7. Данные об отзывах

Персональные данные получаются Оператором непосредственно от субъекта персональных данных: при заполнении форм на Сайте, при оплате услуг, в ходе переписки по электронной почте, а также в ходе использования субъектом функционала Платформы. Оператор не получает персональные данные из общедоступных источников или от третьих лиц без ведома субъекта ПД, за исключением случаев, прямо предусмотренных законодательством Российской Федерации.

5.8. Способы обработки персональных данных

Оператор осуществляет обработку персональных данных смешанным способом — с использованием средств автоматизации (информационные системы, платформа Getcourse, сервисы электронной почты и рассылок) и без их использования (бумажные документы при очном взаимодействии, в том числе при подписании Формы СК-ПД-01).

5.9. Способы обработки персональных данных

Сервис предназначен исключительно для лиц, достигших 18 лет. Оператор не осуществляет сбор и обработку персональных данных лиц младше 18 лет. При обнаружении факта предоставления персональных данных несовершеннолетним Оператор принимает меры к незамедлительному удалению таких данных.

6.1. Обработка обезличенных данных. Оператор оставляет за собой право использовать обезличенные данные о работе Сервиса (агрегированную статистику запросов, типы взаимодействий, иные данные, не позволяющие установить личность субъекта) для целей технологического совершенствования платформы, в том числе для развития интеллектуальной системы сопровождения. Перед использованием для указанных целей данные подвергаются процедуре обезличивания, исключающей возможность установления связи с конкретным субъектом ПД, в порядке, предусмотренном Приказом Роскомнадзора от 05.09.2013 № 996.

6.2. Автоматизированное принятие решений. Оператор использует интеллектуальную систему сопровождения для подбора релевантных материалов и взаимодействия с субъектом ПД в личном кабинете. При этом данная система не принимает решений, порождающих юридически значимые последствия для субъекта ПД или иным существенным образом затрагивающих его права и интересы, исключительно на основе автоматизированной обработки персональных данных (ст. 16 ФЗ-152). Субъект ПД вправе потребовать проверки любого результата, выданного системой, с участием Оператора, направив запрос на bloomcare.ru@gmail.com.

7.1. Оператор передаёт персональные данные пользователей исключительно для целей, предусмотренных настоящей Политикой и согласием субъекта ПД. Все получатели предупреждаются о том, что данные могут использоваться только в заявленных целях, и обязаны соблюдать конфиденциальность.

7.2. Перечень лиц, получающих персональные данные пользователей:

7.3. Научный партнёр. Научный партнёр Оператора не получает персональные данные пользователей платформы. Взаимодействие с Научным партнёром осуществляется исключительно с обезличенными агрегированными материалами, не позволяющими идентифицировать конкретного субъекта ПД, для целей научного рецензирования материалов платформы и совместной издательской деятельности.

7.4. Передача персональных данных лицам, не указанным в пункте 7.2, осуществляется только при наличии отдельного согласия субъекта ПД или законного основания.

7.5. При передаче ПД третьим лицам Оператор заключает с ними договоры (поручения на обработку), содержащие: перечень обрабатываемых данных; конкретные операции; цели обработки; обязательство соблюдать конфиденциальность; обязательство уведомлять Оператора о нарушениях и инцидентах.

7.6. Базы данных, содержащие персональные данные граждан России, физически расположены на территории Российской Федерации.

8.1. Порядок уничтожения персональных данных. По истечении срока хранения или при получении отзыва согласия субъекта ПД Оператор уничтожает персональные данные в течение сроков, указанных в настоящем разделе. Уничтожение производится способом, исключающим возможность восстановления данных: удаление из информационных систем с перезаписью области памяти; уничтожение бумажных носителей путём шредирования. По результатам уничтожения составляется акт об уничтожении персональных данных с указанием даты, перечня уничтоженных данных и ответственного лица. Акт хранится у Оператора в течение 3 лет.

В соответствии с ФЗ-152 субъект персональных данных имеет право:

• Получать полную информацию об обработке своих персональных данных (статья 14 ФЗ-152). Запрос рассматривается в течение 10 рабочих дней; при необходимости срок продлевается на 5 рабочих дней с мотивированным уведомлением субъекта;
• Требовать уточнения, блокирования или уничтожения неполных, устаревших, незаконно полученных персональных данных (статья 21 ФЗ-152). При получении обращения о неточности Оператор блокирует данные на период проверки и вносит изменения в течение 7 рабочих дней с получения подтверждающих документов;
• Отозвать согласие на обработку персональных данных в любое время (статья 9 ФЗ-152). После отзыва Оператор вправе продолжить обработку в случаях, предусмотренных ФЗ-152;
• Устанавливать запреты и ограничения на способы распространения персональных данных (статья 10.1 ФЗ-152);
• Отказаться от получения рекламных и информационных рассылок: (а) кликнув «Отписаться» в письме; (б) направив запрос на bloomcare.ru@gmail.com; (в) направив письменный запрос по адресу Оператора с указанием ФИО;
• Обжаловать действия Оператора в Роскомнадзор: https://rkn.gov.ru, тел. 8-800-222-27-88 (бесплатно), или в суд — по месту нахождения Оператора или по месту жительства субъекта ПД (статья 17 ФЗ-152);
• Требовать возмещения убытков и компенсации морального вреда, причинённых нарушением законодательства о персональных данных (статья 17 ФЗ-152).

Оператор принимает следующие меры по обеспечению безопасности персональных данных:

• Правовые меры: разработка и поддержание в актуальном состоянии локальных актов по обработке ПД; заключение договоров-поручений и обязательств о неразглашении со всеми лицами, имеющими доступ к ПД.
• Организационные меры: ограничение круга лиц, имеющих доступ к ПД, в соответствии с Приказом об определении перечня лиц, допущенных к обработке ПД; ведение учёта лиц с доступом и условий такого доступа.
• Технические меры: использование сертифицированных средств защиты информации; шифрование передаваемых данных (TLS); резервное копирование; защита от несанкционированного доступа и вредоносного программного обеспечения; ведение лог-файлов.
• Контроль и аудит: регулярная проверка соблюдения требований защиты ПД; реагирование на инциденты в соответствии с Регламентом учёта, хранения и уничтожения ПД и Регламентом реагирования на запросы субъектов ПД.

11.1. В случае выявления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор обязан:

— в течение 24 часов с момента выявления инцидента уведомить Роскомнадзор о произошедшем инциденте, его предполагаемых причинах, предполагаемом вреде, причинённом правам субъектов ПД, и о принятых мерах по устранению последствий;

— в течение 72 часов направить в Роскомнадзор результаты внутреннего расследования с указанием виновных лиц (при их установлении).

11.2. Уведомление направляется через портал Роскомнадзора: https://pd.rkn.gov.ru.

11.3. Оператор незамедлительно информирует субъектов персональных данных, чьи данные были скомпрометированы, о факте инцидента и рекомендуемых мерах защиты — посредством электронной почты или через личный кабинет на Платформе.

11.4. Взаимодействие с Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) осуществляется в соответствии с требованиями законодательства Российской Федерации в области информационной безопасности.

12.1. Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция Политики размещается на Сайте по адресу https://bloomcare.ru/polzovatelskoe-soglashenie.

12.2. При существенном изменении состава обрабатываемых данных, целей обработки или перечня третьих лиц, получающих данные, Оператор уведомляет субъектов ПД не позднее чем за 5 рабочих дней до вступления изменений в силу путём направления уведомления на адрес электронной почты, указанный при регистрации, и размещения соответствующего объявления на Сайте. Новая редакция Политики вступает в силу с даты её размещения, если в самой Политике не указана более поздняя дата.

Оператор не осуществляет трансграничную передачу персональных данных. Все персональные данные пользователей обрабатываются и хранятся исключительно на территории Российской Федерации в соответствии с требованиями части 5 статьи 18 ФЗ-152. Используемые Оператором сервисы и платформы (Getcourse, сервисы рассылок, платёжные системы) размещают данные граждан Российской Федерации на серверах, физически расположенных на территории РФ. Передача персональных данных иностранным операторам или в иностранные государства Оператором не производится.