Политика обработки персональных данных

Документ объясняет, какие данные собирает сервис «НормаМед», зачем они нужны, сколько хранятся и кому передаются. Результаты анализов относятся к специальной категории персональных данных, и требования к их обработке строже обычных.

1. Общие положения

Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности в сервисе «НормаМед». Оператором персональных данных выступает физическое лицо со статусом индивидуального предпринимателя, реквизиты которого приведены на странице «Контакты».

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и распространяется на все данные, которые Оператор получает от пользователей сайта.

Использование сайта означает согласие с настоящей Политикой. Согласия на обработку персональных данных и на обработку данных о состоянии здоровья предоставляются отдельными действиями пользователя и оформляются самостоятельными документами.

2. Какие данные обрабатываются

Оператор придерживается принципа минимизации: собирается только то, без чего услуга не может быть оказана. Фамилия, имя, отчество, полная дата рождения, номер полиса обязательного медицинского страхования и СНИЛС не запрашиваются, не распознаются и не хранятся отдельными полями. Если они напечатаны в загруженном бланке, то хранятся только в составе его изображения — не дольше 47 часов, до автоматического удаления файла. Обезличивание — вырезание этих сведений из изображения перед передачей внешнему обработчику — предусмотрено сервисом, но в настоящее время выключено: изображение передаётся провайдеру языковой модели целиком, вместе с этими сведениями, если они напечатаны на бланке и если вы сами не закрыли их на шаге перед отправкой.

Перед отправкой сервис показывает шаг «закройте личные данные»: поверх снимка стоит рамка в том месте, где на бланке обычно напечатана шапка. Закрашивание выполняется в браузере и меняет сами точки изображения — на сервер Оператора уходит уже закрашенный файл. Закрытое таким образом Оператором не обрабатывается вовсе. Шаг работает только для снимков и фотографий: для файлов PDF и в браузерах, которые не умеют обрабатывать изображение на стороне пользователя, он не показывается, и файл отправляется в исходном виде.

• адрес электронной почты — для направления ссылки на отчёт и PDF-файла отчёта; этот же адрес передаётся платёжному агрегатору, чтобы он сформировал кассовый чек, и сохраняется в записи о платеже;
• номер телефона — если пользователь оплачивает, не указав адреса электронной почты: кассовый чек по 54-ФЗ обязан уйти на один из этих двух контактов. Номер передаётся платёжному агрегатору и сохраняется в записи о платеже;
• идентификатор чата в Telegram или MAX — только если пользователь сам привязал бота для получения отчёта; если доставка в этот чат подтверждена при оплате, идентификатор сохраняется ещё и в записи о платеже;
• пол и возраст — необходимы для подбора референсных интервалов;
• при добровольном указании: факт и срок беременности, наименование лаборатории;
• данные о состоянии здоровья — изображение бланка исследования и значения показателей (специальная категория, статья 10 Федерального закона № 152-ФЗ);
• технические данные, которые записывает веб-сервер: IP-адрес, строка браузера — по ней определяются его тип, версия и операционная система, — адрес открытой страницы и адрес источника перехода. Адрес страницы отчёта записывается без токена из ссылки;
• в журнале обращений к данным о состоянии здоровья и в записи о данном пользователем согласии — не полный IP-адрес, а подсеть, из которой пришло обращение. Если согласие отзывается, в ту же запись добавляется подсеть, из которой поступило заявление об отзыве;
• сведения о платежах: факт, сумма и дата оплаты. Реквизиты платёжной карты Оператору не передаются и им не обрабатываются.

3. Цели обработки

• предоставление информационно-справочной расшифровки результатов лабораторных исследований;
• исполнение договора оказания информационно-справочных услуг, заключённого на условиях публичной оферты;
• обеспечение доступа пользователя к подготовленному отчёту по персональной ссылке в течение срока хранения отчёта;
• направление отчёта в Telegram или MAX — если пользователь сам привязал бота;
• передача адреса электронной почты — либо номера телефона, если адрес не указан, — платёжному агрегатору, чтобы тот сформировал кассовый чек, как того требует Федеральный закон № 54-ФЗ;
• разбор обращений по оплате: возврат денежных средств, повторное направление отчёта и ответ на вопрос, на какой контакт он был отправлен;
• направление не более одного напоминания по контакту, названному при оформлении оплаты: покупателю — о том, что срок ссылки на отчёт заканчивается, а тому, кто начал и не завершил оплату, — о том, что разбор сохранён. Такое сообщение уходит по одному каналу, не более одного раза на каждый из этих двух случаев и не содержит ни значений показателей, ни каких-либо иных сведений о состоянии здоровья: в нём только ссылка и срок её действия. В каждом таком сообщении есть ссылка для отказа от дальнейших напоминаний;
• обеспечение безопасности сервиса, выявление и предотвращение технических сбоев и злоупотреблений;
• сбор обезличенной статистики посещаемости — при наличии согласия на аналитические cookie.

4. Правовые основания

Обработка данных о состоянии здоровья производится исключительно на основании предварительного согласия субъекта персональных данных, оформленного отдельным документом (статья 10 Федерального закона № 152-ФЗ).

Обработка иных персональных данных осуществляется на основании согласия субъекта, а также в объёме, необходимом для исполнения договора, стороной которого является субъект персональных данных, и для исполнения обязанностей, возложенных на Оператора законодательством, включая Федеральный закон № 54-ФЗ.

5. Размещение баз данных

Часть 5 статьи 18 Федерального закона № 152-ФЗ обязывает Оператора вести базы данных граждан Российской Федерации на территории Российской Федерации. Сервис устроен так, что этому требованию отвечает размещение одной машины: база данных и хранилище файлов бланков работают на том же сервере, что и само приложение. Отдельной облачной базы и стороннего объектного хранилища у сервиса нет.

Единственные случаи, когда данные покидают этот сервер, перечислены в разделе «Передача третьим лицам». Два из них — трансграничные: передача изображения бланка провайдеру языковой модели и отправка отчёта в Telegram, если пользователь сам привязал бота. Оба названы прямо, а не спрятаны за общей оговоркой.

6. Сроки хранения и уничтожение

• изображение бланка исследования удаляется автоматически в течение 47 часов после его загрузки;
• распознанные значения показателей и подготовленный отчёт удаляются автоматически по истечении срока хранения: неоплаченный разбор — через 30 суток после загрузки, оплаченный отчёт — через 90 дней после оплаты. Дата удаления указывается в письме со ссылкой и на самой странице отчёта;
• отзыв согласия и требование пользователя об удалении исполняются раньше этого срока: ожидать его истечения не нужно;
• контакты, названные при оформлении оплаты, — адрес электронной почты, номер телефона и идентификатор чата, в который подтверждена доставка отчёта, — вместе со сведениями о платеже хранятся отдельной записью о платеже. Эта запись автоматического удаления не имеет: она нужна для кассового чека, возврата денежных средств и разбора обращений по покупке и хранится в течение срока, установленного законодательством о бухгалтерском учёте и о применении контрольно-кассовой техники, но не менее срока исковой давности по соответствующей оплате;
• у счёта, по которому не поступило ни рубля, номер телефона и идентификатор чата гасятся в этой записи через две недели после последнего обращения к счёту: без оплаты основания хранить их нет. Адрес электронной почты и сведения, необходимые для возврата денежных средств, остаются; у оплаченного счёта контакты хранятся столько же, сколько сама запись о платеже;
• если право на отзыв согласия подтверждается одноразовым кодом, сам код у Оператора не хранится: остаются его отпечаток, канал отправки и подсказка, по которой видно, куда код ушёл, — первая буква адреса и зона домена. Код действует пятнадцать минут, а сама запись удаляется автоматически в течение часа;
• если вы отказались от напоминаний, ваш отказ хранится бессрочно: стереть его через какое-то время означало бы написать вам снова. Самого адреса электронной почты или идентификатора чата в записи об отказе нет — хранится только необратимый отпечаток контакта, по которому сервис перед отправкой узнаёт, что вам писать нельзя. Отправить что-либо по такому отпечатку невозможно, прочитать из него адрес — тоже;
• журнал обращений к данным о состоянии здоровья удаляется автоматически через год после записи; ни содержимого бланка, ни значений показателей в нём нет;
• запись о данном пользователем согласии — какие отметки он проставил, к каким документам они относились, когда это было и из какой подсети — хранится отдельно от разбора и переживает его: она подтверждает, что согласие давалось. При отзыве в ту же запись добавляются дата заявления об отзыве, способ подтверждения права, подсеть, из которой поступило обращение, и дата уничтожения данных; собственного срока хранения у этих сведений нет. Такая запись удаляется автоматически через три года, то есть по истечении общего срока исковой давности;
• технические журналы веб-сервера значений показателей не содержат, а адрес страницы отчёта записывают без токена из ссылки;
• по требованию пользователя, направленному на адрес поддержки, разбор удаляется без возможности восстановления: стираются исходный файл, распознанные значения, отчёт и его PDF-версия. К обращению нужно приложить ссылку на отчёт — учётных записей у сервиса нет, и разбор опознаётся только ею. В журнале обращений остаётся запись о самом факте удаления, без содержимого бланка и без значений показателей; запись о платеже сохраняется — вместе с контактами, названными при оплате, — по основаниям и на срок, названные выше.

7. Передача третьим лицам

Оператор не продаёт и не передаёт персональные данные третьим лицам, за исключением случаев, прямо перечисленных ниже, и случаев, предусмотренных законом.

• платёжный агрегатор — обрабатывает платёж и формирует кассовый чек; ему уходят сумма, назначение платежа, служебный номер заказа и адрес электронной почты либо номер телефона для чека. Данные о состоянии здоровья ему не передаются;
• поставщик услуг электронной почты — доставляет письмо, в котором указаны показатели вне нормы с их значениями, ссылка на отчёт и PDF-файл отчёта во вложении;
• оператор мессенджера Telegram или MAX — если пользователь сам привязал бота: в чат уходят краткая сводка по отчёту, ссылка и PDF-файл. Для Telegram это трансграничная передача, и происходит она только по инициативе самого пользователя;
• провайдер языковой модели — получает изображение бланка в том виде, в каком оно ушло с устройства пользователя, и значения показателей для распознавания и подготовки пояснений; обезличивание перед этой передачей предусмотрено сервисом, но в настоящее время выключено. Это трансграничная передача, и её объём раскрыт в согласии на обработку данных о состоянии здоровья;
• хостинг-провайдер, на сервере которого работает сервис, — обеспечивает размещение базы данных и хранилища файлов бланков.

8. Обезличивание перед обработкой

Обезличивание перед передачей внешнему обработчику — закраска в бланке фамилии, имени, отчества, даты рождения, номера полиса, СНИЛС, номера паспорта, номера заказа, телефона, адреса электронной почты и почтового адреса — предусмотрено сервисом, но в настоящее время выключено: провайдер получает изображение бланка целиком, включая эти сведения, если они напечатаны на бланке и не закрыты вами на шаге перед отправкой. Это относится к этапу распознавания; на этапе подготовки текстовых пояснений изображение бланка не передаётся вовсе — обрабатываются только числовые значения, единицы измерения, вычисленные статусы, пол и возраст.

Значения показателей и содержимое бланков не попадают в технические журналы и в системы веб-аналитики.

9. Права субъекта персональных данных

• получить сведения об обработке своих данных: основания, цели, способы, сроки;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны или получены незаконно;
• отозвать согласие в любой момент — обработка прекращается, а данные уничтожаются, если нет иного законного основания для их хранения;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

10. Порядок обращений

Обращения направляются на адрес komyaka@ya.ru с адреса электронной почты, использованного при работе с сервисом. Ответ предоставляется в срок, установленный Федеральным законом № 152-ФЗ. Отзыв согласия не требует объяснения причин.

Если обращение касается конкретного разбора — отзыв согласия, удаление, уточнение сведений, — к нему нужно приложить ссылку на отчёт: учётных записей у сервиса нет, и эта ссылка — единственное, чем разбор опознаётся. Обращение исполняет сотрудник Оператора: самостоятельной кнопки удаления в сервисе нет.

Отказаться от напоминаний можно по ссылке в самом напоминании — одного нажатия достаточно, подтверждать отказ не нужно. Отказ записывается и действует на все дальнейшие напоминания, в том числе по другим разборам. Того же можно потребовать письмом на komyaka@ya.ru. Отказ не влияет ни на выдачу оплаченного отчёта, ни на кассовый чек: это не напоминания, а исполнение договора и требование закона.

11. Меры по обеспечению безопасности

• передача данных по защищённому протоколу TLS: сайт доступен только по HTTPS, обращения по незащищённому протоколу переадресуются;
• загруженный файл проверяется антивирусом до постановки в разбор; если проверка не состоялась, это записывается в журнал обращений вместе с причиной;
• файлы бланков лежат в каталоге, доступном только процессу самого сервиса; шифрования файлов на диске сервера не производится, и мы не утверждаем обратного. При работе сервиса на объектном хранилище дополнительно включается шифрование на его стороне;
• журнал обращений к данным о состоянии здоровья: в нём записано, кто, когда и к какому разбору обращался и по какому каналу отчёт покидал сервис, — без содержимого бланка и без значений показателей;
• доступ к служебной панели закрыт паролем, а неудачные попытки входа наращивают паузу перед следующей;
• автоматическое удаление изображений бланков, разборов и отчётов по истечении сроков, названных в разделе «Сроки хранения и уничтожение»: удаление выполняется само, а не по обращению;
• исключение значений показателей, содержимого бланков и адресов файлов в хранилище из технических журналов; токен из ссылки на отчёт в журналы веб-сервера не попадает;
• на экране загрузки бланка и на странице отчёта счётчик веб-аналитики не подключается вовсе, поэтому записывать там нечего.

12. Файлы cookie

Порядок использования файлов cookie описан отдельным документом — Политикой в отношении файлов cookie. Аналитические cookie устанавливаются только после согласия пользователя, выраженного действием на баннере; до этого момента скрипты веб-аналитики на страницах не подключаются.

13. Изменение Политики

Оператор вправе изменять настоящую Политику. Действующая редакция всегда доступна по этому адресу; дата редакции указана в начале документа. Существенные изменения, затрагивающие цели или объём обработки данных о состоянии здоровья, требуют получения нового согласия.