Политика обработки персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика обработки персональных данных (далее — Политика) разработана в соответствии с требованиями Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее — ФЗ-152) и является неотъемлемым приложением к Лицензионному договору-оферте ООО «Флоустат» (далее — Договор).
1.2. Политика определяет порядок обработки персональных данных Обществом с ограниченной ответственностью «Флоустат» (далее — Лицензиар или Оператор) и разработана в соответствии с п. 2 ч. 1 ст. 18.1 ФЗ-152.
1.3. Политика является общедоступным документом и распространяется на персональные данные, обрабатываемые Лицензиаром исключительно в рамках предоставления доступа к интернет-сервису «Фидбэк» (fdbck.ru): данные представителей Лицензиата и данные Третьих лиц (пациентов Лицензиата). Обработка персональных данных работников Лицензиара регулируется отдельными внутренними документами и настоящей Политикой не охватывается.
1.4. Сведения о Лицензиаре (Операторе):
– Полное наименование: Общество с ограниченной ответственностью «Флоустат»
– ИНН: 7814863859 / КПП: 781401001 / ОГРН: 1267800038527
– Юридический адрес: 197341, г. Санкт-Петербург, пр-кт Испытателей, д. 11 к. 1 литер А, кв. 243
– Генеральный директор: Восканян Вера Петровна
– Контактный адрес по вопросам обработки персональных данных: support@fdbck.ru
1.5. Лицензиар уведомил уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) об обработке персональных данных в порядке, установленном ст. 22 ФЗ-152.
1.6. Базы данных, содержащие персональные данные граждан Российской Федерации, размещаются на серверах, физически находящихся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 ФЗ-152.

2. ТЕРМИНЫ В КОНТЕКСТЕ НАСТОЯЩЕЙ ПОЛИТИКИ
2.1. В настоящей Политике используются термины в значениях, установленных Договором:
– «Лицензиар» — ООО «Флоустат», предоставляющее право использования Сервиса; в контексте обработки персональных данных выступает также Оператором по ФЗ-152.
– «Лицензиат» — юридическое лицо или индивидуальный предприниматель (медицинская организация), заключившие Договор с Лицензиаром; является самостоятельным оператором персональных данных своих пациентов и поручает их обработку Лицензиару.
– «Сервис» — программное обеспечение «Фидбэк», предоставляемое по модели SaaS по адресу fdbck.ru и app.fdbck.ru.
– «Личный кабинет» — защищённый раздел Сервиса, доступный Лицензиату после авторизации.
– «Тарифный план» — набор функциональных возможностей и срок использования Сервиса, выбранный Лицензиатом.
– «Третьи лица» — физические лица (пациенты Лицензиата), персональные данные которых обрабатываются Лицензиаром в рамках исполнения Договора по поручению Лицензиата.
– «Данные Лицензиата» — сведения, загружаемые Лицензиатом в Сервис или формируемые в ходе его использования, включая данные о Третьих лицах.

3. ОПИСАНИЕ СЕРВИСА И МОДЕЛЬ ОБРАБОТКИ ДАННЫХ
3.1. Сервис предоставляет Лицензиату следующие функции:
– мониторинг и аналитика отзывов на внешних платформах (Яндекс Карты, Google Maps, 2ГИС, ПроДокторов, НаПоправку и др.) в Личном кабинете;
– отправка Третьим лицам (пациентам) СМС-запросов с просьбой оценить качество приёма по шкале 1–5;
– сбор структурированной обратной связи от Третьих лиц, поставивших оценку 1–3 (форма с описанием недовольства);
– перенаправление Третьих лиц, поставивших оценку 4–5, на внешние площадки для публикации отзыва с предложением бонуса (промокод партнёра).
3.2. Распределение ролей при обработке персональных данных:
– Лицензиат является самостоятельным оператором персональных данных своих пациентов (Третьих лиц) и поручает Лицензиару их обработку в порядке ч. 3 ст. 6 ФЗ-152. Настоящая Политика совместно с разделом 8 Договора составляет поручение на обработку персональных данных.
– Лицензиар является оператором персональных данных представителей Лицензиата (пользователей Личного кабинета).
3.3. Лицензиат самостоятельно и в полном объёме несёт ответственность за получение у Третьих лиц надлежащего согласия на передачу их персональных данных Лицензиару и на получение СМС-сообщений через Сервис, что прямо предусмотрено разделом 8 Договора.

4. КАТЕГОРИИ СУБЪЕКТОВ И ЦЕЛИ ОБРАБОТКИ
4.1. Лицензиар обрабатывает персональные данные двух категорий субъектов: представителей Лицензиата и Третьих лиц (пациентов Лицензиата):


4.2. Лицензиар не обрабатывает специальные категории персональных данных (сведения о состоянии здоровья, диагнозы, результаты анализов и иные медицинские сведения). Данные о посещениях медицинской организации обрабатываются исключительно как факт состоявшегося приёма без медицинского содержания.
4.3. Лицензиар не осуществляет автоматизированное принятие решений, влекущих юридические последствия для субъектов персональных данных.
4.4. Лицензиар не обрабатывает биометрические персональные данные.

5. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ
5.1. Обработка персональных данных представителей Лицензиата осуществляется на основании необходимости исполнения Договора (п. 5 ч. 1 ст. 6 ФЗ-152).
5.2. Обработка персональных данных Третьих лиц осуществляется на основании:
– согласия субъекта персональных данных (ч. 1 ст. 6, ст. 9 ФЗ-152), которое получает Лицензиат до передачи данных в Сервис;
– поручения Лицензиата как оператора персональных данных (ч. 3 ст. 6 ФЗ-152) в соответствии с разделом 8 Договора.
5.3. Обработка персональных данных Третьих лиц — получателей бонусов и промокодов — осуществляется на основании явного и информированного согласия субъекта, выраженного в момент согласия на получение бонуса.

6. СОСТАВ ОБРАБАТЫВАЕМЫХ ДАННЫХ
6.1. Данные представителей Лицензиата (пользователей Личного кабинета):
– наименование организации Лицензиата;
– ФИО и должность контактного лица Лицензиата;
– адрес электронной почты;
– номер телефона.
6.2. Данные Лицензиата в части Третьих лиц — субъектов отзывных запросов:
– ФИО;
– номер мобильного телефона Третьего лица;
– дата отправки СМС-запроса;
– оценка (числовое значение от 1 до 5);
– текстовое описание причины недовольства (только при оценке 1–3, вводится добровольно самим Третьим лицом);
– факт перехода на внешнюю площадку (только для оценок 4–5, без фиксации содержания отзыва);
– факт оставления отзыва на внешней площадке и его содержимое.
6.3. Данные Третьих лиц — получателей промокодов и бонусов:
– номер мобильного телефона;
– электронная почта (при предоставлении субъектом);
– информация о выданных промокодах.
6.4. Технические данные, собираемые автоматически при работе с Личным кабинетом:
– IP-адрес и тип браузера;
– cookies и данные сессий (подробнее — в Политике Cookie: fdbck.ru/cookie-policy);
– журналы (логи) системных событий.

7. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ
7.1. В целях исполнения Договора Лицензиар вправе передавать персональные данные следующим категориям получателей:
– провайдерам СМС-рассылок — исключительно для доставки отзывных запросов Третьим лицам (передаётся только номер телефона и текст сообщения);
– внешним платформам (Яндекс, Google, 2ГИС, ПроДокторов, НаПоправку) — Сервис осуществляет перенаправление Третьего лица по ссылке; персональные данные Лицензиаром на указанные платформы не передаются.
7.2. Лицензиар не передаёт персональные данные третьим лицам в коммерческих или маркетинговых целях без согласия субъекта.
7.3. Лицензиар вправе передавать персональные данные государственным органам в случаях, прямо предусмотренных законодательством РФ.
7.4. Трансграничная передача персональных данных в страны, не обеспечивающие адекватную защиту прав субъектов, не осуществляется. Использование зарубежных API (Google Maps API и т. п.) осуществляется без передачи персональных данных Третьих лиц на серверы этих сервисов.

8. СРОКИ ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Лицензиар хранит персональные данные не дольше, чем этого требуют цели обработки:
– данные представителей Лицензиата — в течение срока действия Договора и 5 лет после его прекращения (в целях бухгалтерского учёта — ст. 29 ФЗ «О бухгалтерском учёте»);
– Данные Лицензиата в части Третьих лиц (номер телефона, оценка, текст формы) — не более 3 лет с момента сбора, если иное не предусмотрено поручением Лицензиата;
– данные Третьих лиц — получателей промокодов — не более 3 лет с даты выдачи промокода;
– журналы системных событий — не более 1 года.
8.2. По истечении сроков хранения персональные данные уничтожаются или обезличиваются.

9. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ
9.1. Лицензиар применяет комплекс организационных и технических мер защиты персональных данных:
– ограничение доступа к персональным данным по принципу минимальной необходимости;
– шифрование при передаче данных (HTTPS/TLS) и при хранении;
– регулярное резервное копирование;
– ведение журналов доступа и событий безопасности;
– организационные меры в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119.
9.2. Лицензиар назначает ответственного за организацию обработки персональных данных.
9.3. В случае выявления неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Лицензиар в течение 24 часов уведомляет Роскомнадзор, а в течение 72 часов предоставляет результаты расследования в соответствии со ст. 21 ФЗ-152 с учётом поправок ФЗ-266 от 14.07.2022.

10. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
10.1. Субъект персональных данных вправе:
– получать информацию об обработке своих персональных данных Лицензиаром;
– требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны или получены незаконно;
– отозвать своё согласие на обработку персональных данных; отзыв не влечёт незаконности обработки, осуществлённой до его получения;
– обжаловать действия Лицензиара в уполномоченный орган (Роскомнадзор: rkn.gov.ru) или в суд;
– требовать возмещения убытков и компенсации морального вреда в судебном порядке.
10.2. Для реализации своих прав субъект направляет запрос Лицензиару по адресу support@fdbck.ru. Запрос должен содержать: ФИО, контактные данные и суть обращения. Лицензиар рассматривает запрос в течение 10 (десяти) рабочих дней.
10.3. Третье лицо (пациент Лицензиата) вправе в любое время отказаться от получения СМС-запросов через Сервис, направив соответствующее обращение Лицензиару или непосредственно Лицензиату.

11. ОСОБЕННОСТИ ОБРАБОТКИ ДАННЫХ НЕСОВЕРШЕННОЛЕТНИХ
11.1. Сервис не предназначен для непосредственного взаимодействия с несовершеннолетними. Обработка персональных данных пациентов в возрасте до 14 лет осуществляется исключительно на основании письменного согласия их законных представителей (ч. 1 ст. 9 ФЗ-152). Получение такого согласия является обязанностью Лицензиата в соответствии с разделом 8 Договора.

12. COOKIE И АНАЛИТИЧЕСКИЕ ИНСТРУМЕНТЫ
12.1. Сервис использует файлы cookie и аналогичные технологии для обеспечения работоспособности Личного кабинета и улучшения функциональности. Подробнее — в Политике Cookie: fdbck.ru/cookie-policy.
12.2. Лицензиат вправе отключить использование cookie в настройках браузера, что может повлечь ограничение функциональности Сервиса.

13. ИЗМЕНЕНИЕ ПОЛИТИКИ
13.1. Лицензиар вправе вносить изменения в настоящую Политику в порядке, аналогичном порядку изменения Договора, установленному разделом 10 Договора: путём публикации новой редакции на сайте fdbck.ru/privacy-policy с уведомлением Лицензиата по электронной почте не менее чем за 10 (десять) календарных дней до вступления изменений в силу.
13.2. Продолжение использования Сервиса после вступления изменений в силу означает согласие с новой редакцией Политики.

14. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
14.1. Настоящая Политика является неотъемлемым приложением к Лицензионному договору-оферте ООО «Флоустат» и применяется совместно с ним. В случае противоречия между Политикой и Договором в части обработки персональных данных применяются положения Договора, если иное не установлено ФЗ-152.
14.2. По вопросам обработки персональных данных субъекты вправе обращаться к Лицензиару: support@fdbck.ru.
14.3. К настоящей Политике применяется законодательство Российской Федерации. Споры рассматриваются в порядке, установленном разделом 13 Договора.