Поручение на обработку персональных данных

к Оферте/Договору о предоставлении доступа к SaaS-сервису CLINILINK

Правообладатель (Обработчик): ООО «КЛИНИЛИНК», ИНН 2311385999 (далее — CLINILINK).
Клиника / пользователь сервиса: юридическое лицо / ИП, акцептовавшее Оферту и использующее сервис (далее — Клиника).

Настоящее Приложение определяет условия, на которых CLINILINK осуществляет обработку персональных данных по поручению Клиники при использовании Клиникой SaaS-сервиса CLINILINK.

1. Термины и роли

1.1. В целях настоящего Приложения термины используются в значениях, предусмотренных законодательством РФ о персональных данных, включая Федеральный закон № 152-ФЗ «О персональных данных».

1.2. Клиника является оператором персональных данных (далее — Оператор) в отношении персональных данных физических лиц (посетителей сайта/пациентов), собираемых и обрабатываемых при использовании сайтов, созданных и/или размещённых с применением сервиса CLINILINK (далее — Сайт).

1.3. CLINILINK выступает лицом, осуществляющим обработку персональных данных по поручению Оператора (далее — Обработчик) в объёме, необходимом для предоставления доступа к функциональности сервиса и обеспечения функционирования Сайта.

1.4. Субъекты персональных данных — физические лица, данные которых обрабатываются Клиникой при использовании Сайта (включая посетителей сайта, пациентов, представителей).

1.5. Настоящее Приложение является поручением Оператора на обработку персональных данных в смысле применимого законодательства РФ.

2. Предмет поручения

2.1. Оператор поручает, а Обработчик принимает на себя обязательство осуществлять обработку персональных данных Субъектов исключительно для целей:
а) предоставления доступа к сервису CLINILINK и его функциональности;
б) обеспечения работоспособности Сайта и связанных функций (формы обратной связи, опции онлайн-записи, реестр обращений, административная панель, техническая инфраструктура);
в) технической поддержки, диагностики, предотвращения и устранения сбоев/инцидентов безопасности;
г) исполнения требований законодательства РФ и законных запросов уполномоченных органов — в пределах компетенции и обязанностей Обработчика.

2.2. Обработчик не определяет цели и содержание обработки персональных данных на Сайте и не использует персональные данные Субъектов для собственных целей, не связанных с оказанием услуг по сервису, за исключением случаев, прямо установленных законом.

2.3. Сервис предоставляет инструменты для сбора обращений. Состав вводимых данных определяет Клиника. При включении полей, содержащих сведения о здоровье, Клиника обеспечивает правовое основание и соблюдение требований. Исполнитель действует как обработчик по поручению оператора.

3. Категории персональных данных и субъектов

3.1. В рамках поручения могут обрабатываться следующие категории персональных данных (конкретный состав определяется настройками Клиники и полями форм/онлайн-записи):
— имя/ФИО;
— номер телефона;
— адрес электронной почты;
— сведения, которые Субъект указывает в поле «Комментарий/сообщение»;
— параметры записи (дата/время/специалист/услуга), если Клиника включает онлайн-запись;
— технические данные, необходимые для функционирования Сайта и защиты (например, IP-адрес, идентификаторы сессии/куки) — в пределах настроек Сайта и применимых документов.

3.2. Категории субъектов: посетители Сайта, пациенты Клиники, представители пациентов (если Клиника допускает такую подачу обращения), иные лица, оставляющие обращения.

3.3. Обработчик не предполагает обработку специальных категорий персональных данных и биометрических данных в рамках стандартной функциональности, за исключением случаев, когда Клиника самостоятельно добавляет соответствующие поля/сценарии и обеспечивает законность такого сбора.

4. Операции обработки

4.1. Обработчик вправе выполнять следующие действия (операции) с персональными данными по поручению Оператора:
— сбор через формы/онлайн-запись и передачу данных в административный интерфейс Клиники;
— запись, систематизация, накопление, хранение;
— уточнение (обновление) по командам/действиям Клиники;
— извлечение, использование в пределах интерфейса администрирования;
— блокирование, удаление/обезличивание — в случаях и порядке, предусмотренных функциональностью сервиса, договором/офертой и законом;
— резервное копирование и восстановление — в рамках правил сервиса и настроек инфраструктуры.

4.2. Обработчик не осуществляет распространение персональных данных и не раскрывает их третьим лицам, кроме случаев:
а) предусмотренных законом;
б) необходимых для привлечения субобработчиков (см. раздел 8) для целей оказания услуг по сервису при условии соблюдения требований настоящего Приложения.

5. Доступ к заявкам, реестру обращений и административной панели

5.1. Функции «реестр обращений», «обратная связь», «онлайн-запись» предназначены для хранения и отображения обращений Субъектов в административной части Сайта.

5.2. По умолчанию содержание обращений и записи доступно только пользователям (сотрудникам/представителям Клиники), которым Клиника предоставила доступ к административной части Сайта.

5.3. Обработчик может получить технический доступ к административной части и данным обращений только при наличии оснований, например:
— по заявке Клиники в рамках поддержки;
— при расследовании инцидента безопасности;
— при необходимости устранения сбоя;
— при исполнении требований закона/уполномоченных органов.
Такой доступ осуществляется в минимально необходимом объёме и на ограниченный срок.

5.4. Клиника самостоятельно управляет учётными записями администраторов и правами доступа. Риски, связанные с компрометацией логинов/паролей, действиями сотрудников Клиники и её подрядчиков, несёт Клиника.

6. Обязанности Клиники как Оператора

Клиника подтверждает и гарантирует, что:

6.1. Определяет цели, состав, основания обработки персональных данных на Сайте и обеспечивает их законность.

6.2. Обеспечивает получение необходимых согласий Субъектов или наличие иных законных оснований обработки, а также размещение на Сайте обязательных документов (политика ПДн, cookie-уведомления и пр.) с учётом своего статуса и применимых требований.

6.3. Обеспечивает реализацию прав Субъектов (доступ, уточнение, удаление и пр.) как Оператор, включая своевременную обработку обращений Субъектов.

6.4. Устанавливает правила хранения обращений/заявок и доступов сотрудников, назначает ответственных лиц, принимает меры по предотвращению несанкционированного доступа в административную часть Сайта.

6.5. Несёт ответственность за:
— содержание форм и полей, которые добавляет на Сайт;
— размещаемый контент и законность его использования;
— подключаемые интеграции и скрипты третьих лиц, включая аналитику, коллтрекинг, чаты, виджеты и т.п.

7. Обязанности CLINILINK как Обработчика

7.1. Обработчик обрабатывает персональные данные строго в соответствии с поручением Оператора и настоящим Приложением.

7.2. Обработчик принимает необходимые организационные и технические меры защиты персональных данных от неправомерного доступа и иных угроз с учётом характера услуг и рисков.

7.3. Обработчик обеспечивает конфиденциальность персональных данных и допускает к ним только уполномоченных лиц, которым доступ необходим для выполнения обязанностей по сервису.

7.4. Обработчик уведомляет Оператора о выявленных инцидентах безопасности, которые затрагивают персональные данные в пределах инфраструктуры сервиса, в разумный срок по доступным каналам связи (электронная почта/интерфейс), если такое уведомление не запрещено законом.

7.5. Обработчик не несёт ответственности за законность обработки персональных данных Оператором, если иное прямо не вытекает из закона или настоящего Приложения.

8. Субобработчики

8.1. Для обеспечения функционирования сервиса Обработчик вправе привлекать третьих лиц (субобработчиков), которые участвуют в обработке персональных данных в части инфраструктуры и технических сервисов (например, облачная инфраструктура, сервисы доставки уведомлений, резервное копирование и т.д.).

8.2. Обработчик обеспечивает, чтобы субобработчики были связаны обязанностями по конфиденциальности и защите данных не менее строгими, чем предусмотрено настоящим Приложением.

8.3. Перечень категорий субобработчиков и характер их участия может быть раскрыт в политике обработки персональных данных/документации CLINILINK и может обновляться по мере развития сервиса.

9. Локализация и трансграничная передача

9.1. Обработчик организует обработку и хранение данных в рамках инфраструктуры, используемой им для предоставления сервиса, на территории Российской Федерации.

9.2. Трансграничная передача персональных данных со стороны CLINILINK в рамках оказания услуг сервиса не осуществляется.

9.3. Клиника признаёт, что подключение сторонних сервисов/скриптов, устанавливаемых Клиникой на Сайт самостоятельно (или по её поручению), может привести к обработке и/или передаче данных третьими лицами, включая возможную трансграничную передачу. Ответственность за такие действия и их законность несёт Клиника.

10. Сторонние скрипты, виджеты и коды Клиники

10.1. Сайт, созданный/размещённый с использованием CLINILINK, может иметь техническую возможность установки сторонних скриптов и интеграций (аналитика, пиксели, чаты, коллтрекинг и т.д.) по решению Клиники.

10.2. Обработчик не проводит правовую и техническую экспертизу таких скриптов, не контролирует их логику и не гарантирует соответствие их работы требованиям законодательства.

10.3. Если по поручению Клиники сотрудники Обработчика выполняют техническую установку скрипта, это означает лишь выполнение технического действия. Клиника остаётся Оператором и несёт ответственность за законность, состав и последствия такой интеграции.

11. Срок действия поручения

11.1. Поручение на обработку персональных данных действует с момента акцепта Оферты/заключения договора и в течение срока использования Клиникой сервиса, включая оплаченные периоды, тестовые/ограниченные доступы, а также период, необходимый для завершения технических процедур после прекращения доступа (выгрузка/удаление/обезличивание) в пределах правил сервиса и закона.

11.2. После прекращения доступа к сервису Обработчик вправе хранить данные в течение сроков, предусмотренных офертой/договором, политикой обработки ПДн и применимым законодательством (включая сроки для урегулирования расчётов, претензий и обеспечения безопасности/целостности системы).

11.3. В случае приостановки доступа Пользователя к Сервису по причине неоплаты (в том числе по истечении 7 (семи) календарных дней просрочки) ООО «КЛИНИЛИНК» продолжает обработку персональных данных по поручению Пользователя в объёме, необходимом для обеспечения хранения, восстановления и/или предоставления Пользователю возможности выгрузки данных в пределах сроков и порядка, установленных договором (офертой) и применимым законодательством.

12. Удаление, обезличивание и выгрузка данных

12.1. Клиника вправе запросить удаление/обезличивание данных в объёме, доступном функционально и допустимом по закону. Обработчик выполняет такие действия в разумный срок, если отсутствуют законные основания для сохранения данных.

12.2. В части данных Сайта действует порядок выгрузки/экспорта, предусмотренный офертой/договором и функциональностью CLINILINK (например, выгрузка базы данных через интерфейс; экспорт сайта как отдельная услуга — при наличии).

12.3. Обработчик не обязан адаптировать выгруженные данные под сторонние системы и не отвечает за дальнейшую обработку данных Клиникой после выгрузки.

13. Ответственность сторон

13.1. Клиника несёт ответственность как Оператор за:
— правовые основания обработки;
— тексты согласий/политик и информирование субъектов;
— состав собираемых данных и настройку форм;
— подключение сторонних скриптов/интеграций;
— права доступа своих сотрудников/подрядчиков.

13.2. Обработчик несёт ответственность в пределах законодательства РФ и условий оферты/договора за исполнение поручения и соблюдение мер защиты данных в рамках своей инфраструктуры.

13.3. Ограничения ответственности, пределы имущественной ответственности, форс-мажор и иные условия определяются офертой/договором, к которому приложено настоящее Приложение, если иное прямо не установлено императивными нормами закона.

14. Контакт для обращений по персональным данным

14.1. По вопросам обработки персональных данных в рамках сервиса Клиника может обратиться в CLINILINK по контактам, указанным в оферте/на сайте сервиса.

14.2. Запросы Субъектов персональных данных (посетителей сайта) должны направляться в адрес Клиники как Оператора. Обработчик вправе перенаправить такие обращения Клинике либо запросить у Клиники поручение на технические действия в связи с обращением Субъекта.

15. Заключительные положения

15.1. Настоящее Приложение является частью Оферты/Договора. При противоречии условий приоритет имеют положения Оферты/Договора, если иное не следует из существа регулирования поручения обработки персональных данных.

15.2. К настоящему Приложению применяется право Российской Федерации.

Распределение ролей и ответственности

1) Роли сторон

2) Какие данные могут обрабатываться через сайт

CLINILINK не добавляет обязательных полей “от себя” и не определяет, какие данные клиника собирает —  на стороне клиники.

3) Доступ к заявкам и реестру обращений

Важно: CLINILINK предоставляет функциональную опцию ведения реестра обращений/заявок, но ответственность за сохранность и законность обработки заявок несёт оператор — клиника.

4) Техническая инфраструктура и хранение

5) Безопасность и инциденты

6) Сторонние скрипты и сервисы

CLINILINK не контролирует то, что клиника добавляет на свой сайт (включая код третьих лиц), и не отвечает за последствия такой установки.

7) Трансграничная передача данных

8) Права субъектов персональных данных (посетителей сайта)