Политика обработки персональных данных

Политика обработки персональных данных

Редакция: 1.0 от 30 июля 2026 г.
Настоящая Политика обработки персональных данных (далее — Политика) определяет принципы, цели, состав и порядок обработки персональных данных Общества с ограниченной ответственностью Медицинский центр «Святого Луки» (далее — Оператор), а также меры по защите персональных данных, направленные на обеспечение их конфиденциальности и безопасности.
Политика разработана в соответствии с Федеральным законом Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных» (ФЗ-152), Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» (ФЗ-323) и другими применимыми нормативными актами РФ.
Положения Политики обязательны для исполнения всеми сотрудниками и представителями Оператора, участвующими в обработке персональных данных, включая медицинских работников, обязанных сохранять врачебную тайну.
Политика является общедоступным документом, размещённым на официальном сайте Оператора https://medluka.ru/privacy и предназначена для ознакомления субъектов персональных данных.
Контакты по вопросам ПДн: info@medluka.ru
Почтовый адрес: г. Смоленск, ул. Николаева, д. 42А
При необходимости можно воспользоваться дополнительными контактами, указанными на сайте Оператора: 8 800 302-03-57, +7 (4812) 33-99-41.
________________

1. Принципы обработки персональных данных
Оператор обрабатывает персональные данные на принципах:
* Законности и справедливости — обработка осуществляется на законной основе и не допускает методов, противоречащих закону.
* Ограничения цели — обработка ведётся для заранее определённых, законных целей, указанных в настоящей Политике, в согласии субъекта и/или в договоре на оказание медицинских услуг.
* Минимизации данных — обрабатываются только те данные, которые необходимы для достижения целей обработки; объём сведений о состоянии здоровья определяется медицинскими показаниями и требованиями к ведению медицинской документации.
* Точности и актуальности — данные при необходимости уточняются и обновляются, а недостоверные — удаляются или исправляются; изменения в медицинскую документацию вносятся в порядке, установленном законодательством в сфере здравоохранения.
* Конфиденциальности и безопасности — применяются организационные и технические меры защиты; сведения о факте обращения за медицинской помощью, состоянии здоровья и диагнозе составляют врачебную тайну (ст. 13 ФЗ-323) и разглашению не подлежат, кроме случаев, прямо предусмотренных законом или письменным согласием субъекта.
* Локализации — первичная запись, систематизация и хранение персональных данных граждан РФ осуществляется на территории РФ.
________________

2. Цели обработки персональных данных
Оператор обрабатывает персональные данные в следующих целях (в зависимости от используемого функционала и взаимодействия с субъектом):
1. Коммуникация по обращениям, заявкам на обратный звонок, вопросам об услугах и подготовке к исследованиям, договорам.
2. Запись на приём к врачу (через формы Сайта, по телефону и через внешний сервис онлайн-записи), подтверждение, перенос, отмена визита и напоминания о нём.
3. Заключение и исполнение договора на оказание платных медицинских услуг: идентификация пациента и его законного представителя, оформление информированного добровольного согласия на медицинское вмешательство, оказание медицинской помощи (сбор жалоб и анамнеза, осмотр, диагностика, лабораторные и инструментальные исследования, лечение и процедуры), ведение медицинской документации, выдача результатов исследований, заключений, справок и выписок.
4. Выставление счетов, приём платежей и возвраты (в том числе через платёжных провайдеров), оформление документов для налогового вычета.
5. Участие в мероприятиях, школах здоровья, вебинарах, акциях, опросах об удовлетворённости качеством услуг, программах лояльности.
6. Размещение, модерация и публикация пользовательского контента (отзывы и оценки работы Клиники и врачей).
7. HR, подбор персонала, стажировки, работа с откликами на вакансии.
8. Маркетинговые коммуникации и персональные предложения (при наличии отдельного согласия по каналам). Сведения о состоянии здоровья, диагнозах и назначениях в таких сообщениях не раскрываются.
9. Аналитика, измерение аудитории, улучшение качества сервиса и интерфейсов Сайта.
10. Обеспечение безопасности пациентов, работников и имущества, предотвращение мошенничества и злоупотреблений, внутренний контроль качества и безопасности медицинской деятельности, рассмотрение претензий.
11. Соблюдение требований законодательства, бухгалтерский и налоговый учёт, взаимодействие со страховыми медицинскими организациями и страховщиками ДМС, информационное взаимодействие с государственными информационными системами в сфере здравоохранения и уполномоченными органами в случаях, предусмотренных законом, ведение претензионной работы и защита прав Оператора.
________________

3. Состав обрабатываемых данных
В зависимости от предоставленной информации и используемого функционала, Оператор может обрабатывать следующие категории данных:
* Идентификационные и контактные: ФИО, дата рождения, пол, e-mail, телефоны, адрес места жительства/регистрации, реквизиты документа, удостоверяющего личность (в необходимом объёме), СНИЛС, реквизиты полиса ОМС/ДМС, данные законного представителя и документа, подтверждающего его полномочия.
* Данные о записи на приём и взаимодействиях: выбранная услуга, специальность и врач, дата и время визита, история записей, посещений и отмен, обращения в администрацию, переписка и вложения, записи телефонных разговоров (при информировании об их ведении).
* Договоры и платежи: сведения о договорах и оказанных услугах, суммы, статусы; платёжные токены/идентификаторы, маскированные реквизиты карт (CVV/CVC не хранится).
* Технические и поведенческие данные устройств: IP-адрес, cookie и иные идентификаторы, сведения о браузере/ОС/устройстве, язык, разрешение экрана, реферальный источник, URL-адреса, события/клики/просмотры, время сессий.
* Данные, поступающие из внешних сервисов записи и отзывов: идентификаторы заявок и отзывов, сведения, указанные субъектом при оформлении записи или отзыва на площадке соответствующего сервиса.
* Контент, предоставленный пользователем: тексты обращений, отзывы и оценки, ответы анкет и опросов, файлы и изображения, приложенные к обращению.
* HR-данные: резюме, сведения об образовании, квалификации, сертификатах и аккредитации, опыт работы, желаемые условия, ссылки на профили.
* Документы: заявления, запросы, согласия и отказы, информированные добровольные согласия, доверенности, акты, претензии и др.
* Публично доступные данные: информация из открытых источников, если она связана с обращением.
* Специальные категории и биометрия: сведения о состоянии здоровья — факт обращения за медицинской помощью, жалобы, анамнез (в том числе семейный и аллергологический), перенесённые заболевания, операции, травмы, вакцинация, сведения о беременности, данные осмотра, диагнозы (включая коды МКБ), результаты лабораторных, инструментальных, функциональных и ультразвуковых исследований, назначения и результаты лечения, сведения об инвалидности и льготном статусе; медицинские фото- и видеоматериалы. Обрабатываются в медико-профилактических целях, для установления медицинского диагноза и оказания медицинских услуг лицами, профессионально занимающимися медицинской деятельностью и обязанными сохранять врачебную тайну (п. 4 ч. 2 ст. 10 ФЗ-152), либо на основании отдельного согласия. Биометрические персональные данные, а также публикация медицинских фото- и видеоматериалов — только при явном предоставлении и отдельном согласии.
Оператор не запрашивает сведения о состоянии здоровья через открытые формы Сайта и просит не указывать в свободных полях диагнозы и результаты исследований.
________________

4. Источники получения данных
* От субъекта персональных данных, а также от его законного представителя.
* От его устройств и используемых сервисов.
* От третьих лиц по поручению субъекта или в рамках сотрудничества (сервис онлайн-записи, сервис отзывов о врачах, лаборатории и медицинские организации-соисполнители, страховые медицинские организации и страховщики ДМС, платёжные провайдеры, HR-площадки), а также из государственных информационных систем в сфере здравоохранения в случаях, предусмотренных законом.
* Из открытых источников при наличии законных оснований.
________________

5. Действия с данными и способы обработки
Оператор осуществляет: сбор, запись, систематизацию, хранение, уточнение, извлечение, использование, передачу (предоставление/доступ), обезличивание, блокирование, удаление, уничтожение; автоматизированную и неавтоматизированную обработку (включая ведение медицинской документации на бумажных носителях), в том числе сопоставление и агрегирование данных.
Профилирование и таргетинг применяются при наличии соответствующих согласий и не применяются в отношении сведений о состоянии здоровья и содержания обращений пациентов.
________________

6. Cookie, идентификаторы и аналитика
Оператор использует файлы cookie, SDK, пиксели и иные аналогичные технологии (далее — «cookie») для обеспечения корректной работы Сайта/сервисов, улучшения их функционала, а также для аналитики и маркетинга (при наличии согласия).
Согласие на обработку cookie считается данным с момента начала использования сайта https://medluka.ru и действует до достижения целей обработки либо отзыва.
6.1. Цели обработки cookie и идентификаторов
* обеспечение корректной работы Сайта и удобства его использования, в том числе защита форм записи и обратной связи;
* сбор статистических данных для анализа, улучшения качества и персонализации сервиса;
* предоставление персонализированных предложений и маркетинговых коммуникаций (при отдельном согласии).
6.2. Обрабатываемые данные
* IP-адрес;
* файлы cookie;
* сведения о действиях пользователя на Сайте;
* данные об используемом оборудовании и программном обеспечении (браузер, ОС, устройство, разрешение экрана, язык);
* дата и время сессий;
* источники переходов;
* уникальные идентификаторы устройств.
6.3. Сервисы, используемые Оператором
Могут применяться:
* системы веб-аналитики: Яндекс.Метрика (счётчик № 64343194, оператор — ООО «ЯНДЕКС», Российская Федерация).
Иные системы веб-аналитики, рекламные системы и аудитории, коллтрекинг, онлайн-чаты и внешние маркетинговые платформы Оператором не используются. Оператор не передаёт в системы веб-аналитики сведения о состоянии здоровья и содержание обращений и не формирует на их основе рекламные аудитории.
Актуальный перечень сервисов может изменяться, расширяться или сокращаться. Оператор размещает обновлённый список на сайте https://medluka.ru/privacy .
6.4. Сроки хранения cookie
* сессионные cookie — до завершения сессии/закрытия браузера;
* постоянные cookie — до истечения их срока действия или до момента отзыва согласия/изменения настроек;
* в любом случае срок хранения не превышает 12 месяцев, если иное не установлено законом или условиями соответствующего сервиса.
6.5. Отключение и отзыв согласия
Пользователь может в любой момент отозвать согласие на обработку cookie, изменив настройки браузера/устройства для блокировки или удаления файлов cookie. Отключение cookie может повлиять на корректную работу отдельных функций Сайта; при этом запись на приём по телефону остаётся доступной.
________________

7. Передача третьим лицам (обработчики и получатели)
Персональные данные могут передаваться третьим лицам в объёме, необходимом для достижения целей обработки, указанной в разделе 2 настоящей Политики, а именно:
* оператору сервиса онлайн-записи на приём — MedFlex (booking.medflex.ru), в объёме, необходимом для оформления и подтверждения записи;
* оператору сервиса отзывов и оценок о врачах — «ПроДокторов» (prodoctorov.ru), в связи с размещением на Сайте виджета рейтинга и оставлением отзыва пользователем;
* провайдерам хостинга, облачных решений и CDN (серверы на территории РФ);
* операторам медицинских информационных систем, CRM-систем, служб рассылок;
* системам веб-аналитики (раздел 6.3);
* лабораториям и медицинским организациям-соисполнителям при проведении исследований и оказании услуг по направлению Оператора;
* страховым медицинским организациям и страховщикам ДМС — в объёме, предусмотренном законом и договором страхования;
* платёжным провайдерам, банкам-эквайерам;
* провайдерам технической поддержки, тикет-системам;
* HR-платформам и рекрутинговым агентствам;
* организаторам мероприятий, школ здоровья, вебинаров;
* поставщикам систем электронного документооборота и электронной подписи;
* юридическим консультантам и аудиторам;
* лицам, указанным субъектом в письменном заявлении о разглашении сведений, составляющих врачебную тайну, в определённом им объёме;
* иным лицам в случаях, прямо предусмотренных законодательством РФ (в том числе уполномоченным органам в сфере здравоохранения, ФОМС/ТФОМС, СФР, Росздравнадзору, судам и органам следствия).
Передача данных осуществляется при условии соблюдения конфиденциальности и обеспечения надлежащего уровня защиты. С каждым получателем Оператор заключает договор поручения обработки ПДн либо иным образом подтверждает законность передачи. Объём передаваемых сведений, составляющих врачебную тайну, минимизируется; в системы веб-аналитики и рекламные платформы такие сведения не передаются.
________________

8. Трансграничная передача персональных данных
Передача персональных данных за границу возможна:
* в государства, обеспечивающие адекватную защиту прав субъектов ПДн;
* в иные государства — при наличии письменного согласия субъекта и/или иных правовых оснований, предусмотренных законодательством РФ (ст. 12 ФЗ-152).
По состоянию на дату настоящей редакции Оператор трансграничную передачу персональных данных не осуществляет; обработка и хранение осуществляются на территории РФ. В случае возникновения такой необходимости Оператор предварительно уведомит уполномоченный орган в порядке ст. 12 ФЗ-152. Актуальный перечень стран и правовых оснований передачи доступен по запросу на info@medluka.ru.
________________

9. Права субъектов персональных данных
Субъект персональных данных вправе:
* получать сведения об обработке ПДн, включая цели, состав и источники;
* получать копии любых обрабатываемых ПДн, а также знакомиться с медицинской документацией, отражающей состояние его здоровья, и получать её копии и выписки в порядке ст. 22 ФЗ-323;
* требовать уточнения, блокирования или удаления ПДн;
* отзывать согласие полностью или частично;
* ограничивать обработку ПДн;
* возражать против обработки, в том числе в маркетинговых целях;
* требовать участия человека при принятии автоматизированных решений;
* обжаловать действия или бездействие Оператора в уполномоченный орган (Роскомнадзор) или суд.
Для реализации прав субъект направляет запрос на info@medluka.ru или по адресу г. Смоленск, ул. Николаева, д. 42А. Запрос должен содержать сведения, позволяющие идентифицировать субъекта и подтвердить факт обработки его данных Оператором, и подпись субъекта или его представителя. Оператор отвечает в течение 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней. Учитывая режим врачебной тайны, для предоставления сведений о состоянии здоровья Оператор вправе потребовать подтверждения личности заявителя, а в отношении данных несовершеннолетних и недееспособных лиц — документов, подтверждающих полномочия законного представителя.
________________

10. Автоматизированные решения
Оператор не принимает решений, порождающих юридические последствия или иным образом существенно затрагивающих права субъекта, исключительно в автоматизированном режиме, за исключением случаев, прямо предусмотренных законом или отдельным согласием.
При применении систем рекомендаций, скоринга и иных автоматизированных инструментов субъект вправе требовать участия человека, оспаривать решение и излагать свою позицию. Медицинские решения (установление диагноза, назначение обследования и лечения) принимаются медицинским работником и в автоматизированном режиме не принимаются.
________________

11. Безопасность данных
Оператор применяет правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, включая назначение лица, ответственного за организацию обработки ПДн, определение уровня защищённости информационных систем в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119 и применение мер по Приказу ФСТЭК России от 18.02.2013 № 21, разграничение прав доступа, журналирование, резервное копирование, использование защищённых протоколов передачи данных, ознакомление работников с требованиями законодательства и подписание обязательств о неразглашении, а также порядок реагирования на инциденты с уведомлением уполномоченного органа в течение 24 и 72 часов (ч. 3.1 ст. 21 ФЗ-152).
Доступ к ПДн предоставляется только сотрудникам и партнёрам, которым он необходим для выполнения служебных или договорных обязанностей. Доступ к сведениям о состоянии здоровья предоставляется медицинским работникам, участвующим в оказании помощи конкретному пациенту, и уполномоченным лицам в объёме служебной необходимости; бумажная медицинская документация хранится в условиях, исключающих доступ посторонних лиц.
________________

12. Несовершеннолетние
Если субъект не достиг возраста, позволяющего самостоятельно давать согласие в соответствии с законодательством РФ, такое согласие должно быть предоставлено или подтверждено законным представителем.
Используя ресурсы Оператора, субъект подтверждает наличие такого согласия или соответствующего правового статуса.
Клиника оказывает медицинскую помощь детям. Информированное добровольное согласие на медицинское вмешательство в отношении несовершеннолетнего даётся его законным представителем, за исключением случаев, когда несовершеннолетний вправе дать такое согласие самостоятельно (ст. 20, 54 ФЗ-323). Формы на Сайте не предназначены для самостоятельного заполнения детьми; направляя данные ребёнка, законный представитель подтверждает наличие соответствующих полномочий.
________________

13. Сроки хранения персональных данных
Срок хранения определяется целями обработки и требованиями законодательства РФ:
* для переписки и коммуникаций, заявок на запись и обратный звонок — до завершения взаимодействия;
* для медицинской документации (медицинские карты, результаты исследований, информированные добровольные согласия) — в течение сроков, установленных нормативными правовыми актами в сфере здравоохранения и архивного дела (в отношении медицинской карты пациента, получающего медицинскую помощь в амбулаторных условиях, Минздрав России рекомендует срок 25 лет — письмо от 07.12.2015 № 13-2/1538);
* для договорных отношений — на срок действия договора и установленные законом периоды хранения;
* для бухгалтерских и налоговых данных — в течение сроков, установленных законодательством;
* для данных кандидатов на вакансии — до 6 месяцев с момента получения отклика, при согласии на кадровый резерв — до отзыва согласия;
* для маркетинга — до отзыва согласия;
* для аналитических идентификаторов — как указано в разделе 6;
* для претензионной работы — на срок исковой давности.
После истечения сроков данные уничтожаются или обезличиваются.
________________

14. Отзыв согласия
Субъект может в любой момент отозвать согласие, направив обращение на info@medluka.ru или по адресу г. Смоленск, ул. Николаева, д. 42А.
Отзыв согласия не влияет на законность обработки, проведённой до его получения.
После отзыва согласия обработка прекращается, а данные уничтожаются в срок, не превышающий 30 дней, за исключением случаев, когда обработка продолжается на иных законных основаниях: ведение и хранение медицинской документации в установленные законом сроки, бухгалтерский и налоговый учёт, защита прав и законных интересов Оператора, а также иные случаи, предусмотренные ч. 2 ст. 9 и ч. 2 ст. 10 ФЗ-152. Отзыв согласия на маркетинговые коммуникации и публикацию отзыва не влияет на возможность получения медицинской помощи.
________________

15. Изменения в Политику
Оператор вправе вносить изменения в Политику в любое время. Актуальная редакция всегда доступна по адресу https://medluka.ru/privacy .
При существенных изменениях Оператор уведомляет пользователей через сайт или иными доступными способами.
________________

16. Контакты
По вопросам, связанным с обработкой ПДн и реализацией прав, можно связаться с Оператором:
Наименование: Общество с ограниченной ответственностью Медицинский центр «Святого Луки» (ООО МЦ «Святого Луки»)
ИНН: 6732165844
ОГРН: 1186733012828 от 24.07.2018
Юридический адрес: г. Смоленск, ул. Николаева, д. 42А
E-mail: info@medluka.ru
Телефоны: 8 800 302-03-57, +7 (4812) 33-99-41
Почтовый адрес: г. Смоленск, ул. Николаева, д. 42А