Политика в отношении обработки персональных данных АО «ГЕНЕРИУМ»
1. Общие положения
Настоящая Политика в отношении обработки персональных данных (далее – Политика) подготовлена в соответствии с п. 2 ч. 1 ст. 18.1 Федерального закона «О персональных данных» №152-ФЗ от 27 июля 2006 г. (далее – 152-ФЗ «О персональных данных»), определяет случаи и особенности обработки персональных данных в АО «ГЕНЕРИУМ» (далее – Общество) и направлена на обеспечение законных прав и свобод субъектов персональных данных.
Настоящая Политика составлена с учетом рекомендаций Роскомнадзора по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном 152-ФЗ «О персональных данных».
2. Основные понятия, используемые в Политике
Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
Обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования.
Оператор персональных данных – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
Субъект персональных данных - физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных;
Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
3. Права и обязанности субъекта персональных данных
Субъект персональных данных имеет право:
- свободно, своей волей и в своем интересе предоставлять свои персональные данные и давать согласие на их обработку;
- отзывать свое согласие на обработку персональных данных;
- получать информацию, касающуюся обработки его персональных данных в порядке, форме и в сроки, установленные законодательством о персональных данных;
- требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для заявленной цели обработки или используются в целях, не заявленных ранее;
- заявлять возражение против решения, принятого исключительно на основании автоматизированной обработки персональных данных;
- обжаловать действия или бездействие Общества в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке, если считает, что Общество осуществляет обработку его персональных данных с нарушением требований 152-ФЗ «О персональных данных» или иным образом нарушает его права и свободы;
- иные права, предусмотренные законодательством о персональных данных.
Субъект персональных данных обязан:
- сообщать Обществу достоверную информацию о себе;
- сообщать Обществу об изменении своих персональных данных.
4. Права и обязанности Общества при обработке персональных данных
Общество обязана:
- не раскрывать и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации;
- предоставлять субъекту персональных данных или его представителю возможность ознакомления с обрабатываемыми персональными данными субъекта;
- разъяснить субъекту персональных данных юридические последствия отказа предоставить персональные данные, если предоставление персональных данных является обязательным в соответствии с законодательством Российской Федерации;
- если персональные данные получены не от субъекта персональных данных, за исключением случаев, предусмотренных 152-ФЗ «О персональных данных», до начала обработки таких персональных данных Общество обязан предоставить субъекту персональных данных следующую информацию:
- наименование и адрес местонахождения Общества;
- цель обработки персональных данных и ее правовое основание;
- предполагаемые пользователи персональных данных;
- права субъекта персональных данных;
- источник получения персональных данных.
- обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в 152-ФЗ «О персональных данных»;
- разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения;
- принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
- сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение тридцати дней с даты получения такого запроса;
- осуществлять обработку запросов субъектов персональных данных в соответствии с порядком, установленным в п. 8.4 настоящей Политики;
- устранять нарушения законодательства, допущенные при обработке персональных данных, по уточнению, блокированию и уничтожению персональных данных.
Общество имеет право:
- в случае отзыва субъектом персональных данных согласия на обработку персональных данных продолжить их обработку без согласия субъекта персональных данных при наличии правовых оснований, установленных законодательством Российской Федерации;
- получить персональные данные от лица, не являющегося субъектом персональных данных, при условии предоставления подтверждения наличия правовых оснований, установленных законодательством Российской Федерации.
5. Общие условия обработки персональных данных
Общество осуществляет обработку персональных данных субъектов персональных данных в следующих целях:
- соблюдения действующего законодательства РФ;
- ведения осуществляемой Обществом деятельности, предусмотренного учредительными документами Общества;
- содействие работникам в трудоустройстве, выполнении трудовых обязанностей, обучении;
6. Правовые основания обработки персональных данных
Правовыми основаниями обработки персональных данных Общества являются:
- «ГОСТ Р 52379-2005. Национальный стандарт Российской Федерации. Надлежащая клиническая практика»;
- Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
- Федеральный закон от 25.12.2008 № 273-ФЗ «О противодействии коррупции»;
- Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
- Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
- Федеральный закон от 12.04.2010 № 61-ФЗ «Об обращении лекарственных средств»;
- Гражданский кодекс Российской Федерации;
- Трудовой кодекс Российской Федерации;
- Налоговый кодекс Российской Федерации;
- Постановление Госкомстата РФ от 05.01.2004 № 1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты»;
- Правилами надлежащей практики фармаконадзора ЕАЭС, утвержденными решением Совета Евразийской экономической комиссии от 03.11.2016 г. № 87 (в редакции Решения Совета Евразийской экономической комиссии от 19 мая 2022 г. № 81);
- Учредительные документы Общества;
- Договоры, заключаемые между Обществом и субъектами ПДн;
- Договоры, заключаемые между Обществом и контрагентами;
7. Категории и состав обрабатываемых персональных данных, категории субъектов персональных данных
В зависимости от целей, предусмотренных в разделе 5 настоящей Политики, Общество может обрабатывать персональные данные следующих категорий субъектов персональных данных:
7.1. Кандидаты на вакантные должности (граждане РФ)
В целях осуществления процесса подбора обрабатывается следующий состав персональных данных: фамилия, имя, отчество; сведения о смене фамилии, имени, отчества (когда, где и по какой причине менялся); дата рождения; возраст; пол; гражданство; контактные номера телефонов; адрес электронной почты; полученное профессиональное и дополнительное образование, наличие специальной подготовки, специальность и квалификация; сведения об ученой степени и званиях; награждения и поощрения; сведения о текущем/желаемом уровне дохода; сведения о предыдущей трудовой деятельности; продолжительность общего трудового стажа; сведения о владении иностранными языками; сведения о постановке на воинский учет и прохождении срочной службы; номер страхового свидетельства государственного пенсионного страхования; индивидуальный номер налогоплательщика; фотография.
7.2. Работники
- В целях оформления трудовых отношении с гражданином РФ обрабатывается следующий состав персональных данных: фамилия, имя, отчество; сведения о смене фамилии, имени, отчества; дата рождения; место рождения; пол; гражданство; сведения о документе, удостоверяющем личность (серия, номер, дата выдачи, кем выдан); регистрация по месту жительства (регистрация по месту пребывания); фактическое место проживания; контактные номера телефонов; адрес электронной почты; семейное положение; сведения о близких родственниках (включая степень родства, ФИО, год рождения); полученное профессиональное и дополнительное образование, наличие специальной подготовки, специальность и квалификация; сведения об ученой степени и званиях; награждения и поощрения; сведения о предыдущей трудовой деятельности; продолжительность общего трудового стажа; сведения о владении иностранными языками; сведения о постановке на воинский учет и прохождении срочной службы; номер страхового свидетельства государственного пенсионного страхования; индивидуальный номер налогоплательщика; фотография; сведения, подтверждающие право получения льгот; должность; структурное подразделение; дата приема на работу.
- В целях взаимодействия с работниками в рамках трудовых отношений обрабатывается следующий состав персональных данных: фамилия, имя, отчество; сведения о смене фамилии, имени, отчества; дата рождения; место рождения; пол; гражданство; сведения о документе, удостоверяющем личность (серия, номер, дата выдачи, кем выдан); регистрация по месту жительства (регистрация по месту пребывания); уточненные сведения о фактическом месте проживания (в случае изменения во время исполнения трудовых обязанностей в АО «ГЕНЕРИУМ»); контактный номер телефона; адрес электронной почты; семейное положение; сведения о рождении детей; сведения о близких родственниках (включая степень родства, ФИО, год рождения); сведения о водительском удостоверении; полученное профессиональное и дополнительное образование, наличие специальной подготовки, специальность и квалификация; сведения об ученой степени и званиях; награждения и поощрения; сведения о предыдущей трудовой деятельности; продолжительность общего трудового стажа; сведения о владении иностранными языками; сведения о постановке на воинский учет и прохождении срочной службы; сведения о повышении квалификации, аттестационных испытаниях и профессиональной переподготовке; номер страхового свидетельства государственного пенсионного страхования; индивидуальный номер налогоплательщика; фотография; сведения, подтверждающие право получения льгот; должность; уточненные сведения о должности; структурное подразделение; дата приема на работу; банковские реквизиты; сведения о величине заработной платы; сведения из листов нетрудоспособности; копия справки о рождении ребенка (при необходимости); копия свидетельство о рождении ребенка (при необходимости); копия справки о неполучении пособия по уходу за ребенком/пособия по рождению ребёнка (при необходимости); копия свидетельства о рождении/смерти (при необходимости); копия свидетельства о смерти родственника (при необходимости); справка донора о сдаче крови и ее компонентов (при необходимости); справка-вызов из образовательного учреждения (при необходимости); справка о беременности (при необходимости).
- В целях оформления электронных пропусков для санкционированного доступа на территорию Общества обрабатывается следующий состав персональных данных: фамилия, имя, отчество; фотография.
- В целях оформления банковской зарплатной карты и начисление заработной платы обрабатывается следующий состав персональных данных: фамилия, имя, отчество; дата рождения; сведения о документе, удостоверяющем личность (серия, номер, дата выдачи, кем выдан); регистрация по месту жительства (регистрация по месту пребывания); фактическое место проживания; контактные номера телефонов; наименование работодателя; адрес электронной почты; сведения о заработной плате; сведения из постановления о взыскании денежных средств в пользу третьих лиц по заявлению работника, решению суда и т.п. (при необходимости); банковские реквизиты; должность; структурное подразделение;
- В целях страхования работников от несчастных случаев обрабатывается следующий состав персональных данных: фамилия, имя, отчество; сведения о смене фамилии, имени, отчества; дата рождения; пол; сумма страхового взноса; наименование работодателя; сумма страховой премии; дата приема на работу; дата увольнения.
- В целях сопровождения процесса страхования работников по программе добровольного медицинского страхования обрабатывается следующий состав персональных данных: фамилия, имя, отчество; сведения о смене фамилии, имени, отчества; дата рождения; фактическое место проживания; сведения об изменении фактического места проживания; контактный номер телефона; наименование программы страховании; сведения об изменении программы страхования; дата прикрепления; дата открепления; адрес электронной почты; наименование работодателя.
- В целях предоставления работникам автотранспортных средств в рамках заключенных трудовых договоров обрабатывается следующий состав персональных данных: фамилия, имя, отчество; дата рождения; место рождения; пол; гражданство; сведения о документе, удостоверяющем личность; сведения о водительском удостоверении; регистрация по месту жительства; контактный номер телефона; адрес электронной почты; наименование работодателя.
- В целях размещения информации о работниках на внутреннем сайте АО «ГЕНЕРИУМ» и внутренних электронных справочниках и журналах обрабатывается следующий состав персональных данных: фамилия, имя, отчество; фотография; дата рождения; контактные номера телефона; рабочий номер телефона; внутренний адрес корпоративной электронной почты; должность; наименование структурного подразделения; дата приема на работу; наименование работодателя.
- В целях повышения квалификации работников и прохождения ими дополнительного обучения обрабатывается следующий состав персональных данных: фамилия, имя, отчество; дата рождения; место рождения; пол; гражданство; сведения о документе, удостоверяющем личность (серия, номер, дата выдачи, кем выдан); регистрация по месту жительства (регистрация по месту пребывания); контактные номера телефонов; адрес электронной почты; должность; наименование работодателя; фотография.
- В целях проведения корпоративных мероприятий и участия работников в бонусных программах компаний-партнеров обрабатывается следующий состав персональных данных: фамилия, имя, отчество; дата рождения; контактные номера телефонов; адрес электронной почты; должность; наименование работодателя.
- В целях предоставления интересов Общества работниками в рамках договорных отношений обрабатывается следующий состав персональных данных: фамилия, имя, отчество; дата рождения; контактные номера телефонов; адрес электронной почты; должность; наименование работодателя; сведения о документе, удостоверяющем личность (серия, номер, дата выдачи, кем выдан, к/п); регистрация по месту жительства.
7.3. Уволенные работники
В целях соблюдения требований действующего законодательства Российской Федерации обрабатывается следующий состав персональных данных: фамилия, имя, отчество; дата рождения; место рождения; пол; гражданство; фотография; сведения о документе, удостоверяющем личность (серия, норме, дата выдачи, кем выдан); фактическое место проживания; регистрация по месту жительства (регистрация по месту пребывания); контактный номер телефона; семейное положение; полученное профессиональное и дополнительное образование, наличие специальной подготовки, специальность и квалификация; сведения о повышении квалификации, аттестационных испытаниях и профессиональной переподготовке; сведения об учетной степени и званиях; сведения о предыдущей трудовой деятельности; продолжительность общего трудового стажа; сведения о владении иностранными языками; номер страхового свидетельства государственного пенсионного страхования; сведения о постановке на воинский учет и прохождении срочной службы; сведения подтверждающее право получения льгот; индивидуальный номер налогоплательщика; должность; наименование структурного подразделения; дата приема на работу; дата увольнения; номер полиса добровольного медицинского страхования; свидетельство о браке; свидетельство о рождении ребенка; наименование работодателя; сведения о смене фамилии, имени, отчества; сведения об изменении гражданства; сведения об изменении информации в документе, удостоверяющем личность; сведения об изменении регистрации по месту жительства; сведения об изменении фактического места проживания; сведения об изменении контактных номеров телефонов; сведения об изменении семейного положения; сведения о получении дополнительного образования; сведения об изменении должности; сведения об изменении наименования структурного подразделения; сведения о заработной плате; банковские реквизиты;
7.4. Физические лица, оказывающие услуги по договору гражданско-правового характера
В целях заключения договоров с физическими лицами, выполняющими работы по договорам ГПХ, и исполнения требований указанных договоров обрабатывается следующий состав персональных данных фамилия, имя, отчество; дата рождения; сведения о документе, удостоверяющем личность (серия, норме, дата выдачи, кем выдан); регистрация по месту жительства (регистрация по месту пребывания); фактическое место проживания; номер страхового свидетельства государственного пенсионного страхования (СНИЛС); индивидуальный номер налогоплательщика (ИНН); банковские реквизиты; сведения о величине вознаграждения; контактный номер телефона;
7.5. Физические лица, являющиеся медицинскими или научными работниками
В целях заключения договоров с физическими лицами, являющимися медицинскими или научными работниками, и исполнения ими обязательств по договору, обрабатывается следующий состав персональных данных: фамилия, имя, отчество; дата рождения; пол; гражданство; сведения о документе, удостоверяющем личность (серия, норме, дата выдачи, кем выдан); фактическое место проживания; номер страхового свидетельства государственного пенсионного страхования (СНИЛС); индивидуальный номер налогоплательщика (ИНН); адрес электронной почти; номер контактного телефона; наименование организации-работодателя; должность; сведения о профессиональном опыте; сведения об образовании; номер сертификата медицинского специалиста и срок действия сертификата; номер и дата свидетельства об аккредитации специалиста; сведения о полученной/ом ученой степени/ученом звании; сведения о членстве в РАН/РАМН; номер и дата выдачи диплома о присуждении учетной степени; номер и дата выдачи аттестата о присвоении учетного звания; сведения об опубликованных за предшествующие 3 (три) года научных и учебно-методических работах; сведения о выступлениях на научных мероприятиях; сведения о выступлениях на международных конференциях за предшествующие 3 (три) года; сведения об участии в клинических/доклинических исследованиях; сведения о преподавательской деятельности; сведения о присуждении врачебной категории; сведения о членстве в научных обществах; банковские реквизиты; сведения о величине вознаграждения; фотография; видеоматериалы выступлений.
7.6. Физические лица, уведомившие о нежелательных реакциях, возникших при применении лекарственного препарата
В целях выполнения процедур точного репортирования, интерпретации и верификации данных при обработке индивидуальных сообщений о нежелательных реакциях, возникших при применении лекарственных препаратов, и/или с целью ответов на медицинские вопросы, которые впоследствии могут служить поводом для отправки сообщений о нежелательных реакциях, обрабатывается следующий состав персональных данных:
Данные пациента:
- Инициалы пациента
- Адрес (в частности, страна)
- Дата рождения / возрастная группа, пол, масса тела, рост
-
Информация о здоровье, в частности
- Анамнез пациента и текущее состояние здоровья.
- Показания к терапии.
- Описание нежелательной реакции, включая симптомы и их лечение, а также любые потенциальные долгосрочные последствия, которые нежелательная реакция может иметь для здоровья пациента; в соответствующих случаях документы, такие как результаты лабораторного исследования и списки принятых лекарственных препаратов.
- Подробная информация о препаратах и лечении, которые применялись у пациента одновременно или во время возникновения нежелательной реакции, включая дозировку, продолжительность приема, причину приема препарата и все последующие изменения в вашей терапии.
Данные лица, сообщающего о нежелательной реакции или делающего запрос:
- Фамилия, имя, отчество
- Адрес (в частности, страна)
- Контактные данные (номер телефона и адрес электронной почты)
- Если применимо, профессия, наименование лечебного учреждения, должность, специализация, отдел
- Если применимо, отношение к лицу, указанному в отчете.
7.7. Исследователи/Соисследователи - физические лица, осуществляющие исследовательские функции
В целях заключения договоров с физическими лицами, осуществляющими исследовательские функции, исполнения требований указанных договоров и документирования процесса проведения клинического исследования, обрабатывается следующий состав персональных данных: фамилия, имя, отчество; дата рождения; пол; гражданство; сведения о документе, удостоверяющем личность (серия, номер, дата выдачи, кем выдан); фактическое место проживания; номер страхового свидетельства государственного пенсионного страхования (СНИЛС); индивидуальный номер налогоплательщика (ИНН); пол; адрес электронной почти; номер контактного телефона; регистрация по месту жительства (регистрация по месту пребывания); фотография; полученное профессиональное и дополнительное образование, наличие специальной подготовки, специальность и квалификация; сведения о повышении квалификации, аттестационных испытаниях профессиональной переподготовке; сертификаты о прохождении обучения; сведения о предыдущей трудовой деятельности; продолжительность общего трудового стажа; сведения о владении иностранными языками, сведения об ученой степени или званиях, награждения и поощрения.
7.8. Физические лица, являющиеся участниками клинических исследований
- В целях участия физических лиц в предварительном отборе для участия в клиническом исследовании, обрабатывается следующий состав персональных данных: фамилия, имя, отчество; сведения о диагнозе; сведения о назначенном/полученном лечении.
- В целях участия физических лиц в клиническом исследовании и осуществление контроля за ходом проведения и результатами клинического исследования, обрабатывается следующий состав персональных данных: обезличенный индивидуальный идентификационный код; пол; сведения о состоянии здоровья; сведения о диагнозе; сведения из медицинского анамнеза; сведения о назначенном лечении; сведения о выявленных негативных редакциях (при наличии); сведения из предоставляемой/формируемой в процессе клинического исследования медицинской документации;
7.9. Пользователи сайта
В целях организации санкционированного доступа посетителей на территорию Общества обрабатывается следующий состав персональных данных: фамилия, имя, отчество; сведения о документе, удостоверяющем личность (серия, номер, дата выдачи, кем выдан); наименование организации-работодателя.
7.10. Застрахованные родственники работников Общества
В целях включения близких родственников работников общества в программу добровольного медицинского страхования обрабатывается следующий состав персональных данных: фамилия, имя, отчество; пол; сведения о документе, удостоверяющем личность (серия, номер, дата выдачи, кем выдан); СНИЛС; дата рождения; степень родства; контактный номер телефона; e-mail; адрес фактического проживания; наименования программы страхования.
7.11. Выгодоприобретатели
В целях сопровождения процесса получения страховой суммы при наступлении страхового случая выгодоприобретателями Обществом обрабатывается следующий состав персональных данных: фамилия, имя, отчество; пол; сведения о документе, удостоверяющем личность (серия, номер, дата выдачи, кем выдан); СНИЛС; e-mail; процент страховой суммы.
7.12. Индивидуальные предприниматели
В целях заключения договоров и осуществления коммуникаций с индивидуальными предпринимателями обрабатывается следующий состав персональных данных фамилия, имя, отчество; сведения о документе, удостоверяющем личность (серия, номер, дата выдачи, кем выдан); индивидуальный номер налогоплательщика (ИНН).
8. Порядок и условия обработки персональных данных
Общество осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление и уничтожение персональных данных.
Обработка персональных данных осуществляется следующими способами:
- неавтоматизированная обработка персональных данных;
- автоматизированная обработка персональных данных;
- смешанная обработка персональных данных.
Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.
8.1. Хранение персональных данных
Персональные данные субъектов персональных данных хранятся как на машинных (электронных), так и на бумажных носителях персональных данных.
Бумажные носители персональных данных хранятся только в местах, определенных в перечне мест хранения бумажных носителей персональных данных Общества.
Документы на бумажных носителях хранятся в папках в надежно запираемых сейфах/шкафах в помещениях Общества, электронные носители хранятся в специально выделенных помещениях, доступ к которым предоставляется работникам в соответствии с исполняемыми должностными обязанностями.
Сроки обработки персональных данных регламентированы в соответствии с:
- целями обработки персональных данных;
- приказом Росархива от 20.12.2019 №236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения»;
- договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
- сроком исковой давности.
Сроки обработки персональных данных по каждому из субъектов персональных в Обществе приведены в Таблице 1.
| Наименование субъекта персональных данных | Сроки обработки персональных данных |
|---|---|
| Кандидаты на вакантные должности (граждане РФ) | 30 календарных дней с даты принятия решения о трудоустройстве кандидата на вакантную должность/ о принятии отрицательного решения о трудоустройстве кандидата на вакантную должность. |
| Работники | В течение срока действия трудового договора. |
| Уволенные работники | В соответствии со сроками, установленными архивным законодательством. |
| Физические лица, оказывающие услуги по договору гражданско-правового характера | Пять лет после исполнения договора. |
| Физические лица, являющиеся медицинскими или научными работниками | Пять лет с даты исполнения/ окончания срока действия договора с физическим лицом, являющимся медицинским или научным работником. |
| Физические лица, уведомившие о нежелательных реакциях, возникших при применении лекарственного препарата | В течение не менее 10 лет после прекращения действия удостоверений о государственной регистрации лекарственных препаратов. |
| Исследователи / Соисследователи - физические лица, осуществляющие исследовательские функции | Не менее 15 лет после завершения клинических исследований. |
| Физические лица, являющиеся участниками клинических исследований | Данные не хранятся Обществом. |
| Пользователи сайта | Данные не хранятся Обществом. |
| Застрахованные родственники работников Общества | Срок действия договора добровольного медицинского страхования, а также в течение пяти лет после прекращения его действия. |
| Выгодоприобретатели | Срок действия договора добровольного медицинского страхования, а также в течение пяти лет после прекращения его действия. |
| Индивидуальные предприниматели | Пять лет после исполнения договора. |
Прекращение обработки персональных данных осуществляется по истечении установленных сроков обработки персональных данных, при отзыве согласия субъекта персональных данных на обработку его персональных данных (за исключением случаев, когда Общество вправе продолжить обработку персональных данных на ином правовом основании), при достижении цели обработки персональных данных или утрате необходимости в достижении цели, а также при выявлении неправомерной обработки персональных данных.
8.2. Условия передачи персональных данных
Общество вправе поручить обработку персональных данных другому лицу с письменного согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого договора.
Лицо, осуществляющее обработку персональных данных по поручению Общества, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные 152-ФЗ «О персональных данных» и настоящей Политикой.
В соответствии с требованиями 152-ФЗ «О персональных данных» в договорах с лицами, осуществляющими обработку персональных данных по поручению Общества, определен перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, установлены обязанности такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, указываются требования к защите обрабатываемых персональных в соответствии с 152-ФЗ «О персональных данных».
В случае трансграничной передачи персональных данных в страны, не обеспечивающих адекватную защиту прав субъектов персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации, трансграничная передача осуществляется на основании отдельного согласия в письменной форме.
8.3. Обеспечение конфиденциальности и безопасности персональных данных при их обработке
Безопасность персональных данных, обрабатываемых Обществом, обеспечивается принятием правовых, организационных и технических мер, определенных действующим законодательством Российской Федерации, а также внутренними нормативными документами Общества в области защиты информации.
Обеспечение Обществом защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных достигается, в частности, следующими принятыми мерами:
- назначение лица, ответственного за организацию обработки персональных данных;
- назначение лица, ответственного за обеспечение безопасности персональных данных, обрабатываемых в информационных системах персональных данных;
- определение перечня работников, имеющих доступ к персональным данным;
- разработка и утверждение организационно-распорядительных документов, определяющих порядок обработки персональных данных;
- определение перечня мест хранения материальных носителей персональных данных;
- организация порядка уничтожения персональных данных по истечении срока их обработки;
- учет машинных носителей персональных данных;
- определение угроз безопасности персональных данных при их обработке, формирование на их основе модели угроз;
- проведение внутренних проверок за соблюдением требований по обеспечению безопасности персональных данных;
- ознакомление работников Общества, осуществляющих обработку персональных данных, с требованиями законодательства Российской Федерации, организационно-распорядительными документами Общества, определяющими порядок обработки и обеспечения безопасности персональных данных;
- повышение уровня осведомленности работников о требованиях по обеспечению безопасности персональных данных;
- проведение оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения 152-ФЗ «О персональных данных», соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей, предусмотренных 152-ФЗ «О персональных данных»;
- физическая защита помещений, в которых осуществляется обработка персональных данных (пропускной режим, электронная система доступа в помещения, видеонаблюдение);
- обеспечение антивирусной защиты информационных систем персональных данных;
- обновление программного обеспечения на регулярной основе;
- защита сетевой инфраструктуры (разграничение доступа, межсетевое экранирование);
- обеспечение отказоустойчивости и резервного копирования;
- определение правил доступа к персональным данным, обрабатываемых в информационных системах персональных данных;
- регистрация и учет событий информационной безопасности;
- определение порядка реагирования на инциденты информационной безопасности;
- проведение внешних тестирований на проникновение;
- применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
- проведение оценки эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных.
Обеспечение конфиденциальности персональных данных, обрабатываемых Обществом, является обязательным требованием для всех работников Общества, допущенных к обработке персональных данных в связи с исполнением трудовых обязанностей. Все работники, имеющие действующие трудовые отношения, деятельность которых связана с получением, обработкой и защитой персональных данных, подписывают соглашение о конфиденциальности, проходят инструктажи по обеспечению информационной безопасности под подпись и несут персональную ответственность за соблюдение требований по обработке и обеспечению безопасности персональных данных.
8.4. Порядок обработки запросов субъектов персональных данных
Субъект персональных данных может обращаться в Общество по вопросам обработки своих персональных данных в следующих случаях:
- для получения информации, касающейся обработки его (субъекта) персональных данных;
- для уточнения своих персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленной цели обработки;
- для подачи жалобы на неправомерную обработку Обществом его (субъекта) персональных данных;
- для отзыва своего согласия на обработку персональных данных.
Согласно требованиям 152-ФЗ «О персональных данных», запрос должен содержать, в частности:
- серию, номер документа, удостоверяющего личность субъекта персональных данных (его представителя), сведения о дате выдачи указанного документа и выдавшем его органе;
- сведения, подтверждающие участие субъекта персональных данных в отношениях с Общества (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Обществом;
- подпись субъекта персональных данных (его представителя);
- в случае, если запрос направлен представителем субъекта персональных данных, он должен содержать документ (копию документа), подтверждающий полномочия данного представителя.
В случае отзыва субъектом персональных данных данного им согласия на обработку персональных данных соответствующий запрос должен соответствовать условиям, указанным в таком согласии.
Запросы субъектов персональных данных или их представителей принимаются по адресу: г. Москва, ул. Тестовская, д.10, подъезд 2.
Также запрос, подписанный электронной подписью, может быть направлен на адрес электронной почты: generium@generium.ru.
Ответ на запрос направляется субъекту персональных данных или его представителю в срок, не превышающий 30 (тридцать) дней со дня обращения.
При отказе в предоставлении информации или осуществления действия, отраженного в запросе, субъекту направляется мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 152-ФЗ «О персональных данных» или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий 30 (тридцати) дней со дня обращения субъекта персональных данных или его представителя.
Субъект персональных данных может повторно обратиться в Общество для получения информации, касающейся обработки его (субъекта) персональных данных не ранее, чем через 30 (тридцать) дней после первоначального обращения или направления первоначального запроса. В случае, если субъекту персональных данных была предоставлена информация не в полном объеме по результатам рассмотрения первоначального обращения, субъект может повторно обратиться в Общество раньше установленного срока, указав обоснование направления повторного запроса.
Общество вправе отказать субъекту персональных данных в выполнении повторного запроса при наличии доказательств обоснованности отказа.
В случае выявления неправомерной обработки персональных данных или неточных персональных данных Общество обеспечивает блокирование персональных данных (в том числе при обработке персональных данных другим лицом, действующим по поручению Общества), на период проведения проверки.
В случае подтверждения факта неточности персональных данных Общество обеспечивает уточнение персональных данных (в том числе при обработке персональных данных другим лицом, действующим по поручению Общества), в течение 7 (семи) рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
В случае выявления неправомерной обработки персональных данных Общество в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, обеспечивает прекращение неправомерной обработки персональных данных (в том числе при обработке персональных данных другим лицом, действующим по поручению Общества). В случае, если обеспечить правомерность обработки персональных данных невозможно, Общество в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки персональных данных, обязана уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Общество обязана уведомить субъекта персональных данных или его представителя, либо уполномоченный орган по защите прав субъектов персональных данных (если запрос был направлен указанным органом).
В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Общество обеспечивает уничтожение персональных данных (в том числе при обработке персональных данных третьим лицом, действующим по поручению Общества), в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва (за исключением случаев мотивированного отказа в отзыве согласия, установленных законодательством Российской Федерации).
По истечению сроков хранения персональных данных, установленных в п. 8.1 настоящей Политики, Общество обеспечивает уничтожение персональных данных (в том числе при обработке персональных данных третьим лицом, действующим по поручению Общества), в срок, не превышающий 30 (тридцати) дней.
В случае отсутствия возможности уничтожения персональных данных в течение установленного срока, Общество обеспечивает блокирование таких персональных данных (в том числе при обработке персональных данных третьим лицом, действующим по поручению Общества), и обеспечивает уничтожение персональных данных в срок не более чем 6 (шесть) месяцев, если иной срок не установлен законодательством Российской Федерации.
9. Заключительные положения
Настоящая Политика является общедоступным документом и подлежит размещению в общем доступе в офисе Общества и на сайте по адресу в сети Интернет: www.generium.ru.
В случае неисполнения положений настоящей Политики Общество несет ответственность в соответствии с законодательством Российской Федерации.
Ответственность должностных лиц Общества, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных, определяется в соответствии с законодательством Российской Федерации и внутренними нормативными и организационно-распорядительными документами Общества.