I. Общие положения

1. Настоящий документ (далее – Политика) устанавливает правила работы с персональной информацией, которую получает Консультант по грудному вскармливанию (далее – Оператор) в рамках своей профессиональной деятельности.

2. Оператор организует обработку персональных данных как с применением автоматизированной обработки, так и без её использования. Обработка включает в себя любые действия: от получения и записи до блокировки и полного уничтожения информации.

3. Субъектами персональных данных, сведения о которых обрабатывает Оператор, являются:

• женщины, обратившиеся за консультацией по вопросам грудного вскармливания, искусственного вскармливания, прикорма, питания детей и завершения ГВ;
• несовершеннолетние дети, чьи данные (включая сведения о здоровье) предоставляются законными представителями;
• посетители интернет-сайта Оператора;
• лица, оформившие подписку на информационные материалы (рассылки, чек-листы, памятки);
• лица, добровольно оставляющие отзывы и (или) разрешившие публикацию фото/видеоматериалов.

4. Оператор руководствуется следующими нормативными актами:

4.1. Конституция Российской Федерации (статья 23 – право на неприкосновенность частной жизни);

4.2. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – 152-ФЗ);

4.3. Гражданский кодекс Российской Федерации (в части, касающейся договорных отношений);

4.4. Согласия, добровольно подписанные Клиентом (в том числе в электронной форме).

5. Срок действия Политики – бессрочно до момента размещения новой версии. Однако это не означает бессрочность хранения самих персональных данных. Конкретные сроки хранения установлены в разделе V настоящей Политики.

6. Главная цель Оператора – обеспечить полную сохранность и конфиденциальность информации о Клиентах, особенно сведений, касающихся здоровья матери и ребёнка. Оператор обязуется не разглашать такие данные без явного и добровольного согласия субъекта.

II. Цели, условия и перечни обрабатываемых персональных данных

1. Персональные данные обрабатываются Оператором исключительно для следующих целей:

• заключение и исполнение договора (оферты): 

         ▬ на оказание консультационных услуг (в том числе разовые консультации, ведение в чатах, сопровождение группового обучения и др);

         ▬ на предоставление информационных материалов (гайд по питанию, сборник рецептов и др);

• информирование о новых услугах, статьях, вебинарах и акциях – только при наличии активного согласия на рассылку;
• публикация обезличенных или разрешённых кейсов (с фото и видео) в социальных сетях и на сайте – только при наличии отдельного письменного согласия на распространение;
• анализ поведения посетителей на сайте для улучшения его работы (сбор обезличенных статистических данных).

2. Категории обрабатываемых персональных данных:

    2.1. Общие данные (необходимые для первичного установления связи с субъектом):

• фамилия и имя (отчество – по желанию);
• номер телефона (в том числе для звонков и сообщений в мессенджерах);
• никнейм в мессенджере;
• описание вопроса или проблемы, связанной с грудным вскармливанием, искусственным вскармливанием, прикормом, детским питанием и завершением ГВ (в том числе сведения, которые могут относиться к состоянию здоровья — в объёме, добровольно указанные субъектом).

  2.2. Иные персональные данные, в том числе данные о состоянии здоровья – обрабатываются только после оплаты консультации и при наличии отдельного письменного согласия (в том числе в электронной форме):

• город проживания;
• возраст;
• имя ребенка;
• возраст ребенка;
• возраст других детей (при наличии);
• период кормления грудью других детей;
• сведения и особенности протекания беременности и родов;
• причины обращения;
• сведения о попытках устанения причины обращения;
• измерения ребенка и их изменения (при наличии);
• сведения об организации ГВ, СВ и ИВ и прикорма;
• принимаемые препараты;
• сведения о заболеваниях;
• сведения о проведенных и планируемых операциях.

2.3. Данные, распространяемые только с отдельного согласия:

• фотографии и видеозаписи (в том числе до и после консультации, техника прикладывания);
• отзывы;
• имя или псевдоним для публикации в соцсетях и на сайте.

2.4. Технические данные:

• файлы cookie;
• статистика переходов и действий на страницах (через Яндекс.Метрику и аналогичные сервисы).

2.5. Оператор не обрабатывает данные о расовой, национальной принадлежности, политических и религиозных взглядах, интимной жизни. Такая информация не запрашивается и не принимается.

2.6. Отдельное согласие на обработку медицинских данных. Для обработки специальных категорий персональных данных (сведения о здоровье) Оператор всегда получает отдельное информированное согласие. Такое согласие:

• фиксируется в виде отдельного чек-бокса (с явной формулировкой: «Я даю согласие на обработку моих персональных данных, относящихся к состоянию здоровья, в целях проведения консультации по грудному вскармливанию, ИВ, прикорму, детскому питания и завершению ГВ»);
• либо в виде отдельного письменного заявления (в бумажном виде или в виде электронного сообщения с простой электронной подписью).
  Без этого согласия Оператор не вправе запрашивать или обрабатывать сведения о лактации, здоровье ребёнка, принимаемых лекарствах и т.д. Исключение – случаи, когда обработка необходима для защиты жизни или здоровья субъекта (ст. 10 ч. 2 п. 4 152-ФЗ).

2.7. Согласие на распространение. Для публикации фото, видео, отзывов с идентификацией Клиента Оператор запрашивает отдельное согласие на распространение персональных данных (в соответствии со ст. 10.1 152-ФЗ), которое фиксируется в виде:

• отметки в отдельном чек-боксе на сайте;
• отдельного сообщения (письма) от Клиента;
• подписи в бумажном бланке согласия.

2.8. Клиент вправе в любой момент отозвать согласие на распространение. После получения отзыва Оператор обязан прекратить публикацию соответствующих материалов в срок не более трёх рабочих дней с момента получения отзыва согласия.

III. Права и обязанности Оператора и субъектов персональных данных

3.1. Оператор имеет право:

• запрашивать у Клиента только те данные, которые необходимы для качественного оказания услуги;
• продолжить обработку персональных данных без согласия Клиента в случаях, прямо указанных в законе (например, по требованию суда или правоохранительных органов);
• самостоятельно выбирать способы и меры защиты персональных данных, если они не противоречат законодательству.

3.2. Оператор обязан:

• по запросу Клиента предоставить полную информацию о том, какие его данные хранятся и как используются;
• организовать обработку персональных данных строго в соответствии с 152-ФЗ;
• отвечать на обращения и жалобы Клиентов в срок не более 10 рабочих дней;
• разместить настоящую Политику в открытом доступе на своём сайте https://otvetimamam.ru/policy;
• принимать меры для защиты данных от взлома, кражи, случайного уничтожения или изменения;
• в случае утечки персональных данных уведомить Роскомнадзор в течение 24 часов с момента обнаружения инцидента;
• прекратить обработку и уничтожить персональные данные, если отпала необходимость в их обработке, достигнута цель обработки или Клиент отозвал согласие (за исключением случаев, когда хранение обязательно по закону, например, для налоговой отчётности).

3.3. Клиент (субъект персональных данных) имеет право:

• получить информацию об обработке своих персональных данных в доступной форме без указания чужих данных;
• потребовать исправить, заблокировать или удалить свои данные, если они неполные, устаревшие, неточные или получены незаконно;
• отказаться от получения рекламных и информационных рассылок (отписка);
• отозвать согласие на обработку персональных данных в любой момент.

3.4. Клиент обязан:

• предоставлять достоверные сведения о себе и о состоянии здоровья (как своём, так и ребёнка);
• своевременно сообщать об изменении контактных данных (например, смене номера телефона, никнейм в мессенджере).

3.5. Если Клиент передал Оператору недостоверные данные либо данные третьего лица без его согласия, ответственность за такие действия лежит полностью на Клиенте. Оператор не несёт ответственности за убытки и качество оказываемых услуг, вызванные недостоверностью предоставленной информации.

IV. Условия обработки, хранения и передачи персональных данных

4.1. Безопасность персональных данных обеспечивается комплексом организационных и технических мер:

• доступ к данным имеют только Оператор, помощник (при необходимости);
• все устройства (компьютер, телефон) защищены паролями и антивирусным программным обеспечением;
• обмен данными по интернету осуществляется с использованием защищенного протокола HTTPS;
• бумажные носители (распечатки, анкеты) не предусмотрены и не хранятся.

4.2. Доступ к медицинским данным. Доступ к специальным категориям персональных данных (сведениям о здоровье) максимально ограничен. Помощник не имеет доступа к таким данным, если это не требуется для оказания услуги. Если привлечение такого лица необходимо, Оператор:

• заключает с ним договор поручения (ст. 6 152-ФЗ);
• получает от него письменное обязательство о неразглашении.

4.3. Передача персональных данных третьим лицам НЕ допускается, за исключением следующих случаев:

• передача требуется для исполнения договора (оферты) (например, платёжной системе для приёма оплаты, платформе на которой развернут сайт);
• Оператор получил законный запрос от суда, полиции, прокуратуры или Роскомнадзора.

Передача медицинских данных третьим лицам без согласия Клиента не осуществляется и запрещена.

4.4. Технические подрядчики (платёжные агрегаторы, сервисы email-рассылок, облачные хранилища) обязаны соблюдать режим конфиденциальности и не использовать персональные данные Клиентов в своих целях.

4.5. Оператор не несёт ответственности за действия третьих лиц, если Клиент самостоятельно передал им свои персональные данные (например, переслал рекомендации консультанта третьему лицу).

4.6. Локализация баз данных на территории РФ. В соответствии со ст. 18.1 152-ФЗ, Оператор осуществляет хранение персональных данных граждан Российской Федерации (в том числе медицинских данных) с использованием баз данных, физически находящихся на территории Российской Федерации. Первичный сбор, запись и систематизация таких данных на иностранные серверы не осуществляется. Использование зарубежных облачных сервисов (Google Drive, Dropbox и аналогичных) не допускается даже для временного хранения копий или обмена файлами при условии, что основное хранилище находится в РФ.

4.7. Трансграничная передача персональных данных (передача за пределы Российской Федерации) Оператором не осуществляется.

V. Сроки обработки, хранения и порядок уничтожения персональных данных

5.1. Конкретные сроки хранения персональных данных:

5.2. Основания для прекращения обработки персональных данных:

• достижение цели обработки (например, завершение консультационного сопровождения);
• истечение установленного срока хранения согласно п.5.1;
• отзыв согласия Клиентом;
• выявление факта неправомерной обработки;
• ликвидация Оператора как субъекта предпринимательской деятельности.

5.3. Порядок уничтожения персональных данных:

• Электронные данные (в том числе медицинские) уничтожаются методом перезаписи (все единицы хранения информации заменяются на «0») с составлением акта об уничтожении. Обычное удаление через корзину (без перезаписи) не допускается, так как позволяет восстановить данные.
• Данные на бумажных носителях уничтожаются механическим способом (шредирование, сжигание) или путём химического растворения, также с составлением акта.

5.4. Уничтожение производится комиссией, назначенной Оператором (не менее двух человек). Акт об уничтожении хранится не менее трёх лет.

5.5. Если Клиент отозвал согласие на обработку, но Оператор обязан хранить данные по закону (например, для налоговой проверки), такие данные не уничтожаются, а блокируются (доступ к ним прекращается). Разблокировка возможна только по законному требованию госорганов.

5.6. Особые условия уничтожения медицинских данных. Персональные данные, относящиеся к состоянию здоровья, уничтожаются в первоочередном порядке при отзыве согласия. Акт об уничтожении медицинских данных хранится отдельно и постоянно (не менее 5 лет).

VI. Обработка запросов субъектов персональных данных, ответственность и заключительные положения

6.1. Клиент вправе направить Оператору запрос, касающийся обработки его персональных данных. Запрос должен содержать:

• фамилию, имя, отчество (при наличии) субъекта;
• номер основного документа, удостоверяющего личность (паспорт), сведения о дате выдачи и органе, выдавшем документ;
• сведения, подтверждающие факт обращения к Оператору (дата и тема консультации, номер чека, скриншот переписки);
• подпись (в бумажном виде) или электронная подпись (в электронном виде).

6.2. Оператор рассматривает запрос и предоставляет ответ в течение 10 рабочих дней с момента получения.

6.3. Если запрос требует предоставления сведений, касающихся других субъектов персональных данных, Оператор вправе отказать в их разглашении, если на то нет законных оснований (например, согласия этих лиц).

6.4. Повторный запрос от того же Клиента по тому же вопросу может быть направлен не ранее чем через 30 дней, если более короткий срок не установлен договором.

6.5. Оператор вправе отказать в удовлетворении повторного запроса, если он является необоснованным. Отказ должен быть мотивирован письменно.

6.6. Уведомление об утечке персональных данных (инциденте):

• при обнаружении факта неправомерной передачи или утечки персональных данных (особенно специальных категорий – медицинских) Оператор уведомляет Роскомнадзор в течение 24 часов с момента обнаружения;
• в течение 72 часов проводится внутреннее расследование, результаты которого направляются в уполномоченный орган.

6.7. Ответственность. За нарушение правил обработки персональных данных, в особенности специальных категорий (медицинских), Оператор несёт ответственность в соответствии с Кодексом Российской Федерации об административных правонарушениях (ст. 13.11).

Контроль за исполнением настоящей Политики осуществляет сам Оператор, а также уполномоченные органы (Роскомнадзор) в рамках своих полномочий.

Контакты Оператора для направления запросов и отзыва согласий:

• электронная почта: ta.elfimova@yandex.ru
• номер телефона (только для связи, не для передачи конфиденциальных данных): +7(905)506-65-50

6.8. Настоящая Политика вступает в силу с момента её размещения на сайте Оператора по адресу: https://otvetimamam.ru/policy

6.9. Оператор оставляет за собой право вносить изменения в Политику. Новая редакция вступает в силу с момента её публикации. Пользователь обязуется самостоятельно отслеживать обновления.

6.10. Ко всем отношениям, связанным с обработкой персональных данных, применяется законодательство Российской Федерации. Все споры разрешаются по месту нахождения Оператора (если иное не предусмотрено законом).

6.11. Если отдельные положения настоящей Политики будут признаны недействительными или не имеющими юридической силы, остальные положения остаются в силе.