Политика в отношении обработки персональных данных

Общества с ограниченной ответственностью «Машук» (коммерческое обозначение — Клинический санаторий «Пятигорский нарзан»)

Редакция 2026 года

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок обработки и защиты персональных данных, осуществляемой Обществом с ограниченной ответственностью «Машук» (далее — Оператор), а также содержит сведения о реализуемых требованиях к защите персональных данных.

1.2. Политика разработана в соответствии с:

• Конституцией Российской Федерации;
• Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральным законом от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
• Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Постановлением Правительства РФ от 01.11.2012 № 1119;
• Федеральным законом от 21.07.2014 № 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях»;
• Постановлением Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Приказом Роскомнадзора, регулирующим порядок и форму уведомления об обработке персональных данных;
• Приказом Минздрава России от 22.11.2021 № 1086н (в части сроков хранения медицинской документации);
• иными нормативными правовыми актами Российской Федерации в области защиты персональных данных.

1.3. Политика распространяется на все персональные данные, которые Оператор получает от субъектов персональных данных посредством сайта, электронной почты, телефонной связи, при заключении договоров, оказании санаторно-курортных, гостиничных, медицинских и иных услуг.

1.4. Политика является общедоступным документом и подлежит размещению на официальном сайте Клинического санатория «Пятигорский нарзан» по адресу: https://www.narzan-kmv.ru

2. Сведения об Операторе

Наименование: Общество с ограниченной ответственностью «Машук» Коммерческое обозначение: Клинический санаторий «Пятигорский нарзан»

ОГРН: 1042600209024

ИНН: 2635207298 КПП: 263201001

Юридический адрес: 357502, Ставропольский край, городской округ город-курорт Пятигорск, г. Пятигорск, бульвар Гагарина, д. 1А, стр. 5

Телефон: +7 (8793) 39-12-81

E-mail: narzan-kmv@mail.ruСайт: https://www.narzan-kmv.ru

Оператор включён в реестр операторов персональных данных за № 26-19-002032 (Приказ № 94 от 28.05.2019), ведение которого осуществляет Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), в соответствии со статьёй 22 Федерального закона № 152-ФЗ. Уведомление о начале обработки персональных данных направлено в территориальный орган Роскомнадзора. В случае изменения сведений, содержащихся в уведомлении, Оператор направляет соответствующее информационное письмо в течение 10 рабочих дней с даты возникновения изменений.

3. Основные понятия

В настоящей Политике используются термины в значениях, определённых Федеральным законом № 152-ФЗ «О персональных данных».

4. Принципы обработки персональных данных

Оператор осуществляет обработку персональных данных на основе следующих принципов:

• законности и справедливости;
• ограничения обработки достижением конкретных, заранее определённых и законных целей;
• недопущения обработки данных, несовместимой с целями их сбора;
• соответствия объёма и содержания персональных данных заявленным целям обработки;
• обеспечения точности, достаточности и актуальности персональных данных;
• хранения персональных данных не дольше, чем этого требуют цели обработки.
• недопустимости обусловливания оказания услуг, заключения договора или предоставления доступа к сервисам Оператора согласием субъекта на обработку персональных данных, не являющихся необходимыми для достижения соответствующей цели обработки.

5. Категории субъектов персональных данных

Оператор осуществляет обработку персональных данных следующих категорий субъектов:

• посетители сайта;
• лица, направившие заявки через сайт;
• пациенты и отдыхающие санатория;
• законные представители пациентов;
• лица, приобретающие путёвки;
• представители контрагентов;
• кандидаты на трудоустройство;
• работники Оператора;
• иные лица, вступающие в правоотношения с Оператором.

6. Категории персональных данных

Оператор может обрабатывать следующие персональные данные:

6.1. Общие персональные данные

• фамилия, имя, отчество;
• дата рождения;
• пол;
• адрес проживания;
• контактный телефон;
• адрес электронной почты;
• сведения документа, удостоверяющего личность;
• гражданство;
• сведения о бронировании;
• сведения о заключённых договорах.

6.2. Специальные категории персональных данных

Оператор обрабатывает сведения о состоянии здоровья (диагнозы, результаты обследований, назначения) исключительно в целях охраны здоровья граждан, предоставления санаторно-курортного лечения и оказания медицинских услуг. Обработка осуществляется на основании:

• письменного согласия субъекта (в том числе в форме отдельного документа при заезде);
• необходимости обработки для защиты жизни и здоровья субъекта;
• иных оснований, предусмотренных статьей 10 Федерального закона № 152-ФЗ и законодательством РФ в сфере здравоохранения.

6.3. Автоматически собираемые данные

При посещении сайта Оператора автоматически обрабатываются следующие технические данные: IP-адрес, тип и версия браузера, тип устройства и операционной системы, данные файлов Cookie, информация о посещённых страницах, дата и время посещения, источник перехода (referrer), технические журналы событий (логи).

Указанные данные обрабатываются исключительно в целях обеспечения функционирования сайта, анализа посещаемости, обеспечения информационной безопасности и улучшения пользовательского опыта. Срок хранения технических данных — не более 1 (одного) года, за исключением случаев, когда более длительный срок хранения установлен законодательством РФ.

Обработка файлов Cookie, не являющихся технически необходимыми, осуществляется только при наличии активного согласия пользователя в соответствии с разделом 16 настоящей Политики.

7. Цели обработки персональных данных

7.1. Оператор осуществляет обработку персональных данных в целях:

• предоставления информации о деятельности санатория;
• бронирования путёвок и услуг;
• заключения и исполнения договоров;
• оказания медицинских услуг и санаторно-курортного лечения;
• предоставления гостиничных услуг;
• организации обратной связи и обработки обращений граждан;
• исполнения требований законодательства Российской Федерации;
• ведения бухгалтерского и налогового учёта;
• обеспечения безопасности посетителей и пациентов (в т.ч. видеонаблюдение);
• направления информационных сообщений при наличии соответствующего согласия;
• подбора персонала и трудоустройства;
• улучшения качества работы сайта и сервисов.

7.2. Видеонаблюдение на территории санатория осуществляется в целях обеспечения безопасности посетителей, пациентов, работников и сохранности имущества Оператора.

Обработка данных видеонаблюдения осуществляется на основании законного интереса Оператора (п. 7 ч. 1 ст. 6 Закона № 152-ФЗ) с соблюдением следующих условий:

• зоны видеонаблюдения ограничены территорией, входными группами, коридорами общего назначения, парковкой; видеонаблюдение не осуществляется в медицинских кабинетах, палатах, раздевалках, санузлах и иных местах, где возможно нарушение права на частную жизнь;
• на входе в зоны видеонаблюдения размещены информационные таблички с указанием факта ведения видеозаписи, наименования Оператора и контактных данных;
• срок хранения видеозаписей составляет не более 30 календарных дней, по истечении которых записи уничтожаются автоматически, за исключением случаев, когда запись необходима для расследования инцидента;
• доступ к видеозаписям имеют только уполномоченные работники Оператора;
• передача видеозаписей третьим лицам допускается исключительно по запросу правоохранительных органов или по решению суда.

8. Правовые основания обработки персональных данных

8.1. Обработка персональных данных осуществляется на основании:

• согласия субъекта персональных данных (в т.ч. на обработку специальных категорий);
• заключения и исполнения договора, стороной которого является субъект;
• исполнения обязанностей, предусмотренных законодательством Российской Федерации;
• осуществления прав и законных интересов Оператора или третьих лиц;
• защиты жизни и здоровья субъекта персональных данных;
• иных оснований, предусмотренных законодательством Российской Федерации.

8.2. Согласие на обработку персональных данных получается Оператором раздельно для каждой цели обработки, в том числе:

• отдельно для целей оказания медицинских услуг и обработки специальных категорий персональных данных (сведений о состоянии здоровья);
• отдельно для целей направления информационных и рекламных сообщений;
• отдельно для целей видеонаблюдения;
• отдельно для целей бронирования и исполнения договора.

Не допускается включение в один документ (форму) согласий, относящихся к различным целям обработки. Субъект персональных данных вправе дать согласие на одну цель и отказать в согласии на иные цели без каких-либо негативных последствий.

9. Способы обработки персональных данных

9.1. Оператор осуществляет следующие действия с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка может осуществляться как с использованием средств автоматизации, так и без использования таких средств.

9.2. Оператор не осуществляет принятие решений, порождающих правовые последствия для субъектов персональных данных или иным образом затрагивающих их права и законные интересы, исключительно на основании автоматизированной обработки персональных данных. В случае внедрения таких механизмов Оператор обязан обеспечить реализацию прав субъектов, предусмотренных ст. 16.1 Закона № 152-ФЗ, включая право на разъяснение принятого решения и право на его пересмотр с участием человека.

10. Условия передачи персональных данных третьим лицам

10.1. Оператор не распространяет персональные данные без согласия субъекта, если иное не предусмотрено законодательством РФ.

10.2. Передача персональных данных допускается следующим категориям лиц (при наличии законных оснований):

• государственные органы (ПФР, ФСС, ФНС, Росздравнадзор, полиция и др.) в случаях, предусмотренных законом;
• медицинские организации, лаборатории и консультанты (при необходимости проведения специфических обследований или консультаций);
• страховые организации (ДМС, ОМС);
• банки и платежные системы (для проведения расчетов по договорам);
• операторы почтовой, курьерской и транспортной связи;
• ИТ-компании и хостинг-провайдеры (для обеспечения функционирования сайта, баз данных и информационных систем);
• турагенты и контрагенты по договорам поручения (для исполнения обязательств перед клиентом);
• аудиторские и бухгалтерские организации.

10.3. При передаче персональных данных Оператор обязывает получателей обеспечивать их конфиденциальность и безопасность.

11. Трансграничная передача персональных данных

11.1. Оператор в настоящее время не осуществляет трансграничную передачу персональных данных на территорию иностранных государств.

11.2. В случае возникновения необходимости трансграничной передачи Оператор обязан:

• до начала такой передачи направить уведомление в территориальный орган Роскомнадзора по форме, утверждённой уполномоченным органом;
• убедиться в обеспечении адекватной защиты прав субъектов персональных данных в принимающем государстве либо наличии иных законных оснований передачи, предусмотренных ч. 5–11 ст. 12 Закона № 152-ФЗ;
• получить отдельное письменное согласие субъекта на трансграничную передачу (за исключением случаев, предусмотренных законом);
• приостановить передачу по требованию Роскомнадзора.

11.3. Трансграничная передача на территорию государств, не обеспечивающих адекватную защиту, допускается только в случаях, прямо предусмотренных ч. 5 ст. 12 Закона № 152-ФЗ.

12. Локализация персональных данных

При сборе персональных данных граждан Российской Федерации Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных с использованием баз данных, расположенных на территории Российской Федерации.

13. Сроки хранения персональных данных

13.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки, после чего уничтожаются или обезличиваются, если иное не предусмотрено законодательством РФ.

13.2. Оператор устанавливает следующие конкретные сроки хранения персональных данных:

• Медицинская документация (карты пациентов, истории болезни, журналы) — 25 лет (в соответствии с требованиями Минздрава РФ);
• Документы по личному составу работников (трудовые договоры, приказы, лицевые счета) — 50 лет (или 75 лет для документов по личному составу, созданных до 2003 года);
• Бухгалтерская, налоговая документация и документы по учету путевок — 5 лет;
• Данные посетителей сайта, обратная связь, логи, файлы Cookie — 3 года с момента последнего взаимодействия;
• Согласия на обработку ПДн и факты их отзыва — 5 лет с момента отзыва согласия или прекращения правоотношений;
• Данные кандидатов на трудоустройство (не принятых на работу) — 1 год (или до отзыва согласия).

13.3. По достижении сроков хранения, установленных п. 13.2, персональные данные подлежат безвозвратному уничтожению или обезличиванию.

14. Права субъекта персональных данных

14.1. Субъект персональных данных вправе:

• получать сведения об обработке его персональных данных;
• требовать уточнения, блокирования или уничтожения персональных данных (если они неполные, устаревшие, неточные или незаконно полученные);
• отзывать согласие на обработку персональных данных;
• обжаловать действия Оператора в Роскомнадзор или в судебном порядке.

Отзыв согласия на обработку персональных данных не влияет на законность обработки, осуществлённой Оператором до момента отзыва. После получения отзыва Оператор обязан прекратить обработку соответствующих персональных данных и уничтожить их в срок, не превышающий 30 (тридцати) календарных дней с даты поступления отзыва, за исключением случаев, предусмотренных пп. 2–11 ч. 1 ст. 6, пп. 2–10 ч. 2 ст. 10 и пп. 2–8 ч. 2 ст. 11 Закона № 152-ФЗ, когда обработка может продолжаться без согласия.

14.2. Запрос субъекта может быть направлен в письменной форме или в виде электронного документа, подписанного электронной подписью, по контактам, указанным в п. 17 настоящей Политики.

14.3. Оператор обязан рассмотреть запрос субъекта персональных данных и предоставить мотивированный ответ (либо совершить требуемые действия) в течение 10 (десяти) рабочих дней с момента получения запроса. Указанный срок может быть продлён не более чем на 5 (пять) рабочих дней в случае направления Оператором субъекту мотивированного уведомления о необходимости продления срока с указанием причин.

14.4. Оператор вправе отказать в удовлетворении требований субъекта, если обработка персональных данных осуществляется в целях, предусмотренных законодательством РФ, или если субъект был ранее уведомлен о прекращении обработки.

15. Меры по обеспечению безопасности персональных данных

15.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных, включая:

• назначение лица, ответственного за организацию обработки персональных данных;
• разработку и утверждение локальных нормативных актов;
• применение организационных и технических мер по обеспечению безопасности ПДн (уровень защищенности определяется в соответствии с Постановлением Правительства РФ № 1119);
• ограничение доступа к персональным данным и учёт лиц, допущенных к обработке;
• использование сертифицированных средств антивирусной защиты и криптографической защиты информации;
• резервное копирование информации;
• контроль доступа к информационным системам и выявление фактов несанкционированного доступа;
• проведение внутреннего контроля и обучение работников.

15.2. В случае выявления факта неправомерного или случайного доступа к персональным данным, повлёкшего нарушение прав субъектов персональных данных, Оператор обязан:

• в течение 24 часов с момента выявления факта уведомить территориальный орган Роскомнадзора о произошедшем инциденте, предполагаемых причинах и принятых мерах;
• в течение 72 часов с момента выявления провести внутреннее расследование и установить причины инцидента;
• уведомить субъектов персональных данных, чьи данные были скомпрометированы, если нарушение может повлечь негативные последствия для их прав и законных интересов;
• по требованию Роскомнадзора предоставить результаты внутреннего расследования.

Порядок реагирования на инциденты информационной безопасности регламентируется отдельным локальным нормативным актом Оператора.

16. Использование файлов Cookie

16.1. Сайт использует файлы Cookie и иные аналогичные технологии для корректной работы, обеспечения безопасности, анализа посещаемости и улучшения пользовательского опыта.

16.2. Обработка файлов Cookie и иных аналогичных технологий, не являющихся строго необходимыми для функционирования сайта, осуществляется только при наличии активного, информированного и однозначного согласия пользователя, выраженного путём совершения affirmative-действия (нажатие кнопки «Принять» / «Согласен» в баннере управления Cookie при первом посещении сайта).

Пользователь вправе в любой момент изменить настройки согласия на использование Cookie через соответствующий раздел сайта либо настройки браузера. Отказ от необязательных Cookie не влияет на доступ к основным функциям сайта.

Перечень используемых Cookie, их назначение, срок хранения и третьи лица, имеющие к ним доступ, указаны в отдельном документе — «Политика использования файлов Cookie», размещённом на сайте Оператора.

16.3. Пользователь вправе ограничить или отключить использование Cookie через настройки своего браузера.

17. Порядок обращения субъектов персональных данных

Обращения по вопросам обработки персональных данных, а также запросы на реализацию прав, направляются Оператору: ООО «Машук» Адрес: 357502, Ставропольский край, г. Пятигорск, бульвар Гагарина, д. 1А, стр. 5 E-mail: narzan-kmv@mail.ru(с пометкой «Вопрос по обработке ПДн») Телефон: +7 (8793) 39-12-81

18. Заключительные положения

18.1. Настоящая Политика действует бессрочно до её замены новой редакцией.

18.2. Оператор вправе вносить изменения в настоящую Политику в случаях изменения законодательства Российской Федерации либо внутренних процессов обработки персональных данных. Новая редакция вступает в силу с момента её размещения на сайте.

18.3. Актуальная редакция Политики постоянно доступна на сайте Клинического санатория «Пятигорский нарзан» по адресу: https://www.narzan-kmv.ru