Политика обработки персональных данных ООО «Орфадженекс»

Утверждена приказом Генерального директора ООО «Орфадженекс» от [дата] № [номер]. Редакция № 1. Дата вступления в силу: [дата].

1. Общие положения

1.1.Настоящая Политика обработки персональных данных (далее — Политика) разработана во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет политику Общества с ограниченной ответственностью «Орфадженекс» (далее — Оператор) в отношении обработки персональных данных, а также содержит сведения о реализуемых Оператором требованиях к защите персональных данных.

1.2.Сведения об Операторе:

• полное наименование: Общество с ограниченной ответственностью «Орфадженекс»; сокращённое наименование: ООО «Орфадженекс»;
• ОГРН 1237700362855, ИНН 9728096939, КПП 772801001 (зарегистрировано 23.05.2023);
• адрес места нахождения (по данным ЕГРЮЛ): г. Москва, вн. тер. г. муниципальный округ Коньково, ул. Бутлерова, д. 17, помещ. 95/3;
• адрес сайта в сети Интернет: https://orphagenex.ru (далее — Сайт);
• адрес электронной почты для обращений по вопросам обработки персональных данных: mail@orphagenex.ru;
• регистрационный номер в реестре операторов, осуществляющих обработку персональных данных (Роскомнадзор): [указать после регистрации].

1.3.Политика распространяется на все персональные данные, которые Оператор получает: через Сайт (формы обратной связи, анкеты пациентов и специалистов, формы подписки на информационные сообщения); по электронной почте и телефону; при личном взаимодействии, в том числе на мероприятиях; от ПАО «Артген» и иных лиц в случаях, предусмотренных Политикой и законом.

1.4.Политика является общедоступным документом. Действующая редакция размещена на Сайте по адресу http://orphagenex.ru/policy. Оператор обеспечивает возможность ознакомления с Политикой до начала обработки персональных данных, в том числе до заполнения любой формы на Сайте. По запросу субъекта Политика предоставляется на бумажном носителе или в форме электронного документа.

1.5.Оператор вправе изменять Политику. Новая редакция вступает в силу с даты её размещения на Сайте, если в ней не указано иное. Ранее полученные согласия сохраняют силу; субъект персональных данных вправе отозвать согласие в порядке раздела 7 Политики.

1.6.Политика обязательна для всех работников Оператора, имеющих доступ к персональным данным, и доводится до них под подпись. Работники, допущенные к обработке персональных данных, подписывают обязательство о неразглашении.

1.7.Основные понятия используются в значениях, установленных статьёй 3 Закона о персональных данных. В частности:

• персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
• обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
• специальные категории персональных данных — персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни. В деятельности Оператора к ним относятся сведения о состоянии здоровья пациентов (диагноз, результаты обследований, получаемая терапия и т. п.);
• предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц;
• распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц; Оператор распространение персональных данных не осуществляет;
• блокирование — временное прекращение обработки (за исключением случаев, когда обработка необходима для уточнения персональных данных);
• уничтожение — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются материальные носители персональных данных;
• обезличивание — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту;
• информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• пациент — физическое лицо, у которого диагностировано или предполагается заболевание, относящееся к области разработок Оператора, а также законный представитель такого лица, обратившийся к Оператору в его интересах;
• специалист — медицинский, научный или иной работник (врач, исследователь, представитель медицинской, научной или пациентской организации), взаимодействующий с Оператором в профессиональном качестве;
• клиническое исследование (КИ) — клиническое исследование лекарственного препарата в значении Федерального закона от 12.04.2010 № 61-ФЗ «Об обращении лекарственных средств», в том числе наблюдательное (обсервационное, неинтервенционное) исследование.

2. Правовые основания обработки персональных данных

2.1.Оператор обрабатывает персональные данные на основании и в соответствии со следующими нормативными правовыми актами:

• Конституция Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон от 12.04.2010 № 61-ФЗ «Об обращении лекарственных средств» (в части организации и проведения клинических исследований лекарственных препаратов);
• Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
• Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» (в части распространения сообщений по сетям электросвязи);
• Гражданский кодекс Российской Федерации;
• Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• Приказ Роскомнадзора от 28.10.2022 № 178 «Об утверждении Требований к оценке вреда, который может быть причинён субъектам персональных данных в случае нарушения Федерального закона «О персональных данных»;
• Приказ Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных»;
• устав Оператора, настоящая Политика и иные локальные нормативные акты Оператора в области обработки и защиты персональных данных.

2.2.Правовыми основаниями (условиями) обработки конкретных персональных данных являются:

• согласие субъекта персональных данных на обработку его персональных данных (п. 1 ч. 1 ст. 6 Закона о персональных данных), а в отношении сведений о состоянии здоровья — согласие, данное в письменной форме либо в форме электронного документа, подписанного электронной подписью (п. 1 ч. 2 ст. 10, ч. 4 ст. 9 Закона о персональных данных);
• необходимость обработки для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством на Оператора функций, полномочий и обязанностей (п. 2 ч. 1 ст. 6) — в части исполнения обязанностей перед уполномоченными государственными органами и рассмотрения обращений субъектов персональных данных;
• необходимость обработки для осуществления прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта персональных данных (п. 7 ч. 1 ст. 6) — в части обеспечения безопасности и работоспособности Сайта, а также защиты прав Оператора в претензионном и судебном порядке;
• договор, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (п. 5 ч. 1 ст. 6), — в случае заключения такого договора.

2.3.Оператор не обрабатывает персональные данные, разрешённые субъектом для распространения (ст. 10.1 Закона о персональных данных), биометрические персональные данные (ст. 11) и сведения о судимости. Специальные категории персональных данных (сведения о состоянии здоровья) обрабатываются исключительно в объёме и на условиях, указанных в разделах 3 и 5 Политики.

2.4.Оператор не обрабатывает персональные данные для целей, не указанных в разделе 3 Политики, без получения отдельного согласия субъекта либо иного законного основания.

3. Цели обработки, категории субъектов, перечень персональных данных и сроки обработки

3.1.Оператор обрабатывает персональные данные только для конкретных, заранее определённых и законных целей, перечисленных в таблице ниже. Объём и содержание обрабатываемых данных соответствуют заявленным целям; избыточные данные не запрашиваются.

3.2.Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных (ст. 16 Закона о персональных данных).

3.3.Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путём прямых контактов с субъектом с помощью средств связи осуществляется только при условии предварительного согласия субъекта (ч. 1 ст. 15 Закона о персональных данных). Такое согласие выражается отдельной отметкой в форме на Сайте и может быть отозвано в любой момент, в том числе по ссылке в полученном сообщении.

3.4.Информирование пациентов и специалистов о ходе разработки и о планируемых клинических исследованиях носит информационный характер, не является приглашением к участию в клиническом исследовании и не влечёт включение субъекта в исследование. Решение об участии принимается субъектом отдельно, в медицинской организации, проводящей исследование, после подписания информированного добровольного согласия в порядке, установленном Федеральным законом № 61-ФЗ. Персональные данные, полученные Оператором, не передаются исследовательским центрам без отдельного согласия субъекта.

3.5.Персональные данные несовершеннолетних и лиц, признанных недееспособными, обрабатываются только на основании согласия их законных представителей (ч. 6 ст. 9 Закона о персональных данных). Лицо, сообщающее Оператору персональные данные пациента, подтверждает наличие у него полномочий законного представителя либо согласия пациента.

4. Принципы обработки персональных данных

4.1.Обработка персональных данных осуществляется Оператором на законной и справедливой основе и ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка, несовместимая с целями сбора.

4.2.Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

4.3.Обработке подлежат только персональные данные, которые отвечают целям их обработки. Содержание и объём обрабатываемых данных соответствуют заявленным целям; избыточность не допускается.

4.4.Оператор обеспечивает точность, достаточность и, где это необходимо, актуальность персональных данных, принимает меры по удалению или уточнению неполных или неточных данных.

4.5.Хранение персональных данных осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки; по достижении целей или при утрате необходимости в их достижении данные уничтожаются или обезличиваются.

5. Порядок и условия обработки персональных данных

5.1.Способы обработки. Оператор осуществляет смешанную обработку персональных данных: с использованием средств автоматизации (ИСПДн Оператора, Сайт, системы управления контактами (CRM), корпоративная электронная почта, средства телефонии и рассылки) и без использования средств автоматизации (документы на бумажных носителях). Обработка ведётся с передачей информации по внутренней сети Оператора и по информационно-телекоммуникационной сети Интернет.

5.2.Действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) — исключительно лицам и в объёме, указанным в п. 5.6 и 5.7, обезличивание, блокирование, удаление, уничтожение. Распространение персональных данных (раскрытие неопределённому кругу лиц) не осуществляется.

5.3.Источники получения. Персональные данные получаются непосредственно от субъектов (или их законных представителей) через формы на Сайте, по электронной почте, по телефону, при личном взаимодействии, а также от ПАО «Артген» в рамках группы компаний при наличии у ПАО «Артген» законного основания для такой передачи. Оператор не получает персональные данные из общедоступных источников и не приобретает базы данных.

5.4.Получение согласия. До заполнения любой формы на Сайте субъекту обеспечивается возможность ознакомиться с Политикой и с текстом соответствующего согласия. Согласие на обработку персональных данных оформляется отдельно от иных документов и отметок (ч. 1 ст. 9 Закона о персональных данных): отметка о согласии не проставляется по умолчанию и не объединяется с отметкой об ознакомлении с Политикой, с согласием на получение информационных сообщений или с иными условиями. Обязанность доказать получение согласия лежит на Операторе; Оператор фиксирует дату, время, способ подтверждения согласия и версию его текста.

5.5.Локализация. Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных). Сайт, ИСПДн и сервисы, используемые для обработки, размещены на серверах, расположенных в Российской Федерации. Трансграничная передача персональных данных не осуществляется.

5.6.Передача персональных данных ПАО «Артген».

5.6.1.Оператор передаёт (предоставляет) персональные данные Публичному акционерному обществу «Артген биотех» (сокращённое наименование — ПАО «Артген»; ОГРН 1037789001315, ИНН 7702508905, КПП 773601001; адрес места нахождения: 119333, г. Москва, вн. тер. г. муниципальный округ Гагаринский, ул. Губкина, д. 3, к. 1, помещ. 1/1; сайт: artgen.ru; далее — ПАО «Артген») — головной компании биотехнологической группы Artgen Biotech, в экосистему которой входит Оператор и совместно с которой реализуются программы разработки. Передача осуществляется только на основании согласия субъекта, в котором ПАО «Артген» прямо названо получателем данных.

5.6.2.Цели передачи: координация программ разработки и клинических исследований в рамках группы компаний; централизованное информирование пациентов и специалистов о ходе разработки и планируемых исследованиях; анализ заинтересованности в разрабатываемых продуктах; корпоративная отчётность (в агрегированной или обезличенной форме, где это возможно).

5.6.3.Объём передаваемых данных не превышает объёма, указанного в согласии субъекта. Сведения о состоянии здоровья передаются только при наличии в согласии прямого указания на такую передачу.

5.6.4.ПАО «Артген» обрабатывает полученные персональные данные [вариант А: как самостоятельный оператор в соответствии с собственной политикой обработки персональных данных, размещённой на сайте artgen.ru] [вариант Б: по поручению Оператора на основании договора, содержащего условия, предусмотренные ч. 3 ст. 6 Закона о персональных данных]. В любом случае ПАО «Артген» обязано соблюдать конфиденциальность и обеспечивать безопасность персональных данных, а также прекратить обработку при отзыве субъектом согласия.

5.7.Поручение обработки третьим лицам. Оператор вправе поручить обработку персональных данных лицам, оказывающим ему услуги хостинга, технической поддержки Сайта и ИСПДн, электронных рассылок, телефонии и ведения базы контактов. Сайт размещён на платформе Tilda Publishing, принадлежащей Акционерному обществу «Тильда Паблишинг» (ОГРН 1247700830354, ИНН 9707041449; адрес: 107031, г. Москва, вн. тер. г. муниципальный округ Тверской, ул. Петровские Линии, д. 2, помещ. 4/1); сведения, введённые в формы Сайта, обрабатываются платформой по поручению Оператора и хранятся на серверах, расположенных в Российской Федерации. Иные обработчики: [наименование, ОГРН, адрес — при подключении CRM, сервиса рассылок, телефонии]. Поручение оформляется договором, в котором определены перечень действий, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность персональных данных, требования к защите, обязанность уведомлять Оператора об инцидентах и обязанность соблюдать требования ч. 5 ст. 18 Закона (ч. 3 ст. 6 Закона о персональных данных). Ответственность перед субъектом за действия обработчика несёт Оператор; обработчик несёт ответственность перед Оператором. Актуальный перечень обработчиков указывается в тексте согласия и предоставляется субъекту по запросу.

5.8.Иная передача. Персональные данные могут быть предоставлены уполномоченным государственным органам (Роскомнадзор, суд, органы прокуратуры, правоохранительные органы) только в случаях и в порядке, предусмотренных законом, на основании мотивированного запроса. Медицинским организациям и исследовательским центрам данные передаются только по отдельному согласию субъекта. Оператор не продаёт персональные данные и не передаёт их третьим лицам для рекламных целей таких лиц.

5.9.Конфиденциальность. Оператор и лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом (ст. 7 Закона о персональных данных). Доступ к персональным данным имеют только работники Оператора, которым это необходимо для выполнения должностных обязанностей, в объёме, определённом перечнем допущенных лиц.

5.10.Особенности обработки специальных категорий персональных данных. Сведения о состоянии здоровья обрабатываются только: (а) на основании согласия в письменной форме либо в форме электронного документа, подписанного электронной подписью; (б) в объёме, который субъект сообщил добровольно, при этом указание диагноза и иных сведений о здоровье не является обязательным условием обращения к Оператору; (в) в отдельном сегменте ИСПДн с ограниченным доступом; (г) без передачи третьим лицам, кроме случаев, прямо указанных в согласии. По достижении целей такие сведения уничтожаются или обезличиваются в первоочередном порядке.

5.11.Файлы cookie и веб-аналитика. Сайт использует файлы cookie и аналогичные технологии: технически необходимые (обеспечивают работу Сайта и его форм на платформе Tilda) и аналитические — сервис веб-аналитики «Яндекс Метрика» (ООО «Яндекс», серверы которого находятся на территории Российской Федерации), собирающий статистику посещений: просмотренные страницы, источник перехода, тип устройства и браузера, приблизительный регион, идентификаторы cookie сервиса. Данные веб-аналитики используются в обезличенной и агрегированной форме и не объединяются с данными анкет пациентов и специалистов. Аналитические cookie устанавливаются только после согласия пользователя, выраженного через cookie-баннер. Пользователь вправе отказаться от cookie или удалить их в настройках браузера, а также отключить сбор данных сервисом «Яндекс Метрика» с помощью инструментов, опубликованных на сайте yandex.ru; при отключении технически необходимых cookie часть функций Сайта может быть недоступна. Сервисы веб-аналитики, серверы которых находятся за пределами Российской Федерации, Оператором не используются.

5.12.Актуализация персональных данных. Субъект вправе в любое время сообщить Оператору об изменении своих данных; Оператор вносит уточнения на основании заявления субъекта либо документов, представленных законным представителем. Оператор не реже одного раза в [год] проверяет актуальность данных, необходимых для информирования, и уничтожает данные, необходимость в которых отпала.

6. Права субъектов персональных данных и порядок их реализации

6.1.Субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных, в объёме, предусмотренном ч. 7 ст. 14 Закона о персональных данных (подтверждение факта обработки, правовые основания и цели, способы обработки, наименование и адрес Оператора, сведения о лицах, имеющих доступ к данным, перечень обрабатываемых данных и источник их получения, сроки обработки и хранения, порядок осуществления прав, сведения об осуществлённой или предполагаемой трансграничной передаче, наименование лица, осуществляющего обработку по поручению);
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• требовать прекращения обработки персональных данных;
• отказаться от получения информационных сообщений;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда.

6.2.Порядок направления запроса. Запрос направляется Оператору:

• в письменной форме почтовым отправлением по адресу места нахождения Оператора, указанному в п. 1.2 Политики;
• в форме электронного документа на адрес электронной почты mail@orphagenex.ru. Запрос, направленный с адреса электронной почты или с номера телефона, указанных субъектом при предоставлении согласия, рассматривается как поступивший от субъекта; при наличии сомнений Оператор вправе запросить дополнительное подтверждение личности.

6.3.Содержание запроса (ч. 3 ст. 14 Закона о персональных данных): фамилия, имя, отчество субъекта; номер основного документа, удостоверяющего личность, сведения о дате его выдачи и выдавшем органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (дата и способ обращения, адрес электронной почты или номер телефона, указанные при предоставлении данных), либо иные сведения, подтверждающие факт обработки; подпись субъекта или его представителя (для электронного документа — электронная подпись либо направление с подтверждённого контакта). Запрос представителя дополнительно содержит реквизиты документа, подтверждающего полномочия.

6.4.Сроки. Оператор сообщает субъекту запрашиваемую информацию либо предоставляет мотивированный отказ в течение 10 (десяти) рабочих дней с даты получения запроса. Срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением субъекту мотивированного уведомления (ч. 7 ст. 14, ч. 1 ст. 20 Закона о персональных данных). Повторный запрос по тому же вопросу может быть направлен не ранее чем через 30 (тридцать) дней после первоначального, если более короткий срок не установлен законом или договором.

6.5.Уточнение и блокирование. При обращении субъекта или при выявлении неточности Оператор блокирует соответствующие данные на период проверки (если блокирование не нарушает права субъекта или третьих лиц) и в течение 7 (семи) рабочих дней с даты представления субъектом или его представителем сведений, подтверждающих неполноту, неточность или неактуальность данных, вносит необходимые изменения (ч. 2 ст. 21).

6.6.Оператор ведёт учёт обращений субъектов персональных данных в журнале учёта обращений и информирует ПАО «Артген» и обработчиков о требованиях субъекта, подлежащих исполнению ими.

7. Отзыв согласия, прекращение обработки и уничтожение персональных данных

7.1.Отзыв согласия. Субъект вправе в любой момент отозвать согласие на обработку персональных данных, направив заявление в порядке, указанном в п. 6.2 Политики. В заявлении указываются фамилия, имя, отчество, контактные данные, указанные при предоставлении согласия, и требование о прекращении обработки. Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 (тридцати) дней с даты поступления отзыва, если иной срок не установлен договором или законом (ч. 5 ст. 21). Об исполнении отзыва Оператор уведомляет субъекта по указанным им контактам.

7.2.Отказ от информационных сообщений (по ссылке в сообщении, ответным сообщением или заявлением) прекращает направление сообщений не позднее [3 (трёх) рабочих дней] и не требует прекращения обработки контактных данных для иных целей, если субъект не заявил об отзыве согласия в целом.

7.3.Достижение целей. По достижении целей обработки, а также при утрате необходимости в их достижении (в том числе при завершении соответствующей программы разработки или клинического исследования) Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 (тридцати) дней (ч. 4 ст. 21).

7.4.Неправомерная обработка. При выявлении неправомерной обработки Оператор прекращает её в срок, не превышающий 3 (трёх) рабочих дней, а если обеспечить правомерность невозможно — уничтожает данные в срок, не превышающий 10 (десяти) рабочих дней с даты выявления, и уведомляет об этом субъекта, а в случае обращения субъекта или Роскомнадзора — также Роскомнадзор (ч. 3 ст. 21).

7.5.Требование о прекращении обработки. При получении требования субъекта о прекращении обработки Оператор прекращает обработку (или обеспечивает её прекращение обработчиком) в срок, не превышающий 10 (десяти) рабочих дней с даты получения требования; срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением мотивированного уведомления (ч. 5.1 ст. 21).

7.6.Продолжение обработки без согласия. Оператор вправе продолжить обработку без согласия субъекта после его отзыва только при наличии оснований, предусмотренных п. 2–11 ч. 1 ст. 6 и ч. 2 ст. 10 Закона о персональных данных (в частности, для исполнения требований закона или защиты прав Оператора в суде), уведомив об этом субъекта с указанием основания и срока обработки. В этом случае данные блокируются для иных целей.

7.7.Порядок уничтожения. Уничтожение персональных данных осуществляется способом, исключающим возможность восстановления. Факт уничтожения подтверждается в соответствии с приказом Роскомнадзора от 28.10.2022 № 179: при обработке без использования средств автоматизации — актом об уничтожении; при автоматизированной обработке — выгрузкой из журнала регистрации событий ИСПДн; при смешанной обработке — актом и выгрузкой. Акты и выгрузки хранятся 3 (три) года. При уничтожении данных Оператор направляет соответствующее требование ПАО «Артген» и обработчикам.

7.8.Обезличивание. Вместо уничтожения Оператор вправе обезличить персональные данные в порядке, установленном Правительством Российской Федерации, с целью использования обезличенных данных для статистики и анализа потребности в разрабатываемых продуктах. Обезличенные данные не позволяют определить субъекта без дополнительной информации и не подлежат обратной идентификации.

8. Меры по обеспечению безопасности персональных данных

8.1.Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для выполнения обязанностей, предусмотренных ст. 18.1 и 19 Закона о персональных данных, в том числе:

• назначен ответственный за организацию обработки персональных данных: [должность, ФИО, контакт];
• изданы локальные акты: настоящая Политика, положение об обработке и защите персональных данных, перечень лиц, допущенных к обработке, инструкции по работе с ИСПДн, порядок реагирования на инциденты, обязательства работников о неразглашении;
• проведена оценка вреда, который может быть причинён субъектам в случае нарушения Закона (приказ Роскомнадзора от 28.10.2022 № 178), с учётом обработки сведений о состоянии здоровья;
• определены актуальные угрозы безопасности и уровень защищённости ИСПДн (постановление Правительства РФ № 1119), реализованы организационные и технические меры в соответствии с приказом ФСТЭК России № 21;
• применяются разграничение и учёт доступа, парольная политика, антивирусная защита, резервное копирование, регистрация событий безопасности, шифрование при передаче данных через Сайт (протокол HTTPS), сертифицированные средства защиты информации там, где это требуется;
• сведения о состоянии здоровья хранятся в отдельном сегменте ИСПДн с доступом ограниченного круга работников;
• ведётся учёт материальных носителей; бумажные документы хранятся в запираемых шкафах в помещениях с ограниченным доступом;
• проводятся обучение работников и внутренний контроль соответствия обработки требованиям Закона (не реже одного раза в год);
• обеспечивается восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
• в договоры с ПАО «Артген» и обработчиками включены условия о конфиденциальности, защите данных и уведомлении об инцидентах.

8.2.Инциденты. При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор в течение 24 часов уведомляет Роскомнадзор о произошедшем инциденте, его предполагаемых причинах и вреде, а также о принятых мерах, и в течение 72 часов — о результатах внутреннего расследования с указанием лиц, действия которых стали причиной инцидента (ч. 3.1 ст. 21). Оператор взаимодействует с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) в установленном порядке.

8.3.Обезличенные данные. По запросу Минцифры России Оператор передаёт обезличенные персональные данные в государственную информационную систему в порядке и сроки, установленные законодательством (ст. 13.1 Закона о персональных данных), с соблюдением требований к обезличиванию.

9. Заключительные положения

9.1.Политика действует бессрочно до её замены новой редакцией. Пересмотр Политики проводится при изменении законодательства, целей или способов обработки, состава получателей данных, а также по результатам внутреннего контроля, но не реже одного раза в [год].

9.2.По вопросам обработки персональных данных субъекты вправе обращаться к Оператору по адресу электронной почты mail@orphagenex.ru или по почтовому адресу, указанному в п. 1.2 Политики. Уполномоченный орган по защите прав субъектов персональных данных — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор): 109992, г. Москва, Китайгородский пр., д. 7, стр. 2; rkn.gov.ru.

9.3.Лица, виновные в нарушении требований Закона о персональных данных, несут дисциплинарную, гражданско-правовую, административную (ст. 13.11 КоАП РФ) и уголовную (ст. 137, 272.1 УК РФ) ответственность.

9.4.Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации. В случае противоречия между Политикой и законом применяются нормы закона.