Политика конфиденциальности и
обработки персональных данных
обработки персональных данных
Общество с ограниченной ответственностью «Институт геномного анализа»
1. Общие положения
1.1. Данная Политика конфиденциальности и обработки персональных данных (далее – «Политика») определяет порядок обработки персональных данных и меры по обеспечению конфиденциальности безопасности и защиты персональных данных в Общество ограниченной ответственностью «Институт Геномного Анализа» (ООО «ИГА», ОГРН 1167746592529, далее – «Оператор»).
1.2. Обработка персональных данных осуществляется в соответствии с положениями Федерального закона №152-ФЗ «О персональных данных» от 27.07.2006 г. и иными нормативно-правовыми актами Российской Федерации в области персональных данных.
1.3. Оператор осуществляет научно-исследовательскую деятельность в сфере геномных данных и обеспечивает пользователям (неопределенному кругу лиц) возможность пользоваться веб-сайтом Оператора (https://igenome.ru/, «Сайт»), в том числе путем регистрации собственной учетной записи (для доступа в Личный кабинета Сайте) для выбора и заказа услуг (предоставляемых как самостоятельно Оператором, так и третьими лицами, действующими на основании соглашений с Оператором).
1.4. Пользуясь Сайтом Оператора и(или) вступая в любые договорные отношения с Оператором, Субъект соглашается с настоящей Политикой.
1.5. В случае несогласия с условиями настоящей Политики Субъект должен прекратить использование Сайта, а также отказаться от заключения с Оператором каких-либо договоров и соглашений.
1.6. В соответствии с Правилами оказания услуг Оператора при вступлении в договорные отношения с Оператором Субъект собственноручно подписывает и передает Оператору Информированное добровольное согласие,подтверждающее, что Субъект ознакомлен с Правилами оказания услуг и предполагаемыми направлениями использования его Персональных данных в ходе и в результате оказания услуг Оператором. Подписание такого Информированного добровольного согласия является обязательным условием для оказания услуг Оператором.
1.7. Цели обработки персональных данных:
1.7.1. Идентификация субъекта персональных данных;
1.7.2. Взаимодействие с субъектом персональных данных, в том числе направление Оператором уведомлений, запросов и информации, касающихся услуг Оператора, а также обработка запросов и заявок, поступающих от Субъекта;
1.7.3. Заключение и исполнение соглашений на оказание Оператором услуг в сфере научных исследований.
1.7.4. Совершенствование Сайта,Личного кабинета и Услуг, предоставляемых Оператором.
1.7.5. Формирование массивов обезличенных данных для целей научных исследований, в том числе осуществляемых на коммерческой основе.
1.7.6. Подготовка и публикаций научных статей в официальных изданиях (печатных и/или электронных).
Под обработкой персональных данных Оператором понимается действие (операция) или совокупность действий (операций) с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
1.9. Виды Персональных данных, обработка которых осуществляется Оператором
1.9.1. Оператор может собирать следующие категории Персональных данных:
1.9.1.1. Персональная информация, предоставленная Субъектом при регистрации на веб-сайте Оператора (создании учетной записи для входа в Личный кабинет), включающая в себя следующие данные Субъекта: имя, фамилия, пол, возраст, дата рождения, адрес электронной почты, номер телефона, адрес регистрации по месту жительства, почтовый адрес;
1.9.1.2. Электронные данные (HTTP-заголовки, IP-адрес, файлы cookie, веб-маяки/пиксельные теги, данные об идентификаторе браузера, информация об аппаратном и программном обеспечении, используемом Субъектом);
1.9.1.3. Дата и время осуществления доступа к Сайту и/или Личному кабинету;
1.9.1.4. Информация об активности Пользователя во время использования Сайта и/или Личного кабинета (например: история просмотра отдельных страниц (разделов) Сайта);
1.9.1.5. Информация о геолокации;
1.9.1.6. Информация, предоставленная Пользователями при заполнении (в Личном кабинете) опросников, необходимых для оказания Услуг, в том числе чувствительная Персональная информация, такая как информация о здоровье, происхождении, и биометрические данные.
1.9.1.7. Данные о Субъекте, полученные в ходе оказания услуг Оператором (самостоятельно и/или с привлечением третьих лиц), включающие в себя, в том числе, геномные данные Субъекта, полученные в ходе секвенирования образцов ДНК Субъекта
1.9.1.8. Иная информация о Пользователе, необходимая для обработки в соответствии с Правилами оказания услуг Оператора;
1.9.1.9. Информация о Пользователях, которую ООО «ИГА» может получать от своих Партнеров в соответствии с условиями соглашений, заключенных между Пользователями и соответствующим Партнером, и соглашений, заключенных между ООО «ИГА» и Партнером.
1.1. Данная Политика конфиденциальности и обработки персональных данных (далее – «Политика») определяет порядок обработки персональных данных и меры по обеспечению конфиденциальности безопасности и защиты персональных данных в Общество ограниченной ответственностью «Институт Геномного Анализа» (ООО «ИГА», ОГРН 1167746592529, далее – «Оператор»).
1.2. Обработка персональных данных осуществляется в соответствии с положениями Федерального закона №152-ФЗ «О персональных данных» от 27.07.2006 г. и иными нормативно-правовыми актами Российской Федерации в области персональных данных.
1.3. Оператор осуществляет научно-исследовательскую деятельность в сфере геномных данных и обеспечивает пользователям (неопределенному кругу лиц) возможность пользоваться веб-сайтом Оператора (https://igenome.ru/, «Сайт»), в том числе путем регистрации собственной учетной записи (для доступа в Личный кабинета Сайте) для выбора и заказа услуг (предоставляемых как самостоятельно Оператором, так и третьими лицами, действующими на основании соглашений с Оператором).
1.4. Пользуясь Сайтом Оператора и(или) вступая в любые договорные отношения с Оператором, Субъект соглашается с настоящей Политикой.
1.5. В случае несогласия с условиями настоящей Политики Субъект должен прекратить использование Сайта, а также отказаться от заключения с Оператором каких-либо договоров и соглашений.
1.6. В соответствии с Правилами оказания услуг Оператора при вступлении в договорные отношения с Оператором Субъект собственноручно подписывает и передает Оператору Информированное добровольное согласие,подтверждающее, что Субъект ознакомлен с Правилами оказания услуг и предполагаемыми направлениями использования его Персональных данных в ходе и в результате оказания услуг Оператором. Подписание такого Информированного добровольного согласия является обязательным условием для оказания услуг Оператором.
1.7. Цели обработки персональных данных:
1.7.1. Идентификация субъекта персональных данных;
1.7.2. Взаимодействие с субъектом персональных данных, в том числе направление Оператором уведомлений, запросов и информации, касающихся услуг Оператора, а также обработка запросов и заявок, поступающих от Субъекта;
1.7.3. Заключение и исполнение соглашений на оказание Оператором услуг в сфере научных исследований.
1.7.4. Совершенствование Сайта,Личного кабинета и Услуг, предоставляемых Оператором.
1.7.5. Формирование массивов обезличенных данных для целей научных исследований, в том числе осуществляемых на коммерческой основе.
1.7.6. Подготовка и публикаций научных статей в официальных изданиях (печатных и/или электронных).
Под обработкой персональных данных Оператором понимается действие (операция) или совокупность действий (операций) с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
1.9. Виды Персональных данных, обработка которых осуществляется Оператором
1.9.1. Оператор может собирать следующие категории Персональных данных:
1.9.1.1. Персональная информация, предоставленная Субъектом при регистрации на веб-сайте Оператора (создании учетной записи для входа в Личный кабинет), включающая в себя следующие данные Субъекта: имя, фамилия, пол, возраст, дата рождения, адрес электронной почты, номер телефона, адрес регистрации по месту жительства, почтовый адрес;
1.9.1.2. Электронные данные (HTTP-заголовки, IP-адрес, файлы cookie, веб-маяки/пиксельные теги, данные об идентификаторе браузера, информация об аппаратном и программном обеспечении, используемом Субъектом);
1.9.1.3. Дата и время осуществления доступа к Сайту и/или Личному кабинету;
1.9.1.4. Информация об активности Пользователя во время использования Сайта и/или Личного кабинета (например: история просмотра отдельных страниц (разделов) Сайта);
1.9.1.5. Информация о геолокации;
1.9.1.6. Информация, предоставленная Пользователями при заполнении (в Личном кабинете) опросников, необходимых для оказания Услуг, в том числе чувствительная Персональная информация, такая как информация о здоровье, происхождении, и биометрические данные.
1.9.1.7. Данные о Субъекте, полученные в ходе оказания услуг Оператором (самостоятельно и/или с привлечением третьих лиц), включающие в себя, в том числе, геномные данные Субъекта, полученные в ходе секвенирования образцов ДНК Субъекта
1.9.1.8. Иная информация о Пользователе, необходимая для обработки в соответствии с Правилами оказания услуг Оператора;
1.9.1.9. Информация о Пользователях, которую ООО «ИГА» может получать от своих Партнеров в соответствии с условиями соглашений, заключенных между Пользователями и соответствующим Партнером, и соглашений, заключенных между ООО «ИГА» и Партнером.
2. Принципы и условия обработки персональных данных
2.1. Обработка персональных данных осуществляется Оператором на основе следующих принципов:
2.1.1. Законности и обязательного получения согласия субъекта персональных данных в предусмотренных законом случаях;
2.1.2. Ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
2.1.3. Недопущения обработки персональных данных, несовместимой с целями сбора персональных данных;
2.1.4. Недопущения объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
2.1.5. Обработки только тех персональных данных, которые отвечают целям их обработки;
2.1.6. Соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки;
2.1.7. Недопущения обработки персональных данных, избыточных по отношению к заявленным целям их обработки; обеспечения точности, достаточности и актуальности персональных данных по отношению к целям обработки персональных данных;
2.1.8. Уничтожения либо обезличивания персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
2.2. Оператор производит обработку персональных данных с согласия Субъекта персональных данных на обработку его персональных данных; такое согласие выражается Субъектом путем использования Сайта Оператора, а также – при вступлении в договорные отношения с Оператором – путем собственноручного подписания Информированного добровольного согласия.
2.3. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.
2.4. Оператор может осуществлять трансграничную передачу персональных данных Субъекта в случае, если иностранным государством, на территорию которого осуществляется передача персональных данных обеспечивается адекватная защита прав субъектов персональных данных. Возможность такой передачи данных предусмотрена Правилами оказания услуг и Информированным добровольным согласием, подписываемым Субъектом при вступлении в договорные отношения с Оператором.
2.5. Оператор вправе поручить обработку персональных данных другому лицу с согласия Субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные законодательством Российской Федерации и настоящей Политикой.
2.1. Обработка персональных данных осуществляется Оператором на основе следующих принципов:
2.1.1. Законности и обязательного получения согласия субъекта персональных данных в предусмотренных законом случаях;
2.1.2. Ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
2.1.3. Недопущения обработки персональных данных, несовместимой с целями сбора персональных данных;
2.1.4. Недопущения объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
2.1.5. Обработки только тех персональных данных, которые отвечают целям их обработки;
2.1.6. Соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки;
2.1.7. Недопущения обработки персональных данных, избыточных по отношению к заявленным целям их обработки; обеспечения точности, достаточности и актуальности персональных данных по отношению к целям обработки персональных данных;
2.1.8. Уничтожения либо обезличивания персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
2.2. Оператор производит обработку персональных данных с согласия Субъекта персональных данных на обработку его персональных данных; такое согласие выражается Субъектом путем использования Сайта Оператора, а также – при вступлении в договорные отношения с Оператором – путем собственноручного подписания Информированного добровольного согласия.
2.3. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.
2.4. Оператор может осуществлять трансграничную передачу персональных данных Субъекта в случае, если иностранным государством, на территорию которого осуществляется передача персональных данных обеспечивается адекватная защита прав субъектов персональных данных. Возможность такой передачи данных предусмотрена Правилами оказания услуг и Информированным добровольным согласием, подписываемым Субъектом при вступлении в договорные отношения с Оператором.
2.5. Оператор вправе поручить обработку персональных данных другому лицу с согласия Субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные законодательством Российской Федерации и настоящей Политикой.
3. Права субъекта персональных данных
3.1. Субъект персональных данных имеет право на получение у Оператора информации, касающейся обработки его персональных данных, если такое право не ограничено в соответствии с федеральными законами.
3.2. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
3.3. Если Субъект персональных данных обоснованно считает, что Оператор осуществляет обработку его персональных данных с нарушением требований законодательства Российской Федерации или иным образом нарушает его права и свободы, Субъект персональных данных вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
3.4. В отношении Субъектов – граждан Европейского Союза (если применимо) Оператор принимает разумно необходимые меры для обеспечения того, чтобы передача данных осуществлялась в соответствии с действующими правилами защиты данных ЕС. В соответствии с GDPR (General Data Protection Regulation), Субъекты – граждане Европейского Союза имеют право на перенос хранимых персональных данных и получение копии хранимых персональных данных.
3.1. Субъект персональных данных имеет право на получение у Оператора информации, касающейся обработки его персональных данных, если такое право не ограничено в соответствии с федеральными законами.
3.2. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
3.3. Если Субъект персональных данных обоснованно считает, что Оператор осуществляет обработку его персональных данных с нарушением требований законодательства Российской Федерации или иным образом нарушает его права и свободы, Субъект персональных данных вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
3.4. В отношении Субъектов – граждан Европейского Союза (если применимо) Оператор принимает разумно необходимые меры для обеспечения того, чтобы передача данных осуществлялась в соответствии с действующими правилами защиты данных ЕС. В соответствии с GDPR (General Data Protection Regulation), Субъекты – граждане Европейского Союза имеют право на перенос хранимых персональных данных и получение копии хранимых персональных данных.
4. Обеспечение безопасности персональных данных
4.1. Безопасность персональных данных, обрабатываемых Оператором, обеспечивается реализацией правовых, организационных и технических мер, необходимых для обеспечения требований законодательства Российской Федерации в области защиты персональных данных.
4.2. Для предотвращения несанкционированного доступа к персональным данным Оператором применяются следующие организационно-технические меры:
4.2.1. Назначение должностных лиц, ответственных за организацию обработки и защиты персональных данных;
4.2.2. Ограничение состава лиц, допущенных к обработке персональных данных;
4.2.3. Ознакомление субъектов с требованиями законодательства и локальных нормативно-правовых актов Оператора по обработке и защите персональных данных;
4.2.4. Организация учета, хранения и обращения носителей, содержащих информацию с персональными данными;
4.2.5. Определение угроз безопасности персональных данных при их обработке, формирование на их основе моделей угроз;
4.2.6. Разработка на основе модели угроз системы защиты персональных данных;
4.2.7. Проверка готовности и эффективности использования средств защиты информации;
4.2.8. Разграничение доступа пользователей к информационным ресурсам и программно-аппаратным средствам обработки информации;
4.2.9. Регистрация и учет действий пользователей информационных систем персональных данных;
4.2.10. Использование антивирусных средств и средств восстановления системы защиты персональных данных;
4.2.11. Применение в необходимых случаях средств межсетевого экранирования, обнаружения вторжений, анализа защищенности и средств криптографической защиты информации;
4.2.12. Использование методов деидентификации в отношении данных Субъекта, полученных в ходе оказания Услуг (хранение массивов обезличенных данных);
4.2.13. Использование методов децентрализованного хранения данных и методов криптографии.
4.1. Безопасность персональных данных, обрабатываемых Оператором, обеспечивается реализацией правовых, организационных и технических мер, необходимых для обеспечения требований законодательства Российской Федерации в области защиты персональных данных.
4.2. Для предотвращения несанкционированного доступа к персональным данным Оператором применяются следующие организационно-технические меры:
4.2.1. Назначение должностных лиц, ответственных за организацию обработки и защиты персональных данных;
4.2.2. Ограничение состава лиц, допущенных к обработке персональных данных;
4.2.3. Ознакомление субъектов с требованиями законодательства и локальных нормативно-правовых актов Оператора по обработке и защите персональных данных;
4.2.4. Организация учета, хранения и обращения носителей, содержащих информацию с персональными данными;
4.2.5. Определение угроз безопасности персональных данных при их обработке, формирование на их основе моделей угроз;
4.2.6. Разработка на основе модели угроз системы защиты персональных данных;
4.2.7. Проверка готовности и эффективности использования средств защиты информации;
4.2.8. Разграничение доступа пользователей к информационным ресурсам и программно-аппаратным средствам обработки информации;
4.2.9. Регистрация и учет действий пользователей информационных систем персональных данных;
4.2.10. Использование антивирусных средств и средств восстановления системы защиты персональных данных;
4.2.11. Применение в необходимых случаях средств межсетевого экранирования, обнаружения вторжений, анализа защищенности и средств криптографической защиты информации;
4.2.12. Использование методов деидентификации в отношении данных Субъекта, полученных в ходе оказания Услуг (хранение массивов обезличенных данных);
4.2.13. Использование методов децентрализованного хранения данных и методов криптографии.
5. Заключительные положения
5.1. Иные права и обязанности Оператора в связи с обработкой персональных данных определяются законодательством Российской Федерации в области персональных данных.
5.2. Оператор имеет право вносить изменения в настоящую Политику. При внесении изменений в актуальной редакции указывается дата последнего обновления. Новая редакция Политики вступает в силу с момента ее размещения на Сайте Оператора, если иное не предусмотрено новой редакцией Политики.
5.3. Работники Оператора, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном законодательством Российской Федерации.
5.4. Для связи с Оператором по вопросам обработки и защиты персональных данных Субъект вправе направлять сообщения на электронный адрес: info@igenome.ru.
5.1. Иные права и обязанности Оператора в связи с обработкой персональных данных определяются законодательством Российской Федерации в области персональных данных.
5.2. Оператор имеет право вносить изменения в настоящую Политику. При внесении изменений в актуальной редакции указывается дата последнего обновления. Новая редакция Политики вступает в силу с момента ее размещения на Сайте Оператора, если иное не предусмотрено новой редакцией Политики.
5.3. Работники Оператора, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном законодательством Российской Федерации.
5.4. Для связи с Оператором по вопросам обработки и защиты персональных данных Субъект вправе направлять сообщения на электронный адрес: info@igenome.ru.