Соглашение об обработке персональных данных

01Стороны и статус документа

Настоящее Соглашение об обработке персональных данных (далее — «DPA») является неотъемлемым приложением к Пользовательскому соглашению (публичной оферте) и регулирует порядок обработки персональных данных пациентов клиники в рамках использования платформы dok.kg.

Клиника, акцептовавшая Пользовательское соглашение, выступает владельцем персональных записей своих пациентов в значении Цифрового кодекса Кыргызской Республики от 31 июля 2025 года № 178 (далее — «Цифровой кодекс») и для целей настоящего DPA именуется «Оператор».

ОсОО «Сандык Диджитал» осуществляет обработку персональных данных пациентов исключительно по поручению и в интересах Клиники в качестве обработчика в значении статьи 86 Цифрового кодекса, в объёме и на условиях, определённых настоящим DPA, и для целей настоящего DPA именуется «Обработчик».

Обработчик обрабатывает персональные данные пациентов на тех же основаниях, что и Оператор (часть 1 статьи 86 Цифрового кодекса), и не приобретает собственных, самостоятельных оснований их обработки. Цели обработки персональных данных пациентов определяет исключительно Оператор; Стороны не являются совместными владельцами персональных записей в значении статьи 87 Цифрового кодекса.

02Предмет DPA

Обработчик обрабатывает персональные данные пациентов Оператора исключительно в целях обеспечения функционирования Платформы: хранение электронных карт пациентов, ведение расписания приёмов, формирование финансовых документов, направление уведомлений пациентам по поручению Оператора и иные операции, прямо предусмотренные функциональностью Платформы.

Обработчик не определяет цели обработки персональных данных пациентов самостоятельно и действует строго в рамках задокументированных распоряжений (инструкций) Оператора, выражаемых через настройку и использование функциональности Платформы, а также через обращения Оператора, направленные способом, предусмотренным разделом 13 настоящего DPA.

Обработка осуществляется в течение всего срока действия Пользовательского соглашения и в сроки, предусмотренные разделом 11 настоящего DPA. Настоящий раздел совместно с разделами 3 и 11 определяет период обработки, её характер и цели, а также требование обработки исключительно по задокументированным распоряжениям Оператора (пункты 1, 2 и 4 части 4 статьи 86 Цифрового кодекса).

03Категории субъектов и персональных данных

Субъекты персональных данных: пациенты Клиники, их законные представители.

Категории обрабатываемых данных: фамилия, имя, отчество, дата рождения, пол, контактные данные (телефон, адрес электронной почты), адрес проживания; сведения о состоянии здоровья, диагнозах, назначениях и ходе лечения (специальная категория персональных данных); сканы документов, удостоверяющих личность, сканы информированных согласий и электронные подписи; сведения об оплате оказанных услуг.

04Обязанности Оператора (Клиники)

Оператор гарантирует, что:

• обладает предусмотренным Цифровым кодексом (статьи 78–91) законным основанием для обработки персональных данных пациентов, вносимых им в Платформу;
• в отношении данных о состоянии здоровья обладает основанием, предусмотренным частью 2 статьи 80 Цифрового кодекса, — в частности, пунктом 5 (обработка лицом, профессионально занимающимся медицинской деятельностью и обязанным хранить врачебную тайну) и (или) пунктом 1 (обработка необходима для заключения и исполнения договора, стороной которого является пациент). Стороны исходят из того, что согласие пациента само по себе не входит в перечень оснований обработки данных о состоянии здоровья, установленный частью 2 статьи 80 Цифрового кодекса;
• получает согласия пациентов в тех случаях, когда согласие требуется законом, — в частности, на трансграничную передачу персональных данных (пункт 1 части 4 статьи 89 Цифрового кодекса, раздел 8 настоящего DPA), на направление напоминаний, информационных и рекламных сообщений, а также на иные цели, не связанные непосредственно с оказанием медицинской помощи;
• оформляет такие согласия с соблюдением частей 3–5 статьи 79 Цифрового кодекса: согласие выделено из иных запросов, изложено простым и понятным языком и не запрашивается в тех случаях, когда обработка осуществляется на ином законном основании;
• в отношении пациентов, не достигших 14 лет, получает согласие законного представителя, а в отношении пациентов, достигших 14 лет, — их собственное согласие (статья 81 Цифрового кодекса), и обеспечивает, чтобы медицинские данные ребёнка обрабатывались в целях диагностики и лечения исключительно лицензированными медицинскими работниками, обязанными хранить врачебную тайну;
• самостоятельно определяет состав Персонала клиники, имеющего доступ к персональным данным пациентов, и несёт ответственность за соблюдение им требований конфиденциальности и врачебной тайны;
• своевременно информирует Обработчика об отзыве согласия пациента или ином законном требовании, влекущем необходимость прекращения обработки, ограничения доступа или удаления данных конкретного пациента (раздел 6 настоящего DPA).

05Обязанности Обработчика: меры защиты

Обработчик обязуется применять следующие технические и организационные меры защиты персональных данных пациентов:

• шифрование — файлы пациентов (медицинские документы, сканы согласий, электронные подписи) хранятся в зашифрованном виде; ключи шифрования недоступны напрямую через веб-интерфейс Платформы;
• изоляция данных — данные каждой Клиники хранятся в отдельной, логически изолированной базе данных, недоступной другим клиникам Платформы;
• контроль доступа — доступ Персонала клиники к данным пациентов разграничен по ролям (RBAC); учётные записи с расширенными правами защищены обязательной двухфакторной аутентификацией;
• ограничение доступа на стороне Обработчика — доступ работников Обработчика к персональным данным пациентов предоставляется только в объёме, необходимом для технической поддержки Платформы и устранения неисправностей, и фиксируется в аудит-логе (пункт 5 части 4 статьи 86 Цифрового кодекса);
• журналирование — действия с чувствительными данными пациентов фиксируются в аудит-логе, доступном Оператору для целей контроля (раздел 10 настоящего DPA);
• резервное копирование — резервные копии создаются регулярно и хранятся в зашифрованном виде.

Обязательства работников Обработчика. Работники Обработчика, а также иные лица, получающие доступ к информационным системам Обработчика, связаны письменными обязательствами о неразглашении и допускаются к персональным данным пациентов только после их принятия. Сведения о факте обращения за медицинской помощью, состоянии здоровья, диагнозе и иные сведения, полученные при обработке данных пациентов Оператора, составляют врачебную тайну. Указанные лица, которым такие сведения стали известны при исполнении своих обязанностей, обязаны хранить врачебную тайну и несут ответственность за её разглашение наравне с медицинскими работниками — в соответствии с частями 2 и 6 статьи 169 Закона Кыргызской Республики от 12 января 2024 года № 14 «Об охране здоровья граждан в Кыргызской Республике». Аналогичные обязательства Обработчик возлагает на суб-обработчиков (раздел 7 настоящего DPA).

Обработчик не вправе обрабатывать персональные данные пациентов в целях, не связанных с исполнением Пользовательского соглашения, передавать их третьим лицам помимо суб-обработчиков, указанных в разделе 7, либо использовать их в собственных маркетинговых или аналитических целях.

06Права пациентов и исполнение распоряжений Оператора

Обращения пациентов, связанные с реализацией их прав (доступ к данным, исправление, удаление, ограничение обработки, отзыв согласия), рассматривает Оператор как владелец персональных записей. Обработчик самостоятельно на такие обращения не отвечает; при получении обращения пациента напрямую Обработчик без промедления перенаправляет его Оператору, не раскрывая пациенту сведений об обработке помимо факта наличия поручения Оператора.

Обработчик обеспечивает Оператору возможность самостоятельно, средствами интерфейса Платформы, исправлять, удалять и ограничивать обработку персональных данных конкретного пациента, а также выгружать их. Если распоряжение Оператора не может быть исполнено средствами интерфейса, Обработчик исполняет его по обращению Оператора в срок не более 10 (десяти) рабочих дней с момента получения обращения и подтверждает исполнение (пункт 6 части 4 статьи 86 Цифрового кодекса).

Если, по мнению Обработчика, распоряжение Оператора противоречит требованиям Цифрового кодекса или иного законодательства Кыргызской Республики, Обработчик уведомляет об этом Оператора и вправе приостановить исполнение такого распоряжения до получения разъяснений.

07Суб-обработчики

Для исполнения настоящего DPA Обработчик привлекает следующих суб-обработчиков:

Привлечение суб-обработчика, не указанного в таблице выше, допускается исключительно после получения Обработчиком предварительного разрешения Оператора. Таким разрешением является акцепт Оператором обновлённой редакции настоящего DPA либо явное подтверждение, данное Оператором в интерфейсе Платформы. До получения разрешения новый суб-обработчик к обработке персональных данных пациентов Оператора не привлекается.

Обработчик уведомляет Оператора о планируемом привлечении нового суб-обработчика не менее чем за 10 календарных дней до предполагаемого начала обработки способом, указанным в учётной записи Клиники, с указанием наименования, назначения и местонахождения суб-обработчика. Если Оператор не предоставит разрешение, а дальнейшее исполнение Пользовательского соглашения без привлечения такого суб-обработчика невозможно, каждая из сторон вправе расторгнуть Пользовательское соглашение в порядке, предусмотренном его разделом 11.

Обработчик обеспечивает возложение на суб-обработчиков обязательств по защите персональных данных и сохранению врачебной тайны не ниже уровня, установленного настоящим DPA, и отвечает перед Оператором за действия привлечённых им суб-обработчиков как за свои собственные.

08Трансграничная передача персональных данных

Перечень государств, обеспечивающих адекватный уровень защиты персональных данных, уполномоченным государственным органом Кыргызской Республики на дату вступления в силу настоящей редакции DPA не утверждён и не опубликован. В связи с этим трансграничная передача осуществляется на основаниях, предусмотренных частью 4 статьи 89 Цифрового кодекса, а именно: на основании согласия субъекта персональных данных (пункт 1) и договора между владельцем персональных записей и обработчиком, обеспечивающего адекватную защиту прав субъекта персональных данных (пункт 6), роль которого выполняет настоящий DPA.

Оператор обязуется включать сведения о трансграничной передаче персональных данных — с указанием того, что данные обрабатываются и хранятся на серверах на территории Европейского союза, — в согласия, получаемые от пациентов, и в собственную политику обработки персональных данных, публикуемую для пациентов.

Обработчик применяет к трансграничной передаче меры защиты не ниже уровня, требуемого статьями 78–91 Цифрового кодекса, включая требования статьи 89 к трансграничной передаче персональных данных, а также шифрование данных при передаче и хранении.

09Уведомление об инцидентах безопасности

В случае выявления инцидента, повлёкшего или способного повлечь неправомерный доступ, утрату, изменение или разглашение персональных данных пациентов, Обработчик уведомляет Оператора не позднее 72 (семидесяти двух) часов с момента обнаружения инцидента, с указанием характера инцидента, предположительного объёма затронутых данных и предпринятых мер реагирования.

10Учёт операций обработки, аудит и контроль

Обработчик ведёт учёт операций обработки персональных данных пациентов (пункт 7 части 4 статьи 86 Цифрового кодекса): действия с данными пациентов фиксируются в аудит-логе Платформы с указанием учётной записи, совершившей действие, даты и времени, характера операции и затронутых данных. Записи учёта хранятся в течение срока действия Пользовательского соглашения и доступны Оператору непосредственно в интерфейсе Платформы.

Оператор вправе запросить у Обработчика информацию о применяемых мерах защиты персональных данных пациентов и о совершённых операциях обработки в объёме, не раскрывающем сведения, составляющие коммерческую тайну Обработчика или затрагивающем безопасность данных иных клиник Платформы. Обработчик предоставляет такую информацию в срок не более 30 календарных дней.

11Срок действия и возврат/удаление данных

Настоящий DPA действует в течение всего срока действия Пользовательского соглашения. При расторжении Пользовательского соглашения Оператору предоставляется 30 (тридцать) календарных дней на выгрузку персональных данных пациентов из Платформы, по истечении которых данные, включая резервные копии, безвозвратно удаляются, за исключением случаев, когда законодательство Кыргызской Республики требует более длительного хранения (в частности, требования к хранению медицинской и бухгалтерской документации).

12Ответственность

Обработчик несёт ответственность перед Оператором за нарушение мер защиты персональных данных пациентов, предусмотренных разделом 5 настоящего DPA, в порядке и на условиях, установленных разделом 9 Пользовательского соглашения («Ответственность сторон»).

Оператор несёт самостоятельную ответственность за законность оснований обработки персональных данных пациентов, переданных на обработку Обработчику, и за содержание вносимых в Платформу медицинских записей.

Оператор обязуется возместить Обработчику документально подтверждённые убытки, включая суммы штрафов и разумные судебные расходы, возникшие вследствие претензий субъектов персональных данных или уполномоченных государственных органов, если такие претензии вызваны отсутствием у Оператора законных оснований обработки либо иным нарушением Оператором гарантий, предусмотренных разделом 4 настоящего DPA.

13Заключительные положения

Термины, не определённые в настоящем DPA, используются в значении, придаваемом им Пользовательским соглашением. В случае противоречия между DPA и Пользовательским соглашением в части, касающейся обработки персональных данных пациентов, применяются положения настоящего DPA.

Распоряжения Оператора, обращения по вопросам исполнения настоящего DPA и уведомления Сторон направляются на адрес электронной почты, указанный ниже, либо на адрес электронной почты, указанный в учётной записи Клиники, и считаются письменными.