Соглашение об обработке персональных данных

01Стороны и статус документа

Настоящее Соглашение об обработке персональных данных (далее — «DPA») является неотъемлемым приложением к Пользовательскому соглашению (публичной оферте) и регулирует порядок обработки персональных данных пациентов клиники в рамках использования платформы dok.kg.

Клиника, акцептовавшая Пользовательское соглашение, выступает владельцем персональных записей своих пациентов в значении Цифрового кодекса Кыргызской Республики от 31 июля 2025 года № 178 (далее — «Цифровой кодекс») и для целей настоящего DPA именуется «Оператор».

ИП Обкатка (тест) осуществляет обработку персональных данных пациентов исключительно по поручению и в интересах Клиники в качестве обработчика в значении статьи 86 Цифрового кодекса, в объёме и на условиях, определённых настоящим DPA, и для целей настоящего DPA именуется «Обработчик».

02Предмет DPA

Обработчик обрабатывает персональные данные пациентов Оператора исключительно в целях обеспечения функционирования Платформы: хранение электронных карт пациентов, ведение расписания приёмов, формирование финансовых документов, направление уведомлений пациентам по поручению Оператора и иные операции, прямо предусмотренные функциональностью Платформы.

Обработчик не определяет цели обработки персональных данных пациентов самостоятельно и действует строго в рамках задокументированных инструкций Оператора, выражаемых через настройку и использование функциональности Платформы.

03Категории субъектов и персональных данных

Субъекты персональных данных: пациенты Клиники, их законные представители.

Категории обрабатываемых данных: фамилия, имя, отчество, дата рождения, пол, контактные данные (телефон, адрес электронной почты), адрес проживания; сведения о состоянии здоровья, диагнозах, назначениях и ходе лечения (специальная категория персональных данных); сканы документов, удостоверяющих личность, сканы информированных согласий и электронные подписи; сведения об оплате оказанных услуг.

04Обязанности Оператора (Клиники)

Оператор гарантирует, что:

• обладает законным основанием для обработки персональных данных пациентов, включая получение необходимых по законодательству Кыргызской Республики (статьи 78–91 Цифрового кодекса) согласий на обработку, в том числе на обработку специальных категорий персональных данных (статья 80 Цифрового кодекса);
• самостоятельно определяет состав Персонала клиники, имеющего доступ к персональным данным пациентов, и несёт ответственность за соблюдение им требований конфиденциальности;
• своевременно информирует Обработчика об отзыве согласия пациента или ином законном требовании, влекущем необходимость прекращения обработки, ограничения доступа или удаления данных конкретного пациента.

05Обязанности Обработчика: меры защиты

Обработчик обязуется применять следующие технические и организационные меры защиты персональных данных пациентов:

• шифрование — файлы пациентов (медицинские документы, сканы согласий, электронные подписи) хранятся в зашифрованном виде; ключи шифрования недоступны напрямую через веб-интерфейс Платформы;
• изоляция данных — данные каждой Клиники хранятся в отдельной, логически изолированной базе данных, недоступной другим клиникам Платформы;
• контроль доступа — доступ Персонала клиники к данным пациентов разграничен по ролям (RBAC); учётные записи с расширенными правами защищены обязательной двухфакторной аутентификацией;
• журналирование — действия с чувствительными данными пациентов фиксируются в аудит-логе, доступном Оператору для целей контроля;
• резервное копирование — резервные копии создаются регулярно и хранятся в зашифрованном виде.

Обработчик не вправе обрабатывать персональные данные пациентов в целях, не связанных с исполнением Пользовательского соглашения, передавать их третьим лицам помимо суб-обработчиков, указанных в разделе 6, либо использовать их в собственных маркетинговых или аналитических целях.

06Суб-обработчики

Для исполнения настоящего DPA Обработчик привлекает следующих суб-обработчиков:

Обработчик обязуется уведомить Оператора об изменении состава суб-обработчиков не менее чем за 10 календарных дней до привлечения нового суб-обработчика способом, указанным в учётной записи Клиники, предоставив Оператору возможность заявить обоснованные возражения.

Обработчик обеспечивает возложение на суб-обработчиков обязательств по защите персональных данных не ниже уровня, установленного настоящим DPA.

07Трансграничная передача персональных данных

Обработчик применяет к трансграничной передаче меры защиты не ниже уровня, требуемого статьями 78–91 Цифрового кодекса, включая требования статьи 89 к трансграничной передаче персональных данных, а также шифрование данных при передаче и хранении.

08Уведомление об инцидентах безопасности

В случае выявления инцидента, повлёкшего или способного повлечь неправомерный доступ, утрату, изменение или разглашение персональных данных пациентов, Обработчик уведомляет Оператора не позднее 72 (семидесяти двух) часов с момента обнаружения инцидента, с указанием характера инцидента, предположительного объёма затронутых данных и предпринятых мер реагирования.

09Аудит и контроль

Оператор вправе запросить у Обработчика информацию о применяемых мерах защиты персональных данных пациентов в объёме, не раскрывающем сведения, составляющие коммерческую тайну Обработчика или затрагивающем безопасность данных иных клиник Платформы. Журнал действий с данными пациентов своей клиники доступен Оператору непосредственно в интерфейсе Платформы.

10Срок действия и возврат/удаление данных

Настоящий DPA действует в течение всего срока действия Пользовательского соглашения. При расторжении Пользовательского соглашения Оператору предоставляется 30 (тридцать) календарных дней на выгрузку персональных данных пациентов из Платформы, по истечении которых данные, включая резервные копии, безвозвратно удаляются, за исключением случаев, когда законодательство Кыргызской Республики требует более длительного хранения (в частности, требования к хранению медицинской и бухгалтерской документации).

11Ответственность

Обработчик несёт ответственность перед Оператором за нарушение мер защиты персональных данных пациентов, предусмотренных разделом 5 настоящего DPA, в порядке и на условиях, установленных разделом 9 Пользовательского соглашения («Ответственность сторон»).

Оператор несёт самостоятельную ответственность за законность оснований обработки персональных данных пациентов, переданных на обработку Обработчику, и за содержание вносимых в Платформу медицинских записей.

Оператор обязуется возместить Обработчику документально подтверждённые убытки, включая суммы штрафов и разумные судебные расходы, возникшие вследствие претензий субъектов персональных данных или уполномоченных государственных органов, если такие претензии вызваны отсутствием у Оператора законных оснований обработки либо иным нарушением Оператором гарантий, предусмотренных разделом 4 настоящего DPA.

12Заключительные положения

Термины, не определённые в настоящем DPA, используются в значении, придаваемом им Пользовательским соглашением. В случае противоречия между DPA и Пользовательским соглашением в части, касающейся обработки персональных данных пациентов, применяются положения настоящего DPA.