Приложение № 2 к Публичной оферте

Соглашение об обработке персональных данных (включая поручение оператора)

Настоящее Приложение является неотъемлемой частью Публичной оферты на заключение лицензионного договора (договора предоставления доступа к сервису Alwave), размещённой на Сайте по адресу: https://alwave.ru/oferta (далее – Оферта), и регулирует порядок и условия обработки персональных данных пациентов Лицензиата при использовании Сервиса Alwave.

1. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

Термины, используемые в настоящем Соглашении, имеют значения, установленные в Оферте, если иное не предусмотрено настоящим Соглашением или Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – 152-ФЗ).

2. ПРЕДМЕТ СОГЛАШЕНИЯ (ПОРУЧЕНИЕ ОПЕРАТОРА)

2.1. Настоящее Соглашение определяет порядок и условия обработки персональных данных пациентов Лицензиата, которые осуществляются Лицензиаром с использованием Сервиса Alwave в рамках исполнения Договора, заключённого на условиях Оферты.

2.2. Настоящее Соглашение является неотъемлемой частью Договора и регулирует отношения Сторон в области обработки персональных данных в соответствии с 152-ФЗ.

2.3. В отношении пациентов Лицензиата Лицензиат является оператором персональных данных, а Лицензиар – лицом, осуществляющим обработку персональных данных по поручению Лицензиата (ч. 3 ст. 6 152-ФЗ).

2.4. Лицензиат поручает, а Лицензиар принимает на себя обязательство осуществлять обработку персональных данных субъектов (пациентов Лицензиата) в объёме, порядке и для целей, установленных настоящим Соглашением. Обработка осуществляется исключительно в интересах Лицензиата.

3. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Обработка персональных данных осуществляется Лицензиаром исключительно в следующих целях:

• приём, обработка и распознавание голосовых обращений пациентов при входящих звонках в Лицензиата через Сервис Alwave;
• формирование и озвучивание ответов на вопросы пациентов об услугах, врачах, стоимости и свободных слотах для записи;
• запись, перенос и отмена записи пациентов на приём в МИС Лицензиата;
• справочное информирование пациентов по заданным сценариям (подтверждение записи, напоминание о визите и пр.);
• улучшение качества функционирования Сервиса (на основе обезличенных данных).

3.2. Обработка ограничивается достижением указанных целей и не включает принятие медицинских решений, постановку диагнозов или назначение лечения.

4. ПЕРЕЧЕНЬ ПЕРСОНАЛЬНЫХ ДАННЫХ, ПОРУЧАЕМЫХ НА ОБРАБОТКУ

4.1. Лицензиат поручает Лицензиару обработку следующих персональных данных пациентов Лицензиата:

• фамилия, имя, отчество (сообщаемые пациентом в ходе телефонного разговора);
• номер телефона (определяется автоматически при входящем звонке);
• информация о желаемой услуге, враче, дате и времени записи;
• жалобы и симптомы (могут быть сообщены пациентом в свободной речи, но не запрашиваются системой специально; диагнозы не запрашиваются и не обрабатываются);
• иные сведения, которые пациент сообщает самостоятельно в ходе телефонного разговора;
• технические данные: IP-адрес, логи звонков, идентификаторы сессий, сведения о маршрутах передачи данных.
• 4.2. Лицензиат не передаёт Лицензиару персональные данные, не указанные в п. 4.1, в том числе:
• паспортные данные, СНИЛС, ИНН;
• дата рождения, пол, адрес проживания;
• биометрические персональные данные;
• диагнозы, результаты анализов, назначения лечения, электронные медицинские карты;
• платёжные данные.

5. ПЕРЕЧЕНЬ ДЕЙСТВИЙ (ОПЕРАЦИЙ) С ПЕРСОНАЛЬНЫМИ ДАННЫМИ

5.1. Лицензиат поручает Лицензиару совершение следующих действий (операций) с персональными данными:

• сбор, запись, систематизация, накопление и хранение персональных данных;
• уточнение (обновление, изменение) персональных данных;
• извлечение и использование персональных данных для целей, указанных в разделе 3;
• передача (предоставление, доступ) персональных данных третьим лицам, привлекаемым Лицензиаром для исполнения настоящего Соглашения (п. 7.1), а также в МИС Лицензиата;
• обезличивание персональных данных;
• блокирование, удаление и уничтожение персональных данных.

5.2. Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без их использования.

6. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ

6.1. Обработка персональных данных осуществляется Лицензиаром на основании настоящего Соглашения, заключённого во исполнение ч. 3 ст. 6 152-ФЗ.

6.2. Лицензиат подтверждает, что им получены согласия субъектов персональных данных (пациентов) на обработку их персональных данных в объёме и для целей, указанных в настоящем Соглашении, включая поручение такой обработки Лицензиару как третьему лицу, в порядке, предусмотренном ст. 9 152-ФЗ.

6.3. В случае обработки специальных категорий персональных данных (сведения о состоянии здоровья) Лицензиат подтверждает наличие письменных согласий субъектов в соответствии со ст. 10 152-ФЗ.

6.4. Лицензиат обязуется хранить согласия субъектов персональных данных в течение всего срока обработки персональных данных и предоставлять их по запросу уполномоченных органов.

7. ОБЯЗАННОСТИ СТОРОН

7.1. Лицензиар (Обработчик) обязуется:

• осуществлять обработку персональных данных в соответствии с целями, определёнными в разделе 3, и только в объёме, необходимом для достижения этих целей;
• соблюдать конфиденциальность персональных данных и обеспечивать их безопасность при обработке в соответствии со ст. 7 и ст. 19 152-ФЗ;
• принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий;
• осуществлять обработку персональных данных с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 152-ФЗ;
• предоставлять Лицензиату по его запросу информацию о ходе и результатах обработки персональных данных, а также документы, подтверждающие принятие мер по обеспечению безопасности персональных данных;
• немедленно уведомлять Лицензиата о фактах неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, в порядке, установленном ч. 3.1 ст. 21 152-ФЗ;
• по окончании обработки персональных данных либо по требованию Лицензиата уничтожать персональные данные и направлять Лицензиату подтверждение об их уничтожении, если иное не предусмотрено федеральным законом;
• не использовать персональные данные для иных целей, не предусмотренных настоящим Соглашением;
• обеспечивать раздельное хранение персональных данных разных Лицензиатов (клиник) и не допускать их смешивания.

7.2. Лицензиат (Оператор) обязуется:

• предоставить Лицензиару персональные данные в объёме и порядке, необходимом для исполнения настоящего Соглашения;
• обеспечить наличие согласий субъектов персональных данных на обработку их персональных данных, включая поручение такой обработки Лицензиару;
• своевременно информировать Лицензиара об отзыве согласий субъектами персональных данных, а также об изменениях в законодательстве, касающихся обработки персональных данных;
• не передавать Лицензиару персональные данные, не предусмотренные настоящим Соглашением;
• обеспечивать наличие у пациентов возможности ознакомления с Политикой обработки персональных данных Лицензиара, размещённой по адресу: https://alwave.ru/policy.

8. ПРИВЛЕЧЕНИЕ ТРЕТЬИХ ЛИЦ (СУБПОДРЯДЧИКОВ)

8.1. Лицензиар вправе привлекать для исполнения настоящего Соглашения третьих лиц (субподрядчиков) на территории Российской Федерации. Настоящим Лицензиат дает свое предварительное согласие на привлечение следующих субподрядчиков, обеспечивающих базовое функционирование Сервиса:

• Хостинг-провайдеры (Selectel, Yandex Cloud) – для размещения серверов и баз данных в РФ;
• Телефония – для технической маршрутизации входящих звонков;
• Сервис распознавания речи (ASR) – АО «ТБанк» (VoiceKit) – для преобразования голоса в текст на территории РФ;
• МИС Лицензиата (Medods и др.) – для передачи данных о записи на прием.

8.2. В целях генерации текстовых ответов и синтеза речи Лицензиар вправе задействовать вычислительные мощности зарубежных ИИ-платформ (в т.ч. OpenAI, ElevenLabs). Стороны явным образом согласовали, что передача персональных данных субъектов за пределы Российской Федерации (трансграничная передача) не осуществляется. Перед отправкой текстовых запросов в зарубежные ИИ-платформы Лицензиар производит автоматическую процедуру полного сквозного обезличивания текста (удаление ФИО, номеров телефонов и иных прямых идентификаторов) на своих серверах в РФ. Поскольку указанные платформы обрабатывают анонимные текстовые массивы, они не признаются лицами, осуществляющими обработку ПДн по настоящему Соглашению.

8.3. О привлечении новых российских субподрядчиков, не указанных в п. 8.1, Лицензиар информирует Лицензиата путем обновления перечня на Сайте по адресу https://alwave.ru или через Личный кабинет за 10 (десять) дней до начала обработки.

9. СРОКИ ОБРАБОТКИ И УНИЧТОЖЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

9.1. Обработка персональных данных осуществляется Лицензиаром в течение срока действия Договора.

9.2. Стороны установили следующие строгие сроки хранения данных в ИТ-инфраструктуре Лицензиара:

9.3. По истечении указанных сроков, а также при достижении целей обработки, либо при отзыве согласия субъектом персональных данных, либо по требованию Лицензиата, Лицензиар обязан уничтожить персональные данные в течение 10 (десяти) рабочих дней и направить Лицензиату подтверждение об уничтожении.

10. ЗАПРЕТЫ И ОГРАНИЧЕНИЯ

10.1. Лицензиару запрещается:

• обрабатывать персональные данные для целей, не предусмотренных настоящим Соглашением;
• передавать персональные данные третьим лицам, не указанным в настоящем Соглашении, без письменного согласия Лицензиата;
• использовать персональные данные для собственных целей, включая маркетинг, продажу данных третьим лицам или иное коммерческое использование;
• осуществлять обработку персональных данных за пределами территории Российской Федерации;
• принимать на основании персональных данных решения, порождающие юридические последствия в отношении субъектов.

11. ОТВЕТСТВЕННОСТЬ СТОРОН

11.1. Лицензиат (Оператор) несёт полную ответственность перед субъектами персональных данных (пациентами) за действия Лицензиара (Обработчика), связанные с обработкой персональных данных, как за свои собственные (в соответствии с ч. 5 ст. 6 Федерального закона № 152-ФЗ «О персональных данных»).

11.2. Лицензиар (Обработчик) несёт ответственность перед Лицензиатом за неисполнение или ненадлежащее исполнение обязательств, предусмотренных настоящим Соглашением, в соответствии с законодательством Российской Федерации и условиями Договора.

11.3. Применение мер ответственности, ограничение размеров взыскиваемых убытков (ущерба), а также порядок разрешения споров и разногласий, возникающих из настоящего Соглашения или в связи с ним, полностью регулируются положениями Раздела 7 («ОТВЕТСТВЕННОСТЬ СТОРОН. УРЕГУЛИРОВАНИЕ РАЗНОГЛАСИЙ») основного текста Оферты.

12. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

12.1. Лицензиар обязуется принимать меры по обеспечению безопасности персональных данных в соответствии со ст. 18.1 и 19 152-ФЗ, включая:

• определение угроз безопасности персональных данных при их обработке;
• применение организационных и технических мер по защите персональных данных;
• применение средств защиты информации, прошедших оценку соответствия в установленном порядке;
• оценку эффективности принимаемых мер по обеспечению безопасности;
• обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по их пресечению;
• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
• установление правил доступа к персональным данным, а также обеспечение регистрации и учёта всех действий с ними;
• контроль за принимаемыми мерами по обеспечению безопасности и уровня защищённости персональных данных.

12.2. Лицензиар обязуется предоставлять Лицензиату по его запросу документы и информацию, подтверждающие принятие мер по обеспечению безопасности персональных данных.

13. РЕАГИРОВАНИЕ НА ИНЦИДЕНТЫ

13.1. При выявлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, Лицензиар обязуется:

• незамедлительно уведомить Лицензиата о произошедшем инциденте;
• в течение 24 (двадцати четырех) часов уведомить Роскомнадзор об инциденте, предполагаемых причинах и принятых мерах;
• в течение 72 (семидесяти двух) часов уведомить Роскомнадзор о результатах внутреннего расследования и лицах, виновных в инциденте (при наличии);
• незамедлительно уведомить затронутых субъектов персональных данных, но не позднее 24 (двадцати четырёх) часов с момента завершения внутреннего расследования – в рамках общего лимита в 96 (девяноста шести) часов.

13.2. Лицензиар обязуется проводить внутреннее расследование каждого инцидента и принимать меры по предотвращению подобных инцидентов в будущем.

14. СРОК ДЕЙСТВИЯ И ПОРЯДОК ИЗМЕНЕНИЯ

14.1. Настоящее Соглашение вступает в силу с момента акцепта Оферты Лицензиатом и действует в течение срока действия Договора.

14.2. Изменения и дополнения в настоящее Соглашение вносятся Лицензиаром в том же порядке что изменения и дополнения Оферты.

14.3. Настоящее Соглашение прекращает своё действие в случаях:

• расторжения Договора;
• по соглашению Сторон;
• в иных случаях, предусмотренных законодательством Российской Федерации.

14.4. При прекращении действия настоящего Соглашения Лицензиар обязан уничтожить все персональные данные, полученные от Лицензиата, в течение 10 (десяти) рабочих дней и направить Лицензиату письменное подтверждение об уничтожении.

15. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

15.1. Настоящее Соглашение составлено в электронном виде и является общедоступным документом, размещённым на Сайте по адресу: https://alwave.ru/oferta/personal-data.

15.2. Во всём, что не урегулировано настоящим Соглашением, Стороны руководствуются действующим законодательством Российской Федерации, включая 152-ФЗ.

15.3. Все споры и разногласия, возникающие из настоящего Соглашения или в связи с ним, разрешаются Сторонами путём переговоров, а при недостижении согласия – в судебном порядке в соответствии с действующим законодательством Российской Федерации.

15.4. Настоящее Соглашение может быть заключено в электронном виде, что признаётся Сторонами равнозначным документу на бумажном носителе.