Принципы обработки персональных данных Eesti veterinaaria kliinikum

Принципы обработки персональных данных Eesti veterinaaria kliinikum

Настоящие принципы обработки персональных данных (далее – Условия приватности / Условия) регулируют осуществляемую Eesti Veterinaaria Kliinikum (далее – EVK/мы) обработку персональных данных при предоставлении услуг и регистрации на их оказание.

Ветеринарные клиники EVK работают под брендом Pet City. Сайтом Pet City, включая информационные страницы ветеринарных клиник, управляет компания Pet City OÜ, которая является контролером данных соответствующего сайта. EVK является контролером данных при обработке, описанной в настоящих Условиях, и в доступной на сайте Pet City системе бронирования.

Внимательно ознакомьтесь с настоящими Условиями, поскольку в них содержится информация о том, как EVK обрабатывает персональные данные, и о правах субъекта данных (далее – субъект данных/вы).

Соискатели вакансий в EVK могут ознакомиться с тем, какие персональные данные обрабатываются в процессе подачи заявки, здесь.

Информация об обработке персональных данных сотрудников EVK содержится во внутренних документах компании.

Общие положения, контактные данные и понятия

Общие принципы обработки данных, категории субъектов данных и типы обрабатываемых данных

Цели и основания обработки данных Клиента

EVK обрабатывает персональные данные на следующих основаниях и в следующих случаях:

3.1 Согласие. EVK обрабатывает персональные данные на основании согласия, на конкретно указанных в нем условиях и в конкретных рамках. Субъект данных имеет право в любой момент отозвать согласие (например, по ссылке в новостной рассылке или написав на адрес andmekaitse@magnum.ee). Отзыв согласия не влияет на законность обработки, которая имела место до его отзыва.

3.2 Договор. EVK обрабатывает персональные данные на основании Договора, преимущественно для выполнения Договора с субъектом данных, а также для заключения Договора.

3.3 Обязанность, вытекающая из закона. EVK может обрабатывать персональные данные для выполнения вытекающих из закона обязанностей, таких как обязанности по Закону о ветеринарии и прочим законам, применимым к лечению и благополучию животных (например, обеспечение безопасности в связи с заболеваниями; отчетность по обращению с лекарствами, включая их продажу и использование), обязанность хранения бухгалтерских документов, вытекающая из Закона о бухгалтерском учете.

3.4 Законный интерес. В случае законного интереса оцениваются интересы обработчика (-ов) и субъекта данных. Обработка на основании законного интереса возможна только при положительной оценке законного интереса. Субъект данных имеет право ознакомиться с оценкой законных интересов при обработке его персональных данных, написав на адрес andmekaitse@magnum.ee.

3.5 При оказании Услуг и в связи с ним EVK обрабатывает персональные данные следующим образом:

Цель	Основание	Персональные данные (см. категории персональных данных, описанные в предыдущей главе)
Запись на прием	Требуется для заключения Договора (п. b ч. 1 ст. 6 GDPR)	Общая информация; данные об использовании Услуг, коммуникационные данные
Запись на оказание Услуги / предоставление и получение информации для оказания Услуги	Договор (п. b ч. 1 ст. 6 GDPR)	Общая информация, информация об использовании Услуг, коммуникационные данные, данные с видеозаписи (если лицо физически присутствовало в клинике)
Передача данных лабораториям или иным поставщикам услуг, необходимым для выполнения Договора	Договор (п. b ч. 1 ст. 6 GDPR)	Общая информация, информация об использовании Услуг, коммуникационные данные
Передача данных в случаях, когда это требуется по закону	Закон (п. c ч. 1 ст. 6 GDPR)	Общая информация, информация об использовании Услуг
Передача данных другой клинике, поставщику услуг или иному лицу с согласия Клиента	Согласие (п. a ч. 1 ст. 6 GDPR)	Информация о направлении, информация об использовании Услуг
Служба поддержки Клиентов	Договор (п. b ч. 1 ст. 6 GDPR), если с Договором связана деятельность службы поддержки; иные обращения – согласие на действие (п. a ч. 1 ст. 6 GDPR) (если лицо обращается в службу поддержки самостоятельно)	Как правило, информация, предоставленная самим субъектом данных, однако по мере необходимости могут обрабатываться все персональные данные.
Повышение качества обслуживания и маркетинг – маркетинговые мероприятия (кампании и розыгрыши, маркетинг в интернете и социальных медиа и оптимизация интернет-маркетинга, мероприятия SEO) – оказание Клиенту дополнительных услуг, проведение анализа рынка и составление статистики – законный интерес. Также используется анонимизация	Законный интерес (п. f ч. 1 ст. 6 GDPR)	Общая информация, информация об использовании Услуг, коммуникационные данные
Новостные рассылки и предложения	Согласие (п. a ч. 1 ст. 6 GDPR) или законный интерес + ч. 3 ст. 103¹Закона об электронной связи (ESS) (имеющийся Клиент и аналогичная услуга)	электронная почта, информация о согласии; в случае законного интереса: имя, электронная почта, статус Клиента, факт потребления аналогичной Услуги
Важные уведомления, касающиеся Услуг	Договор (п. b ч. 1 ст. 6 GDPR)	Контактные данные, информация о конкретной Услуге в необходимом объеме
Напоминания для удобства Клиента (например, о вакцинации)	Законный интерес (п. f ч. 1 ст. 6 GDPR)	Контактные данные, в необходимом объеме – информация об использовании Услуг
Развитие Услуг и ИТ-разработка – совершенствование существующих и разработка новых Услуг и решений, тестирование технических решений Также используется анонимизация	Законный интерес (п. f ч. 1 ст. 6 GDPR)	Как правило, анонимно, однако могут обрабатываться все данные
Предоставление Услуг – ИТ-услуги для предложения Услуг, включая серверные помещения, бронирование и прочие программы	Договор (п. b ч. 1 ст. 6 GDPR) и в неурегулируемой им степени (при наличии) законный интерес (п. f ч. 1 ст. 6 GDPR)	Все персональные данные
Необходимая обработка, связанная с выполнением вытекающих из закона обязанностей	Закон (п. c ч. 1 ст. 6 GDPR)	Могут обрабатываться все персональные данные
Обмен данными внутри концерна в следующих целях: администрирование, управление, надзор, аудит, бухгалтерский учет Также используется анонимизация	Законный интерес (п. f ч. 1 ст. 6 GDPR); закон (п. c ч. 1 ст. 6 GDPR)	Как правило, неперсонализированные, однако в зависимости от цели могут обрабатываться и персональные данные, например, в бухгалтерской информации
Для подтверждения и защиты требований, обусловленных исполнением Договора или иной юридической обязанности либо законным интересом EVK, например, для составления юридических требований, обращений и т. п. и ответа на них	Законный интерес (п. f ч. 1 ст. 6 GDPR)	Могут обрабатываться все персональные данные
Раскрытие и предотвращение мошенничества	Законный интерес (п. f ч. 1 ст. 6 GDPR)	Могут обрабатываться все персональные данные
Обеспечение кибербезопасности и технического стандарта – меры обеспечения безопасности сайта и технических решений, включая резервное копирование и хранение данных, а также предотвращение/устранение технических проблем	Законный интерес (п. f ч. 1 ст. 6 GDPR)	Могут обрабатываться все персональные данные
Безопасность и доказывание требований	Законный интерес (п. f ч. 1 ст. 6 GDPR)	Информация, имеющаяся на видеозаписях, однако по мере необходимости могут обрабатываться все персональные данные
Обработка в контексте коммерческих сделок – слияние, поглощение, покупка, продажа товариществ, предприятий или паев – обработка данных в рамках совершения сделок и консультирования Также используется анонимизация	Законный интерес (п. f ч. 1 ст. 6 GDPR)	Как правило, неперсонализированные, однако может обрабатываться и бухгалтерская информация, также в зависимости от операции может потребоваться обработка всех персональных данных

Данные каждой категории обрабатываются в объеме, необходимом для достижения соответствующей цели обработки.

Новая цель. Исходя из ч. 4 ст. 4 GDPR, если персональные данные обрабатываются с целью, отличной от исходной цели их сбора, или если для их обработки не требуется согласие субъекта данных, то EVK тщательно оценивает допустимость такой новой обработки. Чтобы определить, согласуется ли обработка персональных данных с новой целью с исходной целью их сбора, в числе прочего учитываются следующие факторы:
- какая-либо связь между целями сбора персональных данных и планируемыми целями их дальнейшей обработки;
- контекст сбора персональных данных, прежде всего в связи с отношениями между субъектом данных и обработчиком (-ами);
- характер персональных данных, прежде всего то, обрабатываются ли специальные категории персональных данных или же персональные данные, относящиеся к приговорам суда и преступлениям;
- возможные последствия планируемой дальнейшей обработки для субъектов данных;
- надлежащие меры предосторожности, которые могут включать в себя шифрование или псевдонимизацию.

Обработка данных в связи с оказанием Услуг и видеозаписи
- При оказании Услуг EVK обрабатывает персональные данные в соответствии с принципами защиты данных GDPR, включая принцип минимальности, собирая персональные данные, необходимые для оказания Услуг, а также в определенных случаях требуемые законом, например, паспорт животного должен содержать данные владельца и животного.
- Записаться на оказание Услуг в EVK можно, предоставив необходимую информацию работнику EVK или в системе онлайн-бронирования (мы собираем общую информацию, данные об использовании Услуг, коммуникационные данные).
- В зависимости от выбранной Клиентом Услуги обязательные данные могут отличаться. Как правило, Клиент предоставляет EVK необходимую информацию и персональные данные самостоятельно – через различные формы уведомления и согласия на предоставление Услуг.
- В связи с оказанием Услуг может потребоваться передача данных специалисту, лаборатории или иному поставщику соответствующих Услуг. Если это строго необходимо для предоставления Услуги, передача обычно осуществляется на основании Договора об оказании Услуг. В некоторых случаях мы можем запрашивать согласие Клиента, например, на передачу данных выбранному специалисту, или просить Клиента предоставить данные самостоятельно. Более подробную информацию о передаче и других возможных обработчиках см. в гл. 5.
- Мы можем отправлять необходимые уведомления, связанные с Услугой, на основании Договора. В некоторых случаях мы также можем отправлять напоминания для вашего удобства, например, напоминания о вакцинации (вакцинация домашних животных является обязательной), и в этом случае обработка основана на законном интересе.
- Камеры. В целях обеспечения безопасности лиц, защиты имущества, подтверждения и защиты требований в клиниках EVK могут использоваться камеры видеонаблюдения. При использовании камер в соответствующих местах вывешиваются оповещения. Как правило, видеозаписи хранятся в течение 2 недель, но если запись связана с каким-либо требованием, она хранится исходя из потребностей производства/доказывания.
Иные обработчики и передача данных
- Уполномоченные обработчики. При оказании Услуг и организации своей деятельности EVK может использовать различных поставщиков услуг, которые являются ее уполномоченными обработчиками. К ним относятся, в частности, поставщики услуг, которые предлагают:
  - услуги ИТ-поддержки (серверное помещение, услуги по разработке и поддержке – могут обрабатываться все персональные данные);
  - систему бронирования (общая информация, информация об использовании Услуг, коммуникационные данные);
  - систему управления Клиентами, ветеринарным лечением и Услугами клиники (общая информация, коммуникационные данные, информация об использовании Услуг, информация о направлениях);
  - услуги лабораторий, специалистов и прочие Услуги (для направления к специалистам, если это необходимо для предоставления Услуги);
  - маркетинговые услуги (аналитика, поставщики услуг рассылки, SEO – как правило, контактные данные, статус Клиента; в рамках профилирования и аналитики могут обрабатываться все данные).

При передаче персональных данных уполномоченному обработчику EVK гарантирует, что уполномоченные обработчики обрабатывают их по инструкциям EVK, соблюдая требования конфиденциальности и принимая надлежащие меры безопасности.

Иные обработчики. Также персональные данные могут передаваться:
- должностным и надзорным органам, имеющим право на получение данных, например в Департамент сельского хозяйства и продовольствия и Департамент лекарственных средств, которым передаются данные в соответствии с вытекающей из закона обязанностью, например, информация о болезнях и инфекционных заболеваниях (т. е. передаются данные о владельцах и животных), информация, раскрываемая в ходе контроля за использованием лекарственных средств, а также информация о побочных реакциях (при наличии);
- иным органам, имеющим право на их получение, например следственным и правоохранительным органам. EVK оценивает содержание и правомерность запроса и передает минимальную необходимую информацию;
- специалистам и иным поставщикам услуг, которые, исходя из характера предоставляемых ими услуг, сами являются контролерами данных (в зависимости от ситуации передается информация, необходимая для заказываемой Услуги);
- юридическим, финансовым и прочим консультантам, а также предприятиям концерна при оказании услуг внутри концерна. По мере необходимости могут обрабатываться все персональные данные;
- сторонам (потенциальных) сделок и консультантам по сделкам – если EVK или компания того же концерна связаны со слиянием, поглощением либо продажей или покупкой активов; персональные данные могут передаваться в объеме, необходимом для совершения соответствующей сделки и консультирования. В таком случае правовым основанием для обработки является законный интерес.

Если вы желаете получить дополнительную информацию о привлекаемых партнерах и уполномоченных обработчиках, пишите на адрес электронной почты andmekaitse@magnum.ee.

Место обработки. Как правило, персональные данные не передаются за пределы Европейской экономической зоны (ЕЭЗ). При возникновении необходимости в передаче персональных данных за пределы ЕЭЗ это делается в соответствии с требованиями GDPR (т. е. только в страны/учреждениям, где обеспечена надлежащая защита персональных данных, либо с использованием стандартных оговорок ЕС или иных допустимых GDPR способов), в числе прочего данные могут передаваться с четкого разрешения субъекта данных, если такая передача является однократной и происходит по его желанию и с информированного согласия. Если вы желаете получить более подробную информацию о возможной передаче данных, пишите на адрес andmekaitse@magnum.ee.

Тексты стандартных оговорок ЕС доступны здесь. Субъект данных имеет право ознакомиться со стандартными оговорками, используемыми при обработке его персональных данных (если таковые имеются), обратившись по адресу andmekaitse@magnum.ee.

Перечень Data-Privacy Framework доступен здесь.

Страны, которые Европейская комиссия признала обеспечивающими надлежащую защиту, приведены здесь.

Срок хранения данных
- При обработке персональных данных EVK руководствуется целью их обработки и не обрабатывает их дольше, чем это необходимо. Сроки хранения обусловлены в основном установленными законом обязанностями, защитой интересов EVK и предоставлением Услуг. EVK обязана хранить информацию об обороте лекарственных средств, в том числе об их продаже и использовании, не менее 3-х лет; истории болезни животных в целях обеспечения наилучшего и правильного лечения хранятся 10 лет. Данные бухгалтерского учета хранятся в течение 7 лет. Если вы желаете получить более подробную информацию, пишите на адрес andmekaitse@magnum.ee.
Безопасность персональных данных и инциденты
- Безопасность. EVK принимает различные организационные и технические меры безопасности для обеспечения конфиденциальности и сохранности персональных данных. В числе прочего используются системы управления доступом, брандмауэр, защита от вредоносного ПО (при необходимости), мониторинг и тестирование систем. Кроме того, персонал проходит обучение по вопросам информационной безопасности и защиты персональных данных, а привлекаемые партнеры соблюдают требования безопасности, соответствующие отраслевым рыночным стандартам.
- Инциденты. В EVK имеется порядок оповещения об инцидентах. В случае инцидента с персональными данными EVK прилагает все усилия к нейтрализации его последствий и снижению подобных рисков в будущем. При оповещении об инцидентах EVK руководствуется требованиями GDPR.
Права Клиента, являющегося физическим лицом

В связи с обработкой своих персональных данных субъект данных имеет следующие права:

подавать ходатайства об исправлении недостоверных персональных данных, если они являются недостаточными, неверными или неполными.
отозвать свое согласие на обработку персональных данных, если они обрабатываются на основании согласия (например, согласие на получение информационной рассылки / предложений можно отозвать по имеющейся в электронном письме ссылке для отказа, а также написав на адрес andmekaitse@magnum.ee). Отзыв согласия не влияет на правомерность предшествующей обработки.
ограничить обработку своих персональных данных в соответствии с действующим законодательством, в том числе на период, когда субъект данных подал ходатайство об исправлении или удалении своих персональных данных и EVK анализирует, возможно ли удовлетворить его требование;
ходатайствовать об удалении своих данных, например, если они обрабатываются на основании согласия и субъект данных отзывает его. Об удалении данных нельзя ходатайствовать, если такие персональные данные также обрабатываются на иных основаниях, например, для выполнения договора или юридической обязанности.
получить предоставленные им персональные данные, которые обрабатываются на основании согласия или для исполнения Договора, в письменном или в электронном виде или, если это технически возможно, передать свои данные иному поставщику услуг (право на перенос данных).
получать информацию о том, кто обрабатывает его персональные данные, и обзор таких данных, включая копию.
подавать возражения против обработки своих персональных данных, если она осуществляется на основании законного интереса, например, при профилировании с целью предложения Клиенту товаров, соответствующих его профилю.
ознакомиться с оценкой законных интересов по обработке его персональных данных. Для этого пишите на адрес электронной почты andmekaitse@magnum.ee.
EVK не использует профилирование или автоматизированные решения, предусмотренные статьей 22 GDPR. Если EVK начнет использовать автоматизированное принятие решений или профилирование в значении ст. 22 GDPR, имеющее правовые последствия или существенное влияние, то она проинформирует об этом субъекта данных и предоставит ему соответствующие права – в этом случае субъект данных, исходя из своей конкретной ситуации, будет иметь право в любой момент опротестовать обработку касающихся его персональных данных на основании автоматизированных решений и профилирования и потребовать вмешательства человека. Также субъект данных может потребовать объяснения логики, лежащей в основе автоматизированного решения.
право подать жалобу, в том числе в надзорный орган или суд, если вы сочтете, что в связи с обработкой ваших персональных данных были нарушены ваши права. EVK просит в первую очередь связываться с ней, чтобы прояснить ситуацию и найти приемлемое решение. Надзорным органом по защите персональных данных EVK является Инспекция по защите данных, контактная информация которой доступна здесь: https://www.aki.ee/et/inspektsioon-kontaktid/tootajate-kontaktid. Субъект данных из другой страны ЕЭЗ может подать жалобу в национальный надзорный орган по месту жительства. Контактные данные других надзорных органов по защите данных ЕС доступны здесь.
GDPR отводит на ответ на ходатайство субъекта данных 30 дней (при сложных и объемных запросах этот срок может быть продлен с уведомлением субъекта данных). Если вы желаете воспользоваться каким-либо из вышеупомянутых прав или нуждаетесь в дополнительной информации о своих правах, свяжитесь с EVK. Перед предоставлением субъекту данных прав, связанных с персональными данными, EVK может установить его личность, чтобы исключить выдачу данных неверному лицу.