Политика конфиденциальности

«Netmed» Inc (далее — «Компания», «Оператор», «мы») уважает конфиденциальность пользователей (далее — «Пользователь», «Вы») своей Платформы и придаёт особое значение защите персональных данных, включая специальные категории данных, относящиеся к состоянию здоровья. Настоящая Политика конфиденциальности (далее — «Политика») описывает, какие данные мы собираем, как мы их используем, кому передаём и как обеспечиваем их защиту.

1. Правовые основания обработки персональных данных

1.1. Обработка персональных данных осуществляется в соответствии с:

• Федеральным законом РФ от 27.07.2006 №152-ФЗ «О персональных данных»;
• Федеральным законом РФ от 21.11.2011 №323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
• Общим регламентом по защите данных (GDPR) — при оказании услуг гражданам Европейского Союза;
• иными применимыми нормативно-правовыми актами.

1.2. Присоединяясь к настоящей Политике, Пользователь выражает согласие на обработку персональных данных, включая специальные категории (медицинская информация), в целях, установленных ниже.

2. Какие данные мы собираем

2.1. Обычные персональные данные:

• ФИО;
• дата рождения;
• контактные данные (email, номер телефона);
• пол;
• IP-адрес, данные об устройстве, браузере, cookies, журнал активности.

2.2. Специальные категории персональных данных:

• сведения о симптомах;
• описание анамнеза;
• загруженные результаты анализов, исследований, выписок;
• информация, введённая в ИИ-диагностические модули;
• записи и содержание консультаций с врачами.

2.3. Данные, полученные от третьих лиц:

• если вы подключаете клиники или врачей, ранее участвовавших в вашем лечении;
• если врач загружает файлы с вашими данными при согласии.

3. Цели обработки персональных данных

Мы обрабатываем персональные данные исключительно в целях:

3.1. Оказания Пользователю доступа к функционалу Платформы, включая:

• подбор и отображение рекомендаций по симптомам;
• формирование предварительных ИИ-диагнозов (не являющихся окончательными);
• использование справочника препаратов, рекомендаций по аналогам;
• предоставление доступа к консультациям с врачами и клиниками;
• ведение истории обращений и медицинских данных в личном кабинете.

3.2. Связи с Пользователем:

• для обратной связи, уведомлений, рассылок и технической поддержки;
• для информирования о новых функциях Платформы.

3.3. Исполнения требований закона:

ведение бухгалтерии, отчетности, ответов на запросы госорганов, соблюдение медицинского законодательства.

3.4. Обезличивания и анализа данных для совершенствования ИИ-моделей и улучшения качества сервиса.

4. Правовые основания обработки

Обработка данных осуществляется на следующих основаниях:

• согласие субъекта персональных данных (ст. 6, 9 ФЗ-152);
• исполнение договора-оферты (пользовательского соглашения);
• защита жизни, здоровья и иных жизненно важных интересов Пользователя;
• правомерный интерес Оператора по развитию Платформы, при условии ненарушения прав субъекта.

5. Хранение и защита данных

5.1. Все персональные и медицинские данные хранятся:

• на серверах, расположенных в дата-центрах на территории Российской Федерации (в соответствии с ФЗ-152);
• с использованием современных мер криптографической и организационной защиты;
• с разграничением доступа и многоуровневой системой аутентификации.

5.2. Доступ к данным имеют только уполномоченные сотрудники, подписавшие NDA, а также врачебный персонал, если это необходимо для предоставления консультации.

5.3. Мы применяем следующие меры:

• SSL-шифрование соединений;
• двухфакторная аутентификация;
• аудит логов доступа;
• антивирусная защита, регулярный пентест и бэкапы.

6. Передача данных третьим лицам

6.1. Мы можем передавать персональные данные:

• медицинским специалистам и учреждениям, которые оказывают консультации через Платформу (только по вашему запросу);
• операторам связи, ИТ-подрядчикам, хостинг-провайдерам — строго в рамках исполнения договора;
• государственным органам — на основании закона и официального запроса.

6.2. Мы не передаём данные рекламным сетям, брокерам данных и иным третьим лицам без согласия Пользователя.

7. Срок хранения данных

7.1. Персональные данные хранятся в течение:

• срока действия аккаунта Пользователя;
• либо 10 лет с момента последнего использования Платформы, если иное не требуется по закону (например, медицинские записи — в течение 25 лет).

7.2. После истечения срока хранения данные уничтожаются или обезличиваются в порядке, предусмотренном внутренними регламентами.

8. Права субъекта персональных данных

Пользователь имеет право:

• получать информацию о целях и способах обработки его данных;
• требовать исправления, блокирования или уничтожения данных;
• отозвать согласие на обработку данных (если это не нарушает законодательство);
• подать жалобу в Роскомнадзор.

Для реализации прав просьба направить письменное обращение на privacy_policy@netmed.life или по адресу юридического лица.

9. Cookies и аналитика

Мы используем файлы cookies для:

• обеспечения корректной работы интерфейсов;
• сохранения сессий;
• аналитики поведения пользователей с помощью сервисов: Яндекс.Метрика, Google Analytics, и др.

Вы можете настроить запрет на cookies в настройках браузера.

10. Изменения в Политике

Мы оставляем за собой право изменять настоящую Политику. Актуальная версия всегда размещается по адресу: https://netmed.life/privacy_policy/. В случае существенных изменений мы уведомим вас через email или интерфейс Платформы.

11. Соответствие международным стандартам хранения и защиты медицинских данных

ООО «Netmed» уделяет первоочередное внимание вопросам безопасности, конфиденциальности и соблюдению международных нормативов, регулирующих обработку, хранение и передачу медицинских и персональных данных. Мы гарантируем, что архитектура и процессы нашей Платформы соответствуют следующим международным и отраслевым стандартам:

GDPR Compliant (General Data Protection Regulation, ЕС 2016/679)

Netmed следует положениям Общего регламента по защите данных Европейского союза (GDPR), включая:

• законность, справедливость и прозрачность обработки персональных данных;
• ограничение целей обработки;
• минимизацию собираемых данных;
• обеспечение актуальности, точности и целостности данных;
• ограничение сроков хранения;
• права субъекта на доступ, исправление, удаление, ограничение и перенос данных;
• уведомление надзорных органов и субъектов данных о нарушениях безопасности в установленные сроки.

Наши внутренние регламенты и политики полностью адаптированы под положения GDPR для пользователей из стран ЕЭЗ.

HIPAA Compliant (Health Insurance Portability and Accountability Act, США)

Для обеспечения соответствия требованиям законодательства США в области медицинской информации, мы руководствуемся стандартами HIPAA в части:

• технической защиты (шифрование данных в покое и при передаче, авторизация доступа, управление сессиями);
• административных мер (разграничение прав доступа, аудит действий пользователей, управление рисками);
• физической защиты инфраструктуры (контроль доступа к серверным помещениям, оборудование резервного питания, защита от несанкционированного доступа);
• обеспечения конфиденциальности и целостности защищённой медицинской информации (PHI);
• реализации политики уведомлений о нарушениях в обработке PHI.

Эти принципы применимы при оказании услуг пользователям и организациям, находящимся под юрисдикцией HIPAA.

ISO 13485:2016 (Системы менеджмента качества для медицинских изделий)

Мы внедрили процессы, соответствующие требованиям международного стандарта ISO 13485:2016, регулирующего деятельность организаций, связанных с проектированием, производством, хранением, дистрибуцией и обслуживанием медицинских устройств, включая программное обеспечение, выполняющее медицинские функции.

В контексте Платформы Netmed это означает:

• ведение документации по жизненному циклу ИИ-диагностических модулей;
• валидацию программных средств, используемых при медицинском консультировании;
• контроль изменений и управление инцидентами;
• регулярное проведение внутреннего аудита и независимой экспертизы.

ISO/IEC 27001:2017 (Системы управления информационной безопасностью)

Netmed соответствует требованиям ISO/IEC 27001:2017, международного стандарта по обеспечению информационной безопасности, включая:

• анализ и управление рисками в сфере ИТ;
• внедрение политик информационной безопасности;
• управление доступом, инцидентами и активами;
• защита сетевой инфраструктуры, резервное копирование и восстановление;
• обучение сотрудников и управление человеческим фактором;
• аудит соответствия и непрерывное совершенствование системы управления ИБ.

На практике это обеспечивает надёжную защиту всей персональной и медицинской информации Пользователей, обрабатываемой в рамках Платформы.

Мы подтверждаем, что внедрённые в Netmed технические, административные и организационные меры соответствуют требованиям вышеуказанных стандартов и регулярно проверяются в рамках внутреннего и внешнего аудита.