Документ

Поручение на обработку персональных данных

Форма приложения к договору с клиникой. Публикуем заранее, чтобы юрист клиники увидел условия до переговоров, а не после.

Редакция от «17» сентября 2026 года. Оформляется по части 3 статьи 6 Федерального закона № 152-ФЗ. Правки юриста клиники обсуждаемы — пишите на Poz_dir@mail.ru.

Стороны

Оператор — клиника, заключившая договор: наименование, ОГРН, ИНН и адрес указываются в договоре.

Обработчик — ИП Казаков Эльдар Мухтарович, ОГРНИП 317072600013315, ИНН 072602223362, адрес: Краснодарский край, г. Сочи, ул. Войкова, д. 1, корп. 1 (сервис Dentobot).

1. Предмет поручения

1.1. Оператор поручает, а Обработчик обязуется осуществлять обработку персональных данных пациентов Оператора в объёме и на условиях настоящего Поручения, в целях исполнения договора.

1.2. Оператор самостоятельно определяет цели обработки, состав персональных данных и несёт ответственность перед субъектами персональных данных. Обработчик действует исключительно по поручению Оператора и не определяет цели обработки.

1.3. Согласие субъектов персональных данных получает Оператор до передачи данных Обработчику. Обработчик такие согласия не собирает.

2. Цели обработки

2.1. Обработка осуществляется исключительно в следующих целях:

  • создание записи пациента на приём в информационной системе Оператора;
  • проверка и подтверждение статуса созданной записи;
  • отмена и перенос записи по обращению пациента — если эта возможность включена Оператором;
  • передача Оператору заявок, которые не удалось оформить записью автоматически;
  • уведомление Оператора о таких заявках и о сбоях интеграций;
  • передача сведений о пациентах и приёмах, сведений о счетах и оплатах, задач и комментариев сотрудников клиники из медицинской информационной системы Оператора в его систему управления взаимоотношениями с клиентами (например, amoCRM) и сверка этих сведений — если Оператор включил такую передачу;
  • отображение сведений о записях в личном кабинете Оператора.

2.2. Обработка в любых иных целях, в том числе для собственной рекламы Обработчика, аналитики, обучения моделей или передачи третьим лицам, не указанным в разделе 5, не допускается.

3. Состав персональных данных

3.1. Обработчик обрабатывает: фамилию, имя, отчество; номер телефона; дату рождения; выбранные услугу и врача; дату и время приёма; состояние записи; комментарий пациента; технический идентификатор диалога.

3.2. Если Оператор включил передачу сведений в систему управления взаимоотношениями с клиентами (пункт 2.1), Обработчик дополнительно обрабатывает по пациентам, сведения о которых есть в медицинской информационной системе Оператора: номер и дату заведения карточки, дополнительный номер телефона, признак архивной карточки и его причину, источник, из которого пациент узнал о клинике, комментарий к карточке; сведения о приёмах — дату и время, врача и кресло, отметки о приходе, начале и окончании приёма, выдаче чека, отмене и переносе, причину отмены, источник записи, комментарии к приёму и к отмене; сведения о счетах — наименования, количество и стоимость оказанных услуг, скидки; сведения об оплатах, задачи и комментарии сотрудников клиники — даты и суммы оплат и возвратов, кассу, расчётный аванс или долг, тип и текст задачи и отметку о её выполнении, комментарии администраторов об общении с пациентом. Эти сведения хранятся у Обработчика рабочей копией только для такой передачи и сверки и удаляются, когда Оператор отключает интеграцию в личном кабинете.

3.3. Обработчик не обрабатывает сведения, составляющие врачебную тайну, и специальные категории персональных данных: диагнозы, анамнез, план и результаты лечения, данные обследований и снимки. Такие сведения не запрашиваются и не читаются из систем Оператора. Тексты комментариев и задач составляют сотрудники Оператора; Оператор обеспечивает, чтобы такие сведения в них не вносились, либо отключает передачу текстов в личном кабинете.

3.4. Биометрические персональные данные не обрабатываются.

4. Перечень действий (операций)

4.1. Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) в пределах раздела 5, блокирование, удаление, уничтожение — способами автоматизированной обработки.

5. Привлечение третьих лиц

5.1. Оператор даёт согласие на привлечение Обработчиком следующих лиц в объёме, необходимом для исполнения договора:

  • провайдер онлайн-записи, через которого Оператор принимает записи (для медицинской информационной системы IDENT — сервис МедФлекс), — для создания приёма в системе Оператора;
  • система управления взаимоотношениями с клиентами Оператора (например, amoCRM) — если Оператор включил такую передачу;
  • российский хостинг-провайдер — для размещения серверов и резервных копий.

5.2. Обработчик обеспечивает, чтобы привлечённые лица соблюдали требования не ниже установленных настоящим Поручением.

6. Обязанности Обработчика

6.1. Соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом № 152-ФЗ, и конфиденциальность персональных данных.

6.2. Обеспечивать безопасность персональных данных, принимая меры, предусмотренные статьёй 19 Федерального закона № 152-ФЗ и Постановлением Правительства РФ № 1119, в том числе: разграничение доступа по ролям, передачу данных по защищённому протоколу, хранение ключей и токенов в зашифрованном виде, журналирование действий пользователей, регулярное резервное копирование.

6.3. Обрабатывать персональные данные граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации; трансграничную передачу не осуществлять.

6.4. Не раскрывать и не распространять персональные данные без согласия Оператора, если иное не предусмотрено федеральным законом.

6.5. Уведомлять Оператора обо всех обращениях субъектов персональных данных и запросах уполномоченных органов в течение 3 (трёх) рабочих дней с момента получения и исполнять указания Оператора по таким обращениям.

6.6. Уведомлять Оператора о фактах неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных незамедлительно, но не позднее 24 часов с момента выявления, а о результатах внутреннего расследования — не позднее 72 часов, с тем чтобы Оператор мог исполнить обязанность по части 3.1 статьи 21 Федерального закона № 152-ФЗ.

6.7. По требованию Оператора предоставлять сведения об обрабатываемых персональных данных и о принимаемых мерах защиты.

7. Срок обработки, возврат и уничтожение

7.1. Обработка осуществляется в течение срока действия договора.

7.2. В течение 5 (пяти) рабочих дней после прекращения договора Обработчик передаёт Оператору выгрузку сведений о записях в машиночитаемом формате.

7.3. Обработчик прекращает обработку и уничтожает персональные данные, включая копии в резервных копиях по мере их ротации, не позднее 30 (тридцати) календарных дней после прекращения договора, а по письменному требованию Оператора — в течение 5 (пяти) рабочих дней. Об уничтожении составляется акт, копия которого направляется Оператору по его запросу.

7.4. Токены и ключи доступа к системам Оператора отзываются немедленно по команде Оператора в личном кабинете или по его письменному требованию.

8. Ответственность

8.1. Обработчик несёт ответственность перед Оператором за соблюдение настоящего Поручения. Ответственность перед субъектами персональных данных несёт Оператор.

8.2. Поручение действует с даты подписания договора и до истечения сроков, установленных разделом 7.

Связанные документы