1. Общие положения

Настоящая Политика в отношении обработки персональных данных (далее — «Политика») определяет цели, условия и порядок обработки персональных данных (далее — «ПДн»), осуществляемой Обществом с ограниченной ответственностью «КОРТУМ» (далее — «Оператор», «Компания»).

Политика разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «ФЗ-152»), ч. 2 ст. 18.1 которого обязывает оператора опубликовать документ, определяющий его политику в отношении обработки ПДн.

Политика распространяется на все процессы обработки ПДн, осуществляемые Компанией в рамках её хозяйственной деятельности и эксплуатации программных продуктов: Скрайб, Суфлёр, Кортекс, Азраф.

2. Основные понятия

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту ПДн).
• Оператор — юридическое или физическое лицо, организующее и (или) осуществляющее обработку ПДн, определяющее цели и состав обработки. Оператором в рамках настоящей Политики является ООО «КОРТУМ».
• Обработка ПДн — любое действие с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, обезличивание, блокирование, удаление, уничтожение.
• Специальные категории ПДн — данные, касающиеся состояния здоровья, расовой или национальной принадлежности, политических взглядов, религиозных убеждений, судимостей и иные категории, перечисленные в ст. 10 ФЗ-152.
• Обезличивание — действия, в результате которых невозможно без использования дополнительной информации определить принадлежность ПДн конкретному субъекту.

3. Принципы обработки персональных данных

Компания при обработке ПДн руководствуется следующими принципами (ст. 5 ФЗ-152):

• Законность и справедливость.
• Ограничение обработки заранее определёнными целями; не допускается обработка ПДн, несовместимая с указанными целями.
• Недопустимость избыточного сбора: объём ПДн соответствует целям обработки.
• Достоверность и актуальность данных.
• Хранение не дольше, чем требуют цели обработки.
• Обеспечение конфиденциальности и безопасности ПДн.

4. Цели обработки персональных данных

Компания обрабатывает ПДн исключительно в рамках следующих целей:

Продукт / процесс	Цель обработки	Категории ПДн
Скрайб	Автоматизированное документирование врачебного приёма: транскрипция аудио, структурирование протокола осмотра, кодирование по МКБ-10	Данные о здоровье пациента, ФИО, дата рождения (только в рамках договора с медицинской организацией)
Суфлёр (Copilot)	AI-ассистент для контакт-центров: поддержка оператора в реальном времени, управление сценариями взаимодействия	ФИО, номер телефона, email, суть обращения, запись разговора (обезличенная)
Кортекс	Долгосрочное хранение контекста взаимодействий для обеспечения непрерывности обслуживания	Обезличенные идентификаторы, история взаимодействий
Азраф	Маскировка и обезличивание ПДн до передачи данных в языковые модели	Обрабатывает ПДн транзакционно; на выходе — обезличенные данные
Деловая переписка	Обработка входящих обращений потенциальных и действующих клиентов, партнёров, кандидатов	ФИО, email, телефон, содержание переписки

5. Правовые основания обработки

Обработка ПДн осуществляется на следующих основаниях:

• Согласие субъекта ПДн (ст. 9 ФЗ-152) — для специальных категорий (данные о здоровье) и в иных случаях, предусмотренных законом.
• Исполнение договора с субъектом ПДн или в его интересах (п. 5 ч. 1 ст. 6 ФЗ-152).
• Осуществление законной деятельности оператора (п. 7 ч. 1 ст. 6 ФЗ-152).
• Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан» — в части обработки медицинских данных.
• Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите ПДн при их обработке в информационных системах».
• Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности ПДн».

6. Категории субъектов и состав персональных данных

Пациенты медицинских организаций — клиентов Компании

• Общие ПДн: ФИО, дата рождения, пол, адрес, номер телефона.
• Специальные ПДн (ст. 10 ФЗ-152): сведения о состоянии здоровья, диагнозах, лечении — исключительно в рамках продукта Скрайб и только при наличии письменного согласия пациента.
• Биометрические ПДн: аудиозапись голоса. По умолчанию обрабатывается в оперативной памяти и не сохраняется. По отдельному требованию медицинской организации допускается хранение в шифрованном виде (AES-256) в периметре учреждения для внутреннего аудита.

Сотрудники организаций-клиентов (операторы, врачи)

• ФИО, должность, учётные данные для доступа к системе.

Контрагенты и обращающиеся лица

• ФИО, email, телефон, содержание обращения.

Компания не обрабатывает: биометрические данные в целях идентификации личности, данные о расовой/национальной принадлежности, политических взглядах, религиозных убеждениях, судимостях.

7. Порядок и условия обработки

Обработка ПДн осуществляется как с использованием средств автоматизации, так и без таковых (смешанная обработка).

Сбор ПДн происходит исключительно в рамках заключённых договоров с медицинскими организациями и иными заказчиками. ПДн не собираются напрямую от субъектов через сайты Компании.

Трансграничная передача ПДн не осуществляется. Все данные хранятся и обрабатываются на серверах, физически расположенных на территории Российской Федерации.

Компания не осуществляет автоматизированную обработку ПДн, влекущую юридически значимые последствия для субъекта, без участия человека.

8. Хранение персональных данных

Хранение ПДн осуществляется в одном из следующих вариантов в зависимости от выбранного заказчиком способа развёртывания:

• On-premise (на оборудовании учреждения): данные хранятся на серверах внутри периметра медицинской организации. Компания не имеет доступа к данным после передачи системы в эксплуатацию.
• Облачная инсталляция: данные хранятся в дата-центрах ООО «Селектел» (ИНН 7842393933), г. Санкт-Петербург, на территории РФ. Обработка осуществляется на основании договора поручения обработки ПДн.

ПДн хранятся не дольше, чем этого требуют цели обработки. После достижения целей, отзыва согласия или расторжения договора данные уничтожаются или обезличиваются в срок не более 30 дней, если иное не предусмотрено законодательством РФ.

9. Передача персональных данных третьим лицам

Компания не передаёт ПДн третьим лицам, за исключением:

• Обработчиков по поручению (ООО «Селектел» — в части облачного хранения при соответствующем варианте развёртывания), действующих на основании договора и в соответствии с инструкциями Компании.
• Случаев, прямо предусмотренных федеральным законодательством (запросы уполномоченных органов).

Продажа ПДн третьим лицам не осуществляется. Передача данных в иностранные государства не производится.

10. Меры по обеспечению безопасности

В соответствии с требованиями ФЗ-152 и ПП РФ № 1119 Компания применяет следующие меры защиты:

Организационные меры

• Настоящая Политика и внутренние регламенты обработки ПДн.
• Назначен ответственный за организацию обработки ПДн.
• Оценка вреда субъектам ПДн; модель угроз безопасности.
• Разграничение прав доступа сотрудников к ПДн по принципу минимальных привилегий.
• Обучение сотрудников требованиям ФЗ-152.

Технические меры

• Шифрование данных при передаче: TLS 1.2 и выше.
• Шифрование данных при хранении: AES-256.
• Маскировка ПДн компонентом Азраф до обращения к языковым моделям.
• Межсетевое экранирование (WAF), системы обнаружения вторжений (IDS/IPS).
• Антивирусная защита, журналирование событий безопасности (аудит-лог).
• Резервное копирование.
• Аудио по умолчанию обрабатывается в оперативной памяти без сохранения на диск.

11. Права субъектов персональных данных

Субъект ПДн вправе (ст. 14–17 ФЗ-152):

• Получить информацию об обработке своих ПДн.
• Требовать уточнения, блокирования или уничтожения неполных, устаревших или неправомерно обрабатываемых ПДн.
• Отозвать согласие на обработку ПДн в любой момент.
• Обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

Для реализации прав субъекты ПДн могут направить обращение по реквизитам, указанным в разделе 13.

12. Обработка обращений и сроки ответа

Обращения субъектов ПДн принимаются по электронной почте. Компания рассматривает обращение и направляет ответ в течение 30 календарных дней с момента получения, если иное не установлено законодательством.

При подаче обращения необходимо указать: ФИО, контактные данные, суть требования и (при наличии) реквизиты договора с медицинской организацией, в рамках которого осуществлялась обработка.

13. Ответственный за обработку персональных данных

14. Изменение политики

Компания вправе вносить изменения в настоящую Политику в одностороннем порядке без уведомления субъектов ПДн. Новая редакция вступает в силу с момента её размещения на сайте kortum.ru/privacy, если иное не предусмотрено новой редакцией.

Рекомендуем периодически проверять актуальность Политики. Дата последней редакции указана в шапке документа.