Записаться на демо
Меню
  1. Документы
  2. Клиникам

Поручение на обработку персональных данных

Редакция от 12 ноября 2026 г. Скачать PDF Скачать Word
Черновик. Проверить у юриста перед использованием.

Приложение 1 к Лицензионному договору-оферте на право использования программы DentOS в облаке. Редакция от 12.11.2026.

Оператор — клиника, принявшая оферту (https://mydentos.ru/dokumenty/oferta-oblako/). Обработчик — ООО «ОМНЕКС» (ИНН 7801748922). Оператор поручает Обработчику обработку персональных данных на условиях ниже (ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). Поручение даётся при акцепте оферты и действует, пока действует договор, и в течение срока выдачи и удаления данных.

1. Чьи данные и какие

Субъекты Персональные данные
Пациенты и их законные представители ФИО, пол, дата рождения, телефон, почта, адрес, паспорт, СНИЛС, полис ОМС или ДМС; сведения о состоянии здоровья: медицинская карта, осмотры, диагнозы, зубная формула, снимки, планы лечения, протоколы и электронные медицинские документы; записи на приём и визиты; счета, оплаты, бонусы; переписка с клиникой; записи звонков, если клиника их включила
Сотрудники Оператора ФИО, должность, специальность, телефон, почта, логин, расписание, начисления зарплаты, журнал действий в Программе
Контрагенты Оператора ФИО и контакты техников лабораторий, поставщиков, страховых компаний

Специальная категория — сведения о состоянии здоровья. Биометрические персональные данные в Программе для установления личности не используются.

2. Цели обработки

Обработчик обрабатывает данные только для того, чтобы Оператор мог пользоваться Программой:

  • хранить базу Оператора, резервировать и восстанавливать её;
  • показывать данные сотрудникам Оператора по их правам;
  • показывать пациенту его записи, документы и счета в приложении МойДент и онлайн-записи, хранить связи аккаунтов МойДент с карточками пациентов Оператора;
  • отправлять сообщения пациентам по каналам, которые включил Оператор;
  • решать обращения Оператора в поддержку.

Для своих целей Обработчик данные Оператора не использует, не продаёт и не передаёт.

3. Действия с данными

3.1. Запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) по указанию Оператора, блокирование, удаление, уничтожение. Обработка автоматизированная.

3.2. Данные вносит Оператор. Передача третьим лицам — только:

  • пациенту о нём самом, по его запросу в МойДент;
  • в сервисы, которые Оператор подключил сам (Telegram, MAX, SMS, телефония, онлайн-касса, ЮKassa, ИИ-сервисы, ЕГИСЗ), — в объёме, который нужен этим сервисам; в ИИ-сервисы сведения о состоянии здоровья не передаются;
  • субобработчикам из раздела 6;
  • по законному требованию государственных органов. Об этом Обработчик сообщает Оператору, если закон не запрещает.

4. Обязанности Обработчика

Обработчик:

  1. соблюдает принципы и правила обработки персональных данных, установленные 152-ФЗ;

  2. соблюдает конфиденциальность персональных данных и не раскрывает их без согласия Оператора;

  3. соблюдает врачебную тайну (ст. 13 Федерального закона от 21.11.2011 № 323-ФЗ). Сотрудники Обработчика, которым сведения о пациентах станут известны по работе, подписывают обязательство о неразглашении;

  4. хранит данные в Российской Федерации: запись, систематизация, накопление, хранение, уточнение и извлечение — только в базах на территории России (ч. 5 ст. 18 152-ФЗ);

  5. выполняет требования ст. 18.1 152-ФЗ и принимает меры защиты по ст. 19 152-ФЗ из раздела 5;

  6. по запросу Оператора, в том числе до начала обработки, в течение 10 рабочих дней передаёт документы, которые подтверждают выполнение требований этого раздела;

  7. сообщает Оператору об инциденте — неправомерной или случайной передаче, предоставлении, распространении или доступе к его данным:

    • первое сообщение — в течение 12 часов с момента выявления: что произошло, предполагаемые причины и вред, принятые меры, контакт ответственного;
    • итоги внутреннего расследования — в течение 48 часов.

    Эти сроки оставляют Оператору время уведомить Роскомнадзор в течение 24 и 72 часов (ч. 3.1 ст. 21 152-ФЗ);

  8. в течение 3 рабочих дней передаёт Оператору запросы пациентов и сотрудников Оператора, которые пришли Обработчику напрямую, и помогает их выполнить;

  9. допускает своих сотрудников к данным Оператора, только если директор Оператора разрешил вход в Программе. Разрешение действует 2 часа и может быть закрыто раньше, каждый вход записывается в журнал Оператора.

5. Меры защиты

5.1. Облако DentOS — одна информационная система персональных данных. Для неё определён 2-й уровень защищённости (Требования к защите персональных данных, утв. постановлением Правительства РФ от 01.11.2012 № 1119). Меры выбраны по составу и содержанию мер, утв. приказом ФСТЭК России от 18.02.2013 № 21.

5.2. Инфраструктура — сегмент облачного провайдера с аттестатом соответствия требованиям по защите информации на этот уровень. Физическую защиту, среду виртуализации и сеть провайдера закрывает его аттестат.

5.3. Меры Обработчика:

  • данные каждой клиники отделены защитой строк в базе: Программа подключается к базе ролью, которая не может обойти это разделение. Изоляция проверяется автоматическими тестами;
  • соединения — только по HTTPS;
  • резервные копии шифруются до отправки в хранилище, ключ хранится отдельно от копий;
  • права сотрудников Оператора разграничены ролями, пароли хранятся в виде хэшей, попытки входа ограничены;
  • администраторы Обработчика входят в консоль платформы с паролем и одноразовым кодом и только из доверенных сетей. Их действия записываются в журнал;
  • журналы работы сервиса не содержат телефонов, токенов, параметров запросов к базе и последнего октета IP-адреса;
  • восстановление базы на любую минуту за последние 30 дней и ежедневная проверка восстановления;
  • изменения Программы проходят автоматические тесты, включая проверку прав доступа и изоляции клиник;
  • назначен ответственный за организацию обработки персональных данных, сотрудники ознакомлены с требованиями.

5.4. Модель угроз, акт определения уровня защищённости и аттестат сегмента провайдера Обработчик предоставляет по п. 4.6.

6. Субобработчики

6.1. Оператор согласен, что Обработчик привлекает:

Кто Что делает Где
[облачный провайдер] вычислительные мощности и хранилище в аттестованном сегменте Россия
Сервисы доставки уведомлений МойДент: RuStore (ООО «ВК»), Google Firebase Cloud Messaging, Apple Push Notification service доставка пушей на телефоны пациентов: только «Новое сообщение от клиники» и технический идентификатор устройства, без названия клиники и сведений о приёме. Текст пациент видит в приложении RuStore — Россия; Google и Apple — США

6.2. Субобработчики обязаны соблюдать конфиденциальность и защищать данные не хуже, чем по этому поручению.

6.3. О новом субобработчике Обработчик сообщает в Программе не позднее чем за 30 дней. Если Оператор не согласен, он вправе отказаться от договора до начала работы нового субобработчика с возвратом денег за неиспользованные дни Периода.

6.4. Сервисы, которые Оператор подключил сам (п. 3.2), субобработчиками Обработчика не являются: данные туда передаются по договору Оператора с ними и по его решению. Telegram хранит переписку за рубежом — подключая бота клиники в Telegram, Оператор сам решает вопрос трансграничной передачи.

7. Обязанности Оператора

Оператор:

  • обрабатывает данные на законных основаниях: договор с пациентом, п. 4 ч. 2 ст. 10 152-ФЗ для медицинских целей, согласия, где они нужны;
  • получает согласие пациентов и сотрудников на поручение обработки Обработчику, если оно требуется (ч. 3 ст. 6 152-ФЗ), и указывает Обработчика в формах согласия (п. 4 ч. 4 ст. 9 152-ФЗ). Пример формулировки — в Приложении к поручению;
  • сам уведомляет Роскомнадзор об обработке и об инцидентах;
  • выдаёт права своим сотрудникам и отвечает за их действия.

8. Окончание обработки

8.1. После прекращения договора Обработчик передаёт данные Оператору и удаляет их по п. 10.4–10.5 оферты: выгрузка — зашифрованный архив, пароль — отдельно; 60 дней на выгрузку или письменное подтверждение Оператора, что выгрузка получена; затем удаление из Облака в течение 30 дней и из резервных копий по истечении срока их хранения, но не позднее 30 дней. По запросу Оператор получает акт об уничтожении.

8.2. Если Оператор попросит удалить данные раньше, Обработчик удаляет их в течение 30 дней после запроса.

9. Ответственность

Перед пациентами и сотрудниками за действия Обработчика отвечает Оператор, Обработчик отвечает перед Оператором (ч. 5 ст. 6 152-ФЗ). Размер ответственности Обработчика — по разделу 11 оферты.

Приложение. Пример формулировки для согласия пациента

Оператор вставляет её в свою форму согласия на обработку персональных данных:

Я согласен, что [название клиники] поручает обработку моих персональных данных, включая сведения о состоянии здоровья, ООО «ОМНЕКС» (ИНН 7801748922, адрес: 197046, г. Санкт-Петербург, вн. тер. г. муниципальный округ Посадский, ул. Большая Посадская, д. 24/2, литера А, помещ. 3-Н, РМ 22) — разработчику программы DentOS, в которой клиника ведёт расписание, медицинскую карту и расчёты. Обработчик хранит данные в России и обязан соблюдать их конфиденциальность и врачебную тайну.

Нормы

Сверено 12.11.2026 по текстам на consultant.ru: