Политика конфиденциальности и обработки персональных данных

1.1. Настоящая Политика конфиденциальности и обработки персональных данных (далее — Политика) определяет порядок и условия обработки персональных данных Индивидуальным предпринимателем Ивановым Сергеем Анатольевичем, ИНН 720324505797, ОГРНИП 320723200015109, место государственной регистрации: Российская Федерация, Тюменская область, г. Тюмень (далее — Оператор).

1.2. Политика применяется к сайту https://three-lab.ru/, его поддоменам, страницам и функциональным элементам, а также к обращениям, направленным Оператору через формы сайта, электронную почту, чат, телефон, Telegram, WhatsApp, VK и иные каналы связи, на которые ведут ссылки с сайта.

1.3. Политика разработана с учетом Конституции Российской Федерации, Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе», Гражданского кодекса Российской Федерации и иных применимых нормативных актов.

1.4. Оператор исходит из принципов законности, справедливости, минимизации, целевого ограничения, точности и ограниченного срока хранения персональных данных.

1.5. Использование сайта не означает автоматического согласия на обработку персональных данных. Когда согласие требуется, оно запрашивается отдельно от Пользовательского соглашения, иных документов и согласий.

1.6. Политика является общедоступным документом. Актуальная редакция размещается по адресу: https://three-lab.ru/docs/privacy.

1.7. Если Пользователь не согласен с Политикой, он должен прекратить передачу Оператору персональных данных и отключить необязательные файлы cookie через интерфейс сайта или настройки браузера.

2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу.

2.2. Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение.

2.3. Пользователь — физическое лицо, посещающее сайт или взаимодействующее с Оператором через указанные в Политике каналы.

2.4. Клиент — юридическое лицо, индивидуальный предприниматель или физическое лицо, заключившее либо намеренное заключить договор с Оператором.

2.5. Файлы cookie — небольшие фрагменты данных, сохраняемые на устройстве Пользователя и используемые для работы сайта, запоминания настроек, обеспечения безопасности и, при наличии отдельного согласия, аналитики и маркетинга.

2.6. Обезличивание — действия, после которых без дополнительной информации невозможно определить принадлежность данных конкретному субъекту.

2.7. Система искусственного интеллекта (ИИ) — программный комплекс, применяемый для анализа, классификации, распознавания, преобразования, обобщения или генерации информации.

3.1. Оператор может обрабатывать данные следующих субъектов: посетителей сайта; лиц, направивших обращение; представителей потенциальных и действующих клиентов; подписчиков информационных материалов; соискателей; контрагентов и их представителей; лиц, участвующих в проектах Оператора на законном основании.

3.2. Данные, предоставляемые Пользователем: имя, фамилия и отчество при их указании; номер телефона; адрес электронной почты; никнейм и идентификатор в мессенджере; должность; наименование организации или клиники; город; адрес сайта; сведения о проекте, задаче, бюджете и предпочтительном способе связи; текст обращения; вложенные документы; сведения, содержащиеся в деловой переписке; реквизиты для заключения и исполнения договора.

3.3. Технические данные: IP-адрес; дата и время доступа; адрес запрошенной страницы; referrer; тип, версия и язык браузера; операционная система; тип устройства; разрешение экрана; идентификаторы cookie; UTM-метки; сведения о действиях на сайте; технические журналы; данные о сбоях и безопасности.

3.4. При общении по телефону Оператор может обрабатывать номер телефона, дату, продолжительность и содержание разговора. Запись разговора допускается только после предварительного уведомления собеседника.

3.5. Оператор не запрашивает через общедоступные формы сайта специальные категории персональных данных, биометрические данные, сведения о здоровье, диагнозах и лечении, данные банковских карт, пароли, коды подтверждения и медицинскую тайну.

3.6. Пользователь обязан не передавать через формы сайта персональные данные пациентов, сотрудников или иных третьих лиц, если у Пользователя отсутствуют законные основания и полномочия на такую передачу.

3.7. Если Оператор случайно получил избыточные данные, включая сведения о здоровье или данные пациентов, он принимает меры к ограничению доступа, уточнению правового основания, обезличиванию либо удалению таких данных.

Оператор обрабатывает персональные данные только для заранее определенных целей и при наличии применимого правового основания.

5.1. Обработка может осуществляться автоматизированным, неавтоматизированным и смешанным способом.

5.2. Оператор не объединяет базы данных, обрабатываемые в несовместимых целях, и не собирает данные «на всякий случай».

5.3. Доступ к данным предоставляется только тем лицам, которым он необходим для исполнения обязанностей, договора или поручения Оператора.

5.4. Оператор принимает правовые, организационные и технические меры защиты, включая разграничение прав доступа, учет действий, резервное копирование, обновление программного обеспечения, использование защищенных каналов, антивирусную защиту, управление паролями и многофакторную аутентификацию там, где она доступна.

5.5. Оператор проверяет актуальность данных и предоставляет субъекту возможность потребовать их уточнения, блокирования или уничтожения.

5.6. Решения, порождающие юридические последствия или иным образом существенно затрагивающие права Пользователя, не принимаются исключительно на основании автоматизированной обработки без предусмотренного законом основания.

6.1. Строго необходимые cookie используются для загрузки страниц, безопасности, сохранения выбранных настроек и функционирования форм. Их отключение может нарушить работу сайта.

6.2. Аналитические и маркетинговые cookie применяются только после отдельного действия Пользователя в интерфейсе управления cookie, если иное прямо не допускается законом.

6.3. До получения согласия необязательные счетчики и технологии отслеживания не должны загружаться. Пользователь должен иметь сопоставимые по доступности возможности принять, отклонить или настроить необязательные cookie.

6.4. Через веб-аналитику могут обрабатываться IP-адрес, идентификаторы cookie, сведения об устройстве, источнике перехода, посещенных страницах и действиях на сайте. По возможности применяется сокращение IP-адреса и иные способы минимизации.

6.5. Срок хранения отдельных cookie определяется их назначением и настройками соответствующего сервиса, но не должен превышать срок, необходимый для заявленной цели. Перечень активных cookie и сроков их хранения размещается в интерфейсе настроек cookie.

6.6. Пользователь может изменить выбор через ссылку «Настройки cookie», удалить cookie в браузере или запретить их сохранение. Удаление cookie не отменяет законность обработки, выполненной до изменения настроек.

7.1. Оператор не продает персональные данные и не предоставляет их неопределенному кругу лиц.

7.2. Данные могут быть переданы: уполномоченным государственным органам в предусмотренных законом случаях; банкам и платежным организациям для расчетов; хостинг-провайдерам, провайдерам электронной почты, CRM, телефонии, аналитики, документооборота, технической поддержки и ИИ-сервисов — в объеме, необходимом для конкретной цели; профессиональным консультантам при соблюдении конфиденциальности; правопреемнику при реорганизации или передаче соответствующего направления бизнеса.

7.3. Лица, обрабатывающие данные по поручению Оператора, обязаны действовать по документированным указаниям, соблюдать конфиденциальность, обеспечивать безопасность, помогать исполнять запросы субъектов и уведомлять об инцидентах.

7.4. Передача данных между Оператором и Клиентом в рамках маркетингового проекта регулируется договором и, когда требуется, отдельным поручением на обработку персональных данных. Роли сторон как самостоятельных операторов или оператора и обработчика определяются фактическими целями и средствами обработки.

7.5. Данные пациентов и медицинская информация Клиента не должны передаваться Оператору через незащищенные каналы. Их обработка допускается только при наличии отдельного письменного основания, согласованных мер безопасности, минимизации и документированного поручения.

8.1. При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации, кроме прямо предусмотренных законом исключений.

8.2. Трансграничная передача не производится по умолчанию. До ее начала Оператор выполняет предусмотренные законом процедуры, оценивает получателя и государство назначения, направляет уведомление в Роскомнадзор, когда оно требуется, и получает отдельное согласие, если отсутствует иное правовое основание.

8.3. Переход Пользователя по ссылке в иностранный мессенджер или сервис означает самостоятельное взаимодействие Пользователя с владельцем такого сервиса. При этом Оператор обязан соблюдать применимые требования в отношении дальнейшей обработки полученной переписки.

8.4. Если конкретный сервис не позволяет обеспечить локализацию, конфиденциальность, управляемое удаление данных и законный режим передачи, Оператор не должен направлять в него идентифицирующие данные Пользователей.

9.1. Оператор может применять ИИ как вспомогательный инструмент для сортировки обращений, расшифровки и обобщения коммуникаций, подготовки черновиков, поиска закономерностей, аналитики, контроля качества, обезличивания и технической поддержки.

9.2. Применение ИИ не создает новых целей обработки. Состав данных ограничивается минимумом, необходимым для уже заявленной цели.

9.3. До передачи данных в ИИ-систему Оператор по возможности удаляет прямые идентификаторы, заменяет их псевдонимами, исключает медицинскую тайну, специальные категории данных, платежные данные, пароли и сведения, не относящиеся к задаче.

9.4. Персональные данные, полученные через сайт, не используются для обучения общедоступных или универсальных моделей ИИ без отдельного, конкретного и информированного согласия субъекта либо иного прямо предусмотренного законом основания.

9.5. Если провайдер ИИ выступает лицом, обрабатывающим данные по поручению, отношения оформляются документально. Оператор выбирает настройки, запрещающие использование данных для обучения модели, когда такая возможность доступна, и ограничивает срок хранения запросов.

9.6. Оператор не передает в зарубежные ИИ-сервисы идентифицирующие данные до выполнения требований о локализации и трансграничной передаче.

9.7. Значимые результаты ИИ подлежат проверке человеком. Пользователь вправе запросить разъяснение и рассмотрение обращения сотрудником без принятия решения исключительно ИИ.

10.1. Данные хранятся не дольше, чем этого требуют цели обработки, договор, сроки исковой давности и обязательные требования законодательства.

10.2. Обращения потенциальных клиентов и связанная переписка хранятся до 3 лет после последнего содержательного взаимодействия, если договор не заключен и нет спора.

10.3. Данные по договорам, актам, счетам и расчетам хранятся в течение срока действия договора и далее в течение сроков, установленных налоговым, бухгалтерским и гражданским законодательством, как правило не менее 5 лет для соответствующих документов.

10.4. Данные для рекламных и информационных сообщений обрабатываются до отзыва согласия либо до прекращения соответствующей программы, но не дольше 3 лет с последнего подтвержденного взаимодействия без нового согласия.

10.5. Данные соискателей, не принятых на работу, хранятся до 1 года после завершения подбора, если субъект не согласился на более длительное включение в кадровый резерв.

10.6. Технические журналы безопасности хранятся, как правило, до 12 месяцев, если более длительный срок не требуется для расследования инцидента или защиты прав.

10.7. После достижения цели, отзыва согласия или получения законного требования обработка прекращается, а данные уничтожаются в установленный законом срок, если сохранение не требуется по иному правовому основанию. При невозможности немедленного уничтожения данные блокируются.

11.1. Пользователь вправе получить сведения об обработке своих данных; требовать уточнения, блокирования или уничтожения; отозвать согласие; возражать против маркетинговой обработки; требовать прекращения обработки; обжаловать действия Оператора в Роскомнадзор или суд.

11.2. Запросы направляются на ivyegres@yandex.ru с темой «Персональные данные». Для защиты от раскрытия данных третьему лицу Оператор вправе запросить сведения, подтверждающие личность и факт взаимодействия.

11.3. Запрос должен позволять идентифицировать субъекта и данные, которых он касается, и содержать описание требования и способ получения ответа.

11.4. Информация предоставляется, как правило, в течение 10 рабочих дней. Срок может быть продлен не более чем на 5 рабочих дней с мотивированным уведомлением.

11.5. Требование о прекращении обработки исполняется в срок до 10 рабочих дней, если отсутствует законное основание продолжить обработку. Уточнение неточных данных производится в срок до 7 рабочих дней после получения подтверждающих сведений.

11.6. Отзыв согласия не влияет на законность обработки, произведенной до его получения, и не прекращает обработку, необходимую для исполнения договора, закона, защиты прав и рассмотрения спора.

12.1. При выявлении утечки или неправомерного доступа Оператор ограничивает обработку, фиксирует обстоятельства, принимает меры по устранению последствий и оценивает риски для субъектов.

12.2. Если инцидент повлек нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов с первичной информацией и в течение 72 часов — о результатах внутреннего расследования.

12.3. Пользователь, обнаруживший уязвимость или ошибочную публикацию данных, должен не распространять полученную информацию и сообщить Оператору на контактный адрес.

12.4. Ни один способ передачи и хранения информации не обеспечивает абсолютную безопасность. Оператор обязан принимать достаточные меры, но не может гарантировать отсутствие всех угроз, находящихся вне его разумного контроля.

13.1. Оператор оказывает маркетинговые, аналитические, технические и консультационные услуги и не является медицинской организацией. Через общедоступный сайт не осуществляется запись пациента на медицинскую услугу от имени конкретной клиники, если это прямо не указано в отдельном сервисе.

13.2. Клиент самостоятельно отвечает за законность первичного сбора данных пациентов, содержание согласий, медицинскую тайну, права доступа в МИС и CRM и достоверность поручений, передаваемых Оператору.

13.3. Оператор обрабатывает данные Клиента и его пациентов только в объеме, необходимом для согласованной задачи, по документированному поручению и с учетом режима врачебной тайны.

13.4. Для аналитики предпочтительно использовать обезличенные или агрегированные данные: источник обращения, этап воронки, даты, суммы, направление лечения и идентификатор без ФИО, телефона, диагноза и свободного текста.

13.5. Использование данных пациентов в рекламных кабинетах, системах аналитики, коллтрекинге, внешних ИИ-сервисах или кейсах допускается только при наличии отдельного законного основания и необходимых согласий. Публикация отзыва, фотографии, истории лечения или результата допускается только на основании отдельного согласия на распространение.

14.1. Оператор вправе изменять Политику при изменении законодательства, сайта, состава сервисов или процессов обработки.

14.2. Новая редакция действует с даты публикации, если в ней не указано иное. Существенные изменения могут дополнительно доводиться до Пользователей через сайт или контактные данные.

14.3. К обработке применяется право Российской Федерации.

14.4. Реквизиты Оператора: Индивидуальный предприниматель Иванов Сергей Анатольевич; ИНН 720324505797; ОГРНИП 320723200015109; место регистрации: Российская Федерация, Тюменская область, г. Тюмень; сайт: https://three-lab.ru/; контакт по вопросам персональных данных: ivyegres@yandex.ru.

14.5. Дата вступления в силу настоящей редакции: 14 июля 2026 года.