УТВЕРЖДЕНА

приказом директора

АНО «Центр „Немаленькие люди“»

от «17» августа 2026 г. № 2

ПОЛИТИКА

Автономной некоммерческой организации пациентов с ахондроплазией и другими костными дисплазиями и их семей «Центр „Немаленькие люди“»

в отношении обработки персональных данных

Редакция 2026 года

1. Общие положения

1.1. Настоящая Политика определяет основные правила обработки персональных данных Автономной некоммерческой организацией пациентов с ахондроплазией и другими костными дисплазиями и их семей «Центр „Немаленькие люди“» (далее — Оператор, Организация).

1.2. Оператор: АНО «Центр „Немаленькие люди“», ИНН 9725052154, ОГРН 1217700267641. Адрес: 115191, г. Москва, ул. 2-я Рощинская, д. 4, этаж 5, помещ. IA, ком. 1, офис 46. Электронная почта для обращений по вопросам персональных данных: welcome@achondroplasia.ru. Оператор включён в реестр операторов персональных данных Роскомнадзора, регистрационный номер 77-25-329877.

1.3. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными применимыми нормативными правовыми актами Российской Федерации. Она распространяется на персональные данные, которые Организация обрабатывает в рамках своей уставной, трудовой, договорной, информационной и иной законной деятельности.

1.4. Настоящая Политика является общедоступным документом. Детальные правила доступа, использования информационных систем, работы с документами, реагирования на инциденты и иные внутренние процедуры устанавливаются локальными актами Организации.

2. Принципы обработки персональных данных

Оператор обрабатывает персональные данные на законной и справедливой основе, для конкретных и заранее определённых целей, в объёме, необходимом для таких целей, и не хранит их дольше, чем это требуется целями обработки или законодательством Российской Федерации.

• не допускается обработка, несовместимая с заявленными целями;
• не допускается сбор избыточных персональных данных;
• принимаются разумные меры для обеспечения точности и актуальности данных;
• доступ к персональным данным ограничивается служебной или иной установленной необходимостью;
• Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных.

3. Категории субъектов, цели и состав обрабатываемых данных
Оператор обрабатывает персональные данные только при наличии правового основания и в объёме, необходимом для соответствующей цели.

3.1. Пациенты и их законные представители
Цели обработки: ведение реестра пациентов с ахондроплазией и другими костными дисплазиями; приём и сопровождение обращений; оказание информационной, социальной, правовой, организационной и иной поддержки в рамках уставной деятельности; проведение исследований и аналитической работы; организация участия в программах и мероприятиях.
В зависимости от цели могут обрабатываться: ФИО, дата рождения, пол, регион и населённый пункт проживания, контактные данные, сведения о законном представителе, содержание обращения и история взаимодействия с Организацией, а также сведения о состоянии здоровья — диагноз, сведения о подтверждении диагноза, обследованиях, лечении, инвалидности, реабилитации, лекарственной терапии, операциях, участии в исследованиях и иные медицинские сведения, необходимые для конкретной цели.

3.2. Лица, впервые обратившиеся в Организацию или на горячую линию
Для регистрации обращения и установления обратной связи Оператор обрабатывает минимально необходимый объём данных: имя или ФИО, контактные данные, регион при необходимости и содержание обращения. Если для дальнейшего сопровождения требуется обработка сведений о состоянии здоровья или медицинских документов, Оператор определяет наличие предусмотренного законом правового основания и при необходимости получает письменное согласие субъекта или его законного представителя.

3.3. Участники мероприятий, программ, исследований и информационных проектов
Оператор может обрабатывать ФИО, контактные данные, возраст или дату рождения при необходимости, регион, сведения о законном представителе, сведения об участии в мероприятиях и иные данные, объективно необходимые для организации программы, исследования, мероприятия или информационного взаимодействия. Сведения о здоровье обрабатываются только при наличии соответствующего правового основания.

3.4. Врачи, эксперты, специалисты, волонтёры, исполнители, партнёры и контрагенты
В зависимости от характера взаимодействия могут обрабатываться ФИО, контактные данные, должность, место работы, профессиональная квалификация, сведения об образовании, сведения, необходимые для заключения и исполнения договора, а также налоговые, банковские и иные данные в объёме, необходимом для исполнения законодательства или договора.

3.5. Работники, бывшие работники и соискатели
Оператор обрабатывает персональные данные для оформления и сопровождения трудовых отношений, кадрового и бухгалтерского учёта, расчётов, исполнения налоговых и иных обязательных требований, организации работы, предоставления и администрирования корпоративных доступов, рассмотрения кандидатур и защиты прав и законных интересов. Состав данных определяется законодательством и необходимостью соответствующей цели.

3.6. Пользователи сайта и электронных сервисов
При использовании сайта и электронных сервисов могут обрабатываться данные, которые пользователь самостоятельно вводит в формы, а также технические сведения, необходимые для функционирования и безопасности сайта, включая IP-адрес, сведения об устройстве, браузере, времени обращения и файлы cookie в объёме, соответствующем фактически используемым технологиям.

4. Специальные категории персональных данных и данные несовершеннолетних

4.1. В связи с уставной деятельностью Организация обрабатывает специальные категории персональных данных, касающиеся состояния здоровья пациентов. Такая обработка осуществляется только при наличии основания, предусмотренного законодательством Российской Федерации. При ведении реестра пациентов и долгосрочном сопровождении основным применяемым основанием является письменное согласие субъекта персональных данных или его законного представителя; иные основания применяются только в случаях, прямо предусмотренных законом.

4.2. Обработка сведений о состоянии здоровья ограничивается данными, необходимыми для конкретной цели. Факт наличия у человека заболевания, инвалидности или обращения за поддержкой сам по себе не является основанием для сбора всех доступных сведений о его здоровье.

4.3. Если человек при первичном обращении самостоятельно направил медицинские документы или иные специальные категории персональных данных до оформления необходимого правового основания, доступ к таким сведениям ограничивается, они не используются для иных целей, а вопрос их дальнейшей обработки решается в соответствии с законодательством Российской Федерации.

4.4. При обработке данных несовершеннолетнего Оператор получает согласие законного представителя в случаях, когда это требуется законом. Персональные данные других членов семьи и родственников обрабатываются только при наличии самостоятельного правового основания; сведения о семейном анамнезе по возможности фиксируются без идентификации конкретного родственника.

5. Правовые основания и согласия

5.1. В зависимости от цели Оператор осуществляет обработку на основании согласия субъекта персональных данных, письменного согласия в случаях, когда оно требуется законом, договора с субъектом персональных данных, необходимости исполнения обязанностей, установленных законодательством Российской Федерации, либо иных оснований, прямо предусмотренных Федеральным законом № 152-ФЗ и другими федеральными законами.

5.2. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. В случаях, установленных законодательством, согласие оформляется отдельно от иных документов и информации, которые субъект подписывает или подтверждает.

5.3. Публичное распространение персональных данных, включая публикацию идентифицируемых историй пациентов, сведений о диагнозе, фотографий или видеоматериалов, осуществляется только при наличии соответствующего правового основания. Когда законодательством требуется согласие на обработку персональных данных, разрешённых субъектом для распространения, такое согласие оформляется отдельно.

5.4. Согласие на участие в реестре, программе или мероприятии само по себе не означает согласия на публикацию персональных данных в открытом доступе.

6. Порядок обработки, передача и хранение

6.1. Оператор может осуществлять автоматизированную, неавтоматизированную и смешанную обработку персональных данных, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление, предоставление доступа, обезличивание, блокирование, удаление и уничтожение.

6.2. Персональные данные могут предоставляться государственным органам, контрагентам и иным лицам только при наличии законного основания и в объёме, необходимом для конкретной цели. При поручении обработки другому лицу Оператор обеспечивает включение в договор необходимых условий об обработке и защите персональных данных.

6.3. При сборе персональных данных граждан Российской Федерации Оператор обеспечивает выполнение требований законодательства о локализации персональных данных. Используемые Оператором базы данных, в которых осуществляется первичная запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации, находятся на территории Российской Федерации в случаях, когда это требуется законодательством.

6.4. Трансграничная передача персональных данных Оператором не осуществляется. До подключения нового сервиса или технологии, способных повлечь передачу персональных данных на территорию иностранного государства иностранному физическому или юридическому лицу, Оператор проводит отдельную оценку и при необходимости выполняет предусмотренные законодательством процедуры до начала такой передачи.

6.5. Персональные данные хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен законом, договором или иным законным основанием. После достижения цели обработки либо наступления иных предусмотренных законом обстоятельств обработка прекращается, а персональные данные удаляются или уничтожаются в установленном порядке, если отсутствует правовое основание для их дальнейшей обработки.

7. Доступ работников и иных уполномоченных лиц

7.1. Работники и иные уполномоченные Оператором лица осуществляют обработку персональных данных исключительно от имени Оператора, в пределах предоставленных полномочий и для установленных Оператором целей. Предоставление доступа к персональным данным не предоставляет такому лицу самостоятельного права определять цели их обработки или использовать персональные данные в собственных интересах.

7.2. Доступ предоставляется в объёме, необходимом для выполнения соответствующих функций. Конкретный порядок предоставления, изменения и прекращения доступа, а также правила использования информационных систем и каналов связи устанавливаются внутренними документами Организации.

7.3. Лица, получившие доступ к персональным данным, обязаны соблюдать конфиденциальность и требования законодательства Российской Федерации и локальных актов Организации.

7.4. При прекращении трудовых, гражданско-правовых или иных отношений либо изменении функций Оператор принимает меры по прекращению более не требующихся прав доступа и возврату под контроль Организации рабочих документов и данных.

8. Меры по защите персональных данных и инциденты

8.1. Оператор принимает необходимые правовые, организационные и технические меры, предусмотренные законодательством Российской Федерации, включая назначение ответственного за организацию обработки персональных данных, принятие локальных актов, разграничение доступа, применение мер защиты информационных систем, внутренний контроль и иные необходимые меры.

8.2. При выявлении обстоятельств, которые могут свидетельствовать о неправомерном или случайном доступе к персональным данным либо иных нарушениях, Оператор принимает меры для прекращения нарушения, ограничения возможных последствий и проведения внутренней проверки. При наличии установленных законом оснований Оператор уведомляет Роскомнадзор в порядке и сроки, предусмотренные законодательством Российской Федерации.

9. Права субъектов персональных данных
Субъект персональных данных вправе в случаях и пределах, предусмотренных законодательством Российской Федерации:

• получать сведения об обработке своих персональных данных;
• требовать уточнения, блокирования, удаления или уничтожения данных при наличии предусмотренных законом оснований;
• отзывать согласие на обработку персональных данных;
• требовать прекращения обработки в предусмотренных законом случаях;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в суд;
• осуществлять иные права, предусмотренные законодательством Российской Федерации.

Для реализации своих прав субъект или его представитель может обратиться по адресу Оператора либо направить обращение на электронную почту welcome@achondroplasia.ru. Оператор рассматривает обращения в порядке и сроки, установленные законодательством Российской Федерации.

10. Заключительные положения

10.1. Настоящая Политика вступает в силу с даты, установленной приказом директора Организации, и действует до утверждения новой редакции.

10.2. С даты вступления настоящей редакции в силу предыдущая редакция Политики в отношении обработки персональных данных признаётся утратившей силу.

10.3. Актуальная редакция Политики размещается в открытом доступе на официальном сайте Организации. На страницах сайта, посредством которых осуществляется сбор персональных данных, обеспечивается доступ к настоящей Политике.

10.4. Оператор пересматривает Политику при изменении законодательства, целей или способов обработки персональных данных, используемых информационных решений либо иных существенных обстоятельств. При необходимости Оператор актуализирует сведения, представленные в Роскомнадзор, в порядке и сроки, установленные законодательством Российской Федерации.