Соглашение об обработке персональных данных (поручение обработки) № ______________
Редакция 2.0 от 24 сентября 2026 г. Приложение к Публичной оферте Base Integrator (пункт 7.3).
Как применяется настоящее Соглашение
Настоящее поручение обработки персональных данных действует в двух формах; заполнять поля вручную нужно только во второй:
Форма 1 — в составе публичной оферты (по умолчанию). Соглашение опубликовано по адресу baseintegrator.com/dpa и является неотъемлемой частью Публичной оферты Base Integrator. Для Заказчика, акцептовавшего оферту, оно применяется автоматически ко всем Сервисам, при использовании которых Исполнитель обрабатывает персональные данные по поручению Заказчика: «Заказчиком» является лицо, принявшее оферту; датой — дата акцепта. Отдельное подписание и заполнение реквизитов при этом НЕ требуются.
Форма 2 — как отдельно подписываемый документ (по запросу корпоративного Заказчика). Для Заказчиков, которым нужна двусторонняя подписанная бумага, реквизиты Заказчика и дата заполняются в форме ниже и подписываются обеими сторонами.
Реквизиты Исполнителя (Индивидуальный предприниматель Дмитрий Викторович Голт) заполнены. Пустые поля ниже относятся ИСКЛЮЧИТЕЛЬНО к Заказчику и заполняются им при подписании по Форме 2.
г. Красногорск
«____» ________________ 20____ г.
______________________________________________ (полное наименование), ИНН ______________, ОГРН(ИП) ______________, в лице ______________________________________________, действующего на основании ______________, именуемое в дальнейшем «Заказчик» и являющееся оператором персональных данных, с одной стороны, и
Индивидуальный предприниматель Дмитрий Викторович Голт (ИНН 027812457036, ОГРНИП 326508100112784), именуемый в дальнейшем «Исполнитель» и являющийся лицом, осуществляющим обработку персональных данных по поручению Заказчика (ч. 3 ст. 6 Федерального закона № 152-ФЗ), с другой стороны,
совместно именуемые «Стороны», заключили настоящее соглашение (далее — «Соглашение»).
Юридическая конструкция. Поручение исходит от Заказчика-оператора: заключая (акцептуя) договор с настоящим Соглашением, Заказчик тем самым даёт Исполнителю поручение на обработку персональных данных в объёме и на условиях, изложенных ниже. Исполнитель обрабатывает Поручаемые данные в целях, определённых настоящим Соглашением и пунктами 7.6–7.8 Оферты.
1. Термины и статус сторон
1.1 Заказчик — лицо, использующее Сервис и являющееся оператором персональных данных, содержащихся в Данных Заказчика, в данных его портала внешней платформы и в его информационных системах. Термины, не определённые в настоящем Соглашении, применяются в значении, установленном Офертой.
1.2. Исполнитель — ИП Дмитрий Викторович Голт — лицо, осуществляющее обработку персональных данных по поручению Заказчика (ч. 3 ст. 6 152-ФЗ).
1.3 Субобработчик — лицо, привлекаемое Исполнителем для обеспечения обработки: провайдер хостинга и центров обработки данных, провайдер вычислительных мощностей и языковых моделей, оператор электронного документооборота, оператор рассылок и иные лица, обеспечивающие функционирование Сервисов (раздел 6).
1.4. Поручаемые данные — персональные данные, содержащиеся в Данных Заказчика и обрабатываемые Исполнителем в связи с предоставлением Сервисов; оператором этих данных остаётся Заказчик. Сведения, полученные Исполнителем из государственных информационных ресурсов (пункт А.35.1 Оферты), Поручаемыми данными не являются.
2. Предмет поручения и перечень действий
2.1 Заказчик поручает Исполнителю обработку Поручаемых данных, а Исполнитель обязуется обрабатывать их в объёме и на условиях настоящего Соглашения.
2.2. Перечень действий с персональными данными, совершаемых Исполнителем по поручению: сбор (получение от Заказчика и с портала Заказчика), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление Заказчику, уполномоченным им лицам и Субобработчикам), обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется с использованием средств автоматизации.
2.3 Исполнитель не распространяет Поручаемые данные и не передаёт их третьим лицам иначе как в порядке раздела 6. Поручаемые данные иным заказчикам Исполнителя в форме, позволяющей определить Заказчика, его контрагентов или субъектов персональных данных, не предоставляются (пункт 7.8.2 Оферты).
3. Цели обработки
3.1. Поручаемые данные обрабатываются в целях:
- предоставления Заказчику функциональности Сервисов, включая работу Помощника (пункт 7.6 Оферты), техническую поддержку, обеспечение работоспособности и безопасности Сервисов;
- улучшения качества работы Сервисов, улучшения технической поддержки и обеспечения информационной безопасности, в том числе формирования общих баз знаний, обучения, настройки и оценки качества моделей и алгоритмов Исполнителя (пункт 7.8 Оферты). Поручаемые данные используются в этой цели после обезличивания, за исключением оценки качества ответов на обращения пользователей Заказчика (пункт 7.8.1 Оферты).
3.2 Заказчик вправе отозвать поручение в части цели, указанной во втором пункте перечня пункта 3.1, в порядке пункта 7.9 Оферты. Отзыв не влияет на функциональность Сервисов.
3.3. Обработка для иных целей осуществляется на основании отдельного письменного поручения Заказчика.
4. Объём и категории данных и субъектов
4.1. Категории субъектов: работники и уполномоченные лица Заказчика (Пользователи); контрагенты и представители контрагентов Заказчика, сведения о которых попадают в приложение; иные лица, чьи данные Заказчик размещает в приложении.
4.2 Категории и состав данных — в объёме, определяемом Заказчиком и функциональностью Сервиса: фамилия, имя, отчество; должность, подразделение; корпоративные контактные данные (e-mail, телефон); идентификаторы учётных записей Пользователей и пользователей внешних платформ; содержание документов, записей, обращений к Помощнику и иных объектов, создаваемых Заказчиком и Пользователями в Сервисе, включая персональные данные, которые Заказчик решил в них разместить.
4.3 Расширенный набор для кадровых продуктов. Для продуктов, обрабатывающих персональные данные работников Заказчика (кадровый учёт, зарплата, табель, охрана труда), дефолтного набора недостаточно: перечень полей расширяется (СНИЛС, паспортные данные, платёжные реквизиты, а при наличии — сведения, относимые к специальным категориям, ст. 10 152-ФЗ), фиксируется в поручении (Приложение) и требует у Заказчика-оператора соответствующего правового основания и обновления уведомления в Роскомнадзор до начала обработки. До подписания Сторонами Приложения с составом полей расширенный набор (СНИЛС, паспортные данные, платёжные реквизиты, специальные категории) в поручение не входит; размещение Заказчиком таких данных в продукте до подписания Приложения запрещено и осуществляется на его собственный риск — Исполнитель не несёт ответственности за их обработку как выходящую за пределы поручения. Актуальный состав полей: определяется подписанным Сторонами Приложением.
4.4 Специальные категории и биометрические персональные данные Заказчику размещать в Сервисе не рекомендуется; при их размещении Заказчик как оператор обеспечивает наличие соответствующего основания, а Исполнитель обрабатывает их в том же режиме поручения.
4.5. Место обработки. Для отдельных приложений данные могут находиться и обрабатываться на портале внешней платформы Заказчика. Базы данных, используемые Исполнителем для записи, систематизации, накопления, хранения, уточнения и извлечения Поручаемых данных, размещены на территории Российской Федерации.
5. Обязанности Исполнителя
5.1 Обрабатывать Поручаемые данные только по поручению Заказчика и на условиях настоящего Соглашения; не определять цели обработки самостоятельно.
5.2. Конфиденциальность. Обеспечивать конфиденциальность Поручаемых данных и не раскрывать их третьим лицам без согласия Заказчика, кроме случаев, установленных законом. Обязанность соблюдать конфиденциальность возлагается на всех допущенных к обработке лиц и сохраняется после прекращения Соглашения.
5.3 Меры безопасности (ч. 5 ст. 18.1, ст. 19 152-ФЗ). Исполнитель применяет правовые, организационные и технические меры защиты, в том числе:
- определение угроз безопасности и уровня защищённости информационной системы, применение мер по постановлению Правительства РФ № 1119;
- шифрование каналов связи (TLS); хранение паролей в виде криптографических хешей;
- разграничение доступа и изоляция данных на уровне системы управления базами данных, принцип минимально необходимых прав;
- журналирование операций и учёт носителей; отказ от записи ФИО в журналы аудита (хеширование идентификаторов);
- резервное копирование и восстановление;
- размещение баз данных на территории Российской Федерации;
- назначение ответственного за организацию обработки; внутренние регламенты; обучение и допуск ограниченного круга лиц;
- реагирование на инциденты и оценка вреда субъектам.
5.4. Локализация (ч. 5 ст. 18 152-ФЗ). Запись, систематизацию, накопление, хранение, уточнение и извлечение Поручаемых данных граждан РФ Исполнитель осуществляет с использованием баз данных, размещённых на территории Российской Федерации.
5.5. По требованию Заказчика предоставлять сведения об организации обработки и применяемых мерах (в формате раздела 11).
6. Привлечение субобработчиков
6.1 Общее разрешение. Заказчик, заключая (акцептуя) настоящее Соглашение, разрешает Исполнителю привлекать Субобработчиков, обеспечивающих хостинг и центры обработки данных, вычислительные мощности и языковые модели, электронный документооборот, рассылку уведомлений и иное техническое обеспечение Сервисов.
6.2. Условия привлечения. Исполнитель возлагает на каждого Субобработчика обязанности, предусмотренные частью 3 статьи 6 и статьёй 19 Федерального закона № 152-ФЗ, обязанность соблюдать конфиденциальность, а на Субобработчиков, обеспечивающих вычислительные мощности и языковые модели, — также обязанность не использовать переданные сведения для обучения собственных моделей.
6.3 Перечень. Актуальный перечень Субобработчиков предоставляется Заказчику по письменному запросу в течение 10 рабочих дней. Заказчик, заключивший настоящее Соглашение в Форме 2, вправе потребовать уведомления о замене Субобработчика и заявить мотивированное возражение в течение 10 рабочих дней; при неустранении возражения Заказчик вправе отказаться от договора в затронутой части с возвратом неиспользованного остатка оплаты, что является его единственным средством защиты.
6.4 Ответственность за Субобработчиков. За действия Субобработчиков Исполнитель отвечает перед Заказчиком как за свои собственные с учётом раздела 10 и пункта 8.3 Оферты.
7. Инциденты с персональными данными
7.1. При выявлении инцидента с Поручаемыми данными (неправомерный или случайный доступ, передача, предоставление, уничтожение, изменение, блокирование) Исполнитель уведомляет Заказчика незамедлительно, но не позднее 12 (двенадцати) часов с момента выявления — с составом сведений, достаточным для исполнения Заказчиком его обязанностей оператора перед Роскомнадзором.
7.2 Срок уведомления установлен для того, чтобы Заказчик как оператор успел исполнить свои обязанности по уведомлению Роскомнадзора о факте инцидента (ч. 3.1 ст. 21 152-ФЗ) и о результатах внутреннего расследования. Субобработчик, первым узнающий об инциденте на своей стороне, обязан уведомить Исполнителя в срок, обеспечивающий соблюдение настоящего пункта.
7.3. Исполнитель содействует Заказчику в расследовании инцидента, оценке вреда субъектам и подготовке уведомлений.
8. Содействие правам субъектов персональных данных
8.1 Исполнитель содействует Заказчику в исполнении обязанностей по обращениям субъектов персональных данных (доступ, уточнение, блокирование, удаление, возражение). Получив обращение субъекта напрямую, Исполнитель не отвечает по существу самостоятельно, а незамедлительно передаёт его Заказчику как оператору и действует по его указанию.
8.2. Технические средства Сервиса обеспечивают возможность поиска, уточнения, блокирования и удаления данных конкретного субъекта по запросу Заказчика в сроки, позволяющие Заказчику соблюсти сроки, установленные 152-ФЗ.
9. Содействие Заказчику в его обязанностях оператора
9.1 По запросу Исполнитель предоставляет Заказчику сведения, необходимые для исполнения Заказчиком обязанностей оператора: об организации обработки, категориях данных и субъектов, применяемых мерах, привлечённых субобработчиках, местах обработки — для целей оценки вреда, уведомлений и взаимодействия с Роскомнадзором.
10. Ответственность
10.1. Исполнитель отвечает перед Заказчиком за убытки, причинённые нарушением настоящего Соглашения, в пределах, установленных договором. Стороны учитывают, что публично-правовую ответственность перед Роскомнадзором за нарушение прав субъектов несёт оператор (Заказчик), а Исполнитель как лицо, обрабатывающее по поручению, несёт ответственность перед оператором (ч. 3 ст. 6, ст. 22.1 152-ФЗ).
10.2 Соразмерность регресса. Ограничение ответственности Исполнителя перед Заказчиком не должно обнулять возможность реального возмещения вреда, возникшего у Заказчика вследствие нарушения, допущенного Исполнителем или Субобработчиком (в том числе административного штрафа, наложенного на Заказчика по вине Исполнителя).
10.3. Специальный предел. Совокупная ответственность Исполнителя за нарушения при обработке Поручаемых данных, включая регресс по административному штрафу, наложенному на Заказчика вследствие нарушения, допущенного Исполнителем, не может превышать суммы, фактически уплаченной Заказчиком Исполнителю за соответствующий Сервис за 12 месяцев, предшествующих нарушению. В индивидуально подписываемой форме настоящего Соглашения Стороны вправе согласовать иной размер. Ограничение не применяется к ответственности за умышленное нарушение (п. 4 ст. 401 ГК РФ).
11. Аудит
11.1 Заказчик вправе не чаще одного раза в год (и дополнительно — после инцидента) проверять соблюдение Исполнителем настоящего Соглашения. Разумный формат аудита: предоставление Исполнителем отчёта о мерах защиты и (или) заполненной анкеты безопасности (security questionnaire), а при обоснованной необходимости — сведений о результатах внутренней проверки.
11.2. Выездная проверка допускается по предварительному согласованию, в согласованном объёме, без раскрытия данных иных заказчиков и коммерческой тайны Исполнителя, с отнесением разумных расходов на Заказчика.
11.3 Пакет доверия (Trust Package). По запросу Заказчика Исполнитель предоставляет под соглашением о конфиденциальности модель угроз и уровень защищённости, описание мер по ст. 19 152-ФЗ, заполненную security-анкету с маппингом на ГОСТ Р 57580 / ISO 27001, реестр субобработчиков, отчёт независимого тестирования на проникновение и сведения о киберстраховании — по мере их наличия.
12. Локализация и трансграничная передача
12.1 Локализация баз данных обеспечивается в порядке пункта 5.4. Трансграничная передача Поручаемых данных, если она необходима для работы Сервиса, осуществляется с соблюдением статьи 12 Федерального закона № 152-ФЗ; Исполнитель по запросу Заказчика предоставляет сведения, необходимые Заказчику как оператору для исполнения обязанностей, установленных указанной статьёй.
12.2. Внешние каналы. При подключении Пользователем мессенджера или иного Внешнего канала (пункт 7.11 Оферты) Поручаемые данные в объёме, отображаемом Пользователю, передаются на инфраструктуру оператора такого канала, которая может находиться за пределами Российской Федерации. Оператор Внешнего канала Субобработчиком Исполнителя не является и обрабатывает сведения на собственных условиях. Заказчик, допуская подключение Внешних каналов, разрешает такую передачу и вправе её ограничить в порядке пункта 7.11.1 Оферты.
13. Срок, возврат и уничтожение данных
13.1 Соглашение действует в течение срока хранения Поручаемых данных Исполнителем.
13.2. Хранение после прекращения договора. Прекращение договора не влечёт автоматического уничтожения Поручаемых данных. Данные хранятся в целях, указанных в пункте 7.10 Оферты, до получения письменного требования Заказчика об их возврате либо уничтожении. Требование исполняется в срок не более 30 рабочих дней, включая копии у Субобработчиков, кроме случаев, когда хранение требуется по закону; по запросу Заказчика Исполнитель предоставляет подтверждение уничтожения. Обезличенные сведения, полученные в порядке пункта 7.8 Оферты, уничтожению не подлежат, поскольку персональными данными не являются.
14. Порядок заключения и заключительные положения
14.1 Настоящее Соглашение является неотъемлемой частью договора (оферты) между Сторонами и заключается (акцептуется) вместе с ним, в том числе через подтверждающее действие при первом запуске приложения с логированием акцепта. Заключение означает выдачу Заказчиком-оператором поручения Исполнителю на изложенных условиях.
14.2. Если Заказчику требуется поручение по его собственной форме, Стороны заключают его отдельно; при отсутствии такового действует настоящее Соглашение как поручение оператора.
14.3 Применимое право — право Российской Федерации. По вопросам поручения обработки персональных данных настоящее Соглашение имеет приоритет над Политикой и общей частью договора. Изменения вносятся в порядке изменения договора с уведомлением Заказчика.
15. Реквизиты и подписи Сторон
| Заказчик (оператор) | Исполнитель (обработчик по поручению) |
|---|---|
| ______________________________________ | Индивидуальный предприниматель Дмитрий Викторович Голт |
| ИНН ______________ | ИНН 027812457036 |
| ОГРН(ИП) ______________ | ОГРНИП 326508100112784 |
| Адрес: ______________________________ | |
| Ответственный за организацию обработки ПДн: ______________ | Эл. почта: mail@baseintegrator.com |
| Эл. почта: ______________ | |
| _______________ / ______________ | _______________ / Д. В. Голт |
| м. п. |