Соглашение об обработке персональных данных (поручение обработки) № ______________

Как применяется настоящее Соглашение

Настоящее поручение обработки персональных данных действует в двух формах; заполнять поля вручную нужно только во второй:

Форма 1 — в составе публичной оферты (по умолчанию). Соглашение опубликовано по адресу baseintegrator.com/dpa и является неотъемлемой частью Публичной оферты Base Integrator. Для Заказчика, акцептовавшего оферту и использующего приложения линейки, оно применяется автоматически: «Заказчиком» является лицо, принявшее оферту; датой — дата акцепта. Отдельное подписание и заполнение реквизитов при этом НЕ требуются.

Форма 2 — как отдельно подписываемый документ (по запросу корпоративного Заказчика). Для Заказчиков, которым нужна двусторонняя подписанная бумага, реквизиты Заказчика и дата заполняются в форме ниже и подписываются обеими сторонами.

Реквизиты Исполнителя (Индивидуальный предприниматель Дмитрий Викторович Голт) заполнены. Пустые поля ниже относятся ИСКЛЮЧИТЕЛЬНО к Заказчику и заполняются им при подписании по Форме 2.

г. Красногорск

«____» ________________ 20____ г.

______________________________________________ (полное наименование), ИНН ______________, ОГРН(ИП) ______________, в лице ______________________________________________, действующего на основании ______________, именуемое в дальнейшем «Заказчик» и являющееся оператором персональных данных, с одной стороны, и

Индивидуальный предприниматель Дмитрий Викторович Голт (ИНН 027812457036, ОГРНИП 326508100112784), именуемый в дальнейшем «Исполнитель» и являющийся лицом, осуществляющим обработку персональных данных по поручению Заказчика (ч. 3 ст. 6 Федерального закона № 152-ФЗ), с другой стороны,

совместно именуемые «Стороны», заключили настоящее соглашение (далее — «Соглашение»).

Юридическая конструкция. Поручение исходит от Заказчика-оператора: заключая (акцептуя) договор с настоящим Соглашением, Заказчик тем самым даёт Исполнителю поручение на обработку персональных данных в объёме и на условиях, изложенных ниже. Исполнитель обрабатывает данные только по поручению и в интересах Заказчика, не определяя самостоятельно цели обработки.

1. Термины и статус сторон

1.1. Заказчик — лицо, использующее приложение (сервис) и являющееся оператором персональных данных, обрабатываемых в связи с работой приложения на его портале либо в его инфраструктуре (сведения о его работниках, контрагентах, документы, задачи).

1.2. Исполнитель — ИП Дмитрий Викторович Голт — лицо, осуществляющее обработку персональных данных по поручению Заказчика (ч. 3 ст. 6 152-ФЗ).

1.3. Инфраструктурный субобработчик — хостинг-провайдер Timeweb Cloud (ООО «ТаймВэб»), привлекаемый Исполнителем для размещения инфраструктуры и технического обеспечения обработки на территории Российской Федерации (п. 6).

1.4. Поручаемые данные — персональные данные, обрабатываемые Исполнителем исключительно в связи с предоставлением Заказчику функциональности приложения (сервиса); оператором этих данных остаётся Заказчик.

2. Предмет поручения и перечень действий

2.1. Заказчик поручает Исполнителю обработку Поручаемых данных, а Исполнитель обязуется обрабатывать их в объёме и на условиях настоящего Соглашения.

2.2. Перечень действий с персональными данными, совершаемых Исполнителем по поручению: сбор (получение от Заказчика и с портала Заказчика), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление Заказчику и уполномоченным им лицам), блокирование, удаление, уничтожение. Обработка осуществляется с использованием средств автоматизации.

2.3. Исполнитель не вправе обрабатывать Поручаемые данные в собственных целях, объединять их с иными массивами для собственных целей, распространять или передавать третьим лицам иначе как в порядке п. 6.

3. Цели обработки

3.1. Единственная цель обработки Поручаемых данных — обеспечение функциональности приложения (сервиса) в интересах Заказчика: предоставление возможностей продукта (для Кабинета СЭД — маршрутизация и согласование документов; для «На контроле» — учёт сроков активов и уведомления; для иных сервисов — согласно их документации), техническая поддержка Заказчика, обеспечение работоспособности и безопасности приложения.

3.2. Обработка для любых иных целей осуществляется только на основании отдельного письменного поручения Заказчика; если Исполнитель определяет цель самостоятельно — вне режима настоящего Соглашения и на собственном правовом основании Исполнителя.

4. Объём и категории данных и субъектов

4.1. Категории субъектов: работники и уполномоченные лица Заказчика (пользователи портала); контрагенты и представители контрагентов Заказчика, сведения о которых попадают в приложение; иные лица, чьи данные Заказчик размещает в приложении.

4.2. Категории и состав данных — в объёме, определяемом Заказчиком и функциональностью приложения: фамилия, имя, отчество; должность, подразделение; корпоративные контактные данные (e-mail, телефон); идентификаторы пользователя портала Битрикс24; содержание документов, задач и иных объектов, создаваемых Заказчиком в приложении, включая персональные данные, которые Заказчик решил в них разместить.

4.3. Расширенный набор для кадровых продуктов. Для продуктов, обрабатывающих персональные данные работников Заказчика (кадровый учёт, зарплата, табель, охрана труда), дефолтного набора недостаточно: перечень полей расширяется (СНИЛС, паспортные данные, платёжные реквизиты, а при наличии — сведения, относимые к специальным категориям, ст. 10 152-ФЗ), фиксируется в поручении (Приложение) и требует у Заказчика-оператора соответствующего правового основания и обновления уведомления в Роскомнадзор до начала обработки. До подписания Сторонами Приложения с составом полей расширенный набор (СНИЛС, паспортные данные, платёжные реквизиты, специальные категории) в поручение не входит; размещение Заказчиком таких данных в продукте до подписания Приложения запрещено и осуществляется на его собственный риск — Исполнитель не несёт ответственности за их обработку как выходящую за пределы поручения. Актуальный состав полей: определяется подписанным Сторонами Приложением.

4.4. Специальные категории и биометрические персональные данные Заказчику размещать в приложении не рекомендуется; при их размещении Заказчик как оператор обеспечивает наличие соответствующего основания, а Исполнитель обрабатывает их в том же режиме поручения.

4.5. Место обработки. Для отдельных приложений (в частности, Кабинет СЭД) данные могут находиться и обрабатываться на самом портале Битрикс24 Заказчика; в части, обрабатываемой на стороне Исполнителя и инфраструктурного субобработчика, обработка ведётся на территории Российской Федерации.

5. Обязанности Исполнителя

5.1. Обрабатывать Поручаемые данные только по поручению Заказчика и на условиях настоящего Соглашения; не определять цели обработки самостоятельно.

5.2. Конфиденциальность. Обеспечивать конфиденциальность Поручаемых данных и не раскрывать их третьим лицам без согласия Заказчика, кроме случаев, установленных законом. Обязанность соблюдать конфиденциальность возлагается на всех допущенных к обработке лиц и сохраняется после прекращения Соглашения.

5.3. Меры безопасности (ч. 5 ст. 18.1, ст. 19 152-ФЗ). Исполнитель применяет правовые, организационные и технические меры защиты, в том числе:

• определение угроз безопасности и уровня защищённости информационной системы, применение мер по постановлению Правительства РФ № 1119;
• шифрование каналов связи (TLS); хранение паролей в виде криптографических хешей;
• разграничение доступа и изоляция данных на уровне СУБД (row-level security), принцип минимально необходимых прав;
• журналирование операций и учёт носителей; отказ от записи ФИО в журналы аудита (хеширование идентификаторов);
• резервное копирование и восстановление;
• размещение инфраструктуры на территории Российской Федерации;
• назначение ответственного за организацию обработки; внутренние регламенты; обучение и допуск ограниченного круга лиц;
• реагирование на инциденты и оценка вреда субъектам.

5.4. Локализация (ч. 5 ст. 18 152-ФЗ). Запись, систематизацию, накопление, хранение, уточнение и извлечение Поручаемых данных граждан РФ Исполнитель осуществляет с использованием баз данных, размещённых на территории Российской Федерации.

5.5. По требованию Заказчика предоставлять сведения об организации обработки и применяемых мерах (в формате раздела 11).

6. Привлечение субобработчиков

6.1. Инфраструктурный субобработчик раскрыт. Заказчик, заключая (акцептуя) настоящее Соглашение, даёт согласие на привлечение Исполнителем хостинг-провайдера Timeweb Cloud (ООО «ТаймВэб») для размещения инфраструктуры и технического обеспечения обработки на территории Российской Федерации.

6.2. Иные субобработчики. Исполнитель вправе привлекать иных лиц (оператор ЭДО, оператор рассылок и т. п.) при условии: (а) предварительного уведомления Заказчика с указанием субобработчика и характера обработки; (б) возложения на субобработчика тех же обязательств по защите данных, что предусмотрены настоящим Соглашением; (в) права Заказчика заявить мотивированное возражение. Актуальный перечень субобработчиков предоставляется по запросу.

6.3. Ответственность за субобработчиков. За действия привлечённых субобработчиков (включая Timeweb Cloud) Исполнитель отвечает перед Заказчиком как за свои собственные (с учётом раздела 10).

7. Инциденты с персональными данными

7.1. При выявлении инцидента с Поручаемыми данными (неправомерный или случайный доступ, передача, предоставление, уничтожение, изменение, блокирование) Исполнитель уведомляет Заказчика незамедлительно, но не позднее 12 (двенадцати) часов с момента выявления — с составом сведений, достаточным для исполнения Заказчиком его обязанностей оператора перед Роскомнадзором.

7.2. Срок уведомления установлен для того, чтобы Заказчик как оператор успел исполнить свои обязанности по уведомлению Роскомнадзора о факте инцидента (ч. 3.1 ст. 21 152-ФЗ) и о результатах внутреннего расследования. Инфраструктурный субобработчик (Timeweb Cloud), первым узнающий об инциденте на своей стороне, обязан уведомить Исполнителя в срок, обеспечивающий соблюдение настоящего пункта.

7.3. Исполнитель содействует Заказчику в расследовании инцидента, оценке вреда субъектам и подготовке уведомлений.

8. Содействие правам субъектов персональных данных

8.1. Исполнитель содействует Заказчику в исполнении обязанностей по обращениям субъектов персональных данных (доступ, уточнение, блокирование, удаление, возражение). Получив обращение субъекта напрямую, Исполнитель не отвечает по существу самостоятельно, а незамедлительно передаёт его Заказчику как оператору и действует по его указанию.

8.2. Технические средства приложения обеспечивают возможность поиска, уточнения, блокирования и удаления данных конкретного субъекта по запросу Заказчика в сроки, позволяющие Заказчику соблюсти сроки, установленные 152-ФЗ.

9. Содействие Заказчику в его обязанностях оператора

9.1. По запросу Исполнитель предоставляет Заказчику сведения, необходимые для исполнения Заказчиком обязанностей оператора: об организации обработки, категориях данных и субъектов, применяемых мерах, привлечённых субобработчиках, местах обработки — для целей оценки вреда, уведомлений и взаимодействия с Роскомнадзором.

10. Ответственность

10.1. Исполнитель отвечает перед Заказчиком за убытки, причинённые нарушением настоящего Соглашения, в пределах, установленных договором. Стороны учитывают, что публично-правовую ответственность перед Роскомнадзором за нарушение прав субъектов несёт оператор (Заказчик), а Исполнитель как лицо, обрабатывающее по поручению, несёт ответственность перед оператором (ч. 3 ст. 6, ст. 22.1 152-ФЗ).

10.2. Соразмерность регресса. Ограничение ответственности Исполнителя перед Заказчиком не должно обнулять возможность реального возмещения вреда, возникшего у Заказчика вследствие нарушения, допущенного Исполнителем или инфраструктурным субобработчиком (в том числе административного штрафа, наложенного на Заказчика по вине Исполнителя).

10.3. Специальный ПДн-потолок. По соглашению Сторон устанавливается специальный предел ответственности Исполнителя за нарушение при обработке персональных данных (включая покрытие регресса по административному штрафу, наложенному на Заказчика по вине Исполнителя) в размере 2-кратной суммы, фактически уплаченной Заказчиком за соответствующий Сервис за 12 месяцев, предшествующих инциденту, но не менее 10 000 (десяти тысяч) рублей; в индивидуально подписываемой форме настоящего Соглашения Стороны вправе согласовать иной размер, и при отсутствии заполнения применяется размер, установленный настоящим пунктом. Данный предел не является безлимитным; изъятие действует для умысла и грубой неосторожности. Иные пределы ответственности к ПДн-инцидентам не применяются.

11. Аудит

11.1. Заказчик вправе не чаще одного раза в год (и дополнительно — после инцидента) проверять соблюдение Исполнителем настоящего Соглашения. Разумный формат аудита: предоставление Исполнителем отчёта о мерах защиты и (или) заполненной анкеты безопасности (security questionnaire), а при обоснованной необходимости — сведений о результатах внутренней проверки.

11.2. Выездная проверка допускается по предварительному согласованию, в согласованном объёме, без раскрытия данных иных заказчиков и коммерческой тайны Исполнителя, с отнесением разумных расходов на Заказчика.

11.3. Пакет доверия (Trust Package). По запросу Заказчика Исполнитель предоставляет под соглашением о конфиденциальности модель угроз и уровень защищённости, описание мер по ст. 19 152-ФЗ, заполненную security-анкету с маппингом на ГОСТ Р 57580 / ISO 27001, реестр субобработчиков, отчёт независимого тестирования на проникновение и сведения о киберстраховании — по мере их наличия.

12. Локализация и трансграничная передача

12.1. Поручаемые данные обрабатываются на территории Российской Федерации (п. 5.4). Трансграничная передача Поручаемых данных не осуществляется. Открытие трансграничной передачи возможно только при наличии у Заказчика (оператора) поданного уведомления по ст. 12 152-ФЗ и с соблюдением требований этой статьи.

13. Срок, возврат и уничтожение данных

13.1. Соглашение действует в течение срока действия договора (использования приложения Заказчиком).

13.2. При прекращении обработки (расторжение договора, отзыв поручения, прекращение использования приложения) Исполнитель по выбору Заказчика возвращает Поручаемые данные Заказчику и (или) уничтожает их (включая копии у субобработчиков), кроме случаев, когда хранение требуется по закону. Уничтожение производится в срок не более 30 дней; по факту уничтожения Сторонами подписывается акт об уничтожении персональных данных (Исполнитель предоставляет Заказчику подтверждение уничтожения).

14. Порядок заключения и заключительные положения

14.1. Настоящее Соглашение является неотъемлемой частью договора (оферты) между Сторонами и заключается (акцептуется) вместе с ним, в том числе через подтверждающее действие при первом запуске приложения с логированием акцепта. Заключение означает выдачу Заказчиком-оператором поручения Исполнителю на изложенных условиях.

14.2. Если Заказчику требуется поручение по его собственной форме, Стороны заключают его отдельно; при отсутствии такового действует настоящее Соглашение как поручение оператора.

14.3. Применимое право — право Российской Федерации. По вопросам поручения обработки персональных данных настоящее Соглашение имеет приоритет над Политикой и общей частью договора. Изменения вносятся в порядке изменения договора с уведомлением Заказчика.

15. Реквизиты и подписи Сторон