Поручение на обработку персональных данных

Лицензиат, акцептуя Лицензионный договор-оферту (далее — Договор), как оператор персональных данных (далее — Оператор) поручает Индивидуальный предприниматель Поляков В.А. (ИНН 503603984917, ОГРНИП 319507400029071), далее — Обработчик, обработку персональных данных в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) на следующих условиях.

1. Цель и основание

1.1. Цель обработки — обеспечение работы программы «GroomBase» для Оператора: ведение записей, клиентской базы, расписания, расчётов с сотрудниками, кассы, отчётности, обучения, отправка клиентам уведомлений по настройке Оператора. Обработчик не вправе обрабатывать данные в иных целях.

1.2. Оператор самостоятельно определяет цели, объём и правовые основания обработки и отвечает перед субъектами за законность обработки, в том числе за получение согласий, если они требуются, и за уведомление Роскомнадзора. Обработчик отвечает перед Оператором (ч. 5 ст. 6 Закона).

2. Категории субъектов и перечень персональных данных

Специальные категории и биометрические персональные данные не обрабатываются. Оператор не вносит в программу данные, не относящиеся к целям п. 1.1.

3. Перечень действий

Запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) лицам, указанным Оператором, блокирование, удаление, уничтожение — с использованием средств автоматизации. Обработчик совершает действия в объёме, необходимом для исполнения Договора и указаний Оператора, данных через интерфейс программы или письменно.

4. Обязанности Обработчика

1. Соблюдать принципы и правила обработки, предусмотренные Законом, и конфиденциальность персональных данных (ст. 7 Закона).
2. Обеспечивать безопасность персональных данных при обработке в соответствии со ст. 19 Закона, требованиями ПП РФ от 01.11.2012 № 1119 для уровня защищённости, определённого Оператором (не ниже 4-го уровня), и составом мер приказа ФСТЭК России от 18.02.2013 № 21, в том числе: разграничение прав доступа по ролям, в том числе запрет доступа мастеров и помощников к контактам клиентов; шифрование каналов связи (TLS); журналирование действий пользователей; резервное копирование не реже одного раза в сутки; доступ к серверам только уполномоченных лиц по криптографическим ключам; своевременное обновление ПО и устранение уязвимостей.
3. Осуществлять запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона).
4. Не осуществлять трансграничную передачу персональных данных, кроме случаев, когда Оператор сам включил в программе интеграцию с иностранным сервисом (например, отправку уведомлений через Telegram). В этом случае Оператор самостоятельно выполняет требования ст. 12 Закона, включая уведомление Роскомнадзора, а Обработчик передаёт только минимально необходимые данные (имя, кличка питомца, дата и время визита).
5. Уведомлять Оператора о выявленном инциденте с персональными данными (неправомерной или случайной передаче, предоставлении, распространении, доступе) незамедлительно, не позднее 12 часов с момента выявления, и предоставлять сведения, необходимые Оператору для уведомления Роскомнадзора в сроки ч. 3.1 ст. 21 Закона.
6. По запросу Оператора в течение срока действия поручения в течение 10 рабочих дней предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований настоящего раздела.
7. Содействовать Оператору в исполнении запросов субъектов и Роскомнадзора: по запросу Оператора уточнять, блокировать или уничтожать персональные данные в сроки, позволяющие Оператору соблюсти ст. 20–21 Закона. Запросы субъектов, поступившие напрямую Обработчику, пересылать Оператору в течение 3 рабочих дней.
8. Допускать к персональным данным только лиц, которым это необходимо для исполнения Договора и которые приняли обязательство о конфиденциальности.

5. Привлечение третьих лиц

5.1. Оператор соглашается на привлечение Обработчиком ООО «Бегет» для размещения серверов, баз данных и файлового хранилища на территории РФ. О замене или привлечении иных лиц Обработчик уведомляет Оператора не менее чем за 30 дней; Оператор вправе возразить и отказаться от Договора. Обработчик заключает с такими лицами договоры с условиями не ниже установленных настоящим поручением и отвечает за их действия.

5.2. Сторонние сервисы, которые Оператор подключает в программе по своему договору с ними (оператор телефонии, SMS-провайдер, мессенджеры, внешние CRM), не являются лицами, привлечёнными Обработчиком; обработку ими персональных данных Оператор обеспечивает самостоятельно.

6. Срок поручения и уничтожение данных

6.1. Поручение действует в течение срока действия Договора и срока хранения данных по п. 7.3–7.5 Договора.

6.2. По прекращении Договора и после выгрузки данных Оператором (либо по истечении 90 дней) Обработчик уничтожает персональные данные, включая резервные копии, в течение 30 дней, а резервные копии — по истечении цикла их ротации, но не позднее 60 дней, и направляет Оператору акт об уничтожении, оформленный по требованиям приказа Роскомнадзора от 28.10.2022 № 179.

6.3. Обработчик вправе хранить персональные данные после прекращения поручения только в случаях, прямо предусмотренных законом.

7. Контакты

Обращения по вопросам обработки персональных данных: hello@groombase.ru, Московская обл. г. Подольск, ул. Кл. Готвальда, д. 15а. Ответственный — Поляков В.А..