Приложение № 1 к оферте
Зачем этот документ. Внося в SanCRM данные своих клиентов, сервисный центр остаётся оператором этих персональных данных, а SanCRM становится лицом, обрабатывающим их по поручению. Часть 3 статьи 6 Федерального закона № 152-ФЗ требует, чтобы такое поручение было оформлено документом с перечнем действий, целями обработки и требованиями к защите данных. Настоящий документ и есть это поручение.
Настоящее Поручение является Приложением № 1 к публичной оферте о заключении договора возмездного оказания услуг по предоставлению доступа к сервису SanCRM (далее — Оферта) и её неотъемлемой частью. Термины, определённые в Оферте, используются в настоящем Поручении в тех же значениях.
Поручение считается данным Заказчиком и принятым Исполнителем с момента акцепта Оферты в порядке её пункта 3.2 и действует в течение срока действия договора.
1.1. Оператор — Заказчик, то есть индивидуальный предприниматель или юридическое лицо, акцептовавшее Оферту и использующее Сервис для ведения своей деятельности.
1.2. Обработчик — Кот Максим Денисович, ИНН 352705796762, применяющий специальный налоговый режим «Налог на профессиональный доход», являющийся Исполнителем по Оферте.
1.3. Оператор поручает Обработчику, а Обработчик обязуется осуществлять обработку персональных данных, размещаемых Оператором и его Пользователями в Аккаунте, на условиях настоящего Поручения в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ (далее — Закон).
1.4. Обработчик осуществляет обработку персональных данных исключительно в объёме и на условиях настоящего Поручения. Обработчик не определяет состав обрабатываемых персональных данных, их источники и цели обработки и не обрабатывает их в собственных интересах.
1.5. Настоящее Поручение не является уступкой обязанностей Оператора. В соответствии с частью 5 статьи 6 Закона Оператор остаётся ответственным перед субъектами персональных данных за действия Обработчика; Обработчик несёт ответственность перед Оператором.
2.1. Обработке подлежат персональные данные следующих категорий субъектов:
2.2. Перечень персональных данных, обработка которых поручается, определяется составом полей Сервиса и сведениями, которые Оператор фактически в них вносит, и включает:
2.3. Оператор обязуется не размещать в Сервисе специальные категории персональных данных (часть 1 статьи 10 Закона) и биометрические персональные данные (статья 11 Закона). В частности, Оператор не размещает в Сервисе изображения (сканы, фотографии) документов, удостоверяющих личность, и не вносит их реквизиты в объёме, превышающем необходимый для оформления договора с субъектом. Функциональные возможности Сервиса не предназначены для обработки таких данных. При нарушении Оператором настоящего пункта Обработчик не несёт ответственности за последствия обработки таких данных.
3.1. Обработка персональных данных осуществляется Обработчиком исключительно в следующих целях:
3.2. Обработчик не вправе использовать поручаемые персональные данные для собственных целей, включая маркетинговые, а также передавать или предоставлять их третьим лицам, за исключением случаев, предусмотренных разделом 6 и законодательством Российской Федерации.
4.1. Обработчику поручается совершение следующих действий (операций) с персональными данными: запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение.
4.2. Обработчику не поручается сбор персональных данных. Сбор осуществляет Оператор самостоятельно и вне Сервиса — при личном обращении субъекта в место осуществления деятельности Оператора либо иным избранным Оператором способом. Обработчик в сборе не участвует, не определяет его порядок и не взаимодействует с субъектами персональных данных.
4.3. Правовое основание обработки определяет Оператор. Внесение работником Оператора персональных данных субъекта в Сервис при приёме заказа само по себе не является получением согласия субъекта: наличие правового основания — исполнения заключаемого с субъектом договора либо его согласия — Оператор обеспечивает самостоятельно, вне Сервиса.
4.4. Обработчику не поручается распространение персональных данных, а также их передача третьим лицам, за исключением случаев, предусмотренных разделом 6.
4.5. Обработка осуществляется с использованием средств автоматизации.
5.1. Обработчик обязан соблюдать конфиденциальность персональных данных и не раскрывать их третьим лицам без согласия Оператора, если иное не предусмотрено законодательством Российской Федерации.
5.2. Обработчик обеспечивает безопасность персональных данных при их обработке и принимает меры, предусмотренные статьёй 19 Закона, в том числе:
5.3. Обработка и хранение персональных данных, включая их запись, систематизацию, накопление, хранение, уточнение и извлечение, осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона). Трансграничная передача персональных данных не осуществляется.
5.4. Обработчик обеспечивает, чтобы лица, допущенные к обработке персональных данных, были ознакомлены с положениями законодательства о персональных данных и приняли на себя обязательство о неразглашении.
5.5. По письменному запросу Оператора Обработчик в течение 10 (десяти) рабочих дней предоставляет сведения о принимаемых мерах защиты персональных данных в объёме, не создающем угрозы безопасности Сервиса и не раскрывающем сведения о других операторах.
6.1. Оператор даёт Обработчику общее согласие на привлечение к обработке персональных данных следующих лиц:
6.2. При привлечении третьих лиц Обработчик обязан возложить на них обязанности, эквивалентные предусмотренным настоящим Поручением, и остаётся ответственным перед Оператором за их действия как за свои собственные.
6.3. Обработчик уведомляет Оператора о привлечении нового лица, обрабатывающего персональные данные, не позднее чем за 15 (пятнадцать) календарных дней путём размещения сведений на сайте sancrm.ru и направления уведомления на адрес электронной почты Оператора. При несогласии Оператор вправе отказаться от договора в порядке пункта 15.2 Оферты.
7.1. Обязанности по получению согласий субъектов персональных данных, их информированию, рассмотрению их обращений, а также по уведомлению уполномоченного органа о начале обработки персональных данных исполняет Оператор. Обработчик такие согласия не получает.
7.2. При получении обращения субъекта персональных данных или запроса уполномоченного органа, относящегося к персональным данным, обрабатываемым по настоящему Поручению, Обработчик в течение 3 (трёх) рабочих дней перенаправляет его Оператору и самостоятельно по существу не отвечает.
7.3. По мотивированному запросу Оператора Обработчик оказывает содействие в исполнении обязанностей Оператора перед субъектами персональных данных: предоставляет сведения об обрабатываемых данных, обеспечивает их уточнение, блокирование или уничтожение — в течение 10 (десяти) рабочих дней с даты получения запроса, если законом не установлен более короткий срок.
7.4. При обнаружении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, а равно при выявлении инцидента, создающего угрозу такой передачи, Обработчик уведомляет Оператора незамедлительно, но не позднее 24 (двадцати четырёх) часов с момента обнаружения, с указанием известных обстоятельств инцидента, предполагаемого объёма затронутых данных и принимаемых мер. Уведомление уполномоченного органа в порядке части 3.1 статьи 21 Закона осуществляет Оператор.
7.5. Обработчик оказывает Оператору разумное содействие в расследовании инцидента и предоставляет имеющиеся сведения из журналов Сервиса.
8.1. Поручение действует с момента акцепта Оферты и до прекращения договора, если Оператор не отозвал его ранее.
8.2. Оператор вправе в любое время отозвать Поручение, направив уведомление Обработчику. Отзыв Поручения делает невозможным оказание услуг по Оферте и влечёт прекращение договора в порядке её пункта 15.2.
8.3. По прекращении договора Обработчик прекращает обработку персональных данных и уничтожает их в сроки, установленные пунктом 10.6 Оферты: основные данные — по истечении 30 (тридцати) календарных дней с даты прекращения договора, данные в резервных копиях — по мере их штатной ротации, но не позднее 90 (девяноста) календарных дней с той же даты.
8.4. В течение 30 (тридцати) календарных дней с даты прекращения договора Оператор вправе запросить выгрузку данных в порядке пункта 10.5 Оферты.
8.5. По письменному запросу Оператора Обработчик направляет уведомление об уничтожении персональных данных с указанием даты уничтожения и перечня уничтоженных категорий данных в течение 10 (десяти) рабочих дней после фактического уничтожения.
9.1. Обработчик несёт ответственность перед Оператором за нарушение требований настоящего Поручения и Закона в пределах, установленных разделом 13 Оферты.
9.2. Оператор несёт ответственность за правомерность передачи персональных данных Обработчику, включая наличие правовых оснований обработки и согласий субъектов, за достоверность и актуальность данных, а также за исполнение иных обязанностей оператора, установленных Законом.
9.3. Обработчик не несёт ответственности за последствия обработки персональных данных, размещённых Оператором в Сервисе с нарушением пункта 2.3, а также за действия Пользователей Оператора, совершённые с использованием предоставленных им Оператором прав доступа.
10.1. Изменение настоящего Поручения производится в порядке, установленном пунктами 15.5–15.7 Оферты.
10.2. Действующая редакция размещена по адресу https://sancrm.ru/dpa.html. Предыдущие редакции предоставляются по запросу Оператора.