Приложение № 1 к договору-оферте

Поручение на обработку персональных данных

Оператор: Заказчик, принявший оферту (владелец сайта). Обработчик: Ильичев Андрей Сергеевич, ИНН 550723997872, адрес: г. Омск, 644106, ул. Лесной пр-д (Исполнитель).

1. Предмет

1.1. Заказчик, являясь оператором персональных данных посетителей своего сайта, поручает Исполнителю обработку этих данных на условиях настоящего Приложения (ч. 3 ст. 6 Федерального закона № 152-ФЗ «О персональных данных», далее — Закон).

1.2. Поручение действует в течение срока действия договора-оферты.

1.3. Настоящее Приложение является поручением оператора по ч. 3 ст. 6 Закона и составной частью договора возмездного оказания услуг; оно не является договором поручения (гл. 49 ГК РФ) и не предусматривает совершения Исполнителем юридических действий от имени или в интересах Заказчика.

2. Цели обработки

приём заявок, отправленных посетителями через формы сайта Заказчика;
хранение заявок и предоставление Заказчику доступа к ним по защищённой ссылке из уведомления;
направление Заказчику уведомлений о новых заявках;
техническая поддержка сайта и резервное копирование.

3. Перечень персональных данных

Имя, номер телефона, текст сообщения посетителя; иные сведения, которые посетитель по своей инициативе укажет в тексте сообщения; IP-адрес, сведения о браузере, дата и время отправки формы, версия текста согласия.

4. Перечень действий

Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) Заказчику, блокирование, удаление, уничтожение. Способ: автоматизированная обработка.

5. Обязанности Исполнителя

5.1. Соблюдать принципы и правила обработки, предусмотренные Законом, и конфиденциальность персональных данных: не раскрывать их третьим лицам и не распространять без согласия субъекта, кроме случаев, предусмотренных Законом и настоящим Приложением.

5.2. Осуществлять запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных с использованием баз данных на территории Российской Федерации (ч. 5 ст. 18 Закона).

5.3. Принимать меры, предусмотренные ст. 18.1 Закона, и обеспечивать безопасность персональных данных по ст. 19 Закона, в том числе: - обеспечение 4-го уровня защищённости персональных данных при обработке в информационной системе (постановление Правительства РФ от 01.11.2012 № 1119) с применением мер, предусмотренных для этого уровня приказом ФСТЭК России от 18.02.2013 № 21; - шифрование при передаче (TLS/HTTPS); - двухфакторная аутентификация административного доступа; - разграничение доступа: доступ к данным только у Исполнителя и Заказчика; - журналирование доступа и действий с данными; - шифрование резервных копий и их хранение не более 30 дней; - хранение базы данных и резервных копий только на серверах в РФ; - автоматическое удаление заявок по истечении срока, установленного Заказчиком (по умолчанию 90 дней, не более 180 дней) с фиксацией в журнале (см. раздел 9).

5.4. По запросу Заказчика в течение срока действия поручения, в том числе до начала обработки, в течение 5 рабочих дней предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований настоящего Приложения.

5.5. Уведомлять Заказчика о неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных незамедлительно, но не позднее 12 часов с момента выявления, чтобы Заказчик мог выполнить обязанность уведомить Роскомнадзор в течение 24 часов (ч. 3.1 ст. 21 Закона), и содействовать внутреннему расследованию. В уведомлении Исполнитель указывает известные сведения: характер инцидента, предполагаемые причины, затронутые данные и примерное число субъектов, принятые меры, контактное лицо. Срок в 24 часа может отсчитываться от выявления инцидента любым заинтересованным лицом, в том числе Исполнителем, поэтому «незамедлительно» важнее цифры.

5.6. В течение 3 рабочих дней передавать Заказчику поступившие Исполнителю обращения субъектов и исполнять указания Заказчика по уточнению, блокированию и уничтожению данных.

5.7. Привлекать для хранения данных только хостинг-провайдера на территории РФ: АО «Селектел». О смене провайдера и о привлечении новых лиц, получающих доступ к данным, уведомлять Заказчика не менее чем за 10 дней. Заказчик даёт согласие на привлечение указанного провайдера; при возражении против нового лица Заказчик вправе отказаться от договора.

5.8. Не передавать персональные данные посетителей во внешние языковые модели и иные сервисы, не названные в настоящем Приложении.

5.9. Не обрабатывать персональные данные посетителей в собственных целях, в том числе для аналитики, обучения моделей, маркетинга, и не объединять их с данными других Заказчиков.

6. Уведомления о заявках

6.1. Уведомления о новых заявках не содержат персональных данных посетителей. Исполнитель направляет Заказчику только факт новой заявки и защищённую ссылку, по которой заявка открывается на сервере Исполнителя в Российской Федерации. Срок действия ссылки — 14 дней.

6.2. Канал уведомлений: электронная почта (отправка через почтовый сервис с серверами в РФ). Иные каналы могут быть добавлены по письменному соглашению сторон. Исполнитель не гарантирует доставку писем, зависящую от почтового сервиса получателя.

6.3. Исполнитель не передаёт персональные данные посетителей за пределы Российской Федерации.

7. Обязанности Заказчика

7.1. Направить уведомление об обработке персональных данных в Роскомнадзор (ст. 22 Закона) до начала приёма заявок.

7.2. Предоставить достоверные сведения об операторе для политики и согласия на сайте и своевременно сообщать об их изменении.

7.3. Самостоятельно отвечать на запросы субъектов и Роскомнадзора как оператор.

8. Ответственность

8.1. Ответственность перед субъектом персональных данных за действия Исполнителя несёт Заказчик; Исполнитель несёт ответственность перед Заказчиком (ч. 5 ст. 6 Закона).

8.2. Размер ответственности Исполнителя и исключения из ограничения (в том числе отдельный предел для инцидентов с персональными данными) определяются п. 10.2–10.3 оферты.

9. Прекращение

При прекращении договора Исполнитель по выбору Заказчика передаёт ему выгрузку заявок и уничтожает персональные данные, в том числе в резервных копиях, в срок не более 30 дней, после чего направляет Заказчику подтверждение уничтожения в соответствии с требованиями, установленными уполномоченным органом (ч. 7 ст. 21 Закона; приказ Роскомнадзора от 28.10.2022 № 179). При автоматическом удалении подтверждением служит выгрузка из журнала событий: категории данных, дата, причина удаления (истечение срока, отзыв, требование) и идентификатор заявки.