Поручение на обработку персональных данных Редакция от 1 октября 2026 г. · ООО «СВЕТ», ИНН 9703177463 Если твоё приложение собирает данные посетителей — формы, заявки, регистрации, сообщения боту — оператором этих данных являешься ты, а мы храним их по твоему поручению. Этот документ описывает, что именно мы с ними делаем, как защищаем и что от тебя требуется по закону. Он составлен по ст. 6 ч. 3 Федерального закона № 152-ФЗ «О персональных данных» и является неотъемлемой частью Пользовательского соглашения. § 1. Стороны Оператор — Пользователь платформы kodzavod.ru, опубликовавший приложение с серверной частью. Оператор самостоятельно определяет цели обработки персональных данных, состав обрабатываемых данных и совершаемые с ними действия (152-ФЗ ст. 3 п. 2). Обработчик — Общество с ограниченной ответственностью «СВЕТ» (ИНН 9703177463, ОГРН 1247700265010), владелец платформы kodzavod.ru. Обработчик осуществляет обработку персональных данных исключительно по поручению Оператора и в пределах, установленных настоящим Поручением. Субъекты — физические лица, персональные данные которых обрабатываются приложением Оператора: посетители приложения, пользователи Telegram-бота, иные третьи лица, чьи данные Оператор вносит в приложение. Приложение — веб-приложение или Telegram-бот, созданные Оператором на платформе kodzavod.ru и работающие с серверной частью (вычислительные ресурсы и база данных). Роли не конфликтуют. В отношении персональных данных самого Пользователя как клиента Сервиса (адрес электронной почты, платежи, история проектов) ООО «СВЕТ» выступает оператором — эта обработка описана в Политике конфиденциальности. В отношении персональных данных Субъектов, собираемых Приложением, ООО «СВЕТ» выступает обработчиком по поручению. Это два разных массива данных и два разных правовых основания. § 2. Предмет Поручения и момент вступления в силу Оператор поручает, а Обработчик принимает на себя обязательство осуществлять обработку персональных данных Субъектов на условиях настоящего Поручения. Поручение вступает в силу с момента подключения Оператором серверной части Приложения — в том числе в среде предварительного просмотра — и действует до прекращения обработки в порядке § 12. Базовый режим Поручением не охватывается. Приложение в базовом режиме размещается в виде статических страниц без серверной части: данные, отправленные посетителем через форму, передаются напрямую на указанный Оператором адрес электронной почты и в инфраструктуре Обработчика не сохраняются. Поручение в этом режиме не требуется и не выдаётся. Обработчик не определяет цели обработки, не изменяет состав обрабатываемых данных и не использует персональные данные Субъектов в собственных целях — в том числе для аналитики, маркетинга и обучения моделей машинного обучения. § 3. Согласие Субъектов и правовое основание Правовое основание обработки персональных данных Субъектов определяет Оператор. Обработчик не проверяет наличие такого основания и не вступает с Субъектами в самостоятельные отношения по поводу обработки их персональных данных. Служебные письма Приложения (§ 4, § 5) направляются от имени Оператора и по его поручению. Обработчик не обязан получать согласие Субъекта на обработку его персональных данных (152-ФЗ ст. 6 ч. 4). Обязанность получить согласие Субъекта на поручение обработки Обработчику лежит на Операторе — см. § 10. § 4. Перечень действий с персональными данными Обработчик совершает с персональными данными Субъектов следующие действия (152-ФЗ ст. 3 п. 3), автоматизированным способом: — сбор — получение идентификатора учётной записи Субъекта в сервисе авторизации (VK ID, Яндекс ID) и адреса электронной почты от оператора этого сервиса, по действию самого Субъекта при входе в Приложение; иные персональные данные, переданные сервисом авторизации в том же ответе, Обработчик не записывает; — использование адреса электронной почты Субъекта для направления служебных писем Приложения (подтверждение адреса, сброс пароля); — запись — приём данных, переданных Приложением, в базу данных Приложения; — хранение — размещение данных в базе данных и в резервных копиях; — извлечение и предоставление — выдача данных Приложению по его запросу, а также Оператору через интерфейс платформы; — уточнение (обновление, изменение) — по команде Приложения или Оператора; — блокирование — по требованию Оператора или предписанию уполномоченного органа; — удаление и уничтожение — в порядке § 12. За пределами перечисленного Обработчик не осуществляет сбор персональных данных, в том числе непосредственно у Субъектов, их распространение, обезличивание, а также передачу третьим лицам за пределами круга, указанного в § 9. § 5. Цели обработки Обработка осуществляется исключительно в следующих целях: — обеспечение работоспособности Приложения Оператора; — хранение и техническое обслуживание базы данных Приложения, включая резервное копирование и восстановление после сбоев; — предоставление Оператору доступа к данным его Приложения через интерфейс платформы; — направление Субъекту служебных писем Приложения, необходимых для работы его учётной записи: подтверждение адреса электронной почты, сброс пароля; — исполнение обязанностей Обработчика, установленных законодательством Российской Федерации. Обработка в любых иных целях, не указанных выше, настоящим Поручением не разрешена. § 6. Категории данных и Субъектов Конкретный состав персональных данных определяет Оператор при проектировании Приложения — Обработчик его не задаёт и не контролирует. Типичный состав: имя, адрес электронной почты, номер телефона, адрес доставки, содержание обращения, идентификатор пользователя Telegram, история заказов и заявок. Если в Приложении включён вход через VK ID или Яндекс ID, обрабатываются также идентификатор учётной записи Субъекта в сервисе авторизации и адрес электронной почты, полученный от этого сервиса. Имя, фотографию, пол, дату рождения, номер телефона и токены доступа сервиса авторизации Обработчик не сохраняет. Категории Субъектов: посетители Приложения, клиенты и контрагенты Оператора, пользователи Telegram-бота Оператора. Ограничение по категориям данных. Приложение не должно обрабатывать специальные категории персональных данных (152-ФЗ ст. 10 — раса, национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь, судимость) и биометрические персональные данные (152-ФЗ ст. 11). Обработчик обеспечивает уровень защищённости, рассчитанный на иные категории персональных данных (§ 8), — обработка специальных категорий требует более высокого уровня и настоящим Поручением не охватывается. Обработка таких данных возможна только по отдельному письменному соглашению. § 7. Конфиденциальность Обработчик обязуется соблюдать конфиденциальность персональных данных Субъектов (152-ФЗ ст. 7): не раскрывать их третьим лицам и не распространять без согласия Субъекта, если иное не предусмотрено федеральным законом. Доступ работников Обработчика к базе данных Приложения предоставляется только в объёме, необходимом для устранения технической неисправности или исполнения обращения Оператора, и только работникам, принявшим обязательство о неразглашении. Систематический доступ работников Обработчика к содержимому базы данных Приложения не осуществляется. Обязанность соблюдать конфиденциальность сохраняется после прекращения настоящего Поручения без ограничения срока. § 8. Требования к защите персональных данных Обработчик обеспечивает безопасность персональных данных при их обработке в соответствии со ст. 19 152-ФЗ и Постановлением Правительства РФ № 1119 от 01.11.2012. Принимаемые меры: — Изоляция. Для каждого Приложения создаётся отдельная база данных с отдельной учётной записью и отдельным паролем. Приложение не имеет доступа к базам данных других Приложений. — Шифрование при передаче. HTTPS / TLS на всех соединениях с Приложением и с базой данных. — Шифрование при хранении. Дисковое шифрование AES-256 на кластерах базы данных и в объектном хранилище. — Управление доступом. Пароли баз данных хранятся в защищённом хранилище секретов с аппаратной защитой ключей и не попадают в исходный код, журналы и образы контейнеров. — Сетевая изоляция. Кластеры баз данных не имеют публичного адреса и доступны только из внутренней сети платформы. — Разграничение прав в базе. Учётная запись Приложения может читать и записывать данные, но не может изменять устройство базы. — Резервное копирование с тем же уровнем защиты, что и основное хранилище. — Ограничение административного доступа к рабочим системам: с заранее разрешённых адресов и с многофакторной аутентификацией. — Журналирование действий с инфраструктурой для последующего разбора инцидентов. Исходя из состава обрабатываемых данных (иные категории персональных данных), круга Субъектов (лица, не являющиеся работниками Оператора) и актуальных угроз 3-го типа, обеспечивается 4-й уровень защищённости персональных данных (ПП № 1119 п. 16). Уровень защищённости пересматривается при изменении указанных параметров. Уведомление об инциденте. При установлении факта неправомерной или случайной передачи персональных данных Субъектов, повлёкшей нарушение их прав, Обработчик уведомляет Оператора по адресу электронной почты, указанному в аккаунте, в течение 24 часов с момента установления факта — с тем, чтобы Оператор мог исполнить свою обязанность по уведомлению Роскомнадзора (152-ФЗ ст. 21 ч. 3.1). Обработчик оказывает Оператору разумное содействие в подготовке такого уведомления. § 9. Место обработки и привлекаемые лица Персональные данные Субъектов обрабатываются и хранятся исключительно на территории Российской Федерации (152-ФЗ ст. 18 ч. 5). Трансграничная передача персональных данных Субъектов Обработчиком не осуществляется. Для исполнения настоящего Поручения Обработчик привлекает ООО «Яндекс.Облако» (Yandex Cloud, регион ru-central1, Российская Федерация) — предоставление вычислительных ресурсов, управляемых кластеров базы данных, хранилища секретов и объектного хранилища. Иных лиц к обработке персональных данных Субъектов Обработчик не привлекает. При привлечении к обработке иного лица Обработчик размещает соответствующие сведения в настоящем документе и уведомляет Оператора по электронной почте не менее чем за 14 дней до начала такой обработки. Обработчик остаётся ответственным перед Оператором за действия привлечённых им лиц. § 10. Обязанности Оператора Оператор обязуется: — обеспечить наличие правового основания обработки персональных данных Субъектов, включая согласие Субъекта на поручение обработки Обработчику, если такое согласие требуется (152-ФЗ ст. 6 ч. 3); — указать Обработчика в качестве лица, осуществляющего обработку персональных данных по поручению, в собственной политике обработки персональных данных и в уведомлении в Роскомнадзор (152-ФЗ ст. 22 ч. 3); — разместить в Приложении собственную политику обработки персональных данных и обеспечить Субъектам возможность реализовать их права (152-ФЗ ст. 18.1); — не размещать в Приложении специальные категории и биометрические персональные данные (§ 6); — если Приложение предлагает вход через VK ID или Яндекс ID — указать эти сервисы в своей политике как источник получения персональных данных; — своевременно доводить до Обработчика требования Субъектов и уполномоченных органов, исполнение которых требует технических действий на стороне платформы. Чтобы исполнить второй и третий пункты, скопируй этот блок в свою политику обработки персональных данных и в уведомление в Роскомнадзор. Если вход через сервис авторизации в Приложении не включён, исключи из блока сбор у сервиса авторизации — декларируется то, что происходит на самом деле. Служебные письма Приложение отправляет и без такого входа, эту строку оставь: Лицо, осуществляющее обработку персональных данных по поручению оператора Наименование: Общество с ограниченной ответственностью «СВЕТ» ИНН: 9703177463 ОГРН: 1247700265010 Адрес: 123112, г. Москва, вн.тер. г. Муниципальный округ Пресненский, наб. Пресненская, д. 12, пом. 3/82 Поручаемые действия: сбор (получение от оператора сервиса авторизации по действию субъекта), запись, хранение, извлечение, использование, предоставление, уточнение (обновление, изменение), блокирование, удаление, уничтожение Цель: обеспечение работоспособности сайта (приложения), хранение и техническое обслуживание его базы данных, направление посетителям служебных писем сайта Место обработки: Российская Федерация § 11. Обращения Субъектов и запросы органов Обращения Субъектов рассматривает Оператор. Обработчик, получив обращение Субъекта напрямую, не отвечает на него по существу, а перенаправляет Оператору по адресу электронной почты, указанному в аккаунте, в течение 3 рабочих дней и уведомляет об этом Субъекта. По мотивированному требованию Оператора Обработчик в течение 10 рабочих дней совершает в отношении данных Приложения действия, необходимые для исполнения Оператором требования Субъекта: предоставление копии данных, уточнение, блокирование, удаление. Запрос уполномоченного государственного органа Обработчик исполняет в пределах и в сроки, установленные законом, и уведомляет о нём Оператора, если уведомление не запрещено законом. § 12. Прекращение обработки и уничтожение данных Обработка по настоящему Поручению прекращается при наступлении любого из событий: — удаление Приложения или аккаунта Оператора; — отключение серверной части Приложения; — прекращение Пользовательского соглашения; — получение письменного требования Оператора о прекращении обработки. В течение 30 дней с момента прекращения Обработчик уничтожает персональные данные Субъектов, включая резервные копии, без возможности восстановления. До истечения этого срока Оператор вправе запросить выгрузку данных Приложения. Копии базы данных Приложения хранятся не дольше 7 дней и уничтожаются вместе с Приложением. Восстановление данных из копии по команде Оператора не возвращает учётные записи Субъектов, удалённые через функцию удаления учётной записи Приложения после момента копии. Прекращение подписки Pro без удаления Приложения обработку не прекращает: база данных Приложения сохраняется, обработка продолжается в объёме «хранение» до наступления одного из событий, перечисленных выше. При блокировке Приложения за нарушение Пользовательского соглашения данные сохраняются в течение 30 дней с даты блокировки — этот срок даётся Оператору на выгрузку, — после чего уничтожаются. § 13. Ответственность Ответственность перед Субъектами за действия Обработчика несёт Оператор. Обработчик несёт ответственность перед Оператором (152-ФЗ ст. 6 ч. 5). Обработчик не отвечает за состав данных, которые Оператор собирает в Приложении, за наличие правового основания их обработки, за содержание политики Оператора и за исполнение Оператором обязанностей перед Субъектами и Роскомнадзором. Совокупная ответственность Обработчика перед Оператором по настоящему Поручению ограничена суммой платежей, фактически уплаченных Оператором за 12 месяцев, предшествующих событию, повлёкшему ответственность. Ограничение не применяется к случаям, в которых ограничение ответственности запрещено обязательными нормами закона. § 14. Изменение и заключительные положения Обработчик вправе изменить настоящее Поручение. Изменения, возлагающие на Оператора дополнительные обязанности или ограничивающие его права, вступают в силу не ранее чем через 14 дней после направления уведомления на адрес электронной почты Оператора. Изменения, не ухудшающие положение Оператора, вступают в силу с даты редакции. Если Оператор не согласен с изменениями, он вправе до вступления их в силу отключить серверную часть Приложения либо удалить Приложение — обработка прекращается в порядке § 12. Во всём, что не урегулировано настоящим Поручением, применяются Пользовательское соглашение и законодательство Российской Федерации. § 15. Реквизиты Обработчика ООО «СВЕТ» Полное наименование: Общество с ограниченной ответственностью «СВЕТ» ОГРН: 1247700265010 ИНН: 9703177463 Юридический адрес: 123112, г. Москва, вн.тер. г. Муниципальный округ Пресненский, наб. Пресненская, д. 12, пом. 3/82 Генеральный директор: Куликова Антонина Юрьевна Email по вопросам обработки данных: info@kodzavod.ru (тема: [PRIVACY])