Поручение на обработку персональных данных

§ 1. Стороны

Оператор — Пользователь платформы kodzavod.ru, опубликовавший приложение с серверной частью. Оператор самостоятельно определяет цели обработки персональных данных, состав обрабатываемых данных и совершаемые с ними действия (152-ФЗ ст. 3 п. 2).

Обработчик — Общество с ограниченной ответственностью «СВЕТ» (ИНН 9703177463, ОГРН 1247700265010), владелец платформы kodzavod.ru. Обработчик осуществляет обработку персональных данных исключительно по поручению Оператора и в пределах, установленных настоящим Поручением.

Субъекты — физические лица, персональные данные которых обрабатываются приложением Оператора: посетители приложения, пользователи Telegram-бота, иные третьи лица, чьи данные Оператор вносит в приложение.

Приложение — веб-приложение или Telegram-бот, созданные Оператором на платформе kodzavod.ru и работающие с серверной частью (вычислительные ресурсы и база данных).

§ 2. Предмет Поручения и момент вступления в силу

Оператор поручает, а Обработчик принимает на себя обязательство осуществлять обработку персональных данных Субъектов на условиях настоящего Поручения.

Поручение вступает в силу с момента подключения Оператором серверной части Приложения — в том числе в среде предварительного просмотра — и действует до прекращения обработки в порядке § 12.

Базовый режим Поручением не охватывается. Приложение в базовом режиме размещается в виде статических страниц без серверной части: данные, отправленные посетителем через форму, передаются напрямую на указанный Оператором адрес электронной почты и в инфраструктуре Обработчика не сохраняются. Поручение в этом режиме не требуется и не выдаётся.

Обработчик не определяет цели обработки, не изменяет состав обрабатываемых данных и не использует персональные данные Субъектов в собственных целях — в том числе для аналитики, маркетинга и обучения моделей машинного обучения.

§ 3. Согласие Субъектов и правовое основание

Правовое основание обработки персональных данных Субъектов определяет Оператор. Обработчик не проверяет наличие такого основания и не вступает в отношения с Субъектами напрямую.

Обработчик не обязан получать согласие Субъекта на обработку его персональных данных (152-ФЗ ст. 6 ч. 4). Обязанность получить согласие Субъекта на поручение обработки Обработчику лежит на Операторе — см. § 10.

§ 4. Перечень действий с персональными данными

Обработчик совершает с персональными данными Субъектов следующие действия (152-ФЗ ст. 3 п. 3), автоматизированным способом:

• запись — приём данных, переданных Приложением, в базу данных Приложения;
• хранение — размещение данных в базе данных и в резервных копиях;
• извлечение и предоставление — выдача данных Приложению по его запросу, а также Оператору через интерфейс платформы;
• уточнение (обновление, изменение) — по команде Приложения или Оператора;
• блокирование — по требованию Оператора или предписанию уполномоченного органа;
• удаление и уничтожение — в порядке § 12.

Обработчик не осуществляет сбор данных непосредственно у Субъектов, их распространение, обезличивание, а также передачу третьим лицам за пределами круга, указанного в § 9.

§ 5. Цели обработки

Обработка осуществляется исключительно в следующих целях:

• обеспечение работоспособности Приложения Оператора;
• хранение и техническое обслуживание базы данных Приложения, включая резервное копирование и восстановление после сбоев;
• предоставление Оператору доступа к данным его Приложения через интерфейс платформы;
• исполнение обязанностей Обработчика, установленных законодательством Российской Федерации.

Обработка в любых иных целях, не указанных выше, настоящим Поручением не разрешена.

§ 6. Категории данных и Субъектов

Конкретный состав персональных данных определяет Оператор при проектировании Приложения — Обработчик его не задаёт и не контролирует. Типичный состав: имя, адрес электронной почты, номер телефона, адрес доставки, содержание обращения, идентификатор пользователя Telegram, история заказов и заявок.

Категории Субъектов: посетители Приложения, клиенты и контрагенты Оператора, пользователи Telegram-бота Оператора.

§ 7. Конфиденциальность

Обработчик обязуется соблюдать конфиденциальность персональных данных Субъектов (152-ФЗ ст. 7): не раскрывать их третьим лицам и не распространять без согласия Субъекта, если иное не предусмотрено федеральным законом.

Доступ работников Обработчика к базе данных Приложения предоставляется только в объёме, необходимом для устранения технической неисправности или исполнения обращения Оператора, и только работникам, принявшим обязательство о неразглашении. Систематический доступ работников Обработчика к содержимому базы данных Приложения не осуществляется.

Обязанность соблюдать конфиденциальность сохраняется после прекращения настоящего Поручения без ограничения срока.

§ 8. Требования к защите персональных данных

Обработчик обеспечивает безопасность персональных данных при их обработке в соответствии со ст. 19 152-ФЗ и Постановлением Правительства РФ № 1119 от 01.11.2012. Принимаемые меры:

• Изоляция. Для каждого Приложения создаётся отдельная база данных с отдельной учётной записью и отдельным паролем. Приложение не имеет доступа к базам данных других Приложений.
• Шифрование при передаче. HTTPS / TLS на всех соединениях с Приложением и с базой данных.
• Шифрование при хранении. Дисковое шифрование AES-256 на кластерах базы данных и в объектном хранилище.
• Управление доступом. Пароли баз данных хранятся в защищённом хранилище секретов с аппаратной защитой ключей и не попадают в исходный код, журналы и образы контейнеров.
• Сетевая изоляция. Кластеры баз данных не имеют публичного адреса и доступны только из внутренней сети платформы.
• Разграничение прав в базе. Учётная запись Приложения может читать и записывать данные, но не может изменять устройство базы.
• Резервное копирование с тем же уровнем защиты, что и основное хранилище.
• Ограничение административного доступа к рабочим системам: с заранее разрешённых адресов и с многофакторной аутентификацией.
• Журналирование действий с инфраструктурой для последующего разбора инцидентов.

Исходя из состава обрабатываемых данных (иные категории персональных данных), круга Субъектов (лица, не являющиеся работниками Оператора) и актуальных угроз 3-го типа, обеспечивается 4-й уровень защищённости персональных данных (ПП № 1119 п. 16). Уровень защищённости пересматривается при изменении указанных параметров.

Уведомление об инциденте. При установлении факта неправомерной или случайной передачи персональных данных Субъектов, повлёкшей нарушение их прав, Обработчик уведомляет Оператора по адресу электронной почты, указанному в аккаунте, в течение 24 часов с момента установления факта — с тем, чтобы Оператор мог исполнить свою обязанность по уведомлению Роскомнадзора (152-ФЗ ст. 21 ч. 3.1). Обработчик оказывает Оператору разумное содействие в подготовке такого уведомления.

§ 9. Место обработки и привлекаемые лица

Персональные данные Субъектов обрабатываются и хранятся исключительно на территории Российской Федерации (152-ФЗ ст. 18 ч. 5). Трансграничная передача персональных данных Субъектов Обработчиком не осуществляется.

Для исполнения настоящего Поручения Обработчик привлекает ООО «Яндекс.Облако» (Yandex Cloud, регион ru-central1, Российская Федерация) — предоставление вычислительных ресурсов, управляемых кластеров базы данных, хранилища секретов и объектного хранилища. Иных лиц к обработке персональных данных Субъектов Обработчик не привлекает.

При привлечении к обработке иного лица Обработчик размещает соответствующие сведения в настоящем документе и уведомляет Оператора по электронной почте не менее чем за 14 дней до начала такой обработки. Обработчик остаётся ответственным перед Оператором за действия привлечённых им лиц.

§ 10. Обязанности Оператора

Оператор обязуется:

• обеспечить наличие правового основания обработки персональных данных Субъектов, включая согласие Субъекта на поручение обработки Обработчику, если такое согласие требуется (152-ФЗ ст. 6 ч. 3);
• указать Обработчика в качестве лица, осуществляющего обработку персональных данных по поручению, в собственной политике обработки персональных данных и в уведомлении в Роскомнадзор (152-ФЗ ст. 22 ч. 3);
• разместить в Приложении собственную политику обработки персональных данных и обеспечить Субъектам возможность реализовать их права (152-ФЗ ст. 18.1);
• не размещать в Приложении специальные категории и биометрические персональные данные (§ 6);
• своевременно доводить до Обработчика требования Субъектов и уполномоченных органов, исполнение которых требует технических действий на стороне платформы.

Чтобы исполнить второй и третий пункты, скопируй этот блок в свою политику обработки персональных данных и в уведомление в Роскомнадзор:

§ 11. Обращения Субъектов и запросы органов

Обращения Субъектов рассматривает Оператор. Обработчик, получив обращение Субъекта напрямую, не отвечает на него по существу, а перенаправляет Оператору по адресу электронной почты, указанному в аккаунте, в течение 3 рабочих дней и уведомляет об этом Субъекта.

По мотивированному требованию Оператора Обработчик в течение 10 рабочих дней совершает в отношении данных Приложения действия, необходимые для исполнения Оператором требования Субъекта: предоставление копии данных, уточнение, блокирование, удаление.

Запрос уполномоченного государственного органа Обработчик исполняет в пределах и в сроки, установленные законом, и уведомляет о нём Оператора, если уведомление не запрещено законом.

§ 12. Прекращение обработки и уничтожение данных

Обработка по настоящему Поручению прекращается при наступлении любого из событий:

• удаление Приложения или аккаунта Оператора;
• отключение серверной части Приложения;
• прекращение Пользовательского соглашения;
• получение письменного требования Оператора о прекращении обработки.

В течение 30 дней с момента прекращения Обработчик уничтожает персональные данные Субъектов, включая резервные копии, без возможности восстановления. До истечения этого срока Оператор вправе запросить выгрузку данных Приложения.

Прекращение подписки Pro без удаления Приложения обработку не прекращает: база данных Приложения сохраняется, обработка продолжается в объёме «хранение» до наступления одного из событий, перечисленных выше.

При блокировке Приложения за нарушение Пользовательского соглашения данные сохраняются в течение 30 дней с даты блокировки — этот срок даётся Оператору на выгрузку, — после чего уничтожаются.

§ 13. Ответственность

Ответственность перед Субъектами за действия Обработчика несёт Оператор. Обработчик несёт ответственность перед Оператором (152-ФЗ ст. 6 ч. 5).

Обработчик не отвечает за состав данных, которые Оператор собирает в Приложении, за наличие правового основания их обработки, за содержание политики Оператора и за исполнение Оператором обязанностей перед Субъектами и Роскомнадзором.

Совокупная ответственность Обработчика перед Оператором по настоящему Поручению ограничена суммой платежей, фактически уплаченных Оператором за 12 месяцев, предшествующих событию, повлёкшему ответственность. Ограничение не применяется к случаям, в которых ограничение ответственности запрещено обязательными нормами закона.

§ 14. Изменение и заключительные положения

Обработчик вправе изменить настоящее Поручение. Изменения, возлагающие на Оператора дополнительные обязанности или ограничивающие его права, вступают в силу не ранее чем через 14 дней после направления уведомления на адрес электронной почты Оператора. Изменения, не ухудшающие положение Оператора, вступают в силу с даты редакции.

Если Оператор не согласен с изменениями, он вправе до вступления их в силу отключить серверную часть Приложения либо удалить Приложение — обработка прекращается в порядке § 12.

Во всём, что не урегулировано настоящим Поручением, применяются Пользовательское соглашение и законодательство Российской Федерации.

§ 15. Реквизиты Обработчика