ПРИЛОЖЕНИЕ № 1
К ДОГОВОРУ ОКАЗАНИЯ УСЛУГ ПО НАСТРОЙКЕ И СОПРОВОЖДЕНИЮ ПРОГРАММНОГО СЕРВИСА № [номер] ОТ [дата]
ПОРУЧЕНИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
г. Череповец
«___» __________ 2026 г.
[Наименование или Ф. И. О. Заказчика], именуемый в дальнейшем
«Оператор», с одной стороны, и Индивидуальный предприниматель
Козинов Егор Александрович, именуемый в дальнейшем
«Обработчик», с другой стороны, заключили настоящее Поручение на обработку персональных данных.
1. ПРЕДМЕТ ПОРУЧЕНИЯ1.1. Оператор поручает Обработчику осуществлять обработку персональных данных посетителей и пользователей цифровых каналов Оператора в связи с настройкой, подключением и функционированием программного Сервиса, включая AI-виджет.
1.2. Обработка осуществляется исключительно по документированным указаниям Оператора, содержащимся в Договоре, настоящем Поручении, Техническом задании, заявках и настройках интеграции.
1.3. Целями обработки являются:
— обеспечение функционирования Сервиса;
— приём и обработка обращений пользователей;
— формирование автоматизированных ответов;
— передача обращений операторам Оператора;
— формирование и передача лидов и заявок в CRM-систему или иной согласованный канал;
— хранение истории переписки;
— техническая диагностика и обеспечение безопасности Сервиса;
— выполнение иных операций, прямо предусмотренных Техническим заданием.
1.4. Категории субъектов персональных данных:
— посетители сайтов Оператора;
— пользователи мессенджеров и социальных сетей;
— пользователи маркетплейсов;
— клиенты и потенциальные клиенты Оператора;
— представители контрагентов Оператора;
— работники и представители Оператора, использующие Сервис.
1.5. В зависимости от настроек Сервиса могут обрабатываться следующие персональные данные:
— имя, фамилия и отчество;
— номер телефона;
— адрес электронной почты;
— никнейм и идентификатор пользователя в мессенджере или социальной сети;
— тексты сообщений и обращений;
— сведения, добровольно указанные пользователем в сообщении;
— сведения о заказе или интересующем товаре либо услуге;
— IP-адрес;
— дата и время обращения;
— данные об устройстве, операционной системе и браузере;
— cookie-файлы и иные технические идентификаторы;
— иные данные, прямо предусмотренные Техническим заданием.
1.6. Оператор не поручает Обработчику обработку специальных категорий персональных данных, биометрических персональных данных и сведений о судимости, если иное отдельно не согласовано Сторонами и не обеспечено надлежащее правовое основание.
1.7. Обработчик вправе совершать следующие действия с персональными данными:
— сбор;
— запись;
— систематизация;
— накопление;
— хранение;
— уточнение и обновление;
— извлечение;
— использование;
— передача посредством предоставления и доступа согласованным получателям;
— обезличивание;
— блокирование;
— удаление;
— уничтожение.
1.8. Обработка может осуществляться с использованием средств автоматизации, а также смешанным способом, если это необходимо для технической поддержки и выполнения запросов Оператора.
2. ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА2.1. Оператор обязан:2.1.1. Самостоятельно определить цели обработки и перечень необходимых персональных данных.
2.1.2. Обеспечить наличие законного основания для обработки персональных данных до начала их сбора.
2.1.3. Разместить в цифровых каналах политику обработки персональных данных и необходимые уведомления.
2.1.4. Получить согласие субъектов персональных данных, если обработка осуществляется на основании согласия.
2.1.5. Обеспечить возможность подтверждения факта получения согласия.
2.1.6. Уведомить субъектов о привлечении Обработчика и субобработчика в объёме, предусмотренном законодательством.
2.1.7. Обеспечить соответствие объёма обрабатываемых данных заявленным целям.
2.1.8. Не передавать Обработчику избыточные персональные данные.
2.1.9. Рассматривать обращения субъектов и принимать решения об уточнении, блокировании, удалении или уничтожении данных.
2.1.10. Направлять Обработчику указания в письменной форме, включая электронные сообщения с согласованного адреса.
2.1.11. Подать уведомление в Роскомнадзор, если такая обязанность предусмотрена законодательством.
2.1.12. Обеспечить законность передачи персональных данных в CRM-системы, мессенджеры и другие информационные системы, подключённые по его указанию.
2.2. Оператор вправе:2.2.1. Получать от Обработчика информацию и документы, подтверждающие выполнение настоящего Поручения.
2.2.2. Направлять требования об уточнении, блокировании, удалении или уничтожении персональных данных.
2.2.3. Запрашивать информацию о привлечённых субобработчиках.
2.2.4. Проводить проверку соблюдения Поручения самостоятельно или с привлечением независимого специалиста при условии соблюдения конфиденциальности и предварительного уведомления Обработчика не менее чем за 10 рабочих дней.
3. ПРАВА И ОБЯЗАННОСТИ ОБРАБОТЧИКА3.1. Обработчик обязан:3.1.1. Обрабатывать персональные данные исключительно по поручению Оператора и в установленных целях.
3.1.2. Соблюдать принципы и правила обработки персональных данных.
3.1.3. Обеспечивать конфиденциальность персональных данных.
3.1.4. Принимать необходимые правовые, организационные и технические меры для защиты персональных данных.
3.1.5. Ограничить доступ к персональным данным кругом лиц, которым он необходим для исполнения Договора.
3.1.6. Обеспечить принятие лицами, допущенными к обработке, обязательств по конфиденциальности.
3.1.7. Не использовать персональные данные в собственных целях.
3.1.8. Не передавать персональные данные третьим лицам, кроме согласованных субобработчиков, CRM-систем, цифровых каналов и иных получателей, прямо определённых Оператором.
3.1.9. По запросу Оператора предоставлять информацию о принимаемых мерах защиты в срок не более 10 рабочих дней, если иной срок не обусловлен характером запроса.
3.1.10. Оказывать Оператору разумное содействие при рассмотрении обращений субъектов персональных данных.
3.1.11. Уведомлять Оператора о поступившем непосредственно Обработчику запросе субъекта персональных данных в течение 3 рабочих дней.
3.1.12. Не давать самостоятельный ответ субъекту по существу запроса без указания Оператора, кроме случаев, когда такая обязанность прямо возложена на Обработчика законом.
3.1.13. Уведомить Оператора о выявленном инциденте, повлекшем или способном повлечь неправомерную либо случайную передачу, предоставление, распространение или доступ к персональным данным, не позднее 12 часов с момента его выявления.
3.1.14. В уведомлении об инциденте по мере наличия информации указать:
— характер инцидента;
— дату и время выявления;
— предполагаемые причины;
— категории затронутых данных и субъектов;
— возможные последствия;
— принятые и планируемые меры;
— контактное лицо для взаимодействия.
3.1.15. Направлять Оператору дополнительную информацию об инциденте по мере проведения внутреннего расследования.
3.1.16. Обеспечивать обработку и хранение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, в случаях, когда это предусмотрено законодательством.
3.1.17. Не осуществлять трансграничную передачу персональных данных без письменного указания Оператора и выполнения установленных законом требований.
3.1.18. Незамедлительно уведомить Оператора, если, по мнению Обработчика, указание Оператора нарушает законодательство о персональных данных.
3.2. Обработчик вправе:3.2.1. Запрашивать у Оператора уточнение целей, состава данных и допустимых операций.
3.2.2. Приостановить исполнение указания Оператора, если оно может привести к нарушению законодательства, до получения разъяснений или изменённого указания.
3.2.3. Привлекать согласованных настоящим Поручением субобработчиков.
4. МЕРЫ ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ4.1. Обработчик принимает меры защиты с учётом характера обрабатываемых данных, используемых технологий и актуальных угроз.
4.2. Меры могут включать:
— разграничение прав доступа;
— идентификацию и аутентификацию пользователей;
— ведение журналов событий безопасности;
— применение антивирусной защиты;
— использование средств сетевой защиты;
— резервное копирование;
— контроль восстановления данных;
— защищённую передачу информации;
— обновление программного обеспечения;
— контроль действий лиц, имеющих доступ;
— внутренние правила работы с персональными данными;
— реагирование на инциденты;
— уничтожение или обезличивание данных после прекращения необходимости в их обработке.
4.3. Конкретный состав мер определяется Обработчиком с учётом требований законодательства и характеристик используемой информационной системы.
5. СУБОБРАБОТЧИК5.1. Оператор даёт согласие на привлечение Обработчиком следующего субобработчика:
ООО «Хармунд», ИНН 9731046991, ОГРН 1197746406846, владелец SaaS-платформы B24U.
5.2. Субобработчик привлекается для:
— размещения и технического функционирования платформы;
— хранения и обработки данных в составе Сервиса;
— обеспечения программных интеграций;
— технической поддержки инфраструктуры;
— обеспечения информационной безопасности платформы.
5.3. Обработчик обязан возложить на субобработчика обязанности по защите персональных данных, соответствующие характеру порученной обработки.
5.4. Привлечение субобработчика не освобождает Обработчика от ответственности перед Оператором за выполнение настоящего Поручения.
5.5. Привлечение иного субобработчика, которому предоставляется доступ к персональным данным, допускается с предварительного письменного согласия Оператора либо после предварительного уведомления Оператора, если такой порядок отдельно согласован Сторонами.
5.6. Оператор вправе направить обоснованные возражения против привлечения нового субобработчика. В таком случае Стороны согласовывают возможную замену субобработчика, изменение конфигурации либо прекращение соответствующей обработки.
6. ОБРАЩЕНИЯ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ6.1. Решения по обращениям субъектов принимает Оператор.
6.2. По письменному указанию Оператора Обработчик осуществляет поиск, выгрузку, уточнение, блокирование, удаление или уничтожение персональных данных в технически доступной ему части Сервиса.
6.3. Срок выполнения указания определяется Оператором с учётом требований законодательства и технической возможности, но не может быть менее объективно необходимого срока.
6.4. Если выполнение запроса требует дополнительных работ, не входящих в согласованный объём сопровождения, Стороны вправе отдельно согласовать их стоимость, кроме случаев, когда необходимость таких действий вызвана нарушением Обработчика.
7. СРОК ХРАНЕНИЯ, ВОЗВРАТ И УНИЧТОЖЕНИЕ ДАННЫХ7.1. Персональные данные обрабатываются в течение срока действия Договора и периода фактического использования Сервиса.
7.2. После прекращения Договора либо получения соответствующего указания Оператора Обработчик прекращает обработку и в течение 30 календарных дней удаляет или уничтожает находящиеся у него персональные данные, если иное не предусмотрено законом.
7.3. По согласованному запросу Оператора до удаления данных Обработчик предоставляет их доступную техническую выгрузку, если такая возможность предусмотрена используемой платформой.
7.4. Данные могут временно сохраняться в резервных копиях до окончания установленного технологического цикла перезаписи. В течение этого периода данные не должны использоваться иначе, чем для восстановления после технического сбоя или исполнения требований закона.
7.5. Обработчик вправе сохранить отдельные сведения, если их хранение необходимо для исполнения требований законодательства, ведения бухгалтерского и налогового учёта, подтверждения исполнения обязательств или защиты прав в споре.
8. ОТВЕТСТВЕННОСТЬ8.1. Оператор несёт ответственность за:
— наличие правового основания обработки;
— законность целей обработки;
— содержание уведомлений и согласий;
— соответствие состава данных заявленным целям;
— указания, данные Обработчику;
— обработку персональных данных в собственных информационных системах.
8.2. Обработчик несёт ответственность за соблюдение условий настоящего Поручения в пределах операций, фактически выполняемых им по поручению Оператора.
8.3. Обработчик не несёт ответственности за ненадлежащее получение Оператором согласий субъектов или отсутствие у Оператора иного законного основания обработки.
8.4. Сторона, допустившая нарушение, обязана принять разумные меры для прекращения нарушения и уменьшения его последствий.
9. СРОК ДЕЙСТВИЯ ПОРУЧЕНИЯ9.1. Поручение вступает в силу с момента подписания Сторонами и действует в течение срока действия Договора и фактической обработки персональных данных.
9.2. Обязанности по конфиденциальности, защите и уничтожению персональных данных сохраняются после прекращения Поручения до их полного исполнения.
9.3. При противоречии между настоящим Поручением и основным текстом Договора в части обработки персональных данных применяются условия настоящего Поручения.
10. ПОДПИСИ СТОРОНОПЕРАТОР — ЗАКАЗЧИК[Наименование / Ф. И. О.]
___________________ / [Ф. И. О.] /
М. П. при наличии
ОБРАБОТЧИК — ИСПОЛНИТЕЛЬИндивидуальный предприниматель
Козинов Егор Александрович
___________________ / Е. А. Козинов /
М. П. при наличии
