Соглашение об обработке персональных данных (поручение)

СОГЛАШЕНИЕ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ (Поручение на обработку персональных данных)

1. Общие положения и порядок присоединения

1.1. Настоящее Соглашение определяет условия обработки Индивидуальным предпринимателем Базановым Александром Игоревичем (ОГРНИП 319774600517007, ИНН 772704755566, г. Москва, email: support@plflow.ru) (далее — Исполнитель) персональных данных по поручению Заказчика в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о ПДн).

1.2. Соглашение является неотъемлемой частью Лицензионного договора-оферты, размещённого по адресу: plflow.ru/oferta (далее — Договор). Акцепт Договора означает полное и безоговорочное присоединение Заказчика к настоящему Соглашению в порядке ст. 428 ГК РФ.

1.3. Термины «Сервис», «Заказчик», «Пользователь» используются в значениях, определённых Договором.

1.4. Для целей настоящего Соглашения:

• Заказчик является Оператором персональных данных, вносимых им в Сервис, — он самостоятельно определяет цели и состав обрабатываемых данных;
• Исполнитель является лицом, осуществляющим обработку персональных данных по поручению Оператора (ч. 3 ст. 6 Закона о ПДн), и не является Оператором в отношении Поручаемых данных.

2. Предмет поручения

2.1. Заказчик поручает Исполнителю обработку персональных данных, вносимых Заказчиком и его Пользователями в Сервис (далее — Поручаемые данные), исключительно в целях предоставления Заказчику функциональности Сервиса по Договору, включая хранение данных, обеспечение доступа к ним Заказчика и его Пользователей, резервное копирование и техническую поддержку по запросу Заказчика.

2.2. Перечень действий (операций) с Поручаемыми данными: запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение. Обработка осуществляется с использованием средств автоматизации.

2.3. Категории субъектов Поручаемых данных определяются Заказчиком и могут включать: контрагентов Заказчика — физических лиц и индивидуальных предпринимателей, представителей и работников контрагентов — юридических лиц, работников Заказчика.

2.4. Перечень (состав) Поручаемых данных определяется Заказчиком в пределах функциональности Сервиса и может включать: фамилию, имя, отчество; контактные данные (телефон, email, адрес); ИНН, ОГРНИП; должность; реквизиты документов, связанных с хозяйственными операциями (данные о поставках, приёмке давальческого сырья, отгрузках и т.п.).

2.5. Исполнитель не определяет цели обработки и состав Поручаемых данных, не использует их в собственных целях и не осуществляет доступ к содержимому учётных записей Заказчика, за исключением случаев: (а) оказания технической поддержки по запросу Заказчика; (б) выявления и устранения технических сбоев и инцидентов безопасности; (в) исполнения требований законодательства РФ.

3. Запреты и ограничения

3.1. Заказчику запрещается вносить в Сервис: специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни, судимости); биометрические персональные данные; данные, обработка которых требует лицензий или специальных разрешений. Всю ответственность за нарушение настоящего пункта несёт Заказчик.

3.2. Демонстрационная среда Сервиса не предназначена для внесения реальных персональных данных. Данные, внесённые в демонстрационную среду, автоматически уничтожаются не реже одного раза в 24 часа без возможности восстановления. На демонстрационную среду поручение по настоящему Соглашению не распространяется.

4. Гарантии и обязанности Заказчика

4.1. Заказчик гарантирует, что:

• обладает законными основаниями обработки всех Поручаемых данных, включая, где это требуется, согласия субъектов персональных данных;
• поручение обработки Исполнителю правомерно, а субъекты уведомлены об обработке их данных в объёме, требуемом законом;
• состав вносимых данных не является избыточным по отношению к целям обработки, определённым Заказчиком;
• исполняет обязанности Оператора, предусмотренные Законом о ПДн, включая подачу уведомления в Роскомнадзор (при необходимости) и уведомление Роскомнадзора об инцидентах в установленные сроки.

4.2. Заказчик самостоятельно отвечает на запросы субъектов персональных данных и уполномоченных органов в отношении Поручаемых данных.

4.3. Заказчик самостоятельно управляет учётными записями своих Пользователей, их правами доступа, а также несёт ответственность за сохранность аутентификационных данных (логинов, паролей) своих Пользователей.

5. Обязанности Исполнителя

5.1. Исполнитель обязуется:

• соблюдать конфиденциальность Поручаемых данных: не раскрывать их третьим лицам и не распространять без согласия Заказчика, за исключением случаев, предусмотренных законодательством РФ и п. 7 Соглашения;
• обеспечивать безопасность Поручаемых данных при их обработке и соблюдать требования к защите, предусмотренные ст. 19 Закона о ПДн;
• принимать меры, указанные в п. 6 Соглашения;
• обрабатывать Поручаемые данные исключительно на территории Российской Федерации;
• уведомлять Заказчика о выявленных инцидентах, повлёкших неправомерную передачу (предоставление, распространение, доступ) Поручаемых данных, в течение 24 часов с момента выявления — на email Заказчика, указанный при регистрации, с описанием известных обстоятельств инцидента; о результатах внутреннего расследования — в течение 72 часов;
• при получении обращения субъекта персональных данных, относящегося к Поручаемым данным, — направить его Заказчику в течение 3 рабочих дней; обязанность ответа субъекту несёт Заказчик;
• по запросу Заказчика подтверждать уничтожение Поручаемых данных в порядке п. 8 Соглашения.

5.2. Обязанность уведомления Роскомнадзора об инцидентах в отношении Поручаемых данных (ч. 3.1 ст. 21 Закона о ПДн) исполняет Заказчик как Оператор. Исполнитель предоставляет Заказчику известную ему информацию, необходимую для такого уведомления.

6. Требования к защите и меры безопасности

6.1. Исполнитель применяет правовые, организационные и технические меры, включая:

• определение угроз безопасности и уровня защищённости информационной системы;
• разграничение прав доступа, идентификацию и аутентификацию пользователей;
• парольную защиту, использование защищённых протоколов передачи данных;
• регистрацию событий безопасности (журналирование);
• резервное копирование и процедуры восстановления данных;
• ограничение круга лиц, имеющих доступ к инфраструктуре Сервиса, и принятие от таких лиц обязательств о конфиденциальности.

7. Привлечение третьих лиц (субобработчики)

7.1. Заказчик даёт согласие на привлечение Исполнителем третьих лиц для обработки Поручаемых данных (хранение на серверах, обеспечение инфраструктуры) при условии: обработка на территории РФ; возложение на таких лиц обязательств по конфиденциальности и защите данных, не менее строгих, чем предусмотрены настоящим Соглашением.

7.2. Актуальный перечень привлекаемых лиц: ООО «ТаймВэб» (хостинг-провайдер, РФ) — хранение данных. Перечень размещается по адресу: plflow.ru/subprocessors. Об изменении перечня Исполнитель уведомляет размещением новой редакции перечня не менее чем за 10 дней; продолжение использования Сервиса означает согласие Заказчика.

7.3. Исполнитель отвечает перед Заказчиком за действия привлечённых им лиц как за свои собственные.

8. Срок обработки, возврат и уничтожение данных

8.1. Обработка Поручаемых данных осуществляется в течение срока действия Договора.

8.2. После прекращения Договора (по любому основанию):

• в течение 30 календарных дней Заказчику доступна выгрузка данных средствами Сервиса либо по запросу на support@plflow.ru;
• по истечении указанного срока Исполнитель уничтожает Поручаемые данные в срок не более 30 календарных дней;
• уничтожение данных из резервных копий осуществляется в соответствии с циклом их ротации — не более 30 календарных дней с момента уничтожения основных данных.

8.3. По запросу Заказчика Исполнитель направляет подтверждение уничтожения (акт/уведомление об уничтожении) в течение 10 рабочих дней с момента запроса.

8.4. Досрочное удаление: при удалении Заказчиком аккаунта данные уничтожаются в порядке п. 8.2 без периода выгрузки, если иное не запрошено Заказчиком до удаления.

9. Ответственность и возмещение потерь

9.1. Каждая Сторона несёт ответственность, предусмотренную законодательством РФ, за нарушение своих обязанностей в области персональных данных с учётом распределения ролей по настоящему Соглашению.

9.2. Возмещение потерь (ст. 406.1 ГК РФ). В случае предъявления к Исполнителю со стороны субъектов персональных данных, государственных органов или иных лиц претензий, требований, исков, а равно наложения на Исполнителя штрафов, связанных с: (а) отсутствием у Заказчика законных оснований обработки Поручаемых данных; (б) нарушением Заказчиком гарантий по п. 4.1; (в) внесением Заказчиком в Сервис данных в нарушение п. 3.1, — Заказчик возмещает Исполнителю все возникшие в связи с этим имущественные потери, включая суммы штрафов, судебных расходов и выплат третьим лицам, в течение 30 календарных дней с момента направления требования с подтверждающими документами. Наступление обстоятельств, влекущих возмещение потерь, не связано с нарушением обязательства Заказчиком и не требует доказывания вины.

9.3. Ответственность Исполнителя перед Заказчиком по настоящему Соглашению ограничивается реальным ущербом и не может превышать сумму, уплаченную Заказчиком за использование Сервиса за 12 месяцев, предшествующих событию, повлёкшему ответственность. Упущенная выгода возмещению не подлежит. Ограничения не применяются в случаях, когда ответственность не может быть ограничена в силу закона.

9.4. Исполнитель не несёт ответственности за: (а) состав и содержание Поручаемых данных; (б) правомерность их сбора Заказчиком; (в) действия Пользователей Заказчика, включая компрометацию их учётных данных не по вине Исполнителя.

10. Заключительные положения

10.1. Соглашение действует в течение срока действия Договора. Положения пп. 8, 9 сохраняют силу после прекращения Соглашения.

10.2. Исполнитель вправе изменять Соглашение в одностороннем порядке с уведомлением Заказчика не менее чем за 10 календарных дней путём размещения новой редакции по адресу plflow.ru/dpa и/или направления уведомления на email Заказчика. Продолжение использования Сервиса после вступления изменений в силу означает согласие Заказчика с новой редакцией. Архив редакций доступен по запросу.

10.3. По письменному запросу Заказчика Стороны могут подписать настоящее Соглашение в форме единого документа на бумажном носителе в действующей редакции.

10.4. Во всём, что не урегулировано Соглашением, Стороны руководствуются Договором и законодательством РФ.