Поручение на обработку персональных данных

1. Стороны и предмет

Организация, использующая Сервис, вносит в него персональные данные своих сотрудников, клиентов и их представителей. Состав этих данных, цели и сроки обработки определяет она – и значит, она является оператором. Сервис обрабатывает их по её поручению и в его пределах, то есть выступает обработчиком.

Поручение считается данным с момента подключения организации к Сервису и действует, пока она им пользуется. Собственные данные Обработчика – учётные записи, сессии и служебные журналы – этим поручением не охватываются: в отношении них Обработчик сам является оператором, и они описаны в политике Сервиса.

2. Что именно поручается

Обработчик совершает с персональными данными Оператора следующие действия и только их:

• получение данных от Оператора и его пользователей;
• запись, систематизация, накопление и хранение;
• уточнение (обновление, изменение) и извлечение;
• использование в пределах функций Сервиса: показ данных пользователям Оператора в соответствии с их правами, уведомления, поиск, выгрузка по запросу пользователя;
• блокирование, удаление и уничтожение;
• резервное копирование и восстановление.

Обработчик не определяет состав и цели обработки, не использует данные в собственных интересах, не передаёт их третьим лицам сверх перечисленного в разделе 4 и не применяет для рекламы, аналитики или профилирования.

3. Требования к защите

Обработчик обеспечивает меры, предусмотренные статьями 18.1 и 19 152-ФЗ, в объёме, соответствующем характеру данных:

• транспортное шифрование соединений;
• необратимое хеширование паролей;
• разграничение доступа по ролям и изоляцию пространств организаций;
• защиту от подбора паролей, подделки запросов и межсайтовых сценариев;
• регулярное резервное копирование;
• размещение рабочей базы на сервере на территории Российской Федерации.

Лица, имеющие доступ к данным на стороне Обработчика, обязаны соблюдать конфиденциальность и не раскрывать данные без поручения Оператора.

4. Привлекаемые лица

Для работы Сервиса Обработчик привлекает: хостинг-провайдера на территории Российской Федерации и службу доставки уведомлений браузера либо операционной системы устройства – последнюю только для тех пользователей, которые уведомления включили. Порядок доставки и состав передаваемых сведений описаны в политике обработки персональных данных.

Привлечение иных лиц к обработке данных Оператора требует его согласия. Об изменении перечня Обработчик уведомляет заранее.

5. Инциденты

О неправомерном или случайном доступе к персональным данным Оператора Обработчик уведомляет Оператора не позднее 24 часов с момента обнаружения, сообщая известные обстоятельства и принятые меры.

Срок выбран не произвольно: по части 3.1 статьи 21 152-ФЗ уведомить Роскомнадзор в течение 24 часов обязан именно оператор, то есть организация. Без нашего своевременного сообщения она этот срок физически не выдержит.

6. Обращения субъектов

Обращение субъекта персональных данных, поступившее Обработчику напрямую, передаётся Оператору как оператору этих данных; заявителю сообщается, что его обращение передано. Самостоятельно изменять или удалять данные Оператора по такому обращению Обработчик не вправе.

По запросу Оператора Обработчик содействует ему в предоставлении сведений субъекту, а также в уточнении, блокировании и уничтожении данных в сроки, установленные законом.

7. Окончание обработки

При прекращении использования Сервиса, а также по письменному требованию Оператора, Обработчик выгружает данные пространства Оператору в машиночитаемом виде и уничтожает их в срок, не превышающий 30 дней с момента выгрузки, включая копии в резервных архивах по мере их обновления.

По требованию Оператора составляется акт об уничтожении.

8. Ответственность

Обработчик отвечает перед Оператором за соблюдение условий настоящего поручения. Перед субъектом персональных данных за действия Обработчика отвечает Оператор (часть 5 статьи 6 152-ФЗ).

Оператор, в свою очередь, подтверждает, что имеет законное основание обрабатывать вносимые в Сервис данные и передавать их Обработчику, и что уведомил соответствующих людей в объёме, требуемом законом. Обработчик не проверяет содержание внесённых данных.

9. Изменения

Обработчик вправе изменять настоящий документ. Актуальная версия всегда доступна по адресу reg-tracker.ru/dpa.html. Существенные изменения доводятся до Оператора заранее.