Поручение на обработку персональных данных

Оператор — организация или ИП, идентифицированные в организации МОСТ и подтверждении представителя. Обработчик — поставщик из опубликованных реквизитов договора. Оператор поручает только документированные действия в выбранных бизнес-модулях. Настройки, загрузки, выгрузки и обращения уполномоченных пользователей являются инструкциями в пределах настоящего поручения; инструкции, меняющие цели и категории данных, согласовываются отдельно.

Субъекты: работники и соискатели клиента, представители контрагентов, подрядчики, исполнители, заказчики и иные лица, законно участвующие в бизнес-процессах клиента. Перечень обычных ПДн ограничен выбранным модулем: ФИО, рабочие контактные данные, должность и место работы, идентификаторы, сведения о договорах, назначениях, задачах, результатах работы и расчётах, относящиеся к физическому лицу. Дополнительные категории требуют уточнения поручения до загрузки.

Цели оператора: организация кадрового и рабочего учёта, CRM и взаимоотношений с контрагентами, ведение проектов, документов и исполнение договоров клиента. Для конкретного лица клиент выбирает только относящиеся к нему цели и необходимые сведения. Поручение не охватывает специальные категории, биометрию, сведения о судимости и данные с особым режимом без отдельного соглашения и подтверждения пригодности системы.

Разрешённые операции: получение от клиента, запись, систематизация, накопление, хранение, уточнение, извлечение, использование для выполнения инструкции, предоставление пользователям с разрешённым клиентом доступом, выгрузка клиенту, блокирование, удаление и уничтожение. Обработка автоматизированная и, при обращении поддержки, смешанная. Распространение неопределённому кругу лиц, продажа и самостоятельный маркетинг не поручаются.

Поиск, индексация, резервное копирование и восстановление выполняются исключительно для исполнения поручения с соблюдением установленных Клиентом ограничений доступа. Данные не используются для обучения общих моделей искусственного интеллекта. Передача данных внешним сервисам искусственного интеллекта и иным новым получателям допускается только на основании отдельной инструкции Клиента с соблюдением требований к локализации, трансграничной передаче и правовым основаниям обработки.

Клиент до передачи обеспечивает законное основание обработки и поручения; согласие субъекта на поручение требуется, если федеральный закон не предусматривает иное. Клиент выполняет обязанности уведомления и информирования субъектов и Роскомнадзора, определяет сроки хранения, проверяет права и полномочия пользователей, своевременно исправляет и удаляет ненужные данные и по обоснованному запросу подтверждает законность передачи.

Клиент отвечает перед субъектом за порученную обработку в соответствии с законом. Это не освобождает обработчика от ответственности перед клиентом и собственных обязательных требований. Обработчик не собирает за клиента согласия работников и контрагентов и не удостоверяет законность каждого загруженного документа.

Обработчик соблюдает принципы Закона № 152-ФЗ, конфиденциальность, часть 5 статьи 18, статью 18.1 и требования статьи 19. Принимает правовые, организационные и технические меры: разграничение доступа и организаций, минимальные полномочия, учёт доступа и инцидентов, защиту каналов и средств аутентификации, восстановление, контроль уязвимостей и прекращение доступа увольняемых уполномоченных лиц.

Состав мер защиты, модель угроз и уровень защищённости определяются с учётом состава данных и применимых требований, включая Постановление Правительства РФ № 1119 и Приказ ФСТЭК России № 21. До начала обработки и в течение срока поручения обработчик по обоснованному запросу оператора предоставляет документы и информацию о принятых мерах защиты и соблюдении обязательных требований в срок, позволяющий оператору исполнить обязанности перед субъектами и уполномоченным органом.

При сборе персональных данных граждан Российской Федерации обработчик обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение данных с использованием баз данных на территории Российской Федерации в соответствии с частью 5 статьи 18 Закона № 152-ФЗ. Обработка с использованием зарубежных баз данных допускается только в прямо установленных законом случаях.

Обработчик вправе привлекать лиц, обеспечивающих хостинг, хранение, техническое сопровождение и исполнение поручения, при раскрытии оператору их наименований, функций, категорий данных и места обработки до передачи данных. Привлечённые лица принимают обязательства конфиденциальности и защиты не менее строгие, чем предусмотрены поручением. Обработчик отвечает перед оператором за исполнение поручения привлечёнными лицами. Передача новому лицу, расширяющая согласованный состав обработки, согласуется с оператором до её начала.

Трансграничная передача не разрешается этим документом автоматически. Она требует отдельного основания, выполнения статьи 12 Закона № 152-ФЗ, необходимых уведомлений и проверки страны и получателя. Получатели выбранной клиентом интеграции и самостоятельные операторы идентифицируются отдельно. Передача данных им не выводит её из требований закона.

При выявлении случая неправомерной или случайной передачи персональных данных, предусмотренного частью 3.1 статьи 21 Федерального закона № 152-ФЗ, Обработчик уведомляет Клиента без неоправданной задержки, но не позднее 12 часов с момента установления такого случая. Первоначальное уведомление направляется до завершения расследования и содержит известные сведения о категориях и объёме данных, причинах, последствиях, принятых мерах и контактном лице. По мере получения информации Обработчик направляет дополнения. Клиент обеспечивает уведомление Роскомнадзора в установленные законом сроки, включая первоначальное уведомление в течение 24 часов и результаты внутреннего расследования в течение 72 часов.

Обработчик помогает оператору с запросами субъектов, уточнением, блокированием и уничтожением. Полученный напрямую запрос по данным клиента направляется оператору без раскрытия посторонних данных. Собственные данные аккаунта поставщик рассматривает как самостоятельный оператор. Срочность закона имеет приоритет над общим сроком ответа поддержки.

Поручение действует с зафиксированного принятия до завершения возврата и законного удаления данных после прекращения доступа либо отзыва инструкции оператором. Обработка прекращается при достижении целей или утрате законного основания. По выбору оператора данные возвращаются и затем удаляются либо сразу уничтожаются, с подтверждением результата, включая инструкции привлечённым лицам.

Применяются сроки статей 20 и 21 Закона № 152-ФЗ: исправление подтверждённой неточности — 7 рабочих дней; прекращение неправомерной обработки — 3 рабочих дня, уничтожение при невозможности легализации — 10 рабочих дней; достижение цели или отзыв при отсутствии иного основания — не более 30 дней. При технической невозможности уничтожения в сроки частей 3–5 данные блокируются и уничтожаются не позднее 6 месяцев, если иной срок не установлен федеральным законом. Это исключительный режим, а не стандартный срок копий.

Поручение принимается уполномоченным представителем Клиента отдельно от лицензионного договора. Поставщик фиксирует Клиента, представителя, подтверждение полномочий, редакцию и текст поручения, реквизиты сторон, контрольную сумму, дату и время принятия. Поручение не является согласием субъекта персональных данных, согласием на рекламу или разрешением на распространение данных. Обязательные требования законодательства о персональных данных имеют приоритет перед договорными ограничениями ответственности.