Приложение № 2 к Договору-оферте. Поручение на обработку персональных данных

1. Стороны и статус документа

1.1. Настоящее Поручение является неотъемлемой частью Договора-оферты на предоставление права использования сервиса «КАПЭ» и заключается акцептом указанного Договора. Термины употребляются в значениях, определённых Договором.

1.2. Оператор — Лицензиат (Клиент). Обработчик — Лицензиар.

1.3. Настоящим Оператор поручает Обработчику обработку персональных данных на условиях, изложенных ниже, а Обработчик принимает поручение (ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ).

1.4. Поручение действует в течение срока действия Договора и прекращается одновременно с ним, за исключением обязанностей, прямо переживающих его прекращение.

2. Распределение ролей

2.1. Оператор самостоятельно определяет цели и состав обрабатываемых персональных данных, получает и хранит правовые основания их обработки, включая согласия субъектов, и определяет сроки хранения.

2.2. Обработчик обрабатывает персональные данные исключительно по поручению Оператора, в пределах, установленных настоящим Поручением, и не определяет цели обработки самостоятельно.

2.3. Согласие субъекта персональных данных на обработку его данных Обработчиком получает Оператор.

2.4. Обработчик не несёт ответственности перед субъектом персональных данных за действия, совершённые по поручению Оператора. Перед субъектом отвечает Оператор (ч. 5 ст. 6 152-ФЗ). Обработчик отвечает перед Оператором в пределах, установленных настоящим Поручением и разделом 12 Договора.

2.5. В отношении персональных данных Пользователей Оператора (сотрудников, представителей), обрабатываемых для предоставления доступа к Сервису, идентификации, обеспечения безопасности и оказания поддержки, Обработчик выступает самостоятельным оператором и обрабатывает их в соответствии со своей Политикой конфиденциальности. Настоящее Поручение на такую обработку не распространяется.

3. Цели обработки

Обработка осуществляется исключительно в целях обеспечения функционирования Сервиса в интересах Оператора, а именно:

• приём, хранение и отображение обращений (заявок) Покупателей;
• ведение карточек покупателей и истории взаимодействия с ними;
• подготовка, хранение, направление и отображение коммерческих предложений;
• направление Покупателям сообщений по поручению Оператора и уведомлений — Пользователям Оператора;
• учёт показов, встреч и бронирований;
• ведение статистики и формирование отчётов для Оператора;
• обеспечение безопасности данных и расследование инцидентов;
• техническая поддержка Оператора по его обращениям.

Обработка в любых иных целях, в том числе в собственных коммерческих целях Обработчика, для обучения моделей машинного обучения на данных Оператора и для передачи третьим лицам вне настоящего Поручения, не допускается.

4. Перечень действий с персональными данными

Обработчик вправе совершать следующие действия, как автоматизированно, так и без использования средств автоматизации: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) в пределах, установленных п. 6, блокирование, удаление, уничтожение, обезличивание.

Трансграничная передача персональных данных, обрабатываемых по настоящему Поручению, не осуществляется, за исключением случая, прямо предусмотренного п. 6.4.

5. Категории субъектов и данных

5.1. Категории субъектов: Покупатели (посетители публичных ресурсов Оператора, отправители заявок, получатели коммерческих предложений), контактные лица контрагентов Оператора, иные физические лица, сведения о которых Оператор вносит в Сервис.

5.2. Категории данных: фамилия, имя, отчество либо иное обозначение; номер телефона; адрес электронной почты; идентификатор в мессенджерах; содержание обращения; сведения о предпочтениях и бюджете; комментарии и заметки Пользователей Оператора; сведения о взаимодействии с коммерческим предложением и публичными ресурсами Оператора, включая дату, время, IP-адрес, сведения о браузере и устройстве; параметры источника перехода, включая метки рекламных кампаний и идентификаторы систем веб-аналитики; сведения о показах, встречах и бронированиях; файлы и аудиозаписи, загруженные Пользователями Оператора.

5.3. Точный состав данных определяется Оператором при заполнении полей Сервиса и при настройке форм на своих ресурсах.

5.4. Обработка специальных категорий персональных данных и биометрических персональных данных настоящим Поручением не предусмотрена и запрещена. Внесение таких данных в Сервис является нарушением Договора; Обработчик вправе удалить их без предварительного уведомления.

5.5. Оператор обязуется не вносить в Сервис данные, обработка которых не соответствует целям, указанным в разделе 3, а также избыточные данные.

5.6. Оператор обязуется не вносить персональные данные в поля, предназначенные для описаний объектов недвижимости, маркетинговых текстов и материалов, обрабатываемых функциями Сервиса, основанными на технологиях машинного обучения. Нарушение этого запрета может повлечь передачу таких данных внешним поставщикам, в том числе за пределы Российской Федерации, — с последствиями, ответственность за которые несёт Оператор.

6. Привлечение третьих лиц и передача данных

6.1. Обработчик обязуется соблюдать конфиденциальность персональных данных и обеспечивать их безопасность при обработке.

6.2. Обработчик вправе привлекать к обработке третьих лиц (поставщиков инфраструктуры и сервисов), обеспечив возложение на них обязанностей по конфиденциальности и защите данных, не меньших, чем установленные настоящим Поручением. Оператор даёт на это общее согласие. Обработчик отвечает перед Оператором за действия привлечённых лиц как за свои собственные.

6.3. Актуальный перечень привлекаемых лиц приведён в разделе 7 Политики конфиденциальности Обработчика. Обработчик уведомляет Оператора об изменении перечня путём публикации новой редакции Политики. Если Оператор не согласен с привлечением нового лица, он вправе отказаться от Договора в порядке п. 13.3 Договора; иных последствий несогласие не влечёт.

6.4. Инфраструктура, обеспечивающая хранение и обработку персональных данных по настоящему Поручению, размещена на территории Российской Федерации. Трансграничная передача персональных данных не осуществляется. Служебные уведомления, доставляемые в мессенджер по выбору Пользователя Оператора, персональных данных не содержат: сведения о новых заявках передаются без имени и контактных данных Покупателя.

6.5. Партнёры Оператора (агентства и частные агенты) ведут собственные Аккаунты и доступа к персональным данным, обрабатываемым по настоящему Поручению, не получают. Сведения о покупателях, которых Партнёр вносит в свой Аккаунт и передаёт Оператору, поступают к Оператору от Партнёра как от самостоятельного оператора; правовое основание такой передачи обеспечивает Партнёр, а правомерность дальнейшей обработки полученных сведений — Оператор. Условия — раздел 5 Приложения № 4 к Договору.

6.6. Обработчик раскрывает данные уполномоченным органам при наличии законного основания. О получении такого запроса Обработчик уведомляет Оператора, если это не запрещено законом.

7. Требования к защите данных

7.1. Обработчик обеспечивает применение мер, предусмотренных ст. 18.1 и ст. 19 152-ФЗ, включая:

• назначение лица, ответственного за организацию обработки персональных данных;
• определение угроз безопасности и применение мер, необходимых для соответствия установленному уровню защищённости;
• разграничение прав доступа и изоляцию данных каждого Оператора от данных иных лиц средствами системы управления базой данных;
• ограничение доступа работников Обработчика к данным целями поддержки и безопасности, с ведением журнала доступа и фиксацией причины доступа;
• шифрование каналов передачи данных;
• хранение паролей в виде необратимых хешей;
• ограниченный по времени доступ к непубличным файлам;
• резервное копирование и восстановление;
• регистрацию действий Пользователей в журнале, доступном Оператору;
• обнаружение фактов несанкционированного доступа и реагирование на них.

7.2. Обработчик обеспечивает, чтобы лица, допущенные к обработке, были обязаны соблюдать конфиденциальность.

8. Взаимодействие по обращениям и инцидентам

8.1. Обращения субъектов персональных данных обрабатывает Оператор. Обработчик, получив обращение субъекта, переадресует его Оператору в разумный срок и уведомляет об этом заявителя; самостоятельно по существу такое обращение не рассматривает.

8.2. По письменному запросу Оператора Обработчик в течение 10 рабочих дней предоставляет сведения, необходимые Оператору для ответа субъекту или уполномоченному органу, и оказывает разумное содействие в исполнении требований субъекта об уточнении, блокировании и уничтожении данных — в объёме, доступном средствами Сервиса.

8.3. Оператор самостоятельно исполняет обязанности по уведомлению уполномоченного органа о начале обработки персональных данных (ст. 22 152-ФЗ), по уведомлению об инцидентах (ч. 3.1 ст. 21 152-ФЗ) и по взаимодействию с ним при проверках.

8.4. Об инциденте, повлёкшем неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных, обрабатываемых по настоящему Поручению, Обработчик уведомляет Оператора в течение 12 (двенадцати) часов с момента обнаружения, сообщая известные ему обстоятельства: характер инцидента, предполагаемые категории и объём затронутых данных, принятые меры. Уведомление уполномоченного органа в установленный законом срок — обязанность Оператора.

8.5. Обработчик по запросу Оператора не чаще одного раза в год предоставляет письменные сведения о применяемых мерах защиты, достаточные для оценки соответствия требованиям закона. Проведение Оператором проверок инфраструктуры Обработчика, тестирования на проникновение и аудита с доступом к системам возможно только по отдельному письменному соглашению сторон.

9. Ответственность

9.1. Обработчик отвечает перед Оператором за неисполнение настоящего Поручения в пределах, установленных разделом 12 Договора.

9.2. Обработчик не отвечает за: правомерность целей обработки, определённых Оператором; наличие и действительность правовых оснований обработки, включая согласия субъектов; состав и избыточность данных, внесённых Оператором; правомерность предоставления доступа привлечённым Оператором лицам; действия Пользователей Оператора; последствия исполнения указаний Оператора, полученных через интерфейс Сервиса.

9.3. Оператор возмещает Обработчику имущественные потери, возникшие в связи с обстоятельствами, указанными в п. 9.2, в порядке п. 12.6 Договора.

10. Прекращение обработки и судьба данных

10.1. При прекращении Договора Обработчик прекращает обработку персональных данных по настоящему Поручению.

10.2. В течение 30 (тридцати) календарных дней после прекращения Договора Оператор вправе выгрузить данные средствами Сервиса. По истечении этого срока Обработчик уничтожает данные, обрабатываемые по настоящему Поручению. Резервные копии уничтожаются по истечении обычного срока их хранения.

10.3. Обработчик вправе сохранить данные в объёме и на срок, необходимые для исполнения требований законодательства и для защиты своих прав при наличии спора, с сохранением режима конфиденциальности.

10.4. По письменному запросу Оператора Обработчик подтверждает уничтожение данных в форме, установленной уполномоченным органом.

10.5. Обработчик уничтожает данные до истечения срока, указанного в п. 10.2, по письменному указанию Оператора. Такое указание отменяет право Оператора на последующую выгрузку.