ПРИЛОЖЕНИЕ № 3. ПОРУЧЕНИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
Настоящее поручение заключено между Лицензиатом (Оператором) и ИП Родионовым Денисом Константиновичем (Обработчиком) одновременно с акцептом основной Оферты.
Цели, состав и операции обработки
3.1. Оператор поручает Обработчику операции с персональными данными, получаемыми от сайта, браузерного скрипта и подключённых систем Оператора, исключительно для настройки и функционирования FlySignal, атрибуции событий и заказов, подготовки аналитики и прогнозов, технической диагностики, защиты, восстановления и сопровождения Сервиса.
3.2. Категории субъектов: посетители сайтов Оператора, покупатели/заказчики Оператора, контактные лица и сотрудники Оператора, сведения о которых поступают через соответствующие интеграции.
3.3. Перечень данных: IP-адреса, User-Agent, технические идентификаторы устройств, браузеров и сессий, cookie/локальные идентификаторы; ClientID Яндекс.Метрики, yclid, sessionReferrerId, UTM-метки, рефереры, URL и время визитов; номер заказа, статус, состав технического события, сумма, валюта и время оплаты; ФИО, номер телефона и email покупателя, если они присутствуют в полном webhook; технические журналы и служебные сведения об ошибках. Оператор не поручает обработку специальных категорий и биометрических данных, если стороны отдельно не договорились и не установили законное основание.
3.4. Разрешённые операции: получение (сбор в интересах Оператора), запись, систематизация, накопление, хранение, уточнение, извлечение, использование, сопоставление, обезличивание, передача в подключённые системы по инструкциям Оператора, предоставление авторизованным пользователям Оператора, блокирование, удаление и уничтожение; операции осуществляются преимущественно автоматизированным способом.
Инструкции и ответственность сторон
3.5. Настоящий Договор, согласованные настройки интеграций и документированные запросы уполномоченных представителей Оператора составляют поручение и инструкции Оператора. Обработчик вправе приостановить явно противоречащую законодательству инструкцию с незамедлительным уведомлением Оператора.
3.6. Оператор определяет цели и правовые основания обработки, отвечает за надлежащее информирование субъектов, получение согласий в требуемых законом случаях, законность применения аналитических технологий и передачу данных Обработчику и третьим платформам; исполняет запросы субъектов и уведомления регулятору как оператор.
3.7. Обработчик соблюдает принципы и правила обработки персональных данных, конфиденциальность и условия настоящего поручения; не использует сведения для собственных маркетинговых целей и не передаёт их посторонним лицам. Обработка данных представителей Оператора в целях собственного договорного учёта ведётся Лицензиаром отдельно как самостоятельным оператором.
Безопасность, локализация и субподрядчики
3.8. Обработчик обеспечивает предусмотренные статьями 18.1 и 19 закона № 152-ФЗ правовые, организационные и технические меры с учётом выявленных угроз: разграничение доступа и учёт прав; идентификацию и аутентификацию; регистрацию событий; резервное копирование и восстановление; защиту сетевых соединений и интерфейсов; ограничение доступа сотрудников; процедуры реагирования на инциденты и проверки применяемых мер.
3.9. Обработчик обеспечивает выполнение применимых требований к обработке персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации. Серверная инфраструктура Сервиса размещается на территории Российской Федерации у провайдера «Мастер-хост». Трансграничная передача по поручению Оператора допускается в соответствии с пунктом 3.11 настоящего Приложения.
3.10. Оператор разрешает Обработчику привлекать хостинг-провайдера, предоставляющего инфраструктуру под обозначением «Мастер-хост», для размещения и технического обслуживания Сервиса на территории Российской Федерации. Обработчик обеспечивает возложение на такого субподрядчика обязательств по конфиденциальности и защите персональных данных, соответствующих его фактическим функциям. Привлечение иных субподрядчиков с доступом к персональным данным допускается при предварительном информировании Оператора и возложении на них сопоставимых обязанностей.
3.11. Обработчик не осуществляет самостоятельную трансграничную передачу данных по поручению Оператора без документированной инструкции и соблюдения предусмотренных законом требований. Если Оператор настраивает передачу в стороннюю систему, такая инструкция должна быть правомерной и определять получателя и объём данных.
Инциденты и подтверждение соблюдения требований
3.12. При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных либо иных обстоятельств, создающих риск нарушения прав субъектов персональных данных, Обработчик уведомляет Оператора без неоправданной задержки, во всяком случае не позднее 12 часов с момента выявления. Уведомление содержит известные обстоятельства, предполагаемые причины, затронутые данные и принятые меры; уточнения направляются по мере установления обстоятельств. Оператор выполняет предусмотренные законом обязанности по уведомлению уполномоченного органа.
3.13. По запросу Оператора Обработчик в течение 10 рабочих дней, а в случае инцидента без неоправданной задержки, предоставляет сведения и документы, необходимые для подтверждения исполнения предусмотренных настоящим поручением обязанностей, включая сведения о принятых мерах защиты и привлечённых субподрядчиках, в объёме, допускаемом законом и требованиями информационной безопасности.
3.14. Обработчик содействует Оператору в исполнении законных требований по уточнению, блокированию, удалению и уничтожению данных и обработке обращений субъектов, насколько это позволяет архитектура Сервиса. Запросы субъектов, полученные Обработчиком напрямую, передаются Оператору без самостоятельного разрешения по существу, кроме случаев обязательного законного ответа.
Прекращение обработки и уничтожение данных
3.15. Обработка по поручению ведётся в течение действия оплаченной лицензии и необходимого технического периода завершения/выгрузки данных после прекращения договора. На основании запроса Оператора в пределах 10 рабочих дней после прекращения договора Обработчик организует доступную стандартными средствами выгрузку данных, если это технически возможно и соответствует требованиям информационной безопасности.
3.16. По завершении обработки или получении законного указания Оператора Обработчик прекращает соответствующую обработку и обеспечивает уничтожение персональных данных в сроки, предусмотренные законодательством Российской Федерации. Если немедленное уничтожение в силу технических особенностей резервного копирования невозможно, Обработчик исключает такие данные из обычной обработки, ограничивает доступ к резервным копиям и обеспечивает уничтожение в установленные законом сроки.
3.17. По запросу Оператора Обработчик предоставляет подтверждение прекращения обработки и удаления данных; сведения, необходимые для защиты прав сторон и исполнения установленных законом обязанностей, сохраняются на применимом правовом основании и в минимально необходимом объёме.
3.18. Обработчик несёт ответственность перед Оператором за нарушение поручения в соответствии с законодательством РФ. Настоящее поручение не ограничивает права субъектов данных и полномочия уполномоченных органов.