Договор-поручение на обработку персональных данных

Настоящий Договор-поручение (далее — «Поручение») определяет условия обработки персональных данных, осуществляемой Оператором Сервиса по поручению компании — пользователя Сервиса, в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон № 152-ФЗ»). Поручение является неотъемлемой частью Публичной оферты и Пользовательского соглашения и считается принятым Компанией с момента начала использования Сервиса.

1. Стороны

Оператор данных (Заказчик поручения) — компания или индивидуальный предприниматель / самозанятый, использующий Сервис Posto для приёма записей и ведения клиентской базы (далее — «Компания»). Компания самостоятельно определяет цели и содержание обработки персональных данных своих клиентов и является оператором в отношении этих данных.

Лицо, осуществляющее обработку по поручению (Обработчик):

2. Предмет Поручения

2.1. Компания поручает, а Обработчик обязуется осуществлять обработку персональных данных клиентов Компании исключительно в целях предоставления функциональности Сервиса: онлайн-запись, ведение клиентской базы, расписание, напоминания и сервисные уведомления, бонусная программа и абонементы, коммуникация между Компанией и её клиентами.

2.2. Обработчик действует в интересах и по указанию Компании и не определяет самостоятельно цели обработки данных клиентов Компании.

2.3. Согласие субъектов персональных данных на обработку данных, а также согласие на получение рекламных сообщений в интересах Компании, обеспечивает Компания. При заведении клиента вручную (без прохождения потока согласия в боте) обязанность получить необходимое согласие субъекта лежит на Компании.

3. Перечень персональных данных и действий

3.1. Категории данных: фамилия, имя, номер телефона, идентификатор и имя пользователя Telegram, дата рождения, пол, история записей и визитов, заметки о клиенте, бонусные баллы и абонементы, содержание переписки, технические данные.

3.2. Действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (в объёме, необходимом для работы Сервиса, — включая доставку через Telegram и SMS-провайдера), обезличивание, блокирование, удаление, уничтожение. Обработка ведётся с использованием средств автоматизации.

3.3. Компания обязуется не поручать Обработчику обработку специальных категорий персональных данных (в частности, сведений о состоянии здоровья) и не вносить такие сведения в свободные поля Сервиса (наименования и описания услуг, заметки).

4. Требования к защите данных (ст. 19 Закона № 152-ФЗ)

Обработчик обязуется принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, в том числе:

• шифрование каналов передачи данных (TLS);
• разграничение и учёт доступа к данным;
• хранение паролей и кодов подтверждения в виде хешей;
• ведение журнала входов и действий, влияющих на безопасность;
• размещение баз данных на территории Российской Федерации (ст. 18 Закона № 152-ФЗ);
• привлечение к обработке третьих лиц (Telegram, SMS-провайдер, хостинг) только в объёме, необходимом для работы Сервиса.

5. Конфиденциальность

Обработчик обязуется соблюдать конфиденциальность персональных данных клиентов Компании, не раскрывать и не распространять их без поручения Компании, за исключением случаев, предусмотренных законом. Данные клиентов разных Компаний не объединяются и обрабатываются раздельно.

6. Права и обязанности сторон

• 6.1. Обработчик обрабатывает данные только по указанию Компании и в пределах настоящего Поручения; выполняет требования об уточнении, блокировании и удалении данных, поступившие от Компании либо от субъекта данных.
• 6.2. Обработчик содействует Компании в реализации прав субъектов персональных данных и в реагировании на запросы уполномоченного органа.
• 6.3. Компания отвечает за наличие правовых оснований (в том числе согласий) на обработку данных её клиентов и за правомерность целей обработки.
• 6.4. Обязанность уведомления уполномоченного органа об обработке персональных данных (ст. 22 Закона № 152-ФЗ), возникающая у Компании как оператора, исполняется Компанией самостоятельно.

7. Ответственность

7.1. Перед субъектом персональных данных за действия Обработчика отвечает Компания как оператор. Обработчик несёт ответственность перед Компанией за нарушение настоящего Поручения (ч. 5 ст. 6 Закона № 152-ФЗ).

7.2. Обработчик не несёт ответственности за содержание данных, вносимых Компанией и её клиентами, а также за правомерность определённых Компанией целей обработки.

8. Срок действия

Поручение действует в течение всего срока использования Компанией Сервиса. При прекращении использования Обработчик по указанию Компании прекращает обработку и удаляет либо обезличивает данные в сроки, установленные Политикой конфиденциальности, если иное не требуется законом.

Связанные документы: Политика конфиденциальности · Публичная оферта · Пользовательское соглашение · Согласие на обработку персональных данных