Поручение на обработку персональных данных

Настоящее Поручение на обработку персональных данных (далее — Поручение) заключено в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и является неотъемлемой частью Пользовательского соглашения GdeSite.ru, размещённого по адресу https://gdesite.ru/polzovatelskoe-soglashenie (далее — Договор), между:

Пользователем — лицом, акцептовавшим Договор (при двустороннем подписании Поручения — с указанием наименования и реквизитов в разделе 11), именуемым в дальнейшем «Оператор», с одной стороны, и

Обществом с ограниченной ответственностью «Генпорт», ИНН 1200023416, ОГРН 1261200002238, адрес: 424003, Республика Марий Эл, г. Йошкар-Ола, ул. Машиностроителей, д. 26, в лице генерального директора Голубева Фёдора Витальевича, действующего на основании Устава, именуемым в дальнейшем «Обработчик», с другой стороны, совместно именуемыми «Стороны».

1. ТЕРМИНЫ И СТАТУС СТОРОН

1.1. Сервис — программно-аппаратный комплекс «GdeSite», доступный по адресу https://gdesite.ru, права использования которого предоставляются Оператору по Договору.

1.2. Оператор — лицо, самостоятельно организующее обработку персональных данных и определяющее цели обработки, состав персональных данных и действия (операции), совершаемые с персональными данными, размещаемыми им в Сервисе. Оператор является оператором персональных данных в значении пункта 2 статьи 3 Закона о персональных данных.

1.3. Обработчик — лицо, осуществляющее обработку персональных данных по поручению Оператора в соответствии с частью 3 статьи 6 Закона о персональных данных. Обработчик не определяет цели обработки персональных данных, переданных ему Оператором, и не использует такие данные в собственных целях.

1.4. Персональные данные — персональные данные субъектов, которые Оператор размещает (загружает, вводит, собирает посредством форм и иных инструментов Сервиса) при использовании Сервиса.

1.5. Обработка персональных данных Пользователя Сервиса как субъекта персональных данных (учётные и платёжные данные самого Оператора и его представителей) осуществляется Обработчиком в качестве самостоятельного оператора и регулируется Политикой в отношении обработки персональных данных, опубликованной по адресу https://gdesite.ru/politika-konfidencialnosti, а не настоящим Поручением.

2. ПРЕДМЕТ ПОРУЧЕНИЯ

2.1. Оператор поручает Обработчику, а Обработчик принимает на себя обязательство осуществлять обработку персональных данных в объёме, определённом разделом 3 Поручения, исключительно в целях исполнения Договора: обеспечения функционирования Сервиса, размещения, хранения и отображения контента Оператора, работы созданных Оператором сайтов, форм и иных инструментов Сервиса, а также резервного копирования и восстановления данных.

2.2. Цели обработки персональных данных определяет исключительно Оператор. Документированным поручением Оператора считаются настоящее Поручение, а также действия, совершаемые Оператором (его уполномоченными лицами) в интерфейсе Сервиса.

2.3. Обработчик не вступает в непосредственные правоотношения с субъектами персональных данных, обрабатываемых по Поручению, и в силу части 4 статьи 6 Закона о персональных данных не обязан получать их согласие на обработку.

3. КАТЕГОРИИ СУБЪЕКТОВ И ПЕРЕЧЕНЬ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. По Поручению обрабатываются персональные данные следующих категорий субъектов и в следующем составе:

3.2. По Поручению не обрабатываются специальные категории персональных данных (статья 10 Закона о персональных данных) и биометрические персональные данные (статья 11 Закона о персональных данных). Оператор обязуется не размещать такие данные в Сервисе. При выявлении таких данных Обработчик вправе заблокировать их обработку до получения указаний Оператора.

4. ПЕРЕЧЕНЬ ДЕЙСТВИЙ (ОПЕРАЦИЙ) И СПОСОБЫ ОБРАБОТКИ

4.1. Обработчик совершает с персональными данными следующие действия (операции): сбор (посредством инструментов Сервиса, настроенных Оператором), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование (исключительно для целей, указанных в пункте 2.1), обезличивание, блокирование, удаление, уничтожение.

4.2. Передача (предоставление, доступ) персональных данных осуществляется только: Оператору и уполномоченным им лицам; субобработчикам, привлечённым в соответствии с разделом 6 Поручения; уполномоченным государственным органам по их мотивированным запросам в случаях, установленных законодательством Российской Федерации, с уведомлением Оператора, если такое уведомление не запрещено законом. Распространение персональных данных Обработчиком не осуществляется.

4.3. Обработка осуществляется автоматизированным способом с использованием средств вычислительной техники и инфраструктуры Сервиса.

5. ОБЯЗАННОСТИ ОБРАБОТЧИКА

5.1. Обработчик обязуется:

• обрабатывать персональные данные только на основании и в пределах Поручения и исключительно в целях, указанных в пункте 2.1 Поручения;
• соблюдать конфиденциальность персональных данных в соответствии со статьёй 7 Закона о персональных данных: не раскрывать третьим лицам и не распространять персональные данные без указания Оператора, если иное не предусмотрено федеральным законом;
• обеспечивать безопасность персональных данных при их обработке в соответствии со статьёй 19 Закона о персональных данных и разделом 7 Поручения;
• осуществлять запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации;
• по запросу Оператора в течение срока действия Поручения предоставлять документы и иную информацию, подтверждающие принятие мер по обеспечению безопасности персональных данных и исполнение требований, установленных Поручением;
• уведомлять Оператора о ставших известными Обработчику случаях неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, обрабатываемых по Поручению, незамедлительно, но не позднее 24 часов с момента выявления инцидента, и оказывать содействие в проведении внутреннего расследования (в пределах 72 часов с момента выявления);
• оказывать Оператору содействие в исполнении его обязанностей перед субъектами персональных данных, в том числе передавать Оператору поступившие Обработчику запросы субъектов в течение 3 рабочих дней и исполнять указания Оператора об уточнении, блокировании и уничтожении персональных данных средствами Сервиса;
• по прекращении Поручения прекратить обработку и уничтожить персональные данные в порядке, установленном разделом 9 Поручения.

5.2. Обработчик не несёт обязанностей оператора персональных данных в отношении данных, обрабатываемых по Поручению, в том числе обязанностей по получению согласий субъектов, опубликованию политики обработки, направлению уведомления в Роскомнадзор об обработке, — указанные обязанности исполняет Оператор.

6. СУБОБРАБОТЧИКИ

6.1. Оператор даёт согласие на привлечение Обработчиком для обработки персональных данных следующих лиц (субобработчиков):

• ООО «Яндекс.Облако» (облачная платформа Yandex Cloud, ИНН 7704458262, ОГРН 1187746678580) — размещение инфраструктуры Сервиса, включая базы данных сайтов Оператора, в центрах обработки данных на территории Российской Федерации и обработка запросов на генерацию и правку сайтов средствами моделей Yandex Cloud AI Studio;
• ООО «Яндекс» (ИНН 7736207543, ОГРН 1027700229193) — почтовый сервис Яндекс 360 для бизнеса: доставка Оператору уведомлений о заявках, содержащих данные, введённые субъектами в формы на сайтах Оператора;
• ООО «Дейта Кью» (сервис DaData, ИНН 7721581040, ОГРН 5077746329876) — подсказки адресов при заполнении форм на сайтах Оператора (обрабатывается вводимый в форму текст).

Сторонние сервисы, которые Оператор подключает к своим сайтам самостоятельно (CRM-системы, счётчики аналитики, виджеты), субобработчиками Обработчика не являются: их привлекает Оператор как оператор персональных данных на основании собственных договоров (пункт 10.3 Поручения).

6.2. Обработчик вправе привлекать иных субобработчиков при условии уведомления Оператора путём публикации актуального перечня в пункте 7.2 Политики в отношении обработки персональных данных (https://gdesite.ru/politika-konfidencialnosti) и направления уведомления на адрес электронной почты Оператора не позднее чем за 10 рабочих дней до начала обработки новым субобработчиком. При несогласии Оператор вправе отказаться от Договора в одностороннем порядке.

6.3. Обработчик возлагает на субобработчиков обязанности, аналогичные установленным Поручением, и отвечает перед Оператором за их действия как за свои собственные.

7. ТРЕБОВАНИЯ К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Обработчик обеспечивает безопасность персональных данных, обрабатываемых по Поручению, для уровня защищённости не выше 3-го, определяемого в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119. Обязательства по обеспечению более высоких уровней защищённости Обработчик на себя не принимает; Оператор обязуется не размещать в Сервисе персональные данные, требующие обеспечения 1-го или 2-го уровня защищённости.

7.2. Обработчик принимает, в частности, следующие организационные и технические меры: назначение лица, ответственного за организацию обработки персональных данных; допуск к персональным данным только работников, которым это необходимо для исполнения обязанностей, с принятием ими обязательств о конфиденциальности; идентификация и аутентификация пользователей, разграничение прав доступа; парольная защита и двухфакторная аутентификация; шифрование каналов передачи данных (TLS); антивирусная защита и межсетевое экранирование; регистрация событий безопасности; резервное копирование и обеспечение возможности восстановления данных; регулярная оценка эффективности принимаемых мер.

8. ОБЯЗАННОСТИ И ГАРАНТИИ ОПЕРАТОРА

8.1. Оператор как оператор персональных данных самостоятельно и за свой счёт исполняет обязанности, предусмотренные Законом о персональных данных, в том числе: обеспечивает наличие правового основания обработки каждой категории персональных данных, включая получение согласий субъектов (в необходимых случаях); информирует субъектов об осуществлении обработки их персональных данных Обработчиком по поручению Оператора; принимает и публикует собственную политику обработки персональных данных; направляет уведомление об обработке персональных данных в Роскомнадзор (статья 22 Закона о персональных данных); отвечает на запросы субъектов персональных данных и уполномоченных органов.

8.2. Оператор гарантирует, что персональные данные, размещаемые им в Сервисе, получены законным образом и их передача Обработчику для обработки в целях, указанных в пункте 2.1, правомерна.

8.3. Оператор обязуется не размещать в Сервисе специальные категории персональных данных, биометрические персональные данные, а также данные, обработка которых Обработчиком повлечёт нарушение законодательства Российской Федерации.

8.4. Указания Оператора об уточнении, блокировании, удалении и уничтожении персональных данных даются посредством функциональных возможностей Сервиса либо направляются Обработчику в письменной форме (в том числе на адрес электронной почты dom-без-спама@gdesite.ru).

9. СРОК ДЕЙСТВИЯ, ПРЕКРАЩЕНИЕ ОБРАБОТКИ И УНИЧТОЖЕНИЕ ДАННЫХ

9.1. Поручение вступает в силу одновременно с Договором — с момента акцепта Договора Оператором (при двустороннем подписании — с момента подписания Сторонами) — и действует в течение всего срока действия Договора.

9.2. При прекращении Договора по любому основанию Обработчик прекращает обработку персональных данных и уничтожает их (включая копии в резервных хранилищах) в срок не более 30 календарных дней с даты прекращения Договора, если обязанность дальнейшего хранения не предусмотрена законодательством Российской Федерации. По письменному запросу Оператора, направленному до истечения указанного срока, Обработчик предоставляет Оператору выгрузку персональных данных средствами Сервиса.

9.3. Уничтожение персональных данных осуществляется путём их удаления из информационных систем Обработчика способом, исключающим возможность восстановления. По запросу Оператора факт уничтожения подтверждается актом об уничтожении персональных данных и (или) выгрузкой из журнала регистрации событий в информационной системе.

9.4. Оператор вправе в любое время отозвать Поручение полностью или частично, удалив соответствующие персональные данные средствами Сервиса либо направив Обработчику письменное требование. Отзыв Поручения в полном объёме может повлечь невозможность дальнейшего использования отдельных функций Сервиса.

10. ОТВЕТСТВЕННОСТЬ СТОРОН

10.1. Ответственность перед субъектами персональных данных за действия Обработчика, осуществляемые в соответствии с Поручением, несёт Оператор. Обработчик несёт ответственность перед Оператором за неисполнение или ненадлежащее исполнение обязательств по Поручению.

10.2. Сторона, нарушившая обязательства по Поручению, возмещает другой Стороне причинённые таким нарушением документально подтверждённые убытки в порядке, установленном Договором и законодательством Российской Федерации.

10.3. Обработчик не отвечает за обработку персональных данных, осуществляемую сторонними сервисами и приложениями, подключёнными Оператором к созданным в Сервисе сайтам самостоятельно (счётчики аналитики, виджеты, CRM-интеграции и т. п.): взаимоотношения с такими сервисами Оператор регулирует самостоятельно.

11. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

11.1. Во всём, что не урегулировано Поручением, Стороны руководствуются Договором и законодательством Российской Федерации.

11.2. Изменения в Поручение вносятся в порядке, установленном Договором: путём публикации новой редакции по адресу https://gdesite.ru/poruchenie-na-obrabotku-personalnyh-dannyh с уведомлением Оператора по электронной почте не менее чем за 10 календарных дней до вступления изменений в силу.

11.3. Реквизиты и подписи Сторон (для двустороннего подписания):