Поручение на обработку персональных данных

1. Стороны и предмет поручения

1.1. Пользователь FavClients, указанный в аккаунте и правовых реквизитах мастера или салона, далее — «Оператор», поручает индивидуальному предпринимателю Акулову Савелию Евгеньевичу, ИНН 861501904016, ОГРНИП 322861700053719, далее — «Обработчик», обработку персональных данных в объёме, необходимом для предоставления функций FavClients.

1.2. Контакт Обработчика по персональным данным и инцидентам: info@favclients.ru; юридический контакт: legal@favclients.ru; техническая поддержка: support@favclients.ru.

1.3. Поручение является частью пользовательского соглашения и заключается вместе с ним. Оно применяется к данным, цели обработки которых определяет мастер или салон. Обработку для собственных целей регистрации, расчётов, безопасности и поддержки Обработчик осуществляет в роли самостоятельного оператора по своей политике.

1.4. Законные документированные указания Оператора выражаются в настоящем поручении, выборе функций и настроек, создании и изменении записей в аккаунте, а также в проверяемых обращениях уполномоченного лица. Неоднозначные указания уточняются до исполнения; явно незаконные указания не исполняются, о чём Оператору сообщается.

2. Цели, субъекты и состав данных

2.1. Цели поручения: ведение клиентской базы и расписания; приём, подтверждение, изменение и отмена записей; информирование участников о записи; отображение заказанных Оператором публичных сведений; техническое сопровождение этих функций; исполнение законных требований об уточнении, блокировании, предоставлении и уничтожении данных.

2.2. Поручение охватывает следующие категории:

2.3. Часть сведений Оператор вводит самостоятельно, часть поступает от клиента через публичную форму. Общая клиентская база между независимыми мастерами и салонами не создаётся в рамках этого поручения. Подключение клиентом личного канала уведомлений может обслуживаться FavClients отдельно; оно не даёт одному мастеру доступ к клиентским записям другого.

2.4. Поручение не распространяется на сбор специальных категорий данных, биометрическую идентификацию, медицинские карты, паспортные копии и платёжные секреты. Оператор не должен включать их в комментарии и файлы. При ошибочном поступлении таких данных стороны ограничивают обработку и согласуют законное удаление либо иной необходимый порядок, не используя их для новых целей.

3. Разрешённые операции

3.1. Обработчику поручаются сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление доступа уполномоченным лицам и необходимым получателям, блокирование, удаление и уничтожение данных. Обработка выполняется автоматизированно и, при необходимости поддержки или исполнения требований, с участием уполномоченных лиц.

3.2. Публикация сведений о специалистах, отзывах и портфолио допускается только по отдельному действию Оператора, при наличии у него законного основания для распространения соответствующих персональных данных и использования изображений. Передача сведений одному клиенту о его записи не означает разрешения на публичное размещение клиентской базы.

3.3. Данные не используются Обработчиком для собственной рекламы клиентам Оператора, продажи баз или иных несовместимых целей. Для изменения целей требуется самостоятельное правовое основание; обновление текста поручения не заменяет такого основания.

4. Обязанности Оператора

4.1. Оператор определяет законные цели и необходимые данные, проверяет основания их получения, информирует субъектов об обработке и обеспечивает актуальность своей политики на публичной странице.

4.2. В соответствии с частью 3 статьи 6 Федерального закона № 152-ФЗ Оператор обеспечивает согласие субъекта на поручение обработки другому лицу, если иное не предусмотрено федеральным законом. В форме онлайн-записи принятие условий и согласие на необходимую для записи обработку данных подтверждаются отдельными чекбоксами; до подтверждения субъекту доступны политика Оператора и сведения о поручении. Оператор обеспечивает наличие применимого основания обработки.

4.3. Оператор обеспечивает отдельное правовое основание для публичного распространения данных, рекламы и иных необязательных целей. Он не вправе выдавать собственное принятие пользовательского соглашения за согласие всех своих клиентов или специалистов.

4.4. Оператор ограничивает доступ к аккаунту, не передаёт пароли и ссылки управления записями посторонним, своевременно отзывает доступ утративших полномочия лиц, рассматривает обращения субъектов и направляет Обработчику необходимые указания с учётом обязательных сроков.

4.5. Для диагностики следует по возможности использовать обезличенное описание. Направление в поддержку полного списка клиентов либо документов, не относящихся к проблеме, не входит в обычный объём поручения.

5. Обязанности Обработчика

5.1. Обработчик соблюдает принципы и правила обработки, конфиденциальность и требования Федерального закона № 152-ФЗ, в том числе части 5 статьи 18, статьи 18.1 и статьи 19, применимые к порученной обработке. Получать повторное согласие от имени Обработчика на ту же порученную цель не требуется; ответственность Оператора за наличие исходного основания сохраняется.

5.2. Обработчик обязан организовать разграничение доступа, защиту учётных данных и каналов связи, контроль полномочий, регистрацию значимых событий безопасности, реагирование на уязвимости и инциденты, а также иные меры с учётом угроз и установленного уровня защищённости. Доступ сотрудников и привлечённых лиц ограничивается служебной необходимостью и обязанностью соблюдать конфиденциальность.

5.3. До начала обработки и в течение поручения Обработчик по запросу Оператора предоставляет документы и информацию, подтверждающие принятые меры и выполнение поручения. Предоставление выполняется без необоснованной задержки с учётом цели запроса и применимых обязательных сроков. Не раскрываются чужие персональные данные, пароли и сведения, способные создать самостоятельную угрозу безопасности; необходимое подтверждение предоставляется безопасным способом.

5.4. Обработчик помогает установить состав данных субъекта, исправить ошибки, ограничить обработку и удалить данные. Если запрос поступил непосредственно Обработчику и относится к решениям Оператора, он передаётся Оператору без необоснованной задержки с учётом обязательных сроков исполнения запроса. За собственные действия Обработчик отвечает самостоятельно.

5.5. Указания о прекращении, блокировании и удалении выполняются так, чтобы Оператор мог соблюсти сроки закона. Платёжный спор, понижение тарифа и отсутствие платного экспорта не являются основаниями препятствовать исполнению прав субъекта.

6. Привлечение других лиц и зарубежные передачи

6.1. Оператор разрешает привлечение ООО «Бегет», ИНН 7801451618, ОГРН 1077847645590, адрес: 195112, г. Санкт-Петербург, пл. Карла Фаберже, д. 8Б, офис 726А, для размещения вычислительных ресурсов, баз и файлов, а также исходящей почты. Такое привлечение должно быть оформлено условиями, обеспечивающими соответствующий объём защиты и обработки по поручению. Обработчик отвечает перед Оператором за организацию привлечённой им обработки.

6.2. Оператор уведомлён, что подключённые Telegram-уведомления передают необходимые сведения о записи в Telegram, а обращения в поддержку и вложения передаются операторам через Telegram. Для Web Push используются серверы доставки, определяемые браузером. Разрешение в настройках или принятие поручения не отменяет необходимости установить надлежащих получателей, основания, страны и соблюсти процедуры трансграничной передачи.

6.3. До организации соответствующей передачи Обработчик и Оператор в пределах своих ролей обязаны выполнить требования локализации и статьи 12 Федерального закона № 152-ФЗ, включая предварительное уведомление, когда оно требуется, и проверку запретов и ограничений. Если законный порядок не обеспечен, такой канал не используется для персональных данных. Поручение не содержит заранее данного разрешения передавать данные любому неизвестному лицу в любую страну.

6.4. Яндекс получает поисковый адрес и технические сведения при использовании карт; ЮKassa получает сведения о подписочном платеже. Передача им всей клиентской базы настоящим поручением не разрешается. Действия этих сервисов как самостоятельных операторов разграничиваются с обработкой, выполняемой по поручению.

6.5. При существенном изменении состава привлечённых обработчиков, места обработки или категорий передаваемых данных Обработчик заранее сообщает об этом Оператору. До начала новой передачи обеспечиваются необходимые правовые основания. При невозможности согласовать законный порядок стороны отключают соответствующую функцию либо прекращают поручение без нарушения прав субъектов.

7. Инциденты

7.1. При выявлении неправомерной или случайной передачи, предоставления, распространения либо доступа к данным, повлекших нарушение прав субъектов, Обработчик незамедлительно начинает меры по ограничению последствий и без необоснованной задержки уведомляет Оператора с учётом необходимости соблюдения обязательных сроков, указанных в пункте 7.3. Отсутствие полного расследования не является причиной задерживать первичное сообщение.

7.2. Сообщение включает известные обстоятельства, категории и примерный объём затронутых данных и субъектов, возможные последствия, принятые меры и контакт для взаимодействия. По мере установления новых обстоятельств информация дополняется; результаты внутреннего расследования передаются своевременно для исполнения обязанностей Оператора.

7.3. Оператор исполняет собственные обязанности по уведомлению Роскомнадзора, в том числе о выявленном инциденте в пределах 24 часов и о результатах внутреннего расследования в пределах 72 часов в случаях части 3.1 статьи 21 Федерального закона № 152-ФЗ. Обработчик содействует этому и выполняет непосредственно возложенные на него обязанности. Сроки по настоящему поручению не продлевают сроки закона.

8. Срок, возврат и уничтожение

8.1. Поручение действует пока предоставляются соответствующие функции и сохраняется законная цель обработки. Бесплатный тариф также может включать действующее поручение. Данные хранятся не дольше срока, необходимого для цели и определённого законными указаниями Оператора.

8.2. Предоставление информации и доступа к персональным данным выполняется в объёме и порядке, предусмотренных законом. Настоящее поручение не устанавливает дополнительной услуги выгрузки всей клиентской базы в определённом машиночитаемом формате. Отсутствие такой услуги не ограничивает права субъектов на доступ к своим данным, обязанности сторон по законным запросам и исполнение отдельно согласованных условий передачи данных Оператору.

8.3. После прекращения цели данные удаляются в пределах 30 дней, если более короткий срок не следует из закона или законного требования и отсутствует иное законное основание обработки. Если передача данных Оператору предусмотрена отдельным законным основанием, она не отменяет обязанности прекратить обработку оставшихся копий. Самостоятельные обязанности Обработчика по хранению расчётных документов не разрешают сохранять всю клиентскую базу. Сохранение необходимого минимума для самостоятельной законной цели документируется отдельно.

8.4. Уничтожение должно охватывать рабочие базы, файлы и сохраняющие персональные данные журналы уведомлений. При наличии копий у привлечённых обработчиков им направляются необходимые указания. Порядок работы с резервными копиями должен исключать возвращение уничтоженных данных в рабочую систему и обеспечивать сроки закона. Уничтожение подтверждается предусмотренными законодательством документами и сведениями.

8.5. Если уничтожение в установленный срок объективно невозможно, данные блокируются и уничтожаются в допускаемый законом срок; невозможность и принятые меры документируются. Постоянное хранение под видом резервной копии не допускается.

9. Ответственность и приоритет

9.1. Перед субъектом за порученную обработку отвечает Оператор в пределах, установленных законом; Обработчик отвечает перед Оператором за исполнение поручения. Эти положения не исключают самостоятельную ответственность Обработчика, прямо предусмотренную законом, или его ответственность как оператора собственных целей.

9.2. Обязанность конфиденциальности сохраняется после прекращения поручения. Положения пользовательского соглашения применяются постольку, поскольку не противоречат специальным требованиям этого поручения и обязательным нормам закона.