Поручение на обработку персональных данных

1. Роли и предмет поручения

Заказчик является оператором персональных данных, а Индивидуальный предприниматель Китаев Дмитрий Алексеевич — лицом, осуществляющим обработку по поручению оператора в смысле части 3 статьи 6 закона № 152-ФЗ. Настоящее Поручение является приложением к Публичной оферте и акцептуется вместе с ней.

Исполнитель обрабатывает данные, которые Заказчик добавляет в Проект или передаёт через подключённые каналы, для работы AI-сотрудников, базы знаний, переписки, звонков, аналитики, CRM-интеграций, поддержки и безопасности.

2. Категории субъектов и данных

Субъектами могут быть клиенты и потенциальные клиенты Заказчика, его работники и соискатели, подрядчики, поставщики, представители партнёров и иные лица, с которыми Заказчик законно взаимодействует.

Обрабатываются обычные данные: имя, контакты, организация и роль, идентификаторы в CRM и каналах, сообщения, история взаимодействия и заказов, записи и расшифровки разговоров, обращения, документы, содержание базы знаний и результаты обработки.

Специальные категории данных и биометрические данные для установления личности не входят в Поручение. Их передача возможна только по отдельному письменному соглашению после оценки оснований, рисков и мер защиты.

3. Действия и способы обработки

Поручаются сбор при передаче через подключённый канал, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление результата Заказчику, передача согласованному обработчику, обезличивание, блокирование и удаление с использованием автоматизации.

Документированными инструкциями считаются условия договора, настройки Проекта, команды уполномоченных пользователей и обращения в поддержку. Исполнитель сообщает, если инструкция, по его обоснованному мнению, нарушает применимое законодательство, и вправе приостановить её выполнение до уточнения.

4. Обязанности Исполнителя

Исполнитель обязан:

• обрабатывать данные только в целях и пределах поручения, соблюдать конфиденциальность;
• при сборе персональных данных граждан РФ соблюдать требования локализации части 5 статьи 18 закона № 152-ФЗ;
• принимать меры, предусмотренные статьёй 18.1, обеспечивать безопасность данных и выполнять требования статьи 19 закона № 152-ФЗ;
• до начала обработки и затем по обоснованному запросу предоставлять документы и сведения, подтверждающие принятые меры и соблюдение поручения, без раскрытия данных и секретов других заказчиков;
• помогать Заказчику отвечать на запросы субъектов и исполнять обязанности по инцидентам;
• после прекращения поручения возвратить или удалить данные согласно разделу 8.

Меры включают разграничение и регулярный пересмотр доступа, учёт действий, защиту каналов, резервное копирование и восстановление, управление уязвимостями, реагирование на инциденты, обучение допущенных лиц и контроль соблюдения установленных правил.

5. Обработчики и трансграничная передача

Исполнитель вправе привлекать только необходимых поставщиков хостинга, связи, AI-моделей, распознавания и синтеза речи, поддержки и иных включённых Заказчиком компонентов. На каждого поставщика возлагаются эквивалентные обязанности по целям, операциям, конфиденциальности, безопасности, инцидентам, возврату и удалению; Исполнитель отвечает перед Заказчиком за соблюдение этих обязанностей в пределах закона и договора.

До включения функции, передающей данные новому обработчику, Заказчику сообщаются его наименование, страна, цель, категории данных и правовое основание передачи. Первичная обработка персональных данных граждан РФ при сборе ведётся с использованием баз данных в России. Трансграничная передача начинается только после выполнения требований статьи 12 закона № 152-ФЗ, включая предварительное уведомление Роскомнадзора, когда оно обязательно, и при отсутствии запрета или ограничения.

6. Обязанности Заказчика

Заказчик гарантирует, что определил законные цели, имеет основание для каждого вида обработки и передачи, предоставил субъектам необходимую информацию, получил требуемые согласия, установил сроки и настроил доступ только уполномоченным лицам.

Для звонков и рассылок Заказчик самостоятельно соблюдает правила записи разговоров, рекламы и связи, включая предварительное доказуемое согласие адресата, его отказ от массовых или автоматических вызовов, передачу оператору связи достоверного наименования и категории звонка для обязательной маркировки и немедленное прекращение рекламы по требованию. Заказчик не поручает запрещённый автоматический обзвон или рассылку.

7. Инциденты и запросы субъектов

Обнаружив инцидент, затрагивающий данные Заказчика, Исполнитель уведомляет его без неоправданной задержки, но не позднее 12 часов после обнаружения. Первичное сообщение содержит известные дату и обстоятельства, категории и примерный объём данных и субъектов, вероятные последствия, принятые меры и контакт ответственного лица; неизвестные сведения передаются обновлениями по мере расследования.

Заказчик остаётся ответственным за обязательные уведомления как оператор. Исполнитель предоставляет сведения так, чтобы Заказчик мог направить первичное уведомление Роскомнадзору в течение 24 часов и результаты внутреннего расследования в течение 72 часов с момента выявления инцидента, и продолжает содействие до его закрытия.

Если субъект обращается напрямую к Исполнителю по данным Проекта, обращение перенаправляется Заказчику, если закон не требует иного ответа.

8. Срок, возврат и удаление

Поручение действует, пока существует соответствующий Проект или договор. После прекращения данные доступны Заказчику для выгрузки до 30 календарных дней, затем удаляются из активных систем. До удаления резервные копии изолируются от обычной обработки и используются только для восстановления, безопасности или обязательного хранения; они очищаются в пределах цикла, но не позднее 90 календарных дней, если хранение не требуется законом или спором.

9. Ответственность и приоритет

Каждая сторона отвечает за собственные обязанности и законность своих действий. При противоречии между Поручением и общими условиями Оферты в части обработки данных применяется Поручение.