Поручение на обработку персональных данных

Приложение к Пользовательскому соглашению 3D-ERP. Применяется, когда заказчик вносит в сервис персональные данные других лиц. Это не согласие этих лиц и не поручение на обработку данных работников самого Исполнителя.

1. Стороны и предмет поручения

1.1. Заказчик, идентифицированный при заключении договора и создании рабочего пространства, выступает оператором загружаемых им персональных данных, далее — Заказчик-оператор. Индивидуальный предприниматель Медвецкая Елизавета Сергеевна, ИНН 773399218204, ОГРНИП 324774600139503, адрес: г. Москва, ул. Соловьиная Роща, д. 11, корп. 1, далее — Обработчик, обрабатывает эти данные по поручению Заказчика-оператора.

1.2. Поручение применяется к фактически начатой обработке данных иных лиц на основании принятой редакции договора и действует до завершения предусмотренной обработки, возврата и уничтожения. Перечисление допустимой цели или категории не означает, что соответствующая функция уже предоставлена Заказчику. Заказчик-оператор определяет цели, категории субъектов, состав сведений и законные основания. Обработчик выполняет документированные распоряжения в границах договора и доступных функций.

1.3. Контакт Обработчика: info@3d-erp.ru. Контакт Заказчика-оператора — подтверждённый адрес владельца пространства либо отдельно согласованный ответственный контакт. До загрузки данных Заказчик-оператор обеспечивает актуальность своего наименования, адреса и полномочий представителя.

2. Цели и допустимые категории

2.1. Цели: ведение заказчиком товарного и управленческого учёта мастерской; обработка заказов на изготовление или продажу изделий; работа с законными контактами заказчиков и поставщиков; распределение задач между пользователями; формирование относящихся к этим операциям документов и отчётов.

2.2. Категории субъектов и данные ограничиваются следующим составом:

• Клиенты и контактные лица заказчиков: ФИО или имя, телефон и электронная почта при необходимости связи, адрес доставки только при соответствующей операции, сведения о заказе, его исполнении и расчётах в необходимой части.
• Представители поставщиков и контрагентов: ФИО, деловой контакт, должность или функция при необходимости, сведения о связанных поставках и документах.
• Допущенные сотрудники и исполнители мастерской: имя, рабочая почта, роль, назначенные задачи и история служебных действий. Поручение не охватывает кадровый архив, паспортные данные, здоровье или начисление заработной платы.

2.3. Сведения о материалах, остатках, себестоимости и производственных параметрах без связи с определяемым физическим лицом защищаются условиями конфиденциальности, даже если не являются персональными данными.

2.4. Специальные категории данных, биометрия для идентификации, данные несовершеннолетних, полные платёжные реквизиты карт и документы, удостоверяющие личность, не входят в поручение. Загруженные медицинские 3D-сканы и идентифицирующие сканы человека не становятся допустимыми только потому, что сохранены как файл модели. Для иной категории необходимы предварительное отдельное согласование и соответствующие правовые основания.

3. Операции и территория

3.1. Обработчику поручаются в необходимой части приём и запись переданных сведений, систематизация, накопление, хранение, уточнение по указаниям, извлечение, предоставление доступа допущенным пользователям, техническая обработка для заказанных функций, резервирование, выгрузка, блокирование, удаление и уничтожение. Самостоятельная рекламная обработка, продажа, распространение и обучение моделей искусственного интеллекта не поручаются.

3.2. При сборе данных граждан РФ выполняются требования части 5 статьи 18 № 152-ФЗ. Основные базы, файлы и резервные копии должны находиться в согласованной российской инфраструктуре, указанной в разделе 6 Политики. Описанная редакция поручения не предусматривает трансграничную передачу.

3.3. Выдача данных подключённой заказчиком внешней системе допускается только в объёме отдельной документированной настройки и при подтверждённой допустимости передачи. Наличие технической кнопки интеграции не заменяет правовое основание.

4. Обязанности Заказчика-оператора

4.1. До загрузки Заказчик-оператор обеспечивает законность сбора, определяет необходимый состав и срок хранения, информирует субъектов и получает согласие на поручение обработки Обработчику, когда этого требует часть 3 статьи 6 № 152-ФЗ, либо документирует конкретное предусмотренное федеральным законом исключение. Нельзя автоматически считать наличие договора с клиентом освобождением от любых требований к передаче обработчику.

4.2. Заказчик-оператор не передаёт избыточные данные, своевременно уточняет неточности, ограничивает доступ сотрудников, исполняет запросы субъектов и направляет Обработчику соответствующие распоряжения. При отзыве согласия или изменении основания он проверяет, допускается ли дальнейшая обработка конкретной категории.

4.3. Заказчик-оператор самостоятельно выполняет собственные обязанности перед Роскомнадзором и субъектами. Публикация Политики 3D-ERP не заменяет политику и правовые основания самой мастерской.

5. Обязанности Обработчика

5.1. Обработчик соблюдает принципы и правила № 152-ФЗ, конфиденциальность, требования части 5 статьи 18, применимые меры статьи 18.1, обязанности по безопасности и требования статьи 19. Защита включает разграничение доступа, предотвращение неправомерного доступа, регистрацию значимых действий, восстановление после неправомерного изменения или уничтожения и контроль принятых мер в применимом объёме.

5.2. По запросу Заказчика-оператора, в том числе до начала обработки, Обработчик предоставляет документы и информацию, подтверждающие необходимые меры и соблюдение требований. Секреты, создающие новую уязвимость, передаются только защищённым способом и в необходимом объёме; их конфиденциальность не служит основанием отказать в подтверждении соблюдения закона.

5.3. Обработчик не использует данные для собственных несовместимых целей, не предоставляет доступ неуполномоченным лицам и не смешивает содержимое рабочих пространств. Доступ поддержки осуществляется только по служебной необходимости. Обработчик не обязан самостоятельно получать согласия субъектов в отношении порученной обработки, но это не освобождает его от собственных обязательных требований.

5.4. Получив заведомо неправомерное распоряжение, Обработчик сообщает об этом Заказчику-оператору и приостанавливает соответствующую операцию до устранения нарушения, не выполняя незаконную инструкцию. Ограничение должно быть соразмерным и учитывать обязательные сроки.

6. Привлекаемые лица

6.1. Перечень согласованных обработчиков и получателей с адресами, функциями и категориями данных приведён в разделе 5 Политики и фиксируется вместе с редакцией поручения. Наличие лица в перечне не даёт ему доступа ко всем данным: передаются только необходимые для указанной функции сведения.

6.2. Доступ привлекаемого обработчика оформляется договором с не менее необходимыми обязательствами по конфиденциальности, безопасности, локализации, помощи при запросах и уничтожению. Обработчик отвечает перед Заказчиком-оператором за исполнение переданного объёма обязательств в применимых пределах.

6.3. До предоставления новому обработчику доступа к данным мастерской Обработчик сообщает Заказчику-оператору сведения о лице, его роли и объёме обработки и обеспечивает необходимые согласования и основания. Если применимый закон или отдельно согласованные условия требуют определённого срока уведомления, применяется этот срок. Заказчик-оператор может представить мотивированные возражения; до разрешения вопроса не выполняется передача, требующая отсутствующего согласия. Если законный альтернативный способ недоступен, стороны решают вопрос о прекращении затрагиваемой обработки, выгрузке и возврате платы за непредоставленный объём. Молчание не заменяет обязательного согласия субъекта.

7. Инциденты и запросы

7.1. При выявлении неправомерной или случайной передачи, предоставления, распространения либо доступа к данным, повлекших нарушение прав субъектов, Обработчик сообщает Заказчику-оператору без неоправданной задержки сведения, необходимые для исполнения его обязанностей. Первичное сообщение направляется до завершения расследования и своевременно дополняется. Если применимый закон или отдельно согласованные условия устанавливают конкретный срок, он соблюдается. В сообщении указываются известные обстоятельства, категории данных, предполагаемые последствия, меры и ответственный контакт.

7.2. Обработчик без неоправданной задержки дополняет сведения, помогает оценить масштаб и последствия, сохранить доказательства и исполнить обязанности Заказчика-оператора. Для самостоятельного оператора уведомление Роскомнадзора об инциденте и результатах расследования производится в применимые сроки части 3.1 статьи 21 № 152-ФЗ: 24 и 72 часа с предусмотренного законом момента выявления. Сообщение заказчику не заменяет эти обязанности.

7.3. Обработчик содействует ответам на запросы субъектов, исправлению, блокированию и уничтожению данных. Полученный напрямую запрос о порученных данных передаётся уполномоченному контакту Заказчика-оператора без неоправданной задержки, при этом Обработчик исполняет собственные требования закона и не перенаправляет автоматически запросы, относящиеся к его самостоятельной обработке.

8. Срок действия и завершение поручения

8.1. Окончание оплаченного доступа не означает немедленного уничтожения данных: поручение в необходимой части действует до завершения законных операций по выгрузке, хранению и уничтожению. Заказчик-оператор сохраняет обязанность обеспечивать законность и ограниченность сроков обработки каждой категории данных. Окончание оплаты не является распоряжением об уничтожении.

8.1.1. По распоряжению управомоченного Заказчика-оператора Обработчик организует доступную выгрузку и уничтожение по Порядку удаления. Срок до 30 календарных дней для договорного завершения не отменяет более короткие обязательные сроки, например для неправомерной обработки.

8.2. Резервные копии включаются в процедуру уничтожения; удалённые данные не возвращаются в использование после восстановления. При установленной законом невозможности уничтожения применяются блокирование и исключительный порядок части 6 статьи 21 № 152-ФЗ. Отдельные обязательные расчётные документы могут сохраняться только в пределах самостоятельного законного основания, не включая всю клиентскую базу.

8.3. По завершении Обработчик подтверждает выполненные действия и, если часть сведений законно сохраняется, сообщает категории, основания и сроки. Документирование уничтожения производится по применимым требованиям Роскомнадзора.

9. Ответственность и приоритет

9.1. Заказчик-оператор несёт установленную законом ответственность перед субъектами за порученную обработку; Обработчик — ответственность перед Заказчиком-оператором за свои обязанности. Поручение не освобождает Обработчика от его самостоятельной публично-правовой или иной предусмотренной законом ответственности.

9.2. В части порученной обработки этот документ имеет приоритет перед общими формулировками оферты. Для отношений самого Обработчика с пользователем аккаунта и плательщиком применяются самостоятельные основания и Политика. Права субъектов и обязательные нормы закона соглашением сторон не уменьшаются.