Поручение на обработку персональных данных

1. Стороны и предмет

ООО «ПКРК» ведёт в Сервисе работу с персональными данными своих работников, клиентов и их представителей. Состав этих данных, цели и сроки обработки определяет оно – и значит, является оператором. Владелец Сервиса обрабатывает их по его поручению и в его пределах, то есть выступает обработчиком.

Поручение действует, пока Оператор пользуется Сервисом, и охватывает все персональные данные в нём, включая учётные записи, сессии и служебные журналы: другого оператора у этих данных нет.

2. Что именно поручается

Обработчик совершает с персональными данными Оператора следующие действия и только их:

• получение данных от Оператора и его работников;
• запись, систематизация, накопление и хранение;
• уточнение (обновление, изменение) и извлечение;
• использование в пределах функций Сервиса: показ данных работникам Оператора в соответствии с их правами, уведомления, поиск, выгрузка по запросу пользователя;
• блокирование, удаление и уничтожение;
• резервное копирование и восстановление.

Обработчик не определяет состав и цели обработки, не использует данные в собственных интересах, не передаёт их третьим лицам сверх перечисленного в разделе 4 и не применяет для рекламы, аналитики или профилирования.

3. Требования к защите

Обработчик обеспечивает меры, предусмотренные статьями 18.1 и 19 152-ФЗ, в объёме, соответствующем характеру данных:

• транспортное шифрование соединений;
• необратимое хеширование паролей;
• разграничение доступа по ролям и отделам;
• защиту от подбора паролей, подделки запросов и межсайтовых сценариев;
• регулярное резервное копирование;
• размещение рабочей базы на сервере на территории Российской Федерации.

Лица, имеющие доступ к данным на стороне Обработчика, обязаны соблюдать конфиденциальность и не раскрывать данные без поручения Оператора.

4. Привлекаемые лица

Для работы Сервиса Обработчик привлекает:

• хостинг-провайдера на территории Российской Федерации;
• хранилище резервных копий на территории Российской Федерации (Яндекс Облако);
• службу доставки уведомлений браузера либо операционной системы устройства – только для тех работников, которые уведомления включили. Сервер такой службы может находиться за пределами России, поэтому ей уходит только служебное сообщение: в браузер – зашифрованное ключами устройства (RFC 8291), в мобильное приложение – вид уведомления и номера записей, без названий и текста.

Привлечение иных лиц к обработке данных Оператора требует его согласия. Об изменении перечня Обработчик уведомляет заранее.

5. Инциденты

О неправомерном или случайном доступе к персональным данным Оператора Обработчик уведомляет Оператора не позднее 24 часов с момента обнаружения, сообщая известные обстоятельства и принятые меры.

Срок выбран не произвольно: по части 3.1 статьи 21 152-ФЗ уведомить Роскомнадзор в течение 24 часов обязан именно оператор, то есть ООО «ПКРК». Без своевременного сообщения Обработчика этот срок физически не выдержать.

6. Обращения субъектов

Обращение субъекта персональных данных, поступившее Обработчику напрямую, передаётся Оператору как оператору этих данных; заявителю сообщается, что его обращение передано. Самостоятельно изменять или удалять данные Оператора по такому обращению Обработчик не вправе.

По запросу Оператора Обработчик содействует ему в предоставлении сведений субъекту, а также в уточнении, блокировании и уничтожении данных в сроки, установленные законом.

7. Окончание обработки

При прекращении использования Сервиса, а также по письменному требованию Оператора, Обработчик выгружает данные Оператору в машиночитаемом виде и уничтожает их в срок, не превышающий 30 дней с момента выгрузки, включая копии в резервных архивах по мере их обновления.

По требованию Оператора составляется акт об уничтожении.

8. Ответственность

Обработчик отвечает перед Оператором за соблюдение условий настоящего поручения. Перед субъектом персональных данных за действия Обработчика отвечает Оператор (часть 5 статьи 6 152-ФЗ).

Оператор, в свою очередь, подтверждает, что имеет законное основание обрабатывать вносимые в Сервис данные и передавать их Обработчику, и что уведомил соответствующих людей в объёме, требуемом законом. Обработчик не проверяет содержание внесённых данных.

9. Изменения

Обработчик вправе изменять настоящий документ. Актуальная версия всегда доступна по адресу fcrc.reg-tracker.ru/dpa.html. Существенные изменения доводятся до Оператора заранее.