Условия обработки Оператором CraftYourCRM персональных данных клиентов Пользователя по его поручению (ст. 6 ч. 3 152-ФЗ).
Настоящий Договор-поручение (далее — «Поручение») является неотъемлемой частью Оферты. Пользователь Сервиса (далее — «Оператор данных»), являющийся оператором в отношении персональных данных своих клиентов и иных третьих лиц, поручает Индивидуальный предприниматель Корниенко Павел Павлович (далее — «Обработчик»), эксплуатирующему Сервис CraftYourCRM, обработку таких персональных данных на условиях настоящего Поручения. Обработчик обрабатывает данные по поручению и в интересах Оператора данных, что не влечёт получения Обработчиком согласия субъектов.
Заключение договора на условиях Оферты рассматривается сторонами как поручение обработки персональных данных, предусмотренное частью 3 статьи 6 152-ФЗ. Обработчик действует исключительно по указаниям Оператора данных, выраженным настоящим Поручением и совершаемыми в Сервисе действиями Оператора данных и его сотрудников.
Обработке подлежат персональные данные, которые Оператор данных самостоятельно вносит в Сервис: имя (наименование), контактные данные (телефон, email, адрес), а также иные сведения о клиентах, сделках и взаимодействиях, определяемые Оператором данных при настройке Сервиса. Обработчик не запрашивает и не определяет состав таких данных.
Обработчик не предназначает Сервис для обработки специальных категорий персональных данных (статья 10 152-ФЗ) и биометрических персональных данных (статья 11 152-ФЗ). Внесение таких данных в Сервис допускается только при самостоятельном обеспечении Оператором данных всех требований закона к их обработке; риски и ответственность, связанные с их внесением, несёт Оператор данных.
Обработчик совершает по поручению следующие действия: сбор (приём), запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование в интересах Оператора данных, блокирование, удаление, уничтожение и обезличивание — с использованием средств автоматизации, в объёме, необходимом для функционирования Сервиса.
Обработка осуществляется исключительно в целях предоставления Оператору данных функциональности Сервиса (хранение и ведение клиентской базы, автоматизация процессов Оператора данных) и не преследует иных целей Обработчика.
Обработчик обязуется обеспечивать конфиденциальность обрабатываемых персональных данных и принимать правовые, организационные и технические меры для их защиты в соответствии со статьёй 19 152-ФЗ, включая разграничение и изоляцию данных между тенантами, шифрование секретов, ограничение доступа персонала, журналирование и резервное копирование.
Доступ работников и привлечённых Обработчиком лиц к персональным данным предоставляется по принципу минимально необходимого объёма и обусловливается обязательством о неразглашении. Обработчик не инициирует доступ сотрудников поддержки к содержимому Пространства Оператора данных без его разрешения, за исключением случаев, прямо предусмотренных законом; факты такого доступа фиксируются в журнале.
Обработчик уведомляет Оператора данных о случаях неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, в порядке и сроки, установленные частью 3.1 статьи 21 152-ФЗ, и оказывает разумное содействие Оператору данных в реагировании на такие инциденты.
Обработчик не обрабатывает персональные данные клиентов Оператора данных в собственных целях (в том числе для аналитики в своих интересах, обучения моделей машинного обучения, перепродажи или самостоятельного маркетинга) и не определяет цели их обработки, сохраняя статус лица, осуществляющего обработку по поручению. Гражданскую ответственность перед субъектами за действия Обработчика несёт Оператор данных (часть 5 статьи 6 152-ФЗ); при этом административные обязанности Обработчика по обеспечению безопасности сохраняются за Обработчиком.
Оператор данных гарантирует наличие законных оснований (включая согласия субъектов) для обработки и передачи Обработчику вносимых им персональных данных, а также самостоятельно отвечает за получение согласий, определение целей и сроков обработки и за реализацию прав субъектов.
Указанные гарантии предоставляются как заверения об обстоятельствах (статья 431.2 ГК РФ). При их недостоверности Оператор данных возмещает Обработчику документально подтверждённые убытки, возникшие вследствие требований субъектов персональных данных, иных третьих лиц или уполномоченных органов, включая суммы наложенных на Обработчика административных штрафов и разумные расходы на юридическую защиту.
Оператор данных самостоятельно и за свой счёт исполняет обязанности оператора персональных данных, в том числе: подаёт уведомление об обработке персональных данных в Роскомнадзор (статья 22 152-ФЗ); назначает лицо, ответственное за организацию обработки (статья 22.1 152-ФЗ); утверждает и публикует собственную политику обработки персональных данных (пункт 2 части 1 статьи 18.1 152-ФЗ); получает и хранит согласия субъектов; определяет цели, состав данных и сроки их хранения; рассматривает обращения субъектов и обеспечивает реализацию их прав; уведомляет субъектов и уполномоченный орган в случаях, предусмотренных законом.
Оператор данных не вправе поручать Обработчику обработку персональных данных, для которой у него отсутствуют законные основания, а также вносить в Сервис данные, полученные с нарушением закона.
Оператор данных даёт Обработчику общее согласие на привлечение к обработке третьих лиц, необходимых для функционирования Сервиса, — поставщиков услуг размещения серверов и центров обработки данных, объектного хранилища файлов, отправки электронной почты и уведомлений, — при условии, что такие лица находятся на территории Российской Федерации и что на них возложены обязанности по конфиденциальности и защите персональных данных не ниже установленных настоящим Поручением. Обработчик отвечает перед Оператором данных за действия привлечённых им лиц как за свои собственные.
Подключение Оператором данных сторонних сервисов (мессенджеров, платёжных провайдеров, внешних систем через API и вебхуки) и передача им персональных данных осуществляются по решению и под ответственность Оператора данных; такие лица не являются привлечёнными Обработчиком и действуют на основании собственных отношений с Оператором данных.
Обработчик в пределах функциональности Сервиса оказывает Оператору данных содействие: предоставляет средства поиска, изменения, блокирования, удаления и выгрузки персональных данных для ответов на обращения субъектов; по мотивированному письменному запросу сообщает сведения о применяемых мерах защиты, необходимые Оператору данных для ответа уполномоченному органу; исполняет полученные от Оператора данных указания об уточнении, блокировании или уничтожении конкретных персональных данных. Обработчик не вступает в самостоятельные отношения с субъектами персональных данных Оператора данных и переадресует поступившие ему обращения субъектов Оператору данных.
Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации (часть 5 статьи 18 152-ФЗ). Трансграничная передача персональных данных Обработчиком не осуществляется; на такую передачу настоящее Поручение не распространяется, и без отдельного письменного согласования она не производится.
Поручение действует в течение срока действия договора между сторонами на условиях Оферты. После прекращения договора персональные данные хранятся в течение 30 (тридцати) календарных дней — для возможной выгрузки Оператором данных, — после чего уничтожаются вместе с вложениями и историей; из резервных копий данные вытесняются по мере их ротации, но не позднее 30 (тридцати) календарных дней с момента уничтожения. По письменному требованию Оператора данных уничтожение производится досрочно. Обработчик вправе уничтожить персональные данные без отдельного требования Оператора данных по истечении указанных сроков.
Обработчик отвечает перед Оператором данных за неисполнение обязанностей, возложенных на него настоящим Поручением. Установленный Офертой предел ответственности Оператора (раздел «Ответственность сторон» Оферты) применяется и к настоящему Поручению; он не распространяется на случаи умышленного нарушения и на случаи, когда ограничение ответственности не допускается законом. Настоящее Поручение не изменяет распределения публично-правовой ответственности, установленного законодательством.