Поручение на обработку персональных данных (Приложение № 1)

Настоящее Поручение является неотъемлемой частью Лицензионного договора-оферты и определяет условия обработки персональных данных, которые Лицензиат (далее — Оператор) поручает Лицензиару (далее — Обработчик) в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1. Роли сторон

Оператором персональных данных работников и иных Пользователей Лицензиата является Лицензиат. Он определяет цели и состав обрабатываемых данных, отвечает перед субъектами персональных данных и перед контролирующими органами.

Обработчик действует исключительно по поручению Оператора и в пределах настоящего Поручения. Обработчик не определяет цели обработки, не использует данные Оператора в собственных интересах, не передаёт их третьим лицам иначе как в порядке раздела 7 и не использует их для обучения моделей машинного обучения.

Согласие субъектов персональных данных получает Оператор. Обработчик такое согласие не собирает и не проверяет.

2. Перечень персональных данных

Обработчик обрабатывает по поручению Оператора следующие категории данных:

• фамилия, имя, отчество; должность, филиал, подразделение;
• адрес электронной почты, номер телефона, идентификатор мессенджера;
• дата рождения, пол, фотография профиля — если Оператор их вносит;
• сведения о рабочем времени: отметки начала и окончания смены, отработанные часы;
• данные о местоположении при отметке смены и фотографии (в том числе селфи) — если соответствующие функции включены Оператором;
• результаты прохождения чек-листов, обучения и тестирования;
• сведения о начислениях в рамках функций расчёта заработной платы и мотивации;
• технические журналы: IP-адрес, сведения о браузере и устройстве, события входа.

Специальные категории персональных данных и биометрические персональные данные Обработчиком не обрабатываются. Фотографии не используются для установления личности.

3. Перечень действий с персональными данными

Обработчик вправе совершать: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ) в пределах, установленных настоящим Поручением, обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется с использованием средств автоматизации.

4. Цели обработки

• обеспечение функционирования Программы в объёме выбранного Оператором Тарифа;
• идентификация и аутентификация Пользователей Лицензиата;
• предоставление Оператору отчётности и аналитики по его собственным данным;
• обеспечение безопасности Программы и расследование инцидентов;
• техническая поддержка Оператора по его обращениям.

Обработка в иных целях, включая маркетинговые, настоящим Поручением не охватывается.

5. Конфиденциальность

Обработчик обязуется не раскрывать и не распространять персональные данные без согласия Оператора, если иное не предусмотрено федеральным законом. Доступ к данным предоставляется только тем работникам Обработчика, которым он необходим для исполнения обязанностей; такие лица приняли на себя обязательства о неразглашении.

6. Меры по обеспечению безопасности

Обработчик обеспечивает безопасность персональных данных при их обработке в соответствии со ст. 19 152-ФЗ. Применяемые меры включают:

• определение угроз безопасности персональных данных при их обработке;
• применение правовых, организационных и технических мер по обеспечению безопасности персональных данных;
• установление правил доступа к персональным данным, разграничение прав доступа внутри Аккаунта Оператора и изоляцию данных разных Операторов друг от друга;
• регистрацию и учёт действий, совершаемых с персональными данными;
• обнаружение фактов несанкционированного доступа к персональным данным и реагирование на них;
• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• контроль за принимаемыми мерами по обеспечению безопасности.

Сведения о конкретных технических средствах и способах защиты являются информацией ограниченного доступа и публично не раскрываются. По письменному запросу Оператора Обработчик предоставляет сведения и документы, подтверждающие принятые меры защиты, — в объёме, необходимом Оператору для исполнения его собственных обязанностей как оператора персональных данных.

7. Привлечение третьих лиц

Оператор даёт Обработчику общее согласие на привлечение третьих лиц для целей размещения инфраструктуры, доставки уведомлений и приёма платежей. Обработчик обеспечивает возложение на таких лиц обязанностей, не менее строгих, чем предусмотренные настоящим Поручением, и отвечает за их действия как за свои собственные. Актуальный перечень привлечённых лиц предоставляется по запросу Оператора.

Если для отдельной функции требуется передача данных за пределы Российской Федерации, Обработчик уведомляет Роскомнадзор в порядке ст. 12 152-ФЗ до начала такой передачи и информирует Оператора.

8. Локализация

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

9. Инциденты

Об инциденте, повлёкшем неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных Оператора, Обработчик уведомляет Оператора незамедлительно, но не позднее 24 часов с момента обнаружения, и передаёт сведения, необходимые Оператору для исполнения его обязанностей по ч. 3.1 ст. 21 152-ФЗ. Обработчик содействует Оператору в проведении внутреннего расследования, результаты которого направляются в срок до 72 часов.

10. Содействие в реализации прав субъектов

Обращения субъектов персональных данных рассматривает Оператор. Обработчик предоставляет Оператору технические возможности для исполнения запросов: выгрузку данных, их уточнение, блокирование, удаление или обезличивание, а также передаёт Оператору полученные напрямую обращения субъектов без самостоятельного рассмотрения по существу.

11. Срок обработки, возврат и уничтожение

Обработка осуществляется в течение срока действия Лицензионного договора. После его прекращения Оператор вправе в течение 30 календарных дней запросить выгрузку данных. По истечении этого срока данные уничтожаются или обезличиваются, за исключением сведений, хранение которых требуется по закону. По запросу Оператора Обработчик направляет уведомление об уничтожении.

12. Ответственность

Обработчик несёт ответственность перед Оператором за нарушение настоящего Поручения. Перед субъектом персональных данных за действия Обработчика отвечает Оператор (ч. 5 ст. 6 152-ФЗ). Настоящее Поручение не освобождает Обработчика от обязанностей, возложенных на него законодательством о персональных данных непосредственно.

13. Реквизиты Обработчика

Индивидуальный предприниматель Калиниченко Кирилл Викторович
ИНН: 352832322162
ОГРНИП / ОГРН: 318352500011490
Адрес: 162600, Вологодская обл., г. Череповец, просп. Советский, д. 64б
Ответственный за организацию обработки персональных данных: Калиниченко Кирилл Викторович (индивидуальный предприниматель), support@checkup-business.ru
Email: support@checkup-business.ru

---

См. также: Лицензионный договор-оферта, Политика обработки ПДн, Согласие на обработку ПДн.